Skuteczne mechanizmy kontrolne w zarządzaniu ryzykiem

Co to jest mechanizm kontrolny?

Mechanizm kontrolny to konkretne działanie, procedura lub zabezpieczenie, które ogranicza ryzyko i pomaga organizacji realizować jej cele. Nie jest to synonim kontroli wewnętrznej jako całości. Kontrola wewnętrzna to system, a mechanizm kontrolny to jego składnik, osadzony w konkretnym procesie, przypisany do konkretnej osoby i na tyle precyzyjny, że można ocenić, czy działa.

Przykładem może być obowiązkowa weryfikacja faktury przez drugą osobę przed zatwierdzeniem płatności. Taki mechanizm odpowiada na konkretne ryzyko błędu lub nadużycia, działa na poziomie operacyjnym i można sprawdzić, czy jest stosowany. To odróżnia go od ogólnej zasady, że płatności powinny podlegać kontroli.

Mechanizmy kontrolne różnią się zakresem i charakterem, ale każdy skuteczny mechanizm opiera się na tym samym fundamencie. Trzeba wiedzieć, jakie ryzyko ogranicza, kto za niego odpowiada i w jaki sposób można ocenić jego skuteczność. Bez któregokolwiek z tych elementów kontrola nie spełnia swojej funkcji.

Rola mechanizmów kontrolnych w zarządzaniu ryzykiem

Analiza ryzyka bez konkretnej odpowiedzi na jej wyniki niewiele zmienia. Tę odpowiedź przynoszą mechanizmy kontrolne. Przekładają one wnioski z analizy na codzienne działanie organizacji i sprawiają, że ryzyko jest realnie ograniczane, a nie tylko opisane.

Mechanizm kontrolny powinien być połączony bezpośrednio z ryzykiem. Mechanizmy powstają przecież dlatego, że organizacja chce ograniczyć konkretne ryzyko. Jeśli więc tego powiązania nie ma, trudno ocenić, czy mechanizm jest potrzebny i czy spełnia swoją funkcję. Dlatego projektowanie mechanizmów kontrolnych zawsze zaczyna się od pytania o ryzyko, a nie o procedury.

Mechanizmy kontrolne w organizacji działają na poziomie strategicznym, operacyjnym, procesowym i w obszarze IT. Na poziomie strategicznym mogą dotyczyć nadzoru nad realizacją celów biznesowych, na poziomie operacyjnym regulują przebieg konkretnych procesów, a w obszarze IT zabezpieczają systemy i dane. Spójny system kontroli wewnętrznej uwzględnia wszystkie te miejsca i dba o to, żeby mechanizmy w każdym z nich współgrały ze sobą.

Identyfikacja ryzyka jako punkt wyjścia

Nie można zaprojektować skutecznego mechanizmu kontrolnego bez wcześniejszego zrozumienia, przed czym ma on chronić. Identyfikacja ryzyka jest więc warunkiem koniecznym, a nie opcjonalnym etapem poprzedzającym budowę systemu kontroli. Organizacje, które pomijają ten krok, tworzą mechanizmy oderwane od rzeczywistych zagrożeń.

W zarządzaniu ryzykiem rozróżnia się jego dwa poziomy. Ryzyko nieodłączne to zagrożenie istniejące przed zastosowaniem jakichkolwiek mechanizmów kontrolnych. Z kolei ryzyko rezydualne to takie, które pozostaje po ich wdrożeniu. Mechanizm kontrolny powinien zmniejszać lukę między tymi dwoma poziomami. Im lepiej jest on dobrany do charakteru ryzyka, tym skuteczniej tę lukę zamyka.

Punktem wyjścia jest więc rzetelna identyfikacja ryzyka i jego analiza. Ustalamy wtedy, co może pójść nie tak, jak często może się to zdarzyć, gdzie w organizacji dane ryzyko może wystąpić i jakie będą jego konsekwencje. Dopiero na tej podstawie można określić, jakiego rodzaju mechanizm jest potrzebny i gdzie powinien działać.

Rodzaje mechanizmów kontrolnych

Mechanizmy kontrolne dzielą się na trzy grupy według tego, kiedy i jak działają. Jedne zapobiegają wystąpieniu ryzyka, inne wykrywają nieprawidłowości, a jeszcze inne pomagają ograniczyć skutki i przywrócić sytuację do normy. Dobry system kontroli wewnętrznej korzysta ze wszystkich trzech rodzajów mechanizmów, bo żaden z nich nie jest wystarczający w pojedynkę.

Mechanizmy prewencyjne

Takie mechanizmy działają, zanim ryzyko wystąpi. Ich celem jest niedopuszczenie do błędu lub nadużycia, zanim będzie trzeba go naprawiać. Wśród nich można wyróżnić podział obowiązków między różne osoby lub działy, wymogi dotyczące autoryzacji transakcji, ograniczenia dostępu do systemów i danych czy obowiązkowe szkolenia przed dopuszczeniem pracownika do określonych zadań. Mechanizmy prewencyjne stanowią najbardziej pożądany rodzaj kontroli, ponieważ eliminują problem u źródła.

Mechanizmy detekcyjne

One z kolei ujawniają nieprawidłowości, które już wystąpiły. Wartość, jaką niosą, polega na skróceniu czasu między pojawieniem się problemu a jego wykryciem. Im szybciej organizacja go zauważy, tym mniejsze poniesie szkody. Do grupy tych mechanizmów należą uzgadnianie kont, przeglądy raportów finansowych i operacyjnych, alerty systemowe, wyrywkowe kontrole oraz audyty wewnętrzne.

Mechanizmy korygujące

Tę grupę mechanizmów uruchamia się, gdy ryzyko już się zmaterializowało i trzeba ograniczyć jego skutki oraz przywrócić prawidłowy stan. Do mechanizmów korygujących zaliczamy procedury eskalacji, plany naprawcze, działania dyscyplinarne wobec osób odpowiedzialnych za nieprawidłowości, a także aktualizację procedur, jeśli zdarzenie ujawniło braki w dotychczasowym systemie kontroli.

Sama liczba posiadanych mechanizmów nie decyduje o skuteczności systemu działań kontrolnych firmy. Ważniejsze jest to, żeby każde istotne ryzyko miało przypisany mechanizm właściwego typu i żeby te mechanizmy były ze sobą spójne.

Jak zbudować skuteczny mechanizm kontrolny?

Zaprojektowanie mechanizmu kontrolnego, który rzeczywiście działa, wymaga przejścia przez kilka etapów w określonej kolejności. Pominięcie któregokolwiek z nich sprawia, że kontrola może być niekompletna lub niedostosowana do rzeczywistego zagrożenia.

Pierwszy krok to precyzyjne określenie ryzyka, na które mechanizm ma odpowiadać. Nie wystarczy ogólne stwierdzenie, że istnieje ryzyko błędu lub nadużycia. Trzeba wiedzieć, gdzie dokładnie w organizacji może ono wystąpić, kto jest na nie narażony i jakie mogą być jego konsekwencje.

Kolejny etap to wybór odpowiedniego typu mechanizmu. W zależności od charakteru ryzyka może być potrzebna kontrola prewencyjna, detekcyjna lub korygująca. Czasem jedno ryzyko wymaga kilku mechanizmów jednocześnie, działających na różnych poziomach organizacji.

Następnie trzeba wskazać osobę odpowiedzialną za stosowanie mechanizmu. Bez tego nawet dobrze zaprojektowana kontrola pozostaje martwa. Osoba odpowiedzialna powinna mieć realny wpływ na proces, którego mechanizm dotyczy, i wiedzieć, czego się od niej oczekuje.

Kolejny krok to udokumentowanie mechanizmu w procedurach, rejestrze ryzyka lub matrycy kontroli. Dokumentacja nie jest tylko formalnością, lecz warunkiem skutecznego stosowania i późniejszej weryfikacji mechanizmu.

Ostatni etap to zaplanowanie sposobu oceny skuteczności kontroli. Trzeba z góry ustalić, jak często mechanizm będzie testowany, kto będzie to robił i jakie wyniki świadczą o tym, że działa prawidłowo. Bez tych ustaleń nie można właściwie ocenić, czy system działań kontrolnych spełnia swoją rolę, ani wskazać miejsc do poprawy.

Odpowiedzialność za mechanizmy kontrolne

Odpowiedzialność za mechanizmy kontrolne musi być przypisana do konkretnych osób, nie do działów ani zespołów. Rozmyta odpowiedzialność w praktyce oznacza jej brak. Ktoś musi nadzorować działanie mechanizmu i reagować w razie problemów.

Za poszczególne mechanizmy kontrolne odpowiadają najczęściej kierownicy jednostek lub właściciele procesów, w których dany mechanizm funkcjonuje. To oni najlepiej rozumieją specyfikę danego obszaru i mają  na niego realny wpływ.

Warto też odróżnić osobę stosującą mechanizm od osoby nadzorującej jego skuteczność. Pracownik, który wykonuje czynność kontrolną, i kierownik, który weryfikuje, czy jest ona wykonywana prawidłowo, pełnią różne, ale potrzebne funkcje.

W organizacjach podlegających regulacjom zewnętrznym odpowiedzialność za mechanizmy kontrolne wiąże się bezpośrednio z wymogami compliance, czyli zgodności. Zarządzanie zgodnością wymaga nie tylko posiadania odpowiednich mechanizmów, ale też udowodnienia, że one działają i że ktoś za nie odpowiada. Brak jasno przypisanej odpowiedzialności to jeden z najczęściej wskazywanych przez audytorów problemów w systemach kontroli wewnętrznej.

Dokumentowanie i monitorowanie mechanizmów kontrolnych

Co powinna zawierać dokumentacja?

Mechanizm zapisany tylko w codziennej praktyce jest trudny do sprawdzenia i podatny na stopniowe zmiany, których nikt nie śledzi. Dlatego każdy mechanizm kontrolny powinien być opisany w procedurach operacyjnych, rejestrze ryzyka lub matrycy kontroli.

Dokumentacja mechanizmu powinna odpowiadać na kilka podstawowych pytań:

• Jaki jest cel mechanizmu?
• Na jakie ryzyko odpowiada?
• Kto jest za niego odpowiedzialny?
• Jak często jest stosowany?
• W jaki sposób można sprawdzić, czy działa?

Matryca kontroli zestawia te informacje w jednym miejscu dla wszystkich mechanizmów w organizacji, co ułatwia zarówno codzienne stosowanie, jak i późniejsze przeglądy oraz testy.

Jak weryfikować skuteczność mechanizmów?

Monitoring kontroli to systematyczne sprawdzanie, czy mechanizmy są stosowane i czy przynoszą oczekiwane rezultaty. Organizacje korzystają w tym celu z kilku uzupełniających się narzędzi:

• Testy kontroli
  Weryfikują one, czy mechanizm działa zgodnie z założeniami. Mogą być wyrywkowe lub obejmować wszystkie przypadki w danym okresie.
• Wskaźniki efektywności
  Pozwalają śledzić skuteczność kontroli w czasie i wychwytywać odchylenia, zanim staną się problemem.
• Oceny kierownictwa
  Dają szersze spojrzenie na cały system mechanizmów i pozwalają sprawdzić, czy odpowiada on aktualnym ryzykom organizacji.
• Audyt i kontrola wewnętrzna
  Zapewniają niezależną ocenę systemu, wskazują luki i rekomendują zmiany.

Wyniki monitorowania powinny prowadzić do konkretnych działań, np. aktualizacji mechanizmów, zmiany odpowiedzialności lub rewizji oceny ryzyka. Jeśli monitoring nie skutkuje żadnymi zmianami, znaczy to albo, że system działa bez zarzutu, albo że wyniki nie są traktowane poważnie.

Częste błędy, czyli gdzie mogą zawieść mechanizmy kontrolne

Projektowanie mechanizmów kontrolnych wygląda prosto w teorii. Praktyka pokazuje jednak, że te same błędy pojawiają się w organizacjach niezależnie od ich wielkości i branży.

Mechanizm bez powiązania z ryzykiem

Organizacja wprowadza kontrolę, bo tak trzeba albo bo wymaga tego zewnętrzny audyt, a nie dlatego, że zidentyfikowała zagrożenie, na które ten mechanizm odpowiada. Taki mechanizm generuje koszty, ale nie ogranicza ryzyka.

Brak osoby odpowiedzialnej

Mechanizm przypisany do działu, a nie do konkretnej osoby, nie ma właściciela. Nikt nie czuje się zobowiązany do jego stosowania ani do reakcji, gdy coś idzie nie tak.

Kontrola tylko na papierze

Procedura istnieje, ale nikt jej nie testuje ani nie weryfikuje, czy przynosi efekty. Zapewnienie zgodności (compliance) wymaga nie tylko posiadania mechanizmów, ale też dowodów, że działają. Organizacje, które o tym zapominają, dowiadują się o problemach dopiero podczas zewnętrznego audytu.

Nadmiar mechanizmów bez oceny ich wartości

Dublowanie kontroli w tym samym obszarze pochłania zasoby i utrudnia monitoring kontroli, zamiast poprawiać bezpieczeństwo. Lepiej mieć mniej mechanizmów, ale dobrze dobranych i regularnie weryfikowanych, niż wiele takich, których nikt nie sprawdza.

Kilka zasad, o których warto pamiętać

Skuteczna kontrola wewnętrzna nie zależy od liczby wdrożonych mechanizmów ani obszerności procedur. Organizacje, które to rozumieją, zaczynają od rozpoznania ryzyka, a nie od tworzenia dokumentacji. Dbają też o to, żeby za każdym mechanizmem stała konkretna osoba, a odpowiedzialność się nie rozmywała. Bez tych dwóch warunków nawet rozbudowany system kontroli nie daje pewności, że organizacja jest rzeczywiście chroniona.

Najczęściej zadawane pytania