Όμιλος FOURLIS Risk Based Audit

Transcript

1 Όμιλος FOURLIS Risk Based Audit Παράδειγμα Εφαρμογής Οκτώβριος 2005

2 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε 6. Risk based audit: τί μάθαμε; 7. Ερωτήσεις

3 Risk based audit: πώς προέκυψε; (1) Η εταιρεία ήταν πολυάριθμη, γεωγραφικά διασκορπισμένη και με ηγετική θέση στον κλάδο... Η εταιρεία είχε υποστεί αρκετές οργανωτικές αλλαγές σε μικρό χρονικό διάστημα... Η εταιρεία βρισκόταν σε μια ιδιαίτερα κρίσιμη καμπή... Η εικόνα έπρεπε να αναστραφεί το συντομότερο δυνατό... Σε όλες τις Διευθύνσεις υπήρχαν ανοικτά θέματα... Οι αλλαγές έπρεπε να είναι άμεσα ορατές και εφαρμόσιμες και να προσθέτουν σημαντική αξία... Οι ελεγκτές δεν είχαν προηγούμενη εμπειρία ελέγχου στην εταιρεία...

4 Risk based audit: πώς προέκυψε; (2) Το ιστορικό των ελέγχων ήταν σχεδόν ανύπαρκτο και με ασαφή προσανατολισμό... Τα αρχεία των ελέγχων ακόμη και αν είχαν βρεθεί, θα ήταν άχρηστα... Η προσέγγιση του ελέγχου έπρεπε να έχει τη μεγαλύτερη δυνατή αποδοχή... Η συνεργασία όλων ήταν επιβεβλημένη κυρίως για τη γρήγορη υλοποίηση των αλλαγών... Το έργο του ελέγχου θα είχε συνέχεια... Η εξωτερική βοήθεια από έμπειρους ελεγκτές ήταν διαθέσιμη...

5 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε; 4. Risk based audit: τί μάθαμε; 5. Ερωτήσεις

6 Risk assessment project: πώς σχεδιάστηκε; Στάδιο 1: Στάδιο 2: Στάδιο 3: Στάδιο 4: Στάδιο 5: Στάδιο 6: Στάδιο 7: Στάδιο 8: Στάδιο 9: Στάδιο 10: Στάδιο 11: Στάδιο 12: Διαγνωστική μελέτη Επιλογή μεθόδου risk assessment Εκπαίδευση στη μέθοδο risk assessment Διανομή ερωτηματολογίων Διευθυντών Υποστήριξη κατά τη συμπλήρωση ερωτηματολογίων Επεξεργασία ερωτηματολογίων Οριστικοποίηση ερωτηματολογίων Διευθυντών Ανάλυση κινδύνων από ερωτηματολόγια Διευθυντών Ανάλυση κινδύνων από ερωτηματολόγια ομάδας ελέγχου Παρουσίαση αποτελεσμάτων στο BoD Επαναξιολόγηση Σχεδιασμός audit plan και παρουσίαση στους Διευθυντές Έναρξη έργων εσωτερικού ελέγχου

7 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε; 4. Risk based audit: τί μάθαμε; 5. Ερωτήσεις

8 Risk assessment method: ποιά επιλέξαμε; (1) Τρόπος βαθμολόγησης κινδύνων (scoring method) Μεθοδολογία αξιολόγησης κινδύνων (risk assessment method) βασικά στοιχεία

9 Risk assessment method: ποιά επιλέξαμε; (2) Κάθε γενική περιοχή εξειδικεύεται σε επιμέρους κινδύνους Γενικές περιοχές κινδύνων και ειδικές παράμετροι κινδύνων (risk factors)

10 Risk assessment method: ποιά επιλέξαμε; (3) Γενικές περιοχές κινδύνων Πληροφοριακά συστήματα Διαχείριση ανθρώπινων πόρων Εσωτερικές δικλείδες ασφαλείας Διαχείριση περιουσίας Κανονιστικό περιβάλλον Στρατηγική Εξυπηρέτηση πελατών Εμπορικοί στόχοι Πολυπλοκότητα διαδικασιών Τιμολογιακή πολιτική

11 Risk assessment method: ποιά επιλέξαμε; (4) Ειδικές περιοχές κινδύνων Γενική περιοχή: Πληροφοριακά συστήματα Υπάρχουν; Επαρκούν; Πολλά ή ένα; Πολύπλοκα ή απλά; Υπάρχουν interfaces ή όχι; Απαιτείται ή όχι εξειδίκευση χρηστών; Λειτουργούν συνεχώς ή όχι; Υπάρχουν καταστροφές απώλειες δεδομένων / καταστροφές λειτουργίας; Ελέγχεται ή όχι η πρόσβαση; Υπάρχουν ή όχι εμπιστευτικά δεδομένα; Υπάρχει εσωτερική υποστήριξη χρηστών; Υπάρχει εξωτερική υποστήριξη χρηστών;

12 Risk assessment method: ποιά επιλέξαμε;(5) Ειδικές περιοχές κινδύνων Γενική περιοχή: Διαχείριση ανθρώπινων πόρων Επαρκές ανθρώπινο δυναμικό; Κατάλληλα εκπαιδευμένο; Χαμηλό ηθικό εργαζομένων; Δυσαρέσκεια από την εργασία; Επικάλυψη διαδικασιών μεταξύ Διευθύνσεων; Συχνότητα αναδιοργανώσεων; Συχνή αλλαγή ρόλων; Χρησιμοποιούνται KPIs; Συνδέεται η απόδοση με σύστημα αμοιβών; Υπάρχει ενημέρωση για στόχους, πλάνα, αποτελέσματα; Η δομή της Διεύθυνσης αντανακλά το ρόλο της; Υπάρχουν ξεκάθαρες περιγραφές θέσεων; Κανονισμός εργασίας;

13 Risk assessment method: ποιά επιλέξαμε; (6) Ειδικές περιοχές κινδύνων Γενική περιοχή: Εσωτερικές δικλείδες ασφαλείας Τακτικοί έλεγχοι από ανεξάρτητους/ εξωτερικούς ελεγκτές; Επαρκής διαχωρισμός καθηκόντων; Ενημερωμένες γραπτές διαδικασίες λειτουργίας; Συστήματα ελέγχου εν λειτουργία; Σύστημα αξιολόγησης απόδοσης εν λειτουργία; Υπάρχει αντίδραση της Διοίκησης σε περίπτωση εντοπισμού λαθών; Απάτες εντοπίστηκαν; Αξιολογούνται οι υπηρεσίες τρίτων;

14 Risk assessment method: ποιά επιλέξαμε; (7) Ειδικές περιοχές κινδύνων Γενική περιοχή: Διαχείριση περιουσίας Φυλάσονται οι χώροι που βρίσκονται περιουσιακά στοιχεία της εταιρείας; Ενημερώνονται οι εργαζόμενοι για διαδικασίες διαχείρισης και προστασίας της περιουσίας;

15 Risk assessment method: ποιά επιλέξαμε; (8) Ειδικές περιοχές κινδύνων Γενική περιοχή: Κανονιστικό περιβάλλον Παρακολουθείται η νομοθεσία που αφορά την εταιρεία; Έχουν επιβληθεί πρόστιμα; Με τί συχνότητα; Ενημερώνονται οι εργαζόμενοι για υποχρεώσεις που απορρέουν από τη νομοθεσία;

16 Risk assessment method: ποιά επιλέξαμε;(9) Ειδικές περιοχές κινδύνων Γενική περιοχή: Στρατηγική Παρακολουθούνται συστηματικά οι εξελίξεις στην αγορά; Οι αλλαγές που προτείνονται από τη Διοίκηση εφαρμόζονται; Οι στόχοι των Διευθύνσεων εναρμονίζονται με τους στόχους της εταιρείας; Η επίτευξη των στόχων της εταιρείας εξαρτάται από τη συνεργασία της με βασικούς προμηθευτές;

17 Risk assessment method: ποιά επιλέξαμε;(10) Ειδικές περιοχές κινδύνων Γενική περιοχή: Εξυπηρέτηση πελατών Υπάρχει σύστημα αξιολόγησης της ανταγωνιστικότητας των εμπορευμάτων και των υπηρεσιών της εταιρείας; Οι εφαρμοζόμενες διαδικασίες επικεντρώνονται στην εξυπηρέτηση των πελατών;

18 Risk assessment method: ποιά επιλέξαμε;(11) Ειδικές περιοχές κινδύνων Γενική περιοχή: Εμπορικοί στόχοι Ανταποκρίνονται στις συνθήκες της αγοράς; Αναθεωρούνται τακτικά; Παρακολουθείται η επίτευξή τους συστηματικά και βασίζεται σε πλήρη στοιχεία; Συμβάλουν στην επίτευξη των στρατηγικών στόχων της εταιρείας; Υπάρχει επαρκής επικοινωνία μεταξύ των Διευθύνσεων για την επίτευξη των εμπορικών στόχων;

19 Risk assessment method: ποιά επιλέξαμε;(12) Ειδικές περιοχές κινδύνων Γενική περιοχή: Πολυπλοκότητα διαδικασιών Οι εφαρμοζόμενες διαδικασίες είναι σύνθετες και γραφειοκρατικές; Οι εφαρμοζόμενες διαδικασίες είναι χρονοβόρες, κοστίζουν πολύ και δεν είναι ουσιώδεις; Χρησιμοποιούνται KPIs αξιολόγησης της αποτελεσματικότητας των διαδικασιών;

20 Risk assessment method: ποιά επιλέξαμε;(13) Ειδικές περιοχές κινδύνων Γενική περιοχή: Τιμολογιακή πολιτική Ελέγχεται η ορθή εφαρμογή; Ο καθορισμός των τιμών βασίζεται σε ελλιπή στοιχεία; Επιτυγχάνεται το επιθυμητό μικτό κέρδος; Υπάρχει συστηματικός τρόπος παρακολούθησης και αναθεώρησης των τιμών ώστε να ανταποκρίνονται στις συνθήκες που επικρατούν στην αγορά;

21 Risk assessment method: ποιά επιλέξαμε; (14) Επίδραση κινδύνων (impact) 0 έως 4 με βήμα 1 Τρόπος βαθμολόγησης κινδύνων (scoring method)

22 Risk assessment method: ποιά επιλέξαμε; (15) 12 Διευθύνσεις 15 Περιοχές Ελέγχου Τρόπος συλλογής στοιχείων για την ανάλυση κινδύνων (data gathering)

23 Risk assessment method: ποιά επιλέξαμε; (16) Υπολογισμός συνολικού βαθμού κινδύνου ανά Διεύθυνση Τρόπος διενέργειας ανάλυσης κινδύνων (risk analysis)

24 Risk assessment method: ποιά επιλέξαμε; (17) Τα αποτελέσματα που προκύπτουν από την αξιολόγηση τοποθετούνται σε ειδικό εργαλείο αξιολόγησης κινδύνων το οποίο ιεραρχεί κάθε Διεύθυνση ανάλογα με το συνολικό βαθμό κινδύνου που συγκεντρώνει και την τοποθετεί σε μία από τις τρεις ζώνες κινδύνων του γραφήματος: Υψηλή Μη αποδεκτό επίπεδο κινδύνου Μεσαία Χαμηλή Αποδεκτό επίπεδο κινδύνου Μεσαία Πιθανότητα εμφάνισης Επίπεδο κινδύνου που απαιτεί προσοχή Υψηλή

25 Risk assessment method: ποιά επιλέξαμε; (18) Ζώνη υψηλού κινδύνου: Κόκκινη ζώνη μεγάλη πιθανότητα εμφάνισης, μεγάλη επίδραση Μεγάλα προβλήματα λειτουργίας Εκτεταμένες οικονομικές απώλειες Κίτρινη ζώνη Ζώνη μεσαίου κινδύνου μέτρια πιθανότητα εμφάνισης, μέτρια επίδραση Προβλήματα λειτουργίας μεσαίας κλίμακας Οικονομικές απώλειες μεσαίας κλίμακας Πράσινη ζώνη Ζώνη χαμηλού κινδύνου μικρή πιθανότητα εμφάνισης, μικρή επίδραση Ελάχιστα ή ανύπαρκτα προβλήματα λειτουργίας Ελάχιστες ή ανύπαρκτες οικονομικές απώλειες

26 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε; 4. Risk based audit: τί μάθαμε; 5. Ερωτήσεις

27 Risk assessment results: ποιά ήταν; (1) Αποτελέσματα από τα ερωτηματολόγια των Διευθυντών Διεύθυνση Αγορών 400 Αξιολόγηση Κινδύνων Διεύθυνση Εκπαίδευσης Διεύθυνση Πωλήσεων Τμήμα Budgeting & Reporting (Οικ. Δ/νση) Διεύθυνση Λογιστηρίου (Οικ. Δ/νση) Tμήμα Διαθεσίμων (Οικ. Δ/νση) Επίδραση 200 Διεύθυνση Πιστωτικού Ελέγχου Διεύθυνση Customer Care Διεύθυνση Ανθρώπινου Δυναμικού Διεύθυνση Πληροφορικής Διεύθυνση Marketing Πιθανότητα εμφάνισης Διεύθυνση Οργάνωσης και Ανάπτυξης Νέων Καταστημάτων Τμήμα After Sales Διεύθυνση Προμηθειών Διεύθυνση Logistics

28 Αποτελέσματα από τα ερωτηματολόγια της ομάδας ελέγχου Risk assessment results: ποιά ήταν; (2) Αποτελέσματα από τα ερωτηματολόγια της ομάδας ελέγχου Αξιολόγηση Κινδύνων 400 Διεύθυνση Αγορών Διεύθυνση Εκπαίδευσης Επίδραση 200 Διεύθυνση Πωλήσεων Τμήμα Budgeting & Reporting (Οικ. Δ/νση) Διεύθυνση Λογιστηρίου (Οικ. Δ/νση) Tμήμα Διαθεσίμων (Οικ. Δ/νση) Διεύθυνση Πιστωτικού Ελέγχου Διεύθυνση Customer Care Διεύθυνση Ανθρώπινου Δυναμικού Διεύθυνση Πληροφορικής Διεύθυνση Marketing Διεύθυνση Οργάνωσης κ αι Ανάπτυξης Τμήμα After Sales Πιθανότητα εμφάνισης Διεύθυνση Προμηθειών Διεύθυνση Logistics

29 Risk assessment results: ποιά ήταν; (3) Πρόγραμμα ελέγχου από την αξιολόγηση των Διευθυντών Περιοχή Ελέγχου Επίδραση Πιθανότητα Βαθμός Κινδύνου Τμήμα Budgeting & Reporting (Οικονομική Διεύθυνση) Διεύθυνση Logistics Διεύθυνση Αγορών Διεύθυνση Οργάνωσης και Ανάπτυξης Νέων Καταστημάτων Διεύθυνση Εκπαίδευσης Διεύθυνση Πωλήσεων Διεύθυνση Marketing Διεύθυνση Ανθρώπινου Δυναμικού Διεύθυνση Λογιστηρίου (Οικονομική Διεύθυνση) Διεύθυνση Προμηθειών Διεύθυνση Πληροφορικής Τμήμα After Sales Διεύθυνση Customer Care Tμήμα Διαθεσίμων (Οικονομική Διεύθυνση) Διεύθυνση Πιστωτικού Ελέγχου

30 Risk assessment results: ποιά ήταν; (4) Πρόγραμμα ελέγχου από την αξιολόγηση της ομάδας ελέγχου Περιοχή Ελέγχου Επίδραση Πιθανότητα Βαθμός Κινδύνου Διεύθυνση Πωλήσεων Διεύθυνση Αγορών Διεύθυνση Logistics Διεύθυνση Οργάνωσης και Ανάπτυξης Νέων Καταστημάτων Διεύθυνση Marketing Διεύθυνση Προμηθειών Τμήμα Budgeting & Reporting (Οικονομική Διεύθυνση) Διεύθυνση Πληροφορικής Διεύθυνση Εκπαίδευσης Διεύθυνση Ανθρώπινου Δυναμικού Διεύθυνση Λογιστηρίου (Οικονομική Διεύθυνση) Διεύθυνση Πιστωτικού Ελέγχου Τμήμα After Sales Tμήμα Διαθεσίμων (Οικονομική Διεύθυνση) Διεύθυνση Customer Care

31 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε; 4. Risk based audit: τί μάθαμε; 5. Ερωτήσεις

32 Audit plan: πώς το καταρτίσαμε; Περιοχή Ελέγχου Επίδραση Πιθανότητα εμφάνισης Βαθμός Κινδύνου Ώρες Ελέγχου Διεύθυνση Αγορών Διεύθυνση Logistics Διεύθυνση Οργάνωσης & Ανάπτυξης Καταστημάτων Διεύθυνση Πωλήσεων Διεύθυνση Customer Care Tμήμα Διαθεσίμων (Οικ. Δ/νση) Διεύθυνση Marketing Διεύθυνση Προμηθειών Τμήμα Budgeting & Reporting (Οικ. Δ/νση) Διεύθυνση Πληροφορικής Διεύθυνση Εκπαίδευσης Διεύθυνση Ανθρώπινου Δυναμικού Διεύθυνση Λογιστηρίου (Οικ. Δ/νση) Διεύθυνση Πιστωτικού Ελέγχου Τμήμα After Sales

33 1. Risk based audit: πώς προέκυψε; 2. Risk assessment project: πώς σχεδιάστηκε; 3. Risk assessment method: ποιά επιλέξαμε; 4. Risk assessment results: ποιά ήταν; 5. Audit plan: πώς το καταρτίσαμε; 4. Risk based audit: τί μάθαμε; 5. Ερωτήσεις

34 Risk based audit: τί μάθαμε; (1) Η μέθοδος είναι εφαρμόσιμη. Αποτελεί εναλλακτική μέθοδο του παραδοσιακού audit με εμφανή πλεονεκτήματα. Δεν εφαρμόζεται αυτόματα ή ως δια μαγείας. Δεν αποτελεί προορισμό αλλά διαδρομή. Το ρητό κάθε χρόνο και καλύτερα ισχύει και στην περίπτωση αυτή. Ακόμη και αν η αξιολόγηση κινδύνων δεν πραγματοποιηθεί με την πιο προηγμένη επιστημονικά μέθοδο, δεν επηρεάζεται η ουσία των αποτελεσμάτων.

35 Risk based audit: τί μάθαμε; (2) Η Διοίκηση παίζει για μια ακόμη φορά καταλυτικό ρόλο στην επιτυχή εφαρμογή. Η εμπειρία και οι γνώσεις της ομάδας ελέγχου είναι προαπαιτούμενα. Εξωτερική βοήθεια είναι μάλλον υποχρεωτική, τουλάχιστον κατά την πρώτη εφαρμογή. Σίγουρα υπάρχουν δυσκολίες όπως άλλωστε και σε οποιαδήποτε άλλη περίπτωση προσπαθούμε να ποσοτικοποιήσουμε αυτό που γνωρίζουμε.

36 Risk based audit: τί μάθαμε; (3) Τελικά μάθαμε ότι... Don t act like a coward, act like a market leader Ingvad Kamprad, ιδρυτής ΙΚΕΑ Οι εταιρείες που εφαρμόζουν ή επιθυμούν να εφαρμόσουν risk based audit ανήκουν στην κατηγορία των market leaders και όχι των cowards...

37 Ερωτήσεις