Czy audyt wewnętrzny to proces zarządczy?

Audyt wewnętrzny jest funkcją oceniającą i doradczą, mającą na celu dodanie wartości i usprawnienie operacji organizacji. Pomaga organizacji osiągnąć jej cele poprzez systematyczne i metodyczne podejście do oceny i doskonalenia skuteczności procesów zarządzania ryzykiem, kontroli i ładu korporacyjnego. Chociaż audyt wewnętrzny jest zatrudniany przez organizację, aby badać i oceniać jej działania, kluczowe pytanie brzmi: czy audyt wewnętrzny jest uważany za proces zarządzania?

Historia audytu wewnętrznego

Profesja audytu wewnętrznego ewoluowała wraz z postępem nauk o zarządzaniu po II wojnie światowej. Koncepcyjnie jest w wielu aspektach podobna do audytu finansowego przeprowadzanego przez firmy księgowe, zapewnienia jakości i działań związanych z zgodnością bankową. Choć część technik audytowych leżących u podstaw audytu wewnętrznego wywodzi się z doradztwa zarządczego i zawodu księgowego, teoria audytu wewnętrznego została opracowana głównie przez Lawrence'a Sawyera (1911–2002), często określanego mianem „ojca współczesnego audytu wewnętrznego”. Obecna filozofia, teoria i praktyka współczesnego audytu wewnętrznego, zdefiniowane przez Międzynarodowe Ramy Praktyki Zawodowej (IPPF) Instytutu Audytorów Wewnętrznych, w dużej mierze zawdzięczają wizji Sawyera.

Wraz z wdrożeniem w Stanach Zjednoczonych ustawy Sarbanes-Oxley z 2002 roku, prestiż i wartość zawodu wzrosły, ponieważ wielu audytorów wewnętrznych posiadało umiejętności niezbędne do pomocy firmom w spełnieniu wymogów prawa. Jednak skupienie się działów audytu wewnętrznego spółek notowanych na giełdzie na polityce i procedurach finansowych związanych z SOX zahamowało postęp poczyniony przez ten zawód pod koniec XX wieku w kierunku wizji Larry'ego Sawyera dotyczącej audytu wewnętrznego. Począwszy od około 2010 roku, IIA ponownie zaczęła opowiadać się za szerszą rolą, jaką audyt wewnętrzny powinien odgrywać w korporacyjnym świecie, zgodnie z filozofią IPPF.

Niezależność organizacyjna

Chociaż audytorzy wewnętrzni są zatrudniani bezpośrednio przez swoją firmę, mogą osiągnąć niezależność poprzez swoje relacje raportowania. Niezależność i obiektywizm są kamieniem węgielnym standardów zawodowych IIA i są szeroko omówione w standardach oraz wspierających je przewodnikach i poradnikach praktycznych. Profesjonalni audytorzy wewnętrzni są zobowiązani standardami IIA do bycia niezależnymi od działań biznesowych, które audytują. Niezależność i obiektywizm osiąga się poprzez umiejscowienie organizacyjne i linie raportowania działu audytu wewnętrznego. Audytorzy wewnętrzni spółek notowanych na giełdzie w Stanach Zjednoczonych są zobowiązani do raportowania funkcjonalnie bezpośrednio do rady dyrektorów lub podkomitetu rady dyrektorów (zazwyczaj komitetu audytu), a nie do kierownictwa, z wyjątkiem celów administracyjnych.

Wymagana niezależność organizacyjna od kierownictwa umożliwia nieograniczoną ocenę działań i personelu kierowniczego oraz pozwala audytorom wewnętrznym skutecznie pełnić swoją rolę. Chociaż audytorzy wewnętrzni są częścią kierownictwa firmy i są opłacani przez firmę, głównym klientem działalności audytu wewnętrznego jest podmiot odpowiedzialny za nadzór nad działalnością kierownictwa. Jest to zazwyczaj komitet audytu, komitet rady dyrektorów. Niezależność organizacyjna jest skutecznie osiągana, gdy szef audytu wewnętrznego raportuje funkcjonalnie do rady.

Rola w kontroli wewnętrznej

Działalność audytu wewnętrznego jest skierowana przede wszystkim na ocenę kontroli wewnętrznej. Zgodnie z ramami kontroli wewnętrznej COSO, kontrola wewnętrzna jest szeroko definiowana jako proces, realizowany przez radę dyrektorów, kierownictwo i inny personel podmiotu, mający na celu zapewnienie racjonalnej pewności co do osiągnięcia następujących podstawowych celów, do których dążą wszystkie przedsiębiorstwa:

• Efektywność i skuteczność operacji.
• Rzetelność sprawozdawczości finansowej i zarządczej.
• Zgodność z przepisami prawa i regulacjami.
• Ochrona aktywów.

Kierownictwo jest odpowiedzialne za kontrolę wewnętrzną, która obejmuje pięć kluczowych elementów: środowisko kontroli; ocenę ryzyka; działania kontrolne ukierunkowane na ryzyko; informacje i komunikację; oraz działania monitorujące. Kierownicy ustanawiają polityki, procesy i praktyki w tych pięciu elementach kontroli zarządczej, aby pomóc organizacji osiągnąć cztery konkretne cele wymienione powyżej. Audytorzy wewnętrzni przeprowadzają audyty w celu oceny, czy pięć elementów kontroli zarządczej jest obecnych i skutecznie działa, a jeśli nie, przedstawiają zalecenia dotyczące ulepszeń.

Rola w zarządzaniu ryzykiem

Standardy zawodowe audytu wewnętrznego wymagają od funkcji oceny skuteczności działań organizacji w zakresie zarządzania ryzykiem. Zarządzanie ryzykiem to proces, za pomocą którego organizacja identyfikuje, analizuje, reaguje, gromadzi informacje i monitoruje ryzyka strategiczne, które mogą faktycznie lub potencjalnie wpłynąć na zdolność organizacji do realizacji jej misji i celów. Zgodnie z ramami zarządzania ryzykiem korporacyjnym COSO (ERM), strategia, operacje, sprawozdawczość i cele zgodności organizacji mają powiązane strategiczne ryzyka biznesowe – negatywne skutki wynikające z wydarzeń wewnętrznych i zewnętrznych, które hamują zdolność organizacji do osiągnięcia jej celów.

Kierownictwo ocenia ryzyko w ramach zwykłej działalności biznesowej, takiej jak planowanie strategiczne, planowanie marketingowe, planowanie kapitałowe, budżetowanie, hedging, struktura wypłat zachęt, praktyki kredytowe/pożyczkowe, fuzje i przejęcia, partnerstwa strategiczne, zmiany legislacyjne, prowadzenie działalności za granicą itp. Przepisy Sarbanes-Oxley wymagają rozległej oceny ryzyka procesów sprawozdawczości finansowej. Radcowie prawni korporacyjni często przygotowują kompleksowe oceny obecnych i potencjalnych postępowań sądowych, którym firma jest zagrożona. Audytorzy wewnętrzni mogą oceniać każde z tych działań lub skupić się na nadrzędnym procesie wykorzystywanym do zarządzania ryzykiem w całej jednostce.

Rola w nadzorze korporacyjnym

Działalność audytu wewnętrznego w odniesieniu do nadzoru korporacyjnego w przeszłości była na ogół nieformalna, realizowana głównie poprzez udział w spotkaniach i dyskusjach z członkami rady dyrektorów. Zgodnie z ramami ERM COSO, nadzór korporacyjny to polityki, procesy i struktury stosowane przez kierownictwo organizacji w celu kierowania działaniami, osiągania celów i ochrony interesów różnych grup interesariuszy w sposób zgodny ze standardami etycznymi. Audytor wewnętrzny jest często uważany za jeden z „czterech filarów” nadzoru korporacyjnego, pozostałymi filarami są rada dyrektorów, kierownictwo i audytor zewnętrzny.

Głównym obszarem zainteresowania audytu wewnętrznego w odniesieniu do nadzoru korporacyjnego jest pomoc komitetowi audytu rady dyrektorów (lub odpowiednikowi) w skutecznym wykonywaniu jego obowiązków. Może to obejmować raportowanie krytycznych problemów z kontrolą zarządczą, sugerowanie pytań lub tematów do porządku obrad komitetu audytu oraz koordynację z audytorem zewnętrznym i kierownictwem w celu zapewnienia, że komitet otrzymuje skuteczne informacje. W ostatnich latach IIA opowiadała się za bardziej formalną oceną nadzoru korporacyjnego, szczególnie w obszarach nadzoru rady nad ryzykiem korporacyjnym, etyki korporacyjnej i oszustw.

Proces audytu i wykonanie

Typowe zadanie audytu wewnętrznego obejmuje następujące kroki:

1. Ustalenie i przekazanie zakresu i celów audytu odpowiednim członkom kierownictwa.
2. Zrozumienie obszaru działalności podlegającego przeglądowi – obejmuje to cele, pomiary i kluczowe rodzaje transakcji oraz obejmuje wywiady i przegląd dokumentów – w razie potrzeby można tworzyć schematy blokowe i narracje.
3. Opisanie kluczowych ryzyk zagrażających działalności biznesowej w zakresie audytu.
4. Identyfikacja praktyk zarządczych w pięciu elementach kontroli stosowanych w celu zapewnienia, że każde kluczowe ryzyko jest odpowiednio kontrolowane i monitorowane.
5. Opracowanie i wdrożenie podejścia opartego na ryzyku do pobierania próbek i testowania w celu ustalenia, czy najważniejsze kontrole zarządcze działają zgodnie z zamierzeniami.
6. Raportowanie zidentyfikowanych problemów i wyzwań oraz negocjowanie planów działań z kierownictwem w celu rozwiązania tych problemów.
7. Monitorowanie zgłoszonych ustaleń w odpowiednich odstępach czasu.

Raporty z audytu wewnętrznego

Audytorzy wewnętrzni zazwyczaj wydają raporty na koniec każdego audytu, które podsumowują ich ustalenia, zalecenia oraz wszelkie odpowiedzi lub plany działań ze strony kierownictwa. Raport z audytu może zawierać streszczenie kierownicze – treść, która obejmuje konkretne zidentyfikowane problemy lub ustalenia oraz powiązane zalecenia lub plany działań, oraz informacje w załączniku, takie jak szczegółowe wykresy i schematy lub informacje o procesach. Każde ustalenie audytu w treści raportu może zawierać pięć elementów, czasami nazywanych „5 C”:

• Condition (Stan): Jaki jest konkretny zidentyfikowany problem?
• Criteria (Kryteria): Jaki standard nie został spełniony? Standardem może być polityka firmy lub inny punkt odniesienia.
• Cause (Przyczyna): Dlaczego wystąpił problem?
• Consequence (Konsekwencja): Jakie jest ryzyko/negatywny wynik (lub utracona szansa) z powodu ustalenia?
• Corrective action (Działanie naprawcze): Co kierownictwo powinno zrobić w związku z ustaleniem? Na co się zgodzili i do kiedy?

Strategia audytu wewnętrznego

Funkcje audytu wewnętrznego mogą również opracowywać strategie funkcjonalne opisane w wieloletnich planach strategicznych. Kluczowym aspektem opracowywania strategii audytu wewnętrznego jest zrozumienie oczekiwań interesariuszy, takich jak komitet audytu i najwyższe kierownictwo. Pomaga to kierować funkcją audytu wewnętrznego w jej misji pomocy organizacji w radzeniu sobie z ryzykiem, przed którym stoi. Konkretne tematy rozważane w planowaniu strategicznym audytu wewnętrznego obejmują:

• Zakres i nacisk: Funkcja audytu wewnętrznego może być zaangażowana w rozwiązywanie ryzyk związanych ze sprawozdawczością finansową, operacjami, zgodnością z przepisami prawa i regulacjami oraz strategią firmy. Mogą również istnieć specjalne tematy zainteresowania interesariuszy, które znacznie zmieniają się z roku na rok.
• Portfolio usług: Funkcje audytu wewnętrznego mogą zapewniać tradycyjne zapewnienie audytowe w całym spektrum ryzyka, a także wsparcie projektów konsultingowych w różnych obszarach, takich jak zarządzanie projektami, analiza danych i monitorowanie ważnych inicjatyw firmy. Większe funkcje audytu mogą tworzyć specjalistyczne obszary do obsługi swojego portfolio usług.
• Rozwój kompetencji: Oczekiwania interesariuszy dotyczące zakresu i portfolio usług determinują, jakich kompetencji potrzebuje funkcja, co napędza decyzje dotyczące zatrudniania konkretnych umiejętności i programów szkoleniowych. Funkcja audytu wewnętrznego jest często wykorzystywana jako „poligon szkoleniowy dla kierownictwa”, aby zapewnić pracownikom głębszą wiedzę o działalności firmy, zanim zostaną przeniesieni na stanowisko kierownicze.
• Technologia: Funkcje audytu wewnętrznego wykorzystują różnorodne narzędzia/oprogramowanie technologiczne do obsługi przepływu pracy procesu audytu, analizy statystycznej i uzyskiwania danych z systemów.

Czy audyt wewnętrzny jest procesem zarządzania?

Odpowiadając na pytanie, czy audyt wewnętrzny jest procesem zarządzania, można argumentować, że tak, ale w specyficzny sposób. Audyt wewnętrzny sam w sobie nie jest procesem operacyjnym ani funkcją zarządzania liniowego. Jest to raczej funkcja nadzorcza i doradcza, która ocenia i usprawnia procesy zarządzania. Audyt wewnętrzny wspomaga zarządzanie, dostarczając obiektywnej oceny i zaleceń dotyczących:

• Zarządzania ryzykiem: Audyt wewnętrzny pomaga kierownictwu w identyfikacji, ocenie i zarządzaniu ryzykiem, co jest kluczowym elementem procesu zarządzania.
• Kontroli wewnętrznej: Ocena i doskonalenie kontroli wewnętrznej to zasadnicza część odpowiedzialności kierownictwa, a audyt wewnętrzny odgrywa w tym istotną rolę.
• Ładu korporacyjnego: Poprzez ocenę i zalecenia dotyczące ładu korporacyjnego, audyt wewnętrzny wspiera kierownictwo i radę dyrektorów w ich obowiązkach w zakresie nadzoru.
• Efektywności operacyjnej: Audyt wewnętrzny bada procesy operacyjne, pomagając kierownictwu w ich usprawnianiu i osiąganiu celów biznesowych.

Zatem, choć audyt wewnętrzny nie jest „zarządzaniem” w sensie bezpośredniego kierowania operacjami, jest integralną częścią systemu zarządzania organizacji. Działa jako mechanizm zwrotny i funkcja kontrolna, która pomaga kierownictwu w skutecznym zarządzaniu organizacją. Raportując do komitetu audytu i rady dyrektorów, audyt wewnętrzny zapewnia niezależny nadzór nad procesami zarządzania, co jest kluczowe dla dobrego zarządzania korporacyjnego.

Często zadawane pytania

Czy audyt wewnętrzny jest obowiązkowy?

Obowiązek posiadania działu audytu wewnętrznego zależy od jurysdykcji i rodzaju organizacji. Dla spółek notowanych na giełdzie i instytucji finansowych w wielu krajach audyt wewnętrzny jest często wymagany lub wysoce zalecany. Dla innych organizacji decyzja o utworzeniu działu audytu wewnętrznego jest dobrowolna, ale coraz częściej postrzegana jako dobra praktyka zarządzania.

Komu raportuje audytor wewnętrzny?

Audytor wewnętrzny funkcjonalnie raportuje do komitetu audytu lub rady dyrektorów, co zapewnia jego niezależność od kierownictwa operacyjnego. Administracyjnie może raportować do wyższego menedżera, ale funkcjonalne raportowanie do rady jest kluczowe dla zachowania obiektywizmu.

Jakie są korzyści z audytu wewnętrznego?

Korzyści z audytu wewnętrznego są liczne i obejmują:

• Poprawę kontroli wewnętrznej i zarządzania ryzykiem.
• Wzrost efektywności operacyjnej i skuteczności procesów.
• Wzmocnienie ładu korporacyjnego.
• Wczesne wykrywanie i zapobieganie oszustwom i nieprawidłowościom.
• Zwiększenie zaufania interesariuszy.
• Wsparcie w osiąganiu celów strategicznych organizacji.

Jak zostać audytorem wewnętrznym?

Zazwyczaj wymaga to wykształcenia wyższego (często w dziedzinie finansów, rachunkowości lub zarządzania), doświadczenia zawodowego w audycie, kontroli lub zarządzaniu ryzykiem oraz uzyskania certyfikatów zawodowych, takich jak Certified Internal Auditor (CIA).

Podsumowanie

Podsumowując, audyt wewnętrzny jest istotnym elementem systemu zarządzania organizacji. Chociaż nie jest procesem zarządzania operacyjnego, działa jako funkcja wspierająca i doradcza, która pomaga kierownictwu w skutecznym zarządzaniu ryzykiem, kontrolą wewnętrzną i ładem korporacyjnym. Poprzez niezależną ocenę i zalecenia, audyt wewnętrzny przyczynia się do poprawy efektywności operacyjnej, zgodności z przepisami i osiągania celów strategicznych organizacji, co czyni go nieodzownym procesem w nowoczesnym zarządzaniu.

Jeśli chcesz poznać inne artykuły podobne do Czy audyt wewnętrzny to proces zarządczy?, możesz odwiedzić kategorię Audyt.