Czy nasze pieniądze są bezpieczne?

Zarządzanie ryzykiem nie jest domeną polskich przedsiębiorstw, choć wskutek wielu negatywnych wydarzeń (upadłości na rynku budowlanym, upadłości biur turystycznych, problemy z odzyskaniem kredytu kupieckiego) zaczyna się to powoli i systematycznie zmieniać. Ale pionierami w tejże skomplikowanej dziedzinie zawsze były banki. To banki zgarniały od lat ludzi i kompetencje związane z ryzykiem.

A tu "masz babo placek". Internet "donosi", że pracownik Deutsche Banku (czyli placówki z kapitałem i marką kraju, w którym przestrzeganie procedur i wykonywanie rozkazów było zawsze cenione, nawet jeśli rozkaz dotyczył egzekucji na przykład stu powstańców) przelał przypadkowo 5,3 miliarda euro, miast kwoty wielokrotnie mniejszej (artykuł podaje, że pomyłka polegała na wpisaniu "zbyt wielu zer") na konto pewnego funduszu. Link tutaj.

Pozorna drobna pomyłka w rzeczywistości jest, mówiąc "Tomaszewskim", wielbłądem. Obok, możliwej przecież zawsze, ludzkiej omylności, ufamy bowiem, że w bankach istnieje coś takiego, jak procedury weryfikujące transakcje. Zachodnie koncerny wprowadzają przecież w Polsce takie narzędzia zarządzania ryzykiem błędów ludzkich (controlling ryzyka), jak:
1) Zasada omylności analityka, kasjera, urzędnika,
2) Zasada podwójnej kontroli,
3) Zasada raportowania ryzyka,
4) Zasada reakcji na ryzyko,
5) Wdrażanie procedur weryfikacyjnych, w których wraz z rangą transakcji wzrasta również ilość szczebli akceptacji,
6) Inne procedury.

A tu okazuje się, że teoretycznie mogę się przyjąć do jakiegoś banku, przelać na konto mojej ciotki na Kajmanach (nie mam niestety takiej ciotki) ponad 5 miliardów euro, wyjść z pracy, a przełożeni zorientują się w tym fakcie po długim czasie, jeśli będę odpowiednio sprytny. Ba, nie muszę być nawet odpowiednio sprytny, wystarczy, że normalnie obracam godziwymi kwotami.

Zalinkowany artykuł jest ciekawy też z innego punktu widzenia. Okrutna prawda jest taka, że tego typu "pomyłki" w bankach zdarzały się, zdarzają się, i będą się zdarzały. Pracownicy banków są omylni, to ludzkie. Ludzkie też jest to, że co któraś "pomyłka" może okazać się celowa, pokusa jest, przyznają Czytelnicy, dość znacząca. Odpowiednie procedury wyłapią pewne rzeczy, ale nigdy nie będą w stu procentach szczelne. I sama procedura nie pomoże, jeśli nie będą do niej stosowali się konkretni ludzie.

Tylko, że na artykuły na ten temat w Polsce do pewnego momentu nie sposób było się natknąć. A teraz, jak za przełączeniem jakiejś wajchy, nagle mamy wysyp treści o błędach pracowników banków, o zagarnianiu pieniędzy spadkobierców, o wykorzystywaniu tajemnicy bankowej do unikania odpowiedzialności za "złe" przelewy (moim zdaniem tu bank staje się paserem lub, jak ktoś woli, stręczycielem), o celowej strategii wciskania "szwajcarów", itp. Co się nagle zmieniło? Przecież już w 2008 roku wybuchły niemal równolegle afera "opcyjna" i afera "frankowa". Dlaczego trzeba było aż siedmiu lat, aby o tym zaczęto głośno mówić? I dlaczego o tym mówi się teraz, gdy de facto "zyski zostały już skonsumowane"? Znamienne jest, że tego typu "dyskusja" w mediach na "Zachodzie" miała miejsce już kilka lat temu. Czy mamy do czynienia ze wstępem do "wojny" państw (w sensie finansowym) z sektorem bankowym? Być może tak. A może chodzi o jeszcze coś innego? Może być ciekawie, choć niekoniecznie przyjemnie dla "ciułaczy".

Znamienny jest też komentarz pod artykułem jednego z internautów:
"To są wirtualne pieniądze, których w rzeczywistości nie ma."

Maciej Skudlik

WARSZTAT: AUDYT ZARZĄDZANIA RYZYKIEM

Audyt to nie tylko ryzyko, ale ...

Kluczowe elementy i zadania audytu wewnętrznego przedstawiono w pojęciu jako[1]:

– pomoc jednostce w osiąganiu zamierzonych celów,
– opiniowanie i doskonalenie operatywności postępowań zarządzania ryzykiem, kontroli a także zarządzania organizacją,
– samodzielna stymulacja doradcza i weryfikująca, mająca na celu udoskonalenie operacyjne organizacji a także wniesienie do niej wartości dodanej,
– niezawisłość i obiektywizm,
– cykliczne i metodyczne podejście.

[1] K. Knedler,, Audyt wewnętrzny w praktyce : audyt operacyjny i finansowy, Polska Akademia Rachunkowości, Łódź 2007, s. 46.

Audyt a kontrola zarządzania

Audyt ma szerszy zakres zastosowania niż kontrola zarządcza, audyt wewnętrzny nie zastępuje kontroli zarządczej, lecz jest jednym z instrumentów umożliwiających jej niezależną ocenę. 

Celem audytu jest uzyskiwanie przez kierownika jednostki niezależnej oceny adekwatności, efektywności i skuteczności systemów zarządzania i kontroli. 

Audyt w istocie stanowi system oceny i sprawdzania kontroli, a nie samą kontrolę. Audyt uwzględnia, także czynności doradcze w tym składanie wniosków, mające na celu usprawnienie funkcjonowania jednostki. 

Wyróżniamy trzy podstawowe rodzaje audytu:

1. audyt finansowy (związany z badaniem dowodów księgowych),
2. audyt systemu (kompleksowa ocena gromadzenia i rozdysponowania środków publicznych),
3. audyt działalności (ocena efektywności i gospodarności).

Audyt uważany jest za specjalny rodzaj kontroli, z tym że nie prowadzi się go w celu kontroli ludzi lub krytyki wyników ich pracy, lecz z zamiarem rozwinięcia pewnych procesów. Przyjmuje się, że misją audytu jest przeprowadzenie niezależnych ocen systemów kontroli wewnętrznej i gospodarki finansowej - to należy jednak zmienić i rozwinąć tradycyjne podejście do audytu o przynajmniej badanie efektywności procesu. Standardy kontroli wewnętrznej i audytu wewnętrznego są w wielu punktach są zbliżone[1].
Kontrolę można ocenić – punktu widzenia jej zasad – odpowiadając na pytania[2]:

• Czy metody kontroli umożliwiają wykrywanie nieprawidłowości na tyle jasno, aby umożliwić podjęcie działań korygujących? 
• Czy kontrola obejmuje newralgiczne aspekty funkcjonowania kontroli? Czy koszty kontroli Ne przewyższają efektów jej stosowania? Czy prowadzenie kontroli nie zakłóca funkcjonowania jednostki?

Czyli informacja musi być użyteczna (dokładna, aktualna, kompletna, odpowiednia), pozytywnie wpływająca na podejmowane decyzje, zwiększając ich efektywność, co jest niezwykle istotne przy podejmowaniu decyzji.




[1] S. Kałużny: Kontrola Wewnętrzna. Teoria i praktyka, Wyd. PWE, Warszawa 2008, s.52.
[2] L. Kurowski, E. Rutkowiak, H. Sochacka-Krysiak: Kontrola finansowa w sektorze publicznym, Warszawa 2000, s. 33.

Nowa rola audytu wewnętrznego

Integracja ERM i audytu wewnętrznego tworzą powiązanie, w którym czynniki ryzyka i profil ryzyka są powiązane ściśle z funkcjonowaniem audytu wewnętrznego. Pozwala odpowiedzieć na wyzwanie rozwoju audytu wewnętrznego w kierunku pozyskania kompetencji specjalistycznych i koncentracji na zagadnieniach strategicznych i najważniejszych procesach. Nowa rola audytu wewnętrznego to także doradztwo zarządcze. Stąd audyt wewnętrzny powinien działać na rzecz różnych części przedsiębiorstwa, stając się wartościowym dostawcą wartości dodanej, oferującym ważne umiejętności, które wspierają organizację procesów i wyniki działalności.

Czy zarządzanie ryzykiem wspiera audyt wewnętrzny?

Nie należy budować planu audytu bazując jedynie na kompetencjach, które posiada dana organizacja (wokół tych kompetencji), aby sprostać postawionemu wyzwaniu. 

Należy wręcz stwierdzić, że w takiej sytuacji podejście pragmatyczne powinno przeważyć, zapewniając korzyści dla przedsiębiorstwa. Czyli bliska współpraca z zarządzaniem ryzykiem, nawet rezygnując częściowo z niezależności audytu, w celu wykreowania kompetencji w zakresie analizy ryzyka w audycie wewnętrznym. 

Inne niezbędne kompetencje - niekoniecznie postrzegane jako tradycyjne dla audytu -  to analiza jakości przychodów, zarządzanie kontraktami, M&A, ekspansja na nowe rynki, zarządzanie ryzykiem w projektach, procesy w IT, zarządzanie zmianą oraz HR i zarządzanie personelem. Stąd niezbędne jest zatrudnianie w audycie osób spoza tradycyjnego "świata" audytu. Zaś zarządzający audytem musi stać się ekspertem w rekrutacji osób oraz coachingu i rozwoju personelu.

W ten sposób zespół audytowy powinien składać się z praktyków audytu, dbających o właściwy standard prac audytowych oraz wysoce wyspecjalizowanych ekspertów, którzy są w stanie przeprowadzić audyt w różnych obszarach tematycznych. 

Koncentracja na poprawie działalności biznesu i tworzeniu przewagi konkurencyjnej może zostać osiągnięta dzięki interdyscyplinarnemu zespołowi audytu. Staje się to warunkiem koniecznym dla osiągnięcia tej korzyści i powinno być jednym z elementów przeglądu skuteczności audytu. 

Kompetencje te pozwalają zharmonizować prace audytowe, a szczególnie przygotowywanie planu audytu i analizę ryzyka w sprawozdaniu audytowym, z wynikami procesu ERM. W ten sposób ogranicza się znaczenie audytu finansowego na rzecz audytu ukierunkowanego na strategiczne ryzyka i procesy w przedsiębiorstwie. 

Czyli audyt musi odpowiedzieć wysokim stopniem elastyczności i kompetencji, aby odpowiedzieć na wyzwania określone w planie audytu i audytach doraźnych, aby skutecznie wpierać biznes i osiąganie celów przedsiębiorstwa. 

 

ERM - rozwój audytu wewnętrznego / agent zmian

W organizacjach, które wdrożyły całościowe zarządzanie ryzykiem w przedsiębiorstwie, na podstawie którego następuje zarządzanie relacją zysków do ryzyka oraz zarządzanie szansami, audyt wewnętrzny odnotowuje szansę rozwoju w kierunku globalnej analizy ryzyka - zostają zidentyfikowane obszary analizy znacząco wykraczające poza zarządzanie finansami. Pozwala to organizacji rozwijać kulturę ryzyka. W tej sytuacji audyt wewnętrzny powinien działać jako agent zmian.

ERM i przyszłe obszary koncentracji audytu wewnętrznego

Ważne jest też sprawdzenie, czy "ubezpieczyciele" wspomniani w poprzednim wpisie nie pokrywają zabezpieczeniem tych samych ryzyk, czyli czy nie dochodzi do nieefektywnego wydatkowania zasobów na reakcję na ryzyko. 

Innym zagadnieniem są obszary funkcjonowania przedsiębiorstwa, które w ogóle nie zostały objęte ERM. 

W tym  przypadku ERM może zostać wsparty przez audyt wewnętrzny, który powinien identyfikować, analizując mechanizmy kontrolne i pokrycie ryzyka, także powyżej wskazane niedoskonałosci:

• zbyt wysokie zabezpieczenie, dublowanie zabezpieczenia;
• brak objęcia przez ERM ważkich ryzyk.

Wskazuje to na przyszły trend w rozwoju audytu wewnętrznego - koncentracja na "nietradycyjnych" obszarach ryzyka w przedsiębiorstwie (przykładowo: IT, HR, zarządzanie projektami). Pozwoli to wzmocnić system kontroli zarządzania i skoncentrować jego uwagę na najważniejszych ryzykach strategicznych.

Jako najważniejsze, przyszłe obszary koncentracji audytu wewnętrznego należy wskazać:

• zarządzanie zmianą;
• zarządzanie projektami;
• zarządzanie łańcuchem dostaw;
• planowanie zasobów pracy;
• relacje w branży;
• strategiczna efektywność technologii informatycznych;
• zarządzanie kapitałem obrotowym;
• zrównoważenie sytuacji finansowej;
• przegląd wyników przez zarząd i radę nadzorczą;
• ochrona środowiska i zarządzanie zmianą klimatu;
• zaangażowanie podmiotów biorących udział w procesach przedsiębiorstwa.

ERM - identyfikacja tego co właściwe

Dobrze, jeżeli ryzyko w przedsiębiorstwach jest rozpatrywane w zakresie tradycyjnych ryzyk oraz ryzyka braku zgodności. Jednak w obecnie bardzo zglobalizowanym otoczeniu dla przedsiębiorstw to może nie wystarczyć. Należy określić globalne ryzyko finansowe (jako agregat wszystkich ryzyk wpływających na wynik ekonomicznych przedsiębiorstwa), na które dany podmiot jest narażony. 

Najprościej mówiąc należy dążyć do stworzenia systemu, który eliminuje wpływ nawet tych ryzyk, których dziś sobie nie uświadamiamy - w myśl zasady, że historia nie jest właściwą wskazówką do przyszłych ryzyk. Ważne pytanie to także o to, co dziś jest czarnym łabędziem, dla przedsiębiorstwa i co należy mierzyć stress testem (?).

W takiej sytuacji ważną rolę powinien spełniać audyt wewnętrzny, dbający, aby w niezależny sposób ocenić, czy taki system jest wykreowany. Dotyczy to nowych elementów ryzyka finansowego (nietradycyjnych), których wpływ powinien być rozpatrywany w procesie ERM. Analizy te mogą być przeprowadzane w trakcie przygotowania planu audytu na kolejny rok.

Ocena ram ERM

Wiele organizacji wypracowało kompleksowe podejście do zarządzania ryzykiem obejmujące identyfikację różnych ryzyk, mechanizmów kontrolnych i zgodności, które jednak rzadko są ze sobą koordynowane. 

W wyniku tego następuje dublowanie kompetencji i działań, nieefektywność i możliwość, że jednak niektóre z ważnych ryzyk się zmaterializują, nawet jeśli przygotowano reakcję na nie. 

Stały popyt na na informację z różnych stron - chociaż różnie postrzeganą i zgłaszany przez różne osoby - generuje niepotrzebne obciążenie dla organizacji ryzyka. 

W tych warunkach audyt wewnętrzny powinien odgrywać ważną rolę optymalizując koordynację przekazywania informacji o ryzyku i mechanizmów kontrolnych. Powinien też generować rekomendacje zwiększające efektywność procesu zarządzania ryzykiem.

Audyt a ERM

Chciałbym zwrócić dziś uwagę na korzyści, które może odnotować audyt z zaangażowania we wdrażanie ERM. Będą one oczywiście uzależnione od stopnia zmiany w samym audycie wewnętrznym. Jeżeli audyt pozyska kompetencje w zakresie zarządzania ryzykiem, będzie mógł w miarę szybko i skutecznie wspierać wdrożenie ERM. Poza tym, wsparcie to pozwoli uzyskać znów dodatkową wiedzę na ten temat, co sprawia, że audyt staje się jeszcze skuteczniejszy w wypełnianiu swych zadań, także zapewniając właściwy poziom compiliance w przedsiębiorstwie. Nie mówiąc już o uproszczeniu planowania, a później programowania zadań audytowych.

Ryzyko & plan audytu

Dziś chciałbym zwrócić uwagę na pewne ważne, a czasem pomijane zagadnienia związane z postrzeganiem zarządzania ryzykiem realizowanego w trakcie zadań audytu wewnętrznego. 

Bez wątpienia realizacja zadań związanych z audytem wewnętrznym pozwala poznać i zrozumieć funkcjonowanie całej organizacji. Brakuje jednak zazwyczaj bardziej dynamicznego podejścia bazującego na analizie ryzyka. Zazwyczaj także audytorzy nie mają odpowiednich kompetencji, aby właściwie określić wartość ryzyka w raporcie - informacje o przedziałach wartości ryzyka, czy jakościowy opis tej wartości, lub jakieś kolory, nie stanowią informacji użytecznej dla zarządów.

Innym problemem jest to, że ocena ryzyka realizowana przez audyt nie stanowi systemu. Jest to analiza np. ryzyka w procesie realizowana raz na kilka lat i może być jedynie wykorzystywana jako wkład do rejestru ryzyka, które jednak powinno zostać jeszcze raz przeanalizowane przez organizację ryzyka (posiada ku temu lepsze kompetencje) - np. osoby realizujące ERM.

Także plan audytu powinien być dostosowywany okresowo - może rolowany kwartalnie - aby podążać za zmianami ryzyka w organizacji.

Plan audytu zaś powinien koncentrować się na najważniejszych ryzykach dla przedsiębiorstwa. Zespół audytu powinien zatem ściśle współpracować z organizacją ryzyka, aby badać rzeczywiście najważniejsze procesy i najważniejsze ryzyka dla realizacji planów. Ale należy podkreślić, że te ryzyka nie są określane przez audyt, a powinny być rezultatem analizy przeprowadzonej w ramach ERM.

Jeżeli nie ma tego procesu wdrożonego (ERM), to audyt powinien sam przeprowadzać przynajmniej raz do roku odpowiednie warsztaty, aby tę lukę zapełnić. Dopiero wtedy plan audytu będzie pokrywać najważniejsze ryzyka i jego realizacje kreować wartość dodaną dla organizacji.