Audyt, zarządzanie ryzykiem i zgodnością (Governance, Risk, Compliance).
- GRC obejmuje trzy powiązane obszary: nadzór nad procesami, zarządzanie ryzykiem i zgodność z wymaganiami zewnętrznymi.
- W praktyce sprowadza się to do trzech pytań: co mamy zrobić, kiedy i jak to udokumentować.
- Najczęstszą przyczyną uchybień nie jest brak wiedzy o obowiązku, lecz brak mechanizmu pilnującego terminu.
- Wykazanie zgodności wymaga śladu czynności — a ślad powstaje wyłącznie wtedy, gdy jest zbierany na bieżąco.
NadzórKto odpowiada za obowiązek i w jakim zakresie
RyzykoCo może pójść nie tak i jakie będą skutki
ZgodnośćWymagania zewnętrzne i sposób ich spełnienia
DowódŚlad czynności pozwalający wykazać wykonanie
Czwarty element nie jest osobnym filarem, lecz warunkiem, bez którego trzy pozostałe są wyłącznie deklaracją.
| Zagadnienie | Czego dotyczy | Dla kogo |
|---|---|---|
| Prawo wodne | Zakres obowiązków kontrolnych gminy | Pracownik urzędu |
| Ewidencja zrzutów | Dane w rejestrze i powiązanie dokumentów | Osoba prowadząca rejestr |
| Technologie | Automatyzacja zestawień i sprawozdawczości | Kierownictwo urzędu |
| Kontrola cykliczna | Planowanie terminów i dokumentowanie czynności | Kontrolujący |
Sekcja skupia się na obowiązkach kontrolnych gmin w gospodarce ściekowej — obszarze, w którym wymagania są jednoznaczne, a skala ewidencji znaczna.
Typowe słabe punkty w nadzorze nad obowiązkami:
- Obowiązek znany, ale nieprzypisany konkretnej osobie ani stanowisku.
- Termin pilnowany w kalendarzu jednej osoby, którego nieobecność zatrzymuje proces.
- Dokumenty przechowywane osobno od pozycji, której dotyczą.
- Brak zapisu czynności, przez co wykonanie obowiązku trudno wykazać.
- Sprawozdania składane z zestawień robionych na ostatnią chwilę, a nie z danych bieżących.
Czym jest GRC w praktyce
Skrót GRC obejmuje trzy dziedziny, które w codziennej pracy trudno rozdzielić: nadzór nad procesami, zarządzanie ryzykiem i zgodność z wymaganiami zewnętrznymi. Wspólnym mianownikiem jest pytanie o to, czy organizacja robi to, co ma robić, i czy potrafi to wykazać.
W jednostkach samorządu obszar ten ma szczególnie konkretny wymiar. Obowiązki wynikają wprost z przepisów, terminy są wyznaczone, a wykonanie podlega sprawozdawczości. Nie ma tu miejsca na uznaniowość co do tego, czy obowiązek istnieje — pozostaje pytanie o sposób jego realizacji.
Praktyczna trudność rzadko polega na nieznajomości przepisu. Znacznie częściej na tym, że obowiązek nie został przypisany konkretnemu stanowisku, termin nie jest przez nic pilnowany, a wykonanie nie zostawia śladu, którym dałoby się je udokumentować.
Rola ewidencji w wykazywaniu zgodności
Ewidencja pełni w tym układzie dwie funkcje naraz. Pierwsza jest operacyjna: mówi, ile pozycji podlega nadzorowi i które z nich wymagają czynności w najbliższym czasie. Druga jest dowodowa: pozwala wykazać, że czynności zostały wykonane, kiedy i przez kogo.
Rozdzielenie tych funkcji między różne narzędzia — arkusz do planowania i segregator na dokumenty — jest źródłem większości problemów. Dokument odłączony od pozycji, której dotyczy, przestaje być dowodem, bo jego odnalezienie wymaga pamięci konkretnego pracownika.
Dlatego najprostszym usprawnieniem bywa nie zakup rozbudowanego systemu, lecz doprowadzenie do tego, żeby każdy dokument i każda czynność były zapisane przy pozycji ewidencyjnej. Reszta funkcji — terminy, zestawienia, sprawozdania — daje się na tym zbudować.
Terminy jako element systemu, nie kalendarza
Obowiązki cykliczne mają jedną wspólną cechę: są wykonywane rzetelnie dopóty, dopóki pamięta o nich konkretna osoba. Zmiana na stanowisku, dłuższa nieobecność albo okres wzmożonej pracy wystarczą, żeby cykl się rozjechał, a fakt ten wyszedł na jaw dopiero przy kontroli.
Przeniesienie terminów z kalendarza do ewidencji zmienia charakter tego zadania. Termin przypisany do pozycji, a nie do osoby, przetrwa zmianę pracownika. Powiadomienie kierowane do stanowiska, a nie do adresu prywatnego, dotrze do następcy.
Drugą korzyścią jest możliwość oceny pokrycia. Zestawienie pozycji według terminu ostatniej czynności pokazuje od razu, które z nich wypadły z cyklu — a to pytanie, na które przy prowadzeniu terminów w kalendarzu nie da się odpowiedzieć bez ręcznego przeglądu.
Ryzyko, którego nie widać w codziennej pracy
Zarządzanie ryzykiem brzmi abstrakcyjnie, dopóki nie sprowadzi się go do prostego pytania: co się stanie, jeżeli danego obowiązku nie wykonamy w terminie. Odpowiedź bywa różna — od uwagi w protokole po odpowiedzialność finansową — i to ona wyznacza, ile uwagi obowiązkowi się należy.
Praktycznym narzędziem jest uporządkowanie obowiązków według dwóch wielkości: jak dotkliwy jest skutek niewykonania i jak łatwo o przeoczenie. Obowiązki dotkliwe i łatwe do przeoczenia zasługują na mechanizm przypominający, pozostałe wystarczy zapisać.
Takie uporządkowanie chroni też przed odwrotnym błędem: obudowywaniem procedurami spraw drobnych, ponieważ akurat o nich ktoś ostatnio przypomniał. Zasób uwagi jest ograniczony i warto kierować go tam, gdzie skutki są największe.
Dokumentowanie jako część procesu
Najczęstsza słabość nadzoru nie polega na tym, że czynności nie są wykonywane, lecz na tym, że nie zostawiają śladu. Kontrola przeprowadzona i zamknięta rozmową jest z punktu widzenia dowodowego równoważna kontroli, która się nie odbyła.
Rozwiązaniem nie jest mnożenie dokumentów, tylko powiązanie każdej czynności z pozycją, której dotyczy, oraz zapisanie daty i osoby wykonującej. Protokół w segregatorze spełnia ten warunek równie dobrze jak wpis w systemie — pod warunkiem że da się go odnaleźć.
Różnica ujawnia się przy skali. Przy kilkuset pozycjach i cyklu kontroli rozłożonym na kilka lat pytanie o pokrycie — które nieruchomości nie były kontrolowane od najdłuższego czasu — jest w segregatorze pytaniem na kilka dni pracy, a w ewidencji zestawieniem.
Od czego zacząć porządkowanie
Pierwszym krokiem jest spis obowiązków: jakie ciążą na jednostce, z czego wynikają, kto je wykonuje i w jakim terminie. Sam ten spis, wykonany rzetelnie, zwykle ujawnia obowiązki bez przypisanego wykonawcy oraz takie, które są wykonywane z przyzwyczajenia, choć podstawa dawno się zmieniła.
Dopiero mając taki wykaz warto zastanawiać się nad narzędziem. Wdrożenie systemu przed uporządkowaniem obowiązków odwzorowuje w oprogramowaniu istniejący nieład i utrwala go — z tą różnicą, że teraz trudniej go zmienić.