Agent monitorowania IKS

System kontroli wewnętrznej (IKS) w Polsce to złożony framework regulacyjny łączący sześć głównych obszarów: KSH art. 382 § 3 i 391 (odpowiedzialność zarządu i rady nadzorczej za skuteczny system kontroli zarządczej), ustawę o rachunkowości art. 4-15 i 50-54 (zasady prowadzenia ksiąg rachunkowych i sprawozdawczości), rekomendacje KNF Z (ład korporacyjny instytucji nadzorowanych) oraz D (governance IT), KSB 250, 315 i 330 (Substantive Testing przez biegłego rewidenta PIBR), ustawę o sygnalistach z 14.06.2024 oraz uznane przez PIBR standardy COSO 2013, ERM 2017 i ISO 31000. Każda średnia i duża spółka w Polsce z obowiązkiem badania ustawowego musi udokumentować skuteczność systemu kontroli przez pięć komponentów COSO, trzy linie obrony, ciągłe monitorowanie wskaźników KCI oraz cross-check z KSeF.

KNF, PIBR, KAS i UOKiK tworzą ciągły nadzór nad systemem kontroli wymagający Cert-Ready by Design

KNF jest najsurowszym regulatorem ładu korporacyjnego w Europie Środkowej. Rekomendacja Z z 22.07.2014 wymaga od banków, ubezpieczycieli, TFI i domów maklerskich niezależnego komitetu audytu rady nadzorczej, polityki wynagrodzeń powiązanej z celami długoterminowymi, systemu kontroli wewnętrznej zorganizowanego w trzy linie obrony, compliance officera raportującego bezpośrednio do zarządu oraz niezależnego audytu wewnętrznego. Za naruszenia KNF nakłada sankcje do 10 procent obrotu lub odbiera licencję. Rekomendacja D z 8.01.2013 wymaga dodatkowo polityki bezpieczeństwa IT, zarządzania zmianami, kontroli dostępu, ciągłości działania, audytu logów IT z retencją 5 lat oraz cyberbezpieczeństwa zgodnego z ustawą z 5.07.2018 o krajowym systemie cyberbezpieczeństwa.

PIBR (Polska Izba Biegłych Rewidentów) wydaje Krajowe Standardy Badania (KSB) zgodne z ISA. KSB 315 wymaga od biegłego rewidenta zrozumienia jednostki i jej systemu kontroli oraz identyfikacji ryzyk istotnych zniekształceń, a KSB 330 wymaga testów projektu kontroli i testów skuteczności operacyjnej w ramach Substantive Testing (zwykle 25-60 transakcji rocznie). Audyt podatkowy KAS w 2024 roku wskazał niedociągnięcia systemu kontroli jako jeden z trzech najczęstszych ustaleń, obok dokumentacji umów i RODO. Sankcje kumulują się: KKS art. 56 (grzywna do 720 stawek dziennych, w 2026 r. maksymalnie ok. 46,1 mln zł), RODO do 4 procent obrotu lub 20 mln EUR, UOKiK do 10 procent obrotu, ustawa o sygnalistach (odpowiedzialność karna do 3 lat pozbawienia wolności) oraz osobista odpowiedzialność członków zarządu wg KSH art. 293-300. Polska firma średnia (300-500 pracowników, 100-300 mln zł obrotu) ma potencjalną ekspozycję sankcyjną 50-150 mln zł rocznie bez podejścia Cert-Ready by Design.

16 deterministycznych punktów decyzyjnych z dwiema eskalacjami ludzkimi

Agent przetwarza system kontroli przez pipeline 16 strukturalnych punktów decyzyjnych: czternaście klasyfikacji regułowych, jedną wspomaganą przez LLM ekstrakcję klasyfikacji procesu oraz dwie eskalacje ludzkie (klasyfikacja istotnej słabości oraz coroczna ocena skuteczności systemu kontroli przez zarząd i radę nadzorczą). Klasyfikację procesu wykonuje LLM, mapując obszar biznesowy, wartość, ryzyko regulacyjne i częstotliwość na pięć komponentów COSO 2013. Pozostałe 14 klasyfikacji opiera się na KSH art. 382 § 3, ustawie o rachunkowości art. 4-15, rekomendacjach KNF Z i D, KSB 250/315/330, ustawie o sygnalistach 2024, ISO 31000 oraz COSO ERM 2017.

Konkretny przykład: średnia polska spółka produkcyjna notowana na GPW (450 pracowników, 280 mln zł obrotu, sektor IT) prowadzi roczny monitoring systemu kontroli. Agent klasyfikuje 25 procesów finansowych, 18 operacyjnych, 12 IT (rekomendacja KNF D), 8 compliance i 5 strategicznych, co łącznie daje 68 procesów zmapowanych na COSO 2013. Według ISO 31000 zidentyfikowano 142 ryzyka: 47 wysokich, 68 średnich i 27 niskich. Rekomendacja Z nie ma zastosowania (spółka nie jest instytucją KNF), natomiast rekomendacja D obowiązuje (wymagany audyt IT). Substantive Testing wg KSB 315 i 330 obejmuje 47 kontroli wysokiego ryzyka po 30 transakcji, czyli 1410 testów operacyjnych. Cross-check KSeF jest comiesięczny dla 1200 faktur sprzedażowych i 800 zakupowych. W 2024 roku odnotowano 8 zgłoszeń sygnalistów, średnia obsługa 18 dni, bez retorsji. Trzy linie obrony są udokumentowane, a ciągłe monitorowanie obejmuje 23 wskaźniki KCI z progami. Zidentyfikowano 4 niedociągnięcia: jedna istotna słabość (brak segregacji obowiązków w płatnościach powyżej 100 tys. zł) eskalowana do komitetu audytu oraz trzy znaczące słabości w naprawie. Coroczna ocena systemu kontroli przez zarząd jest pozytywna z jednym zastrzeżeniem dotyczącym istotnej słabości i planem naprawczym do III kwartału.

Ciągłe monitorowanie wskaźników KCI w czasie rzeczywistym z progami eskalacji

Zasada 16 COSO 2013 (ciągłe monitorowanie) wymaga od organizacji nieustannej oceny jakości systemu kontroli. Agent dostarcza pulpit kluczowych wskaźników kontroli (KCI) z progami eskalacji: (1) pokrycie kontrolą three-way match (cel 100%, próg 98%); (2) naruszenia segregacji obowiązków (cel 0, próg 3 rocznie); (3) przeglądy dostępu uprzywilejowanego (cel 100%, próg 95% kwartalnie); (4) nieudane próby logowania (rekomendacja KNF D, próg 50 dziennie); (5) udane testy odtwarzania kopii zapasowych (cel 100%, próg 1 rocznie zgodnie z BCP); (6) czas reakcji kanału sygnalistów (cel poniżej 30 dni, próg poniżej 60 dni; ustawa z 2024 roku wyznacza maksymalnie 3 miesiące na informację zwrotną); (7) skuteczność cross-checku KSeF (cel 99%, próg 97%). Alerty w czasie rzeczywistym trafiają do compliance officera, kwartalne raporty do komitetu audytu rady nadzorczej, a roczny raport do zarządu zgodnie z KSH art. 382 § 3.

Przypadki szczególne w Polsce: spółki GPW, instytucje KNF, grupy kapitałowe

Polskie spółki notowane na GPW mają dodatkowe obowiązki wynikające z Dobrych Praktyk Spółek Notowanych 2021: coroczny raport komitetu audytu o skuteczności systemu kontroli z konkretnymi wskaźnikami KCI i statusem działań naprawczych, ujawnienie istotnych słabości w sprawozdaniu rocznym zgodnie z KSB 265, opis trzech linii obrony w prospekcie emisyjnym oraz polityka różnorodności zarządu i rady nadzorczej. Instytucje nadzorowane przez KNF (banki, ubezpieczyciele, TFI, domy maklerskie) muszą dodatkowo prowadzić ICAAP/ILAAP zgodnie z rekomendacją Z, składać do KNF raport stress-testowy, przeprowadzać analizę wpływu na działalność (BIA) zgodnie z rekomendacją D oraz poddawać outsourcing IT audytowi biegłego rewidenta PIBR. Grupy kapitałowe (spółka matka wraz ze spółkami zależnymi) konsolidują system kontroli na poziomie grupy zgodnie z UoR art. 55 oraz KSB 600 (badanie skonsolidowanych sprawozdań finansowych) - agent obsługuje uzgodnienia między podmiotami, mapując framework kontroli dla każdej spółki. Międzynarodowe grupy z polskim oddziałem muszą ponadto dostosować globalny framework SOX do KSB, PIBR i KNF (mapowanie COSO globalnego na polski).

Integracja z polskim ekosystemem: Comarch, SAP, AuditBoard, Symfonia, Sygnanet, KSeF

Agent integruje się z polskimi systemami GRC i ERP przez API: Comarch ERP XL Audit i GRC Module (lider segmentu Enterprise i GPW z modułem audytu i GRC), Comarch ERP Optima Compliance (MŚP z audit-trailem), SAP S/4HANA Polish Localization GRC i SAP Process Control (grupy międzynarodowe i spółki GPW), AuditBoard Polska (lokalizacja PIBR z workflow Substantive Testing), Symfonia ERP i Audyt (średni biznes), enova365 Moduł Audyt i Kontrola Wewnętrzna, Asseco Softlab GRC, Wolters Kluwer ProgMan Audyt, Sygnanet (platforma sygnalistów) oraz Diligent Boards (rada nadzorcza GPW). Po stronie baz zewnętrznych agent łączy się z KSeF API z certyfikatem kwalifikowanym (CenCert/Szafir/EuroCert/KIR), CRBR API (MF), białą listą podatników VAT oraz GIIF API do cross-checku AML. Substantive Testing Big-4 wspiera bezpośredni eksport do Deloitte ASM, PwC Halo, EY Helix i KPMG Clara z metadanymi audit-trail wg PCAOB AS 1215 i AS 2401. Audit-trail jest przechowywany 5 lat zgodnie z Ordynacją podatkową art. 86, a dla instytucji nadzorowanych dochodzi dokumentacja wg KNF art. 70.