Dojrzałość Kontrola wewnętrzna w bankowości · Instrukcja BCEAO dotycząca kontroli wewnętrznej
Państwa system kontroli wewnętrznej zmierzony według Instrukcji BCEAO i przełożony na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość Kontrola wewnętrzna w bankowości · Instrukcja BCEAO dotycząca kontroli wewnętrznej
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Instrukcja BCEAO dotycząca kontroli wewnętrznej instytucji kredytowych i spółek finansowych UMOA uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy i działanie łączące oba) przekształca stwierdzenie w trajektorię.
Czy zalecenia wynikające z kontroli wewnętrznych oraz misji nadzorcy są monitorowane aż do ich zamknięcia?
- N1
Brak scentralizowanego monitorowania. Zalecenia krążą w raportach, bez mechanizmu pozwalającego ustalić, które zostały zrealizowane.
- N2
Istnieje tabela monitorowania, uzupełniana w miarę zbliżania się terminów. Terminy wdrożenia są często przekraczane bez decyzji.
- N3
Każde zalecenie ma odpowiedzialną osobę, termin i stan realizacji weryfikowany okresowo. Zamknięcia są ogłaszane na podstawie dowodów.
- N4
Monitorowanie jest przedstawiane komitetowi audytu na każdym posiedzeniu, opóźnienia podlegają udokumentowanej decyzji, a zamknięcia są weryfikowane przez audyt wewnętrzny.
- N5
Powtarzające się zalecenia są analizowane pod kątem przyczyny źródłowej, zasilają plan kontroli i mapę ryzyk, z udokumentowanym monitorowaniem uzyskanych efektów.
Działanie dla przejścia z poziomu 2 na poziom 3
Przypisać każdemu otwartemu zaleceniu nazwaną osobę odpowiedzialną, termin i oczekiwany dowód zamknięcia, a następnie wpisać przegląd tabeli do porządku obrad kwartalnego komitetu kontroli wewnętrznej.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna BCEAO.
O czym jest ten model referencyjny
Instrukcja BCEAO dotycząca kontroli wewnętrznej ma zastosowanie do instytucji kredytowych, spółek finansowych oraz częściowo do zdecentralizowanych systemów finansowych Unii Monetarnej Afryki Zachodniej. Wymaga ona kompletnego systemu: systemu kontroli operacji i procedur wewnętrznych, organizacji księgowej i przetwarzania informacji, mechanizmów pomiaru i monitorowania ryzyka kredytowego, rynkowego, płynności, stopy procentowej i operacyjnego, kontroli zgodności oraz niezależnej funkcji audytu wewnętrznego. Precyzuje również roczne raporty wymagane przez Komisję Bankową UMOA oraz rolę komitetu audytu.
W praktyce systemem trudno zarządzać, ponieważ jest on rozproszony. Kontrola permanentna pierwszego poziomu należy do jednostek operacyjnych, drugi poziom do funkcji często niedoborowych kadrowo, trzeci do audytu wewnętrznego, którego plan wieloletni nie obejmuje każdego roku całości obszarów. Konkretne pytania powtarzają się w każdej instytucji. Czy kontrole pierwszego poziomu są rzeczywiście wykonywane i udokumentowane, czy odtwarzane przed misją kontrolną? Czy zalecenia audytu wewnętrznego oraz misji Komisji Bankowej są monitorowane aż do ich faktycznego zamknięcia? Czy mapa ryzyk operacyjnych służy do ukierunkowania planu kontroli, czy pozostaje dokumentem rocznym?
Powracającym nieporozumieniem jest przekonanie, że kontrola wewnętrzna to sprawa wyłącznie odpowiedzialnego za kontrolę permanentną. Instrukcja umieszcza odpowiedzialność pierwotną na organie zarządzającym i organie wykonawczym, z raportami kierowanymi do nich i przekazywanymi nadzorcy. Rosnące znaczenie systemu ostrożnościowego Bazylea II/III w UEMOA, ICAAP oraz wymogi nadzoru skonsolidowanego wzmacniają ten punkt: kontrola wewnętrzna zasila obecnie ocenę profilu ryzyka instytucji oraz adekwatności jej funduszy własnych. Słaby system kosztuje gdzie indziej.
Audyt zgodności stawia pytanie binarne: czy wymóg jest spełniony, tak czy nie. Diagnoza dojrzałości stawia inne pytanie: na jakim poziomie opanowania znajduje się praktyka i jakie konkretne działanie pozwala przejść na poziom wyższy. Dla systemu kontroli wewnętrznej ten niuans jest decydujący: między procedurą spisaną a procedurą stosowaną, kontrolowaną i aktualizowaną istnieją trzy poziomy różnicy i tyle samo etapów do sfinansowania.
W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i sformułowania poziomów do Państwa wielkości i modelu działalności, lub buduje wersję na podstawie Państwa procedur, karty audytu i raportów kontroli wewnętrznej. Oceny prowadzone są podmiot po podmiocie, spółka zależna po spółce zależnej, z porównaniem między jednostkami biznesowymi i w czasie.
Norma referencyjna: Instrukcja BCEAO dotycząca kontroli wewnętrznej instytucji kredytowych i spółek finansowych UMOA
Oceniane obszary tematyczne
Ład organizacyjny i odpowiedzialność za system
Rola organu zarządzającego i organu wykonawczego, komitet audytu, karta kontroli wewnętrznej, alokacja zasobów, niezależność funkcji kontrolnych.
Organizacja trzech linii obrony
Kontrole pierwszego poziomu zintegrowane z procesami, kontrola permanentna drugiego poziomu, audyt wewnętrzny trzeciego poziomu, rozdział zadań i brak łączenia niezgodnych funkcji.
Kontrola operacji i procedur wewnętrznych
Zbiór procedur, aktualizacja, kompletność punktów kontrolnych, identyfikowalność przeprowadzonych kontroli, postępowanie z wykrytymi nieprawidłowościami.
Organizacja księgowa i informacja finansowa
Ścieżka audytu, uzgodnienia i uzasadnienie sald kont, okresowe zamknięcia, wiarygodność danych służących do raportowania ostrożnościowego.
Pomiar i monitorowanie ryzyka kredytowego
System udzielania kredytów i delegowania uprawnień, ocena i klasyfikacja wierzytelności, tworzenie rezerw, monitorowanie zaangażowań, dywersyfikacja ryzyka i duże ekspozycje.
Ryzyko rynkowe, stopy procentowej i płynności
Ustalone i zatwierdzone limity, monitorowanie przekroczeń, pomiar transformacji, wskaźniki płynności, scenariusze warunków skrajnych.
Ryzyko operacyjne i ciągłość działania
Mapa ryzyk operacyjnych, gromadzenie i analiza incydentów oraz strat, plan ciągłości działania, zależność od outsourcowanych dostawców.
Zgodność, AML/CFT i ochrona klientów
Monitorowanie zmian regulacyjnych, kontrola zgodności nowych produktów, system przeciwdziałania praniu pieniędzy, rozpatrywanie reklamacji, przejrzystość warunków bankowych.
Bezpieczeństwo systemów informatycznych
Zarządzanie uprawnieniami, bezpieczeństwo aplikacji krytycznych, rejestrowanie zdarzeń, kontrola rozwoju i zmian, kopie zapasowe i testy odtwarzania.
Raportowanie, monitorowanie zaleceń i doskonalenie
Roczne raporty dla nadzorcy, informowanie organów zarządzających, monitorowanie aż do zamknięcia zaleceń audytu wewnętrznego, biegłych rewidentów oraz misji Komisji Bankowej.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnoza stanowi poświadczenie zgodności wobec Komisji Bankowej?
Nie. Datamensio mierzy dojrzałość systemu i przygotowuje do terminów kontrolnych, nie wydaje żadnego poświadczenia. Wyłącznie nadzorca ocenia zgodność, podczas swoich kontroli dokumentowych i na miejscu. Diagnoza służy do zidentyfikowania luk, zanim zostaną one stwierdzone.
Jaka jest różnica względem audytu zgodności prowadzonego przez audyt wewnętrzny?
Audyt kończy się stwierdzeniem zgodności lub odchylenia w danym zakresie. Diagnoza umiejscawia praktykę na progresywnej skali dojrzałości i wskazuje działanie pozwalające przejść na wyższy poziom. Oba podejścia się uzupełniają: diagnoza ukierunkowuje plan audytu, audyt weryfikuje stan w terenie.
Ile czasu zajmuje ocena?
Wersja skrócona przeprowadzana jest w ramach jednej sesji roboczej. Wersja pełna, prowadzona w trybie wspólnym z kontrolą permanentną, zgodnością, ryzykiem i audytem wewnętrznym, trwa zazwyczaj od jednego do dwóch tygodni, przy czym większość czasu zajmuje zbieranie dowodów.
Czy model referencyjny można dostosować do naszej instytucji?
Tak. Mogą Państwo modyfikować pytania, sformułowania poziomów i obszary tematyczne lub dodawać własne. Sztuczna inteligencja buduje również wersję na podstawie Państwa procedur i raportów kontroli wewnętrznej. Model referencyjny pozostaje Państwa własnością.
Czy można porównać kilka spółek zależnych grupy?
Tak. Ten sam model referencyjny jest wdrażany w każdym podmiocie, z wynikiem dla każdego obszaru tematycznego porównywalnym między jednostkami biznesowymi i w czasie. Jedna, przekrojowa mapa drogowa konsoliduje audyty, aby zidentyfikować wspólne luki i działania możliwe do zastosowania na poziomie grupy.
Jak diagnoza wiąże się z ICAAP i systemem ostrożnościowym Bazylea II/III UEMOA?
Jakość kontroli wewnętrznej warunkuje wiarygodność danych o ryzyku wykorzystywanych w ICAAP i raportowaniu ostrożnościowym. Oceny przeprowadzone według tych modeli referencyjnych łączą się we wspólnej mapie drogowej, bez powielania działań już podjętych.
Czy plan działania jest wyceniony?
Każda luka otwiera działanie, a katalog usług przypisuje tym działaniom koszt, termin i oczekiwany wpływ na wynik. Decyzje podejmują Państwo na porównywalnej podstawie, zamiast listy zaleceń bez wyceny.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, również spośród rozwiązań europejskich.