Ryzyko naduzyc zapobieganie i wykrywanie_R.Pradela

Ryzyko nadużyć zapobieganie i wykrywanie Renata Pradela audytor wewnętrzny CIA, CGAP kierownik zespołu terenowego w GK TAURON

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

Oszustwa i nadużycia w przedsiębiorstwach to prawdopodobnie największe niezagospodarowane

ryzyka we współczesnej gospodarce. W fachowej literaturze można znaleźć wiele definicji oszustwa i nadużycia, w zależności od tego jakie cechy bierze pod uwagę osoba podejmująca próbę ich sformułowania. Wg J.T. Wells’a, założyciela Association of Certyfied Fraud Examiners (ACFE):

• Oszustwo – każde przestępstwo popełnione w celu osiągnięcia korzyści , za pomocą wprowadzenia w błąd. Nie każde wprowadzenie w błąd jest oszustwem Do zaistnienia oszustwa konieczne jest wystąpienie czterech okoliczności: - istotne zafałszowanie informacji,

- świadomość fałszu w momencie składania oświadczenia, - poleganie przez ofiarę na fałszywej informacji, - szkoda jako skutek działań sprawcy. • Nadużycie – to niewłaściwe lub nieuprawnione wykorzystanie składnika majątku pracodawcy, uprawnień lub wiedzy, która jest związana z danym stanowiskiem. W praktyce oszustwa i nadużycia są często opisywane tymi samymi słowami.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

2

Jedną z największych przeszkód w wykrywaniu nadużyć jest to, że większość uczciwych ludzi nie potrafi uwierzyć, że współpracownik, zwierzchnik lub osoba postronna jest kimś nieuczciwym. Gdy środowisko pracy funkcjonuje normalnie, zapewnia poczucie bezpieczeństwa, środki do życia, trudno przyjąć do wiadomości, że może się dziać coś złego. Uczciwi ludzie nie podejrzewają innych, z pozoru uczciwych i miłych ludzi – taka jest natura ludzka. Zasada ta dotyczy szczególnie młodych, niedoświadczonych pracowników.

Źródło: Nigel Iyer, Martin Samociuk Defraudacja i korupcja. Zapobieganie i wykrywanie.

3

Jedna z teorii dotyczących sprawców nadużyć została stworzona w l. 40 XX wieku przez Donalda R. Cressey’a i stanowi najsłynniejszą hipotezę leżącą u podstaw nowoczesnej kryminologii

pracowniczej. Wg Cressey’a: „Ludzie zaufani nadużywają tego zaufania, kiedy mają krępujący problem finansowy, wiedzą że ten problem można po cichu rozwiązać, wykorzystując zaufanie związane z ich stanowiskiem, oraz są w stanie racjonalnie wytłumaczyć swoje zachowanie w tej sytuacji tak, by pogodzić swoje wyobrażenie o sobie jako człowieku zaufanym ze swoim obrazem człowieka wykorzystującego powierzone mu fundusze lub mienie”. Aby pracownik popełnił przestępstwo konieczne jest zaistnienie trzech czynników: okazja

trójkąt oszustw presja

racjonalizacja

Źródło: Joseph T. Wells Nadużycia w firmach. Vademecum. Zapobieganie i wykrywanie.

4

Pierwszy czynnik - presja - dotyczy wstydliwych problemów finansowych, którymi z powodów subiektywnych sprawcy nie mogą podzielić się z innymi. Problemy te Cressey podzielił na sześć podtypów: 1. Naruszenie przypisanych obowiązków. 2. Problemy wynikające z niepowodzenia osobistego. 3. Odwrócenie koniunktury.

4. Fizyczna izolacja. 5. Podnoszenie stopy życiowej. 6. Stosunki pomiędzy pracodawcą, a pracownikiem.

Drugi czynnik - okazja - istnienie luki w systemie kontroli lub brak jakiejkolwiek kontroli w mniemaniu sprawcy pozwala na bezkarne popełnienie przestępstwa.

Trzeci czynnik - racjonalizacja - umiejętność usprawiedliwienia przestępczego zachowania, tak aby zachować we własnym mniemaniu status osoby uczciwej i godnej zaufania.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

5

Akademicki Szpital

we Wrocławiu wpłaci 270 tys. zł do kasy Narodowego Funduszu Zdrowia. Fundusz

przeprowadził kontrolę po doniesieniu trzech pracowników oddziału ginekologii. Lekarze twierdzili, ze szef kliniki zlecał histeroskopię, drogie badanie pacjentek, po to by wyciągnąć pieniądze z NFZ. Widomość z serwisu RFM24, 04.11.2010 r.

Operator koparki oszukiwał swojego pracodawcę podłączając do komputera koparki urządzenie elektroniczne, które fałszowało dane dotyczące godzin pracy koparki. W czasie, gdy operator spał lub odpoczywał

urządzenie

nabijało nadgodziny i zużycie paliwa. Oszustwo ujawniła kontrola wszczęta na wniosek pracodawcy, który chciał sprawdzić dlaczego operator koparki pracował w godzinach nocnych. Źródło - Rzeczpospolita, 09.09.2011 r.

W jednym z nadleśnictw główna księgowa wyprowadziła z konta swojego pracodawcy ponad 780 tys. zł. Cwana księgowa tak długo udawała wzorowego pracownika, że nikomu nawet na myśl nie przyszło, że regularnie przelewa na swoje konto dziesiątki tysięcy złotych. Sprawa się wydała, gdy główna księgowa przebywała na urlopie. Podczas wewnętrznej kontroli doliczono się manka na sumę 450 tys. zł. Kontrolerzy z Regionalnej Dyrekcji Lasów Państwowych doszukali się kolejnych 300 tys. zł, które trafiły na konto złodziejki. Po kilkumiesięcznym śledztwie, prokuratura ustaliła, że kobieta przekazywała pieniądze na założone przez siebie trzy różne konta. Źródło – Portal SuperNowości24, 21.12.2010 r.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

6

Sygnały ostrzegawcze w zachowaniach oszustów / czerwone flagi życie ponad stan

43%

kłopoty finansowe

35%

kontrolowanie wydatków, niechęd do dzielenia się…

23%

nadmiernie bliskie relacje ze sprzedawcą / klientem

22%

postawa intryganta

19%

rozwód / problemy rodzinne

18%

drażliwośd, podejrzliwośd lub postawa obronna

14%

problemy z uzależnieniem

12%

niekorzystanie z urlopów

10%

problemy związane z poprzednim zatrudnieneim

09%

narzekanie na nieodpowiednią płacę

08%

nadmierne naciski wewnątrz organizacji

08%

w przeszłości problemy z prawem

06%

brak stabilności sytuacji materialnej

06%

nadmierna presja rodziny, otoczenia na osiąganie sukcesu

05%

skarżenie się na brak autorytetów

05% 0%

5%

10% 15% 20% 25% 30% 35% 40% 45% 50%

Opracowanie własne na podstawie: 2010 Report to the Nations on Occupational Fraud and Abuse - Association of Certified Fraud Examiners (ACFE).

7

Sposób wykrycia oszustw donos

40%

przegląd zarządczy

15%

audyt wewnętrzny

14%

przez przypadek

08%

uzgadnianie kont

06%

analiza dokumentacji

05%

audyt zewnętrzny

05%

nadzór / monitoring

03%

powiadomienie przez policję

02%

przyznanie się

01%

kontrola IT

01% 0%

5%

10%

15%

20%

25%

30%

35%

40%

45%

Opracowanie własne na podstawie: 2010 Report to the Nations on Occupational Fraud and Abuse – Association of Certified Fraud Examiners (ACFE).

8

Wg Report to the Nations 2010 częstotliwość popełniania oszustw: - 17% - właściciele/kadra zarządzająca, - 41% - kierownictwo średniego szczebla, - 42% - pracownicy. O ile oszustwa popełniane przez kadrę zarządzającą dokonywane są najrzadziej, to w porównaniu z pracownikami niższych szczebli w hierarchii firmy są najkosztowniejsze i najdłużej pozostają nie wykryte.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

9

Znaczące nadużycia gospodarcze w firmach w ciągu ostatnich dwóch lat

Polska 19%

45%

36%

TAK

NIE

Nie wiem / odmowa odpowiedzi

Europa Rosja

37

Węgry

27

Chorwacja

26

Kraje bałtyckie

21

Portugalia

21

Grecja

20

Polska

19

Czechy

17

Turcja

17

Irlandia

16

Rumunia

16

Średnia

16

Ukraina

16

Niemcy

13

Norwegia

12

Hiszpania

12

Szwajcaria

12

Francja

11

Włochy

11

Austria

10

Holandia

10

Szwecja

10

Wielka Brytania

10

Słowacja

Źródło: Europejskie badanie nadużyd gospodarczych 2011 Ernst&Young

% TAK

5

10

Posiadanie przez firmy narzędzi do zwalczania nadużyć audyt wewnętrzny

68%

audyt zewnętrzny

52%

wzmocniona kontrola / analiza wydatków

41%

kodeks etyczny

37%

prawne due diligence

24%

HR / radca prawny

22%

procownik odpowiedzialny za kwestie poufności

13%

szkolenia z zakresu przeciwdziałania nadużyciom

19%

brak stosowanych narzędzi

6%

nie wiem

17% 0%

10%

20%

Źródło: Europejskie badanie nadużyd gospodarczych 2011 Ernst&Young

30%

40%

50%

60%

70%

80%

11

Odporność na ryzyko nadużyć • -

-

Program zgłaszania nadużyć – cechy dobrego programu: dostępność dla wszystkich pracowników oraz rozważenie jego dostępności dla osób spoza firmy, np. dla dostawców, klientów; zapewnienie ochrony informatorom i poufności zgłoszeń, co dodatkowo powinno być komunikowane przez kierownictwo; zapewnienie przez firmę szkoleń z zakresu korzystania z programu, ocena trafności procedur rozpatrywania zgłoszeń; wdrożenie procedur dochodzenia w zgłoszonych przypadkach; regularne porównywanie głównych wskaźników programu, takich jak liczba zgłoszeń z branżowymi standardami; ciągłe przypominanie pracownikom o dostępności programu zgłaszania nadużyć; okresowe, anonimowe badania przeprowadzane wśród pracowników nt. poziomu zaufania do programu i zrozumienia zasad jego działania.

Źródło: Toby J. F. Bishop, Frank E. Hodyski Odpornośd korporacji. Zarządzanie ryzykiem nadużyd i korupcji.

12

Odporność na ryzyko nadużyć - cd.

•

•

• •

Monitoring transakcji - wykrywanie nadużyć przy użyciu technik analizy danych, np. przy nadużyciach związanych z zakupami – fałszywi dostawcy wprowadzeni do systemu na podstawie sfabrykowanych faktur – komputerowe porównanie adresów pracowników, numerów telefonów numerów identyfikacji podatkowej z danymi dostawców. Ton nadawany z góry, by nie dopuścić do sytuacji „skoro oni mogą, mogę i ja”, poprzez: jasne komunikowanie, czego oczekuje się od pracowników, kierowanie poprzez dawanie dobrego przykładu, nagradzanie uczciwości. Silne środowisko kontroli wewnętrznej: odpowiednie procedury wewnętrzne, ograniczające możliwość nieuczciwych działań i skuteczne mechanizmy kontrolne, wyłapujące przypadki łamania tych procedur, brak tolerancji dla nadużyć, praktyki rekrutacyjne oceniające kandydatów do pracy pod kątem pożądanych i niepożądanych cech osobowości i zachowań, rozwój programów propagujących podejmowanie decyzji przez pracowników zgodnie z etyką. Zintegrowane zarządzanie ryzykiem – identyfikacja i analiza ryzyka nadużyć.

Źródło: Toby J. F. Bishop, Frank E. Hodyski Odpornośd korporacji. Zarządzanie ryzykiem nadużyd i korupcji.

13

Odporność na ryzyko nadużyć – cd.

•

•

Posiadanie kodeksu etyki – dokumentu prezentującego normy etyczne w firmie, dostarczającego wszystkim pracownikom, ich zwierzchnikom, dyrektorom, dostawcom i pośrednikom wytycznych w zakresie akceptowalnego zachowania we wspólnych dla nich obszarach ryzyka. Mogą one dotyczyć: przestrzegania przepisów i regulacji prawnych, ogólnych zasad zachowania pracowników, konfliktu interesów, działalności pozazawodowej, zatrudniania i kierowania pracownikami, relacji z klientami i dostawcami, prezentów i kosztów reprezentacji, przysług po znajomości, łapówek i potajemnych prowizji, komunikacji w firmie, prywatności i poufności, kontaktów z osobami i instytucjami z zewnątrz, molestowania seksualnego, nieuczciwości i nadużyć. Szkolenia wszystkich pracowników w zakresie etyki, w tym szkolenia nt. nadużyć i ich konsekwencji. III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

14

Odporność na ryzyko nadużyć. Rola audytu wewnętrznego w wykrywaniu nadużyć

Standard 1210.A3 – Audytorzy wewnętrzni muszą mieć wystraczającą wiedzę pozwalającą na oszacowanie ryzyka oszustwa oraz ocenę sposobu zarządzania tym ryzykiem w organizacji, ale nie oczekuje się od nich posiadania wiedzy specjalistycznej wymaganej od osób, których podstawowym obowiązkiem jest wykrywanie i prowadzenie dochodzeń w sprawie oszustw.

Standard 2120.A2 – Audyt wewnętrzny musi oceniać możliwość wystąpienia oszustwa i sposób zarządzania ryzykiem oszustwa w organizacji (od 01.01.2009 r. nowy standard). Standard

2210.A2

–

Ustalając

cele

zadania

audytorzy

wewnętrzni

muszą

rozważyć

prawdopodobieństwo wystąpienia istotnych błędów, oszustw, niezgodności i innych zagrożeń. Międzynarodowy Standard Rewizji Finansowej 240 „Odpowiedzialność biegłego rewidenta podczas badania sprawozdań finansowych dotycząca oszustw” (zwany dalej MSRF 240) wskazuje m.in. na sposoby oszukiwania (oszukańcza sprawozdawczość finansowa lub/i zawłaszczenie i

sprzeniewierzenie

majątku) powodujące powstanie istotnych nieprawidłowości w sprawozdaniach

finansowych.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

15

Reakcja na nadużycie

• • • • •

• • • • •

Wszczęcie postępowania wyjaśniającego: skompletowanie odpowiedniego zespołu, zachowanie otwartego kanału komunikacji pomiędzy członkami zespołu i zlecającym/nadzorującym postępowanie, poufność prowadzonego postępowania. Zbieranie i zabezpieczanie dowodów, wyjaśnień. Odcięcie podejrzanego od dostępu do dokumentów, systemów, cofniecie uprawnień i pełnomocnictw. Zapobieżenie dalszym startom. Dokumentowanie wyników postępowania, wydanie rekomendacji, wskazanie odpowiedzialności. Oszacowanie finalnej straty. Przekazanie informacji nt. zidentyfikowanego ryzyka i obszarów ryzyka komórce zarządzającej ryzykiem. Wdrożenie działań naprawczych. Jawność informacji nt. wykrytego nadużycia. Dochodzenie odszkodowań za poniesioną stratę.

III Ogólnopolskie Spotkanie Szkoleniowe IIA Polska, Zakopane 28 – 30 września 2011 r.

16