Audyt wewnętrzny – tradycyjne metody działania (cz. II)

Tradycyjny audyt wewnętrzny – standaryzowane metody

Każdy zawód wymaga określenia celu, przedmiotu i sposobu działania oraz ustalenia zasad regulujących postępowanie członków zawodu. Tak też jest w przypadku audytorów wewnętrznych. Za główne standardy postępowania uznaje się standardy IIA.

Standardy wyznaczają ramowe zasady wykonywania i upowszechniania zakresu usług audytu wewnętrznego oraz dostarczają audytorom wewnętrznym wskazówek, jak korzystać z obowiązkowych elementów standardów. Działanie audytu wewnętrznego polega na systematycznej, dokonywanej w uporządkowany sposób ocenie zarządzania ryzykiem, kontroli ładu organizacyjnego w jednostce, przyczyniając się do ich poprawy.

Audyt wewnętrzny może świadczyć w jednostce usługi zapewniające i usługi doradcze.

Usługi zapewniające polegają, w myśl standardów IIA, na dokonywanej przez audytorów wewnętrznych obiektywnej ocenie dowodów, służącej dostarczeniu opinii lub wniosków nt. jednostki, operacji, funkcji, procesów, systemów lub innych zagadnień. Charakter i zakres zadania ustala audytor wewnętrzny. Natomiast usługi doradcze są zwykle wykonywane w odpowiedzi na konkretne zapotrzebowanie zleceniodawcy.

Kluczowe etapy wykonywania czynności przez audytorów wewnętrznych, według standardów IIA, można pogrupować jako:

• planowanie zadań,
• przeprowadzenie zadania,
• raportowanie wyników.

Planowanie zadań

Planuje się zadania określone w zatwierdzonym rocznym planie audytów lub zlecone doraźne, wynikające z bieżących potrzeb. Opracowuje się i dokumentuje objęte planem zadania (program), których wykonanie – w myśl standardów – wymaga uwzględnienia takich aspektów, jak cel, zakres, czas oraz odpowiednie (pod względem wiedzy, umiejętności, kompetencji) i wystarczające (co do ilości) zasoby niezbędne do realizacji danego zadania z należytą starannością zawodową.

Podczas planowania zadania należy uwzględnić odnoszące się do niego strategie, cele i ryzyka jednostki. W szczególności trzeba rozważyć, w jaki sposób istotne ryzyka zagrażające realizacji celów jednostki są przez nią kontrolowane oraz jak kontrola przyczynia się do ograniczenia tych ryzyk. Pomocna może się okazać analiza adekwatności i skuteczności zarządzania ryzykiem oraz ładu korporacyjnego (jeśli takie w jednostce wyodrębniono).

Ustalając cele danego zadania audytowego, audytorzy wewnętrzni rozważają również prawdopodobieństwo wystąpienia istotnych błędów, oszustw, niezgodności i innych zagrożeń.

Cel zadania audytowego wyznacza zakres – zarówno podmiotowy, jak i przedmiotowy – czynności niezbędnych do wykonania. Zakres podmiotowy zadania określa, które jednostki w organizacji i/lub spółce w przypadku prowadzenia tzw. zadań grupowych (np. grup kapitałowych, holdingów) będą audytowane. Natomiast zakres przedmiotowy zadania obejmuje analizę dokumentacji, systemów wspierających wykonywanie czynności sprawdzających w obszarze badanym, np. majątek rzeczowy będący w posiadaniu jednostki, łącznie z tym, który znajduje się pod kontrolą jednostek trzecich.

Program zadania obejmuje zatem procedury: identyfikacji, badania, analizy, oceny oraz dokumentowania informacji przewidzianych do uwzględnienia w toku realizacji zadania. Tak opracowany program realizacji zadania musi zostać zatwierdzony przez kierownika zadania przed rozpoczęciem prac.

Przeprowadzenie zadania

W toku przeprowadzania zadania audytowego audytorzy wewnętrzni zbierają, analizują, oceniają i dokumentują informacje odpowiednie i wystarczające do osiągnięcia celów zadania.

Zebrane materiały powinny spełniać kryteria odpowiedniości, wiarygodności i wystarczalności. Informacja jest odpowiednia, jeśli stanowi podstawę ustaleń i zaleceń oraz jest zgodna z celami zadania. Informacja wiarygodna to najlepsza informacja możliwa do uzyskania za pomocą własnych technik audytu. Informacja wystarczająca to informacja rzeczowa, odpowiednia i przekonująca – na jej podstawie rozważna, dobrze poinformowana osoba doszłaby do tych samych wniosków, co audytor.

Raportowanie wyników

Zebrane i przeanalizowane w toku wykonania zadania informacje podlegają podsumowaniu w postaci raportu z realizacji zadania. Raport wskazuje cel, zakres i wyniki w formie wniosków, a także zaleceń (rekomendacji) i/lub działań. Tam, gdzie to uzasadnione, audytorzy wewnętrzni przedstawiają opinię. Standardy IIA wskazują, że opinie zawarte w raporcie wykonania zadań mogą przybierać formę ocen, wniosków lub innych opisów wyników. Zadania, w przypadku których wyrażenie opinii jest uzasadnione, mogą dotyczyć mechanizmów kontroli w konkretnym procesie lub jednostce organizacyjnej, lub odpowiadających na konkretne ryzyko. Do sformułowania opinii konieczna jest ocena wyników przeprowadzonego zadania i ich znaczenia.

Standardy IIA nie precyzują rodzajów wydawanych opinii; mogą to określać wypracowane procedury/podręczniki wewnętrzne.

Wyniki są przekazywane (raportowane) osobom na właściwym poziomie zarządzania jednostką, a w szczególności osobom zlecającym zadanie. Jeżeli zdaniem osoby kierującej audytem wewnętrznym kierownik komórki będącej przedmiotem audytu wewnętrznego przyjął poziom ryzyka, który może być nie do zaakceptowania dla jednostki, konieczne jest nasilenie działania, np. omówienie tej kwestii z kierownictwem wyższego szczebla. Jeżeli kierujący audytem wewnętrznym stwierdzi, że decyzja nie została zmieniona, przekazuje sprawę radzie nadzorczej.

Sformułowane w toku realizacji zadania rekomendacje służą kierownictwu jako rady pomocne przy ograniczaniu zidentyfikowanych słabości mechanizmów kontrolnych mających obniżać ryzyko do dającego się akceptować poziomu. Postęp we wdrażaniu rekomendacji podlega zwykle monitorowaniu, jednak decyzja co do rozwiązań służących ograniczaniu ryzyka i wdrożenia w jednostce skutecznego systemu kontroli wewnętrznej należy do kierownictwa.

Zadania doradcze

Cel, zakres i oczekiwane wymagania w odniesieniu do realizacji zadań doradczych należy uzgodnić ze zleceniodawcą zadania, np. członkiem zarządu/dyrektorem odpowiedzialnym za dany obszar działalności. Programy zadań doradczych mogą mieć różną postać i treść, zależnie od charakteru zadania. Jeśli jednak w trakcie wykonywania zadania audytorzy wewnętrzni mieliby zastrzeżenia do jego zakresu, to konieczne jest ich omówienie ze zleceniodawcą, który zdecyduje, czy zadanie będzie kontynuowane.

Słabości audytu tradycyjnego

Audyt wewnętrzny podlegał – na przestrzeni czasu – cyklicznym zmianom podyktowanym zwykle potrzebą dostarczania oczekiwanych przez zleceniodawców informacji. Historycznie większe znaczenie miała potrzeba dostarczania informacji ex post, będąca skutkiem oczekiwania od audytorów wewnętrznych badań i ocen noszących znamiona kontroli.

Oznacza to, że większość zadań audytowych jest wykonywana w mniej lub bardziej odległym czasie od zaistnienia zdarzeń będących przedmiotem analiz. Na podstawie zdarzeń historycznych są wyciągane wnioski i formułowane zalecenia na przyszłość. Stopień skomplikowania badanych kwestii oraz wnikliwości analizy pociągają za sobą nieodłącznie wydłużenie czasu realizacji zadania przy zazwyczaj ograniczonych zasobach. Na wydłużenie czasu wpływają także zmiany personelu i opóźnienia w dostarczeniu dokumentów czy wyjaśnień przez audytowanych.

Tradycyjny audyt wewnętrzny działa w usystematyzowany sposób, któremu sprzyja model kaskadowy (waterfall model). W tradycyjnym audycie można wyróżnić następujące po sobie fazy realizacji zadania: planowanie, gromadzenie dokumentacji, analiza dokumentacji, uzyskiwanie dodatkowych wyjaśnień, raportowanie. Niezwykle istotna dla przebiegu prac i wyciągania prawidłowych wniosków, ale i czasochłonna jest faza planowania zadania. W związku z tym, że zlecane zadania cechuje duża rozpiętość tematyczna, a trudno oczekiwać od audytora wewnętrznego bieżącej znajomości wszystkich zagadnień biznesowych, czas konieczny do zaznajomienia się przez zespół audytowy z tematyką obszaru będącego przedmiotem zadania audytowego może być długi.

Kolejnymi fazami, istotnie wydłużającymi czas realizacji zadania, są: gromadzenie i analiza dokumentacji oraz uzyskiwanie dodatkowych wyjaśnień audytowanych. Fazy te są w zasadzie niezależne od audytorów.

Możliwości skutecznego nacisku na ich skrócenie są zwykle ograniczone, gdyż strona audytowana oprócz obsługi audytu, co jest zazwyczaj dla niej sprawą drugorzędną, musi się w pierwszej kolejności skupić na wypełnianiu bieżących zadań.

Następną istotną fazą audytu tradycyjnego jest raportowanie ustaleń i zaleceń (rekomendacji). Faza ta winna nastąpić po finalizacji realizacji poprzedniego etapu prac/skompletowaniu i przeanalizowaniu wszystkich niezbędnych informacji i dowodów. Praktyka wskazuje jednak, że niektóre elementy dokumentacji zadania są kompletowane w fazie raportowania, a inne po niej (zwykle dotyczy to jednak kwestii mniej istotnych, nieobjętych raportem z wykonania zadania audytowego).

Przy podejściu tradycyjnym audyt wewnętrzny może być postrzegany w większym stopniu jako kontrola[1], a w mniejszym jako doradztwo. Wynika to z atrybutu niezależności audytora wewnętrznego oraz faktu wskazywania na nieprawidłowości w działaniu komórki objętej audytem.

Tymczasem obecnie, wobec szybko zmieniającego się otoczenia, coraz większe znaczenie przypisuje się dostarczaniu informacji wyprzedzających (ex ante). Największy wpływ na ten stan rzeczy mają zmiany zachodzące w przemyśle, określane jako rewolucja 4.0. Ich tempo narzucają w szczególności szybki rozwój IT, powstawanie rozwiązań opartych na sztucznej inteligencji czy internetu rzeczy[2]. W konsekwencji wymusza to potrzebę dostosowania się do nowych warunków działania przedsiębiorstw, co dotyczy również audytu wewnętrznego.