Matryca kontroli wewnętrznej – narzędzie, które robi różnicę

System kontroli wewnętrznej to nie tylko wymóg regulatora. To podstawa bezpieczeństwa działania każdej instytucji finansowej. W praktyce jego skuteczność zależy od tego, czy potrafisz w nim utrzymać porządek, płynnie przekazywać odpowiedzialność i skutecznie monitorować wykonanie zadań. I właśnie tu zaczynają się prawdziwe wyzwania – szczególnie gdy w grę wchodzą setki procesów i pracowników. Jeśli czujesz, że obecne narzędzia zawodzą, a Twoja matryca kontroli wewnętrznej przypomina raczej labirynt niż drogowskaz, to ten tekst jest dla Ciebie. Zacznijmy jednak od podstaw.

Co to jest matryca kontroli wewnętrznej?

Matryca kontroli wewnętrznej to strukturalne zestawienie, które łączy cele kontroli wewnętrznej z procesami istotnymi w organizacji oraz przypisanymi do nich mechanizmami kontrolnymi. Dzięki niej możliwe jest zidentyfikowanie, które procesy są najistotniejsze dla osiągnięcia celów organizacji i jakie mechanizmy kontrolne są w nich zastosowane. W praktyce oznacza to, że organizacja otrzymuje czytelną mapę, w której każde działanie i każdy cel są przypisane do odpowiednich jednostek oraz zabezpieczone poprzez konkretne mechanizmy kontrolne.

Znaczenie matrycy kontroli wewnętrznej w organizacji

Dobrze zaprojektowana matryca staje się swoistym kompasem dla działów audytu, zgodności, ryzyka czy zarządu. Z perspektywy korzyści, jej wdrożenie to przede wszystkim możliwość identyfikacji i ograniczenia luk w mechanizmach kontrolnych, a także lepsze zarządzanie ryzykiem operacyjnym, poprzez ułatwienie oceny ryzyka związanego z poszczególnymi procesami i dostosowanie do niego, w zależności od poziomu, odpowiednich mechanizmów kontrolnych.

Matryca Funkcji Kontroli (MFK)

Rekomendacja H, wydana przez Komisję Nadzoru Finansowego (KNF) to zbiór dobrych praktyk w zakresie systemu kontroli wewnętrznej, które przedstawiają oczekiwania komisji wobec banków. Prezentacja matrycy kontroli wewnętrznej w formie opisanej przez wspomnianą rekomendację buduje Matrycę Funkcji Kontroli (MFK). Ma ona formę tabeli, która zawiera opis powiązania celów (ogólnych jak i szczegółowych) systemu kontroli wewnętrznej z procesami istotnymi funkcjonującymi w banku oraz kluczowymi mechanizmami kontrolnymi i niezależnym monitorowaniem przestrzegania tych mechanizmów kontrolnych. MFK opisuje również poziomy i pionowy sposób weryfikowania i testowania kontroli dla najważniejszych procesów.

System kontroli wewnętrznej powinien być ujęty w ramy modelu trzech linii (dawniej zwany trzema liniami obrony). Jest to funkcjonujący w bankach system zarządzania ryzykiem i kontroli wewnętrznej, składający się z trzech niezależnych poziomów, gdzie:

• na pierwszą linię składa się zarządzanie ryzykiem w działalności operacyjnej banku,
• na drugą linię składa się co najmniej: zarządzanie ryzykiem przez pracowników na specjalnie powoływanych do tego stanowiskach lub w komórkach organizacyjnych (niezależnie od zarządzania ryzykiem na pierwszej linii obrony) oraz działalność komórki do spraw zgodności,
• na trzecią linię składa się działalność komórki audytu wewnętrznego.

Na wszystkich trzech liniach, w ramach systemu zarządzania ryzykiem i systemu kontroli wewnętrznej, pracownicy banku w związku z wykonywaniem obowiązków służbowych, stosują odpowiednie mechanizmy kontrolne lub niezależnie od siebie monitorują ich przestrzeganie.

Weryfikacja bieżąca, jako element niezależnego monitorowania w ramach funkcji kontroli, może być zarówno monitorowaniem poziomym jak i monitorowaniem pionowym. Monitorowanie pionowe to niezależne monitorowanie przez drugą linię obrony (weryfikacja bieżąca lub testowanie) przestrzegania mechanizmów kontrolnych w ramach pierwszej linii obrony. Natomiast monitorowanie poziome to niezależne monitorowanie w ramach danej linii obrony (weryfikacja bieżąca lub testowanie) przestrzegania mechanizmów kontrolnych.

Matryca zapewnia więc jasność co do odpowiedzialności za poszczególne mechanizmy kontrolne czy procesy, a to w prosty sposób przenosi się na wzrost transparentności. A z perspektywy zarządu jest nieocenionym wsparciem w podejmowaniu decyzji – dostarcza bowiem informacji niezbędnych do ich świadomego podejmowania.

Tworzenie matrycy kontroli wewnętrznej

Jest to proces, który wymaga przemyślanego podejścia i dobrej współpracy między działami. Zaczyna się on od dokładnej analizy działalności organizacji, podczas której należy wyodrębnić te procesy, które mają najważniejsze znaczenie dla realizacji celów strategicznych i operacyjnych. To właśnie te procesy powinny znaleźć się w matrycy jako fundament systemu kontroli wewnętrznej.

Następnie należy określić, jakie cele kontroli mają zostać osiągnięte – czy chodzi o zgodność z regulacjami, ograniczanie ryzyka operacyjnego, czy może zapewnienie ciągłości działania. Kiedy cele są już jasno zdefiniowane, kolejnym krokiem jest identyfikacja konkretnych mechanizmów kontrolnych, czyli procedur, działań i narzędzi, które mają zapobiegać, wykrywać i korygować potencjalne nieprawidłowości.

Nie mniej istotne jest przypisanie odpowiedzialności za te mechanizmy – zarówno w ujęciu poziomym (I linia obrony), jak i pionowym (II linia obrony). Na końcu warto zadbać o dokumentację – nie tylko w momencie utworzenia matrycy, ale także później, w ramach regularnej aktualizacji, dostosowanej do zmian w organizacji, otoczeniu prawnym czy profilach ryzyka. Dopiero wtedy można mówić o systemie, który naprawdę działa.

Więcej dowiesz się również w artykule: Jak (i po co) zbudować skuteczny system kontroli wewnętrznej w firmie?

Jak wygląda wdrożenie matrycy kontroli w AdaptiveGRC?

Proces ten zaczyna się od zarządzania procesami w module „Organizacja”, gdzie definiowana jest istotność procesu oraz jego cele ogólne i szczegółowe.

Każdy zdefiniowany proces z przypisanym celem szczegółowym staje się elementem matrycy. Struktura matrycy kontroli wewnętrznej jest przejrzysta – dla każdego celu przypisuje się kluczowy mechanizm kontrolny oraz wskazuje formy jego monitorowania: weryfikację bieżącą i testowanie.

Zasady tworzenia mechanizmów kontrolnych i ich monitorowania

Mechanizmy kontrolne mogą zostać dodane z istniejącej bazy lub stworzone bezpośrednio z poziomu matrycy. Ich opis uwzględnia m.in. jednostkę stosującą, częstotliwość działania oraz osoby zaangażowane w monitoring. Kolejnym etapem jest dodanie weryfikacji i testowania – typów monitorowania, które pozwalają ocenić skuteczność mechanizmów. Monitoring może dotyczyć zarówno bieżącego działania, jak i testów planowanych w ramach iteracji. Zatwierdzone monitoringi są następnie podstawą do tworzenia iteracji testów.

Iteracje testów: od planu do realizacji

Testy kontroli nie są jednorazowym zdarzeniem, lecz procesem cyklicznym. AdaptiveGRC pozwala zaplanować iteracje testów, określając szczegóły takie jak osoba wykonująca, planowane daty czy zakres badania. Użytkownicy mogą tworzyć i realizować testy, rejestrować wyniki, dodawać uwagi, załączniki oraz zgłaszać nieprawidłowości.

System precyzyjnie zarządza statusem iteracji: od „zaplanowanej”, przez „realizowaną”, po „zamkniętą”. W przypadku opóźnień, statusy zmieniają się automatycznie. Co ważne, każda iteracja wiąże się z możliwością rejestrowania nieprawidłowości i działań naprawczych.

Nieprawidłowości i działania naprawcze – od wykrycia do zamknięcia

Wszystkie nieprawidłowości wykryte podczas testów są rejestrowane w module „Jakość”. Tam też trafiają działania naprawcze, które są powiązane z danymi rekordami. Użytkownicy przypisani jako właściciele procesów i akceptujący mają dostęp do pełnego cyklu zarządzania tymi rekordami – od utworzenia, przez weryfikację, po zatwierdzenie i zamknięcie.

System pozwala także śledzić historię zmian oraz generować plany naprawcze, co nie tylko usprawnia zarządzanie, ale też znacząco ułatwia przygotowanie organizacji do audytów lub inspekcji regulatora.

Monitorowanie i przegląd matrycy funkcji kontroli

Skuteczna matryca funkcji kontroli nie kończy się na jej utworzeniu. Kluczem do jej realnej wartości jest regularne monitorowanie i przegląd. Tylko dzięki temu można mieć pewność, że mechanizmy kontrolne pozostają adekwatne do zmieniającej się rzeczywistości operacyjnej i regulacyjnej. W praktyce oznacza to ciągłą ocenę skuteczności poszczególnych mechanizmów – czy naprawdę działają tak, jak zostały zaprojektowane, czy może wymagają korekty.

Niezwykle istotna jest również analiza poziomu ryzyka, który może zmieniać się w zależności od kierunku rozwoju organizacji, wprowadzanych technologii czy zmian rynkowych. Proces monitorowania MFK powinien być wspierany rzetelnym raportowaniem, zarówno do zarządu, jak i do rady nadzorczej. Tak opracowany proces sprawia, że osoby odpowiedzialne za nadzór mogą podejmować decyzje na podstawie aktualnych danych.

Co więcej, każda analiza, każda rekomendacja i każdy test powinny skutkować konkretnymi działaniami – w tym aktualizacją matrycy, tak aby była zawsze zgodna z rzeczywistością. Bez tego staje się ona tylko dokumentem, a nie realnym narzędziem zarządzania ryzykiem i kontrolą wewnętrzną.

Wnioski i rekomendacje

Z punktu widzenia zarządzania ryzykiem i zgodnością, matryca kontroli wewnętrznej to nie tylko techniczne narzędzie, ale element kultury organizacyjnej. Jej wdrożenie i utrzymanie pozwala zapanować nad skomplikowaną strukturą procesów i kontroli, zapewniając jednocześnie zgodność z wymogami prawa, większą efektywność operacyjną oraz możliwość szybkiej reakcji na zmieniające się zagrożenia.

Dla organizacji, które jeszcze nie wdrożyły matrycy kontroli, warto rozważyć jej implementację jako elementu systemu kontroli wewnętrznej. Dla tych, które już ją posiadają, kluczowe jest zapewnienie jej aktualności i skuteczności poprzez regularne przeglądy i dostosowywanie do zmieniających się warunków.

Moduł kontroli wewnętrznej pozwalający na budowanie matrycy kontroli oraz matrycy funkcji kontroli  w AdaptiveGRC umożliwia nie tylko pełne odwzorowanie tego podejścia, ale i jego dynamiczne zarządzanie w czasie. Jeśli chcesz zobaczyć, jak moduł kontroli wewnętrznej  może działać w Twojej organizacji, umów demo.