A kontrollok léteznek, de működnek is? Így erősíthető a vállalati védelmi rendszer

Egy szervezetben előforduló hibát ritkán magyaráz egyetlen hiányzó szabály vagy ellenőrzési pont. A problémák gyakrabban abból fakadnak, hogy a figyelmeztető jelek nem állnak össze egységes képpé, a vezetői döntés felülírja a kontrollt, vagy az egyes védelmi funkciók munkája nem kapcsolódik össze. Az EY immár hagyományosnak számító Védelmi Vonalak c. rendezvényén végzett felmérés szerint a válaszadók 45 százaléka úgy látja, hogy az időben történő beavatkozás leggyakrabban ott hiúsul meg, amikor a jelzés ugyan eljut a megfelelő szintre, de a vezetői döntés felülírja azt. 

Egy működő kontrollrendszer több, mint szabályzatok összessége

A szervezetek jelentős erőforrásokat fordítanak szabályzatokra, jóváhagyási pontokra, kockázati jelentésekre és ellenőrzésekre. Ezek megléte azonban még nem bizonyítja, hogy a rendszer a kritikus pillanatban valóban megvédi a vállalatot.

A kontroll működőképességéhez három feltételnek kell teljesülnie: a rendszernek láthatóvá kell tennie a valódi problémát, a jelzésnek el kell jutnia ahhoz, aki dönteni tud róla, végül pedig időben olyan intézkedésnek kell születnie, amely érdemben megváltoztatja a kimenetet. Ha a lánc bármely ponton megszakad, a kontroll dokumentáltan létezhet, mégsem tölti be a szerepét.

Ez a megközelítés túlmutat a formális megfelelés ellenőrzésén. Egy szabályosan végrehajtott kontroll is lehet hatástalan, ha eleve nem a megfelelő kockázatra tervezték, következetlenül alkalmazzák, vezetői döntéssel megkerülik, vagy az ellenőrzési rendszer nem azonosítja és nem kommunikálja időben a hibát. A helyes diagnózis ezért fontosabb lehet, mint a megállapítások puszta száma.

A kritikus pont gyakran a felismerés után következik

Az EY eseményen végzett felmérés szerint a résztvevők 45 százaléka úgy látja, hogy a jelzés eljut a megfelelő szintre, de vezetői döntés írja felül. További 27 százalék szerint a probléma ugyan elindul az eszkalációs úton, de nem jut el a döntéshozóig. A jel felismerésének hiányát 9 százalék, a döntés utáni korrekció elmaradását 11 százalék választotta. 

Az eredmény arra irányítja a figyelmet, hogy az ellenőrzés sikere nem ér véget a probléma azonosításával. A belső ellenőrzésnek az eszkaláció teljes útját is vizsgálnia célszerű: ki és mikor szerzett tudomást az eltérésről, milyen döntés született, dokumentálták-e az esetleges felülírást, és megvalósult-e a szükséges korrekció. Ez a megközelítés segíthet elválasztani az elszigetelt végrehajtási hibát a vállalatirányítás rendszerszintű gyengeségétől.

Arra a kérdésre, hogy a válaszadók mit változtatnának meg a saját ellenőrzési gyakorlatukban, 53 százalék azt válaszolta, hogy rendszerszinten kapcsolná össze a megállapításokat. A tényleges működés formális megfelelés helyett történő tesztelését 16 százalék, a gyenge jelek összekapcsolását 11 százalék választotta.

Ez összhangban áll azzal a szemlélettel, amelyben a belső ellenőrzés a kontrollpontok egyenkénti vizsgálatától a teljes irányítási, kockázatkezelési és kontrollrendszer diagnózisa felé mozdul. Egy sor hasonló megállapítás ugyanis nem feltétlenül tíz egymástól független hibát jelent. Elképzelhető, hogy ugyanannak a felelősségi, ösztönzési, döntési vagy eszkalációs problémának több megjelenési formájáról van szó.

Az utoljára időben azonosított valós problémák között a válaszadók legnagyobb arányban folyamati vagy működési eltérést említettek, 45 százalékos eredménnyel. Visszaélést, csalást vagy etikai ügyet 30 százalék, harmadik félhez, beszállítóhoz, informatikához vagy adatokhoz kapcsolódó kockázatot 15 százalék jelölt meg.

Koordináció nélkül egyszerre lehet túl sok és túl kevés ellenőrzés

Az eseményen a szakértők hangsúlyozták a három vonal modelljének szerepét, amelyben az első vonal az üzleti célok, kockázatok és kontrollok működtetéséért felel; a második vonal keretet, szakértelmet, támogatást, felügyeletet és szakmai kihívást biztosít; a belső ellenőrzés, mint harmadik, úgynevezett védelmi vonal, pedig független és objektív bizonyosságot ad a teljes rendszer működéséről. A különböző szerepeknek nem kell összemosódniuk ahhoz, hogy az információ szabadon áramoljon közöttük.

A felmérés mégis jelentős koordinációs hiányra utal: a válaszadók 52 százaléka szerint szervezetében senki sem hangolja össze igazán a különböző bizonyosságot nyújtó funkciók munkáját, az együttműködés inkább eseti. Mindössze 18 százalék jelölt meg formalizált fórumot vagy vezetői mechanizmust.

A koordináció hiánya két, látszólag ellentétes problémát okozhat. Egyrészt több funkció vizsgálhatja ugyanazt a kontrollt, párhuzamos adatkéréseket és szükségtelen terhelést előidézve. Másrészt kritikus, különösen funkciókon átívelő kockázatok maradhatnak megfelelő bizonyossági lefedettség nélkül.

Az együttműködés határa a függetlenség

A koordináció nem jelentheti a felelősségek összemosását. Ebben gyakorlati kiindulópontot jelenthet egy közös kockázati nyelv, egy bizonyossági térkép és a fő ellenőrzési funkciók rendszeres tervezési fóruma. A bizonyossági térkép azt mutatja meg, hogy az egyes jelentős kockázatokra mely funkciók milyen típusú ellenőrzést vagy bizonyosságot nyújtanak, hol található átfedés, és mely területek maradnak lefedetlenül.

A belső ellenőrzés értéke a jobb döntésekben válik láthatóvá

A fejlettebb belső ellenőrzési működés nem feltétlenül több kontrollt vagy hosszabb jelentéseket jelent. Inkább azt, hogy a szervezet korábban felismeri az összefüggő jeleket, világosabban látja a kockázati felelősségeket, és a döntéshozók kiegyensúlyozottabb képet kapnak a jelentett teljesítmény mögötti valóságról.

Az EY szakemberei a belső ellenőrzési funkciók stratégiai és működési felülvizsgálatával, a három vonal felelősségi rendjének tisztázásával, bizonyossági térképek kialakításával, valamint koordinált tervezési és jelentési mechanizmusok létrehozásával segíthetik a vállalatokat. A cél, hogy a kontrollrendszer ne csak dokumentáltan legyen jelen, hanem időben befolyásolja azokat a döntéseket, amelyek a vállalat ellenálló képességét és hosszú távú értékteremtését meghatározzák.