Zasada czterech oczu: kto może być drugą parą oczu i co dowodzi, że naprawdę patrzyła

Zacznijmy od źródła. W Rekomendacji H KNF zasada pojawia się przy podziale obowiązków, który można realizować m.in. przez „tzw. kontrolę dwóch par oczu”. Podział obowiązków ma zapobiegać sytuacjom, w których pracownik kontroluje samego siebie albo w których między pracownikami powiązanymi osobiście istnieje potencjalny konflikt interesów. Rozporządzenie w sprawie systemu zarządzania ryzykiem i systemu kontroli wewnętrznej w bankach wymienia podział obowiązków i autoryzację w katalogu mechanizmów kontrolnych w § 37 ust. 1 pkt 2 i 3.

W ubezpieczeniach ta sama idea działa piętro wyżej. Wytyczne EIOPA w sprawie systemu zarządzania (Guideline 3) oczekują, że każda istotna decyzja zakładu angażuje co najmniej dwie osoby faktycznie nim kierujące, zanim zostanie wdrożona. Słowo „zanim” jest tu ważniejsze, niż się wydaje.

Problem w praktyce nie polega na braku zasady. Polega na tym, że druga para oczu istnieje w procedurze, a w systemie zostaje po niej tylko kliknięcie.

Kto może być drugą parą oczu

Pierwszy warunek to niezależność od tego, co się sprawdza. Rekomendacja H mówi wprost, że „ta sama osoba nie powinna jednocześnie odpowiadać za stosowanie danego mechanizmu kontrolnego oraz niezależne monitorowanie jego przestrzegania” (rekomendacja 6.4). Niezależność nie musi oznaczać innego departamentu: weryfikację bieżącą może wykonać przełożony w ramach nadzoru służbowego albo inny pracownik tej samej lub innej komórki, czyli tzw. weryfikacja na drugą rękę (rekomendacja 7.2).

Drugi warunek to kompetencja. Rekomendacja 6.3 oczekuje, że osoby wykonujące monitorowanie mają kwalifikacje, doświadczenie i umiejętności adekwatne do zadania. Checker, który nie rozumie, czym różni się beneficjent rzeczywisty od pełnomocnika, nie sprawdza umowy, tylko ją ogląda.

Trzeci warunek to brak konfliktu. Tu nie chodzi tylko o oczywiste przypadki, jak akceptacja własnego wydatku. Chodzi też o relacje: małżonkowie w jednym procesie, przełożony akceptujący transakcję, od której zależy jego premia, kolega z zespołu, który za tydzień będzie potrzebował rewanżu.

Dla compliance w bankach jest jeszcze jeden wątek. Od 29 września 2026 r. obowiązuje nowe brzmienie § 40 rozporządzenia: komórka do spraw zgodności, a teraz także komórka do spraw zarządzania ryzykiem, nie może być łączona z innymi komórkami, a jej pracownicy nie mogą wykonywać innych obowiązków niż wynikające z jej zadań. W bankach spółdzielczych zrzeszonych łączenie w obrębie drugiego poziomu jest dopuszczalne pod warunkiem braku konfliktu interesów. W praktyce to argument przeciwko obsadzaniu compliance w roli rutynowego checkera transakcji pierwszej linii.

Druga para oczu, która nie może powiedzieć „nie”, jest tylko świadkiem.

Kiedy cztery oczy są potrzebne, a kiedy to teatr

Cztery oczy kosztują czas dwóch ludzi. Mają sens tam, gdzie błąd jest drogi albo nieodwracalny: płatność powyżej progu, zmiana rachunku beneficjenta, obejście limitu, nadanie uprawnień, zatwierdzenie decyzji przygotowanej przez model. Rekomendacja H każe dobierać mechanizmy do celów, złożoności procesu i ryzyka nieprawidłowości, a także unikać stosowania wyłącznie manualnych mechanizmów w danym procesie (rekomendacja 5.4).

Teatr zaczyna się wtedy, gdy podwójna akceptacja obejmuje wszystko jak leci. Checker z kolejką trzystu pozycji dziennie nie sprawdza, tylko odhacza. Jeśli połowę tych pozycji może zablokować reguła w systemie, to człowiek powinien patrzeć tylko na wyjątki.

Drugi objaw teatru to checker, który widzi mniej niż maker. Dostaje podsumowanie zamiast dokumentu źródłowego, kwotę bez kontrahenta, wniosek bez historii zmian. Nie da się zweryfikować czegoś, czego się nie widzi.

Co jest dowodem, a co nim nie jest

Rekomendacja H oczekuje dokumentowania stosowania mechanizmów kontrolnych tak, aby dało się je niezależnie monitorować, zbadać w audycie i sprawdzić w czynnościach nadzorczych; przypis nazywa to wprost „dowodami kontroli” (rekomendacja 5.7). Wśród podstawowych form wymienia podpisy, potwierdzenie w systemie informatycznym i raporty. Standardy IIA z 2024 r. dodają kryterium, które dobrze działa jako test jakości: dowód jest wiarygodniejszy, gdy pochodzi z systemu z działającymi kontrolami i da się go potwierdzić z innego źródła, a wystarczający, gdy kompetentna osoba może powtórzyć pracę i dojść do tego samego wniosku (Standard 14.1).

Nie są dowodem: mail „ok” bez wskazania wersji dokumentu, akceptacja wykonana po fakcie, dwa konta należące do jednej osoby, akceptacje seryjne po kilka sekund każda. Mail jeszcze bywa uzupełnieniem, ale nie wiąże decyzji z konkretną treścią, którą zatwierdzono.

Jak to przetestować

Test robi się na zamkniętych czynnościach i na próbie, tak jak definiuje to Rekomendacja H (rekomendacja 8.1). Przy danych systemowych lepiej jednak sprawdzić całą populację, bo kilka zapytań kosztuje mniej niż ręczny przegląd dwudziestu pozycji.

Pięć testów, które wychwytują większość problemów. Po pierwsze, maker różny od checkera po mapowaniu kont na osoby z kadr, a nie tylko po loginach. Po drugie, akceptacja wcześniejsza niż wykonanie. Po trzecie, rozkład czasu akceptacji: jeśli mediana to cztery sekundy, nikt niczego nie czytał.

Po czwarte, wskaźnik odrzuceń per checker i per proces. Po piąte, przegląd uprawnień: kto ma jednocześnie rolę przygotowującego i zatwierdzającego, i kto może sobie taką kombinację nadać. Wyniki testowania pionowego trafiają do raportu, który Rekomendacja H kieruje co najmniej do audytu wewnętrznego, zarządu i rady nadzorczej (rekomendacja 10.2).

Co zrobić w tym kwartale

• Wypisać operacje, dla których zasada czterech oczu jest naprawdę potrzebna, i zdjąć ją tam, gdzie lepiej działa reguła systemowa.
• Sprawdzić, czy checker widzi dokument źródłowy i różnicę wersji, a nie tylko podsumowanie.
• Uruchomić na pełnej populacji z ostatniego kwartału test kolejności znaczników czasu i test makera różnego od checkera.
• Porównać macierz uprawnień z deklaracjami konfliktu interesów, żeby wyłapać powiązane pary w jednym procesie.
• W bankach przejrzeć, czy pracownicy compliance nie pełnią roli checkera w procesach pierwszej linii, w świetle nowego brzmienia § 40.