– Możemy ufać pracownikom, ale niezależnie od tego, jak bardzo im ufamy, to każde przedsiębiorstwo musi mieć efektywny system kontroli wewnętrznej, począwszy od samego momentu przyjęcia do pracy, przez monitorowanie jego zachowania już jako pracownika. Monitorowanie, ocena skuteczności i propozycje udoskonaleń funkcjonowania mechanizmów i procesów minimalizacji ryzyka nadużyć było do niedawna głównym zadaniem audytorów wewnętrznych. Dzisiaj wyraźnie jest przyjęte, że za efektywność systemu kontroli wewnętrznej w przedsiębiorstwie odpowiada nie tylko sam zarząd, ale także każdy pracownik. Zasady dobrego ładu korporacyjnego (corporate governance) wymagają, aby zarząd przedsiębiorstwa, szczególnie spółek giełdowych, opisywał w raporcie rocznym, co w danym roku finansowym zrobił, aby zapewnić ciągłą skuteczność kontroli wewnętrznej – a jeśli nic nie zrobił, to też ma obowiązek to opisać. Jest to więc dzisiaj poważne zadanie dla zarządu. System kontroli wewnętrznej polega m.in. na analizie, obserwacji, reagowaniu na różne znaki. Dlatego wyróżniamy tzw. czerwone flagi, są to pewne symptomy mogące wskazywać na korupcję w firmie. Problem leży w tym, czy są one rozpoznawane i odpowiednio badane oraz oceniane przez osoby, których zadaniem jest właśnie identyfikacja i reagowanie na czerwone flagi, czyli przede wszystkim dotyczy audytorów oraz kontrolerów wewnętrznych. Mówiąc o czerwonych flagach, wskazuję na następujące okoliczności, które dają możliwość wystąpienia nieprawidłowości lub oszustw. Są to:
1. Braki lub niejasności w dokumentacji lub/i zapisach księgowych
2. Skomplikowane transakcje
3. Działania zdominowane i kontrolowane przez jedną osobę lub małą grupę
4. Nerwowe reakcje audytowanego oraz udzielanie nieracjonalnych odpowiedzi na rutynowe pytania zadawane przez audytorów
5. Pracownik odmawia przekazania innym kontroli nad dokumentami lub księgami
6. Pracownik odmawia urlopu lub awansu
7. Schematy postępowania uczestników przetargów wskazujące na możliwość zmowy
8. Prowadzenie przez pracownika działalności gospodarczej niezgłoszonej w wymaganej formie
9. Utrzymywanie zażyłych kontaktów z dostawcami
10. Osoby spokrewnione/powiązane ze sobą na kluczowych stanowiskach
11. Nadmierny krytycyzm w stosunku do innych jako sposób odwrócenia uwagi od siebie
12. Długi oraz pożyczanie drobnych sum od kolegów z pracy
13. Nieuzasadniony styl/poziom życia: – intensywne, nocne życie towarzyskie, alkoholizm, hazard – wyjaśnianie nadmiernych wydatków odziedziczeniem spadku lub wygraną na loterii itp. …
Jak widać z tej listy, niektóre sygnały (czerwone flagi) są bardziej oczywiste, inne o wiele mniej. Dlatego trzeba analizować różne powiązania międzyludzkie i rodzinne, czy też pewne zjawiska i sytuacje, np. dlaczego firma z Lublina czy Rzeszowa kupuje samochód lub zleca komputeryzację np. w Szczecinie, Gdyni czy Elblągu, zamiast gdzieś blisko czy u siebie. Moim zdaniem, trzeba też myśleć jak osoba wykorzystująca okazje do popełniania nadużyć i udoskonalać procedury oraz mechanizmy systemu kontroli wewnętrznych przedsiębiorstwa, aby one jeszcze bardziej efektywnie mogły chronić je przed stratami. Poza tym należy pamiętać, że sami pracownicy często najlepiej wiedzą o nieprawidłowościach. Dlatego należy ich uświadamiać o konieczności zwracania na nie uwagi i informować władze przedsiębiorstwa. Tego chyba u nas najbardziej brakuje, gdyż większość pracowników doskonale wie o istniejących nieprawidłowościach, ale udaje, że nie wie. Trzeba zatem stworzyć im takie możliwości do przekazywania informacji, by mieli zapewnioną odpowiednią ochronę i zachowali anonimowość.
W jaki sposób wykrywa się nadużycia np . finansowe?
– W większości przedsiębiorstw system kontroli już sprawnie funkcjonuje od lat i znakomicie uniemożliwia popełnienie nadużyć finansowych przez pojedyncze osoby. Ale wiele zależy od organizacji w samym przedsiębiorstwie. Jeżeli jedna, dwie osoby, najczęściej członkowie zarządu, same podpisują faktury czy prowadzą całą gospodarkę finansową to spokojnie niekontrolowane mogą robić, co chcą. Także odwrotnie, gdy wiele osób ma dostęp do finansów, to mogą być różne „kwiatki”, np. podrobione podpisy na fakturach czy przelewach. Mogą być też skutecznie maskowane różne nadużycia np. poprzez premie wypłacane samemu sobie czy też inne wydatki, wsadzone do różnych rachunków, kosztów oraz odpisów. Można np. wziąć w zmowie z pracownikiem banku tzw. zły kredyt i go nie spłacić. Niespłacany, zostaje zaliczany do złych kredytów, są robione odpisy i w końcu jest umarzany. W ten sposób, w latach 90. miliony złotych, marek niemieckich czy dolarów znikały na zawsze z polskiego systemu bankowego. Często przypadki nadużyć są wykrywane dzięki tzw. pazerności działających w zmowie pracowników, szefów. Ci ludzie tracą bowiem umiar w braniu np. pieniędzy czy jakichś materiałów. Pojawia się pustka i sprawa się wydaje. Wbrew pozorom są to częste przypadki. Tak było w przypadku firmy, z której księgowa ze wspólnikiem wyprowadzili ponad 300 tys. zł. Na firmowych kontach zaczynało brakować środków i zarządzono audyt śledczy, który zauważył pewne nieprawidłowości i powoli wszystko zaczęło wychodzić na jaw. Osoby, które były w zmowie, trafiły do prokuratora. I tu, niestety, wyszła na jaw sądowa indolencja. Po pierwsze, proces trwał prawie siedem lat, sądzono te dwie osoby osobno, zamiast razem, i jedną skazano, drugą uniewinniono. Dlatego dla świętego spokoju i zachowania własnego dobrego wizerunku przedsiębiorstwa wolą dogadać się ze złapanymi złodziejami i czasami, odzyskując część strat, pozbyć się ich na zasadzie „rozwiązania umowy za porozumieniem stron”.
Jest to lekko zaskakujące, gdyż zawsze uważałem, że raczej na takim świadectwie pracy powinno być „zwolniony dyscyplinarnie”…
– Tak być powinno, ale najczęściej nie jest. Ja osobiście uczulam przy przyjmowaniu osób do pracy z takim świadectwem pracy. Zachęcam, by sprawdzać je dokładnie, tak samo jak tych dyscyplinarnie zwolnionych. Bo może być różnie, szczególnie, że dziś pracodawca ma małe możliwości osobistego sprawdzenia pewnych spraw, np. tego, czy kandydat na pracownika był kiedyś karany. Takie jest w Polsce prawo i ono komplikuje walkę z przestępczością w firmach. Osobiście byłbym ostrożny w przyjęciu do pracy osoby, która opuściła poprzedniego pracodawcę na podstawie „porozumienia stron”…
Współczesny świat niesie każdemu wiele zagrożeń, np . poprzez rozwój systemów informatycznych, dzięki którym można się włamywać na konta czy kupować na czyjś koszt, podszywając się pod jego dane.
– Jest to coraz większy problem. Istnieje nawet niezależna międzynarodowa organizacja zw. ISACA (Information Systems Audit and Control Association), która w Polsce działa jako Stowarzyszenie do spraw Audytu i Kontroli Systemów Informatycznych. Zrzesza ona audytorów wewnętrznych zajmujących się monitorowaniem, oceną i udoskonaleniem systemów informatycznych, w tym ich bezpieczeństwem. W tej chwili chyba już żadna organizacja nie może sprawnie funkcjonować bez systemów informatycznych, bez odpowiednich do swoich potrzeb programów i aplikacji komputerowych. Jesteśmy od nich uzależnieni wszędzie: w domu, banku, sklepie, firmie. Dlatego trzeba umieć się nimi posługiwać, trzeba umieć się zabezpieczać, obsługując konta czy systemy informatyczne. Z doświadczenia wiemy, że bardzo często to właśnie sami pracownicy są przyczyną awarii i ataków na firmowe systemy informatyczne. I to nie z chęci dokonania przestępstwa, ale raczej z braku ostrożności czy nieprzestrzegania procedur. Na przykład: rozlanie kawy czy herbaty na serwer, ściąganie niebezpiecznych artykułów czy programów pirackich z Internetu, nieostrożność z zachowaniem haseł dostępu do programów – udostępnienie ich drugiej osobie dla „ułatwienia” pracy itp. Dlatego należy szkolić i uczulać pracowników, by stosowali wszystkie zabezpieczenia i procedury przy obsłudze systemów komputerowych. Trzeba zmieniać hasła, trzeba zapisywać na niezależnych nośnikach ważne operacje. Trzeba też wdrażać pewne programy awaryjne, zapewniające ciągłość pracy w razie awarii komputerów.
Cały wywiad w numerze 10/2013 Eurogospodarki.