Roczny plan testów i monitoringu compliance: od oceny ryzyka do raportu dla rady

Jesień to czas na plan testów na przyszły rok. Wytyczne EBA w sprawie zarządzania wewnętrznego oczekują, że funkcja zgodności prowadzi monitoring w ramach ustrukturyzowanego i dobrze zdefiniowanego programu monitorowania zgodności (EBA/GL/2021/05, pkt 210). W polskich bankach rozporządzenie w sprawie systemu zarządzania ryzykiem i systemu kontroli wewnętrznej przypisuje komórce do spraw zgodności identyfikację i ocenę ryzyka braku zgodności, projektowanie mechanizmów kontroli, monitorowanie i okresowe raportowanie do zarządu i rady nadzorczej (§ 38 pkt 4 do 8).

Plan testów jest miejscem, w którym te obowiązki spotykają się z budżetem roboczogodzin. Poniżej szkielet, który da się obronić przed audytem i nadzorcą.

Zakres z oceny ryzyka braku zgodności

Punktem wyjścia jest ocena ryzyka braku zgodności, a nie lista zeszłorocznych testów. Rekomendacja H oczekuje, że zakres testowania uwzględnia złożoność procesów, ryzyko nieprawidłowości i nieprawidłowości z przeszłości, a częstotliwość zależy od złożoności procesów i rodzaju kluczowych mechanizmów kontrolnych (rekomendacja 8.5). Kotwicą jest matryca funkcji kontroli, która wiąże procesy istotne z kluczowymi mechanizmami i ich monitorowaniem (§ 37 ust. 3 pkt 2 rozporządzenia).

W praktyce każdy obszar z wysoką oceną ryzyka rezydualnego dostaje co najmniej jeden test w roku. Obszary średnie wchodzą rotacyjnie, raz na dwa lub trzy lata. Do tego rezerwa, około piętnastu procent czasu, na testy doraźne po incydencie, skardze klienta albo zmianie przepisów; plan bez rezerwy przestaje być aktualny w lutym.

Testy pionowe i poziome

Definicje warto przenieść do planu wprost z Rekomendacji H, bo to na nich opiera się podział pracy. Testowanie to w Rekomendacji H porównywanie na wybranej próbie stanu faktycznego ze stanem wymaganym w odniesieniu do zakończonych czynności. Testowanie poziome odbywa się w ramach tej samej linii obrony, na przykład zespół jakości w operacjach testuje kontrole własnego departamentu. Testowanie pionowe to testowanie przestrzegania mechanizmów kontrolnych pierwszej linii przez drugą linię.

Dla procesów istotnych podstawową rolę w monitorowaniu pionowym ma odgrywać właśnie testowanie pionowe (rekomendacja 8.2). Komórka zgodności może łączyć testy wdrożenia i przestrzegania mechanizmów kontroli ryzyka braku zgodności z testowaniem pionowym (rekomendacja 18.4). Plan powinien więc jasno mówić, które testy robi compliance, które druga linia ryzyka, a na których wynikach testów poziomych compliance się opiera i jak je weryfikuje.

Próba, kroki testu i dowody

Rekomendacja H oczekuje wewnętrznych zasad doboru próby, sposobu przeprowadzenia testu i wymaganej dokumentacji (rekomendacja 8.5). Standardy IIA z 2024 r. podpowiadają, jak o tym myśleć: rozważyć test całej populacji albo próby reprezentatywnej, a przy próbie stosować metody, które zapewniają jej możliwie najlepszą reprezentatywność (Standard 14.1). Przy danych systemowych pełna populacja jest często tańsza niż ręczna próba.

Przy kontrolach manualnych dobrze sprawdza się tabela wielkości próby zależna od częstotliwości kontroli. Popularny w praktyce rynkowej punkt wyjścia to od 25 do 40 pozycji dla kontroli dziennej, od 5 do 15 dla tygodniowej, od 2 do 5 dla miesięcznej, 2 dla kwartalnej i 1 dla rocznej. To konwencja, nie wymóg; ważne, żeby była zapisana w metodyce i stosowana konsekwentnie.

Każdy test ma kartę: cel, kryterium (przepis albo regulacja wewnętrzna), populacja z datą i źródłem pobrania, metoda doboru, kroki testu, wynik dla każdej pozycji i wniosek. Standard 14.1 IIA ustawia poprzeczkę wystarczalności: kompetentna osoba powinna móc powtórzyć pracę i dojść do tego samego wniosku. Zrzut ekranu bez daty i nazwy systemu tego nie spełnia.

Ustalenia, działania naprawcze i follow-up

Rekomendacja H oczekuje zasad kategoryzacji nieprawidłowości, zatwierdzanych przez zarząd i radę nadzorczą, obejmujących co najmniej nieprawidłowości znaczące i krytyczne (rekomendacja 3.1). Nieprawidłowości znaczące i krytyczne wykryte przez drugą linię idą niezwłocznie do audytu wewnętrznego, a krytyczne także do zarządu i rady nadzorczej lub komitetu audytu (rekomendacja 3.2 lit. b). Skala ocen w planie powinna więc mapować się na te kategorie bez tłumaczenia.

Ocena istotności to prawdopodobieństwo i wpływ, a ustalenie bez przyczyny źródłowej jest połową ustalenia (Standard 14.3 IIA). Z przyczyny wynikają dwa rodzaje działań: korygujące, które usuwają skutek, i zapobiegawcze, które zmieniają proces tak, by problem nie wrócił. Każde ma jednego właściciela z imienia i nazwiska, termin i kryterium zamknięcia.

Follow-up to osobny strumień pracy, nie dopisek. Standard 15.2 IIA wymaga potwierdzania wdrożenia działań, testów sprawdzających dobranych według ryzyka i rejestru statusów; przy opóźnieniu trzeba uzyskać i udokumentować wyjaśnienie kierownictwa. Działanie zamyka się po teście skuteczności, a nie po mailu „zrobione”.

Plan testów, który nie ma rezerwy na follow-up, produkuje ustalenia, a nie poprawę.

Kalendarz i raportowanie do zarządu i rady

Rekomendacja H oczekuje kwartalnych raportów komórki zgodności do zarządu i rady nadzorczej lub komitetu audytu, obejmujących identyfikację, ocenę, kontrolę i monitorowanie ryzyka braku zgodności, a przy ryzyku wysokim lub krytycznym informacji niezwłocznej (rekomendacja 19). Raporty o wynikach testowania pionowego i statusie środków naprawczych mają trafiać co najmniej do audytu wewnętrznego, zarządu i rady (rekomendacja 10). Rozporządzenie dokłada wymogi roczne: rada nadzorcza co najmniej raz w roku ocenia efektywność zarządzania ryzykiem braku zgodności (§ 35 ust. 5 pkt 3) i dokonuje corocznej oceny adekwatności i skuteczności systemu kontroli wewnętrznej, w tym komórki do spraw zgodności (§ 35 ust. 3).

Raport dla rady nie powtarza kart testów. Pokazuje pokrycie planu, liczbę ustaleń według kategorii, działania po terminie z nazwiskiem właściciela i to, co z tego wynika dla oceny ryzyka. Rada ma z niego wiedzieć, gdzie jest problem i kto go naprawia, w dwie minuty.