Cum se realizează o evaluare a riscului de fraudă: metodă practică în 6 pași

Majoritatea organizațiilor evaluează riscul financiar, operațional și IT. Mult mai puține își pun o întrebare simplă și incomodă: dacă cineva ar vrea să ne fraudeze, cum ar face-o — și am observa?

Evaluarea riscului de fraudă răspunde exact acestei întrebări. Este recomandată de ghidul COSO/ACFE Fraud Risk Management Guide, așteptată de comitetele de audit și tot mai des solicitată de bănci, investitori și clienți multinaționali. Bine făcută, este și una dintre cele mai eficiente investiții pentru o companie în creștere.

Pasul 1 — Stabiliți perimetrul și echipa

Decideți ce entități, procese și sisteme intră în analiză. La prima evaluare, concentrați-vă acolo unde circulă bani și active valoroase: achiziții și plăți, vânzări și venituri, salarizare și decontări, stocuri, trezorerie și raportare financiară.

Formați o echipă mică: un facilitator cu experiență în fraudă și responsabilii fiecărui proces. Cunoștințele lor despre cum funcționează lucrurile în realitate — inclusiv scurtăturile — sunt esențiale.

Pasul 2 — Identificați scenariile de fraudă

Organizați workshop-uri scurte pe fiecare proces și identificați scenarii concrete, nu riscuri generice. „Fraudă în achiziții” este prea vag. „Un cumpărător se înțelege cu un furnizor să umfle prețurile în schimbul unui comision” este un scenariu pe care îl puteți evalua.

Acoperiți cele trei categorii principale de fraudă ocupațională:

• Deturnarea de active — furt de numerar, stocuri sau alte active, decontări false, furnizori fictivi.
• Corupția — mită, comisioane ilicite, conflicte de interese, trucarea licitațiilor.
• Frauda în situațiile financiare — venituri, provizioane sau evaluări manipulate.

Includeți întotdeauna eludarea controalelor de către management ca scenariu separat. Este riscul pe care îl are orice organizație.

Pasul 3 — Evaluați riscul inerent

Pentru fiecare scenariu, estimați probabilitatea și impactul înainte de a lua în calcul controalele. Folosiți o scală simplă și consecventă (de exemplu 1–5) și definiți-o în scris, astfel încât toate workshop-urile să evalueze la fel. Aveți în vedere triunghiul fraudei: presiune sau motivație, oportunitate și raționalizare.

Pasul 4 — Corelați controalele existente

Legați fiecare scenariu de controalele care ar trebui să îl prevină sau să îl detecteze: aprobări, segregarea atribuțiilor, reconcilieri, restricții în sistem, analize de date, revizuiri independente. Puneți două întrebări pentru fiecare control: este proiectat pentru acest scenariu specific? și avem dovezi că funcționează efectiv?

Pasul 5 — Evaluați riscul rezidual și decideți răspunsul

Riscul rezidual este ceea ce rămâne după controale. Reprezentați-l pe o hartă a riscurilor și stabiliți un răspuns pentru tot ce depășește toleranța:

• adăugați sau consolidați un control preventiv;
• adăugați un control de detectare — de exemplu un test lunar pe baza datelor;
• acceptați explicit riscul, cu un responsabil desemnat.

Analiza datelor aduce adesea cele mai rapide rezultate. Teste precum corelarea furnizori–angajați, plățile duplicate sau înregistrările contabile făcute la ore neobișnuite pot fi automatizate și repetate.

Pasul 6 — Raportați, atribuiți responsabilități și repetați

Prezentați rezultatele conducerii și comitetului de audit pe o singură pagină: riscurile principale, responsabilii, acțiunile și termenele. Apoi integrați registrul în planul anual de conformitate și actualizați-l cel puțin anual — și ori de câte ori afacerea se schimbă semnificativ, de exemplu după o achiziție, un sistem nou sau intrarea pe o piață nouă.

Greșeli frecvente

• Tratarea evaluării ca pe un chestionar. Scenariile vin din discuții, nu din formulare cu bife.
• Ignorarea managementului. Persoanele din conducere au cel mai mult acces și cea mai mare capacitate de a eluda controalele.
• Un raport pe care nu și-l asumă nimeni. Fiecare risc rezidual ridicat are nevoie de un responsabil și de un termen.
• O evaluare făcută o singură dată. Riscul de fraudă se schimbă odată cu afacerea.

O evaluare bine condusă durează de regulă trei–șase săptămâni pentru o companie medie și arată imediat unde să concentrați resursele limitate. Dacă doriți un facilitator cu experiență, vedeți serviciul de evaluare a riscului de fraudă sau cursul Evaluarea riscului de fraudă în practică.