Automatizace compliance a interních auditů: důkazy sbírejte průběžně, ne tři týdny před auditem

Tři týdny před auditem se v mnoha firmách spustí tentýž rituál. Někdo rozešle e-mail se seznamem podkladů, které je třeba dodat. Lidé z IT začnou dělat screenshoty nastavení, HR dohledává, kdo a kdy podepsal kterou směrnici, finanční oddělení exportuje seznamy schválení a někdo se snaží zpětně zrekonstruovat, proč před osmi měsíci dostal externí konzultant přístup do produkční databáze. Vzniká složka s podklady, která vypadá přesvědčivě — a stála několik desítek hodin práce lidí, kteří měli dělat něco jiného.

Paradox je v tom, že kontroly většinou skutečně fungovaly. Přístupy se opravdu odebíraly, faktury se opravdu schvalovaly, zálohy opravdu běžely. Chybí jen důkaz. A důkaz posbíraný zpětně je nejdražší možný typ důkazu: vyrábí se pod časovým tlakem, váže seniorní lidi a paradoxně působí méně důvěryhodně než záznam, který vznikl automaticky ve chvíli, kdy se daná věc děla. Rozsah konkrétních povinností přitom závisí na sektoru, jurisdikci a velikosti firmy — technické řešení vám nikdy nenahradí konzultaci se specialistou na regulaci, která se vás týká. Tento text je o mechanice, ne o výkladu předpisů.

Není to nedbalost. Je to důsledek toho, jak jsou procesy postavené.

Důkaz o kontrole je v drtivé většině firem vedlejší produkt. Nikdo ho nemá v popisu práce, nikdo ho nesleduje a systémy, ve kterých proces běží, ho často ani neuchovávají dostatečně dlouho. Ticketovací nástroj po roce archivuje historii, e-mailové schválení zmizí s odchodem zaměstnance, tabulka s přehledem přístupů se přestala aktualizovat po reorganizaci. Dokud nepřijde audit, nikoho to netrápí, protože chybějící důkaz nezpůsobuje žádnou okamžitou bolest.

Druhý důvod je ekonomický, jen skrytý. Náklad na zpětný sběr se nikdy neobjeví v žádném rozpočtu — platí se v čase IT manažera, provozního ředitele a účetní, tedy lidí, jejichž hodiny se nikam nefakturují. Průběžný sběr důkazů je přitom levnější právě proto, že náklad rozloží do tisíců mikroúkonů, které udělá software, místo jednoho nárazu, který udělají lidé.

Audit neprověřuje, jestli jste jednali odpovědně. Prověřuje, jestli to umíte doložit. Jsou to dvě různé otázky a firmy si je pletou.

Tohle je nejužitečnější koncept z celého článku a zároveň ten, který se v praxi nejčastěji přehlíží. Kontrola je opatření, které snižuje riziko. Důkaz je záznam, který ukazuje, že opatření v konkrétním čase skutečně proběhlo a s jakým výsledkem. Pokud navrhujete jen kontrolu, dostanete funkční proces bez auditní stopy. Pokud navrhujete jen důkaz, dostanete hezkou dokumentaci bez reálného účinku.

Když si tyto dva sloupce rozepíšete pro svých deset nejdůležitějších kontrol, obvykle se ukáže, že levá strana je v pořádku a pravá je poloprázdná. To je zadání na automatizaci — ne přestavba celého řízení rizik.

Automatizace compliance nefunguje jako jeden velký systém. Funguje jako sada úzkých, nudných a opakovaných úloh, které software zvládá spolehlivěji než člověk, jenž má i jinou práci.

Přístupová práva a jejich postupné rozpínání

Oprávnění mají přirozenou tendenci narůstat. Člověk změní pozici, dostane nové přístupy a staré mu nikdo neodebere. Po dvou letech má polovina firmy práva, která nepotřebuje. Automatizovaný export účtů a rolí, porovnání oproti poslednímu stavu a seznam změn, který dostane příslušný vedoucí k potvrzení, udělá z několikadenní revize věc na dvacet minut. Podstatné je, že rozhodnutí „ano, tento přístup má zůstat" se uloží jako záznam se jménem a datem, ne jako odpověď v e-mailu.

Logy, retence a auditní stopa

Pokud systémy neuchovávají záznamy dostatečně dlouho a na místě, kde je nemůže změnit tentýž člověk, jehož činnost dokumentují, je důkaz slabý. Centralizovaný sběr logů s definovanou dobou uchování a omezeným přístupem řeší velkou část otázek, které auditor položí, ještě dřív, než je položí. To je zároveň oblast, kde se compliance a praktická kybernetická bezpečnost překrývají téměř úplně.

Potvrzování politik a interních pravidel

Rozeslání dokumentu, sledování, kdo ho potvrdil, urgence těm, kdo ne, a navázání potvrzení na konkrétní verzi dokumentu — to je čistá administrativa bez jakéhokoli odborného obsahu a patří do softwaru.

Dodavatelé, smlouvy a expirace

Seznam dodavatelů s daty platnosti smluv, certifikátů či pojištění se v praxi drží v tabulce, kterou nikdo neotevře, dokud není pozdě. Upozornění s dostatečným předstihem a jménem odpovědného člověka je jednoduchá automatizace s neúměrně velkým přínosem.

Opakované kontroly s automaticky zachyceným výsledkem

Kontrola, která se má dělat měsíčně, se v realitě dělá tehdy, když si na ni někdo vzpomene. Naplánovaná úloha, která se sama spustí, sama si vyžádá vstup od odpovědného člověka a sama uloží výsledek, odstraňuje nejčastější příčinu selhání — lidskou paměť. Pokud takové kontroly zahrnují i schvalovací kroky, vyplatí se je řešit spolu s automatizací schvalovacích procesů ve firmě.

Registr výjimek

Každá firma má výjimky: dočasně povolený přístup, odložená oprava, systém, který zatím nesplňuje interní standard. Rozdíl mezi zralou a nezralou organizací není v tom, jestli výjimky má, ale jestli o nich ví. Registr s vlastníkem, důvodem, termínem a automatickou připomínkou při jeho uplynutí je jedna z nejlevnějších věcí, které můžete zavést.

Klasický model interního auditu funguje na vzorcích: jednou za rok se vybere dvacet transakcí nebo deset zaměstnanců a na nich se ověří, jestli proces funguje. Je to metoda, která vznikla v době, kdy bylo ověření každé položky fyzicky nemožné. Pokud ale data tak jako tak procházejí systémy, které umíte číst přes rozhraní — což je téma propojení firemních systémů přes API — není důvod omezit se na vzorek.

Poslední řádek berte vážně. Špatně nastavený průběžný monitoring generuje stovky upozornění, která si nikdo nepřečte, a vytvoří falešný pocit kontroly. Prahové hodnoty, vlastníka pro každý typ nálezu a způsob uzavření je třeba nastavit dřív, než se zapne první pravidlo. Přehledové obrazovky pomohou při řízení — principy jsme rozebírali u dashboardů místo ručních Excel tabulek — ale samotný dashboard není důkaz.

Dashboard se zelenými čtverečky ukazuje aktuální stav. Auditor se ptá na minulost: jaký byl stav v březnu, kdo to tehdy schválil, na základě čeho a jestli se dá ten závěr zopakovat. Proto je pro něj reprodukovatelná stopa cennější než jakkoli hezká vizualizace.

Prakticky to znamená čtyři věci. Důkaz má mít jasný původ — z kterého systému pochází a jak byl získán. Má mít čas — kdy vznikl, ne kdy byl vyexportován. Má mít autora nebo mechanismus — jméno člověka, případně identifikaci úlohy, která ho vytvořila. A má být neměnný do té míry, že ho nemůže dodatečně upravit ten, koho se týká. Pokud to splňuje, formát je druhořadý; export do PDF s hlavičkou není lepší důkaz než řádek v databázi s časovým razítkem.

Existuje hranice, za kterou by automatizace zajít neměla, a není technická, ale odpovědnostní.

Hodnocení rizika je odborný úsudek. To, jestli je konkrétní nedostatek kritický nebo přijatelný, závisí na kontextu, který stroj nezná. Nástroj umí říct, že tři bývalí zaměstnanci mají aktivní účty; jestli to znamená incident nebo administrativní nedostatek, rozhodne člověk. Stejně tak schválení musí mít jméno — pokud výjimku „schválí systém", ve skutečnosti ji neschválil nikdo a při první vážné otázce to vyjde najevo.

Sem patří i výklad pravidel. Jestli se na vás daná povinnost vztahuje a v jakém rozsahu, je otázka na právníka nebo specialistu na danou oblast, ne na dodavatele softwaru. My v INTERFASE stavíme technickou část — sběr, evidenci a stopu — výklad požadavků necháme na těch, kdo za něj nesou odpovědnost.

Zvláštní opatrnost patří zpracování osobních údajů. Sběr důkazů znamená sběr údajů o zaměstnancích, a to má vlastní pravidla — související úvahy jsme shrnuli v textu o automatizaci a ochraně osobních údajů.

Nezačínejte nákupem platformy. Začněte tím, že si sepíšete deset kontrol, na které se vás při posledním auditu ptali, a u každé doplníte, jaký důkaz dnes reálně existuje. Pak vyberte tři, které jsou nejvíc mechanické a nejhůř zdokumentované — typicky přístupová práva, expirace a potvrzování dokumentů — a automatizujte jen je, i kdyby to měl být naplánovaný skript a sdílená evidence. Pokud to po jednom cyklu drží, přidejte další tři. Firmy, které začnou velkou platformou, se zpravidla po roce vrátí k tabulkám, protože nástroj nikdy nedostal reálná data.

Automatizace compliance není o tom mít víc dokumentace. Je o tom, aby důkaz vznikal ve chvíli, kdy se věc děje, a ne osm měsíců po ní v Excelu. Oddělte kontrolu od důkazu, automatizujte to opakované a mechanické, průběžně sledujte to, co prochází systémy, a dbejte na to, aby stopa byla reprodukovatelná. Úsudek, hodnocení rizika a podpis nechte lidem — se jménem a datem. A pokud máte pocit, že vaše příprava na audit je každý rok dražší než samotný audit, ozvěte se nám a projděme si spolu, co se ve vašem prostředí dá sbírat automaticky.