Kontrola wewnętrzna w firmie prywatnej: jak ją zorganizować?

• Podział obowiązków: kto inny zamawia, kto inny odbiera, kto inny płaci. To najstarsza i najskuteczniejsza kontrola, jaka istnieje.
• Limity akceptacji: do jakiej kwoty decyduje kierownik, powyżej której zarząd. Limit musi być zapisany, inaczej jest uznaniowy.
• Dwie pary oczu przy płatnościach: jedna osoba przygotowuje przelew, druga zatwierdza.
• Uzgodnienia okresowe: salda z kontrahentami, stan magazynu z ewidencją, lista kont w systemach z listą pracowników. Firmy prowadzące księgi rachunkowe i tak robią część z nich raz w roku: art. 26 ustawy o rachunkowości wymaga inwentaryzacji na ostatni dzień roku obrotowego, w tym potwierdzenia sald należności przez kontrahentów.
• Kontrola dostępu: odbieranie uprawnień w dniu odejścia, a nie po kwartale. Dotyczy też skrzynek, dysków i kont u dostawców.
• Przegląd wyjątków: lista operacji, które ominęły normalną ścieżkę, czytana co miesiąc przez kogoś, kto ich nie wykonał.
• Dokumentowanie decyzji poza przepływem, żeby dało się odtworzyć, kto zgodził się na odstępstwo.

W małej firmie nie trzeba wdrażać całych ram. Wystarczy pamiętać, że lista z poprzedniej sekcji to tylko trzeci element, czynności kontrolne. Bez oceny ryzyka nie wiadomo, które kontrole są potrzebne, a bez monitorowania nie wiadomo, czy nadal działają.

1. 1

   Opisz kontrolę jednym zdaniem

   Kto, co i kiedy robi. „Księgowa uzgadnia salda z dziesięcioma największymi kontrahentami do 10 dnia miesiąca.” Kontrola opisana ogólnikiem jest nietestowalna.

2. 2

   Wybierz próbkę

   Pięć do dziesięciu przypadków z ostatniego kwartału, wybranych losowo, a nie podanych przez osobę wykonującą kontrolę.

3. 3

   Poszukaj śladu

   Kontrola bez śladu jest deklaracją. Ślad to podpis, wpis w systemie, zapisany plik uzgodnienia albo odhaczona checklista z datą.

4. 4

   Zapisz datę testu i wynik

   Kontrola bez daty ostatniego sprawdzenia powinna być widoczna jako nigdy niesprawdzona. To informacja, nie zarzut.

5. 5

   Powiąż wynik z ryzykiem

   Jeśli kontrola nie działa, ocena ryzyka po zabezpieczeniach jest nieaktualna i trzeba ją podnieść. Inaczej rejestr ryzyk kłamie.

Praktyczny podział w firmie na pięćdziesiąt osób wygląda tak: kierownicy odpowiadają za kontrole w swoich obszarach, jedna osoba koordynuje rejestr i pilnuje terminów testów, a zarząd czyta raz na kwartał zestawienie kontroli nigdy niesprawdzonych. Trzecie zdanie jest tu najważniejsze, bo bez czytelnika rejestr kontroli zamiera.

Jeśli firma zamawia audyt zewnętrzny albo idzie po certyfikat, audytor i tak zapyta o te same rzeczy: jakie macie kontrole, kto je utrzymuje i kiedy ostatnio sprawdzaliście, że działają. Odpowiedź przygotowana wcześniej skraca audyt i zmniejsza liczbę pytań uzupełniających.

• Przy ryzyku dopisuje się kontrole z rodzajem zapobiega, wykrywa albo naprawia, skutecznością i osobą, która je utrzymuje.
• Przycisk „sprawdzona dziś” odnotowuje test, a kontrola bez daty sprawdzenia pokazuje się jako „nigdy nie sprawdzona”.
• Liczba kontroli stoi w kolumnie na liście ryzyk, więc widać ryzyka opisane bez żadnego zabezpieczenia.
• Moduł Audyty i kontrole, dostępny według uprawnień ról, a nie tylko dla administratora, prowadzi osobno dwa rejestry: wizyty urzędów z terminem odwołania oraz audyty z normą, audytorem, oceną i liczbą niezgodności.
• Z kontroli albo audytu zakłada się jednym kliknięciem projekt z zadaniami, więc ustalenia z protokołu trafiają na czyjąś listę.
• Terminy odwołania i terminy firmowe pilnują się same: wydarzenie w kalendarzu i powiadomienia 30, 14, 7 i 0 dni przed terminem.
• Polityki firmowe trzymają zasady, na które kontrole się powołują, w wersjach, z potwierdzeniem zapoznania się.

Pusta liczba niezgodności znaczy co innego niż zero: zero to „sprawdzono, nie było”, puste to „nie wiemy”. Wdrożenia otwieramy przez listę oczekujących.