Tym artykułem chcielibyśmy zacząć cykl związany z najważniejszymi kontrolami w kluczowych obszarach finansowo – księgowych w nowoczesnej organizacji:

• Od Zamówienia do Zapłaty (Procure to Pay w skrócie P2P/PtP),
• Ewidencja do Raportowania (Record to Report w skrócie R2R/RtR),
• Od Zamówienia do Zapłaty przez Klienta (Order to Cash w skrócie O2C/OtC)
• Oraz inne jak Proces płac, Podróże służbowe.

Często w części tymi procesami zajmują się wysoko wyspecjalizowane firmy outsourcingowe lub wydzielone wewnątrz danej organizacji centra usług wspólnych (shared service centres). Oddelegowanie tego rodzaju procesów pozwala każdemu przedsiębiorstwu skupić się na swojej głównej działalności (tzw. core business). Wraz z oddelegowaniem procesu oddelegowujemy wraz z nim przypisane do procesu kontrole.

Zaczynamy nasz cykl od Zamówienia do Zapłaty (Procure to Pay), który często jest domeną outsourcingu. Cały proces trwa od momentu gdy ktoś w firmie mówi „potrzebuję czegoś”, aż do momentu gdy dostawca otrzymuje pieniądze.

5 głównych etapów cyklu P2P

1. Zgłoszenie zapotrzebowania – pracownik zgłasza potrzebę zakupu towaru lub usługi
2. Zatwierdzenie i zamówienie – zamówienie jest akceptowane przez przełożonych i wysyłane do dostawcy
3. Odbiór towaru lub usługi – firma otrzymuje zamówiony towar lub usługę i sprawdza jego zgodność z zamówieniem
4. Otrzymanie faktury – dostawca wystawia fakturę, która jest weryfikowana z zamówieniem i odbiorem
5. Płatność – zatwierdzona faktura jest opłacana w ustalonym terminie

5 najważniejszych kontroli wewnętrznych w obszarze P2P

Trudno wskazać jednoznacznie 5 najważniejszych kontroli wewnętrznych dla obszaru P2P, ale na potrzeby artykułu oraz bazując na moim doświadczeniu wybrałam 5 kolejnych obszarów kontroli:

1. Kontrola dostępów oraz segregacja ról (SOD)

Jako numer 1 bezsprzecznie: Kontrola dostępów oraz segregacja ról (SOD) – nawet kiedy nasze PTP to bałagan, lub nieznany nam jeszcze twór, jesteśmy narażeni na wiele ryzyk od fikcyjnych faktur, nieautoryzowanych płatności po zmowę pracowników –polecam zapewnić podstawowy podział ról.

Kluczowa zasada brzmi: żaden pracownik nie powinien mieć dostępu do całego procesu zakupowego i płacowego. Odpowiedzialność powinna być dzielona przez różnych pracowników oraz przeglądana minimum kwartalnie.

Kontrola uprawnień systemowych (np. w systemach SAP, Oracle) opiera się na:

• • przypisywaniu ról zgodnych z funkcją pracownika
  • blokadzie tzw. konfliktowych ról (np. rola „tworzenie dostawcy” + „realizacja płatności”)
  • przeglądach uprawnień (access reviews) – cykliczne weryfikowanie, kto ma do czego dostęp

Szczególnie trójkąt dostępów: zakupy – wystawianie faktury – płatność to ryzykowna kombinacja, która powinna być rozdzielona w każdym przedsiębiorstwie

Więcej o SOD zobacz tu: Nowe ryzyka, nowa matryca SoD – jak S/4HANA zmienia podejście do SoD? | LinkedIn

2. Zmiany w danych podstawowych dostawcy (Vendor Master Data)

Szczególną uwagę należy zwrócić na zmiany w danych podstawowych dostawcy (Vendor Master Data), danych bankowych oraz weryfikacji początkowej dostawcy (wprowadzaniu nowego dostawcy do systemu).

W świecie gdzie jesteśmy atakowani na co dzień próbami oszustwa związanymi z naszymi kontami bankowymi, wyłudzeniami zapłat – szczególną uwagę oraz kontrolę należy wprowadzić dla zmian kont bankowych dotychczasowych dostawców oraz weryfikacji wprowadzenia nowych dostawców do bazy, aby unikać oszustw związanych z fikcyjnymi dostawcami oraz nieuczciwymi dostawcami.

3. Sprawdzenie faktur bez zamówień (PO) oraz autoryzacja zakupu

Sprawdzenie faktur bez zamówień (PO – Purchase Order) oraz autoryzacji takiego typu zakupu.

Jeśli nie mamy zamówienia to faktura niestety nie będzie częścią kolejnej kontroli 3 „kluczowych” dokumentów, stąd takie faktury powinny być wzięte pod lupę szukając przyczyny takiego stanu oraz akceptacji.

W naszej kontroli, bazując na liście faktur bez zamówienia powinniśmy szukać przyczyn takich faktur przykładowo:

• • • dostawca wystawił fakturę przed zamówieniem,
    • zakupy były poniżej progu wymaganego dla zamówień,
    • awaryjny zakup.

Istnieją pewne sygnały ostrzegawcze wskazujące, że brak zamówienia był celowym ominięciem procesu.

Jeśli nie ma zamówienia, faktura powinna przejść przez alternatywną ścieżkę akceptacji.

4. Weryfikacja trzech „kluczowych” dokumentów (Three-Way-Match)

Weryfikacja 3 ”kluczowych” dokumentów (Three – Way – Match) – nim zapłacimy za zamówienie potrzebujemy sprawdzić 3 rzeczy: czy zamówienie = przyjęcie towaru = faktura (PO – Purchase Order = GR – Goods Receipt = INV – Invoice).

Wszystkie trzy elementy muszą się ze sobą zgadzać (występuje różnica, musi mieścić się w uzgodnionym progu tolerancji – wartościowym lub procentowym – np. 10 PLN, 0.5%), aby płatność mogła zostać zatwierdzona. W razie różnic powyżej ustalonych progów tolerancji płatność zostaje zatrzymana do momentu ich wyjaśnienia i akceptacji.

5. Akceptacja płatności

Akceptacja dla płatności – akceptacja płatności powinna opierać się na predefiniowaniu hierarchii. Tu zasada jest jasna: im wyższa wartość płatności, przelewu, tym wyższy poziom zaszeregowania osoby w organizacji powinien być wymagany przy akceptacji płatności.

Automatyczne i ciągłe monitorowanie kontroli (CCM)

W dojrzałych organizacjach kontrole często nie opierają się już wyłącznie na sprawdzeniach manualnych lub okresowych przeglądach (np. miesięcznych), ale na automatycznym i ciągłym monitorowaniu kontroli (Continuous Controls Monitoring – CCM). CCM automatycznie i w sposób ciągły monitoruje kontrole, np. pilnuje kluczowych konfliktów ról SOD, wykrywa przekroczenia progów tolerancji w Three-Way-Match oraz progów akceptacji w płatnościach, sygnalizuje zmiany danych bankowych dostawcy oraz faktury bez zamówienia. Narzędzia te oparte są najczęściej na dedykowanym systemie – zobacz więcej w artykule: Ciągły Monitoring Kontroli (CCM) | LinkedIn

Powyższa lista stanowi tylko początek listy kontroli wewnętrznych i fundament P2P z jakimi organizacje powinny się zmierzyć tworząc swoją listę kontroli. Proces ten, choć jest często oddelegowany do centrów usług wspólnych, pozostaje jednym z najbardziej narażonych na nadużycia obszarów w organizacji – fikcyjni dostawcy, nieautoryzowane płatności, próby obejścia procesu zakupowego.

Co dalej w cyklu?

Ten artykuł to dopiero początek naszej podróży przez kluczowe procesy finansowo – księgowe. W kolejnych artykułach przyjrzymy się bliżej:

• • • Record to Report (R2R) – jak kontrolować proces ewidencji i raportowania finansowego,
    • Order to Cash (O2C) – jakie ryzyka czyhają po stronie sprzedażowej i należności,
    • Procesowi płac oraz podróżom służbowym – obszarom równie wrażliwym na nadużycia, choć często traktowanym po macoszemu w dyskusjach o kontroli wewnętrznej,
    • Oraz inne procesy.

Zapraszamy do śledzenia kolejnych części cyklu – razem poznamy, jakie top kontrole musimy mieć w swojej organizacji.