W dokumentach wszystko może się zgadzać. Dostępy są przydzielone, wydania towaru zatwierdzone, a raporty nie pokazują alarmujących odchyleń. Mimo to firma odnotowuje straty albo odkrywa zdarzenie, którego nikt nie potrafi wyjaśnić. W takiej sytuacji samo potwierdzenie, że procedura istnieje, nie odpowiada na najważniejsze pytanie: co faktycznie się wydarzyło?
Audyt śledczy w przedsiębiorstwie kieruje uwagę na przebieg zdarzeń, dostępne dowody i mechanizm nieprawidłowości. Perspektywa potencjalnego sprawcy pomaga stawiać pytania, których nie widać na schemacie organizacyjnym. Musi jednak iść w parze z weryfikacją faktów. Podejrzany wzorzec to początek sprawdzenia, a nie gotowy dowód winy.
1. Czym jest audyt śledczy w przedsiębiorstwie?
W tym artykule przez audyt śledczy rozumiemy badanie określonych podejrzeń lub nieprawidłowości: od zebrania informacji po odtworzenie mechanizmu zdarzenia. Punktem wyjścia może być niewyjaśniony ubytek, rozbieżność w dokumentach albo sygnał o nadużyciu. Zakres takiego badania powinien wynikać z konkretnego problemu, a nie z założenia, że trzeba za wszelką cenę znaleźć winnego.
ACFE opisuje podejście do badania nadużyć jako analizę dostępnych danych, tworzenie hipotezy, jej testowanie oraz korygowanie. To proces, w którym nowe informacje mogą zmienić początkową ocenę. Kontrola zgodności dokumentów jest przydatna, lecz badanie śledcze wymaga także wyjaśnienia relacji między faktami. [1]
Trzeba przy tym odróżnić badanie zaistniałego incydentu od prewencyjnego testu zabezpieczeń. Pierwsze ma ustalić, co można potwierdzić na podstawie materiału. Drugie sprawdza, co mogłoby się wydarzyć w uzgodnionym scenariuszu. Oba działania mogą wspierać bezpieczeństwo firmy, ale mają inne cele i nie powinny być przedstawiane jako ta sama usługa.
2. Inżynieria wsteczna: od skutku do możliwego mechanizmu
Pojęcia inżynierii wstecznej używamy tu jako opisu sposobu myślenia: zaczynamy od zauważonego skutku i cofamy się przez kolejne etapy procesu. Nie chodzi o techniczną analizę oprogramowania. Jeżeli firma stwierdziła rozbieżność, pytamy, jakie czynności, decyzje i uprawnienia mogły ją poprzedzać oraz jakie ślady powinny po nich pozostać.
Wyobraźmy sobie fikcyjny przykład: w magazynie brakuje partii towaru, chociaż dokument wydania ma zatwierdzenie. Sam podpis nie wyjaśnia sprawy. Należałoby porównać dokumentację obrotu, chronologię zapisów i informacje o fizycznym przekazaniu towaru. To ilustracja metody, nie opis realizacji SZAMAR ani zarzut wobec konkretnego przedsiębiorstwa.
W takim scenariuszu warto rozważyć kilka wyjaśnień: pomyłkę ewidencyjną, opóźniony zapis, nieuzgodnioną zmianę procesu lub działanie celowe. Proponujemy rozpisać dla każdej wersji, jakie dane mogłyby ją potwierdzić, a jakie podważyć. Wynik powinien wskazać najbardziej uzasadnione ustalenia i pozostałe niewiadome, zamiast dopasowywać fakty do pierwszego podejrzenia.
3. Firma oczami intruza: co umyka raportom zarządczym?
Raport zarządczy może pokazywać wykonanie kontroli, nie pokazując dokładnie, jak ona przebiegła. Nasza propozycja to sprawdzenie również miejsc przekazania odpowiedzialności: między ochroną a magazynem, przełożonym a wykonawcą, firmą a podwykonawcą. Właśnie tam warto zapytać, kto rzeczywiście potwierdza uprawnienie i kto reaguje na odstępstwo.
Brytyjska NPSA wskazuje, że zrozumienie wrogiego rozpoznania i procesu planowania ataku pomaga organizacji przeciwdziałać zagrożeniom. W praktyce zarządczej taka perspektywa może służyć do oceny, czy zabezpieczenia odpowiadają rzeczywistemu sposobowi działania obiektu. Nie jest to instrukcja obchodzenia ochrony ani dowód, że w firmie doszło do przestępstwa. [3]
Przykładowe pytania kontrolne dotyczą aktualności uprawnień, obsługi wyjątków i reakcji na nietypowe zdarzenia. Czy odebrano dostęp po zakończeniu współpracy? Czy odstępstwo ma uzasadnienie i osobę zatwierdzającą? Czy sygnał trafia do kogoś, kto może podjąć decyzję? To sposób na sprawdzenie odpowiedzialności w procesie, bez publikowania szczegółów ułatwiających nadużycie.
4. Anomalia jest sygnałem do sprawdzenia, nie wyrokiem
Nietypowa godzina wejścia, powtarzająca się korekta dokumentu czy odstępstwo od standardowej ścieżki mogą wymagać wyjaśnienia. Każde z nich może też mieć uzasadnioną przyczynę. Dlatego rekomendujemy porównywanie zapisów z kontekstem operacyjnym: harmonogramem pracy, awariami, zatwierdzonymi zmianami i sposobem rejestrowania danych.
Standardy ACFE dla certyfikowanych specjalistów CFE podkreślają uwzględnianie zarówno materiału obciążającego, jak i przemawiającego na korzyść badanej osoby. Wskazują także na ochronę integralności dowodów oraz dokumentowanie ich pochodzenia i przekazywania. To punkt odniesienia dla rzetelności badania, nie deklaracja certyfikacji SZAMAR. [2]
Nasza rekomendacja organizacyjna jest prosta: ustalenia, hipotezy i braki danych powinny być wyraźnie rozdzielone. Zanim interpretujemy chronologię, sprawdźmy choćby, czy porównywane systemy zapisują czas w ten sam sposób. Niezgodność w raporcie może ujawnić problem z procesem lub jakością danych, a nie działanie nieuczciwego pracownika.
5. Kiedy symulacja uzupełnia analizę śledczą?
Po analizie może pozostać pytanie, czy określona kontrola zadziałałaby w praktyce. Wtedy przydatnym uzupełnieniem bywa autoryzowane ćwiczenie scenariuszowe albo test ochrony. Proponujemy zaczynać od ustalenia celu, granic i sposobu pomiaru wyniku. Należy również rozdzielić materiał z rzeczywistego zdarzenia od zapisów wytworzonych podczas ćwiczenia.
Przykładowy test może sprawdzać, czy nietypowe zgłoszenie zostanie przekazane właściwej osobie oraz czy pracownik zna ścieżkę zatrzymania niezgodnego z zasadami działania. Scenariusz powinien być uzgodniony z osobami upoważnionymi do jego zatwierdzenia, bez narażania ludzi, mienia i ciągłości pracy. Zakres dostępu do danych wymaga osobnego ustalenia przed rozpoczęciem działań.
Wynik ćwiczenia opisuje zachowanie zabezpieczeń w konkretnych warunkach testu. Nie dowodzi, że ktoś wcześniej wykorzystał tę samą słabość, i nie zastępuje ustaleń śledczych. Pozwala natomiast zaprojektować poprawkę oraz sprawdzić ją ponownie. To moment, w którym analiza możliwego mechanizmu prowadzi do zmiany codziennego procesu.
6. Co zarząd powinien otrzymać po audycie śledczym?
Proponujemy raport, który pozwala podjąć decyzję: czego dotyczyło badanie, co ustalono, na jakiej podstawie i czego nie udało się potwierdzić. Oś czasu, opis mechanizmu oraz ograniczenia materiału są bardziej użyteczne niż ogólne stwierdzenie, że firma ma słabe procedury. Wnioski powinny wskazywać również, które zabezpieczenia zadziałały prawidłowo.
Część naprawcza powinna przypisać zadaniom priorytety, właścicieli i sposób weryfikacji. Zmiana uprawnień, doprecyzowanie odpowiedzialności czy przećwiczenie reakcji mają sens wtedy, gdy wiadomo, jaki problem rozwiązują. Zalecamy ustalić termin sprawdzenia skuteczności zmian, zamiast uznawać samo wydanie nowej instrukcji za zamknięcie sprawy.
W SZAMAR patrzymy na bezpieczeństwo również z perspektywy potencjalnego intruza: gdzie deklarowana kontrola może rozmijać się z praktyką? Jeśli chcesz omówić nieprawidłowości lub sposób sprawdzenia zabezpieczeń swojej firmy, skontaktuj się z nami. Zacznijmy od problemu i zakresu, który wymaga wyjaśnienia. Rzetelny obraz sytuacji powstaje z połączenia danych, obserwacji i sprawdzenia hipotez.
Źródła artykułu
