29/11/2022
W dzisiejszym dynamicznym środowisku biznesowym, kontrola wewnętrzna stanowi fundament stabilności i sukcesu każdej organizacji. Chociaż każdy pracownik firmy ponosi odpowiedzialność za jej funkcjonowanie, to na barkach audytora kontroli wewnętrznej spoczywa szczególna rola. Jego zadaniem jest zapewnienie niezależnej i obiektywnej oceny, czy systemy kontroli wewnętrznej są odpowiednio zaprojektowane i efektywnie działają. Promowanie silnego środowiska kontroli wewnętrznej powinno być wpisane w kulturę każdej organizacji, a audytor kontroli wewnętrznej jest kluczowym graczem w tym procesie.
Czym są Kontrole Wewnętrzne?
Kontrole wewnętrzne to zbiór polityk, procedur i procesów, które organizacja wdraża w celu ochrony swoich aktywów i minimalizacji ryzyka. Ich głównym celem jest zapewnienie, z racjonalną pewnością, że cele firmy są realizowane w sposób efektywny i skuteczny. Kontrole wewnętrzne są integralną częścią procesu dążenia do celu, a ich przestrzeganie jest kluczowe dla sukcesu.
Dobrym przykładem jest system ochrony hasłem dostępu do systemów informatycznych. Kontrola wewnętrzna może obejmować wymóg stosowania hasła, określenie jego złożoności (wymagana długość, znaki specjalne, czas trwania sesji, blokada po nieudanych próbach logowania itp.). Przestrzeganie kontroli polega na skonfigurowaniu aplikacji zgodnie z tymi zasadami i zapewnieniu, że nie można ich zmienić bez odpowiedniej autoryzacji.
Podsumowując, kontrole wewnętrzne stanowią ramy promujące odpowiedzialność, uczciwość i przejrzystość w organizacji. Najbardziej uznanym standardem w dziedzinie kontroli wewnętrznej jest framework opracowany przez Komitet Organizacji Sponsorujących Komisję Treadwaya (COSO), organizację sektora prywatnego zajmującą się dostarczaniem wytycznych dotyczących zarządzania i kontroli wewnętrznej.
Komponenty Kontroli Wewnętrznej i Ich Ograniczenia
Framework COSO wyróżnia pięć głównych komponentów systemu kontroli wewnętrznej:
- Środowisko kontroli: Określa ton z góry, obejmując polityki, procedury, standardy, procesy i wartości etyczne ustanowione przez kierownictwo wyższego szczebla i radę dyrektorów. Silne środowisko kontroli jest fundamentem skutecznego systemu.
- Ocena ryzyka: Każda organizacja ma cele biznesowe i ryzyka, które mogą uniemożliwić ich osiągnięcie. Ocena ryzyka pomaga określić prawdopodobieństwo i wpływ tych ryzyk, wpływając na rodzaj wdrażanych kontroli w celu osiągnięcia akceptowalnego poziomu ryzyka rezydualnego.
- Działania kontrolne: Konkretne działania podejmowane przez kierownictwo w celu wdrożenia polityk i procedur. Przykładem jest polityka dostępu do systemów oparta na zasadzie minimalnego niezbędnego dostępu, a działaniem kontrolnym jest przypisywanie dostępu w oparciu o rolę użytkownika i okresowy przegląd przez menedżera.
- Informacja i komunikacja: Kontrole wewnętrzne są skuteczne tylko wtedy, gdy pracownicy są ich świadomi, wiedzą jak i kiedy je wykonywać, i co robić w przypadku problemów. Informacja i komunikacja zapewniają, że istotne informacje są przekazywane w całej organizacji i interesariuszom zewnętrznym w sposób efektywny i terminowy.
- Monitoring: Ciągła ocena projektu i efektywności kontroli wewnętrznych. Działania monitorujące są przeprowadzane przez kierownictwo, funkcje zgodności i audytorów wewnętrznych, aby zapewnić, że kontrole wewnętrzne działają skutecznie.
Chociaż solidny program kontroli wewnętrznej oparty na frameworku COSO pomaga minimalizować ryzyko, istnieją trzy główne ograniczenia, o których audytorzy powinni pamiętać: zmowa, błąd ludzki i nieprzewidziane problemy.
Ograniczenie 1: Zmowa
Wdrożenie odpowiedniego rozdzielenia obowiązków jest podstawowym elementem skutecznego programu kontroli wewnętrznej, zmniejszającym ryzyko oszustw. Zmowa ma miejsce, gdy grupa osób współpracuje w celu obejścia kontroli wewnętrznych związanych z rozdzieleniem obowiązków w celu popełnienia oszustwa. Nie zawsze jest możliwe całkowite rozdzielenie obowiązków, co może zwiększyć ryzyko zmowy.
Audytorzy muszą mieć solidną wiedzę o wszystkich istotnych procesach finansowych, w tym o odpowiedzialności za kontrole wewnętrzne, szczególnie w kontekście zmian personelu, aby zapewnić wdrożenie i skuteczne działanie kontroli monitorujących zapobiegających oszustwom. Istotne nieprawidłowości wynikające z oszustwa mogą mieć długotrwały negatywny wpływ na markę i reputację firmy.
Ograniczenie 2: Błąd Ludzki
Skuteczność kontroli wewnętrznej jest ograniczona niedoskonałością ludzką. Przykłady błędów ludzkich wpływających na kontrole to nieumyślne pomyłki popełniane przez pracowników z powodu zmęczenia lub rozproszenia, niezrozumienie instrukcji oraz złe decyzje podejmowane na podstawie ograniczonych informacji.
Rozwiązania minimalizujące ryzyko błędu ludzkiego obejmują automatyzację kontroli tam, gdzie to możliwe, oraz wdrażanie zintegrowanej technologii zapewniającej większą widoczność działań audytowych, ryzyka i zgodności dla interesariuszy, co wspomaga podejmowanie lepszych decyzji.
Ograniczenie 3: Nieprzewidziane Problemy
Nieprzewidziane problemy obejmują wszystkie nieprzewidziane okoliczności, które mogą wpłynąć na działalność firmy. Nie można przewidzieć wszystkich możliwych ryzyk i wdrożyć kontroli, aby im zapobiec. Dobry program kontroli wewnętrznej nie tylko minimalizuje ryzyko, ale także pozwala wykorzystać wiedzę o ryzyku jako przewagę konkurencyjną i podejmować większe ryzyko tam, gdzie jest to możliwe.
Organizacje, które wdrażają technologie dynamicznej oceny ryzyka i ciągłego monitorowania, są lepiej przygotowane do identyfikowania i rozwiązywania nieprzewidzianych problemów, zanim staną się poważnym zagrożeniem.
Rodzaje Kontroli Wewnętrznych
Pomimo ograniczeń, wdrażanie i zapewnienie skuteczności różnych rodzajów kontroli wewnętrznych pomaga w osiąganiu celów firmy przy minimalizacji niepożądanych zdarzeń. Główne rodzaje kontroli to: kontroli prewencyjne i detektywne.
Kontrole prewencyjne są ważne, ponieważ zmniejszają potrzebę wykrywania błędów po fakcie, jednak kontrole detektywne są równie istotne, aby zapewnić wykrycie wszelkich problemów, które prześlizgną się przez kontrole prewencyjne, zanim staną się poważne.
Prewencyjne Kontrole Wewnętrzne
Kontrole prewencyjne są ustanawiane w celu zapobiegania błędom lub innym niekorzystnym zdarzeniom. Mogą być manualne lub zautomatyzowane, przy czym kontrole zautomatyzowane zmniejszają ryzyko błędu ludzkiego i usprawniają działania audytowe. Przykłady kontroli prewencyjnych to kontrola dostępu do systemów (w tym rozdzielenie obowiązków), zatwierdzanie faktur powyżej określonego progu, sprawdzanie przeszłości kandydatów do pracy oraz systemy bezpieczeństwa fizycznego (zamki do laptopów, systemy alarmowe).
Detektywne Kontrole Wewnętrzne
Kontrole detektywne koncentrują się na wykrywaniu problemów lub nieprawidłowości po fakcie i powinny być wdrażane równolegle z kontrolami prewencyjnymi. Przykłady kontroli detektywnych to inwentaryzacje fizyczne, uzgadnianie kont oraz porównywanie sprawozdań finansowych z dokumentami źródłowymi.
Mieszanka kontroli prewencyjnych i detektywnych jest istotna dla każdego programu kontroli wewnętrznej, pomagając firmie minimalizować ryzyko i zapobiegać problemom.
Różnica Między Audytem Wewnętrznym a Działaniami Kontroli Wewnętrznej
Trudno mówić o audycie wewnętrznym bez wspomnienia o kontrolach wewnętrznych, ponieważ oba są niezbędne do skutecznego zarządzania ryzykiem.
Kontrole wewnętrzne to mechanizmy równowagi i kontroli wdrożone przez firmę w celu minimalizacji ryzyka. Zwykle składają się z ciągłego systemu polityk i procedur kierowanych przez kierownictwo wyższego szczebla i realizowanych przez innych członków organizacji. Skuteczny system kontroli wewnętrznej nie tylko pomaga firmom oceniać i minimalizować ryzyko, ale także poprawiać operacje i procesy oraz podejmować lepsze decyzje biznesowe.
Kierownictwo jest odpowiedzialne za identyfikację ryzyk i wdrożenie kontroli wewnętrznych, natomiast audyt wewnętrzny ocenia, czy wdrożone kontrole są odpowiednio zaprojektowane i skutecznie działają. Audyt procedur kontroli wewnętrznej przynosi wiele korzyści, w tym redukcję błędów i oszustw, poprawę dokładności sprawozdawczości finansowej, zwiększenie efektywności operacyjnej oraz poprawę reputacji i wiarygodności firmy.
Zespoły audytu wewnętrznego regularnie oceniają kontrole wewnętrzne, doradzają kierownictwu w projektowaniu i wdrażaniu kontroli, przeprowadzają testy kontroli oraz wykonują inne rodzaje audytów (operacyjnych, zgodności, dochodzeń w sprawach oszustw), aby zapewnić realizację celów firmy w sposób efektywny i skuteczny.
Cele Kontroli Wewnętrznej w Audycie
Cel kontroli to powód, dla którego kontrola jest wdrażana, i zazwyczaj jest formułowany jako stwierdzenie, w jaki sposób organizacja zamierza zarządzać ryzykiem. Cele kontroli w ramach frameworku COSO dzielą się na trzy kategorie: operacyjne, sprawozdawcze i zgodności.
Cele Operacyjne
Cele operacyjne dotyczą usprawnienia operacji biznesowych. Przykłady: przeglądy wyników, fizyczne zabezpieczenia aktywów, edukacja, szkolenia i coaching dla członków zespołu, procesy przeglądu i zatwierdzania oraz rozdzielenie obowiązków.
Cele Sprawozdawcze
Cele sprawozdawcze dotyczą wiarygodnego i terminowego sprawozdawania o wewnętrznych i zewnętrznych transakcjach finansowych. Przykłady: autoryzacja wydatków, przeglądy i zatwierdzenia, weryfikacja, uzgadnianie budżetu i ochrona haseł.
Cele Zgodności
Cele zgodności dotyczą przestrzegania przepisów prawa i wymagań regulacyjnych. Przykłady: weryfikacja danych, edukacja i szkolenia oraz regularna synteza i przestrzeganie instrukcji i wytycznych dotyczących polityk i procedur.
Jak Audytorzy Testują Kontrole Wewnętrzne?
Wybór kontroli wewnętrznych do testowania zależy od wielu czynników, w tym od wielkości i złożoności organizacji, charakteru działalności i oceny ryzyka przeprowadzonej przez audyt wewnętrzny. Następnie identyfikuje się kontrole wewnętrzne związane z procesami i aplikacjami objętymi zakresem testowania, aby uszeregować kontrole pod względem ryzyka, co determinuje strategię testowania, czyli zakres testowania.
Testowanie kontroli wewnętrznych obejmuje wykonywanie procedur w celu oceny projektu i skuteczności kontroli w zapobieganiu lub wykrywaniu istotnych nieprawidłowości w sprawozdawczości finansowej. Zespół audytowy dokumentuje procedury testowe i wyniki testów, w tym wszelkie zidentyfikowane niedociągnięcia lub słabości kontroli, i zapewnia ich terminowe usunięcie. Wyniki testów i działań naprawczych są regularnie przekazywane kierownictwu, kadrze kierowniczej i innym interesariuszom, aby zapewnić skuteczne działanie środowiska kontroli w celu zmniejszenia ryzyka i umożliwienia firmie osiągnięcia jej celów.
Podsumowanie
Skuteczny program kontroli wewnętrznej jest kluczowy dla długoterminowego sukcesu biznesowego. Firmy inwestujące czas i zasoby w jego wdrożenie są lepiej przygotowane do zarządzania ryzykiem, ochrony aktywów firmy, zapewnienia zgodności z przepisami i zwiększenia zaufania interesariuszy. System zarządzania kontrolami usprawnia proces kontroli wewnętrznej poprzez centralizację informacji o ryzyku i kontrolach, automatyzację przepływów pracy i testowania oraz zapewnienie narzędzi do współpracy i dynamicznego raportowania.
Jeśli chcesz poznać inne artykuły podobne do Rola Audytora Kontroli Wewnętrznej, możesz odwiedzić kategorię Audyt.