Jak pisać rekomendacje po audycie?

Rekomendacje po audycie są kluczowym elementem procesu audytowego. To w nich zawarte są sugestie dotyczące działań naprawczych i usprawnień, które mają zostać wdrożone przez kierownictwo organizacji w odpowiedzi na ustalenia audytu. Niestety, źle sformułowane rekomendacje mogą przynieść więcej szkody niż pożytku, prowadząc do nieporozumień, nieefektywnych działań, a nawet frustracji zarówno audytorów, jak i audytowanych. Jak więc pisać rekomendacje, które będą skuteczne, zrozumiałe i realnie wdrażane? Ten artykuł przedstawi Ci praktyczne wskazówki i omówi najczęstsze pułapki, których należy unikać.

Problemy z nieskutecznymi rekomendacjami audytowymi

Nieskuteczne rekomendacje audytowe mogą przyjmować różne formy, a ich konsekwencje bywają zaskakujące. Oto kilka przykładów problemów, które mogą wyniknąć z niejasno lub źle sformułowanych zaleceń:

Dosłowne interpretowanie rekomendacji. Wyobraźmy sobie rekomendację: „Zaleca się rozważenie zatrudnienia menedżera ds. kredytów”. W kolejnym audycie okazuje się, że kierownictwo „rozważyło” zatrudnienie, ale ostatecznie zrezygnowało. Technicznie rekomendacja została „wykonana”, ale problem pozostaje nierozwiązany. Inny przykład: rekomendacja zakupu drogiego skanera ciała. Ochrona, nie zgadzając się z potrzebą takiego zakupu, kupiła skaner, ustawiła go na widoku, ale pracownicy nadal korzystali ze starych procedur, omijając nowe urządzenie. Klient dosłownie spełnił zalecenie, ale cel audytu nie został osiągnięty.

Rekomendacje dla wygody audytora. Czasami rekomendacje są formułowane tak, aby ułatwić pracę audytorom, a niekoniecznie usprawnić procesy klienta. Przykład: „Zalecamy dostarczanie dokumentacji potwierdzającej X, abyśmy mieli kompletny ślad audytowy”. Takie podejście jest błędne. Rekomendacje powinny koncentrować się na wartości dodanej dla klienta, a nie na wygodzie audytora. Dodatkowe, niepotrzebne kontrole mogą spowalniać procesy i utrudniać klientowi efektywne działanie.

Brak odpowiedzialności za wdrożenie. Używanie strony biernej w rekomendacjach może prowadzić do niejasności co do odpowiedzialności za ich wdrożenie. Na przykład: „Zaleca się zatwierdzanie zamówień zakupu”. Kto ma zatwierdzać zamówienia? Kierownictwo może interpretować to różnie, co prowadzi do braku działania. Dlatego rekomendacje powinny jasno wskazywać odpowiedzialne stanowiska lub role, np. „Kierownik ds. zakupów i menedżer wnioskujący powinni zatwierdzać zamówienia zakupu”.

Rekomendacje nieosiągalne finansowo. Audytorzy mogą rekomendować kosztowne rozwiązania, które są poza możliwościami finansowymi klienta. Przykład: coroczne zalecenia modernizacji przestarzałego oprogramowania, ignorowane przez klienta z powodu braku środków. Dopiero po czasie audytorzy zrozumieli, że istnieją prostsze, tańsze metody mitigacji ryzyka, niezależne od oprogramowania. Rekomendacje muszą być realistyczne i uwzględniać możliwości klienta.

Niejasne i ogólnikowe rekomendacje. Rekomendacje typu „Zaleca się usprawnienie tego procesu” lub „Należy podkreślić potrzebę tej procedury” są zbyt ogólnikowe. Nie dają klientowi jasnej wskazówki, co konkretnie należy zrobić. Takie rekomendacje generują kolejne pytania i nie rozwiązują problemu. Powodują frustrację i obciążenie zarówno dla zespołu audytowego, jak i klienta.

Kryteria skutecznych rekomendacji audytowych: Audytowalne, Wykonalne i Satysfakcjonujące

Aby uniknąć wspomnianych problemów, rekomendacje audytowe powinny być audytowalne, wykonalne i satysfakcjonujące.

Audytowalne. Zanim sformułujesz rekomendację, zastanów się, czy będziesz w stanie łatwo zweryfikować jej wdrożenie w przyszłości. Pamiętaj, celem jest napisanie rekomendacji raz, skuteczne wdrożenie jej przez klienta i brak konieczności powracania do tematu. Zadaj sobie pytanie: „Jak zweryfikuję, czy klient wdrożył tę rekomendację?”. Jeśli nie potrafisz wymyślić prostego testu weryfikującego, przeredaguj rekomendację. Rekomendacja audytowalna to taka, której wdrożenie można obiektywnie sprawdzić.

Wykonalne. Zastanów się, czy klient realnie wdroży tę rekomendację. Jeśli odpowiedź brzmi „nie”, zmień ją. Jeszcze lepiej, pozwól klientowi samemu zaproponować rozwiązanie. Twoim zadaniem jest zidentyfikowanie ryzyka, a niekoniecznie rozwiązanie problemu. Przedstaw klientowi ryzyko i zapytaj, czy je akceptuje. Jeśli nie, zapytaj, jak zamierza je zminimalizować. Zaangażowanie klienta w proces rozwiązywania problemu zwiększa prawdopodobieństwo wdrożenia rekomendacji i zachowuje niezależność audytora.

Satysfakcjonujące. Zastanów się, czy wdrożenie rekomendacji rzeczywiście rozwiąże problem i czy będziesz usatysfakcjonowany efektem. Czy pozwoli Ci to zamknąć temat w przyszłości? Jeśli nie, poszukaj innego rozwiązania. Rekomendacja powinna trwale rozwiązywać zidentyfikowany problem.

Wytyczne GAO dotyczące rekomendacji audytowych

General Accounting Office (GAO) w swoich „Żółtych Księgach” (Yellow Book) formułuje następujące wytyczne dotyczące rekomendacji audytowych:

„W miarę możliwości audytorzy powinni rekomendować działania naprawcze w odniesieniu do niedociągnięć i innych ustaleń zidentyfikowanych podczas audytu oraz usprawnienia programów i operacji, gdy potencjał usprawnień w programach, operacjach i wydajności jest uzasadniony zgłoszonymi ustaleniami i wnioskami. Audytorzy powinni formułować rekomendacje, które logicznie wynikają z ustaleń i wniosków, są skierowane na rozwiązanie przyczyn zidentyfikowanych niedociągnięć i ustaleń oraz jasno określają zalecane działania.”

„Skuteczne rekomendacje zachęcają do usprawnień w prowadzeniu programów i operacji rządowych. Rekomendacje są skuteczne, gdy są skierowane do stron posiadających uprawnienia do działania oraz gdy zalecane działania są konkretne, wykonalne, opłacalne i mierzalne.”

Kluczowe cechy dobrych rekomendacji audytowych

Podsumowując, dobre rekomendacje audytowe charakteryzują się następującymi cechami:

Wskazują odpowiedzialne stanowiska lub role. Jasno określają, kto jest odpowiedzialny za wdrożenie rekomendacji. Unikaj ogólników i strony biernej.

Są audytowalne. Umożliwiają łatwą weryfikację wdrożenia. Zastanów się, jak sprawdzisz, czy rekomendacja została zrealizowana.

Są wykonalne. Są realistyczne i uwzględniają możliwości klienta. Skonsultuj wykonalność rekomendacji z klientem.

Rozwiązują problem. Adresują przyczynę problemu i trwale go eliminują. Upewnij się, że rekomendacja jest satysfakcjonująca i rzeczywiście rozwiązuje zidentyfikowane ryzyko.

Jak upewnić się, że rekomendacja jest audytowalna?

Aby rekomendacja była audytowalna, powinna być sformułowana w sposób, który umożliwia obiektywną weryfikację jej wdrożenia. Zamiast ogólnikowego „usprawnić proces”, lepiej napisać „wprowadzić system automatycznego zatwierdzania faktur o wartości do 5000 PLN”. Weryfikacja wdrożenia takiej rekomendacji jest prosta – wystarczy sprawdzić, czy system został wdrożony i działa zgodnie z założeniami. Inne przykłady audytowalnych rekomendacji:

• „Wdrożyć comiesięczne szkolenia dla nowych pracowników z zakresu bezpieczeństwa informacji.” (Weryfikacja: analiza harmonogramu szkoleń i list obecności).
• „Uaktualnić politykę bezpieczeństwa firmy o zapisy dotyczące pracy zdalnej.” (Weryfikacja: porównanie starej i nowej polityki).
• „Wprowadzić kontrolę dostępu do serwerowni za pomocą kart dostępu.” (Weryfikacja: sprawdzenie systemu kontroli dostępu i rejestru wejść/wyjść).

Jak sprawdzić wykonalność rekomendacji?

Wykonalność rekomendacji zależy od wielu czynników, m.in. finansowych, organizacyjnych i technicznych możliwości klienta. Kluczowe jest konsultowanie rekomendacji z klientem. Przedstaw klientowi ryzyko, które identyfikuje rekomendacja i zapytaj, czy akceptuje to ryzyko. Jeśli nie, zapytaj, jakie działania może podjąć, aby je zminimalizować. Pozwól klientowi zaproponować rozwiązanie. Możesz również zapytać klienta o:

• Dostępne zasoby (finansowe, ludzkie, techniczne).
• Potencjalne przeszkody we wdrożeniu rekomendacji.
• Czas potrzebny na wdrożenie rekomendacji.

Dzięki temu uzyskasz lepsze zrozumienie możliwości klienta i będziesz mógł sformułować bardziej realistyczne i wykonalne rekomendacje.

Jak ocenić satysfakcję z rekomendacji?

Satysfakcja z rekomendacji oznacza, że jej wdrożenie trwale rozwiązuje zidentyfikowany problem i minimalizuje ryzyko. Aby ocenić satysfakcję, zastanów się, czy po wdrożeniu rekomendacji będziesz mógł zamknąć dany temat i nie wracać do niego w kolejnych audytach. Rekomendacja powinna być kompleksowa i adresować przyczynę problemu, a nie tylko jego objawy. Przykład: zamiast rekomendować „zwiększenie częstotliwości kontroli ręcznych”, lepiej zidentyfikować przyczynę błędów w procesie i rekomendować „wdrożenie automatycznej kontroli jakości”. Automatyczna kontrola jakości jest bardziej satysfakcjonująca, ponieważ trwale eliminuje problem błędów, podczas gdy częstsze kontrole ręczne jedynie go wykrywają, nie eliminując przyczyny.

Podsumowanie

Pisanie skutecznych rekomendacji po audycie to kluczowa umiejętność każdego audytora. Rekomendacje powinny być audytowalne, wykonalne i satysfakcjonujące. Powinny jasno wskazywać odpowiedzialne stanowiska, być konkretne, realistyczne i trwale rozwiązywać zidentyfikowane problemy. Pamiętaj, że celem rekomendacji jest usprawnienie procesów klienta i minimalizacja ryzyka, a nie jedynie ułatwienie pracy audytorowi. Inwestycja czasu w staranne sformułowanie rekomendacji przyniesie korzyści zarówno audytorom, jak i audytowanym, prowadząc do realnych i pozytywnych zmian w organizacji.

Jeśli chcesz poznać inne artykuły podobne do Jak pisać rekomendacje po audycie?, możesz odwiedzić kategorię Audyt.