Zarządy i rady nadzorcze coraz częściej pytają, jak budować odporność organizacji w czasach pandemii, wojen i rosnącej presji kosztowej w łańcuchach dostaw. Presji, która zwiększa ryzyko naruszeń praw człowieka i degradacji środowiska w łańcuchu wartości.
Budowanie odporności wymaga wiedzy o łańcuchach dostaw, występujących w nich ryzykach oraz ich wpływie na jakość produktów, terminowość dostaw i reputację firmy w oczach klientów, instytucji finansowych i inwestorów. Kto kontroluje łańcuchy wartości, ten kontroluje zyski.
Ważna znajomość ryzyk
Presja na znajomość ryzyk w łańcuchach nie tylko dostaw, ale i wartości wynika nie tylko z sytuacji rynkowej, ale zwiększają ją również regulacje, takie jak dyrektywa dotycząca należytej staranności w zakresie praw człowieka i środowiska (CSDDD), rozporządzenie dotyczące przeciwdziałaniu wylesianiu (EUDR), rozporządzenie w sprawie ustanowienia ram ułatwiających zrównoważone inwestycje (Taksonomia UE w ramach minimalnych gwarancji) czy dyrektywa dotycząca raportowania kwestii zrównoważonego rozwoju (CSRD).
Bez względu na to, czy proces należytej staranności w zakresie praw człowieka i środowiska jest prowadzony z troski o budowanie długo terminowej odporności organizacji, czy wypełnienia wymogów regulacyjnych, dla wielu firm, również tych, a może szczególnie tych w łańcuchach dostaw, staje się elementem codziennych działań. Ich skuteczność zależy od wiedzy, odpowiedniej alokacji ograniczonych zasobów i motywacji do działania. Niezależnie od motywacji należyta staranność w łańcuchu dostaw staje się codziennością wielu firm.
Ryzyka w łańcuchu wartości to ryzyka strony trzeciej, wpływające na jakość i terminowość dostaw oraz reputację marki. Analiza raportów zrównoważonego rozwoju dużych spółek pokazuje, że trudnością jest nie tylko badanie łańcucha dostaw, ale też zbudowanie w organizacji podstaw procesu należytej staranności i zarządzanie tymi relacjami.
Wytyczne IIA dotyczące stron trzecich
Globalny Instytut Audytorów Wewnętrznych wydał wytyczne (Third-Party Topical Requirement) z praktycznymi wskazówkami dotyczącymi oceny ładu organizacyjnego, zarządzania ryzykiem i kontroli wewnętrznych stron trzecich – cenne źródło wiedzy nie tylko dla audytorów, ale dla każdego, kto chce zrozumieć, na jakim etapie rozwoju w tym obszarze jest jego organizacja.
Przykładowe kategorie ryzyk:
Strategiczne
– zdolność do realizacji głównych celów lub do zarządzania skutkami fuzji i przejęć.
Reputacyjne
– szkody wyrządzone ludziom, środowisku naturalnemu oraz zaufaniu klientów, konsumentów i interesariuszy.
Etyczne
– naruszenia zasad uczciwości, konflikty interesów, łapówki i korupcja.
Operacyjne
– bezpieczeństwo fizyczne i informatyczne, ryzyko związane z osobami z wewnątrz, zakłócenia w świadczeniu usług oraz nieosiągnięcie celów.
Regulacyjne
– zgodność z lokalnymi, krajowymi i międzynarodowymi wymogami regulacyjnymi, w tym w zakresie praw człowieka i środowiska.
Cyberbezpieczeństwo i inne aspekty ochrony danych
– naruszenie bezpieczeństwa i wyciek danych wrażliwych.
Technologiczne
– np. brak usług wspierających operacje krytyczne.
Zrównoważony rozwój,
w tym kwestie środowiskowe (np. ryzyka klimatyczne), społeczne (np. prawa człowieka) i związane z ładem korporacyjnym.
Kwestie geopolityczne
– spory handlowe/sankcje, cła oraz działania wojenne.
Ład organizacyjny
Audyt zaczynamy od oceny, jak i czy w ogólne zostały określone role i odpowiedzialności w organizacji, począwszy od ustalania przedmiotu i zakresu zamówienia, warunków umownych, tego, czy zamówienia odpowiadają naszym potrzebom, po monitorowanie istotnych kwestii na etapie jego realizacji i rozliczenia. Szczególnie problematyczne i wymagające odpowiedniego zarządzania jest monitorowanie, a w razie potrzeb egzekwowanie odpowiedniego poziomu spełnienia warunków umownych, np. w zakresie przestrzegania praw człowieka. Samo podpisanie kodeksu dla dostawców nie jest wystarczające.
Zarządzanie ryzykiem
Podstawą jest sprawdzenie, czy proces zarządzania ryzykiem w ogóle został ustanowiony. Choć firmy coraz świadomiej zarządzają relacjami z dostawcami, wciąż zdarzają się takie, które nie wiedzą, jak wyglądają ich łańcuchy dostaw. Bez określenia łańcucha wartości nie da się prawidłowo zidentyfikować ryzyk i odpowiednio alokować zasobów do ich ograniczania.
Kontrola wewnętrzna
To najtrudniejszy i najbardziej niedoceniany element całego procesu. Trzy podstawowe wyzwania w zakresie ustanowienia mechanizmów kontrolnych to:
1. Brak/lub niepełne ustanowionych mechanizmów kontrolnych.
2. Brak lub bardzo ograniczone monitorowania, czy są one odpowiednie.
3. Brak wiedzy, czy mechanizmy kontrolne w ogóle są stosowane.
Bez tej wiedzy organizacja może błędnie alokować ograniczone zasoby i tracić czas na działanie. Skutkami braku skutecznej kontroli są: nieterminowe lub złej jakości dostawy, przerwania łańcuchów dostaw, naruszenia godzące w reputację, a w konsekwencji kary lub utrata klientów.
Ważnym elementem są plany reakcji na ryzyko i plany naprawcze – zanim dojdzie do zerwania współpracy. Gdy to nie przynosi efektów, potrzebne są plany zakończenia współpracy, bez których w skrajnych przypadkach (np. uzależnienie od jednego dostawcy lub regionu) może być zagrożona ciągłość działania organizacji.
Zdaniem autorki
W obliczu presji kosztowej, geopolitycznej i regulacyjnej zarządzanie relacjami z dostawcami w łańcuchach dostaw jest podstawą zapewnienia odporności organizacji. Kluczowe wyzwania to: brak wiedzy o własnych łańcuchach dostaw, słabo zdefiniowany ład organizacyjny i ryzyka oraz – najczęściej – brak skutecznych mechanizmów kontroli wewnętrznej i planów reakcji na ryzyko. Audyt relacji z dostawcami to narzędzie dostarczające zarządom i radom nadzorczym informacji, gdzie jesteśmy, jeśli chodzi o skuteczność procesów należytej staranności, i jakie działania należy podjąć, aby zapewnić ciągłość działania i odporność organizacji.
autorka: Olga Petelczyc certyfikowana audytorka, CEO Arete Audit
