Kontrola wewnętrzna CEMAC · Rozporządzenie COBAC o kontroli wewnętrznej
Państwa kontrola wewnętrzna, zmierzona według rozporządzenia COBAC i przełożona na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Kontrola wewnętrzna CEMAC · Rozporządzenie COBAC o kontroli wewnętrznej
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie COBAC R-2016/04 w sprawie kontroli wewnętrznej instytucji kredytowych uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm (poziom, poziom wyższy oraz działanie łączące oba) przekształca stwierdzenie w trajektorię.
Czy zalecenia wynikające z kontroli okresowej oraz misji organu nadzoru są monitorowane aż do ich zamknięcia?
- N1
Zalecenia znajdują się w raportach z misji. Między kolejnymi misjami nie istnieje żaden zorganizowany monitoring.
- N2
Tabela monitorowania jest prowadzona przez audyt wewnętrzny. Jest aktualizowana nieregularnie, a przekroczone terminy nie powodują przypomnień.
- N3
Każde zalecenie ma wyznaczoną osobę odpowiedzialną, termin i status realizacji. Monitoring jest okresowo przeglądany, a opóźnienia są zgłaszane zarządowi.
- N4
Zamknięcie następuje dopiero po zweryfikowaniu skuteczności przez audyt wewnętrzny. Komitet audytu analizuje stan zaleceń na każdym posiedzeniu, w tym tych pochodzących od organu nadzoru.
- N5
Powtarzające się przyczyny źródłowe są analizowane i zasilają przegląd planu kontroli stałej oraz planu audytu. Sama skuteczność monitorowania jest oceniana.
Działanie umożliwiające przejście z N2 do N3
Przypisanie każdemu otwartemu zaleceniu wyznaczonej osoby odpowiedzialnej i terminu, oraz wpisanie przeglądu stanu realizacji do porządku obrad miesięcznego komitetu kierowniczego, z wyraźnym sygnalizowaniem przekroczonych terminów.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna COBAC.
O czym jest ten model referencyjny
Rozporządzenie COBAC dotyczące kontroli wewnętrznej określa dla instytucji kredytowych oraz holdingów finansowych strefy CEMAC wymagania organizacyjne dotyczące systemu nadzoru nad działalnością. Rozróżnia ono kontrolę stałą, sprawowaną na pierwszym poziomie przez pracowników operacyjnych i na drugim poziomie przez dedykowane funkcje, oraz kontrolę okresową, powierzoną audytowi wewnętrznemu. Nakłada obowiązek posiadania niezależnych funkcji zarządzania ryzykiem i zgodności, systemu pomiaru i monitorowania ryzyka kredytowego, rynkowego, płynności, stopy procentowej oraz operacyjnego, ścieżki audytu, a także rocznego sprawozdania z kontroli wewnętrznej przekazywanego organowi nadzoru i przedstawianego organowi nadzorczemu.
Trudność nie polega na znajomości tekstu, lecz na wykazaniu, że system faktycznie działa. Pytania, które pojawiają się na posiedzeniu komitetu, są konkretne. Czy plan kontroli stałej drugiego poziomu obejmuje procesy rzeczywiście obarczone ryzykiem, czy tylko te, które zespoły potrafią kontrolować. Czy zalecenia audytu wewnętrznego oraz te wynikające z misji organu nadzoru są monitorowane aż do zamknięcia, z dowodem skuteczności. Czy osoba odpowiedzialna za zgodność raportuje organowi nadzorczemu bez filtra zarządu. W tych kwestiach deklaracje rzadko wystarczają.
Powraca częste nieporozumienie: utożsamianie kontroli wewnętrznej z audytem wewnętrznym. Audyt wewnętrzny to kontrola okresowa, stanowi ogniwo systemu, a nie sam system. Instytucja może dysponować aktywną inspekcją generalną i jednocześnie mieć praktycznie nieistniejącą kontrolę stałą, nieaktualizowane mapy ryzyka oraz cykl raportowania do rady ograniczony do formalności. Innym elementem kontekstu jest narastanie regionalnych wymogów ostrożnościowych, ICAAP, bezpieczeństwo systemów informatycznych, outsourcing, które opierają się na tym samym fundamencie: słaba kontrola wewnętrzna osłabia wszystkie pozostałe obszary.
Audyt zgodności stawia pytanie binarne: czy wymóg jest spełniony, czy nie. Diagnostyka dojrzałości stawia pytanie o trajektorię: na jakim poziomie kontroli znajduje się każdy element systemu i jakie konkretne działanie pozwala przejść na wyższy poziom. Plan kontroli istniejący, lecz stosowany w sposób nierówny w poszczególnych oddziałach, nie jest ani zgodny, ani nieobecny: znajduje się na poziomie pośrednim, a to właśnie ta pozycja pozwala wycenić pozostały wysiłek i zaplanować go na dany okres.
W Datamensio model referencyjny jest gotowy do użycia i pozostaje Państwa własnością. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i poziomy do Państwa wielkości, organizacji sieciowej lub statusu spółki zależnej grupy regionalnej. Może również zbudować wersję dostosowaną na podstawie Państwa własnych dokumentów: karty audytu, planu kontroli, rocznego sprawozdania z kontroli wewnętrznej, pism pokontrolnych organu nadzoru.
Norma referencyjna: Rozporządzenie COBAC R-2016/04 w sprawie kontroli wewnętrznej instytucji kredytowych
Oceniane obszary tematyczne
Ogólna organizacja systemu
Architektura trzech poziomów kontroli, rozdzielenie funkcji angażujących instytucję od funkcji je kontrolujących, sformalizowanie w karcie, adekwatność zasobów.
Rola organów zarządzającego i nadzorczego
Odpowiedzialność organu nadzorczego za system, komitet audytu, częstotliwość i zawartość raportowania, udokumentowane decyzje, zatwierdzanie rocznego sprawozdania z kontroli wewnętrznej.
Kontrola stała
Kontrole pierwszego poziomu wbudowane w procedury, zidentyfikowana funkcja drugiego poziomu, plan kontroli, zakres objęty kontrolą, formalizacja i wykorzystanie wyników.
Kontrola okresowa i audyt wewnętrzny
Karta audytu, niezależność i podległość, plan wieloletni oparty na ryzyku, pokrycie działalności i oddziałów, jakość raportów, monitorowanie zaleceń aż do zamknięcia.
Zarządzanie ryzykiem
Niezależna funkcja ryzyka, mapa ryzyka i jej aktualizacja, systemy pomiaru ryzyka kredytowego, rynkowego, płynności, stopy procentowej i operacyjnego, system limitów i postępowanie w przypadku ich przekroczenia.
Zgodność i AML/CFT
Zidentyfikowana funkcja zgodności, kontrola ryzyka braku zgodności, system przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, filtrowanie, zgłoszenia, relacje z ANIF.
Systemy informatyczne i ścieżka audytu
Bezpieczeństwo i integralność danych, zarządzanie uprawnieniami, identyfikowalność operacji od ich powstania do zaksięgowania, plan ciągłości działania i jego testy.
Kontrola księgowa i raportowanie ostrożnościowe
Uzgadnianie i uzasadnianie kont, kontrola sporządzania sprawozdań regulacyjnych, wiarygodność danych przekazywanych organowi nadzoru, dotrzymywanie terminów.
Outsourcing i usługi kluczowe
Spis działalności zlecanej na zewnątrz, klauzule umowne dotyczące kontroli i dostępu, nadzór nad dostawcami, odwracalność.
Nieprawidłowości, incydenty i ciągłe doskonalenie
Ewidencjonowanie i zgłaszanie incydentów oraz strat operacyjnych, progi, plany naprawcze, wnioski z doświadczeń, okresowy przegląd systemu.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy ta diagnostyka stanowi poświadczenie zgodności z rozporządzeniem COBAC?
Nie. Datamensio mierzy dojrzałość systemu i przygotowuje Państwa do kontroli nadzorczych. Ocena zgodności należy do COBAC oraz, w zakresie prac atestacyjnych, do biegłych rewidentów. Diagnostyka pozwala poznać swoją sytuację, zanim oni ją ocenią.
Jaka jest różnica między tą diagnostyką a corocznym audytem wewnętrznym?
Audyt wewnętrzny weryfikuje procesy i kończy się ustaleniami oraz zaleceniami. Diagnostyka umieszcza każdy element systemu na skali dojrzałości i wskazuje działanie pozwalające przejść na wyższy poziom. Oba podejścia się uzupełniają: diagnostyka wyznacza ramy planu audytu, a audyt dostarcza dowodów z praktyki.
Ile czasu zajmuje ocena?
Wersja skrócona zajmuje od 20 do 30 minut osobie odpowiedzialnej za kontrolę stałą lub audyt wewnętrzny. Wersja pełna, w trybie wspólnym z udziałem działu zgodności, ryzyka, księgowości i systemów informatycznych, trwa zazwyczaj od tygodnia do dwóch, przy czym większość czasu pochłania zbieranie dowodów.
Czy model referencyjny można dostosować do instytucji mikrofinansowej lub małej struktury?
Tak. Pytania, poziomy i obszary tematyczne podlegają modyfikacji, a sztuczna inteligencja przygotowuje wersję dostosowaną do wielkości i statusu instytucji, w tym dla instytucji mikrofinansowych, dla których wymogi są inne. Mogą Państwo również oprzeć się na własnych dokumentach wewnętrznych.
Czy można porównać wiele spółek zależnych lub wiele oddziałów?
Tak. Ten sam model referencyjny jest udostępniany wielu jednostkom biznesowym, z wynikiem dla każdej z nich i każdego obszaru tematycznego, benchmarkiem między jednostkami oraz porównaniem z wcześniejszymi kampaniami. Plany działania są konsolidowane w jedną przekrojową mapę drogową, co pozwala uniknąć wielokrotnego rozwiązywania tej samej luki.
Jak powstaje plan działania?
Luka między uzyskanym wynikiem a założonym celem generuje działania. Sztuczna inteligencja grupuje je w spójne projekty i nadaje im priorytety. Katalog usług przypisuje każdemu działaniu rozwiązanie wraz z kosztem, terminem i oczekiwanym wpływem na wynik, co pozwala podjąć decyzję przed ustaleniem budżetu.
Jak ten model referencyjny łączy się z ładem korporacyjnym, AML/CFT lub ICAAP?
Te systemy opierają się na tym samym fundamencie organizacyjnym i tych samych organach. Solidna diagnostyka kontroli wewnętrznej jest w dużej mierze wykorzystywana ponownie. Przekrojowa mapa drogowa łączy kilka audytów bez powielania wspólnych działań.
Gdzie są przechowywane dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak przekazywania danych poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.