Podstawy zarządzania ryzykiem

Podstawy

Ryzyko

Ryzyko to możliwość odchylenia się rzeczywistego rozwoju od planowanego celu lub oczekiwanego wyniku. Jest ono opisane za pomocą dwóch wymiarów: prawdopodobieństwa wystąpienia zdarzenia oraz stopnia jego wpływu. W rozumieniu ekonomicznym termin ten obejmuje także pozytywne odchylenia – szanse są ryzykami o odwrotnym znaczeniu.

Ograniczenie: ryzyko, przyczyna, wpływ

W praktyce trzy poziomy są regularnie mieszane, co sprawia, że późniejsze oceny stają się bezużyteczne. Przyczyna jest wyzwalaczem („wypadek jednego dostawcy"), który Ryzyko wydarzenie („przerwę w produkcji trwającą ponad dwa tygodnie"), które Wpływ konsekwencja („strata przychodów w wysokości 3 do 8 milionów euro, kary umowne"). Tylko jeśli te trzy poziomy zostaną zdefiniowane oddzielnie, możliwe będzie właściwe zdefiniowanie środków: środki zapobiegawcze dotyczyć będą przyczyny, środki łagodzące – skutku.

W przypadku każdego konkretnego celu zawsze istnieje ryzyko. Bez definicji celu – wyniku, płynności, zdolności dostaw, reputacji, przestrzegania przepisów – nie istnieje żadne kryterium dla odchylenia i tym samym nie istnieje żadne możliwe do oceny ryzyko. Dlatego każda identyfikacja ryzyka zaczyna się od pytania, jakie cele mogą zostać zagrożone.

Podsumowanie rodzajów ryzyka

Poprawnie opisuj ryzyka

Jakość wyceny ryzyka zależy od jej opracowania. Bezcelowe są takie hasła jak „ludzki niedobór umiejętności" lub „digitalizacja" – opisują one temat, a nie wykonalne zdarzenie. Można uznać opis za wiarygodny, jeśli zawiera przyczynę, zdarzenie, docelowy obiekt i mechanizm działania, co pozwala każdemu z uczestników zrozumieć jego znaczenie.

• Nieprzydatne: „Ryzyko bezpieczeństwa IT"
• Wystarczające: „Wirusowe szyfrowanie systemów produkcyjnych prowadzi do przestoju pracowniczego od 5 do 15 dni roboczych z stratami w wysokości premii i karami umownymi"

Praca

Kilka pól obowiązkowych okazało się przydatne do rejestrowania w systemie: nazwa ryzyka, przyczyna, dotknięty cel, kategoria, specyfika ryzyka, ocena brutto i netto, powiązane działania oraz data ostatniej aktualizacji. Wszystko pozostałe jest opcjonalne – dodatkowe pola obowiązkowe, według doświadczeń, obniżają aktywność służb w zakresie zgłaszania zdarzeń, nie zwiększając jednak ich wiarygodności.

Patrz także: Zarządzanie ryzykiem · Risikomatrix · Agregacja ryzyka

Podstawy

Zarządzanie ryzykiem

Zarządzanie ryzykiem to systematyczny i powtarzający się sposób postępowania z ryzykiem: identyfikacja, analiza, ocena, kontrola, monitorowanie i raportowanie. Celem nie jest unikanie każdego ryzyka, lecz świadome podejmowanie ryzyka w granicach własnych możliwości finansowych – co stanowi solidną podstawę dla decyzji biznesowych.

Cel: Podstawa decyzji zamiast obowiązkowego ćwiczenia

Cel zarządzania ryzykiem nie leży w dokumentowaniu, lecz w lepszych decyzjach. Ten, kto zna zakres możliwych wyników, może dostosować inwestycje, struktury finansowe, warunki umowy i zabezpieczenia do nich. Firma z wiarygodną ilościowaniem ryzyka może argumentować przed bankami i inwestorami, dlaczego planowana strategia jest możliwa do realizacji – a to przejawia się w ratingach i kosztach finansowania.

Drugim korzyścią jest korzyść prawna: w przypadku sporu dyrektorzy muszą udowodnić, że podjęli decyzję na podstawie odpowiednich informacji. Dokumentowany proces zarządzania ryzykiem stanowi w tym przypadku kluczowe dowództwo.

Cykl regulacyjny

Ramy prawne w regionie DACH

Stopnie zużycia opon w praktyce

Istnieją kilka poziomów rozwoju między listą programu Excel a systemem istotnym dla celów podatkowych. Klasyfikacja ta pomaga określić kolejny sensowny krok zamiast starać się zrobić wszystko naraz.

1. Dokumentując: Ryzyka są gromadzone co roku w formie listy, najczęściej tuż przed egzaminem końcowym. Nie mają wpływu na decyzje.
2. Strukturalnie: Jednolite kategorie, skaly oceny i atrybuty ryzyka; regularne gromadzenie danych; działania są monitorowane.
3. Wykazano: Ryzyka są oceniane i agregowane w zakresie przepustowości; ogólna pozycja ryzyka jest porównywana z możliwościami finansowania ryzyka.
4. Zintegrowane: Dane dotyczące ryzyka są uwzględniane w planowaniu, rozliczeniach inwestycyjnych oraz porozumieniach dotyczących celów; szanse są traktowane równorzędnie.

Typowe błędy

• Co raz do roku pobierają: Inwentarz sporządzany wyłącznie w dniu sprawozdawczym nie przedstawia aktualnej sytuacji ryzyka i nie spełnia wymogu bieżącego monitorowania.
• Wystarczy identyfikować znane zagrożenia: Warsztaty regularnie reprodukują zdarzenia nieszczęśliwe z przeszłości. Strategiczne i zewnętrzne ryzyka wówczas całkowicie znikają.
• Ocena w klasach: „Wysoki" i „średni" nie można dodać – bez ilościowej oceny nie jest możliwa agregacja.
• Działania bez monitorowania: Jeśli wdrożenie nie będzie kontrolowane, zarządzanie ryzykiem pozostanie jedynie deklaracją intencji.
• Zarządzanie ryzykiem jako zadanie sztabowe: Odpowiedzialny jest dział jako posiadacz ryzyka, a nie centralna jednostka.

Wprowadzenie w ciągu 12 miesięcy

Najczęstszym powodem nieudanych wprowadzania jest próba zrealizowania wszystkiego naraz. Wykazano, że najlepszym rozwiązaniem jest kolejność, w której każdy krok przynosi użyteczny rezultat pośredni.

Kto już prowadzi planowanie z scenariuszami, może znacznie skrócić fazy trzy i cztery: wówczas już istnieją zakresy tolerancji i jedynie należy je przyporządkować ryzykom.

Korzyści ekonomiczne poza obowiązkami

• Finansowanie: Kto kwantyfikuje swoje ryzyko, negocjuje z bankami na podstawie faktów, a nie podawania dodatkowych opłat za zabezpieczenie.
• Decyzje inwestycyjne: Projekty można porównywać w sposób dostosowany do ryzyka, zamiast jedynie w oparciu o oczekiwania dotyczące zysków.
• Ubezpieczenia: Suma własna i kwoty pokrycia można optymalizować w oparciu o rzeczywistą sytuację.
• Jakość planowania: Dyskusja na temat przepustowości prowadzi do nierealnych prognoz dotyczących wydatków, zanim trafią one do budżetu.
• Ochrona przed odpowiedzialnością: Dokumentowane podstawy decyzji są najważniejszym dowodem w sprawie spornej.

Często zadawane pytania

Patrz także: System zarządzania ryzykiem · Proces zarządzania ryzykiem · Model Three Lines

Podstawy

System zarządzania ryzykiem (RMS)

System zarządzania ryzykiem obejmuje wszystkie procedury, procesy, role, metody i narzędzia, za pomocą których przedsiębiorstwo rozpoznaje, ocenia, kontroluje i monitoruje ryzyka. Jest to struktura organizacyjna, w której przebiega proces zarządzania ryzykiem – a sprawdzanie przez biegłych rewidentów i rad nadzorczych jego adekwatności i skuteczności stanowi jej przedmiot.

Składniki RMS

Standard identyfikacji ryzyka IDW PS 981 podziela system zarządzania ryzykiem na podstawowe elementy. Są one jednocześnie użyteczną listą kontrolną dla własnego opracowania: każdy element musi być dokumentowany, przydzielony i realizowany.

Przeanalizowanie systemu

Istnieją dwie poziomy: Właściwość ocenia, czy system w swojej koncepcji jest odpowiedni do osiągnięcia wyznaczonych celów. Skuteczność ocenia się, czy w rzeczywistości w danym okresie tak się to prowadziło. System dobrze udokumentowany, ale nie stosowany, jest odpowiedni, ale jednocześnie nieskuteczny – częsty wynik badań wstecznych.

W przypadku spółek akcyjnych biegły rewident obowiązkowo ocenia system wykrywania zagrożeń zgodnie z § 317 ust. 4 HGB. W pozostałych przypadkach badania są dokonywane dobrowolnie, często na wniosek rady nadzorczej lub w ramach transakcji.

Budowa w ośmietrach

1. Wyciągać strategie ryzyka i apetyt na ryzyko z strategii biznesowej oraz przekazywać je kierownictwu do zatwierdzenia
2. Definowanie ról: osoby odpowiedzialne za ryzyko w działach specjalistycznych, koordynacja centralna, odbiorcy raportów
3. Definowanie jednolitych kategorii i skal wyznaczania oceny oraz ich obowiązkowe wprowadzenie do podręcznika bezpieczeństwa
4. Zgromadzenie informacji wstępnych dotyczących warsztatów i wywiadów w poszczególnych obszarach
5. Ocena w zakresie przepustowości zamiast klas, aby umożliwić agregację
6. Stworzenie modelu agregacji i porównanie zdolności do pokrycia ryzyka
7. Zapisuj i monitoruj działania wraz z terminami dla odpowiedzialnych osób
8. Definować formaty raportów i wartości progowych alarmowych, a następnie uruchomić proces rejestrowania

Odłączenie od wewnętrznego systemu kontroli

RMS rozpoznaje i ocenia ryzyka, a IKS ogranicza je poprzez kontrole w procesie. Obaj wzajemnie się uzupełniają: skuteczność kontroli stanowi właśnie różnicę między ryzykiem brutto i ryzykiem netto. Jeśli RMS i IKS zostaną skonstruowane oddzielnie, powstanie dwukrotne gromadzenie danych i sprzeczne twierdzenia wobec rady nadzorczej i audytora.

Patrz także: System kontroli wewnętrznej · Agregacja ryzyka · Zarządzanie ryzykiem

Podstawy

Proces zarządzania ryzykiem

Proces zarządzania ryzykiem to powtarzający się cykl składający się z identyfikacji, analizy, oceny, sterowania oraz monitorowania i raportowania. ISO 31000 uzupełnia go elementami komunikacji i konsultacji, a także określeniem zakresu zastosowania na początku każdego etapu.

Fazy w szczegółach

Cykliczność i bodźce związane z okolicznościami

Jednorazowy przegląd roczny nie wystarcza do spełnienia wymogu stałego monitorowania. Wykazem skuteczności jest połączenie corocznej pełnej analizy danych, kwartalnej aktualizacji istotnych ryzyk oraz zdefiniowanych ad-hoc wyzwalaczy. Jako wyzwalacze zazwyczaj uznaje się przekroczenie wskaźnika ostrzegawczego, wystąpienie istotnej szkody, akwizycję lub wejście na rynek, nowe wymagania regulacyjne oraz utratę klienta lub kluczowego dostawcy.

Rola w każdej fazie

• Właściciel ryzyka: identyfikuje, ocenia i kontroluje ryzyka w swoim obszarze odpowiedzialności oraz podejmuje działania w tym zakresie.
• Centralne zarządzanie ryzykiem: prezentuje metodologię i skalę, konsoliduje, agreguje, upraszczają i raportuje.
• Kierownictwo: odpowiada za apetyt na ryzyko, podstawowe działania oraz podejmowanie pozostałych ryzykow w procesie zarządzania ryzykiem.
• Organ nadzorczy: monitoruje skuteczność systemu oraz kwestionuje metodologię i ogólną pozycję ryzyka.
• Revizja wewnętrzna: niezależnie sprawdza, czy proces przebiega zgodnie z opisem.

Patrz także: Zarządzanie ryzykiem · Model Three Lines

Podstawy

Risikomatrix (mapa ciepła)

Rizikomatrix przedstawia ryzyka w formie wykresu, w którym podane są prawdopodobieństwo wystąpienia i skala szkody oraz pozwala wgląd w priorytety działań. Zwykle stosuje się wykresy 4×4 lub 5×5 z barwami sygnalizacyjnymi. Jest to narzędzie komunikacyjne – do oceny zagrożeń dla środowiska naturalnego nie wystarcza ono w sposób metodyczny.

Budowa

Osie nie są dowolne: wpływ jest definiowany w jednostkach pieniężnych, przy uwzględnieniu prawdopodobieństwa w odniesieniu do jednorodnej okresu referencyjnego – zwykle roku obrotowego. Bez tych ustaleni obszary oceny oceniają w różnorodny sposób, a matryca porównuje niesamowite z niesamowitym.

Definowanie skal

Prógki należy wyznaczać indywidualnie dla każdego przedsiębiorstwa w oparciu o wskaźniki wyniku i kapitału własnego. Jako orientacyjny punkt często służy to, że najwyższy poziom zakłada ryzyko zagrożenia wystąpieniem zagrożenia dla aktywów – dzięki temu macierz jest spójna z możliwościami pokrycia ryzyka.

Granice przedstawiania

• Nie można dokonać dodawania: Klasy są skalowane zgodnie z kolejnością. Dwadzieścia zagrożeń w żółtej strefie może w sumie stanowić zagrożenie dla egzystencji bez konieczności wyświetlania ich w matricy.
• Pętla oczekiwań: Rzadkie ryzyko o ekstremalnej wartości szkody trafia do tej samej komory co częste ryzyko o niskiej wartości szkody – konsekwencja tego zarządzania jest całkowicie inna.
• Dokładność skanowania: Pozycjonowanie sugeruje precyzję, ale opiera się na klasyfikacji grup według szerokich przedziałów.
• Relacje niewidoczne: Ryzyka, które występują wspólnie, wydają się być osobno odrębnymi punktami.

Risk matrix pozostaje wartościowym formatem komunikacji dla organów zarządzających. Aby móc ją wykorzystać do oceny zgodnie z IDW PS 340 n.F., należy jednak uzupełnić ją o ilościową agregację – nie zastępuje ona jej.

Często zadawane pytania

Patrz także: Ocena ryzyka · Agregacja ryzyka · Ryzyko

Podstawy

Model Three Lines

Model trzech linii Instytutu Audytorów Wewnętrznych dzieli obowiązki na trzy poziomy: obszary operacyjne, funkcje nadzorcze takie jak zarządzanie ryzykiem i zgodność z przepisami, oraz niezależną rewizję wewnętrzną. Odpowiada on na pytanie, kto podejmuje ryzyko, kto wyznacza ramy i kto niezależnie sprawdza oba te aspekty.

Model

Trzy linie

Dyrektor generalny firmy pierwsza linia objęwa wszystkie obszary, w których w codziennej działalności występują ryzyka: sprzedaż, produkcja, zakup, IT. Jest odpowiedzialna za ryzyka w swoim obszarze odpowiedzialności i przeprowadza kontrole. druga linia prezentuje metodologię, skalę i ramy, wspiera pierwszą linię fachową i monitoruje przestrzeganie tych ram – bez ponoszenia odpowiedzialności. trzecia linia niezależnie sprawdza, czy pierwsze dwie linie działają skutecznie, i składa sprawozdanie bezpośrednio kierownictwu i organowi nadzorczemu.

Dawna nazwa „Three Lines of Defense" została w 2020 roku świadomie zmieniona. Termin „obrona” wywierał wrażenie, że zarządzanie ryzykiem to wyłącznie obrona; zaktualizowane rozwiązanie podkreśla w zamian wkład w tworzenie wartości i osiąganie celów przedsiębiorstwa.

Typowe błędy konstrukcyjne

• Mieszanie linii: Jeśli druga linia sam ocenia ryzyka i wdraża środki, przejmuje ona odpowiedzialność za pierwszą linię – i nie może już jej monitorować.
• Revidowanie bez niezależności: Jeśli wewnętrzna rewizja informuje obszar, który bada, to trzecia linia faktycznie nie istnieje.
• Pusty drugi rząd: Funkcja zgodności bez zasobów i uprawnień do podejmowania decyzji generuje dokumentację, ale nie przynosi żadnych efektów.
• Przesładowana druga linia: Funkcje współpracujące równolegle w zakresie ryzyka, zgodności, IT, ochrony danych osobowych i bezpieczeństwa informacji przetwarzają te same procesy wielokrotnie – stanowi to punkt wyjścia dla zintegrowanego GRC.

Patrz także: System kontroli wewnętrznej · System zarządzania zgodnością · System zarządzania ryzykiem

Podstawy

Strategia ryzyka

Strategia ryzyka opiera się na strategii przedsiębiorstwa i określa, jakie ryzyka przedsiębiorstwo świadomie podejmuje, jakie ogranicza i które unika. Zdefiniowuje ona apetyt na ryzyko w granicach każdej kategorii ryzyka oraz stanowi miarę, w jakiej ocenia się decyzje operacyjne.

Co wchodzi w skład

• Wyciągnięcie wniosków z strategii przedsiębiorstwa: jakie cele należy chronić?
• Chęć ryzyka w każdej kategorii, najlepiej w formie ilościowej
• Granice i wartości progowe, których przekroczenie skutkuje eskalacją sytuacji
• Decyzje zasadnicze dotyczące przenoszenia ryzyka: strategia ubezpieczeniowa, zabezpieczenie własne, klauzule umowne
• Świadomie akceptowanie ryzyka z uzasadnieniem – to ta część, która ma znaczenie w przypadku odpowiedzialności cywilnej

Praca

Strategia ryzyka, która zawiera jedynie ogólne sformułowania („Postępujemy odpowiedzialnie wobec ryzyka"), nie spełnia swojego celu. Tylko dzięki liczbowym danych staje się opłacalna: maksymalnie dopuszczalna zmienność wyników, minimalna rezerwa płynności, górna granica ryzyka klonów u klientów i dostawców. Strategia ta jest zatwierdzana przez organ zarządzający i jest co najmniej raz w roku sprawdzana.

Patrz także: Poczucie ryzyka · Wiarygodność finansowa · Polityka ryzyka

Podstawy

Polityka ryzyka i podręcznik ryzyka

Polityka ryzyka określa wiążące zasady postępowania w przypadku ryzyka. Zazwyczaj jest ona dokumentowana w formie podręcznika ryzyka i stanowi prawną podstawę, na której oceniający sprawozdania finansowe oraz radny ds. nadzoru opierają swoją ocenę systemu zarządzania ryzykiem.

Treść podręcznika bezpieczeństwa ryzyka

Przewodnik powinien być krótki i łatwy w użyciu. Pięćdziesiąt stron, których nikt nie czyta, zapewniają mniej bezpieczeństwa niż piętnastka stron, nad którymi faktycznie pracuje się.

Patrz także: Strategia ryzyka · System zarządzania ryzykiem

Podstawy

Kultura ryzyka

Kultura ryzyka opisuje wartości i wzorce zachowań w podejmowaniu ryzyka – czy to poprzez otwarcie się na złe wiadomości, czy też poprzez powstrzymywanie się przed podjęciem działań ze strachu przed konsekwencjami. Decyduje ona o jakości identyfikacji ryzyka, a tym samym o wartości całego systemu.

Jak je rozpoznać

• Jak reaguje kierownictwo, gdy ktoś zgłasza nieprzyjemne ryzyko?
• Czy cele zostaną wyznaczone w taki sposób, że osiągnięcie ich będzie możliwe jedynie z naruszeniem przepisów?
• Czy powstałe szkody zostaną naprawione lub zindywidualizowane?
• Czy dyskusje dotyczące ryzyka są częścią dokumentów decyzyjnych, czy są to procesem oddzielnym?

Technicznie zaawansowany system dostarcza bezwartościowych danych, jeśli pracownicy nie zgłaszają negatywnych sytuacji. Dlatego klucz do sukcesu często leży nie w metodologii, ale w zachowaniu pierwszych dwóch poziomów zarządzania.

Patrz także: System zarządzania zgodnością · Identyfikacja ryzyka

Podstawy

Poczucie ryzyka

Chęć ryzykowania wyraża, jak wiele ryzyka przedsiębiorstwo chce świadomie podjąć w celu osiągnięcia swoich celów. Jest to strategiczne ustalenie przez organ zarządzający i powinno być formułowane w sposób kwantyfikowalny – jako maksymalnie dopuszczalna zmienność wyników, jako limit dla każdej kategorii lub jako minimalny odstęp od zagrożenia dla stanu rzeczy.

Przykłady formułowania

Patrz także: Tolerancja ryzyka · Strategia ryzyka

Podstawy

Wiarygodność finansowa

Wartość ryzyka wskazuje, jak duży poziom ryzyka przedsiębiorstwo może znieść samodzielnie, bez narażania własnych aktywów. Porównanie ogólnego ryzyka i wartości ryzyka pozwala ocenić ryzyko związane z daną strukturą przedsiębiorstwa w rozumieniu IDW PS 340 n.F.

Śledztwo

W przypadku oceny należy pamiętać, że jeśli łączny poziom ryzyka przekracza potencjał pokrycia ryzyka w wybranym poziomie wiarygodności, istnieje ryzyko zagrożenia stabilności finansowej – z natychmiastową koniecznością podjęcia działań przez kierownictwo.

Praktyczne wdrożenie

Do oceny uwzględniane są dwa aspekty: krótko- i średnioterminowe. Krótko-terminowo chodzi o płynność: jakie środki są dostępne w ciągu kilku tygodni, aby złagodzić skutki zdarzenia? Średnio-terminowo chodzi o kapitał własny: jakie straty może znieść bilans bez naruszenia klauzul zastępczych lub zagrożenia ratingiem.

Obaj horyzonty są porównywani pod względem ogólnego ryzyka. Wynikem jest jeden z niewielu wskaźników, który interesuje zarówno menedżment, radę nadzorczą jak i banki – oraz podstawę do podjęcia decyzji, czy ryzyka należy ograniczyć, przenieść lub zabezpieczyć poprzez dodatkowe rezerwy.

Patrz także: Wielkość potencjału pokrycia ryzyka · Zagrożona populacja · Agregacja ryzyka

Podstawy

Tolerancja ryzyka

Tolerancja ryzyka określa dopuszczalny zakres wokół apetytu na ryzyko – od kiedy przekroczenie tego poziomu jest jeszcze akceptowalne, a od kiedy musi dojść do eskalacji. Podczas gdy apetyt na ryzyko jest strategicznie formułowany, tolerancja jest operacyjna: wyrażana jest w granicach, progowych wartościach i prógach sygnalizacyjnych.

W praktyce oba terminy są często używane jako synonimy. Rozróżnienie jest jednak przydatne: apetyt określa, jak duże ryzyko jest dozwolone, a tolerancja – jaką odstępstwo w codziennej działalności bez eskalacji jest dozwolone. Bez zdefiniowanej tolerancji każde przekroczenie granicy kończy się albo specjalnym posiedzeniem, albo bezczynnością.

Patrz także: Poczucie ryzyka · Indykator wczesnego ostrzegania

Podstawy

Akcesoria zabezpieczające

Zarządzanie ryzykiem to zorganizowana podsumowanie wszystkich zidentyfikowanych zagrożeń, podzielone według kategorii i jednostek organizacyjnych. Jest to rezultat identyfikacji ryzyka i punkt wyjścia do oceny, zarządzania i agregacji.

Charakterystyki jakościowe

• Pełen zakres: obsługuje wszystkie istotne obszary działalności i rodzaje ryzyka, w tym ryzyka strategicznego i zewnętrzne ryzyko
• Wolność od nakładania się: to samo ryzyko nie pojawia się w trzech różnych obszarach o różnych nazwach
• Wystarczająca granulacja: 40 do 120 zagrożeń jest powszechne w strukturach średniej wielkości; 400 pojedynczych zagrożeń nie jest już możliwe do kontrolowania
• Aktualność: Każde ryzyko ma datę ostatniej oceny ryzyka

Opieka przez cały czas

Inwentarz traci swoją wartość szybciej niż się go tworzy. Obecnie istnieją dwie mechanizmy: regularne potwierdzanie przez właścicieli ryzyka, w wyniku którego każdy ryzyk jest potwierdzany, zmieniany lub zamykany z uzasadnieniem, oraz ad hoc uzupełnianie w przypadku nowych obszarów działalności, przejęć lub zmian regulacyjnych.

Tak samo ważne jak dodawanie jest jej zamknięcie: ryzyka, które przestały istnieć, należy udokumentować jako zakończone, a nie bezwiednie usunięte. Historia zamkniętych ryzyk jest jednym z niewielu źródeł, z których można czerpać doświadczenia do późniejszego oceny ryzyka.

Patrz także: Rejestr ryzyka · Kategorie ryzyka

Podstawy

Rejestr ryzyka

Register ryzyka stanowi operacyjną bazę danych zarządzania ryzykiem. W odniesieniu do każdego ryzyka podaje się opis, przyczynę, kategorię, cechy ryzyka, ocenę, działania oraz stan – jest to zatem narzędzie pracy, podczas gdy rejestr ryzyka przedstawia ogólny obraz sytuacji.

Kategorie danych

Sklepy oparte na programie Excel typowo występują w trzech sytuacjach: konflikty wariantów podczas równoczesnego przetwarzania, brak historii zmian oceny oraz brak oddzielenia obszarów w ramach jednej struktury.

Patrz także: Ścieżka audytowa · Akcesoria zabezpieczające

Podstawy

Identyfikacja ryzyka

Identyfikacja ryzyka jest pierwszym krokiem w cyklu regulacyjnym i ma na celu jak najpełniejsze zidentyfikowanie wszystkich istotnych zagrożeń. Jakość tej procedury określa wszystko inne: nieidentyfikowane ryzyko nie jest oceniane, nie jest monitorowane ani raportowane.

Metody w porównaniu

Najczęstszy błąd

Warsztaty reprodukują zdarzenia nieszczęśliwe z przeszłości. Strategiczne ryzyka – model biznesowy, zmiany technologiczne, regulacja, zależności – wówczas całkowicie znikają, chociaż mają one największy wpływ. Wartością uzupełniającą jest zorganizowany proces przebiegający wzdłuż łańcucha wartości dodanej, interesariuszy i celów, uzupełniony świadomym zastanowieniem się nad tym, co w zasadzie mogłoby zagrozić modelowi biznesowemu.

Źródła, które często są pomijane

• Protokoły ze spotkań zarządu i rady nadzorczej – tam już sformułowano strategiczne kwestie
• Dane dotyczące reklamacji, gwarancji i łagodności w ramach zarządzania jakością
• Sprawozdania audytowe, ustalenia certyfikacyjne i listy kontrolne biegłego rewidenta
• Umowy ubezpieczeniowe: ryzyko zostało już zidentyfikowane jako to, co zostało ubezpieczone
• Klausule umowne z gwarancjami odszkodowawczymi, karami i dostępnością
• Informacje z systemu zgłaszania incydentów i zarządzania incydentami

Według doświadczenia, przejazd przez te sześć źródeł dostarcza jedną trzecią późniejszego materiału, zanim odbędzie się pierwszy warsztat – i zapobiega sytuacji, w której materiał prezentowany będzie jedynie tym, co uczestnicy zastanowili się podczas dnia warsztatowego.

Patrz także: Akcesoria zabezpieczające · Metoda Delphi

Podstawy

Analiza ryzyka

W analizie ryzyka badane są przyczyny, powiązania przyczynowo-skutkowe oraz możliwe konsekwencje ryzyka. Analiza ta odpowiada na pytanie, w jaki sposób ryzyko powstaje, jak się rozprzestrzenia oraz jak wysokie szkody są realistyczne w poszczególnych scenariuszach – co stanowi podstawę do oceny i wyboru środków.

Definowanie głębokości analizy

Nie każde ryzyko wymaga dogłębnej analizy. Wykazuje się skutecznością systematycznego podejścia: ryzyka o potencjalnie zagrożeniu dla stanu rzeczy są badane za pomocą formalnych metod – drzewa ryzyka, Bow-Tie, FMEA – ryzyka o średnim znaczeniu przez strukturyzowaną ocenę ekspertów, a ryzyka dodatkowe są klasyfikowane wyłącznie jakościowo.

Patrz także: Analiza wiązek wąsów · FMEA · Ocena ryzyka

Podstawy

Kontrola ryzyka

Monitorowanie ryzyka obejmuje wszelkie działania mające na celu jego kontrolę. Klasycznie wyróżnia się cztery strategie: unikanie ryzyka, jego ograniczenie, jego przeniesienie oraz ponoszenie ryzyka przez samego podmiotu. Każde z tych działań wymaga posiadania odpowiedniego odpowiedzialnego, terminu i kontroli skuteczności.

Cztery strategie

Świadoma podawanie się w stan zagrożenia jest legalną decyzją – jednak musi być ona dokumentowana i porównana z możliwością ponoszenia ryzyka. W przypadku odpowiedzialności nie można jej odróżniać od bezczynności.

Co stanowi wiarygodną inicjatywę

• Nazwa kierunku działania: Czy działanie to zmniejsza prawdopodobieństwo wystąpienia szkody lub jej rozmiar? Rzadko zdarza się, aby to było jednocześnie obydwa.
• Osoba odpowiedzialna za podejmowanie decyzji: nie osoba, która tylko informuje
• Termin z przerywaniami: Świadczenia przyznawane przez okres dłuższy niż 12 miesięcy bez osiągnięcia punktów zostają anulowane
• Otrzymany wynik: Jak można stwierdzić, że działanie tej metody jest skuteczne?
• Ceny i korzyści w równowadze: Środek, który kosztuje więcej niż oczekiwany szkodunek, nie jest zarządzaniem ryzykiem, lecz marnotrawstwem.

Kontrola skuteczności jest krokiem, który najczęściej brakuje. Bez niej pozostaje otwarta kwestia, czy rzeczywisty ryzyko netto rzeczywiście spadło – a ocena netto w rejestrze ryzyka staje się jedynie przypuszczeniem, a nie ustaleniem.

Patrz także: Zarządzanie działaniami · Koszty ryzyka

Podstawy

Monitorowanie ryzyka

Monitorowanie ryzyka stale sprawdza, czy sytuacja ryzyka i skuteczność działań uległy zmianie. Oparte jest na wczesnych wskaźnikach ostrzegawczych, porównaniach stanu obecnego z planem oraz regularnej aktualizacji wykazu – a różnica między obrazem daty wyznaczania i funkcjonującym systemem wczesnego wykrywania stanowi wyzwanie.

Kontrola procesową prowadzona przez drugą linię różni się od niezależnej kontroli przeprowadzanej przez wewnętrzną rewizję jako trzecią linią. Oba są niezbędne: druga linia wykrywa zmiany wcześnie, a trzecia ocenia, czy system w ogóle działa.

Patrz także: Model Three Lines · Główny wskaźnik ryzyka

Podstawy

Raportowanie ryzyka

Raportowanie ryzyka przedstawia sytuację ryzyka w sposób adekwatny do grupy docelowej – dla kadry zarządzającej, rady nadzorczej oraz zewnętrznych odbiorców raportu. Poprawnie przygotowany raport nie pokazuje jedynie poszczególnych zagrożeń, ale także ogólną sytuację ryzyka, jego zmiany oraz stan działań podejmowanych w celu ich zminimalizowania.

Zintegrowana kompresja dostosowana do adresatów

Patrz także: Raport sytuacyjny · Dashboard ryzyka

Podstawy

Właściciel ryzyka (Risk Owner)

Właściciel ryzyka odpowiada za ocenę, zarządzanie i monitorowanie konkretnego ryzyka. Zazwyczaj jest to osoba kierująca danym obszarem – nie menedżer ryzyka, który opracowuje i konsoliduje metodologię.

Czyste przyporządkowanie jest warunkiem koniecznym dla faktycznego wdrożenia działań i jest regularnie kwestionowane przez audytorów. Ryzyko bez wyznaczonego właściciela to ryzyko bez odpowiedzialności – i właśnie takie stwierdzenie trafia do raportu kontrolnego. W przypadku ryzyka obejmującego wiele obszarów odpowiedzialność ponosi wyznaczony przez siebie jednostka, a nie kilka równorzędnych.

Patrz także: Model Three Lines · Rejestr ryzyka

Podstawy

Kategorie ryzyka

Kategorie ryzyka strukturyzują zasoby i umożliwiają porównywanie ryzyka w poszczególnych obszarach. Konsystencja systematyki jest niezbędna do agregacji, analizy i raportowania – a ta powinna skupiać się na przyczynie, a nie na dotkniętej jednostce.

Zastosowana została dwustopniowa struktura z pięcioma do ośmiu głównymi kategoriami oraz trzema do sześciu podkategoriami. Ważne jest rozgraniczenie: cyberatak jest ryzykiem IT, jego konsekwencje operacyjne stanowią ryzyko dla działalności, a naruszenie obowiązkowego zgłaszania informacji stanowi ryzyko dla zgodności z przepisami. Bez jasnych zasad przyporządkowywania w dokumencie dotyczącym ryzyka różne kategorie tego samego zdarzenia zostaną zakwalifikowane w różny sposób.

Patrz także: Akcesoria zabezpieczające · Ryzyko

Podstawy

Ryzyko brutto i ryzyko netto

Brutto ryzyko określa ryzyko bez uwzględnienia istniejących środków i kontroli, a netto ryzyko stanowi pozostałą wartość po uwzględnieniu tych środków i kontroli. Rozbieżność stanowi mierny wskaźnik skuteczności wewnętrznego systemu kontroli.

Dlaczego potrzebne są obie wartości

• Ocena brutto wskazuje jakie ryzyka byłyby zagrożeniem dla istnienia bez kontroli – co uzasadnia inwestycje w IKS.
• Ocena netto ma kluczowe znaczenie dla agregacji i porównywania z poziomem ryzyka.
• Ta różnica pokazuje zależność od poszczególnych kontroli: jeśli jedna kluczowa kontrola zostanie anulowana, ryzyko netto wzrośnie do poziomu brutto.

Warunek: skuteczność kontroli musi zostać potwierdzona. Jeśli ta skuteczność jest jedynie domniemana, ocena netto jest jedynie fantazją – punkt, który kontrolerzy celowo kwestionują.

Patrz także: System kontroli wewnętrznej · Skuteczność kontroli

Podstawy

Prawdopodobieństwo wejścia

Wskaźnik ryzyka określa prawdopodobieństwo wystąpienia ryzyka w określonym okresie – zazwyczaj w odniesieniu do roku obrotowego. Brak jednolitej okresu odniesienia uniemożliwia porównywanie ocen w różnych branżach.

Dwaj źródła błędów pojawiają się regularnie. Po pierwsze niejasna okresowość odniesienia: „Powoduje się ją raz na pięć lat" odpowiada 20 procentom rocznie – jeśli ten krok przeliczania nie zostanie prawnie ustalone, powstają różnice w ocenie ryzyka o wartości pięciokrotności. Po drugie mylenie częstotliwości i prawdopodobieństwa w przypadku zagrożeń, które mogą wystąpić wielokrotnie w ciągu roku; w tym przypadku należy liczyć się z oczekiwaną częstotliwością i wartością szkody za każdy zdarzenie.

Patrz także: Wielkość szkody · Ocena ryzyka

Podstawy

Wielkość szkody

Wartość szkody określa finansową konsekwencję wystąpienia ryzyka – jako efekt na EBIT, przepływ środków pieniężnych lub kapitał własny. Dla agregacji nie ma znaczenia jeden wartościowy wskaźnik, lecz zakres wartości, z minimalnym, najprawdopodobniejszym i najwyższym wartościowym wskaźnikiem.

Wartość referencyjna musi zostać ustalone w sposób wiążący. Ryzyko obniżające obroty o 5 mln euro obciąża EBIT o znacznie mniejszą kwotę w zależności od wkładu pokrywającego ryzyko – jeśli uwzględnić wpływ na obroty i wynik, ogólna konkluzja staje się bezwartościowa. Także należy ustalić, czy należy uwzględniać koszty następstw, takie jak kary umowne, szkody reputacyjne lub podwyższone koszty finansowania.

Patrz także: Prawdopodobieństwo wejścia · Podział trójkąta

Podstawy

Management szans

Management szans systematycznie identyfikuje pozytywne odchylenia planów i zarządza nimi takimi samymi metodami jak ryzykami. Ponieważ szanse i ryzyka mają ten sam źródło, zintegrowane podejście jest konsekwentne metodologicznie – co znacznie zwiększa akceptację w przedsiębiorstwie.

W raporcie bieżącym § 289 HGB w każdym razie wymienia przedstawienie istotnych możliwości. i Ryzyka. Kto traktuje te dwa aspekty oddzielnie, generuje dodatkowe nakład pracy; kto całkowicie ignoruje możliwości, nie spełnia wymogu raportowania i równocześnie traci najważniejszy argument wobec działów specjalizacyjnych: zarządzanie ryzykiem nie jest wtedy jedynie kontrolą, ale także systematycznym poszukiwaniem potencjału.

Patrz także: Raport sytuacyjny · Planowanie przepustowości

Podstawy

System wykrywania ryzyka

System wczesnego wykrywania ryzyka ma wykrywać zagrożenia dla struktury akcji tak wcześnie, że jeszcze można podjąć odpowiednie działania zaradcze. Dla spółek akcyjnych jest on prawnie wymagany na mocy § 91 ust. 2 AktG, a w przypadku spółek notowanych na giełdzie stanowi przedmiot kontroli sprawozdawczej zgodnie z § 317 ust. 4 HGB.

Składniki

1. Określenie obszarów ryzyka, które należy monitorować, w oparciu o model działalności biznesowej
2. Wskaźniki wczesnego ostrzegania dla poszczególnych stref ryzyka z określonymi częstotliwościami pomiaru
3. Próg wartości, których przekroczenie wywołuje zgłoszenie
4. Dokładne procedury postępowania w przypadku ewentualnego awansu do kierownictwa
5. Aggregacja do ogólnej pozycji ryzyka i porównanie z odpornością
6. Dokumentacja wszystkich kroków jako dowód dla kontrolera i organu nadzorczego

Decydujący różnica w stosunku do ogólnego zarządzania ryzykiem polega na czasie: nie jest wymagane rejestrowanie, lecz identyfikacja zagrożeń. w terminie Rozpoznanie – czyli etap przygotowawczy, który jeszcze czyni działanie możliwym.

Patrz także: § 91 ust. 2 AktG · Zagrożona populacja · Indykator wczesnego ostrzegania

Podstawy

Indykator wczesnego ostrzegania

Indykator wczesnego ostrzegania jest mierną wartością wskazującą na zbliżającą się sytuację ryzyka, zanim dojdzie do wystąpienia szkody. Ważne jest określenie progu alarmowego, ustalenie częstotliwości pomiaru oraz opracowanie procedury postępowania w przypadku wystąpienia sytuacji zagrożenia.

Przykłady dla każdego obszaru ryzyka

Pięć do piętnastu dobrze dobranych wskaźników z wyraźnymi prógami wywołuje więcej niż pięćdziesiąt notowań, których nikt nie analizuje.

Patrz także: Główny wskaźnik ryzyka · System wykrywania ryzyka

Metody

Agregacja ryzyka

Agregacja ryzyka łączy wszystkie poszczególne ryzyka w jedną całościową pozycję ryzyka i odpowiada na kluczowe pytanie: czy firma może ponosić całkowite ryzyko bez narażenia się na zagrożenie dla stanu aktywów? Od czasu wprowadzenia nowej wersji IDW PS 340 stanowi ona wyraźny przedmiot badania – i jest punktem, w którym większość zintegrowanych systemów zarządzania ryzykiem zawodzi.

Dlaczego ryzyka nie można sumować

Bliskie podejście – suma wszystkich wysokości szkód – prowadzi systematycznie do błędnych wyników. Przyczyną jest prawdopodobieństwo: ryzyko o wartości 10 mln euro szkód i 5-procentowa prawdopodobieństwo wystąpienia szkody obciąża planowanie inaczej niż ryzyko o wartości 10 mln euro i 60-procentowej prawdopodobieństwie wystąpienia szkody. Dodając te wartości, powstaje maksymalna wartość szkody, która praktycznie nigdy nie występuje i dlatego nie ma znaczenia dla zarządzania ryzykiem.

Wręcz przeciwnie, suma oczekiwanych wartości prowadzi do niedociągnięć: opisuje to średni wynik, a nie złe scenariusze decydujące o przetrwaniu firmy. Dodatkowo występują korelacje – spadek koniunktury, spadek płatności i spadek wykorzystania mocy produkcyjnych. Kto ich ignoruje, regularnie znacznie niedociąża ogólne ryzyko.

Aggregacja nie jest zatem symulacją matematyczną, lecz symulacją: odpowiada ona na pytanie, jak prawdopodobne jest danego wyniku i danego stanu płynności, jeśli wszystkie ryzyka mogą działać jednocześnie.

Porównanie procedur

Przeczytaj wynik

Z tego podziału można wywnioskować wskaźniki, które są faktycznie potrzebne do zarządzania:

Postępowanie w sześciu krokach

1. Planowanie jako podstawa: Aggregacja opiera się na planowaniu ryzyka i płynności w ramach GuV, a nie na oddzielnej liście ryzyka.
2. Przyporządkowywanie zagrożeń do miejsc planowania: Każde istotne ryzyko wpływa na konkretną pozycję – sprzedaż, koszty materiałów, koszty personelu, inwestycje.
3. Przebieg danych zamiast klas: Zgromadzają minimalne ryzyko, najprawdopodobniejszy i maksymalny wynik oraz prawdopodobieństwo wystąpienia zdarzenia.
4. Wybieranie i uzasadnianie rozkładów: W większości przypadków wystarczająca jest równowaga trójkątna; rzadkie poważne szkody modelowane są poprzez połączenie prawdopodobieństwa wystąpienia zdarzeń i rozkładu strat.
5. Stwierdzenie zależności: Co najmniej przedstawiają one oczywiste powiązania między ryzykami zależnymi od koniunktury.
6. Symulowanie i porównywanie: Obliczanie rozkładu wyników i porównywanie go z potencjałem pokrycia ryzyka; dokumentowanie wyników, założeń i modelu.

Typowe błędy

• Agregacja bez związku z planowaniem: Podawane w odniesieniu do planowania biznesowego, wynik ten nie może być uzasadniony ani wykorzystany do podejmowania decyzji.
• Modelowanie wszystkich zagrożeń osobno: Wysiłek eksploduje bez osiągnięcia jakichkolwiek rezultatów. Zwykle dziesięć do dwudziestu czynników ryzyka decyduje o rozkładzie.
• Zresetowanie współzależności do zera: To jest przypuszczenie, nie neutralność – a to prowadzi do systematycznego niedoceniania.
• Model nie jest udokumentowany: Bez możliwych do zrozumienia założeń wynik w trakcie rozmowy kwalifikacyjnej jest bezwartościowy.

Przykład matematyczny: dlaczego suma myli się

Jedna firma ponosi pięć głównych ryzykow. W poniższej tabeli przedstawiono różnice w ogólnym wskaźniku ryzyka w zależności od wybranego podejścia.

• Dodawanie maksymalnych szkód: 34,0 mln € – scenariusz, w którym wszystkie pięć zagrożeń występują jednocześnie w maksymalnym stopniu. Możliwy w kalkulacji, niemal praktycznie niemożliwy do realizacji, jako czynnik sterujący jest niezalecany.
• Sumy oczekiwanych wartości: 5,3 mln € – średni wynik. Zaprzecza jednak, że w niekorzystnych warunkach może wystąpić wielokrotność tej kwoty.
• Symulacja: daje wynik rozkładu. Typowo wartość ryzyka wynosi % wyraźnie ponad oczekiwaniem i znacznie poniżej maksymalnej wartości – a właśnie ta wartość powinna być porównywana z potencjałem pokrycia ryzyka.

Oświadczenie to nie będzie już „mamy pięć zasadniczych zagrożeń", ale: „W ciągu 500 lat zagrożenia te obciążają wynik o ponad X mln euro; nasz potencjał pokrycia wynosi Y mln euro". To jest stwierdzenie, z którym radę nadzorcza może pracować.

Wymagania dotyczące wsparcia systemowego

• Połączenie ryzyka z pozycjami planowymi zamiast izolowanych list ryzyka
• Depozytowanie przepustowości i typów dystrybucji w zależności od ryzyka
• Wyobrażenie wspólnych czynników ryzyka
• Wyjaśniona historia wszystkich założeń i zmian w ocenie
• Powtarzalność: te same wprowadzane dane muszą dawać to samo wynik
• Dokumentacja przeznaczona do eksportu dla inspektorów i organów nadzorczych

Często zadawane pytania

Patrz także: Symulacja Monte Carlo · Risikomatrix · System zarządzania ryzykiem

Metody

Symulacja Monte Carlo

Symulacja Monte-Carlo oblicza całkowitą pozycję ryzyka, przechodząc planowany okres wielokrotnie przez wiele tysięcy symulacji z losowo wybranymi wartościami wszystkich ryzykow w danym czasie. Wynik nie jest jedyną liczbą, ale rozkładem możliwych wyników działalności – podstawą do obliczania wartości ryzyka, kapitałowego zapotrzebowania oraz oceny zagrożenia dla stanu aktywów.

Tak właśnie działa

W każdym cyklu model wylicza losowy wynik dla każdego ryzyka – np. spadek sprzedaży o 4,2 procent i wzrost cen materiałów o 11 procent – i rozlicza całą planowaną działalność w oparciu o te wartości. Wynik jest zapisywany i proces powtarzany. Po dziesiątkach tysięcy cykli pojawia się rozkład częstości wszystkich możliwych wyników, z którego można odczytać każdą pożądaną deklarację prawdopodobieństwa.

Jedna wartość bieżąca nic nie mówi – jest to jeden z wielu możliwych scenariuszy. Tylko podział na wszystkie wartości bieżące odpowiada na pytanie, jak prawdopodobne jest wystąpienie negatywnego wyniku EBIT, naruszenia umowy lub niedoboru płynności.

Jakie dane wstępne są potrzebne

• Model planowania: GuV, bilans i płynność w spójnej interakcji – model ten jest ponownie symulowany przez symulację.
• Próg przepustowości w zależności od ryzyka: Minimalny, najprawdopodobniejszy poziom, maksymalny; w przypadku ryzyka zdarzeń dodatkowo uwzględnia się prawdopodobieństwo wystąpienia zdarzenia.
• Typ dystrybucji: Wydział trójkątny, PERT lub normalny dla stałych zmiennych, podejścia binomowe lub poissowskie dla zdarzeń.
• Korrelationy: co najmniej powiązania z sytuacją gospodarczą między sprzedażą, cenami a nieosiągnięciem wymogów płatniczych.

Granice

Symulacja jest tak dobra, jak jej założenia. Nie generuje ona informacji, lecz pozwala na przetestowanie istniejących szacunków. Dlatego należy zwrócić uwagę na dwa punkty: jakość przepustowości decyduje o wyniku, a ryzyka, które nie są uwzględnione w modelu, nie pojawiają się również w rozkładzie. Tym samym symulacja nie zastępuje starannego zidentyfikowania ani fachowej dyskusji nad założeniami – jedynie zmusza do precyzji w obu tych działaniach.

Patrz także: Agregacja ryzyka · Ocena ryzyka

Metody

Ocena ryzyka

Ocena ryzyka przypisuje każdemu ryzyku prawdopodobieństwo wystąpienia i konsekwencje – albo jakościowo poprzez kategorie, albo ilościowo poprzez zakresy i rozkłady. Wybór między tymi dwoma sposobami nie jest kwestią osobistego gustu: jedynie oceny ilościowe można agregować i porównywać z punktu widzenia odporności na ryzyko.

Kwalifikacyjnie lub ilościowo

W praktyce sprawdza się dwustopniowy proces: wszystkie ryzyka są najpierw kwalifikowane jakościowo, a następnie istotne ryzyka są kwantyfikowane w zakresie wartości. Dzięki temu nakład pracy pozostaje kontrolowany, a ogólna konkluzja jest jednak wiarygodna.

Brutto i netto

Ocena brutto uwzględnia ryzyko bez istniejących środków i kontroli, a ocena netto z nimi. Rozbieżność stanowi wymierny wkład systemu kontroli wewnętrznej oraz jednocześnie najsilniejszy argument w dyskusji z organem nadzorczym na temat inwestycji w kontrole. Dla agregacji i porównywania odporności ocena netto ma decydujące znaczenie – pod warunkiem, że skuteczność kontroli rzeczywiście została potwierdzona i nie jest jedynie domniemana.

Unikaj zniekształceń

• Zmniejszenie dostępności: Ostatnio zaobserwowane zdarzenia są wysoce wyceniane, a dawne wydarzenia są bardzo niedoceniane. Wskutek tego: strukturyzowane listy kontrolne zamiast swobodnego skupiania się na wydarzeniach.
• Nadmierne zaufanie: Próg przepustowości jest uznawany za zbyt niski. Wskutek tego: najpierw należy sprawdzać wartości ekstremalne, dopiero potem wybrać najprawdopodobniejszą wartość.
• Efekt kotwiczenia: Pierwsza podana liczba określa wszystkie pozostałe szacunki. Wskutek tego: niezależne szacunki poszczególnych osób przed debatą grupową.
• Konflikt celów: Kto ponosi odpowiedzialność za ryzyko, tendencjonalnie ocenia to jako mniej poważne zagrożenie. Wskutek tego: należy zapewnić dodatkową linię wsparcia.

Patrz także: Risikomatrix · Agregacja ryzyka · Symulacja Monte Carlo

Metody

Wartość ryzyka (VaR)

Wartość ryzyka określa stratę, która w określonym czasie i przy ustalonym prawdopodobieństwie nie zostanie przekroczona – np. 8 mln euro przy % konfidencji 95% i okresie analizy jednego roku. Składa się ona na całkowitą rozkładę i jest zatem najbardziej rozpowszechnionym wskaźnikiem ryzyka.

Prawidłowe odczytanie

VaR wynoszący 8 mln euro przy stopie ryzyka 95 % oznacza: w 95 z 100 scenariuszy straty będą mniejsze, w 5 z 100 wyższe. Oznaczenie to jest wyraźnie określone. nie, To, że maksymalny strach wynosi 8 mln euro – poziom strat powyżej tej granicy nie mówi nic o jego wysokości. To właśnie ta luki wypełnia Expected Shortfall.

Granice i typowe przypadki niewłaściwego użycia

W praktyce trzy punkty prowadzą regularnie do błędów. Po pierwsze, spojrzenie na liczbę bez podania poziomu pewności: VaR bez podania poziomu pewności i okresu jest bez znaczenia. Po drugie, interpretacja jako maksymalny strach – w rzeczywistości VaR nie opisuje, jak bardzo strach się pogłębia, lecz jedynie minimalny poziom strachu. Po trzecie, suma VaR dla różnych obszarów: VaR nie jest subaddytywny; suma VaR dla poszczególnych obszarów może być mniejsza niż suma VaR ogólnego poziomu.

W przypadku zarządzania przedsiębiorstwem wynika z tego prosta zasada: VaR jest odpowiednim wskaźnikiem komunikacyjnym dla organów zarządzających i banków, a decyzja w sprawie zarządzania opiera się dodatkowo na przewidywanym niedoborze i prawdopodobieństwie naruszenia określonych progów, takich jak umowy lub minimalna płynność.

Patrz także: Oczekiwany niedobór · Agregacja ryzyka

Metody

Ryzyko płynnościowe (CFaR)

Funkcja Cash Flow at Risk przekształca logikę ryzyka wartości pieniężnej w logikę przepływu płatności: określa kwotę, w jakiej planowany przepływ pieniężny może zostać przekroczony z określonym prawdopodobieństwem.

W przypadku przedsiębiorstw przemysłowych i handlowych jest on zwykle bardziej znaczący niż VaR w skali wyniku, ponieważ typową przyczyną upadku nie są wahania wartości rynkowej, lecz problemy z płynnością. W praktyce jest on natychmiast stosowany w połączeniu z dostępnymi rezerwami płynności i liniami kredytowymi – co stanowi najbardziej wiarygodną odpowiedź na pytanie, jak długo przedsiębiorstwo poradzi sobie z sytuacją kryzysową.

Patrz także: Wartość ryzyka · Wielkość potencjału pokrycia ryzyka

Metody

Oczekiwany niedobór

Expected Shortfall – zwany także Conditional Value at Risk – przedstawia średni poziom strat w dokładnie tych przypadkach, w których wartość ryzyka przekracza poziom wyznaczony przez VaR. W ten sposób opisuje on zakres ekstremalnych scenariuszy, które VaR nie uwzględnia.

Z metodycznego punktu widzenia ma on również dodatkową zaletę: jest on subaddytywny, co oznacza, że ryzyko portfela nigdy nie przekracza sumy poszczególnych ryzykow. VaR nie spełnia tego kryterium, co może prowadzić do paradoksalnych wyników w przypadku łączenia częściowych portfeli. Dlatego regulacja bankowa stopniowo przeszła z VaR na Expected Shortfall.

Patrz także: Wartość ryzyka · Wskaźnik ryzyka

Metody

Analiza scenariuszy

Analiza scenariuszy analizuje wpływ konsekwentnych wizji przyszłości na wyniki finansowe, płynność finansową i wskaźniki bilansowe. Nadaje się ona szczególnie dobrze do analizy ryzyka strategicznego, które nie podlega statystycznej ocenie, a jej wykorzystanie jest wyraźnie wymagane w ramach raportowania klimatycznego zgodnie z CSRD.

Budowa zestawu scenariuszy

• Sposób postępowania podstawowy: zapowiedziana planacja wraz z jej założeniami
• Wady: uzasadnione pogorszenie się kilku sterowników jednocześnie, konsekwentnie wyłaniane
• Zalety: odpowiednia przeciwna strona, podstawą zarządzania szansami
• Scenariusz ekstremalny: Niewykluczone, ale istotne dla istnienia – podstawę do testu na stres

Ważną kwestią jest wewnętrzna spójność: scenariusz z spadkiem popytu i jednocześnie rosnącymi cenami sprzedaży jest możliwy w kalkulacji, ale ekonomicznie niemożliwy do realizacji, a tym samym nie nadaje się jako podstawy do podjęcia decyzji.

Patrz także: Test stresowy · Ryzyki związane z klimatem

Metody

Analiza wrażliwości

Analiza czułości mierzy, jak mocno zmiana jednej zmiennej wpływa na drugą – na przykład na zysk netto przy podwyższonych cenach surowców o 10 procent. Identyfikuje one kluczowe czynniki wpływające na funkcjonowanie modelu biznesowego.

W praktyce jest ona stosowana jako przedwstęp do bardziej skomplikowanej symulacji: pokazuje, które pięć do dziesięciu sterowników dominują w wyniku. Następnie te sterowniki są załadowane z szerokością pasm i symulowane – wszystkie pozostałe mogą być traktowane jako takie same, bez zakłócania ogólnej konkluzji.

Patrz także: Symulacja Monte Carlo · Planowanie przepustowości

Metody

Test stresowy

Test stresowy sprawdza odporność na ekstremalne, ale prawdopodobne warunki – np. spadek sprzedaży o 30 procent w połączeniu z awarią głównego dostawcy. Stawia on pytanie, od jakiego punktu zaczyna się utrata zdolności do świadczenia usług lub płynności finansowej.

Test stresowy odwrotny

Bardzo pouczająca jest zmiana pytania: nie „Co się stanie w scenariuszu X?" lecz „Jakie połączenie zdarzeń sprawiłoby nas niezdrowym finansowo?". Test stresowy odwrotny do standardowego obejmuje rzeczywiste punkty zerwania modelu biznesowego i jest już wdrożony w nadzorze bankowym. Dla dyskusji w radzie nadzorczej jest on zwykle bardziej wartościowy niż każda tabela scenariuszy.

Patrz także: Analiza scenariuszy · Zagrożona populacja

Metody

Planowanie przepustowości

Planowanie zakresów zastępuje sztywnych wartości wartościami przestrzennymi z minimalnym, najwyższym i maksymalnym poziomem. Wyraźnie upraszczają one niepewność wynikającą z planowania i łączą kontrolę i zarządzanie ryzykiem w jednym procesie pracy.

Korzyści praktyczne są znaczące: zakresy są jednocześnie składnikami wskaźników ryzyka w symulacji ryzyka. Tam, gdzie planowanie w ogóle zakłada scenariusze, prawie całkowicie eliminuje się konieczność oddzielnego badania ryzyka dla pozycji planowanych – dane dostarczane są przez jednostki specjalistyczne zamiast dwóch, a planowanie i raport ryzyka nie są już wzajemnie sprzeczne.

Patrz także: Podział trójkąta · Agregacja ryzyka

Metody

Podział trójkąta

Podział trójkątny opisuje ryzyko w oparciu o trzy parametry: minimalny, najprawdopodobniejszy i maksymalny poziom ryzyka. W symulacji ryzyka jest to najczęściej stosowana forma podziału, ponieważ te trzy wartości można przetestować poprzez ocenę eksperta bez konieczności wykorzystania historycznych danych statystycznych.

Jej słabością są wysokie limity: wartości wykraczające poza zakres podany są wykluczone. W przypadku ekstremalnych wartości lepiej zastosować rozkład PERT – zoptymalizowaną wersję z większą wagą przypisaną najprawdopodobniejszej wartości – lub kombinację prawdopodobieństwa wystąpienia zdarzenia z oddzielną dystrybucją strat.

Patrz także: Funkcja dystrybucji · Symulacja Monte Carlo

Metody

Funkcja dystrybucji

Funkcja dystrybucji opisuje, w jakim stopniu ryzyko przyjmuje określony charakter. Wybór rozkładu ma znaczący wpływ na wynik symulacji i powinien zostać uzasadniony w dokumencie dotyczącym ryzyka.

Patrz także: Podział trójkąta · Standardowa odchylenie

Metody

Oczekiwany wynik

Wartość oczekiwana jest średnią wartością wszystkich możliwych scenariuszy ryzyka ważoną według prawdopodobieństwa wystąpienia. Nadaje się do uporządkowania priorytetów, ale systematycznie podcina ryzyko związane z rzadkimi poważnymi stratami.

Przykład wyjaśnia problem: ryzyko o 1 % prawdopodobieństwie i stratą 50 mln euro ma taki sam poziom oczekiwań jak ryzyko o 50 % i 1 mln euro – 500 000 euro. Dla zarządzania przedsiębiorstwem oba są całkowicie różne: drugie jest czynnikiem kosztowym, a pierwsze kwestią egzystencjalną. Dlatego dla oceny zagrożeń dla istniejącego stanu rzeczy poziom oczekiwań jest sam w sobie zupełnie nieodpowiedni.

Patrz także: Wartość ryzyka · Ocena ryzyka

Metody

Standardowa odchylenie

Standardowa odchylenie mierzy rozrzutność możliwych wyników wokół wartości oczekiwanej i stanowi prosty wskaźnik wysokości ryzyka.

Ponieważ negatywne i pozytywne odchylenia są traktowane równo, nieoczekiwana pozytywna sytuacja jest traktowana tak samo jako „ryzyko", jak i złe. W zarządzaniu ryzykiem przedsiębiorstw jednak w większości chodzi o jej negatywną stronę, dlatego coraz częściej są do niej dodawane wskaźniki ryzyka ujemnego, takie jak wartość ryzyka, oczekiwany brak lub prawdopodobieństwo awarii.

Patrz także: Wskaźnik ryzyka · Funkcja dystrybucji

Metody

Korrelation ryzyka

Różnica ryzyka opisuje statystyczny związek między ryzykiem. Rzeczywistość pokazuje, że ryzyka o pozytywnym wzajemnym związku występują razem i wzmacniają się – jeśli te ryzyka są traktowane jako niezależne w agregacji, ogólne ryzyko jest regularnie znacznie podcjenowane.

Postępowanie w praktyce

Dokładne współczynniki korelacji zwykle nie można empirycznie określić w przypadku ryzyka przedsiębiorstw. Zwykle i potwierdzono to w procesie badania: ryzyka przypisuje się wspólnych czynnikom – koniunkturze, cenach surowców, kursowi wymiany walut, cyklowi branżowym – a symulacja wylicza wspólny losowy wskaźnik dla danego czynnika w każdym przebiegu. W ten sposób powstaje zależność w modelu, bez konieczności szacowania współczynników.

Patrz także: Agregacja ryzyka · Symulacja Monte Carlo

Metody

Wskaźnik ryzyka

Wskaźnik ryzyka skumuluje rozłożenie ryzyka na jedną pojedynczą wartość. Popularne są standardowe odchylenie, wartość ryzyka (value at risk), oczekiwany brak (expected shortfall) oraz kapitał własny (equity requirement). Wybór określa, która cecha rozkładu będzie widoczna.

Wybrana metoda powinna być dostosowana do celu zarządzania ryzykiem: jeśli chodzi o zmienność wyników, to standardowa odchylenie jest przydatna; jeśli chodzi o kapitałowe nakłady, czyli potrzebę własnego kapitału; jeśli chodzi o zagrożenie dla stanu aktywów, to wartość ryzyka lub oczekiwany deficyt przy wysokim poziomie wiarygodności. Nie istnieje jedno jedyne rozwiązanie dla wszystkich pytań.

Patrz także: Wartość ryzyka · Oczekiwany niedobór

Metody

Koszty ryzyka

Koszty ryzyka to kalkulacyjne koszty ryzyka: składki ubezpieczeniowe, rezerwy, składki własne oraz kapitałowe koszty związane z ryzykiem.

Zarządzanie ryzykiem czyni zarządzanie finansami skuteczniejszym z ekonomicznego punktu widzenia. Duży kontrakt z wysokim udziałem wskaźnika realizacji i słabą bonitą klienta wiąże więcej kapitału ryzyka niż standardowy biznes – jeśli to uwzględniono w kalkulacji, to sposób ustalania cen ulega zmianie. W tym właśnie momencie z obowiązku dokumentowania staje się narzędzie zarządzania.

Patrz także: Kontrola ryzyka · Wielkość potencjału pokrycia ryzyka

Metody

Wielkość potencjału pokrycia ryzyka

Ryzykoobowiązujące potencjał określa środki dostępne do pokrycia wystąpionych ryzykow: wolny kapitał własny, rezerwy kapitałowe, niezużyte linie kredytowe oraz rezerwy płynnościowe. Jest to wyznacznik ilościowy zdolności do pokrycia ryzyka.

W trakcie dochodzenia należy zachować ostrożność. Linie kredytowe w czasie kryzysu są regularnie niedostępne w momencie, gdy są one potrzebne; trudno jest w krótkim czasie uruchomić rezerwy rezerwy. Dlatego zróżnicowanie podejścia w zależności od okresu dostępności i zastosowanie jedynie krótkoterminowo zabezpieczonych składników w przypadku nagłego zdarzenia stresowego to skuteczny sposób postępowania.

Patrz także: Wiarygodność finansowa · Ryzyko związane z przepływem środków pieniężnych

Metody

Zagrożona populacja

Istnieje zagrożenie dla stabilności przedsiębiorstwa, gdy ryzyka zagrażają jego przetrwaniu – typowo poprzez groźne zagrożenie niewypłacalnością, przeciążeniem zadłużenia lub utratą zdolności do świadczenia usług finansowych. Jej wcześnie wykrycie stanowi podstawę prawnych obowiązków wynikających z § 91 ust. 2 AktG oraz § 1 StaRUG.

Jak uzyskać potwierdzenie

1. Kwantyfikowanie ryzyka i przypisywanie pozycji w planie
2. Skumulować ogólne ryzyko, uwzględniać korelacje
3. Opracowanie potencjału pokrycia ryzyka w oparciu o horyzont dostępności
4. Stosowanie obu tych metod i określenie prawdopodobieństwa niedociągnięcia
5. Dokumentuj wyniki, założenia i wnioski

Dowód ten nie da się wywnioskować z czysto jakościowej tabeli ryzyka. To jest istotna część nowelizacji IDW PS 340 – a najczęstszym powodem stwierdzeń w raporcie kontrolnym jest to właśnie brak zgodności.

Typowe objawy

• Spadek przychodów z zamówień w ciągu kilku okresów przy niezmienionej podstawie kosztów
• Przedłużone terminy płatności przez dłużników i rosnący udział zaległych należności
• Wykorzystywanie linii kredytowych jako stały stan, zamiast jako uzupełnienie sytuacji kryzysowej
• Zbliżenie się do granic Covenant bez zabezpieczeń w scenariuszu planowania
• Zależność od jednego dużego klienta lub dostawcy bez alternatywy
• Powtarzające się odkładanie inwestycji z powodów związanych z płynnością finansową

Samych w sobie żadne z tych oznak nie stanowią zagrożenia dla istnienia. Ich połączenie jest częstym zjawiskiem – co ponownie pokazuje, dlaczego decyduje o tym agregacja, a nie analiza poszczególnych czynników.

Patrz także: StaRUG · Wiarygodność finansowa · IDW PS 340 n.F.

Metody

FMEA

Analiza ryzyka i wpływu błędów jest zorganizowaną metodą zapobiegania błędom w produktach i procesach. Każdy potencjalny błąd jest oceniany pod względem znaczenia, prawdopodobieństwa wystąpienia i wykrycia.

Wskaźnik priorytetu ryzyka i jego krytyka

Klasycznie trzy oceny są mnożone przez skalę od 1 do 10; produktem jest liczba priorytetu ryzyka. Krytyka ta jest uzasadniona: różne kombinacje dają tę samą liczbę, chociaż pilność działania jest różna. Aktualna systematyka AIAG-VDA zastępuje zatem zwykłe mnożenie przez priorytet zadania, które jest bardziej uwzględniane.

FMEA jest ważnym źródłem dla całego przedsiębiorstwa: identyfikowane tam ryzyka techniczne – o ile są istotne – są przekazywane do bazy danych ryzyka.

Patrz także: Analiza błędów · Analiza ryzyka

Metody

Analiza błędów (FTA)

Analiza błędów działa w sposób deduktywny: na podstawie niepożądanej sytuacji zostają przeanalizowane wszystkie możliwe łańcuchy przyczyn poprzez logiczne powiązania.

Korzyści w porównaniu do metod czysto jakościowych polegają na możliwości obliczeń: jeśli prawdopodobieństwa podstawowych zdarzeń są znane, można obliczyć prawdopodobieństwo zdarzenia wybuchu poprzez połączenie z AND i OR. Dzięki temu FTA jest szczególnie przydatna w przypadku systemów o złożonej strukturze i dużej liczbie powtarzalnych scenariuszy – na przykład w kwestii tego, jak prawdopodobne jest całkowite wyłączenie zasilania w przypadku dwóch niezależnych systemów awaryjnych.

Patrz także: FMEA · Analiza wiązek wąsów

Metody

Analiza wiązek wąsów

Analiza Bow-Tie przedstawia ryzyko graficznie jako muchę: po lewej stronie przyczyny wraz z barierami zapobiegającymi jej wystąpieniu, pośrodku zdarzenie, po prawej stronie konsekwencje wraz z środkami łagodzącymi jej skutki. Połącza analizę ryzyka z systemem kontrolnym w jednym obrazie.

Patrz także: System kontroli wewnętrznej · Analiza ryzyka

Metody

Metoda Delphi

Metoda Delphi strukturyzuje oceny ekspertów w kilku anonimowych rundach ankiet. Po każdym cyklu uczestnicy otrzymują zintegrowane wyniki i mogą zmienić swoje opinie.

Anonimowość łagodzi presję ze strony autorytetów i grup, która w klasycznych warsztatach ryzyka, jak doświadczenie pokazuje, dominuje w ocenie ryzyka. W przypadku zagrożeń bez statystycznych danych – rozwoju strategicznego, zmian regulacyjnych, przełomów technologicznych – proces ten zapewnia znacznie bardziej wiarygodne oceny niż głosowanie w plenum.

Patrz także: Identyfikacja ryzyka · Ocena ryzyka

Metody

Ocena ryzyka

W procesie scoringu ryzyka ryzyka są oceniane za pomocą wartości punktowych w kategoriach takich jak prawdopodobieństwo, wpływ i sterowalność i skumulowane do wyniku ogólnego. Procedura ta jest szybka i szeroko stosowana.

Metodologiczne ograniczenie należy ściśle przestrzegać: wyniki są skalowane zgodnie z klasyfikacją ordinalną. Ryzyko o wyniku 40 nie jest dwa razy bardziej niebezpieczne niż ryzyko o wyniku 20, a wyniki nie mogą być dodawane ani przekształcane w kwoty pieniężne. Jako pomoc w procesie wyboru ryzykowanych czynników należy jednak rozważyć wykorzystanie skali scoringowej – jednak nie jako podstawy agregacji.

Patrz także: Ocena ryzyka · Risikomatrix

Metody

Wiodący wskaźnik ryzyka (KRI)

Indykator kluczowych ryzyk jest wskaźnikiem, który stale mierzy rozwój ryzyka w sposób wymierny. W przeciwieństwie do wskaźników kluczowych osiągnięć, które przedstawiają dotychczasową wydajność, KRI mierzy przyszłość.

Kryteria dobrych wskaźników

• Przedbieg: Indykator reaguje przed wystąpieniem szkody – w przeciwnym razie jest to statystyka szkód.
• Dostępność: Dane powstają w każdym razie w systemie; wskaźniki, które należy zbierać ręcznie, nie będą już monitorowane po dwóch kwartałach.
• Jedność: Zmiana może być wyraźnie interpretowana.
• Próg alarmowy i eskalacja: Bez zdefiniowanej granicy i zaplanowanej reakcji wskaźnik pozostaje bezczynny.

Patrz także: Indykator wczesnego ostrzegania · Monitorowanie ryzyka

Metody

Kwantyfikacja ryzyka

Kwantyfikacja ryzyka przedstawia ryzyka w jednostkach pieniężnych i w postaci prawdopodobieństw, zamiast klasyfikować je jedynie w kategoriach. Jest ona warunkiem koniecznym dla agregacji, porównywania odporności i podejmowania decyzji dostosowanych do ryzyka.

Najczęstszym argumentem jest to, że dane nie są dostępne. To jednak nie uwzględnia punktu: klasyfikacja klasyfikacyjna opiera się również na oszacowaniu – jedynie czyni ją niewidoczną. Kwantyfikacja zmusza do ujawnienia i upublicznienia przyjętych założeń. Rozsądna gama od 2 do 9 mln euro przewyższa w każdym wymiarze klasyfikację jako „wysoką": jest możliwa do sprawdzenia, agregacji i korekty.

Patrz także: Ocena ryzyka · Agregacja ryzyka

Regulacja

Podsumowanie: Kto musi coś zrobić

Wymagania dotyczące zarządzania ryzykiem i przestrzegania przepisów prawa wynikają z wielu źródeł jednocześnie: prawa spółek, prawa upadłościowego, prawa handlowego, standardów kontroli, specyficznych dla branży przepisów nadzoru oraz europejskich rozporządzeń. Ta podsumowana informacja uporządkowuje najważniejsze przepisy według grupy adresatów.

Zakresy zastosowania i terminy w przypadku CSRD, LkSG i CSDDD zostaną zmienione w ramach europejskiego procesu omnibusowego. Aktualny stan jest możliwy do sprawdzenia indywidualnie dla każdego przedsiębiorstwa – podstawowe wymagania dotyczące analizy ryzyka, działań i dokumentacji pozostają bez zmian.

Regulacja

KonTraG

Ustawa o kontroli i przejrzystości w działalności przedsiębiorstw z 1998 roku stanowiła punkt wyjścia dla zarządzania ryzykiem prawnym w Niemczech. Wprowadziła art. 91 ust. 2 AktG i po raz pierwszy zobowiązała zarząd do ustanowienia systemu monitorowania w celu wczesnego wykrywania zagrożeń dla działalności przedsiębiorstwa.

KonTraG był odpowiedzią na szereg spektakularnych upadków spółek. Jednocześnie rozszerzył on obowiązki biegłego rewidenta i rady nadzorczej. W odniesieniu do tzw. wpływu na publiczną uwagę normę stosuje się do dużych spółek komandytowych. Chociaż norma dotyczy spółek komandytowych, obowiązek staranności zwyczajnego przedsiębiorcy jest jej miernikiem.

Patrz także: § 91 ust. 2 AktG · FISG

Regulacja

§ 91 ust. 2 i 3 AktG

Art. 91 ust. 2 AktG stanowi centralną normę w zakresie zarządzania ryzykiem prawnym: Zarząd musi podjąć odpowiednie środki oraz w szczególności ustanowić system monitorowania, aby wcześnie wykrywać zagrożenia dla istnienia spółki. Dodatkowo dodano art. 3 FISG, który wymienia odpowiednie i skuteczne systemy zarządzania ryzykiem oraz kontroli wewnętrznej dla spółek notowanych na giełdzie.

Konsekwencja praktyczna

• System musi wcześnie znajomość – jedno zdjęcie z datą zakończenia roku nie wystarczy.
• Zgromadzono dane dotyczące sytuacji, które zagrażają istnieniu instytucji, tj. niedokapitalizowanie, nadmierne zadłużenie i utrata zdolności do świadczenia usług finansowych.
• Otwarcie dowodu wymaga agregacji: pojedyncze zagrożenia same w sobie rzadko stwarzają zagrożenie dla populacji, a ich połączenie – zdecydowanie tak.
• Instytucję należy udokumentować – w przypadku sporu odpowiedzialność za przedstawienie dokumentacji ponosi zarząd.

Patrz także: System wykrywania ryzyka · IDW PS 340 n.F. · § 317 ust. 4 HGB

Regulacja

§ 93 AktG oraz zasada biznesowego osądu

Art. 93 AktG reguluje obowiązek staranności i odpowiedzialność członków zarządu. Przepis dotyczący biznesowego osądu prawniczego chroni decyzje przedsiębiorców przed odpowiedzialnością, jeśli zostały podjęte na podstawie odpowiednich informacji i bez konfliktów interesów w interesie społeczeństwa.

W przypadku zarządzania ryzykiem wynika to w oczywisty sposób korzyścią: „Właściwa baza informacyjna" oznacza, że ryzyka związane z decyzją zostały zgromadzone i ocenione. Kto podejmuje decyzję o inwestycji bez udokumentowanego badania ryzyka, traci ochronę regulaminu – nie dlatego, że decyzja była błędna, ale dlatego, że brakowało podstaw. Władza przedstawienia informacji należy do członka organu.

Patrz także: Odpowiedzialność dyrektora generalnego · Ubezpieczenie D&O

Regulacja

StaRUG

Ustawa o stabilizacji i restrukturyzacji przedsiębiorstw obowiązuje od początku 2021 roku. § 1 StaRUG zobowiązuje dyrektorów zarządzających spółek o ograniczonym odpowiedzialności do stałego monitorowania sytuacji, która może zagrozić istnieniu spółki, podejmowania odpowiednich środków zaradczych oraz niezwłocznego informowania organów nadzorczych.

Dlaczego to zmieniło świat spółek komandytowych

Przed staRUG obowiązek wczesnego wykrywania kryzysów był uregulowany w prawie akcyjnym, a dla spółek komandytowych był możliwy jedynie poprzez ogólne obowiązek staranności. Od 2021 roku obowiązek ten ma zastosowanie w sposób prawny bez względu na formę spółki. Dzięki temu każda spółka komandytowa, UG oraz spółka komandytowa i spółka komandytowa z ograniczoną odpowiedzialnością (GmbH & Co. KG) ma obowiązek utrzymywania systemu rozpoznawania zagrożeń dla działalności – niezależnie od wielkości i powiązań z rynkiem kapitałowym.

Ustawa zawiera również ramy restrukturyzacji: procedurę umożliwiającą restrukturyzację poza postępowaniem upadłościowym przy większościowym głosowaniu wierzycieli. Aby uzyskać dostęp do tego środka należy spełnić zagrożenie niewypłacalnością – czyli właśnie taki stan, który należy w odpowiednim czasie wykryć w celu jego wczesnego wykrycia.

Co dyrektorzy muszą konkretnie zrobić

1. Nieustanna obserwacja rozwoju sytuacji, który może zagrozić jej przetrwaniu – nie w zależności od okoliczności, ale w sposób stały
2. Zintegrowane planowanie z prognozowaniem płynności w odpowiednim okresie czasu, zwykle co najmniej dwunastu miesięcy
3. Odkrywanie oznak kryzysu za pomocą zdefiniowanych wskaźników i progów alarmowych
4. Podjęcie odpowiednich środków zaradczych w przypadku stwierdzenia zagrożenia dla populacji
5. Bezwstrzymane zgłoszenie organom nadzorczym
6. Dokumentacja wszystkich kroków – w przypadku odpowiedzialności jest to jedyny dowód

Obowiązek nie kończy się po stwierdzeniu naruszenia. Ten, kto dostrzega zagrożenie dla istniejącego stanu rzeczy i nie podejmuje żadnych działań, ponosi osobistą odpowiedzialność – wcześniejsze wykrycie bez podjęcia dalszych działań nawet pogarsza sytuację w przypadku sporu.

Patrz także: Zagrożona populacja · System wykrywania ryzyka

Regulacja

IDW PS 340 n.F.

Nowy standard badania ryzyka w systemie wykrywania zagrożeń opracowany przez IDW ma zastosowanie od 15 grudnia 2021 r. do badań końcowych za okresy finansowe rozpoczynające się od tego dnia. Wyraźnie przewiduje on konieczność agregacji poszczególnych ryzykow w celu stworzenia całościowej pozycji ryzyka oraz porównywania jej z możliwością pokrycia ryzyka.

Co się zmieniło w porównaniu z poprzednią wersją

Konsekwencje dla praktyki

Firmy, które opracowały system zarządzania ryzykiem w formie matrixa ryzyka i listy działań, nie spełniają już tego standardu. Warunkiem jest przeprowadzanie ilościowych ocen w zakresie skali ryzyka, model agregacji oraz dokumentowana równoważność z potencjałem pokrycia ryzyka. Koszty te są niewielkie, jeśli są zintegrowane z istniejącą planacją – a znacząco zwiększają się, jeśli równocześnie powstaje drugi system.

Patrz także: Agregacja ryzyka · Wiarygodność finansowa · IDW PS 981

Regulacja

IDW PS 981

IDW PS 981 opisuje zasady prawidłowego badania systemów zarządzania ryzykiem. Strukturyzuje RMS w osiem podstawowych elementów i stanowi ramy referencyjne dla dobrowolnych badań skuteczności – na przykład na zlecenie rady nadzorczej, wspólników lub w ramach transakcji.

Istnieją trzy rodzaje badań: badanie koncepcji ocenia opis, badanie odpowiedniości – zdolność do spełnienia wymagań do daty zakończenia okresu, badanie skuteczności – funkcjonowanie w danym okresie. Obciążenie w tej kolejności znacznie wzrasta; dla pierwszego potwierdzenia przed organem nadzorczym często wystarczająca jest badanie odpowiedniości.

Patrz także: System zarządzania ryzykiem · IDW PS 340 n.F.

Regulacja

IDW PS 980

IDW PS 980 jest podstawowym standardem dla badania systemów zarządzania zgodnością z przepisami. Definuje siedem podstawowych elementów, od kultury zgodności po monitorowanie i doskonalenie, i jest powszechnie uznawany jako potwierdzenie odpowiedniego systemu zarządzania zgodnością z przepisami w języku niemieckim.

Badanie może być ograniczone do poszczególnych obszarów – np. zapobiegania korupcji lub prawa kartelowego – co znacznie zmniejsza nakład pracy i w praktyce jest standardem. Bezwarunkowe stwierdzenie skuteczności badania wywiera na władzach, sądach i partnerach biznesowych silny wskaźnik, że obowiązki organizacyjne zostały spełnione.

Patrz także: System zarządzania zgodnością · ISO 37301

Regulacja

IDW PS 982

Standard reguluje sprawdzanie wewnętrznego systemu kontroli raportowania finansowego. Opisuje on adekwatność i skuteczność kontroli w ramach istotnych procesów raportowania oraz strukturalnie jest zgodny z ramami COSO.

Wraz z rozszerzeniem raportowania na informacje dotyczące zrównoważonego rozwoju zyskuje on dodatkowo na znaczeniu: również dane ESG wymagają systemu kontroli zapewniającego pełność, prawidłowość i zrozumienie – z tymi samymi wymaganiami, które od dawna obowiązują w przypadku danych finansowych.

Patrz także: System kontroli wewnętrznej · Informacje z zakresu zrównoważonego rozwoju

Regulacja

IDW PS 983

IDW PS 983 opisuje zasady prawidłowego badania wewnętrznych systemów kontroli wewnętrznej. Jest to punkt odniesienia dla oceny jakości, której standard IIA przewiduje co pięć lat przez zewnętrznego zewnętrznego podmiotu.

Badane są struktura i przebieg funkcji rewizji: niezależność, linie komunikacyjne, kwalifikacje, planowanie kontroli zorientowane na ryzyko, przeprowadzenie i monitorowanie ustaleń. Dla firm bez własnej funkcji rewizji standard ten ma pośredni znaczenie, ponieważ opisuje, czego można się spodziewać od zlecanej funkcji rewizji.

Patrz także: Revizja wewnętrzna

Regulacja

Ramy COSO ERM

Ramy COSO „Enterprise Risk Management – Integrating with Strategy and Performance" z 2017 roku wyraźnie łączą zarządzanie ryzykiem z strategią i wydajnością przedsiębiorstwa. Jest to najszerzej rozpowszechniony model ERM na świecie.

Patrz także: ISO 31000 · COSO – Kontrola wewnętrzna

Regulacja

Ramy kontroli wewnętrznej COSO

Ramy COSO dotyczące systemów kontroli wewnętrznej definiują pięć komponentów – środowisko kontrolne, ocenę ryzyka, działania kontrolne, informowanie i komunikację oraz monitorowanie – i podzielają je na siedemnaście zasad.

Jest to w skali globalnej de facto standard w zakresie opracowania IKS oraz wzorcowe rozwiązanie w zakresie badania zgodności z IDW PS 982, jak również w zakresie zgodności z amerykańskim standardem SOX. Jego praktyczna wartość polega na kompletności: zasady te stanowią listę kontrolną służącą do sprawdzenia, czy rozwinięty system kontroli zawiera luki strukturalne.

Patrz także: System kontroli wewnętrznej · IDW PS 982

Regulacja

ISO 31000

ISO 31000:2018 to międzynarodowa norma dotycząca zarządzania ryzykiem. Opisuje ona zasady, ramy i procesy, jest opracowana w sposób ogólnobranżowy i nie jest przeznaczona do certyfikacji.

Jego wartość tkwi w jednolitej terminologii i wyraźnej umiejscowieniu zarządzania ryzykiem w ramach odpowiedzialności kierowniczej. Norma została zaprojektowana w sposób zrównoważony, pozostawiając możliwość wyboru metod oceny – ten brak został uzupełniony przez dodatkową normę IEC 31010. Ci, którzy poszukują certyfikowalnej podstawy, mogą skorzystać z ONR 49000 w regionie DACH.

Patrz także: IEC 31010 · ONR 49000

Regulacja

IEC 31010

IEC/ISO 31010 uzupełnia ISO 31000 o katalog metod oceny – od brainstormingu i list kontrolnych po FMEA, analizę drzew błędów oraz Bow-Tie Analysis po symulację Monte Carlo.

Norma podaje dla każdej metody właściwości, nakład pracy, wymagane bazy danych oraz ograniczenia. Dlatego jest to najcenniejszym źródłem do uzasadnienia wyboru metody przy tworzeniu dokumentu zarządzania ryzykiem – punkt, który audytor regularnie kwestionuje.

Patrz także: ISO 31000 · Analiza ryzyka

Regulacja

ONR 49000 i nast.

Rocznik norm austriackich ONR 49000 konkretizuje ISO 31000 w zakresie stosowania w organizacjach i – w przeciwieństwie do tego – jest kwalifikowany do certyfikacji.

Zawiera ona pojęcia i zasady, proces zarządzania ryzykiem oraz wymagania dotyczące kwalifikacji zarządzających ryzykiem. W regionie DACH jest ona przede wszystkim rozpowszechniona w Austrii i często stanowi podstawę certyfikacji, których niemieckie firmy spotykają się z austriackimi spółkami zależnymi.

Patrz także: ISO 31000

Regulacja

ISO 37301

ISO 37301:2021 jest międzynarodowym standardem dla systemów zarządzania zgodnością i zastąpił stary standard ISO 19600. W przeciwieństwie do niego jest on sformułowany jako norma wymagania, co czyni go certyfikowalnym.

Śledzi ona strukturę wysokiego poziomu i dzięki temu może zostać połączona z ISO 9001, ISO 14001, ISO 27001 i ISO 37001 w ramach zintegrowanego systemu zarządzania – wspólna odpowiedzialność, wspólna kontrola dokumentów, wspólne audyty wewnętrzne. Dla firm z wieloma systemami zarządzania jest to największy dźwignia efektywności.

Patrz także: System zarządzania zgodnością · IDW PS 980

Regulacja

ISO 37001

ISO 37001 definiuje wymagania dotyczące systemów zarządzania zwalczaniem korupcji: politykę przeciwdziałania korupcji, due diligence wobec partnerów biznesowych, kontrole przy przekazywaniu dotacji, darowizn i sponsorowaniu, a także zabezpieczone kanały zgłaszania podejrzeń.

Certyfikacja służy jako międzynarodowy dowód na odpowiednie środki zapobiegawcze i coraz częściej jest wymagana przez firmy od dostawców i partnerów handlowych w regionach o wysokim ryzyku. Nie zastępuje jednak własnej analizy ryzyka, lecz strukturyzuje działania w oparciu o uznany standard.

Patrz także: Zapobieganie korupcji · Dohled nad podmiotami trzecimi

Regulacja

FISG

Ustawa o wzmocnieniu integralności rynków finansowych z 2021 roku była odpowiedzią prawodawczą na skandal związanego z Wirecard. Ustawa ta zobowiązuje spółki akcyjne notowane na giełdzie do stosowania odpowiedniego i skutecznego systemu zarządzania ryzykiem oraz kontroli wewnętrznej zgodnie z § 91 ust. 3 AktG.

Dodatkowo wzmacnia on komisję ds. badania sprawozdań finansowych, pogłębia zasady rotacji i odpowiedzialności dla biegłych rewidentów oraz poszerza uprawnienia BaFin. Praktycznie znaczącym elementem jest zmiana: to, co wcześniej było zaleceniem kodeksu ładu korporacyjnego, jest teraz prawem dla wyznaczonych osób.

Patrz także: § 91 AktG · Komisja ds. spraw wewnętrznych

Regulacja

Niemiecki kodeks ładu korporacyjnego

DCGK skupia zasady, zalecenia i wskazówki dotyczące dobrej praktyki zarządzania spółkami notowanymi na giełdzie. Dotyczy on zarządzania ryzykiem i przestrzegania przepisów prawnych, w tym konkretnych zaleceń dotyczących wewnętrznego systemu kontroli i zarządzania ryzykiem, w tym aspektów związanych z zrównoważonym rozwojem, oraz systemu zgłaszania podejrzeń.

Kodeks nie jest prawem, ale ma wpływ poprzez deklarację zgodności zgodnie z § 161 AktG: Zastrzeżenia należy ujawniać i uzasadniać. Dla spółek niesprzedawanych na giełdzie stanowi on wskazówkę – w szczególności firmy rodzinne często korzystają z własnych, uzupełnionych przez nie kodeksów zarządzania.

Patrz także: Rządzenie · Radziny nadzorcze

Regulacja

Raport sytuacyjny i raport ryzyka

Zgodnie z § 289 HGB raport sytuacyjny powinien oceniać i wyjaśniać przewidywaną sytuację wraz z jej głównymi szansami i ryzykami. Raport ryzyka jest tym samym zewnętrzną strefą interakcji zarządzania ryzykiem.

Wymagania dotyczące raportu ryzyka

• Wyjaśnienie istotnych zagrożeń, a nie wyliczenie wszystkich zagrożeń
• Wyraźna relacja z wewnętrznego zestawu danych dotyczących ryzyka
• Ocenie kryteriów i ogólnej sytuacji ryzyka
• Konsystencja z raportem prognozy: Ryzyka opisują odchylenia od oczekiwań przedstawionych w nim

Rozbieżności między wewnętrzną sytuacją ryzyka a zewnętrznym przedstawieniem są klasycznym punktem kontrolnym. Ten, kto prowadzi ryzyko zagrożające stabilności firmy na poziomie wewnętrznym i zewnętrznie informuje o stabilnej sytuacji, ma problem, który wykracza poza rachunkowość.

Patrz także: Raport prognozy · Raportowanie ryzyka

Regulacja

§ 317 ust. 4 HGB

Niniejsza norma zobowiązuje biegłego rewidenta w spółkach akcyjnych do oceny, czy zarząd w odpowiedniej formie ustanowił system monitorowania zgodnie z § 91 ust. 2 AktG i czy ten system jest w stanie pełnić swoje obowiązki.

Jest to podstawowe kryterium oceny według IDW PS 340 n.F. Zlecenie badania zostało opracowane w sposób celowy: ocenia się stan i zasadniczą sprawność urządzenia, a nie skuteczność w okresie czasu. Bardziej szczegółowa ocena skuteczności odbywa się wyłącznie w ramach oddzielnego zlecenia.

Patrz także: IDW PS 340 n.F. · Przedsiębiorstwo audytorskie

Regulacja

MaRisk

Minimalne wymagania w zakresie zarządzania ryzykiem przez BaFin konkretizują § 25a KWG dla instytucji kredytowych. Regulują one zdolność do podejmowania ryzyka, strategie, procedury kontroli wewnętrznej, testy stresowe, zarządzanie outsourcingiem oraz struktury wewnętrznej rewizji.

Niezależnie od sektora finansowego warto przyjrzeć się także jego działaniom: organizacja MaRisk opisuje zintegrowane zarządzanie ryzykiem o wysokim stopniu szczegółowości i stanowi wzorzec dla wielu firm przemysłowych w kwestiach takich jak zarządzanie outsourcingiem lub koncepcja zdolności do pokrycia ryzyka. Dla ubezpieczycieli organizacja MaGo stanowi odpowiednik.

Patrz także: KWG · Management outsourcingu

Regulacja

KWG

Ustawa o kredycie jest podstawą prawną dla instytucji kredytowych w Niemczech. Artykuł 25a KWG wymienia wymagania dotyczące prawidłowej organizacji działalności oraz odpowiedniego zarządzania ryzykiem, wewnętrznego systemu kontroli oraz funkcji zgodności.

W przypadku osób niebędących bankami KWG ma pośredni wpływ na sytuację, gdy świadczone są usługi finansowe – na przykład w zakresie rozliczania płatności, finansowania faktoringowego lub finansowania sprzedaży w ramach grupy przedsiębiorstw. W takich przypadkach rozróżnienie działalności wymagającej zezwolenia należy uwzględnić w analizie ryzyka dla zgodności z przepisami.

Patrz także: MaRisk

Regulacja

Solvency II

Solvency II to europejski system nadzoru dla firm ubezpieczeniowych i opiera się na trzech filarach: wymogach ilościowych w zakresie kapitału, wymogach jakościowych w zakresie zarządzania, w tym własnej oceny ryzyka i zdolności płatniczej firmy, a także obowiązkach sprawozdawczych i ujawniania informacji.

Druga kluczowa kwestia dotyczy przedsiębiorstw przemysłowych: ORSA wymaga przewidywnego oceny ogólnego profilu ryzyka i stanu kapitałowego w okresie planowania – co w sposób metodyczny jest dokładnie tym, czego wymaga IDW PS 340 n.F. dla osób nieobjętych ubezpieczeniem.

Patrz także: Wiarygodność finansowa

Regulacja

Basel III i IV

Ramy regulacyjne z Bazylei definiują międzynarodowe standardy kapitałowe i płynnościowe dla banków i są wdrożone w UE poprzez regulacje kapitałowe oraz dyrektywy.

Dla firm spoza sektora finansowego mają one pośredni wpływ: wpływają one na procedury ratingowe, warunki kredytowe i zapotrzebowanie banków na informacje. Firma, która jest w stanie zdefiniować swoje ryzyko, wyraźnie poprawia swoją pozycję negocjacyjną – ponieważ bank inaczej działałby z ryzykiem dodatkowych opłat zabezpieczających.

Patrz także: Agregacja ryzyka

Regulacja

CSRD

Dyrektywa dotycząca raportowania korporacyjnego w zakresie zrównoważonego rozwoju znacząco rozszerza zakres raportowania w UE: treści raportów zgodnie z ESRS, obowiązek badania przez niezależnego zewnętrznego podmiotu, cyfrowe etykietowanie oraz integracja z raportem bieżącym, zamiast w oddzielnym raporcie.

Co się tym zmieni

• Obowiązek kontroli: Po raz pierwszy dane dotyczące zrównoważonego rozwoju podlegają zewnętrznemu audytowi – z odpowiednimi wymaganiami dotyczącymi jakości danych i kontroli.
• Podwójna znaczenie: Informuje się o skutkach działalności przedsiębiorstwa i działania finansowe na przedsiębiorstwo.
• Łańcuch wartości: Granica raportowania nie kończy się w własnym biurze.
• Integracja: Ryzyka ESG należy metodologicznie włączyć do istniejącego zarządzania ryzykiem.

Zakres zastosowania i pierwsze terminy stosowania zostaną zaktualizowane w ramach unijnego programu omnibus i należy je rozpatrywać indywidualnie dla każdego przedsiębiorstwa.

Przygotowanie w pięciu krokach

1. Określając zakres zastosowania i terminowość: Przedsiębiorstwa należy ocenić pod względem wielkości, powiązania z rynkiem kapitałowym oraz włączenia koncernu – w tym kwestii, czy zwolnienie od obowiązków może zostać udzielone poprzez raport konsolidacyjny.
2. Analiza wielkości znaczenia podwójna: systematycznie, sprawnie i z zaangażowaniem zainteresowanych stron – ona określa całościowy zakres raportu.
3. Odkrywanie luk w danych: W przypadku każdej żądanej informacji należy ustalić, czy dane te istnieją, skąd pochodzą i kto je odpowiada za ich przetwarzanie.
4. Budowanie procesów i kontroli: Dane dotyczące zrównoważonego rozwoju są obowiązkowe do badania i wymagają tej samej głębi kontroli co dane finansowe.
5. Próba: przeanalizować pełny cykl raportowania przed pierwszym zastosowaniem, w tym wdrożenie w porozumieniu z inspektorem.

Ciężka praca w czasie rzeczywistym jest regularnie trzecim krokiem: zbieranie danych dotyczących lokalizacji, udziałów i dostawców trwa dłużej niż sam proces sporządzania raportów.

Patrz także: ESRS · Dwukrotna analiza istotności

Regulacja

ESRS

Europejskie standardy raportowania zrównoważonego rozwoju konkretizują obowiązki raportowania podjęte przez CSRD. Obejmują one ogólne standardy dotyczące ogólnych wymogów i informacji oraz specyficzne dla poszczególnych tematów standardy dotyczące środowiska, społecznego i zarządzania.

Tematyczne standardy, które należy stosować, wynikają z dwukrotnej analizy istotności – z wyjątkiem ogólnych standardów, które zawsze mają zastosowanie.

Patrz także: CSRD · Dwukrotna analiza istotności

Regulacja

Taxonomia UE

Taxonomia UE to system klasyfikacji działalności gospodarczej zorientowanej na zrównoważony rozwój. Działalność jest uważana za zgodną z tą taxonomiczną koncepcją, jeśli przyczynia się ona zasadniczo do osiągnięcia jednego z sześciu celów środowiskowych, nie wpływa ona w znacznym stopniu na inne cele oraz przestrzega minimalnych standardów ochrony środowiska.

Spółki podlegające obowiązkowi raportowania podają, jaki procent zysków, inwestycji i kosztów operacyjnych jest możliwy do klasyfikacji i zgodny z klasyfikacją. Problemem praktycznym jest baza danych: przyporządkowanie wymaga podzielenia przychodów i inwestycji według rodzajów działalności, co w tej formie księgowości zwykle nie jest możliwe.

Patrz także: CSRD · Informacje z zakresu zrównoważonego rozwoju

Regulacja

Ustawa o obowiązkach w zakresie odpowiedzialności za łańcuch dostaw (SCDDA)

LkSG zobowiązuje firmy do wdrożenia obowiązków w zakresie przestrzegania praw człowieka i ochrony środowiska w swojej działalności gospodarczej oraz w łańcuchu dostaw, od określonej liczby pracowników. Struktura ta ma charakter obowiązkowy: oczekuje się odpowiedniego i udokumentowanego postępowania, a nie bezbłędnej łańcuchu dostaw.

Ogólna lista obowiązków

Wdrożenie w praktyce

Wysiłek koncentruje się na trzech punktach. Po pierwsze, podstawy danych: wiele firm zna swoich bezpośrednich dostawców z systemu ERP, ale nie ich lokalizacje produkcyjne – właśnie te są kluczowe dla oceny ryzyka regionalnego. Po drugie, priorytetyzacja: przy wielu tysiącach dostawców indywidualne rozpatrzenie jest niemożliwe, dlatego abstrakcyjna analiza za pomocą kryteriów portfela musi ograniczyć liczbę do przydatnej wartości. Po trzecie, połączenie z działem zakupów: jeśli kryteria zrównoważonego rozwoju nie zostaną uwzględnione w procesie udzielania zamówień i zawierania umów, analiza ryzyka pozostanie bez rezultatów.

W przypadku firm nie bezpośrednio dotkniętych ryzykiem obowiązek pośredni obowiązuje: są one zobowiązane przez klientów podlegających obowiązkowi raportowania do kodów dostawców, deklaracji własnych oraz praw do audytu. Dlatego też własne, zwięzłe podejście jest logiczne również poniżej progu ryzyka.

Patrz także: Analiza ryzyka według LkSG · CSDDDD

Regulacja

CSDDDD

Dyrektywa dotycząca należytej staranności w zakresie zrównoważonego rozwoju korporacyjnego to europejska dyrektywa dotycząca obowiązków przedsiębiorstw w zakresie staranności. Rozszerza ona logikę LkSG na cały łańcuch działalności, wymaga planu transformacji klimatycznej i przewiduje odpowiedzialność cywilną.

Objętość, wartości progowe i harmonogram zostaną dostosowane w ramach pakietu omnibusowego; odpowiednio należy monitorować wdrażanie na szczeblu krajowym. Niezależnie od ostatecznego zakresu zastosowania: przedsiębiorstwa, które już opracowały procesy łańcucha dostaw zgodnie z LkSG, muszą przede wszystkim poszerzyć jego zakres, a nie metodicznie go na nowo opracowywać.

Patrz także: SCDDA · Obowiązki ostrożnościowe

Regulacja

Ustawa o ochronie informatorów (HinSchG)

HinSchG przekształca dyrektywę UE dotyczącą sygnalistów w prawo niemieckie. Obowiązuje ona dla firm zatrudniających od 50 pracowników, nakłada obowiązek utworzenia wewnętrznego punktu zgłaszania incydentów oraz chroni osoby składające zgłoszenia przed represjami prawnymi, a także określa terminy dla potwierdzenia i odpowiedzi na zgłoszenie.

Kroki realizacji

• Zainstaluj punkt zgłaszania i wyznacz odpowiedzialnych – wewnętrznie, w ramach outsourcingu lub w połączeniu
• Zapewnienie kanałów zgłaszania, przynajmniej w formie pisemnej i ustnej, osobistego kontaktu na życzenie
• Tworzenie regulaminu pracy i koncepcji ochrony danych osobowych, włączenie rady pracowników
• Wdrożenie koncepcji uprawnień, która zapewni techniczne zabezpieczenie poufności
• Pracownicy informują o systemie i ochronie przed represjami
• Zapewnienie monitorowania terminów i dokumentacji przez system
• Regulują one przechowywanie dokumentacji dotyczącej spraw zgodnie z przepisami prawnymi.

Informacje przekazywane przez całą grupę są dozwolone, jednak jednostka zależna z 50 pracownikami nie zwalnia jej własnej odpowiedzialności – obowiązek podjęcia działań następczych musi pozostać jasno przypisany.

Patrz także: Instytucja do zgłaszania nieprawidłowości · Zakaz represji

Regulacja

§ 30, 130 OWiG

Obaj przepisy ustawy o wykroczeniach stanowią podstawę prawną odpowiedzialności cywilnej przedsiębiorstw w Niemczech. § 130 OWiG stanowi sankcję za naruszenie obowiązków nadzorczych, natomiast § 30 OWiG pozwala na nałożenie kar pieniężnych na przedsiębiorstwo samoistnie.

Znaczenie praktyczne jest znaczące: karzane jest nie tylko ten, kto popełnia naruszenie, ale także ten, który mógłby temu zapobiec dzięki odpowiednim kontrolom. Oznaczenie „odpowiednich kontroli" zależy od profilu ryzyka przedsiębiorstwa – a właśnie to stanowi podstawę konieczności dokumentowanej analizy ryzyka zgodności.

Patrz także: Wina organizacji · System zarządzania zgodnością

System kontroli wewnętrznej

System kontroli wewnętrznej (IKS)

System kontroli wewnętrznej obejmuje wszystkie zasady, procedury i środki zapewniające skuteczność działalności biznesowej, wiarygodność sprawozdawczości oraz przestrzeganie wymogów prawnych. Podczas gdy zarządzanie ryzykiem wykrywa i ocenia ryzyka, system kontroli wewnętrznej je ogranicza poprzez konkretne kontrole w procesie – różnica między ryzykiem brutto i ryzykiem netto stanowi właśnie jego wymierną wydajność.

Pięć komponentów według COSO

Ramy COSO są międzynarodowym standardem de facto oraz referencją dla badania zgodnego z IDW PS 982. Opisują one pięć ze sobą powiązanych komponentów – jeśli któryś z nich zostanie zaniedbany, pozostałe stracą skuteczność.

Typy kontroli

Automatyczne kontrole są lepsze od ręcznych, ponieważ nie są zapominane i generują własne potwierdzenie. Obciążenie pracą związaną z testami skuteczności znacznie się zmniejsza: w przypadku kontroli systemowych wystarczający jest dowód na to, że konfiguracja pozostawała niezmieniona w okresie badania, podczas gdy w przypadku kontroli ręcznych konieczne jest potwierdzenie za pomocą próbek.

Budowanie w oparciu o procesy

1. Mapa procesu: Rozróżniać procesy kierownicze, podstawowe i wspierające oraz określać osoby odpowiedzialne za nie.
2. Określenie znaczenia: Wystarczy się koncentrować na procesach mających istotny wpływ na finalizację, zgodność z prawem lub sprawność działania.
3. Stosowanie ryzyka w każdym etapie procesu: Co może się nie udać – kompletność, prawidłowość, uzasadnienie, terminowość?
4. Klasyfikowanie kontroli i wypełnianie luk: Zaakceptować istniejące kontrole, sformułować cele kontrolne, uzupełnić brakujące.
5. Kontrole kluczy decydują: Wybierać i uzasadniać w sposób ryzykoworozsądzający, które kontrole zostaną przetestowane.
6. Zdefiniowanie planu testowego: Definować zakres próbki, metodę i częstotliwość kontroli.
7. Przekazywanie ustaleń w ramach działań: Z odpowiedzialnym, terminem i dowodem na dokonanie naprawy.

Właściwość i skuteczność

Obaj terminy są regularnie mylani, jednak odnoszą się do różnych pytań testowych. Właściwość pyta: Czy kontrola jest zaprojektowana w taki sposób, aby mogła osiągnąć zamierzony cel kontroli? Skuteczność pyta: Czy w okresie badania była ona faktycznie wykonywana konsekwentnie i prawidłowo? Kontrola opisana w sposób perfekcyjny, której nie ma potwierdzenia, jest uznawana w testach za nieprzeprowadzoną.

Zasada praktyczna: Brak kontroli bez dokumentacji. Jeśli nie jest udokumentowane, kto kiedy sprawdził coś, kontrola dla kontrolera nie istnieje – niezależnie od tego, jak wiarygodnie jest ona faktycznie stosowana.

Ramy prawne

• § 91 ust. 3 AktG: Giełdowe spółki akcyjne wymagają odpowiedniego i skutecznego systemu kontroli wewnętrznej.
• § 289 ust. 4 HGB: Firmy zorientowane na rynek kapitałowy opisują najważniejsze cechy relacji sprawozdawczych w raporcie bieżącym.
• IDW PS 982: Miarą dla osobnego badania sprawozdawczości przedsiębiorstw według IKS.
• Specyficzne dla branży: MaRisk dla instytucji kredytowych, DORA dla sektora finansowego, GoBD dla procesów związanych z opodatkowaniem.

Kontrole w trakcie procesów podstawowych

Typowe słabości w praktyce

• Kontrole bez potwierdzenia: Test odbywa się, ale nie jest on dokumentowany – w testach nie istnieje.
• Opis kontroli bez odpowiedzi: Zdefiniowano, co jest sprawdzane, ale nie to, co dzieje się w przypadku odchylenia od normy.
• Kontrole osób: Opisy zawierają nazwiska zamiast funkcji i stają się bezwartościowe przy zmianie personelu.
• Zasada czterech oczu tylko na papierze: Drugi sprawdzający sporządza raport bez dostępu do podstawy sprawdzania.
• Nie ma dostosowania w przypadku zmian w procesie: System kontroli opisuje proces, który już nie istnieje.
• Nadmierna kontrola: Setki dokumentowanych kontroli bez podziału na priorytety obciążają zasoby, których brak jest w przypadku najważniejszych spraw.

Często zadawane pytania

Patrz także: System zarządzania ryzykiem · Model Three Lines · System zarządzania zgodnością

System kontroli wewnętrznej

Sprawowanie działalności gospodarczej w zakresie rachunkowości i księgowości

Zarządzanie księgowością jest częścią systemu kontroli, który zapewnia prawidłowość prowadzenia księgowości i sporządzania sprawozdań finansowych. Odnosi się ono do kontroli sprawozdań finansowych oraz kontroli zgodności z IDW PS 982.

Obejmuje to procesy związane z zamknięciem działalności – zakup i zobowiązania, sprzedaż i należności, personelem, aktywami inwestycyjnymi, zapasami, płynnością oraz sam proces zamknięcia działalności – wraz z kontrolami stosowania technologii informatycznych oraz ogólnymi kontrolami informatycznymi. Przedsiębiorstwa zorientowane na rynek kapitałowy dodatkowo opisują najważniejsze cechy w raporcie bieżącym zgodnie z § 289 ust. 4 HGB.

Patrz także: System kontroli wewnętrznej · IDW PS 982

System kontroli wewnętrznej

Cel kontrolny

Cel kontrolny określa ryzyko, które ma zostać objęte kontrolą – na przykład kompletność zarejestrowanych transakcji lub zgodność z przepisami dotyczącymi wypłat. Bez sformułowanego celu kontroli nie można ocenić jego adekwatności ani skuteczności.

W celu sporządzania sprawozdań opracowano standardowe cele kontrolne: kompletność, prawidłowość, istnienie, ocena, własność oraz rozdzielenie okresów. Każde kontrole są powiązane z jednym lub kilkoma z tych celów; luki w powiązaniu są równocześnie lukami w systemie kontroli.

Patrz także: Mapa kontroli ryzyka · Projektowanie kontroli

System kontroli wewnętrznej

Projektowanie kontroli

Projektowanie kontroli określa, jak kontrola ma być zorganizowana: kto ją przeprowadza, jak często, na podstawie jakich informacji, z jakimi środkami potwierdzania oraz jakie reakcje należy zastosować w przypadku wystąpienia odchyleń.

Pięć elementów kontrolnych opisanych w opisie kontroli

• Kim wdraża kontrolę – rolę, nie osobę
• Czego? jest sprawdzany, przeciwko jakiej wartości docelowej
• Kiedy i jak często
• Z czym – jakie wyceny, jakie systemy, jakie dokumenty
• Co następuje w przypadku odchylenia – korekta, eskalacja, dokumentacja

Jeśli brakuje którykolwiek z tych elementów, kontrola nie może zostać przetestowana. Najczęstszym luką jest ostatni punkt: wiele opisów kontroli kończy się podczas badania i pozostawia otwarte pytanie, co dzieje się w przypadku stwierdzenia.

Patrz także: Skuteczność kontroli · Oświadczenie o kontroli

System kontroli wewnętrznej

Skuteczność kontroli

Skuteczność kontroli ocenia się poprzez sprawdzenie, czy w okresie badania przeprowadzono kontrolę odpowiednio zdefiniowaną w sposób ciągły i prawidłowy. Oznaczenie jest dokonywane poprzez testy próbek w oparciu o udokumentowane dokumenty kontrolne.

Odpowiednia, ale nie stosowana kontrola jest uważana za nieskuteczną. Zauważenie „Design effective, operating ineffective" jest w pierwszej instancji standardowym wynikiem – najczęściej dlatego, że dokumentacja nie została zachowana.

Patrz także: Test kontrolny · Ryzyko brutto i ryzyko netto

System kontroli wewnętrznej

Kontrola kluczy

Kontrole klucze to kontrole, których nieprawidłowe przeprowadzenie bezpośrednio doprowadziłoby do istotnego błędu lub szkody. Ograniczenie testów skuteczności do tych kontroli pozwala na utrzymanie kosztów kontroli w rozsądnym zakresie.

Wybór musi być uzasadniony i udokumentowany z punktu widzenia ryzyka. Kryteriami są wysokość objętego ryzyka, brak kompensacyjnych kontroli oraz zależność od innych etapów procesu. Jako zasada przyjęta jest: jeśli awaria jednej kontroli bez dodatkowej ochrony prowadzi do istotnego błędu, to ta kontrola jest kluczowa.

Patrz także: Test kontrolny · Mapa kontroli ryzyka

System kontroli wewnętrznej

Kontrole zapobiegawcze i detektywistyczne

Kontrole prewencyjne zapobiegają błędom na etapie opracowywania dokumentacji – koncepcje uprawnień, ograniczenia dostępu, testy wiarygodności podczas wprowadzania danych. Kontrole detektywne wykrywają już występujące błędy – korekty, analizy, kalkulacje dodatkowe.

Wytrzymały system kontroli ryzyka łączy oba typy. Systemy detektywne reagują systematycznie zbyt późno: błąd już wystąpił, szkoda często już powstała. Z kolei systemy prewencyjne pozostają ślepe na błędy, które pominięły procesy zapobiegania – na przykład poprzez zarządzanie przez system.

Patrz także: Przejęcie przez menedżera · Oddzielenie funkcji

System kontroli wewnętrznej

Matrix kontroli ryzyka (RCM)

Matrix kontroli ryzyka łączy etapy procesów, ryzyka, cele kontrolne oraz procedury w zorganizowanej formie. Jest to centralne dokument roboczy IKS.

Patrz także: System kontroli wewnętrznej · Mapa procesu

System kontroli wewnętrznej

Test kontrolny

W ramach testu kontrolnego próba kontrolna sprawdza, czy w okresie analizowanym przeprowadzono kontrolę zgodnie z definicją. Metody testowania to ankieta, obserwacja, przegląd dokumentów i weryfikacja – w tym następująco wzrastająca wiarygodność dowodów.

Wynik jest klasyfikowany jako skuteczny, ograniczająco skuteczny lub nieskuteczny. Każda odchylenie należy udokumentować i ocenić: czy jest to pojedynczy przypadek czy systematyczny brak skuteczności? Ta różnica decyduje o tym, czy należy dokonać korekty lub zmodyfikować projekt kontroli.

Patrz także: Skuteczność kontroli · Zarządzanie działaniami

System kontroli wewnętrznej

Przedstawienie

W trakcie przechodzenia przez procedurę walk-through całkowicie śledzi się proces w odniesieniu do pojedynczego przypadku biznesowego w celu zrozumienia rzeczywistego procesu kontroli oraz weryfikacji dokumentacji procesowej.

Służy on ocenie adekwatności i nie zastępuje testu skuteczności – pojedyncze obserwacje nie pozwalają stwierdzić niczego w odniesieniu do całego okresu. Jego praktyczna wartość tkwi gdzie indziej: przeglądy dokumentują regularnie, że dokumentowana opisana procedura różni się od praktyki codziennej.

Patrz także: Test kontrolny · Projektowanie kontroli

System kontroli wewnętrznej

Oddzielenie funkcji (segregacja obowiązków)

Rozdzielenie funkcji zapobiega sytuacji, w której jedna osoba może samodzielnie tworzyć, udostępniać i rozliczać procesy. Jest to najskuteczniejsza kontrola prewencyjna przed nieplanowanymi działaniami.

W małych jednostkach całkowite rozdzielenie funkcji nie zawsze jest możliwe. Wówczas konieczne są kontrole kompensacyjne – np. kontrola przeprowadzana przez kierownictwo – oraz decyzja ta musi zostać udokumentowana.

Wdrożenie w systemie

Technicznie rozdzielenie funkcji odbywa się poprzez koncepcje ról i matricy konfliktów. Matryca konfliktu wymienia kombinacje uprawnień, które nie mogą być podzielone między osobami, i jest regularnie sprawdzana pod kątem zgodności z faktycznie przyznanymi rolami. Nadużycia zdarzają się rzadko z premedytacją, ale wynikają one z reguł zastępowania, nagromadzenia ról podczas zmiany stanowiska oraz dodatkowych uprawnień związanych z projektem, które nie podlegają zwrotowi.

Z tego powodu wymagane są dwa kontrole: okresowe ponowne certyfikowanie ważności kluczowych uprawnień przez odpowiednie zespoły oraz automatyczne analizowanie konfliktów rolnych po każdej zmianie uprawnień. Tam gdzie rozdzielenie organizacyjne nie jest możliwe, dokumentuje się kompensacyjną kontrolę – na przykład dodatkową kontrolę poszczególnych procesów przez niezależną instytucję.

Patrz także: Koncepcja rolek i praw · Przejęcie przez menedżera

System kontroli wewnętrznej

Przejęcie przez menedżera

Management Override oznacza łamanie istniejących kontroli przez szefów zarządzających. Jest to ryzyko kontrolne o największym ciężarze strukturalnym, ponieważ trudno zaprojektować kontrole tak, aby dotyczyły jedynie osób uprawnionych do skorzystania z wyjątków.

W związku z tym środki zaradcze podjęto w innych miejscach: bezczerstka rejestracja wszystkich wyjątków i ręcznych wpisów, zasada „czterech oczu” również na poziomie kierownictwa, analizowanie nietypowych zapisów dziennika, funkcjonujący system sygnalizacji oraz niezależne badania przez wewnętrzną rewizję i organ nadzoru. W niemal wszystkich dużych skandaliach związanych z bilansami kluczowym mechanizmem było ingerowanie w zarządzanie ze strony kierownictwa.

Patrz także: System informowania o przestępstwach · Revizja wewnętrzna

System kontroli wewnętrznej

Mapa procesu

Mapa procesów pozwala podzielić firmę na procesy kierownicze, podstawowe i wspierające oraz tworzy strukturę, w której zakotwiczone są ryzyka i kontrole.

Dbie ona o to, aby procesy w IKS były skonstruowane w sposób procesowy, zamiast zorientowanym na jednostki – i tym samym dotarły tam, gdzie procesy przekraczają granice działów. Właśnie w tych obszarach powstają największe luki w kontroli: każdy dział zakłada, że drugi już to sprawdza.

Patrz także: Mapa kontroli ryzyka · System kontroli wewnętrznej

System kontroli wewnętrznej

Zarządzanie działaniami

Zarządzanie działaniami kontroluje eliminację stwierdzonych słabych punktów: każda stwierdza się czynność z odpowiedzialnym, terminem, statusem i potwierdzeniem skuteczności.

To jest punkt styku, w którym łączą się zarządzanie ryzykiem, kontrola wewnętrzna, rewizja wewnętrzna i compliance – a w praktyce jest to najczęściej występujący powód do zastąpienia programu Excel rozwiązaniem opartym na procesie workflow. Przyczyn jest prosta: ustalenia powstają w czterech systemach, a realizację odpowiadają te same jednostki specjalizacyjne, a nikt nie zna pełnego stanu.

Patrz także: Monitorowanie działań · Kontrola ryzyka

System kontroli wewnętrznej

Revizja wewnętrzna

Wewnętrzna rewizja jest niezależną, obiektywną funkcją kontrolną i doradczą trzeciego rzędu. Ocenia ona adekwatność i skuteczność zarządzania ryzykiem, systemów kontroli wewnętrznych oraz zarządzania oraz składa sprawozdania bezpośrednio kierownictwu i komisji ds. kontroli wewnętrznej.

Warunki niezależności

• Bezpośrednia linia komunikacji z organem kierowniczym i nadzorującym
• Nie ponosi odpowiedzialności za procesy operacyjne, które sprawdza
• Nieograniczona dostępność informacji i prawa do wglądu
• Własny budżet, niezależny od obszarów objętych audytem

W strukturach średniej wielkości funkcja ta jest często delegowana lub prowadzona w trybie pracy w niepełnym wymiarze godzin. Oba podejścia są dopuszczalne, pod warunkiem zachowania niezależności – staje się to problematyczne, gdy ta sama osoba opracowuje procesy i następnie sprawdza ich poprawność.

Procedura przeprowadzania testu

1. Oświadczenie o egzaminie i wymaganie dokumentów
2. Rozmowa otwierająca z wybranym obszarem, ustalenie zakresu i harmonogramu
3. Działania kontrolne: analiza dokumentów, wywiady, próby losowe, analizy danych
4. Oceny ze względu na okoliczności faktyczne, przyczyny, ryzyko oraz zalecenia
5. Podsumowanie spotkania z opinią przedstawicieli działu
6. Informacja dla kierownictwa i komisji ds. spraw wewnętrznych
7. Śledzenie do potwierdzonej realizacji – krok, który decyduje o skuteczności

Dobrze zdefiniowane stwierdzenia wskazują na przyczynę, a nie jedynie na objaw. „Trzy z dwudziestu płatności bez drugiej akceptacji" to wynik badania; „ograniczenie akceptacji nie jest zawarte w systemie, ale regulowane organizacyjnie" jest przyczyną, wobec której można podjąć działania.

Patrz także: Model Three Lines · IDW PS 983

System kontroli wewnętrznej

Planowanie egzaminów

Planowanie badań ryzykownych opiera się na wykazie ryzyka, określającym procesy i jednostki, które podlegają badaniu w określonym tempie.

Systematycznie łączy zarządzanie ryzykiem z audytem wewnętrznym: priorytety audytowe opierają się na sytuacji ryzyka, a nie na zwyczajach. Zwykle opracowuje się plan wieloletni, który obejmuje wszystkie istotne procesy w zdefiniowanym cyklu, uzupełniony o ustalone rocznie priorytety i rezerwy na badania w zależności od okoliczności.

Patrz także: Revizja wewnętrzna · Akcesoria zabezpieczające

System kontroli wewnętrznej

Oświadczenie o kontroli

Dowód kontroli dokumentuje, że przeprowadzono kontrolę – protokół zweryfikowania, zapisane notatki z głosowania, log systemowy. Bez takiego dowodu kontrola w testowym środowisku jest uważana za nieprzeprowadzoną.

Dowody sporządzone przez system mają wyższą wartość dowodową niż te sporządzone ręcznie, ponieważ nie mogą zostać sporządzone w późniejszym terminie. Decydujące znaczenie ma ich przechowywanie: dowody muszą być dostępne i widoczne przez cały okres badania – znak potwierdzający udostępnienie przesłany pocztą elektroniczną nie spełnia tego wymogu.

Patrz także: Bezpieczeństwo kontrolne · Ścieżka audytowa

Zgodność z przepisami prawnymi

System zarządzania zgodnością (CMS)

System zarządzania zgodnością łączy wszystkie działania mające na celu zapobieżenie, wykrywanie i analizę przypadków naruszenia przepisów. Nie jest to samowystarczalny cel: odpowiedni i wykazywalnie skuteczny system zarządzania zgodnością może mieć wpływ na obniżenie kar pieniężnych, stanowi kluczowy element procesu uwalniania kierownictwa oraz coraz częściej jest wymagany przez partnerów biznesowych jako warunek akceptacji.

Siedem podstawowych elementów według IDW PS 980

Analiza ryzyka w zakresie zgodności

Jest ona punktem wyjścia całego systemu i jednocześnie elementem, który w przypadku badania ryzyka jest najpierw kwestionowany. Bez udokumentowanej analizy ryzyka nie można wyjaśnić, dlaczego zostały podjęte określone działania, ani dlaczego pozostałe zostały pominięte – a właśnie ta uzasadnienie decyduje o adekwatności.

Analiza uwzględnia branżę, rynki, model dystrybucji, strukturę zaopatrzenia, udział podmiotów publicznych oraz doświadczenia z wcześniejszych incydentów. W jej wyniku wyłania się priorytetowość: w przypadku eksportowego producenta urządzeń dominują ryzyka korupcji, eksportu oraz sankcji, w przypadku handlu konsumenckiego ryzyka kartelowe, ryzyka związane z produktami i ochroną danych osobowych.

Wpływ na odpowiedzialność

Zgodnie z § 30 i 130 OWiG przedsiębiorstwa i osoby kierownicze mogą zostać ukarane karami pieniężnymi, jeśli nie podjęto uzasadnionych działań nadzorczych – nawet bez własnego czynu niedozwolonego. Sąd orzekał, że skuteczność CMS jest uwzględniana przy ustalaniu wysokości kar; decydujące znaczenie ma nie tyle istnienie dokumentów, ale wykazywana skuteczność w praktyce.

System zarządzania treścią, który po incydencie jest poddawany ocenie i dokumentowaniu, również wpływa na złagodzenie wymiaru kary. Jednak nadal istnieje wyraźnie bardziej korzystny sposób, aby wcześniej potwierdzić zasadność takiego postępowania.

Normy i certyfikacja

Budowanie w praktyce

1. Przegląd stanu: Jakie już istnieją zasady, procesy i kontrole – często więcej niż się podejrzewa, ale nie systematycznie.
2. Analiza ryzyka zgodności: Kataster prawnego ryzyka, czynnik ryzyka, ocena, priorytetyzacja.
3. Rozwiązywanie spraw prawnych: Funkcja zgodności, interfejsy z prawem, rewizja, ochrona danych osobowych, kadra.
4. Zarządzenie zasad działania: Kodeks postępowania jako podstawowy dokument, w którym zawarte są wytyczne dotyczące priorytetowych zagrożeń.
5. Zapewnienie zasad i procedur kontroli: Przegląd partnerów biznesowych, udzielanie uprawnień, screeningu sankcji – tam, gdzie pojawia się ryzyko.
6. Konfiguracja dróg alarmowych: System zgłaszania przypadków z możliwością analizy i monitorowania terminów realizacji.
7. Szkoły i komunikacja: orientowane na ryzyko według grup docelowych, z udokumentowaną aktywnością uczestniczenia.
8. Monitorowanie i poprawianie: Wskaźniki, próby losowe, coroczne aktualizowanie analizy ryzyka.

Jak można mierzyć skuteczność

Często zadawane pytania

Patrz także: System kontroli wewnętrznej · Model Three Lines · System zarządzania ryzykiem

Zgodność z przepisami prawnymi

Zgodność z przepisami prawnymi

Zgodność oznacza przestrzeganie wszystkich obowiązujących przepisów prawnych dotyczących przedsiębiorstwa oraz własnych wewnętrznych zasad. Termin ten obejmuje więcej niż tylko przestrzeganie przepisów: obejmuje on obowiązek organizacyjny kierownictwa w zakresie zapobiegania naruszeniom poprzez odpowiednie struktury.

To zobowiązanie organizacyjne stanowi jej prawdziwy rdzeń. Niewypełnienie przez pracownika tego obowiązku w sobie same w sobie nie powoduje odpowiedzialności przedsiębiorstwa – odpowiedzialność ta powstaje dopiero wtedy, gdy nie podjęto uzasadnionych działań nadzorczych. Compliance w tym przypadku staje się mniej kwestią woli niż kwestią dowodzenia: to, czego nie jest udokumentowane, w postępowaniu uznaje się za nieprzestępne.

Patrz także: System zarządzania zgodnością · Wina organizacji

Zgodność z przepisami prawnymi

Analiza ryzyka w zakresie zgodności

Analiza ryzyka zgodności identyfikuje istotne dla przedsiębiorstwa ryzyka prawne i ocenia je w zależności od prawdopodobieństwa wystąpienia i potencjału szkody. Jest to punkt wyjścia dla każdego systemu zarządzania treścią oraz element, który w przypadku badania zostanie najpierw zbadany.

Postępowanie

1. Tworzenie rejestru prawnego: Jakie obszary prawa mają znaczenie dla modelu biznesowego i rynków?
2. Determinanty ryzyka: działalność zagraniczna, pośrednicy, instytucje publiczne, handel gotówką, produkty regulowane
3. Ocena ryzyka szkody – grzywna, odszkodowanie, wykluczenie z procedur udzielania zamówień publicznych, szkoda reputacji
4. Porównywanie istniejących działań i identyfikowanie luk
5. Prioritizowanie i umieszczanie terminów w programie zgodności

Bez udokumentowanej analizy ryzyka nie można wyjaśnić, dlaczego określone działania zostały podjęte, a inne pominięte. Tylko ta uzasadnienie decyduje o adekwatności systemu.

Patrz także: Program zgodności · System zarządzania zgodnością

Zgodność z przepisami prawnymi

Kultura przestrzegania przepisów

Kultura zgodności opisuje podstawowe podejście przedsiębiorstwa do przestrzegania przepisów. Jest ona zasadniczo wyznaczana przez zachowanie kierownictwa i decyduje o tym, czy zasady są przestrzegane lub łamane.

Kontrolerowie oceniają je na podstawie ankiet pracowników, postępowania w przypadku wcześniejszych naruszeń oraz zgodności celów i oczekiwań w zakresie przestrzegania przepisów. Najbardziej przydatnym wskaźnikiem jest konflikt celów: jeśli cele sprzedażowe są osiągalne jedynie przy narażeniu na wątpliwościowe praktyki, kultura jest definiowana niezależnie od jakichkolwiek kodeksów.

Patrz także: Tone from the Top · Kultura ryzyka

Zgodność z przepisami prawnymi

Program zgodności

Program zgodności skupia działania wyciągnięte z analizy ryzyka: zasady, procesy, kontrole, szkolenia oraz formy komunikacji.

Decydująca jest ryzyko-orientowana hierarchia priorytetów. Program, który traktuje wszystkie zagadnienia równo, wiąże zasoby z zagrożeniami ubocznymi i pozostawia rzeczywiste główne zagrożenia niedostatecznie zabezpieczone. Praktycznie oznacza to: w przedsiębiorstwie o intensywnym handlu zagranicznym za pośrednictwem pośredników, zapobieganie korupcji i weryfikacja partnerów biznesowych należą do pierwszego rzędu – a nie coroczna szkolenie w zakresie ochrony danych osobowych dla wszystkich pracowników.

Patrz także: Analiza ryzyka w zakresie zgodności · Zarządzanie szkoleniami

Zgodność z przepisami prawnymi

Oficer ds. zgodności

Compliance Officer odpowiada za budowę i eksploatację CMS, doradza działom specjalnym, monitoruje przestrzeganie zasad i składa sprawozdania kierownictwu. Ważne są niezależność fachowa, odpowiednie zasoby oraz bezpośredni sposób przekazywania informacji.

Sąd ustala szczególne miejsce dla tej funkcji: Ten, kto przejmuje odpowiedzialność za przestrzeganie przepisów, może w indywidualnych przypadkach ponieść odpowiedzialność za własne czyny, jeśli nie podejmie działań w celu wykrycia naruszeń. Całkowita odpowiedzialność pozostaje jednak w gestii kierownictwa – obowiązek wyboru, wyposażenia i monitorowania może zostać delegowany, a nie powierzony.

Patrz także: Odpowiedzialność kierownictwa w zakresie przestrzegania przepisów · CMS

Zgodność z przepisami prawnymi

Kodeks postępowania

Kodeks postępowania określa wiążące zasady postępowania pracowników i kadry kierowniczej – dotyczące korupcji, konfliktów interesów, prezentów, konkurencji, dyskryminacji oraz przetwarzania informacji.

Staje się on skuteczny jedynie dzięki trzem dodatkom: konkretizacji w ramach wytycznych z jasnymi granicami wartości i procedurami, obowiązkowej szkolenia z udokumentowanym zdobyciem wiedzy oraz konsekwentnej karania za naruszenia. Kodeks bez tych trzech elementów jest jedynie dokumentem informacyjnym i bezwartościowy w procesie postępowania.

Patrz także: Management polityki · Zarządzanie szkoleniami

Zgodność z przepisami prawnymi

Management polityki

Zarządzanie politykami kontroluje cykl życia wewnętrznych procedur: opracowywanie, udostępnianie, publikowanie, informowanie, okresowe sprawdzenie i wycofywanie.

Zgodność jest możliwa do potwierdzenia jedynie w przypadku dokumentacji dotyczącej tego, w którym okresie obowiązywała każda ustawa oraz przez kogo z pracowników została ona podana do wiadomości. Częstym błędem jest brak procedury anulowania: przez lata gromadzą się sprzeczne regulacje, a w nagłych wypadkach nie można już ustalić, która z nich obowiązywała w momencie popełnienia czynu.

Patrz także: Kierowanie dokumentami · Kodeks postępowania

Zgodność z przepisami prawnymi

Zarządzanie szkoleniami

Zarządzanie szkoleniami planuje, prowadzi i dokumentuje szkolenia w zakresie przestrzegania przepisów w sposób zorientowany na grupy docelowe. Wyznaczalność jest kluczowa: wskaźniki uczestnictwa, wyniki testów oraz okresy powtarzania są elementami potwierdzającymi zasadność tych działań w przypadku wystąpienia sytuacji awaryjnej.

Patrz także: Program zgodności

Zgodność z przepisami prawnymi

Zapobieganie korupcji

Zapobieganie korupcji obejmuje wszystkie działania przeciwko łapówkarstwu i przekazywaniu korzyści: zasady postępowania dotyczące prezentów i zaproszeń z określoną wartością, procedury wydawania zezwoleń na przekazywanie darowizn i sponsorowanie, kontrole pośredników i doradców oraz badania partnerów biznesowych.

Typowe obszary ryzyka

• Mediatorzy i przedstawiciele handlowi: Nadmierne prowizje jako ukryte metody płatności
• Kontakt z urzędnikami: Pozwolenia, celne procedury, procedury udzielania zamówień – tutaj obowiązują surowsze standardy niż w biznesie prywatnym
• Darowizny i sponsoring: Dotacje z bliskim kontaktem z decydentami
• Zaproszenia i obiadokolacja: Właściwość i powiązanie z okolicznościami
• Płatności za ułatwienia: jest zabronione w Niemczech, nawet jeśli jest powszechnie stosowane w danym regionie

Skuteczne indywidualne działania

Najskuteczniejszym narzędziem jest rzadko dodatkowa dyrektywa, ale umocnienie procedury w procesie: umowa pośrednika, której nie można wprowadzić w system bez udokumentowanej due diligence, działa silniej niż każda szkolenie.

Patrz także: ISO 37001 · Dohled nad podmiotami trzecimi

Zgodność z przepisami prawnymi

Zgodność z prawem antymonopolowym

Zgodność z prawem kartelowym ma na celu zapobieżenie ustalaniu porozumień ograniczających konkurencję, nadużywaniu pozycji dominującej na rynku oraz niedozwolonym porozumieniom wertykalnym, takim jak wiązanie cen w drugim rzędzie.

Głównymi obszarami ryzyka są spotkania z członkami stowarzyszeń, targi i wszelkie wymiany informacji z konkurentami – również w kwestii cen, zdolności produkcyjnych lub przydziałów klientów. Ze względu na wysokość kar w wysokości do 10 procent zysków spółki oraz regulację dotyczącą ujawniania informacji przez osoby odpowiedzialne za ujawnienie informacji, które uprzywilejowują pierwszych informatorów, jasne zasady postępowania w kwestii kontaktów z konkurentami oraz funkcjonujący wewnętrzny system zgłaszania informacji stanowią standard.

Patrz także: System informowania o przestępstwach · Analiza ryzyka w zakresie zgodności

Zgodność z przepisami prawnymi

Przeciwdziałanie praniu brudnych pieniędzy

Ustawa o przeciwdziałaniu praniu pieniędzy zobowiązuje określone przedsiębiorstwa do przestrzegania obowiązków ostrożnościowych wobec kontrahentów: identyfikacji, ustalenia osoby uprawnionej do prowadzenia działalności gospodarczej, zbadania celu działalności, stałej monitorowania i zgłaszania podejrzanych przypadków do FIU.

Obowiązującymi podmiotami są nie tylko dostawcy usług finansowych, ale także handlowcy towarów powyżej określonych limitów płatności gotówką, pośrednicy w obrocie nieruchomościami oraz depozytariusze. Muszą oni stosować wewnętrzne zarządzanie ryzykiem z udokumentowaną analizą ryzyka, wewnętrzne środki zabezpieczające oraz – w przypadku określonej kwoty – powiernika ds. prania brudnych pieniędzy.

Patrz także: Przegląd sankcji · Dohled nad podmiotami trzecimi

Zgodność z przepisami prawnymi

Przegląd sankcji i embargi

Przegląd sankcji porównuje partnerów biznesowych, odbiorców i płatności z listami sankcji UE, Narodów Zjednoczonych oraz – w stosownych przypadkach – USA. Niestosowanie się do przepisów podlega karze pieniężnej, niezależnie od winy, a może mieć konsekwencje karne.

Przeanalizowanie musi być prowadzane stale, ponieważ listy są okresowo aktualizowane – porównanie przy zawieraniu umowy nie wystarcza. W praktyce odbywa się ono poprzez automatyczne procedury sprawdzania zgodności z aktualnymi listami w systemie ERP lub systemie compliance, z udokumentowaną obsługą zgłoszeń dotyczących trafienia. Należy również pamiętać o kontroli własności: firmy, których większość stanowi osób objętych listą, mogą nie być one samej listy.

Patrz także: Przeszkolenie partnerów biznesowych · Przeciwdziałanie praniu brudnych pieniędzy

Zgodność z przepisami prawnymi

Dohled nad podmiotami trzecimi

Due Diligence dla partnerów biznesowych sprawdza dostawców, pośredników, doradców i partnerów handlowych w sposób zorientowany na ryzyko przed zawarciem umowy – w odniesieniu do warunków ekonomicznych, struktury własności, wykrytych w wykazie sankcji, wskaźnika korupcji kraju siedziby oraz negatywnych raportów prasowych.

Procedura i dokumentacja

Postępowanie rozpoczyna się klasyfikacją ryzyka na podstawie mniej obiektywnych kryteriów – kraju siedziby, rodzaju działalności, wielkości, kontaktu z urzędnikami, roli pośrednika. Dopiero później następuje dokładne zbadanie sytuacji. Dzięki temu nie będzie konieczne ponowne wykonywanie tych samych czynności przez każdego dostawcę i będzie można uzasadnić wytyczanie priorytetów względem inspektorów.

Do dokumentowania należy klasyfikacja, przeprowadzone procedury kontrolne, wyniki, stwierdzone anomalie oraz decyzja o wydaniu pozwolenia wraz z ewentualnymi warunkami. W przypadku anomalii bez odrzucenia należy szczególnie starannie dokumentować uzasadnienie – właśnie te przypadki są sprawdzane w nagłych sytuacjach. Dodatkowo w umowie należy uwzględnić prawa kontrolne i audytowe, gwarancje zgodności z przepisami oraz prawa do wypowiedzenia umowy w wyjątkowych sytuacjach.

Patrz także: Zapobieganie korupcji · Ocena dostawców

Zgodność z przepisami prawnymi

Przegląd partnerów biznesowych w bazie danych

Testowanie partnerów biznesowych jest kontynuacją procedury due diligence: okresowe przekazywanie informacji według klas ryzyka, specjalne badania w przypadku wystąpienia niepokojących sytuacji oraz automatyczne monitorowanie list sankcyjnych i negatywnych.

Zapobiega ona przekształceniu jednorazowej oceny na podstawie umowy w stałą procedurę. Wywołaczem sytuacji wymagającej oceny w zależności od przypadku są m.in. zmiany udziałowców, zmiana połączenia bankowego, nietypowe żądania prowizji, płatności dokonywane w krajach trzecich oraz negatywne doniesienia w mediach.

Patrz także: Dohled nad podmiotami trzecimi · Przegląd sankcji

Zgodność z przepisami prawnymi

Konflikt interesów

Istnieje konflikt interesów, gdy osobiste interesy mogą wpływać na obiektywną ocenę obowiązków służbowych – w przypadku działalności dodatkowej, udziału w dostawach lub udzielania zamówień osobom z rodziny.

Sam w sobie konflikt nie stanowi naruszenia; problematyczny staje się jedynie niejasny konflikt. Z tego względu standardowe środki zaradcze to obowiązek ujawniania informacji, prowadzenie rejestru, wykluczenie z danego przypadku oraz – w przypadku poważnych przypadków – dokumentowanie podjętych środków ochronnych.

Patrz także: Kodeks postępowania · Zarządzanie naruszeniami

Zgodność z przepisami prawnymi

Management naruszeń i zarządzanie sprawami

Zarządzanie naruszeniami reguluje postępowanie w przypadku wskazówek i podejrzeń: rejestracja, potwierdzenie, wewnętrzne dochodzenie, decyzja o konsekwencjach i opracowanie środków zapobiegawczych.

Zasady wewnętrznego badania

• Oddzielenie badania od decyzji dotyczącej konsekwencji
• Ochrona poufności i praw osób objętych danym przetwarzaniem
• Obowiązek zapewnienia dowodów przed pierwszym przesłuchaniem, a nie po nim
• Włączenie kwestii ochrony danych oraz, w stosownych przypadkach, rady pracowniczej
• Pełna dokumentacja każdego etapu
• Ostateczne rozwiązanie poprzez działania mające na celu usunięcie przyczyny – a nie jedynie przypadku indywidualnego

Patrz także: Przetwarzanie spraw w systemie zgłaszania informacji · Zarządzanie działaniami

Zgodność z przepisami prawnymi

Sprawozdawczość w zakresie zgodności

Raportowanie w zakresie zgodności informuje kierownictwo i radę nadzorczą o sytuacji ryzyka, liczbie przypadków, wskaźnikach szkoleniowych, statusie działań otwartych i zmianach regulacyjnych.

Wyraźny raport nie ogranicza się do danych aktywności. Liczba przeprowadzonych szkoleń mówi niewiele; pytanie, czy środki obejmują identyfikowane główne zagrożenia oraz czy kontrole działają, odpowiada na potrzeby informacyjne organu nadzorczego. Wyraźnie niskie liczby zgłoszeń nie są w tym przypadku sukcesem, lecz sygnałem alarmującym o braku zaufania do systemu zgłaszania.

Patrz także: System informowania o przestępstwach · Raportowanie ryzyka

Zgodność z przepisami prawnymi

Tone from the Top

Tone from the Top opisuje widoczne podejście kierownictwa firmy do integralności i lojalności wobec regulaminu – wyrażone w komunikacji, systemach celowniczych, decyzjach o awansie i w postępowaniu w przypadku wykrytych naruszeń.

Uważany jest on za najważniejszy czynnik indywidualny dla skuteczności CMS. Przyczyn jest prosta: pracownicy nie kierują się dokumentami, ale tym, co pozostaje bezczynnym w środowisku pracy. Jeśli silny kierownik sprzedaży jest awansowany pomimo udowodnionego naruszenia, każda szkolenie staje się bezużyteczna – stąd coraz częściej termin ten jest uzupełniany o „tone from the Middle", ponieważ średnia kadra kierownicza kształtuje codzienne życie.

Patrz także: Kultura przestrzegania przepisów

Zgodność z przepisami prawnymi

Wina organizacji

Wina organizacyjna oznacza naruszenie obowiązku organizowania działalności w taki sposób, aby zapobiec naruszeniom prawa. Zgodnie z § 30 i 130 OWiG przedsiębiorstwa oraz osoby kierujące nimi mogą zostać ukarane karami pieniężnymi w przypadku braku działań nadzorczych.

To jest główna prawna podstawa dokumentacji w systemie zarządzania treścią – i jednocześnie powód, dla którego dokumentacja nie jest celem samym w sobie: w postępowaniu przedsiębiorstwo musi wykazać jakie środki nadzoru zostały podjęte. Jeśli to nie zostanie udowodnione, władze uzasadniające się domyślają, że nie zostały podjęte żadne środki.

Patrz także: § 30, 130 OWiG · System zarządzania zgodnością

System informowania o przestępstwach

System zgłaszania nieprawidłowości i system informowania o przestępstwach

System zgłaszania informacji pozwala pracownikom i stronom trzecim na anonimowe zgłaszanie naruszeń prawa. Jest to jednocześnie obowiązek prawny oraz najskuteczniejszy instrument wykrywania: znacząca część wszystkich przestępstw gospodarczych jest wykrywana dzięki informacjom, a nie kontrolom lub badaniom.

Co decyduje o akceptacji

• Zaufanie do poufności: oddzielny system uprawnień, brak wglądu przez przełożonych
• Dostępność: kilka kanałów komunikacji, również dla osób trzecich i w językach używanych przez pracowników
• Opinia: Kto nigdy nie dowie się, czy coś się stało, nie zgłasza tego po raz drugi
• Oczywiste konsekwencje: anonimowa relacja z przetwarzanych spraw
• Ochrona przed represjami: nie tylko prawnie, ale także w sposób widoczny

Niski poziom zgłoszeń nie jest dowodem na jakość. System bez zgłoszeń jest zwykle systemem bez zaufania – a nie firmą bez naruszeń prawa.

Wprowadzenie i działanie

Wprowadzenie decyduje o późniejszym wykorzystaniu. Wykazane się jako przydatne jest wspólne opracowanie systemu z radą pracowniczą przed uruchomieniem, publikowanie regulaminu postępowania oraz formułowanie komunikacji nie jako obowiązkowego komunikatu, lecz jako zaproszenia: chodzi o to, aby jak najwcześniej wykrywać problemy, a nie o sygnalizowanie kolegów.

W działalności przedsiębiorstwa trzy wskaźniki są znaczące: liczba zgłoszeń w stosunku do liczby pracowników, udział zgłoszeń wdrożonych w formie działań oraz średni czas do pierwszej reakcji. Co ciekawe, nie tyle wysoka liczba zgłoszeń, co stały i bardzo niski poziom zgłoszeń wskazuje na brak zaufania lub niewystarczającą świadomość, a nie na lojalność wobec regulaminu.

Patrz także: Ustawa o ochronie informatorów · Instytucja do zgłaszania nieprawidłowości

System informowania o przestępstwach

Instytucja do zgłaszania nieprawidłowości

Wewnętrzny punkt zgłaszania informacji przyjmuje zgłoszenia, potwierdza ich otrzymanie, sprawdza ich prawidłowość, utrzymuje kontakt z osobą, która zgłosiła informacje oraz podejmuje dalsze działania. Przedsiębiorstwa zatrudniające ponad 50 pracowników muszą je ustanowić.

Osoby powołane do realizacji tego zadania muszą być niezależne i fachowo wykwalifikowane. Zadanie może zostać powierzone wewnętrznie – np. zespołowi ds. zgodności z przepisami prawa lub wewnętrznej rewizji – lub zlecić zewnętrznemu podmiotowi, najczęściej kancelarii prawniczej lub inspektora ochrony danych. W każdym przypadku odpowiedzialność za utworzenie i wypełnianie obowiązków pozostaje w gestii przedsiębiorstwa.

Patrz także: Strona zewnętrzna do zgłaszania informacji · Obowiązek zachowania poufności

System informowania o przestępstwach

Strona zewnętrzna do zgłaszania informacji

Oprócz wewnętrznego punktu zgłaszania informacji, osobom informującym jest dostępna zewnętrzna placówka – w Niemczech w Federalnym Urzędzie ds. Sprawiedliwości, w przypadku szczególnych kompetencji w BaFin oraz w Federalnym Urzędzie ds. Karteli.

Osoby informujące mają wybór między wewnętrznym i zewnętrznym sposobem komunikacji; obowiązek wcześniejszego zgłoszenia wewnętrznego nie istnieje. Właśnie w tym tkwi własny interes przedsiębiorstwa: łatwo dostępny i godny zaufania wewnętrzny system zwiększa prawdopodobieństwo, że błąd zostanie poinformowany najpierw wewnątrz firmy i zostanie on rozwiązany wewnątrz niej.

Patrz także: Instytucja do zgłaszania nieprawidłowości · HinSchG

System informowania o przestępstwach

Dyrektywa UE w sprawie sygnalistów

Dyrektywa (UE) 2019/1937 ustanawia ogólnopowiązany minimalny poziom ochrony dla osób zgłaszających naruszenia prawa Unii. Obowiązuje wewnętrzne procedury zgłaszania, określa terminy i zakazuje represji.

Dla firm z oddziałami w kilku państwach członkowskich implementacja na poziomie krajowym ma znaczenie: różni się ona w szczegółach, np. w zakresie dopuszczalności zgłoszeń ogólnych dla koncernu oraz w zakresie zakresu zastosowania. Możliwy jest system jednostkowy dla koncernu, jednak musi on spełniać ściślejsze wymogi krajowe.

Patrz także: Ustawa o ochronie informatorów

System informowania o przestępstwach

Anonimowe zgłoszenie

Anonimowe zgłoszenia są dokonywane bez ujawniania tożsamości. Zgodnie z przepisami ustawy o ochronie danych osobowych powinny one zostać zanalizowane; nie istnieje obowiązek utrzymywania anonimowych kanałów zgłaszania.

Niestety, nadal zalecane jest ich używanie. Przeszkoda staje się znacznie mniejsza, a dzięki anonimowym funkcjom dialogowym możliwe jest ponowne zadawanie pytań – co jest kluczowe, ponieważ anonimowe zgłoszenia bez możliwości ponownego zadawania pytań często są zbyt ogólne, by mogły zostać poddane analizie. Cyfrowe systemy rozwiązują to problem poprzez anonimowe skrzynki pocztowe z kodem dostępu.

Patrz także: Kanał zgłoszeń · Przetwarzanie wypadków

System informowania o przestępstwach

Kanał zgłoszeń

Kanale zgłoszeniowe to drogi, przez które można zgłaszać informacje – ustnie przez telefon, osobiście na życzenie, pisemnie lub za pomocą cyfrowego systemu zgłaszania.

Patrz także: Anonimowe zgłoszenie · Instytucja do zgłaszania nieprawidłowości

System informowania o przestępstwach

Przetwarzanie spraw w systemie zgłaszania informacji

Przetwarzanie zgłoszeń odbywa się zgodnie z zdefiniowanym procesem: potwierdzenie zgłoszenia, weryfikacja zgodności, badanie, decyzja o działaniach i powiadomienie osoby informującej.

Każdy krok należy dokumentować – w celu potwierdzenia przestrzegania terminu oraz w celu zapewnienia dowodów w przypadku późniejszych procedur prawnych w sprawach pracy lub przestępczości. Ponadto należy ustalić procedury postępowania w przypadku spraw, które dotyczą samych jednostek zgłaszających lub kierownictwa firmy: w tym przypadku konieczne jest zdefiniowanie z wyprzedzeniem procedury awaryjnej, zazwyczaj bezpośrednio do organu nadzorczego.

Patrz także: Zarządzanie naruszeniami · Terminy w procedurze zgłoszeniowej

System informowania o przestępstwach

Obowiązek zachowania poufności

Zakaz poufności zobowiązuje jednostkę zgłaszającą do ochrony tożsamości osoby składającej zgłoszenie, osób dotkniętych i innych osób wymienionych w zgłoszeniu. Podawanie informacji jest dozwolone jedynie w ściśle ograniczonych wyjątkowych przypadkach przewidzianych przez prawo.

Organizacyjnie to wymaga ściśle oddzielnego podejścia do uprawnień: przełożeniowi nie wolno mieć dostępu do spraw należących do jego własnego obszaru odpowiedzialności, a także administratorom IT nie wolno mieć dostępu do treści spraw. Właśnie w tej kwestii improwizowane rozwiązania, takie jak skrzynki pocztowe e-mail lub sieciowe dyski twarde, zawiedli.

Patrz także: Koncepcja rolek i praw · Zakaz represji

System informowania o przestępstwach

Zakaz represji

Osoby informujące nie mogą być dyskryminowane ze względu na zgłoszenie uzasadnione prawem – ani przez zwolnienie z pracy, wezwanie do postępowania sądowego ani przez odrzucenie awansu lub dalszego szkolenia.

Prawo zwraca ciężar dowodowy: jeśli osoba doświadczy dyskryminacji po zgłoszeniu, firma musi udowodnić, że ta dyskryminacja ma inne przyczyny. Praktycznie wynika to z jasnego zalecenia: działania wobec osób zgłaszających powinny być szczególnie starannie dokumentowane i należy je uprzednio prawnie zweryfikować.

Patrz także: HinSchG · System informowania o przestępstwach

System informowania o przestępstwach

Terminy w procedurze zgłoszeniowej

Zgodnie z HinSchG zgłoszenie musi zostać potwierdzone w ciągu siedmiu dni; informacja zwrotna o planowanych lub podjętych działaniach następczych musi zostać przekazana nie później niż trzy miesiące po potwierdzeniu otrzymania zgłoszenia.

Obaj terminy mają zastosowanie bez względu na to, czy informacja ta okaże się trafna, a jej naruszenie podlega karze pieniężnej. Powiadomienie nie może zagrozić trwającym śledztwom – jest więc dozwolone i zwyczajowe przekazywanie informacji o stanie postępowania bez szczegółów dotyczących treści i osób zaangażowanych. Monitorowanie terminów jest obowiązkowo zabezpieczone na poziomie systemu, nie w formie ponownego wyświetlania w kalendarzu.

Patrz także: HinSchG · Przetwarzanie wypadków

Łańcuch dostaw i ESG

Obowiązki ostrożnościowe w łańcuchu dostaw

Obowiązki ostrożności wymagają identyfikowania, unikania i minimalizowania ryzyka dla praw człowieka i środowiska w ramach własnej działalności oraz w stosunku do dostawców. Są one definiowane jako obowiązek podejmowania starań – należy podjąć odpowiednie i udokumentowane działania.

Właściwość jest mierzona przez cztery kryteria: rodzaj i zakres działalności gospodarczej, wpływ na sprawcę, ciężkość i odwracalność naruszenia oraz rodzaj wkładu w wywoływanie szkody. Są to kryteria, które stanowią miarę, według której ocenia się sprawę w ramach badania – i powód, dla którego małe przedsiębiorstwo dostarczające produkty ma obowiązek podjęcia innych działań niż koncern z bezpośrednim powiązaniem z krajami o wysokim ryzyku.

Patrz także: SCDDA · CSDDDD

Łańcuch dostaw i ESG

Analiza ryzyka według LkSG

Analiza ryzyka LkSG corocznie i w zależności od okoliczności identyfikuje ryzyka związane z prawami człowieka i ochroną środowiska w własnym obszarze działalności oraz u bezpośrednich dostawców.

Dwustopniowy proces

1. Abstraktowe badania ryzyka: Ocena portfela dostawców w oparciu o wskaźniki krajowe, ryzyka branżowe oraz ryzyka surowcowe – proces ten odbywa się w oparciu o dane z całego portfela.
2. Konkretne badania ryzyka: Wzmacnianie kontroli w stosunku do wybranych dostawców poprzez udzielanie deklaracji własnych deklaracji, audyty, wizyty na miejscu oraz zgłoszenia reklamacji.
3. Priorizacja: Waga według ciężkości, możliwości odwrócenia sytuacji, prawdopodobieństwa, wkładu w wywoływanie sytuacji oraz wpływu.
4. Odchylenie: Tłumaczenie w ramach działań zapobiegawczych oraz, w stosownych przypadkach, środków zaradczych z określeniami terminów.

Analiza powinna być ponownie przeprowadzana w zależności od okoliczności, gdy zmieni się profil ryzyka – na przykład w przypadku nowych rynków zakupu, nowych produktów lub istotnej wiedzy na temat naruszeń przez pośrednich dostawców.

Patrz także: Ocena dostawców · Środki zapobiegawcze

Łańcuch dostaw i ESG

Środki zapobiegawcze

Środki zapobiegawcze mają na celu uniemożliwienie wystąpienia rozpoznanych zagrożeń do sytuacji naruszających przepisy. Powinny one zostać wdrożone w ramach własnej działalności oraz wobec bezpośrednich dostawców i co najmniej raz w roku podlegać ocenie skuteczności.

• Utrwalenie oczekiwań w warunkach zakupowych i kodeksie dostawców
• Uwzględnianie kryteriów zrównoważonego rozwoju przy wyborze i udzielaniu zamówień
• Kursy szkoleniowe dotyczące zakupów, zapewnienia jakości oraz dotkniętych obszarów specjalizacji
• Umowy gwarantujące dalsze przekazywanie informacji w łańcuchu dostaw
• Mechanizmy kontroli oparte na ryzyku, takie jak audyty i próby losowe

Patrz także: Audyt dostawców · Środki zaradcze

Łańcuch dostaw i ESG

Środki zaradcze

Wystąpił naruszenie lub istnieje bezpośrednie zagrożenie wystąpienia takiego naruszenia, należy podjąć działania zaradcze. W obrębie własnego przedsiębiorstwa należy zakończyć ten czyn; w przypadku dostawców należy opracować plan działania z konkretnym terminem realizacji.

Przerwanie relacji handlowych jest wyraźnie ostatnim środkiem. Rząd zakłada, że wycofanie się zwykle pogorszy sytuację osób dotkniętych tymi działaniami – dlatego najpierw oczekuje współpracy mającej na celu poprawę sytuacji, a w razie potrzeby w połączeniu z innymi klientami.

Patrz także: Środki zapobiegawcze · Procedura składania skarg

Łańcuch dostaw i ESG

Podstawa prawna

Oświadczenie podstawowe to publiczne zobowiązanie kierownictwa do przestrzegania praw człowieka. Nie jest to dokument wytyczający kierunki działalności, lecz dokument o określonym minimalnym zakresie treści.

• Opis procedury służącej do określenia ryzyka
• Określenie priorytetowych zagrożeń dla przedsiębiorstwa
• Określenie oczekiwań w zakresie praw człowieka i ochrony środowiska wobec pracowników i dostawców
• Komunikacja z pracownikami, radą zakładową, dostawcami i społeczeństwem

Patrz także: SCDDA · Rzecznik praw człowieka

Łańcuch dostaw i ESG

Informowanie organu regulacyjnego

Obowiązkowi podawanie informacji przedsiębiorstwa dokumentują swoje obowiązki ostrożnościowe i składają raport do właściwego organu, który jednocześnie jest publicznie dostępny.

W treści opisuje identyfikowane ryzyka, podjęte działania, ich ocenę skuteczności oraz wnioski wyciągnięte z nich. Objętość, format i częstotliwość podlegają bieżącej europejskiej harmonizacji; podstawowe obowiązek dokumentowania pozostaje nienaruszony – kto prowadzi czysty rejestr może korzystać z dowolnej formy raportowania.

Patrz także: SCDDA · CSDDDD

Łańcuch dostaw i ESG

Rzecznik praw człowieka

Rzecznik ds. praw człowieka monitoruje zarządzanie ryzykiem w zakresie obowiązków ostrożnościowych i regularnie informuje kierownictwo firmy, co najmniej raz w roku.

Funkcja ta może być powiązana z istniejącymi rolami – Compliance, Zrównoważony Rozwój lub Kierownictwo Zakupowe –, jednak musi być wyraźnie przydzielona i wyposażona w wystarczające uprawnienia. Konflikt interesów należy unikać: osoba odpowiedzialna za ceny zakupowe nie powinna decydować samodzielnie o tym, czy dostawca zostanie zastąpiony z powodu ryzyka naruszeń praw człowieka.

Patrz także: Podstawa prawna

Łańcuch dostaw i ESG

Procedura składania skarg

Procedura składania skarg pozwala osobom zaangażowanym w łańcuch dostaw zwracać uwagę na ryzyka i naruszenia. Wymagania to obejmują dostępność – także w formie języka – poufność, ochronę przed dyskryminacją oraz publicznie dostępną regulaminę postępowania.

W praktyce często jest ono technicznie połączone z systemem zgłaszania incydentów. To dopuszczalne i logiczne, ale wymaga dostosowań: wielojęzyczna obsługa, łatwy dostęp bez konieczności logowania się do firmy oraz procesowanie spraw, który również właściwie traktuje zgłoszenia od osób trzecich.

Patrz także: System informowania o przestępstwach · Środki zaradcze

Łańcuch dostaw i ESG

Ocena dostawców

Ocena dostawców klasyfikuje dostawców według poziomu ryzyka oraz łączy kryteria jakościowe, dostawcze i zrównoważone rozwoju z ryzykami krajowymi i branżowymi.

Patrz także: Analiza ryzyka według LkSG · Dohled nad podmiotami trzecimi

Łańcuch dostaw i ESG

Audyt dostawców

Audyt dostawców sprawdza na miejscu lub zdalnie, czy dostawca przestrzega uzgodnionych standardów. Dodatkowo doświadcza samodzielnych deklaracji, które same w sobie zwykle nie wystarczą jako dowód.

Jest ono skuteczne dzięki trzem elementom: nieplanowanym lub krótkoterminowo zapowiedzianym terminom z podwyższonym ryzykiem, uwzględnieniu rozmów z pracownikami zamiast wyłącznie kontroli dokumentów oraz wiążącym planom działań z kontrolą końcową. Audyt bez dalszego monitorowania generuje dokumentację, ale nie przynosi żadnych usprawnień.

Patrz także: Ocena dostawców · Środki zapobiegawcze

Łańcuch dostaw i ESG

Informacje z zakresu zrównoważonego rozwoju

Relacje z zakresu zrównoważonego rozwoju ujawniają informacje dotyczące środowiska naturalnego, społecznych aspektów działalności oraz zarządzania zgodnie z wiążącymi standardami. Dzięki CSRD stanowią one część raportu bieżącego, które może być sprawdzane i analizowane w formie cyfrowej.

W przypadku danych niefinansowych obowiązują zatem te same wymagania co w przypadku danych finansowych: zdefiniowane procesy, kontrole, możliwość sprawdzenia pochodzenia danych oraz prowadzenie dokumentacji. To jest w istocie rewolucja – nie chodzi o treść raportów, lecz o konieczność wprowadzenia systemu kontroli dla danych, które dotychczas pochodziły z ankiet Excelowych i szacunków.

Patrz także: CSRD · IDW PS 982

Łańcuch dostaw i ESG

Dwukrotna analiza istotności

Analiza podwójnej istotności określa, jakie tematy z zakresu zrównoważonego rozwoju należy raportować. Badana są dwie kierunki: wpływ działalności przedsiębiorstwa na ludzi i środowisko oraz finansowe konsekwencje tematów związanych z zrównoważonym rozwojem dla przedsiębiorstwa.

Temat jest obowiązkowy do zgłaszania, jeśli dotyczy jedna dwa aspekty są zasadnicze. Analiza wraz z włączeniem zainteresowanych stron, wartościami progowymi oraz uzasadnieniem wyników powinny zostać całkowicie udokumentowane – jest to pierwszy punkt kontrolny.

Postępowanie w praktyce

1. Tematyczne obszary obejmują: opierając się na tematach ESRS, uzupełnionych o specyficzne dla branży zagadnienia w ramach własnej łańcucha wartości dodanej
2. Identyfikacja i zaangażowanie interesariuszy: Pracownicy, klienci, dostawcy, inwestorzy, społeczności dotknięte
3. Ocena wpływu: za każdy temat – stopień zagrożenia, zakres, nieodwracalność oraz – w przypadku potencjalnych skutków – prawdopodobieństwo
4. Ocena znaczenia finansowego: Ryzyka i szanse z uwzględnieniem prawdopodobieństwa wystąpienia i finansowego wpływu, metodologicznie identyczne z zarządzaniem ryzykiem
5. Definowanie i uzasadnianie progu ryzyka – najczęściej skargowany krok
6. Dokumentowanie wyniku: Lista tematów, ocena, bariery, uczestnicy, decyzje

Perspektywa finansowa powinna być uzupełniana istniejącym procesem ryzyka, a nie tworzona równolegle z nim. W przeciwnym razie powstają dwie oceny tego samego zdarzenia, które w razie wątpliwości się pokrywają – stwierdzenie, które każdy audytor natychmiast zauważy.

Patrz także: ESRS · Ważność

Łańcuch dostaw i ESG

Ryzyka ESG

Ryzyka ESG to ryzyka związane z czynnikami środowiskowymi, społecznymi i zarządzania, które mogą mieć wpływ na finanse – takie jak opłata za emisję dwutlenku węgla, zakłócenia w łańcuchu dostaw spowodowane ekstremalnymi warunkami pogodowymi, szkody reputacyjne oraz trudności w pozyskiwaniu kapitału.

Nie są to własne kategorie ryzyka, lecz rodzaje przyczyn. Metodologicznie należy do istniejącego katalogu ryzyka z tymi samymi skalami i tą samą logiką agregacji. Ich specyfika polega na czasie trwania: podczas gdy operacyjne ryzyka działają w okresie planowania, ryzyka związane z klimatem często zaczynają działać dopiero po pięciu lub dziesięciu latach – co wymaga odrębnego rozpatrywania okresów czasowych.

Patrz także: Ryzyka związane z zrównoważonym rozwojem w RMS · Ryzyki związane z klimatem

Łańcuch dostaw i ESG

Ryzyki związane z klimatem

Ryzyka związane z klimatem można podzielić na ryzyka fizyczne i przejściowe. Ryzyka fizyczne wynikają z ekstremalnych zjawisk pogodowych oraz długoterminowych zmian klimatycznych, a ryzyka przejściowe wynikają z przejścia na gospodarkę neutralną pod względem emisji dwutlenku węgla.

Obaj typy należy analizować w oparciu o scenariusze z różnych perspektyw czasowych – ESRS wyraźnie wymagają tego w przypadku analizy scenariuszy.

Patrz także: Analiza scenariuszy · TCFD

Łańcuch dostaw i ESG

Emisje Scope-1, -2 i -3

Przedmiotowy protokół Greenhouse Gas podziela emisje gazów cieplarnianych na trzy kategorie: bezpośrednie emisje pochodzące z własnych źródeł, pośrednie emisje wynikające z zużywanej energii oraz wszystkie pozostałe emisje w łańcuchu wartości dodanej.

Zakres 3 jest w większości branż najliczniejszym blokiem – często przekraczającym osiemdziesiąt procent całkowitych emisji – a zarazem najtrudniejszym pod względem danych. Zwykły sposób postępowania polega na zastosowaniu współczynników średnich w pierwszym etapie oraz stopniowym zastępowaniu podstawowych danych dostawców danymi pochodzącymi bezpośrednio od nich.

Postępowanie w przypadku Scope 3

1. Przeglądaj piętnaście kategorii Scope-3 pod kątem znaczenia – najczęściej trzy do pięciu są istotne
2. W pierwszym roku należy liczyć się z czynnikami średnich na podstawie wielkości zakupów i ilości
3. Zidentyfikuj największe źródła emisji i zapytaj dostawców o podstawowe dane
4. Dokumentowanie jakości danych według kategorii – dane podstawowe, dane wtórne lub szacunki
5. Planowanie stopniowego rozwoju zamiast natychmiastowej pełnej rejestracji

Standard raportowania nie wymaga doskonałej informacji, ale wymaga jednak przejrzystości w zakresie metodologii i niepewności. Otwarta szacunkowa wartość, wywodzona w sposób zrozumiały, jest bardziej wiarygodna niż fałszywie dokładna liczba bez podania źródeł.

Patrz także: Obliczanie emisji CO₂ · ESRS

Łańcuch dostaw i ESG

Obliczanie emisji CO₂

Kalkulacja emisji dwutlenku węgla systematycznie identyfikuje emisje gazów cieplarnianych przedsiębiorstwa, najczęściej zgodnie z Greenhouse Gas Protocol. Jest ona podstawą dla celów redukcyjnych, planów transformacji oraz raportowania zgodnie z ESRS.

Najpierw należy ustalić granice bilansu: które firmy zostaną uwzględnione, w oparciu o udział lub kontrolę? Bez tego ustalenia porównania na przestrzeni lat będą bezwartościowe. Także ważne jest stałe podstawowe określenie roku kalendarzowego z definicjami dla aktualizacji w przypadku zakupów i sprzedaży – w przeciwnym razie emisje spadną w kalkulacji, bez względu na to, co się zmieniło.

Patrz także: Emisje skaliowe · Greenwashing

Łańcuch dostaw i ESG

TCFD

Zalecenia Grupy Roboczej ds. Opublikowywania Informacji Finansowych w Temacie Klimatycznym strukturyzują raportowanie na temat ryzyka związanego z klimatem w oparciu o cztery filary: zarządzanie, strategię, zarządzanie ryzykiem oraz wskaźniki i cele.

W dużej mierze zostały one włączone w ESRS oraz w międzynarodowe standardy, kształtując ich strukturę do dziś. Dlatego dla firm, które już raportowały zgodnie z TCFD, przejście na ESRS jest raczej poszerzeniem, a nie nowym początkiem – w szczególności element zarządzania ryzykiem można w dużej mierze wdrożyć.

Patrz także: Ryzyki związane z klimatem · ESRS

Łańcuch dostaw i ESG

Greenwashing

Greenwashing to przedstawianie produktów lub firm jako bardziej ekologicznych, niż w rzeczywistości są. To ryzyko związane z przestrzeganiem przepisów i odpowiedzialnością, a nie wyłącznie kwestia komunikacji.

Nieprawidłowe oświadczenia w sprawie środowiska są zagrożone prawnie; w praktyce często występują skargi reklamacyjne i pozwolenia na przestrzeganie przepisów. Dodatkowo, w przypadku informacji wymagających zgłoszenia, występują konsekwencje prawne dla organów nadzoru. Najskuteczniejszą formą zapobiegania jest proces udostępniania informacji dotyczących zrównoważonego rozwoju, opartych na udokumentowanych danych – ta sama logika od dawna jest oczywista w komunikacji finansowej.

Patrz także: Informacje z zakresu zrównoważonego rozwoju · Obliczanie emisji CO₂

Łańcuch dostaw i ESG

Ryzyka związane z ochroną środowiska w systemie zarządzania ryzykiem

Ryzyka związane z zrównoważonym rozwojem metodologicznie wchodzą w skład istniejącego systemu zarządzania ryzykiem: ta sama logika oceny, te same skaly, ta sama agregacja.

Oddzielny rejestr ryzyka ESG prowadzi do sprzecznych deklaracji wobec rady nadzorczej i audytora oraz uniemożliwia ujawnienie ryzyka dla zrównoważonego rozwoju w ogólnej sytuacji ryzyka. W praktyce integracja oznacza: ESG jest uzupełniana jako kategoria przyczyn, ocena jest prowadzona w tych samych ramach czasowych, a horyzonty czasowe są poszerzane o aspekty średnio- i długoterminowe.

Patrz także: Ryzyka ESG · Kategorie ryzyka

Łańcuch dostaw i ESG

Kernowe normy pracy Międzynarodowej Organizacji Pracy

Główna norma pracy Międzynarodowej Organizacji Pracy obejmuje wolność związków zawodowych i prawo do negocjacji zbiorowych, zakaz pracy przymusowej i pracy dzieci, zakaz dyskryminacji oraz ochronę zdrowia i bezpieczeństwa pracy.

Stanowią one podstawę prawną prawnych pozycji chronionych w LkSG oraz w europejskich regulaminach. Dla praktyki oznacza to, że kodeks dostawców, deklaracja własna oraz katalog audytowy powinny opierać się na tych normach, aby potwierdzenia były zgodne z wymogami prawnymi.

Patrz także: Obowiązki ostrożnościowe · Audyt dostawców

Łańcuch dostaw i ESG

Minerale konfliktu

Rozporządzenie UE w sprawie minerałów konfliktowych zobowiązuje importerów cyny, tantal, wolframu i złota do przestrzegania obowiązków ostrożnościowych w łańcuchu dostaw, aby zapobiec finansowaniu konfliktów zbrojnych.

Wymagane są system zarządzania, analiza ryzyka w całym łańcuchu dostaw aż po proces wytopienia, niezależne badania przez osoby trzecie oraz coroczne ujawnianie wyników. Podmiotów, które nie importują same produkty, dotyczy to również pośrednio: są oni proszeni przez klientów o informacje o pochodzeniu produktów i muszą do tego celu podać dane swoich własnych dostawców.

Patrz także: Obowiązki ostrożnościowe

IT i bezpieczeństwo informacji

ISMS

System zarządzania bezpieczeństwem informacji to zorganizowany system ochrony poufności, integralności i dostępności informacji. Obejmuje on politykę bezpieczeństwa, role, analizę ryzyka, działania oraz ciągłe doskonalenie.

Metodologicznie jest to zgodne z procesem zarządzania ryzykiem – dlatego ISMS i RMS powinny korzystać z tej samej skali oceny. W praktyce często działają one oddzielnie: IT ocenia ryzyko w kategoriach zagrożenia, a zarządzanie ryzykiem w euro. W rezultacie ryzyko IT oznaczane jako „wysokie" nie pojawia się w ogólnym wskaźniku ryzyka. Dlatego połączenie obu skal stanowi jeden z najbardziej skutecznych kroków integracyjnych.

Patrz także: ISO 27001 · Oceny potrzeb ochronnych

IT i bezpieczeństwo informacji

ISO 27001

ISO/IEC 27001 jest wiodącym na świecie certyfikowalnym standardem dla systemów zarządzania bezpieczeństwem informacji. Wersja z 2022 roku podziela działania zawarte w załączniku A na cztery obszary tematyczne: organizacyjne, kadrowe, fizyczne i technologiczne.

W biznesie B2B certyfikacja staje się coraz częściej warunkiem zatwierdzenia dostawcy, zwłaszcza w przypadku dostawców usług w chmurze i IT oraz w branżach automotive i ochrony zdrowia. Wartość pracy tkwi mniej w technologii niż w dokumentacji: zakresie zastosowania, planie zarządzania ryzykiem, deklaracji dotyczącym stosowania oraz dowodzie na realizację cyklu doskonalenia.

Typowy przebieg projektu

1. Definowanie zakresu zastosowania – które lokalizacje, procesy i systemy zostaną uwzględnione?
2. Przyjęcie wytycznych bezpieczeństwa i określenie obowiązków
3. Wartości i systemy identyfikować, określać potrzeby ochrony
4. Przedstawienie analizy ryzyka i opracowanie planu zarządzania ryzykiem
5. Przedyskutuj działania zawarte w załączniku A, wybierz je i przygotuj wyjaśnienie dotyczące ich stosowania
6. Wdrożenie, szkolenie, wewnętrzny audyt i ocena zarządzania
7. Audyt certyfikacji w dwóch etapach, następnie coroczne audyty kontrolne

Realistyczna prognoza to od dziewięciu do osiemnastu miesięcy do uzyskania certyfikatu, w zależności od poziomu rozwoju. Największy koszt to rzadko technologia, ale dokumentacja istniejących procedur – wiele z nich już działa bezpiecznie, jedynie nie jest to wykrywalne.

Patrz także: ISMS · BSI – podstawowe zabezpieczenie IT

IT i bezpieczeństwo informacji

BSI – podstawowe zabezpieczenie IT

Grupa BSI oferuje podstawowe zabezpieczenia informatyczne w postaci metodycznego podejścia z szerokim zakresem elementów dla typowych systemów i procesów. Za pomocą standardów BSI 200-1 do 200-4 obejmuje on system zarządzania, procedury, analizę ryzyka oraz ciągłość działalności.

W porównaniu do ISO 27001 jest on wyraźnie bardziej konkretny: zamiast wymagać „odpowiednich środków", określa je według zasad modułowych. To znacznie zmniejsza nakład na opracowanie dokumentacji, ale zwiększa jej zakres dokumentacji. W sektorze publicznym i u jego wykonawców jest to standardem faktycznym; certyfikacja na podstawie ISO 27001 jest możliwa.

Patrz także: ISO 27001 · Management ciągłości działalności biznesowej

IT i bezpieczeństwo informacji

Oceny potrzeb ochronnych

Określenie potrzeb ochrony klasyfikuje aplikacje, systemy i dane w kategoriach poufności, integralności i dostępności – zazwyczaj w poziomach normalny, wysoki i bardzo wysoki.

Ona steruje głębokością następującej analizy ryzyka oraz wyborem środków i zapobiega inwestowaniu w ten sam sposób w każdym miejscu. Dwa zasady dziedziczenia mają znaczenie: potrzeba ochrony aplikacji przekłada się na systemy, w których ta aplikacja działa (zasada maksymalności), a mnożenie wielu systemów o normalnym poziomie zapotrzebowania może w sumie stanowić przyczynę zwiększonego zapotrzebowania (efekt kumulacji).

Patrz także: ISMS · Analiza wpływu biznesowego

IT i bezpieczeństwo informacji

Analiza wpływu biznesowego (BIA)

Business Impact Analysis określa, które procesy biznesowe są kluczowe pod względem czasu i jakie szkody spowodowałoby ich awaria w danym czasie. Wynikem jest czas ponownego uruchomienia i ustalenie priorytetów.

Postępowanie

1. Zgromadzenie procesów biznesowych i wyznaczanie osób odpowiedzialnych
2. Określenie przebiegu szkody w czasie: Ile kosztuje awaria po 4 godzinach, 1 dniu, 1 tygodniu?
3. Definowanie maksymalnego tolerowanego czasu przestoju dla każdego procesu
4. Opracowanie zależności: systemy informatyczne, lokalizacje, personel, dostawcy
5. Wyciągnąć z tego RTO i RPO dla systemów wspomagających

Najczęstszym błędem jest pozostawienie realizacji BIA w gestii IT. Zakładanie, jak długo proces może trwać, należy do kompetencji działu IT – ten ustala wymagania techniczne.

Patrz także: Management ciągłości działalności biznesowej · RTO i RPO

IT i bezpieczeństwo informacji

Zarządzanie ciągłością działalności (BCM)

Management ciągłości działania biznesowego zapewnia utrzymanie kluczowych procesów biznesowych w przypadku poważnych awarii. Obejmuje on analizę skutków dla biznesu, strategie awaryjne, plany awaryjne, ćwiczenia oraz bieżącą aktualizację.

Formaty ćwiczeń

Codzienny ćwiczenie w warunkach symulacji z pomocą sztabu kryzysowego oraz techniczny test ponownego uruchomienia najważniejszych systemów stanowią realistyczne minimum. Decydujące znaczenie ma jego kontynuacja: bez udokumentowanych wniosków i wyciągniętych z nich działań ćwiczenie pozostanie bezowocne.

Patrz także: Analiza wpływu biznesowego · Zarządzanie awariami

IT i bezpieczeństwo informacji

Zarządzanie awariami

Zarządzanie awariami reguluje alarmowanie, pracę zespołów kryzysowych, komunikację oraz ponowne uruchomienie w przypadku poważnych awarii. Definuje role i uprawnienia decyzyjne w sytuacjach, w których normalne procedury nie działają.

Typowymi słabymi punktami są przestarzałe listy kontaktowe, plany, które znajdują się wyłącznie w wyczerpanym systemie, oraz niejasne uprawnienia decyzyjne – na przykład kwestia tego, kto może decydować o wyłączeniu produkcji w nocy. Kryzysowy sztab potrzebuje również zdefiniowanego grona przedstawicieli: sytuacja kryzysowa nie podlega planom urlopowym.

Patrz także: BCM · Przewodnik w sytuacjach awaryjnych IT

IT i bezpieczeństwo informacji

RTO i RPO

Ziel czasu odzyskiwania określa czas, w którym system musi być ponownie dostępny po awarii. Cel punktu odzyskiwania opisuje maksymalny tolerowany poziom utraty danych, mierzony jako okres od ostatniej kopii zapasowej.

Obaj wskaźniki są ustaleni przez dział ds. analizy wpływu biznesowego – są to decyzje zarządcze, a nie techniczne.

Patrz także: Analiza wpływu biznesowego

IT i bezpieczeństwo informacji

Przewodnik w sytuacjach awaryjnych IT

Przewodnik informatyczny w sytuacjach awaryjnych dokumentuje systemy, zależności, cykle uruchomienia awaryjnego, osoby do kontaktu oraz działania natychmiastowe.

Musi być dostępne offline i w alternatywnym miejscu – podręcznik, który znajduje się wyłącznie na zaszyfrowanym dysku sieciowym, jest bezwartościowy w przypadku ataku ransomware. Wypróbowane metody to drukowane kopie w określonych miejscach oraz kopia w zewnętrznym dostawcy usług, uzupełniona roczną aktualizacją zgodnie z procedurami ewakuacyjnymi.

Patrz także: Zarządzanie awariami · Ryzyko cybernetyczne

IT i bezpieczeństwo informacji

NIS2

Dyrektywa NIS-2 rozszerza europejskie wymogi bezpieczeństwa cybernetycznego na znacznie więcej sektorów i przedsiębiorstw. Są wymagane działania zarządzania ryzykiem w zakresie bezpieczeństwa sieci i informacji, obowiązki zgłaszania poważnych incydentów, wymogi dotyczące łańcucha dostaw oraz wyraźna odpowiedzialność i obowiązek szkolenia organów kierowniczych.

Zakres działań wymaganych

• Analiza ryzyka i koncepcje bezpieczeństwa systemów informatycznych
• Rachunki za incydenty związane z bezpieczeństwem
• Działanie systemu, zarządzanie kopiami zapasowymi oraz zarządzanie kryzysami
• Bezpieczeństwo łańcucha dostaw, w tym relacje z dostawcami usług
• Bezpieczeństwo przy zakupie, rozwoju i utrzymywaniu systemów
• Ocena skuteczności działań
• Cyberhygiene i szkolenia
• Kryptografia, kontrola dostępu, zarządzanie aktywami, wieloczynnikowa uwierzytelnianie

Nowe i praktycznie znaczące jest osobiste zaangażowanie organów kierowniczych: muszą one zatwierdzić działania, monitorować ich realizację i być samokształcającymi się.

Pierwsze kroki w realizacji

1. Przeglądaj wrażliwość: Sektor, kryteria wielkości i rola w łańcuchu dostaw – przedsiębiorstwa nieobjęte tymi kryteriami są również uwzględniane w oparciu o wymagania klientów.
2. Analiza luki: Istniejące środki ochrony w obszarach wymaganych przez normę ISO 27001 lub podstawowe zabezpieczenia IT powinny idealnie pokrywać się z tymi środkami.
3. Rozpoczęcie procesu zgłoszeniowego: Kto rozpoznaje poważny incydent, kto decyduje o zgłoszeniu, kto zgłasza incydent w terminie?
4. Włączanie łańcucha dostaw: Wprowadzenie wymogów bezpieczeństwa w umowach z dostawcami usług IT.
5. Kształcenie organów kierowniczych i dokumentowanie decyzji – należy wykazać zgodę na podjęcie działań.

Kto już stosuje system zarządzania bezpieczeństwem informacji (ISMS) zgodnie z ISO 27001, spełnia znaczną część wymagań. Luki występują zazwyczaj w procesach zgłaszania incydentów, bezpieczeństwie łańcucha dostaw oraz w udokumentowanej integracji z kierownictwem firmy.

Patrz także: Zarządzanie incydentami · Management outsourcingu

IT i bezpieczeństwo informacji

DORA

Ustawa Digital Operational Resilience Act ustanawia jednolityi wymogi dotyczące odporności operacyjnej w sektorze finansowym w Europie.

Rozporządzenie reguluje pięć obszarów: zarządzanie ryzykiem związanym z ICT, postępowanie i zgłaszanie zdarzeń związanych z ICT, testowanie odporności cyfrowej, w tym testy penetracji z wykorzystaniem zagrożeń, zarządzanie ryzykiem związanym z podmiotami trzecimi w zakresie ICT z obowiązkowymi treściami umownymi oraz wymianę informacji na temat zagrożeń cybernetycznych. Dla usługodawców z sektora finansowego jest ona również istotna poza branżą: ich umowy muszą zawierać wymagane klauzule.

Patrz także: Management outsourcingu · MaRisk

IT i bezpieczeństwo informacji

Ryzyko cybernetyczne

Ryzyka cybernetyczne obejmują ataki takie jak ransomware, utrata danych oraz social engineering, a także awarie wynikające z wad technicznych. Charakterystyczną cechą jest połączenie wysokiego prawdopodobieństwa wystąpienia zdarzeń oraz potencjalnie zagrożonej wysokości szkody.

Skuteczne składniki

• Przerwa w działalności – najczęściej największy koszt
• Koszty odzyskiwania systemów i danych
• Forensic science, legal advice, crisis communication
• Kary umowne i odszkodowania wobec klientów
• Kary pieniężne za naruszenia przepisów w zakresie ochrony danych osobowych lub obowiązków zgłaszania naruszeń
• Zniszczenie reputacji i odwracanie klientów

W agregacji ryzyka cyberzagrożenia regularnie plasują się w czołówce czynników wpływających na całkowitą pozycję ryzyka – i są to jedne z niewielu przypadków, w których ubezpieczenie zmienia wskaźniki w sposób istotny.

Patrz także: Reakcja na incydenty · BCM

IT i bezpieczeństwo informacji

Zarządzanie incydentami

Management incydentów to zorganizowany sposób postępowania w przypadku zdarzeń: rejestracja, klasyfikacja, ustalenie priorytetów, przetwarzanie, rozwiązywanie i ocena.

Oprócz eliminacji zakłóceń dostarcza ona empirycznej podstawy danych do zarządzania ryzykiem. Zdarzenia występujące są najbardziej wiarygodnym źródłem do kalibrowania prawdopodobieństwa wystąpienia zdarzeń oraz wysokości szkód – pod warunkiem, że są one w pełni rejestrowane i oceniane w oparciu o ich rzeczywiste koszty. Dokładnie ta relacja zwrotna brakuje w większości firm.

Patrz także: Reakcja na incydenty · Ocena ryzyka

IT i bezpieczeństwo informacji

Reakcja na incydenty

Response do incydentów określa planowaną reakcję na incydenty bezpieczeństwa w fazach przygotowania, wykrywania, ograniczenia, eliminacji, przywracania i ponownego uruchomienia.

Ważne są z góry zdefiniowane role, zabezpieczone drogi komunikacji poza potencjalnie zagrożonym środowiskiem oraz przestrzeganie ustawowych terminów zgłaszania – zgodnie z RODO zazwyczaj 72 godziny wobec organu nadzorczego, a w przypadku NIS2 – pierwsza zgłoszenie w ciągu 24 godzin dla dotkniętych podmiotów. Kto analizuje te terminy dopiero w nagłych wypadkach, traci je.

Patrz także: NIS2 · Zarządzanie awariami

IT i bezpieczeństwo informacji

Zarządzanie lukiami bezpieczeństwa

Zarządzanie lukami zabezpieczającymi systematycznie identyfikuje, ocenia i usuwa luki bezpieczeństwa techniczne: inventar aktywów, regularne skany, ocena ryzyka i krytyczności, priorytetowe aktualizowanie i monitorowanie luk.

Bez pełnego rejestru aktywów zarządzanie ogniwami bezpieczeństwa pozostaje niekompletne – systemy nieinwentaryzowane nie są skanowane ani aktualizowane. Drugim krytycznym punktem jest priorytetyzacja: liczba znanych luk w zabezpieczeniach przekracza możliwości aktualizacji, dlatego należy uwzględniać faktyczną możliwość wykorzystania w środowisku własnym, a nie jedynie stopień zaawansowania.

Patrz także: ISMS · Ryzyko cybernetyczne

IT i bezpieczeństwo informacji

Zarządzanie outsourcingiem i zarządzanie stronami trzecimi

Zarządzanie outsourcingiem kontroluje ryzyka związane z zaangażowaniem zewnętrznych dostawców usług: ocena ryzyka przed udzieleniem zamówienia, zabezpieczenie umowy w zakresie praw do informacji, przekazywania rozkazów i kontroli, stała kontrola oraz scenariusze wyjścia z umowy.

Jest ono uregulowane w MaRisk, DORA i NIS2 – i jest to obszar, w którym cyberzagrożenia występują najczęściej: nie w własnym sieci, ale u dostawcy usług.

Patrz także: DORA · NIS2

IT i bezpieczeństwo informacji

TISAX

TISAX to mechanizm testowania i wymiany informacji w zakresie bezpieczeństwa informacji w przemyśle motoryzacyjnym, oparty na katalogu VDA-ISA.

Oceny są dzielone za pośrednictwem centralnej platformy między producentem a dostawcą i zastępują powtarzające się indywidualne audyty. Kontrola odbywa się w kilku etapach, w zależności od poziomu ochrony przetwarzanych informacji – od samooceny po kontrolę na miejscu z rozszerzonymi wymaganiami dotyczącymi ochrony prototypów. Dla dostawców ważna etykieta jest regularnie warunkiem udzielenia zamówienia.

Patrz także: ISO 27001 · ISMS

Rządzenie

Rządzenie

Governance oznacza ramy regulacyjne zarządzania przedsiębiorstwem i nadzorowania go: kompetencje, drogi decyzyjne, mechanizmy kontroli oraz linie komunikacyjne między kierownictwem, organami nadzorczymi a udziałowcami.

Stwarza strukturę, w ramach której zarządzanie ryzykiem i przestrzeganie przepisów może w ogóle zostać skutecznie wdrożone. W praktyce konkretizuje się to w regulaminach działalności, zastrzeżeniach zgody, regulaminach reprezentacji, obowiązkach raportowania oraz składzie organów. Brak rządów prawnych rzadko pojawia się jako problem abstrakcyjny, ale jako konkretne pytanie: kto miał w zasadzie podjąć tę decyzję?

Patrz także: GRC · Kodeks ładu korporacyjnego

Rządzenie

GRC

GRC oznacza zarządzanie, ryzyko i zgodność oraz opisuje zintegrowany sposób prowadzenia tych trzech dyscyplin przy użyciu wspólnej metodyki, jednolitej bazy danych i zintegrowanych procesów.

Celem jest eliminacja pracy dwukrotną. W rozwiniętych strukturach zarządzanie ryzykiem, IT security, compliance, bezpieczeństwo danych osobowych, informatyka wewnętrzna i rewizja wewnętrzna wielokrotnie wykorzystują te same procesy, w różnych skaliach i w oddzielnych plikach. Dla działów oznacza to pięć zapytań w ciągu roku dotyczących tych samych zagadnień – a dla kierownictwa pięć raportów, które się wzajemnie sprzeciwiają.

Gdzie integracja konkretnie oszczędza wysiłek

• Mapa procesów zamiast czterech – przydatne w przypadku IKS, audytu, ochrony danych osobowych oraz planowania awaryjnego
• Kontrola wielokrotnego użytku: Jednorazowo przetestowane, wykorzystane do raportowania IKS, ryzyka netto, audytu i certyfikacji
• Zbiór środków zaradczych zamiast oddzielnych list dla każdej funkcji
• Okres zbierania danych w przypadku dziedzin specjalizacyjnych zamiast czterech pytań w roku
• Podstawę raportowania dla kierownictwa i organów nadzorczych

Oporność wobec integracji pojawia się rzadko w środowiskach specjalistycznych – one najbardziej odczuwają jej konsekwencje – ale raczej w działach drugiego rzędu, które muszą zrezygnować z własnej metodyki i procedur raportowania. Dlatego wprowadzenie jest przede wszystkim projektem organizacyjnym, a nie oprogramowania.

Patrz także: Zintegrowany GRC · Model Three Lines

Rządzenie

Zintegrowany GRC

Zintegrowany system GRC łączy ryzyka, kontrole, działania, ustalenia z badań oraz wymagania regulacyjne w jednym wspólnym modelu danych.

Zyskem nie jest przede wszystkim oszczędność na oprogramowaniu, ale wolność wyrażania opinii: istnieje wersja prawdy i jest ona aktualna.

Patrz także: Jedyny punkt prawdy · GRC

Rządzenie

Komisja ds. spraw wewnętrznych

Komisja ds. badania spraw dotyczących kontroli Rady Nadzorczej zajmuje się sprawozdawczością finansową, skutecznością systemu kontroli wewnętrznej, systemem zarządzania ryzykiem oraz audytem wewnętrznym, sprawdzianem sprawozdań finansowych oraz raportowaniem dotyczącym zrównoważonego rozwoju.

Co najmniej jeden członek musi posiadać specjalistyczną wiedzę w zakresie rachunkowości lub badania sprawozdań finansowych; rozszerzenie zakresu dotyczy również raportowania w zakresie zrównoważonego rozwoju. Komitet ten jest jednocześnie adresatem, do którego wewnętrzna rewizja i placówka ds. zgłaszania nieprawidłowości natychmiast informują w sytuacjach krytycznych – jest tym samym przeciwwagą dla zarządzania.

Patrz także: Radę Nadzorczą i monitorowanie ryzyka · FISG

Rządzenie

Komisja ds. Ryzyka

Komisja ds. ryzyka zajmuje się głównie strategią zarządzania ryzykiem, zdolnością do jego ponoszenia oraz najważniejszymi poszczególnymi ryzykami.

W instytucjach kredytowych jest on prawnie przewidziany. W pozostałych sektorach finansowych zadanie to najczęściej sprawuje komisja ds. badania działalności lub pełnomocny organ nadzoru. W przypadku złożonego profilu ryzyka – np. w przypadku wysokiego poziomu internacjonalizacji, działalności projektowej o długim okresie trwania lub silnej zależności od surowców – warto powołać własny organ nadzoru.

Patrz także: Komisja ds. spraw wewnętrznych

Rządzenie

Radę Nadzorczą i monitorowanie ryzyka

Radę Nadzorcza monitoruje działalność zarządczą i w tym celu sprawdza skuteczność systemu zarządzania ryzykiem. To więcej niż jedynie przyjmowanie raportów.

Pytania, które powinno zadawać organ nadzorczy

• Jaka jest ogólna całkowita pozycja ryzyka i jak się ona odnosi do zdolności do pokrycia ryzyka?
• Jakie założenia i zależności leżą u podstaw modelu agregacji?
• Jakie ryzyka pojawiły się lub zniknęły od ostatniej sesji – i dlaczego?
• Jakie działania są konieczne i jakie jest powód?
• Czy sytuacja ryzyka wewnętrznego jest zgodna z przedstawieniem w raporcie bieżącym?
• Co mówią audytorzy i wewnętrzni rewidentzy na temat skuteczności systemu?

Patrz także: Raportowanie ryzyka · Revizja wewnętrzna

Rządzenie

Przedsiębiorstwo audytorskie

Przedsięwzięcie ocenia, czy sprawozdanie finansowe i raport bieżący są zgodne z przepisami prawnymi. W tym celu audytor uzyskuje wiedzę na temat wewnętrznego systemu kontroli sprawozdawczości finansowej.

Ważne jest rozróżnienie: egzamin końcowy nie jest testem skuteczności IKS. Kontroler ocenia kontrole jedynie w zakresie, w jakim chce się opierać na nich, aby ograniczyć zakres własnych działań kontrolnych. Informacja o skuteczności całego systemu kontroli jest udzielana wyłącznie w drodze odrębnego zamówienia zgodnie z IDW PS 982.

Patrz także: § 317 ust. 4 HGB · IDW PS 982

Rządzenie

Raport prognozy

Raport prognozy jako część raportu bieżącego przedstawia przewidywaną sytuację firmy wraz z jej podstawowymi założeniami.

Jest ściśle powiązany z raportem dotyczącym ryzyka: ryzyka dokładnie opisują możliwości odchylenia się od przedstawionych tutaj oczekiwań. Niezgodności między tymi dwoma elementami – optymistyczna prognoza w połączeniu z poważnym ryzykiem – lub odwrotnie – należą do najczęstszych stwierdzonych w wyniku badania i jednocześnie stanowią ryzyko odpowiedzialności wobec inwestorów kapitałowych.

Patrz także: Raport sytuacyjny · Planowanie przepustowości

Rządzenie

Odpowiedzialność dyrektora generalnego

Prezesowie i dyrektorzy odpowiadają spółce za naruszenie obowiązków ostrożnościowych. W przypadku sporu muszą udowodnić, że podjęli decyzję na podstawie odpowiednich informacji oraz podjęli niezbędne działania organizacyjne.

Typowe obszary odpowiedzialności

Dokumentowany system zarządzania ryzykiem i przestrzegania zasad prawnych staje się tym samym mniej biurokracją niż dowodem. Władza przedstawiania dokumentów należy do członka organu – nie do spółki.

Praktyczny samopoczucie

• Schematy decyzji z udokumentowanym szacowaniem ryzyka i alternatywami
• Zgłoszone decyzje wraz z procedurą głosowania – odchylenia od ogólnej decyzji należy zapisywać na piśmie
• Umowę o podziale kompetencji należy zawrzeć w formie pisemnej, nie naruszając przy tym obowiązkowego monitorowania przez inne resorty.
• Regularne raporty dla organu nadzorczego, również dotyczące negatywnych tendencji
• Zwracanie się o zewnętrzną ekspertyzę w zakresie złożonych kwestii prawnych oraz dokumentowanie jej uzyskania
• Stale prowadzenie prognoz płynnościowych i przetrwania, nie tylko w czasie kryzysu

Wspólnym mianownikiem jest wykrywalność: Zasada biznesowego osądu nie chroni właściwej decyzji, lecz starannie przygotowanej. Ten, kto nie jest w stanie wykazać takiej przygotowania, traci ochronę niezależnie od tego, jak rozsądna była decyzja.

Patrz także: Reguła osądu biznesowego · Ubezpieczenie D&O

Rządzenie

Ubezpieczenie D&O

Ubezpieczenie dyrektorów i członków zarządu pokrywa szkody majątkowe wynikające z odpowiedzialności organów prawnych. Nie zastępuje ono zarządzania ryzykiem.

Trzy kwestie należy uwzględnić: nieumyślne naruszenie obowiązków jest wykluczone, prawny limit odpowiedzialności dla prezesów spółek komandytowych został ustalony, a ubezpieczyciele coraz częściej szczegółowo analizują poziom rozwoju zarządzania ryzykiem i procedur zgodności w ramach procedur oceny ryzyka. W ten sposób udokumentowany system pracy natychmiast wpływa na dostępność i wysokość premii ubezpieczenia.

Patrz także: Odpowiedzialność dyrektora generalnego

Rządzenie

Odpowiedzialność kierownictwa w zakresie przestrzegania przepisów

Odpowiedzialność za przestrzeganie przepisów leży w gestii kierownictwa jako całości i nie może być delegowana. Zadania mogą być przekazywane – obowiązek wyboru, wyposażenia, nadzoru i monitorowania osób powierzonych tejże odpowiedzialności pozostaje w gestii kierownictwa.

Podział kompetencji pozostaje bez zmian; obowiązek monitorowania przez wszystkich członków organu dotyczy wszystkich jednostek należących do tego samego resortu. Ten obowiązek staje się obowiązkowym, gdy pojawią się podstawy do domniemania popełnienia naruszenia. Właśnie w tej pozostałej odpowiedzialności polega karana odpowiedzialność cywilna przewidziana w § 130 OWiG – „to nie było moje kompetencje" nie usprawiedliwia odpowiedzialności cywilnej.

Patrz także: Wina organizacji · Oficer ds. zgodności

Rządzenie

Ważność

Ważność określa, jakie sytuacje mają obowiązek raportowania lub są istotne do celów badania. W rachunkowości wywodzi się ją z ilościowych wartości progowych oraz kryteriów jakościowych, a w sprawozdawczości zrównoważoności – z dwustopniowej analizy istotności.

W przypadku zarządzania ryzykiem ustalenie jest praktycznie istotne: decyduje ono o tym, jakie ryzyka zostaną zawarte w sprawozdaniach dla kierownictwa i organów nadzorczych oraz które pozostaną na poziomie działów. Granica ta jest decyzją weryfikacyjną, ale musi być uzasadniona, dokumentowana i stosowana konsekwentnie w czasie.

Patrz także: Dwukrotna analiza istotności · Raportowanie ryzyka

Systemy i dane

Bezpieczeństwo kontrolne

Bezpieczeństwo kontrolne oznacza, że dane i dokumenty są przechowywane w sposób niezmieniony, kompletny, zrozumiały i dostępny przez cały okres przechowywania. W Niemczech standardem jest norma GoBD.

Dla danych związanych z ryzykiem i zgodnością z przepisami jest ona warunkiem, aby oceny i dokumentacja kontroli mogły później stanowić dowód. Konkretnie wymagane jest: niezmienność po wydaniu dokumentu, kompletne rejestrowanie wszelkich zmian, ochrona przed utratą, odnalezienie w rozsądnym czasie oraz udokumentowana dokumentacja procedur opisująca, w jaki sposób system spełnia te wymagania.

Punkty kontrolne przy wyborze systemu

• Czy udostępniane dane są chronione technicznie przed modyfikacją, czy jedynie organizacyjnie?
• System rejestruje każdą zmianę wraz z datą i czasem oraz wartością „przed” i „po”?
• Czy można zrekonstruować stan w dowolny dzień odniesienia?
• Czy usunięcia są wykluczone lub przynajmniej rejestrowane i podlegają podawaniu uzasadnienia?
• Czy istnieje dokumentacja proceduralna opisująca te właściwości?
• Czy dane są nadal czytelne i eksportowalne po zmianie dostawcy?

Ostatni punkt jest regularnie pomijany: terminy przechowywania często przekraczają okres obowiązywania umowy z dostawcą systemu. Dlatego format eksportowy, który pozostaje czytelny bez użycia oprogramowania, należy uwzględnić w umowie.

Patrz także: Ścieżka audytowa · Okres przechowywania

Systemy i dane

Ścieżka audytowa

Śledzenie audytowe bezwzględnie rejestruje, kto kiedy tworzył, zmieniał lub usuwał dane. Umożliwia on weryfikację zmian w ocenie ryzyka, udzielaniu uprawnień oraz dokumentacji kontroli.

Jest to jeden z kluczowych kryteriów oceny, który odróżnia oprogramowanie GRC od kalkulacji tabeli. W rozmowie kwalifikacyjnej kluczowe pytanie to, kiedy ryzyko zostało zmienione z poziomu „wysokiego" na „średni" oraz z jakiego powodu? W programie Excel ta kwestia nie jest możliwa do rozwiązania.

Patrz także: Bezpieczeństwo kontrolne · Rejestr ryzyka

Systemy i dane

Koncepcja rolek i praw

Koncept role i praw reguluje, które grupy użytkowników mogą widzieć i edytować dane. W kontekście GRC ma on dwa znaczenia: służy do technicznej separacji funkcji i chroni poufne treści.

Patrz także: Oddzielenie funkcji · Obowiązek zachowania poufności

Systemy i dane

Prawny obowiązek

Możliwość prowadzenia wielu spółek, lokalizacji lub obszarów w systemie oddzielnie i jednocześnie analizowania ich w ramach konsolidacji nazywa się zdolnością mandatową.

W strukturach korporacyjnych jest ona warunkiem koniecznym dla zapewnienia równoczesnego funkcjonowania lokalnej odpowiedzialności i całościowego spojrzenia na sytuację korporacyjną bez konieczności podawania danych dwukrotnie. W tym kontekście należy wyjaśnić trzy kwestie: jakie dane podstawowe są powszechnie wspólne dla całej korporacji, a jakie lokalnie? Jakie skalę oceny stosuje się w całej korporacji? A kto może dokonywać oceny ponadgranicznych – pytanie, które w przypadku spółek zagranicznych jest jednocześnie istotne z punktu widzenia prawa ochrony danych osobowych.

Patrz także: Koncepcja rolek i praw · Jakość danych

Systemy i dane

Zarządzanie przepływem pracy

Workflow Management automatyzuje powtarzające się procesy w obszarze ryzyka i zgodności: rundy pobierania danych, wydawanie zezwoleń, powtarzane wersje dokumentów, eskalacje i przypomnienia.

Zastępuje ręczne śledzenie przez e-mail i równocześnie tworzy dokumenty niezbędne do przestrzegania terminów i kontroli. Efekt praktyczny jest znaczący: centralna funkcja poświęca dużą część swojego czasu na monitorowanie otwartych zgłoszeń – ta sama praca jest wykonywana przez workflow bez konieczności interwencji osoby odpowiedzialnej za egzekucję.

Patrz także: Workflow wydawania zezwoleń · Monitorowanie działań

Systemy i dane

Dashboard ryzyka

Dashboard ryzyka prezentuje w czasie rzeczywistym sytuację ryzyka: ogólny poziom ryzyka, najważniejsze zagrożenia, zmiany w porównaniu z poprzednim okresem, status działań i przekroczenia limitów.

Decydująca jest orientacja na odbiorców. Zarząd potrzebuje ogólnego spojrzenia, trendów i wyjątków; dział techniczny – szczegółowego obrazu własnych zagrożeń; organ nadzorczy – analizy rozwoju w czasie, z podpowiedziami metodologicznymi. Dashboard, który pokazuje to samo dla wszystkich, nie jest właściwy dla nikogo – i prowadzi do mylenia między kompletnością a wiarygodnością informacji.

Patrz także: Raportowanie ryzyka

Systemy i dane

Monitorowanie działań

Monitorowanie działań obejmuje monitorowanie postępu realizacji, terminów i skuteczności wszystkich decyzji podjętych w ramach zarządzania ryzykiem, kontroli wewnętrznej, audytu i zgodności z przepisami prawnymi w jednym miejscu.

Zapobiega ona typowej sytuacji, w której ta sama ocena jest dokumentowana w różnych systemach w różny sposób i żadna jednostka nie posiada pełnego obrazu sytuacji. Jest ona znacząco udoskonalona dzięki trzem wskaźnikom: udziałowi działań opóźnionych, średniemu okresowi zwłoki oraz udziałowi działań o potwierdzonym skutkiem – nie tylko w postaci statusu „zrealizowanych".

Patrz także: Zarządzanie działaniami · Zarządzanie przepływem pracy

Systemy i dane

Workflow wydawania zezwoleń

Workflow wydawania zezwoleń w systemie tworzy stopniowe procedury zatwierdzania – na przykład potwierdzenie oceny ryzyka przez osobę odpowiedzialną za zarządzanie ryzykiem oraz późniejsze wydanie zezwolenia przez centralny zespół zarządzania ryzykiem.

On stosuje zasadę czterech oczu i automatycznie dokumentuje udostępnienia za pomocą daty i osoby. Ważne jest zastosowanie zapisanego mechanizmu delegowania: bez niego proces w przypadku urlopu lub choroby pozostaje bezczynny, a zamiast tego powstają te same metody pracy przez e-mail, które miałyby zapobiec przepływowi pracy.

Patrz także: Oddzielenie funkcji · Ścieżka audytowa

Systemy i dane

Wersjonowanie i zarządzanie dokumentami

System zarządzania dokumentami zapewnia, że zawsze będzie można sprawdzić, która wersja dokumentu była ważna, kto ją wydał i kto ją zapoznał z jej treścią.

Dla wytycznych, opisów procesów i dokumentacji jest ona podstawą wszelkich wiarygodnych dokumentów w zakresie zgodności. Praktyczny punkt odniesienia: czy można ustalić w dowolnym czasie w przeszłości, która wersja polityki kosztów podróży obowiązywała w tamtym czasie oraz przez kogo ją potwierdzono? Jeśli nie, to prowadzenie dowodów w postępowaniu jest zagrożone.

Patrz także: Management polityki · Bezpieczeństwo kontrolne

Systemy i dane

Okres przechowywania

Terminy przechowywania określają czas przechowywania dokumentów – w prawie handlowym i podatkowym w stopniowych terminach, w specjalnych przypadkach regulowane inaczej.

W kontekście obowiązkowego usuwania danych zgodnie z prawem dotyczącym ochrony danych potrzebny jest plan usuwania, w którym jasno określone zostaną początek i koniec okresu przechowywania oraz wyjątki dla poszczególnych typów dokumentów. Szczególnie ważne jest uregulowanie sytuacji, w których obowiązek usuwania jest zakłócony przez toczące się postępowanie – wówczas konieczne jest zastosowanie legalnego zawieszenia, które zakłada automatyczne usuwanie dokumentów.

Patrz także: Bezpieczeństwo kontrolne · Kierowanie dokumentami

Systemy i dane

Interfejsy w kontekście GRC

Rozwiązania łączą systemy GRC z systemami ERP, HR, zakupami, systemami biletowymi oraz bazami danych. Umożliwiają one automatyczną importację danych bazowych, wskaźników i wskaźników wczesnego ostrzegania.

Korzyści wynikają mniej z oszczędności czasu niż z aktualności: dane ryzyka zarządzane ręcznie są już przestarzałe w momencie ich zaimprowizowania, a automatycznie pobierane wskaźniki nie. Typowymi pierwszą linią interakcji są dane dostawców z ERP, wskaźniki z kontrolingu oraz zdarzenia z systemu raportowania zdarzeń IT.

Patrz także: Jakość danych · Główny wskaźnik ryzyka

Systemy i dane

Jakość danych w zarządzaniu ryzykiem

Jakość danych ryzyka decyduje o opłacalności wszelkich analiz. Kryteriami są kompletność, aktualność, spójność kryteriów oceny oraz zrozumiałość pochodzenia danych.

Wady zazwyczaj objawiają się w niejednorodnie zdefiniowanych skalach między obszarami: to, co w sprzedaży jest postrzegane jako „wysokie ryzyko", w produkcji jest uważane za ryzyko średnie. To problem metodologiczny, a nie problem z oprogramowaniem – rozwiązanie polega na jasnych definicjach skal z wartościami w euro oraz na uwzględnieniu ich przez linię drugą.

Patrz także: Ocena ryzyka · Przewodnik po ryzyku

Systemy i dane

Jedyny punkt prawdy

Jedynym źródłem prawdy jest jedna wiodąca baza danych, na której opierają się wszystkie analizy.

W środowisku GRC zapobiega to rozmyciu dokumentacji rejestrów ryzyka, dokumentacji IKS oraz ustaleń rewizyjnych, a zarazem pozwala zarządowi i radzie nadzorczej na otrzymywanie sprzecznych danych. Zastosowanie technologii rzadko staje się problemem, ale raczej dotyczy ustalenia, który system ma przewagę w przypadku danego zestawu danych – oraz kto ma prawo dokonywać zmian w nim.

Patrz także: Zintegrowany GRC · Jakość danych

Systemy i dane

Automatyczne zgłaszanie ryzyka

W przypadku automatycznej komunikacji o ryzyku zdefiniowane zdarzenia lub przekroczenie wartości progowych automatycznie wywołują komunikat w systemie – na przykład w przypadku przekroczenia wskaźnika ostrzegawczego lub wystąpienia zdarzenia niebezpiecznego.

Dodaje ona element związany z danym wydarzeniem do regularnego rejestrowania danych, który IDW PS 340 n.F. wyraźnie przewiduje. Muszą zostać zdefiniowane wyzwalacze, odbiorcy, poziom eskalacji i czas reakcji. Ważne jest kalibrowanie progów alarmowych: zbyt wiele zgłoszeń prowadzi do przyzwyczajenia, zbyt mało do pewności.

Patrz także: Indykator wczesnego ostrzegania · System wykrywania ryzyka