Co sprawdzamy w audycie biura

• Czytamy Wasz wzorzec umowy i porównujemy go z tym, co faktycznie robicie dla klientów.
• Przeglądamy umowy obowiązujące - także te ustne i odziedziczone po poprzednim właścicielu.
• Wypisujemy rozbieżności: czynności wykonywane bez podstawy w umowie i zapisy martwe.
• Sprawdzamy, co się dzieje, gdy klient przekaże dokumenty po terminie, i czy da się to udowodnić.
• Oceniamy klauzule ograniczające odpowiedzialność - które obronią się przed sądem, a które nie.
• Ustalamy zasady zakończenia współpracy i wydania dokumentacji, łącznie z granicami zatrzymania.

• Ustalamy, czy obowiązek ubezpieczenia w ogóle Was dotyczy przy wykonywanym zakresie czynności.
• Porównujemy sumę gwarancyjną z największą szkodą, jaką możecie wyrządzić u największego klienta.
• Sprawdzamy, czy polisa obejmuje kadry, płace, KSeF i deklaracje, czy tylko księgi rachunkowe.
• Czytamy wyłączenia w warunkach - to one decydują o odmowie wypłaty, nie sama suma.
• Opisujemy tryb zgłoszenia szkody, żeby pierwsze godziny po roszczeniu nie poszły na szukanie procedury.

• Czytamy Waszą ocenę ryzyka i sprawdzamy, czy opisuje klientów, których faktycznie obsługujecie.
• Porównujemy procedurę z praktyką zespołu - kontroler pyta o jedno i drugie.
• Sprawdzamy formularze weryfikacji klienta, beneficjenta rzeczywistego i osób zajmujących stanowiska polityczne.
• Weryfikujemy zgodność danych z CRBR i tryb zgłaszania rozbieżności.
• Oceniamy, czy szkolenia się odbyły i czy są udokumentowane w sposób nadający się na kontrolę.
• Zestawiamy dowody, których zażąda organ, i wskazujemy te, których u Was nie ma.

• Ustalamy zakres obowiązku dla Waszego biura i dla osób, które u Was pracują na różnych podstawach.
• Czytamy procedurę zgłoszeń wewnętrznych i sprawdzamy tryb jej przyjęcia.
• Rozdzielamy kanał anonimowy z AML od kanału poufnego z ustawy o sygnalistach.
• Sprawdzamy rejestr zgłoszeń, terminy reakcji i zabezpieczenie przed działaniami odwetowymi.

• Rozdzielamy role: administrator wobec własnych pracowników, procesor wobec klientów.
• Sprawdzamy kompletność umów powierzenia w całym portfelu - brakuje ich zwykle u najstarszych klientów.
• Ustalamy, gdzie naprawdę leżą dane: w skrzynce, na dysku współdzielonym, na prywatnym laptopie i w wydrukach po sezonie.
• Przeglądamy upoważnienia pracowników i listę podwykonawców, łącznie z programem księgowym i chmurą.
• Sprawdzamy, czy procedura naruszenia da się wykonać w pierwszej dobie, czy istnieje tylko na papierze.

• Sprawdzamy zabezpieczenie poczty - to nią przychodzi większość incydentów w biurach.
• Testujemy, czy kopie zapasowe da się odtworzyć, a nie tylko czy się wykonują.
• Przeglądamy zarządzanie dostępami i tryb ich odbierania po odejściu pracownika.
• Oceniamy kanał wymiany dokumentów z klientem i ryzyko podmiany numeru rachunku w korespondencji.

Ten obszar prowadzimy wspólnie z partnerem technologicznym kancelarii.

• Spisujemy, kto i w jakim zakresie ma uprawnienia u każdego z Waszych klientów.
• Sprawdzamy certyfikat lub pieczęć i zasady posługiwania się nimi w zespole.
• Ustawiamy udokumentowaną akceptację faktury przez klienta - to ona wyznacza granicę odpowiedzialności.
• Opisujemy procedurę natychmiastowego odebrania uprawnień odchodzącemu pracownikowi.
• Czytamy umowę z dostawcą oprogramowania pod kątem odpowiedzialności za awarię.
• Przygotowujemy aneks do umów z klientami, jeżeli obsługujecie KSeF bez podstawy w umowie.

• Sprawdzamy umowy o pracę i B2B pod kątem ryzyka przekwalifikowania współpracy.
• Czytamy zapisy o poufności i tajemnicy klientów biura.
• Oceniamy zakaz konkurencji i zakaz pozyskiwania klientów po odejściu.
• Ustawiamy procedurę odejścia: dostępy, dokumenty, przekazanie spraw, kolejność czynności.

• Spisujemy narzędzia używane realnie, łącznie z tymi, które zespół wprowadził bez pytania.
• Ustalamy zasady wprowadzania danych klientów do narzędzi AI.
• Czytamy umowy z dostawcami chmury: powierzenie, lokalizacja danych, warunki wyjścia.

• Odpowiadamy na pytanie, które zadaje sobie każde biuro jednoosobowe: co dzieje się z klientami i dostępami, kiedy trafiacie do szpitala na trzy tygodnie w marcu.
• Ustawiamy pełnomocnictwa awaryjne i dostęp do systemów dla osoby zaufanej.
• Przygotowujemy zarząd sukcesyjny i plan przejęcia obsługi.

• Ustalamy, co jest przedmiotem transakcji: przedsiębiorstwo, udziały czy sam portfel klientów.
• Sprawdzamy przejście umów, dopuszczalność przekazania danych i sytuację pracowników.
• Rozdzielamy odpowiedzialność za okresy sprzed transakcji.
• Redagujemy zakaz konkurencji i wynagrodzenie zależne od utrzymania klientów.

• Dla każdego obowiązku pytamy, czym go udowodnicie - brak dowodu znaczy tyle samo co brak obowiązku wykonanego.
• Przechodzimy symulację kontroli z listą dokumentów, których organ zażąda.
• Zostawiamy instrukcję na wypadek wejścia kontroli i rejestr ryzyk z osobą odpowiedzialną.

• Przeglądamy portfel i wskazujemy klientów, którzy sami podlegają RODO, AML, AI Act, NIS2 albo DORA.
• Wyliczamy tych, u których brak compliance tworzy ryzyko dla Waszego biura.