Automatizácia compliance a interných auditov: dôkazy zbierajte priebežne, nie tri týždne pred auditom

Tri týždne pred auditom sa v mnohých firmách spustí ten istý rituál. Niekto rozošle e-mail so zoznamom podkladov, ktoré treba dodať. Ľudia z IT začnú robiť screenshoty nastavení, HR dohľadáva, kto a kedy podpísal ktorú smernicu, finančné oddelenie exportuje zoznamy schválení a niekto sa snaží spätne rekonštruovať, prečo pred ôsmimi mesiacmi dostal externý konzultant prístup do produkčnej databázy. Vzniká zložka s podkladmi, ktorá vyzerá presvedčivo — a stála niekoľko desiatok hodín práce ľudí, ktorí mali robiť niečo iné.

Paradox je v tom, že kontroly väčšinou skutočne fungovali. Prístupy sa naozaj odoberali, faktúry sa naozaj schvaľovali, zálohy naozaj bežali. Chýba len dôkaz. A dôkaz zozbieraný spätne je najdrahší možný typ dôkazu: vyrába sa pod časovým tlakom, viaže seniorných ľudí a paradoxne pôsobí menej dôveryhodne než záznam, ktorý vznikol automaticky v momente, keď sa daná vec diala. Rozsah konkrétnych povinností pritom závisí od sektora, jurisdikcie a veľkosti firmy — technické riešenie vám nikdy nenahradí konzultáciu so špecialistom na reguláciu, ktorá sa vás týka. Tento text je o mechanike, nie o výklade predpisov.

Nie je to nedbanlivosť. Je to dôsledok toho, ako sú procesy postavené.

Dôkaz o kontrole je v drvivej väčšine firiem vedľajší produkt. Nikto ho nemá v popise práce, nikto ho nesleduje a systémy, v ktorých proces beží, ho často ani neuchovávajú dostatočne dlho. Ticketovací nástroj po roku archivuje históriu, e-mailové schválenie zmizne s odchodom zamestnanca, tabuľka s prehľadom prístupov sa prestala aktualizovať po reorganizácii. Kým nepríde audit, nikoho to netrápi, pretože chýbajúci dôkaz nespôsobuje žiadnu okamžitú bolesť.

Druhý dôvod je ekonomický, len skrytý. Náklad na retroaktívny zber sa nikdy neobjaví v žiadnom rozpočte — platí sa v čase IT manažéra, prevádzkového riaditeľa a účtovníčky, teda ľudí, ktorých hodiny sa nikam nefakturujú. Priebežný zber dôkazov je pritom lacnejší práve preto, že náklad rozloží na tisíce mikroúkonov, ktoré spraví softvér, namiesto jedného nárazu, ktorý spravia ľudia.

Audit nepreveruje, či ste konali zodpovedne. Preveruje, či to viete doložiť. Sú to dve rôzne otázky a firmy si ich mýlia.

Toto je najužitočnejší koncept z celého článku a zároveň ten, ktorý sa v praxi najčastejšie prehliada. Kontrola je opatrenie, ktoré znižuje riziko. Dôkaz je záznam, ktorý ukazuje, že opatrenie v konkrétnom čase naozaj prebehlo a s akým výsledkom. Ak navrhujete iba kontrolu, dostanete funkčný proces bez auditnej stopy. Ak navrhujete iba dôkaz, dostanete peknú dokumentáciu bez reálneho účinku.

Keď si tieto dva stĺpce rozpíšete pre svojich desať najdôležitejších kontrol, obyčajne sa ukáže, že ľavá strana je v poriadku a pravá je poloprázdna. To je zadanie na automatizáciu — nie prerábka celého riadenia rizík.

Automatizácia compliance nefunguje ako jeden veľký systém. Funguje ako sada úzkych, nudných a opakovaných úloh, ktoré softvér zvláda spoľahlivejšie než človek, ktorý má aj inú prácu.

Prístupové práva a ich postupné rozpínanie

Oprávnenia majú prirodzenú tendenciu narastať. Človek zmení pozíciu, dostane nové prístupy a staré mu nikto neodoberie. Po dvoch rokoch má polovica firmy práva, ktoré nepotrebuje. Automatizovaný export účtov a rolí, porovnanie oproti poslednému stavu a zoznam zmien, ktorý dostane príslušný vedúci na potvrdenie, spraví z niekoľkodňovej revízie vec na dvadsať minút. Podstatné je, že rozhodnutie „áno, tento prístup má zostať" sa uloží ako záznam s menom a dátumom, nie ako odpoveď v e-maile.

Logy, retencia a auditná stopa

Ak systémy neuchovávajú záznamy dostatočne dlho a na mieste, kde ich nemôže zmeniť ten istý človek, ktorého činnosť dokumentujú, dôkaz je slabý. Centralizovaný zber logov s definovanou dobou uchovania a obmedzeným prístupom rieši veľkú časť otázok, ktoré audítor položí, ešte skôr, než ich položí. Toto je zároveň oblasť, kde sa compliance a praktická kybernetická bezpečnosť prekrývajú takmer úplne.

Potvrdzovanie politík a interných pravidiel

Rozposlanie dokumentu, sledovanie, kto ho potvrdil, urgencie tým, ktorí nie, a naviazanie potvrdenia na konkrétnu verziu dokumentu — to je čistá administratíva bez akéhokoľvek odborného obsahu a patrí do softvéru.

Dodávatelia, zmluvy a expirácie

Zoznam dodávateľov s dátumami platnosti zmlúv, certifikátov či poistení sa v praxi drží v tabuľke, ktorú nikto neotvorí, kým nie je neskoro. Upozornenie s dostatočným predstihom a menom zodpovedného človeka je jednoduchá automatizácia s neúmerne veľkým prínosom.

Opakované kontroly s automaticky zachyteným výsledkom

Kontrola, ktorá sa má robiť mesačne, sa v realite robí vtedy, keď si na ňu niekto spomenie. Naplánovaná úloha, ktorá sa sama spustí, sama si vypýta vstup od zodpovedného človeka a sama uloží výsledok, odstraňuje najčastejšiu príčinu zlyhania — ľudskú pamäť. Ak takéto kontroly zahŕňajú aj schvaľovacie kroky, oplatí sa ich riešiť spolu s automatizáciou schvaľovacích procesov vo firme.

Register výnimiek

Každá firma má výnimky: dočasne povolený prístup, odložená oprava, systém, ktorý zatiaľ nespĺňa interný štandard. Rozdiel medzi zrelou a nezrelou organizáciou nie je v tom, či výnimky má, ale či o nich vie. Register s vlastníkom, dôvodom, termínom a automatickým pripomenutím pri jeho uplynutí je jedna z najlacnejších vecí, ktoré viete zaviesť.

Klasický model interného auditu funguje na vzorkách: raz za rok sa vyberie dvadsať transakcií alebo desať zamestnancov a na nich sa overí, či proces funguje. Je to metóda, ktorá vznikla v čase, keď bolo overenie každej položky fyzicky nemožné. Ak však údaje aj tak prechádzajú cez systémy, ktoré viete čítať cez rozhrania — čo je téma prepojenia firemných systémov cez API — nie je dôvod obmedziť sa na vzorku.

Posledný riadok berte vážne. Zle nastavený priebežný monitoring generuje stovky upozornení, ktoré si nikto neprečíta, a vytvorí falošný pocit kontroly. Prahové hodnoty, vlastníka pre každý typ nálezu a spôsob uzavretia treba nastaviť skôr, než sa zapne prvé pravidlo. Prehľadové obrazovky pomôžu pri riadení — princípy sme rozoberali pri dashboardoch namiesto ručných Excel tabuliek — ale samotný dashboard nie je dôkaz.

Dashboard so zelenými štvorčekmi ukazuje aktuálny stav. Audítor sa pýta na minulosť: aký bol stav v marci, kto to vtedy schválil, na základe čoho a či sa dá ten záver zopakovať. Preto je pre neho reprodukovateľná stopa cennejšia než akokoľvek pekná vizualizácia.

Prakticky to znamená štyri veci. Dôkaz má mať jasný pôvod — z ktorého systému pochádza a ako bol získaný. Má mať čas — kedy vznikol, nie kedy bol vyexportovaný. Má mať autora alebo mechanizmus — meno človeka, prípadne identifikáciu úlohy, ktorá ho vytvorila. A má byť nemenný do tej miery, že ho nemôže dodatočne upraviť ten, koho sa týka. Ak to spĺňa, formát je druhoradý; export do PDF s hlavičkou nie je lepší dôkaz než riadok v databáze s časovou pečiatkou.

Existuje hranica, za ktorú by automatizácia zájsť nemala, a nie je technická, ale zodpovednostná.

Hodnotenie rizika je odborný úsudok. To, či je konkrétny nedostatok kritický alebo prijateľný, závisí od kontextu, ktorý stroj nepozná. Nástroj vie povedať, že traja bývalí zamestnanci majú aktívne kontá; či to znamená incident alebo administratívny nedostatok, rozhodne človek. Rovnako schválenie musí mať meno — ak výnimku „schváli systém", v skutočnosti ju neschválil nikto a pri prvej vážnej otázke to vyjde najavo.

Sem patrí aj interpretácia pravidiel. Či sa na vás daná povinnosť vzťahuje a v akom rozsahu, je otázka na právnika alebo špecialistu na danú oblasť, nie na dodávateľa softvéru. My v INTERFASE staviame technickú časť — zber, evidenciu a stopu — výklad požiadaviek necháme na tých, ktorí zaň nesú zodpovednosť.

Osobitná opatrnosť patrí spracovaniu osobných údajov. Zber dôkazov znamená zber údajov o zamestnancoch, a to má vlastné pravidlá — súvisiace úvahy sme zhrnuli v texte o automatizácii a ochrane osobných údajov.

Nezačínajte nákupom platformy. Začnite tým, že si spíšete desať kontrol, na ktoré sa vás pri poslednom audite pýtali, a pri každej doplníte, aký dôkaz dnes reálne existuje. Potom vyberte tri, ktoré sú najviac mechanické a najhoršie zdokumentované — typicky prístupové práva, expirácie a potvrdzovanie dokumentov — a automatizujte iba ich, aj keby to malo byť naplánovaným skriptom a zdieľanou evidenciou. Ak to po jednom cykle drží, pridajte ďalšie tri. Firmy, ktoré začnú veľkou platformou, sa spravidla po roku vrátia k tabuľkám, pretože nástroj nikdy nedostal reálne dáta.

Automatizácia compliance nie je o tom mať viac dokumentácie. Je o tom, aby dôkaz vznikal v momente, keď sa vec deje, a nie osem mesiacov po nej v Exceli. Oddeľte kontrolu od dôkazu, automatizujte to opakované a mechanické, priebežne sledujte to, čo prechádza systémami, a dbajte na to, aby stopa bola reprodukovateľná. Úsudok, hodnotenie rizika a podpis nechajte ľuďom — s menom a dátumom. A ak máte pocit, že vaša príprava na audit je každý rok drahšia než samotný audit, ozvite sa nám a prejdime si spolu, čo sa vo vašom prostredí dá zbierať automaticky.