Nie każde ryzyko w przedsiębiorstwie jest widoczne w księgach, raportach, procedurach czy systemach compliance. Czasami firma posiada dużo danych, ale nadal nie potrafi odpowiedzieć na podstawowe pytanie: co rzeczywiście się wydarzyło, kto uczestniczył w danym procesie i czy informacje przedstawiane zarządowi odpowiadają faktom. Właśnie w takich sytuacjach niezależne ustalenia mogą stać się elementem zarządzania ryzykiem — nie zamiast audytu, prawa czy kontroli wewnętrznej, lecz jako ich uzupełnienie.

W większości przedsiębiorstw problemy nie zaczynają się od spektakularnego oszustwa.

Znacznie częściej pierwszym sygnałem jest coś pozornie mniej istotnego: powtarzająca się różnica magazynowa, nietypowa relacja z dostawcą, nagła zmiana warunków współpracy, brak możliwości potwierdzenia informacji przekazanej przez kontrahenta albo zdarzenie, które formalnie można wyjaśnić, ale operacyjnie nie układa się w logiczną całość.

Pojedynczy sygnał nie musi oznaczać nadużycia.

Problem zaczyna się wtedy, gdy zarząd nie potrafi już odpowiedzieć na pytanie, czy ma do czynienia z przypadkiem, błędem procesu czy świadomym działaniem określonych osób.

Ryzyko pojawia się wcześniej niż pewność, że doszło do nadużycia

Jednym z najtrudniejszych momentów dla przedsiębiorstwa jest etap pomiędzy pierwszym podejrzeniem a potwierdzonym faktem.

Firma widzi problem, ale jeszcze nie zna jego mechanizmu.

Może obserwować straty, nietypowe zachowania, zmiany w relacjach z kontrahentami albo brak spójności pomiędzy dokumentacją a rzeczywistym przebiegiem zdarzeń.

W tym momencie łatwo popełnić dwa przeciwstawne błędy.

Pierwszym jest zignorowanie sygnałów i oczekiwanie, aż pojawi się jednoznaczny dowód.

Drugim — przyjęcie z góry, że określona osoba jest odpowiedzialna za problem.

Oba podejścia mogą być kosztowne.

Z punktu widzenia zarządzania ryzykiem właściwsze jest rozpoczęcie od ustalenia faktów i odtworzenia mechanizmu zdarzenia, a nie od poszukiwania winnego.

Dokumentacja może być poprawna, a proces nadal może generować straty

Przedsiębiorstwo może posiadać faktury, zamówienia, protokoły, zgody oraz pełną ścieżkę akceptacji.

Nie oznacza to automatycznie, że wszystkie operacje gospodarcze są dla firmy racjonalne albo że przebiegają zgodnie z rzeczywistym interesem organizacji.

Przykładowo problem może dotyczyć powtarzających się zakupów od określonego dostawcy, nietypowych warunków handlowych, kierowania zleceń do konkretnych podmiotów albo relacji pomiędzy pracownikiem a kontrahentem.

Sama relacja nie oznacza konfliktu interesów.

Wyższa cena nie jest automatycznie dowodem nadużycia.

Zmiana dostawcy również może mieć całkowicie racjonalne uzasadnienie.

Znaczenie pojawia się dopiero wtedy, gdy kilka informacji zaczyna tworzyć powtarzalny wzorzec.

Dlatego dobra analiza musi rozróżniać fakty, deklaracje, hipotezy i informacje, których nie udało się potwierdzić.

Kontrahent może być zweryfikowany, a mimo to nadal pozostawiać pytania

Podobny problem występuje przed rozpoczęciem ważnej współpracy.

Firma może sprawdzić KRS, status VAT, reprezentację, podstawowe dane finansowe i historię przedsiębiorstwa. Takie działania są potrzebne i w wielu przypadkach całkowicie wystarczające.

Nie odpowiedzą jednak na każde pytanie.

Przy większej ekspozycji finansowej znaczenie może mieć rzeczywista skala działalności kontrahenta, doświadczenie osób kluczowych, jego faktyczne zaplecze albo powiązania istotne dla konkretnej transakcji.

Nie chodzi o poszukiwanie problemu tam, gdzie go nie ma.

Chodzi o proporcjonalność.

Jednorazowa transakcja o niewielkiej wartości nie wymaga takiego samego poziomu analizy jak wieloletnia umowa, wysoka przedpłata, wejście kapitałowe czy współpraca zapewniająca drugiej stronie dostęp do klientów, technologii albo know-how.

Konflikt interesów często nie jest widoczny na pierwszy rzut oka

Jednym z trudniejszych obszarów ryzyka wewnętrznego są relacje pomiędzy osobami działającymi wewnątrz organizacji a podmiotami zewnętrznymi.

Nie każda znajomość jest konfliktem interesów.

Nie każde wcześniejsze powiązanie biznesowe oznacza działanie na szkodę firmy.

Ale organizacja powinna reagować wtedy, gdy relacja może mieć znaczenie dla obiektywności podejmowanych decyzji, wyboru kontrahenta, warunków zakupowych albo innych działań wpływających na majątek przedsiębiorstwa.

W takiej sytuacji kluczowe jest nie samo znalezienie powiązania, lecz ustalenie, czy jest ono aktualne, jakie ma znaczenie dla analizowanej decyzji oraz czy istnieją podstawy, aby łączyć je z rzeczywistym wpływem na interes przedsiębiorstwa.

Dopiero takie zestawienie pozwala przejść od domysłu do informacji użytecznej dla zarządu.

Gdy informacje wewnętrzne przestają wystarczać

Każda organizacja posiada własne źródła danych.

Systemy księgowe, ERP, logi, monitoring procesów, dokumentację kadrową, korespondencję służbową czy raporty kontroli wewnętrznej.

W wielu przypadkach właśnie tam znajduje się odpowiedź.

Są jednak sytuacje, w których kluczowa informacja pozostaje poza organizacją.

Może dotyczyć rzeczywistej działalności kontrahenta, osób i podmiotów powiązanych, określonej aktywności w terenie, wykorzystywanego adresu albo okoliczności, których przedsiębiorstwo nie jest w stanie samodzielnie potwierdzić.

Wtedy detektyw dla firm może uzupełnić analizę o legalne działania analityczne, OSINT oraz — jeżeli charakter sprawy tego wymaga — odpowiednio dobrane ustalenia operacyjne lub terenowe.

Nie oznacza to zastępowania kontroli wewnętrznej.

Zewnętrzne ustalenia mają największą wartość wtedy, gdy odpowiadają na konkretną lukę informacyjną, której przedsiębiorstwo nie potrafi zamknąć własnymi narzędziami.

Dobry projekt nie rozpoczyna się od obserwacji

Stereotyp pracy detektywistycznej często sprowadza ją do obserwowania ludzi.

W sprawach biznesowych takie podejście byłoby błędem.

Pierwszym etapem powinno być określenie problemu.

Najpierw trzeba zdefiniować lukę informacyjną i decyzję, której nie można bezpiecznie podjąć bez jej zamknięcia.

Co firma już wie? Które informacje są potwierdzone? Gdzie pojawia się niespójność? Jaka decyzja zależy od dalszych ustaleń?

Dopiero później można ocenić, czy potrzebna jest analiza źródeł otwartych, weryfikacja powiązań, ustalenia terenowe czy inne legalne działania.

Czasami problem można wyjaśnić bez żadnej obserwacji.

Czasami wystarczy połączenie informacji znajdujących się w kilku niezależnych źródłach.

W innych przypadkach dopiero działanie poza środowiskiem organizacji pozwala zweryfikować istotną okoliczność.

Metoda powinna wynikać z pytania, a nie odwrotnie.

Detektyw nie zastępuje działu prawnego, audytu ani compliance

W przedsiębiorstwie każda z tych funkcji odpowiada za inny fragment ryzyka.

Audyt może analizować dokumentację i proces.

Compliance ocenia zgodność działania z regulacjami oraz zasadami organizacji.

Prawnik interpretuje znaczenie ustaleń i dobiera właściwe instrumenty prawne.

HR zarządza relacją pracowniczą.

Zewnętrzny zespół detektywistyczny może natomiast wspierać organizację w ustalaniu faktów, których nie można wiarygodnie potwierdzić wyłącznie w oparciu o dane dostępne wewnętrznie.

Najlepszy efekt powstaje wtedy, gdy te kompetencje współpracują, a nie konkurują ze sobą.

Dokumentacja może zostać przekazana pełnomocnikowi i wykorzystana w dalszym postępowaniu, przy czym ostateczna ocena jej znaczenia należy do sądu lub właściwego organu.

Raport powinien odpowiadać na pytanie zarządu

Najmniej użyteczny raport to taki, który jedynie opisuje wykonane czynności.

„Sprawdzono rejestry.”

„Przeanalizowano internet.”

„Przeprowadzono ustalenia.”

Dla zarządu znacznie ważniejsze jest, co zostało potwierdzone, co pozostaje deklaracją, gdzie pojawiają się niespójności, czego nie udało się ustalić i jakie znaczenie mogą mieć te informacje dla podejmowanej decyzji.

Nie chodzi więc o ilość zgromadzonych danych.

Chodzi o ich wartość decyzyjną.

Dobry materiał może prowadzić do różnych decyzji: pogłębienia audytu, zmiany procesu zakupowego, dodatkowego zabezpieczenia umowy, rozmowy z pracownikiem, przekazania materiału prawnikowi albo zakończenia analizy bez dalszych działań.

Ten ostatni rezultat również może być prawidłowy.

Nie każda sprawa wymaga detektywa

To ważne zwłaszcza z punktu widzenia kosztów.

Jeżeli problem można wyjaśnić poprzez dokumentację, rozmowę, standardową kontrolę kontrahenta albo działania własnego działu bezpieczeństwa, uruchamianie zewnętrznego projektu może być nieuzasadnione.

Skala działań powinna odpowiadać skali ryzyka.

Sens niezależnej weryfikacji rośnie przede wszystkim wtedy, gdy wartość potencjalnej straty jest istotna, brakuje informacji potrzebnej do decyzji, źródła wewnętrzne nie pozwalają potwierdzić faktów, pojawiają się powtarzające niespójności albo problem może przerodzić się w poważny spór gospodarczy, reputacyjny lub organizacyjny.

Nie chodzi o to, aby eliminować każdą niepewność.

W biznesie jest to niemożliwe.

Chodzi o to, aby najważniejszych decyzji nie podejmować na podstawie informacji, których nikt wcześniej nie zweryfikował.

Od podejrzenia do informacji, na której można oprzeć decyzję

ProDetektyw działa od 2018 roku w ramach działalności detektywistycznej wpisanej do rejestru działalności regulowanej pod numerem RD-58/2020. W sprawach biznesowych wspiera przedsiębiorców, zarządy i kancelarie w weryfikacji informacji, analizie powiązań, wyjaśnianiu nieprawidłowości oraz prowadzeniu legalnych ustaleń analitycznych i terenowych.

W zależności od charakteru sprawy współpracujemy ze sprawdzonymi specjalistami. Każdy projekt rozpoczynamy od oceny, czy zewnętrzne ustalenia rzeczywiście mogą dostarczyć informacji potrzebnych do decyzji klienta.

Bo w biznesie problemem często nie jest brak danych.

Problemem jest brak pewności, które z nich opisują rzeczywistość.

Detektyw dla firm w praktyce. Kiedy niezależne ustalenia pomagają ograniczyć ryzyko biznesowe?