Audyt wewnętrzny – geneza, podstawy działania i organizacja (cz. I)

Audyt wewnętrzny – geneza powstania

Historia audytu i zawodu audytora sięga wielu wieków wstecz. Jak podaje Robert Moeller[4], według ustaleń historyków, na podstawie odnalezionych zapisków w kamieniu, datowanych na 3500–3000 lat p.n.e., pisarze w cywilizacjach Mezopotamii wykorzystywali zaawansowane systemy kontroli wewnętrznej oparte na znaczkach, kropkach i haczykach.

Powstanie audytu należy wiązać z potrzebą niezależnej weryfikacji czynności podejmowanych przez inne osoby. Zwykle towarzyszył on mniej lub bardziej sformalizowanemu prowadzeniu systemu obliczeń (rachunkowości).

Do lat 30. XX w. wiele przedsiębiorstw nie przywiązywało jednak większej wagi do audytu wewnętrznego. Jego znaczenie istotnie wzrosło w wyniku światowego kryzysu gospodarczego. Powstała w 1934 r. amerykańska Komisja Papierów Wartościowych i Giełd (SEC) zaczęła wymagać, aby zarejestrowane przez nią spółki dostarczały sprawozdania finansowe potwierdzone przez niezależnych audytorów. Skłoniło to spółki do utworzenia własnych działów audytu, których podstawowym zadaniem miało być wspieranie i uzupełnianie audytorów zewnętrznych. Ci skupiali się bowiem na wyrażeniu opinii nt. wiarygodności i prawidłowości sprawozdań finansowych przedsiębiorstwa, a nie na wykrywaniu słabych punktów kontroli wewnętrznej czy nawet błędów w zapisach[5].

Z czasem oczekiwania i wymagania wobec audytu wewnętrznego zaczęły rosnąć i wykraczać poza sferę sprawozdań finansowych (audytu finansowego). Za istotną zmianę w funkcjonowaniu audytu wewnętrznego uznaje się pracę dyplomową Victora Z. Brinka nt. konieczności wprowadzenia nowoczesnego, na ówczesne czasy, audytu wewnętrznego. Zorganizował on taki audyt, pracując w Ford Motor Co.

Obok audytu finansowego zaczął się rozwijać audyt operacyjny. Definicję audytu wewnętrznego, która stworzyła podstawy do ukierunkowania się na audyt operacyjny, zaprezentowali Victor Z. Brink i James A. Cashin[6]: audyt wewnętrzny pojawia się jako specjalna część szeroko pojętej rachunkowości, wykorzystujący podstawowe techniki i metody audytu. Fakt, że biegły rewident i audytor wewnętrzny stosują wiele tych samych technik, często prowadzi do błędnego poglądu, że ich ostateczne cele niewiele się różnią. Audytor wewnętrzny, jak każdy audytor, zajmuje się dochodzeniem prawdziwości twierdzeń, ale badane przez niego twierdzenia obejmują dużo większy zakres i dotyczą wielu spraw, których związek z księgowością jest często odległy. Ponadto audytor wewnętrzny jako członek przedsiębiorstwa jest bardziej zainteresowany tym, aby uczynić badane obszary działalności jak najbardziej efektywnymi. Świadczenie usług na rzecz zarządu w dużym stopniu oddziałuje na jego sposób myślenia i ogólne podejście.

W 1942 r. w Stanach Zjednoczonych została powołana – dziś najstarsza i największa na świecie – organizacja skupiająca audytorów wewnętrznych: The Institute of Internal Auditors (IIA, Instytut Audytorów Wewnętrznych). Zrzesza w blisko 200 oddziałach narodowych i organizacjach afiliowanych ponad 170 tys. osób. Jej wybitnymi członkami byli wspomniany wcześniej Victor Z. Brink oraz Lawrence B. Sawyer, dzięki którym rozszerzony został zakres prac audytora wewnętrznego. Obejmował on wiele usług dla zarządu, takich jak[7]:

• przegląd i ocena niezawodności oraz wystarczalności działań księgowych, finansowych i operacyjnych mechanizmów kontrolnych,
• udzielanie zapewnienia o stopniu zgodności z ustanowioną w przedsiębiorstwie polityką, planami i procedurami,
• udzielanie zapewnienia o stopniu, w jakim aktywa przedsiębiorstwa są chronione przed utratą z różnych przyczyn,
• udzielanie zapewnienia o wiarygodności danych rachunkowości i innych tworzonych w organizacji,
• ocena jakości dokonań w toku wykonywania przydzielonych obowiązków.

Od tamtego czasu audyt wewnętrzny się rozwijał. W 1978 r. Instytut Audytorów Wewnętrznych wprowadził międzynarodowe standardy praktyki zawodowej audytu wewnętrznego (dalej standardy IIA), które definiowały jego działalność jako niezależną, oceniającą, ustanowioną w ramach organizacji jako usługa dla tej organizacji.

Omawiając rozwój audytu wewnętrznego, Kazimiera Winiarska wyróżnia trzy jego etapy: tradycyjny, współczesny i nowoczesny[8].

Tradycyjny audyt wewnętrzny pełnił funkcje kontrolne na potrzeby kontrolera, a przedmiotem kontroli była jakość rachunkowości. Oferował kontrolerowi (obecnie radzie nadzorczej) usługi audytu finansowego, audytu zgodności i audytu nadużyć.

Współczesny audyt wewnętrzny zapewnia kontrolę wewnętrzną oraz wewnętrzne doradztwo dla kadry zarządzającej. Nie jest jednak do końca jasne, kogo ten audyt obsługuje. Niektórzy audytorzy uważają, że ich zadaniem jest obsługa dwóch podmiotów: rady nadzorczej i kadry zarządzającej wyższego szczebla. Inni uznają, że pracują tylko na rzecz rady nadzorczej.

Nowoczesny audyt wewnętrzny stanowi zmodyfikowaną wersję współczesnego audytu wewnętrznego. W poprzednich etapach audytów wewnętrznych chętnie współpracował z radą nadzorczą, nie widząc zarazem potrzeby akceptacji przez kadrę zarządzającą niższego szczebla (operacyjną). Nowocześni audytorzy wewnętrzni uważają, że samo wsparcie kadry zarządzającej wyższego szczebla nie wystarczy do przeprowadzenia skutecznego audytu. Potrzebne jest zaangażowanie kadry zarządzającej niższego szczebla (operacyjnej), ponieważ to ona kieruje większość zadań audytowych do audytorów wewnętrznych. Nowoczesny audyt wewnętrzny jest usytuowany w centrum złożonego i subtelnego układu czterech głównych interesariuszy: zarządu, audytorów zewnętrznych (biegłych rewidentów), wyższej kadry zarządzającej i operacyjnej kadry zarządzającej.

Zdaniem K. Winiarskiej nowoczesny audyt wewnętrzny to najbardziej prawdopodobna przyszłość instytucji. Nie jest to jednak jedyny możliwy scenariusz rozwoju. Audytorzy mogą dokonać zupełnie innego wyboru przedmiotu badania i odbiorców, ich ustaleń i wyników.

Instytut Audytorów Wewnętrznych przeprowadził w latach 2006 i 2010 obszerne badania nt. funkcjonowania audytu wewnętrznego. Z badania, które odbyło się w 2010 r., wynika, że kluczowymi obszarami działania audytu wewnętrznego były audyty operacyjne, audyty zgodności z przepisami aktów wykonawczych, audyty ryzyka finansowego, badanie oszustw i nieprawidłowości, oceny efektywności i systemów kontroli, audyty ryzyka systemów informatycznych oraz audyty ryzyka informacji.

Badania pokazały, że obserwowane trendy zainteresowania audytu wewnętrznego to[9]:

• nadzór korporacyjny,
• zarządzanie ryzykiem,
• opracowanie strategii oraz działań operacyjnych firmy (np. strategiczna karta wyników),
• etyka audytu,
• działania społeczne i ochrona środowiska.

Z perspektywy lat widać, że audyt wewnętrzny podlega ciągłym zmianom. Zmiany te miały dotychczas raczej charakter ewolucyjny, polegający na dostosowaniu się do zmian w otoczeniu i oczekiwań interesariuszy.

Audyt wewnętrzny – podstawy funkcjonowania

Każdy zawód wymaga określenia celu, przedmiotu i sposobu działania oraz ustalenia zasad regulujących działanie członków zawodu. Tak też jest w przypadku audytorów wewnętrznych. Za główne standardy postępowania uznaje się standardy IIA, mające na celu m.in.: wyznaczenie ramowych zasad wykonywania i upowszechniania szerokiego zakresu usług audytu wewnętrznego, a także dostarczanie audytorom wewnętrznym wskazówek, jak przestrzegać obowiązkowych elementów standardów. Jak można przeczytać we wprowadzeniu do standardów, zbudowano je w postaci stwierdzeń określających podstawowe wymogi wobec praktyki zawodowej audytu wewnętrznego, sposoby oceny skuteczności jego działań oraz wyjaśniających zastosowane terminy i pojęcia. Standardy dzielą się na dwie główne kategorie: standardy atrybutów – określające cechy organizacji i osób zajmujących się audytem wewnętrznym, oraz standardy działań (33) – opisujące charakter i funkcjonowanie audytu wewnętrznego oraz kryteria jakościowe oceny jego działań. Rozwinięciem standardów atrybutów i standardów działań są standardy wdrożenia (54), które opisują wymagania stawiane usługom zapewniającym lub doradczym.

W myśl standardów IIA usługi zapewniające polegają na dokonywaniu przez audytorów wewnętrznych obiektywnej oceny dowodów, służącej dostarczeniu opinii lub wniosków nt. jednostki, operacji, funkcji, procesów, systemów lub innych zagadnień. Charakter i zakres zadania ustala audytor wewnętrzny. Usługi doradcze wykonywane są zwykle w odpowiedzi na konkretne zapotrzebowanie zleceniodawcy.

Cel działania oraz uprawnienia i odpowiedzialność audytora wewnętrznego w organizacji reguluje Standard 1000. Wymaga on, aby kwestie te były formalnie uregulowane w tzw. karcie audytu wewnętrznego, która ustala pozycję tego audytu w strukturze organizacji, w tym charakter podległości funkcjonalnej kierującego audytem wewnętrznym wobec rady nadzorczej, uprawnienia dostępu do danych, personelu i majątku rzeczowego w zakresie koniecznym do wykonywania zadań audytowych, oraz określa zakres działania audytu wewnętrznego. Kartę zatwierdza rada nadzorcza, ale jest ona także dokumentem uznanym i akceptowanym przez kierownictwo. Okresowo powinna być przeglądana, aby ocenić, czy określony w niej cel działania, uprawnienia i odpowiedzialność audytora wewnętrznego pozostają aktualne i umożliwiają realizację wyznaczonych zadań.

Standardy IIA są stosowane od dłuższego czasu w przedsiębiorstwach prywatnych. W przypadku polskich przedsiębiorstw sektora finansów publicznych podstawą funkcjonowania audytu wewnętrznego (począwszy od jego wprowadzenia w 2002 r.), regulującą zasady jego działania i organizacji, jest ustawa o finansach publicznych[10]. Wydano do niej przepisy wykonawcze w postaci: rozporządzenia MF[11], komunikatów ministerstwa finansów w sprawie ogłoszenia standardów audytu wewnętrznego, kodeksu etyki audytora wewnętrznego oraz karty audytu wewnętrznego w jednostkach sektora finansów publicznych. Rozporządzenie określa sposób przeprowadzania audytu wewnętrznego w zależności od charakteru świadczonych usług, a także wskazuje najważniejsze dokumenty, jakie powinny zostać utworzone w wyniku audytu. Z kolei komunikaty stanowią zbiór wskazówek i wytycznych związanych z działaniami audytu oraz audytorów wewnętrznych.

Początkowo audyt wewnętrzny w jednostkach sektora finansów publicznych, podobnie jak w przypadku przedsiębiorstw prywatnych, skupiał się na wykonywaniu zadań dotyczących działania kontroli w obszarze finansów (księgi rachunkowe, gromadzenie i wydatkowanie środków publicznych, zarządzanie finansami). Charakter zadań powodował, że audyt wewnętrzny postrzegano jako swoistą kontrolę finansową[12]. Spojrzenie na audyt wewnętrzny uległo zmianie wraz z nowelizacją ustawy o finansach publicznych dokonaną w 2005 r.

Oprócz badania systemów zarządzania i kontroli, w tym finansowych, zmierzającego do obiektywnej oceny adekwatności, efektywności i skuteczności tych systemów, audytor wewnętrzny zaczął pełnić funkcję doradcy w zakresie usprawnienia działań jednostki. Kolejna nowelizacja ustawy o finansach publicznych (2009 r.) przybliżyła audyt wewnętrzny do standardów IIA, wyznaczając mu zadanie podejmowania działań w dziedzinie kontroli zarządczej i wykonywania czynności doradczych.

Przedmiotem kontroli zarządczej jest ocena realizacji czynności przez zarządzającego organizacją, dzięki którym organizacja osiąga postawione jej cele. W myśl art. 68 tej ustawy są to m.in. czynności zmierzające do osiągnięcia: zgodności działań z przepisami prawa i procedurami, skuteczności i efektywności działań, wiarygodności sprawozdań finansowych, ochrony zasobów, racjonalnego zarządzania (ochrony przed) ryzykiem. Tak definiowana kontrola zarządcza jest bliska rozwiązaniom przyjętym w międzynarodowych standardach kontroli COSO (Committee of Sponsoring Organizations of the Treadway Commission) i INTOSAI (International Organisation of Supreme Audit Institutions), i wykracza poza tradycyjnie rozumiane pojęcie kontroli polegającej na porównaniu stanu rzeczywistego z zamierzonym.

Począwszy od 1.01.2017 r., na podstawie wydanego 12.12.2016 r. przez MRiF komunikatu, podstawą działania audytu wewnętrznego w sektorze finansów publicznych stały się standardy IIA. Tym samym osiągnięto zgodność zasad działania audytu wewnętrznego w sektorze finansów publicznych i sektorze przedsiębiorstw prywatnych.

Rosnący postęp technologiczny oparty w coraz większym stopniu na rozwiązaniach IT wymusza na audytorach wewnętrznych konieczność specjalizacji w tym obszarze. Oprócz standardów IIA celowe jest stosowanie międzynarodowych wytycznych dla kontroli, zorientowanych na technologie informacyjne i powiązane, tzw. COBIT (Control Objectives for Information and Related Technology). Standardy COBIT są publikowane i aktualizowane przez ITGI (IT Governance Institute) oraz związaną z nim organizację ISACA (Information Systems Audit and Control Association)[13]. ISACA jest przewodnikiem uzupełniającym IIA w sprawach związanych z technologią.

Standardy COBIT definiują zorientowane na pięć dziedzin zasady ramowe nadzoru IT. Są to:

• powiązanie strategiczne – należy podejmować starania zmierzające do powiązania działań IT z pozostałymi działaniami przedsiębiorstwa,
• zapewnienie wartości – konieczne są procesy zapewniające realizację przez IT oczekiwanych korzyści w ramach strategii optymalizacji kosztów,
• zarządzanie ryzykiem – kadra zarządzająca powinna być świadoma poziomu ryzyka możliwego do zaakceptowania dla przedsiębiorstwa oraz skutków jego urzeczywistnienia się, w tym IT,
• zarządzanie zasobami – należy wybierać optymalne inwestycje w IT oraz zapewnić odpowiednie ich wykorzystanie,
• pomiar wydajności – nieodzowne jest śledzenie i monitorowanie efektywności wdrażanych strategii, projektów i procesów.

Standardy COBIT są zorganizowane w postaci trójwymiarowego sześcianu IT, którego płaszczyznami są: zasoby IT, procesy IT i wymagania biznesowe. Zasoby IT obejmują wszystkie zasoby IT w przedsiębiorstwie (ludzie, infrastruktura, aplikacje, informacja). Procesy IT obejmują domeny (grupy procesów IT, tj. planowanie i organizacja, pozyskiwanie i wdrażanie, dostarczanie i wparcie, monitoring i ocena), procesy (pogrupowane czynności) i czynności (działania konieczne do osiągnięcia założonych celów). Wymagania biznesowe są każdorazowo poddawane ocenie przez pryzmat siedmiu atrybutów: skuteczności, wydajności, poufności, integralności, dostępności, zgodności z przepisami i wiarygodności. Poszczególne wymiary sześcianu i ich dalsze składowe są w standardach COBIT szeroko i wnikliwie rozwijane (uszczegóławiane), co umożliwia ich wykorzystanie w toku audytu.

Podsumowując przegląd głównych standardów stanowiących podstawę funkcjonowania audytu wewnętrznego, nasuwa się wniosek, że bez względu na rodzaj podmiotu, w którym powołano audyt wewnętrzny, kluczowymi i podstawowymi standardami organizującymi pracę audytorów są standardy IIA. W pewnych przypadkach mogą one – z uwagi na specyfikę danego podmiotu lub przedmiotu zadania audytowego – wymagać rozwinięcia czy uzupełnienia. Pomocne mogą się okazać standardy specyficzne, właściwe w danych okolicznościach, takie jak COBIT, czy też w przypadku audytów jakości – normy ISO, pozwalające na lepsze rozpoznanie analizowanego tematu.

Audyt wewnętrzny – organizacja jego działania w przedsiębiorstwie

Prawidłowe zorganizowanie audytu wewnętrznego w przedsiębiorstwie jest kluczowe dla jego skutecznego działania. Poniżej zaprezentowane zostaną istotne, decydujące o tym strategiczne rozwiązania – odpowiednie umiejscowienie komórki audytu wewnętrznego w strukturze organizacyjnej przedsiębiorstwa i zdefiniowanie roli audytu wewnętrznego w powiązaniu z innymi komórkami organizacyjnymi przedsiębiorstwa[14].

Standardy IIA zawierają wytyczne, które przesądzają o umiejscowieniu audytu wewnętrznego w przedsiębiorstwie[15]. W szczególności Standard 1100 wymaga, aby audyt wewnętrzny był niezależny i obiektywny, co ma zagwarantować m.in. bezpośrednie jego podporządkowanie takiemu szczeblowi zarządzania przedsiębiorstwem, który zapewnia wypełnienie nałożonych na audyt wewnętrzny zadań. W interpretacji tego standardu czytamy, że audyt wewnętrzny jest niezależny organizacyjnie wtedy, gdy kierujący nim podlega funkcjonalnie radzie. Oznacza to, że np. rada zatwierdza kartę audytu wewnętrznego, oparty na analizie ryzyka plan audytu wewnętrznego, budżet i plan zasobów audytu wewnętrznego.

Za minimum spełnienia wymogu niezależności uważa się podleganie audytu wewnętrznego w przedsiębiorstwie osobie, która ma wystarczającą władzę, aby zapewnić niezależność audytu i umożliwiać szeroki zakres jego prac, aby mogła odpowiednio przeanalizować informacje o wynikach wykonanego zadania i zlecić podjęcie właściwych działań w odpowiedzi na zalecenia audytora wewnętrznego. Podległość kierującego audytem wewnętrznym zwykle polega na podległości administracyjnej prezesowi zarządu, a funkcjonalnej – radzie[16]. Kierujący audytem wewnętrznym musi się komunikować i współpracować bezpośrednio z radą. To karta audytu, jak wspominano, ustala pozycję audytu wewnętrznego w strukturze organizacji, w tym charakter podległości funkcjonalnej kierującego audytem, określa zakres działania audytu, przyznaje prawo dostępu do danych, personelu i majątku rzeczowego, nieodzownych do wykonywania zadań audytowych.

W parze ze standardami IIA szły od kilku już lat wspomniane na wstępie Dobre Praktyki, będące zbiorem zasad ładu korporacyjnego (corporate governance) oraz reguł postępowania spółek notowanych na GPW, mających kształtować relację spółek giełdowych z ich otoczeniem rynkowym. Stosowanie Dobrych Praktyk jest dobrowolne, jednak uzasadnienie ich wdrożenia stanowi przekonanie, że spółkom zależy na budowaniu swojej reputacji i utrzymywaniu dobrych relacji z inwestorami, w czym Dobre Praktyki są pomocne.

Na dokument Dobre Praktyki 2016 składają się następujące rozdziały: I – „Polityka informacyjna i komunikacja z inwestorami”, II – „Zarząd i Rada Nadzorcza”, III – „Systemy i funkcje wewnętrzne”, IV – „Walne zgromadzenie i relacje z akcjonariuszami”, V – „Konflikt interesów i transakcje z podmiotami powiązanymi”, VI – „Wynagrodzenia”. Każdy rozdział rozpoczyna się od ogólnego wskazania celu, jaki powinna osiągnąć spółka giełdowa, rekomendacji, o stosowaniu których spółka ma obowiązek poinformować w oświadczeniu o stosowaniu zasad ładu korporacyjnego oraz zasad szczegółowych, w stosunku do których obowiązuje formuła: „stosuj lub wyjaśnij” (comply or explain). Trwałe lub incydentalne niestosowanie danej zasady rodzi dla spółki obowiązek niezwłocznego poinformowania o tym fakcie wraz z uzasadnieniem.

W odniesieniu do audytu wewnętrznego zastosowanie mają przede wszystkim postanowienia rozdz. III, wskazujące na potrzebę wdrożenia w przedsiębiorstwie (spółce) dobrze działających systemów kontroli wewnętrznej, zarządzania ryzykiem oraz zgodności z przepisami (compliance), a także skutecznego audytu wewnętrznego. Odpowiedzialny za wdrożenie i sprawne funkcjonowanie tych systemów jest zarząd spółki, a osoby odpowiedzialne za ich funkcjonowanie podlegają bezpośrednio prezesowi lub innemu członkowi zarządu, mając zarazem zapewnioną możliwość raportowania bezpośrednio do rady nadzorczej lub komitetu audytu. Dobre Praktyki 2016 dodatkowo wskazywały, że w odniesieniu do osoby kierującej audytem wewnętrznym i innych osób odpowiedzialnych za realizację jej zadań stosuje się zasady niezależności określone w standardach IIA.

Jak już wspomniano, w bieżącym roku nastąpiła nowelizacja Dobrych Praktyk. W obecnym kształcie zawierają one analogiczne rozdziały jak w 2016 r., ale zmianie/aktualizacji uległy zapisy rozdziałów (patrz tabela).

W dużych międzynarodowych i polskich korporacjach stosuje się wiele rozwiązań dotyczących organizacji, tworzenia i funkcjonowania audytu wewnętrznego, niejednokrotnie powiązanego z komórką zarządzania ryzykiem. W ramach rady nadzorczej dużych spółek nie zawsze wyodrębnia się komitety audytu i komitety ryzyka. W okresie wdrożenia Dobrych Praktyk, na przełomie lat 2015 i 2016, autor przeprowadził badanie przyjętych rozwiązań. Objęło ono wybrane duże korporacje międzynarodowe oraz polskie spółki giełdowe z indeksu WIG20. Przy analizie polskich rozwiązań wzięty został pod uwagę wykaz spółek wchodzących wówczas do indeksu WIG20, w podziale na sektory.

Analiza wykazała, że w sektorze gospodarki, ale głównie w bankowości, ubezpieczeniach i energetyce, obserwuje się rozdzielność komórek audytu wewnętrznego i ryzyka. Natomiast w spółkach sektora paliwowego komórki te były połączone w strukturze organizacyjnej.

We wszystkich objętych analizą spółkach przy radzie nadzorczej był utworzony komitet audytu. Jedynie w przypadku dwóch spółek sektora bankowego wyodrębniony został też komitet ryzyka nadzorujący zarządzanie ryzykiem[18].

Badania wykazały także istnienie różnych rozwiązań w zakresie umiejscowienia komórki audytu wewnętrznego i komórki ryzyka w strukturze organizacyjnej przedsiębiorstw, a także nadzorujących ich pracę komitetów rady nadzorczej. Komórka audytu wewnętrznego była jednak zawsze umiejscowiona w pionie prezesa zarządu, z możliwością raportowania do komitetu audytu przy radzie nadzorczej spółki. Tym samym spółki z indeksu WIG20 już wtedy stosowały się do zaleceń Dobrych Praktyk. Stwierdzone warianty rozwiązań organizacyjnych przedstawia rysunek 1.

Ze względu na to, że podmiotem wykonywania zadań audytowych są najczęściej komórki (jednostki) biznesowe przedsiębiorstwa, audyt wewnętrzny powinien stanowić kolejną linię weryfikacji działań (I linia weryfikacji to wspomniane jednostki biznesowe i działające tam mechanizmy kontrolne). Audyt wewnętrzny stosuje w swoich działaniach, podobnie jak biegli rewidenci, podejście oparte na ryzyku. W dużych przedsiębiorstwach, korporacjach, niejednokrotnie w podejściu modelowym wyodrębnia się także wyspecjalizowane jednostki zajmujące się zarządzaniem ryzykiem (por. rysunek 1). Jednostki te, podobnie jak inne tego typu specjalistyczne jednostki wsparcia biznesu, np. komórki zgodności z przepisami (compliance), komórki bezpieczeństwa, są tworzone poza jednostkami biznesowymi i stanowią kolejne w strukturze organizacji narzędzie kontrolne. Wyodrębnianie tych komórek służy lepszemu zarządzaniu niektórymi ważnymi obszarami organizacji, co jest istotne dla zapewnienia bezpiecznej realizacji jej celów.

Opisane podejście jest nazywane modelem trzech linii obrony w przedsiębiorstwie[19]. W modelu tym audyt wewnętrzny może i powinien stanowić zarówno I, jak i II linię obrony. Stosowanie modelu trzech linii obrony w przedsiębiorstwie wspierane jest przez międzynarodowe organizacje audytu wewnętrznego jako ważne narzędzie integracji, koordynacji i łączenia w jednostce funkcji zapewniających oraz funkcji wsparcia w obrębie jednostki w aspekcie skutecznego wdrożenia systemu zarządzania ryzykiem i kontroli wewnętrznej.

Model trzech linii obrony przedstawia rysunek 2. Jest on często stosowany w praktyce jako sprawdzone rozwiązanie organizacyjne (zob. rysunek 3). Zarówno teoria, jak i praktyka pokazują, że jest skutecznym rozwiązaniem i dlatego stosują go duże przedsiębiorstwa[20].