Voorbeeld van BearingPoint Risk en Compliance aanpak
BearingPoint heeft een nieuwe aanpak ontwikkeld waarmee bedrijven hun governance, risk en compliance (GRC) beter kunnen integreren binnen bedrijfsprocessen. Met deze methodiek kunnen industriële ondernemingen, waar de aanpak zich met name op richt, volgens het adviesbureau “aanzienlijke verbeteringen” boeken in hun Governance, Risk en Compliance organisatie.
GRC aanpak
Hieronder vind je een voorbeeld van de aanpak. De fictieve casus behandelt het risico van frauduleuze inkoopactiviteiten binnen een industriële onderneming.
De mate van waarschijnlijkheid dat een risico zich voordoet in combinatie met de bruto impact (hoogte van kosten) wordt vastgelegd in een risicomatrix. De wijze van beheersen van een risico is vastgelegd in een controleproces. Dit controleprocess kan geautomatiseerd of handmatig worden uitgevoerd. Een voorbeeld van een geautomatiseerde controle is het real-time toetsen in het ERP-systeem van de naleving van een tabel met gedefinieerde toegangsregels (‘Segregation of Duties’). Hiermee wordt bijvoorbeeld voorkomen dat een medewerker zowel leveranciersgegevens kan aanleggen als facturen aan van deze leverancier kan goedkeuren. Dit zou immers betekenen dat deze persoon potentieel een factuur van zichzelf kan uitmaken en goedkeuren. Een tweede voorbeeld is een handmatige controle waarin audit managers gevraagd worden om periodiek een steekproef te doen van onregelmatigheden in de betalingruns. Dit process wordt gecontroleerd in een workflow en gedocumenteerd in het systeem (er wordt een audit trail opgezet).
Dankzij deze beide processen wordt het oorspronkelijk bruto risico en de waarschijnlijkeid sterk beinvloed. Het netto risico dat afgebeeld is in de risicomatrix word daarmee ook sterk verminderd of volledig afgedekt.
Hierboven wordt één voorbeeld van een integratieve aanpak gegeven, maar er zijn talloze andere scenarios. Op basis van de werkelijke gegevens in het systeem kan snel elke vorm van risico of klantspecifieke processen afgebeeld worden; dit zonder veel inspanning en zelfs voor de mogelijke start van een project.
Verbeteringen
Door het automatiseren van processen, de integratie van alle GRC-componenten in een algemene IT-omgeving en het gelijktijdig verankeren van een GRC-bewustzijn kan een bedrijf het gebied van Governance, Risk en Compliance aanzienlijk verbeteren. Daarnaast worden zo de bestaande zwaktes en risico’s geïdentificeerd en geminimaliseerd.
