Jak właściwie zaplanować pracę audytora wewnętrznego

@RY1@i02/2009/191/i02.2009.191.092.0009.101.jpg@RY2@

Piotr Hans, starszy konsultant w departamencie doradztwa gospodarczego Grant Thornton Frąckowiak

PIOTR HANS

starszy konsultant w departamencie doradztwa gospodarczego Grant Thornton Frąckowiak

Wskazówka, o której mowa, dotyczy map (mapowania) zapewnień (ang. assurance maps), czyli narzędzia, które pozwala aktywnie zarządzać poziomami i dostawcami zapewnień o skuteczności kontroli w poszczególnych obszarach ryzyka. Poniżej przedstawiono kilka praktycznych informacji na temat mapowania zapewnień, jak i wskazówki, w jaki sposób należy wykorzystywać mapy w planowaniu prac audytu wewnętrznego.

Standard 2050 IIA zakłada, że zarządzający audytem wewnętrznym w danej organizacji powinien wymieniać się informacjami i koordynować działania z innymi wewnętrznymi i zewnętrznymi podmiotami (komórkami, organami, a także doradcami) w celu osiągnięcia właściwego poziomu zapewnień oraz uniknięcia duplikowania działań.

Wśród podmiotów udzielających takich zapewnień najwyższemu kierownictwu czy radzie nadzorczej można wymienić: kierownictwo średniego szczebla, funkcję compliance, komitety rady nadzorczej, niekiedy także pracowników liniowych.

Wszystkie wymienione wyżej podmioty, komórki czy osoby działają jednak zazwyczaj niezależnie od siebie. Ma to zarówno dobre, jak i złe strony. Pozytywem jest na pewno zachowanie przez nie, w większym czy mniejszym stopniu, niezależności w dokonywanej ocenie funkcjonowania czynności kontrolnych. Brak koordynacji i podziału odpowiedzialności może powodować równocześnie duplikowanie działań zapewniających w jednych obszarach i brak takiej oceny w innych. Mapowanie zapewnień jest właśnie odpowiedzią na te słabości - formą ustalenia podziału odpowiedzialności i zadań zapewniających, tak aby uzyskać wystarczającą pewność, że wszystkie istotne ryzyka są pod (skuteczną i efektywną) kontrolą.

Efektem mapowania zapewnień są najczęściej różnego rodzaju tabele czy schematy pokazujące, jakie podmioty zewnętrzne i wewnętrzne ich udzielają (dokonują oceny) wobec poszczególnych czynności kontrolnych, ustalonych względem istotnych ryzyk. Przykładowo dla ryzyk i czynności kontrolnych w procesie sporządzania sprawozdań finansowych formą zapewnienia pochodzącego z wnętrza organizacji jest złożenie podpisu pod sprawozdaniem przez dyrektora finansowego lub raport ze zrealizowanego zadania audytowego w tym obszarze. Formą zapewnienia zewnętrznego jest badanie przez biegłego rewidenta.

Biorąc powyższe pod uwagę, analiza map zapewnień stanowić powinna jedno z podstawowych narzędzi planowania prac dla zarządzającego audytem wewnętrznym. Na jej podstawie może on bowiem skupić szczególną uwagę na obszarach z niewystarczającym poziomem zapewnienia. Przykładowo, jeśli podczas mapowania zapewnień dla istotnego ryzyka wystąpienie nieprawidłowości w procesie sprawozdawczości finansowej, możemy się oprzeć na zewnętrznej ocenie systemu kontroli wewnętrznej w procesie sprawozdawczości finansowej (towarzyszącej obligatoryjnemu badaniu sprawozdania finansowego), uwzględnienie tego procesu w planie audytu wewnętrznego na najbliższe miesiące nie będzie kluczowe. Szczególnie w przypadku, gdy dodatkowo szczególny nadzór nad tym obszarem pełnić będzie komitet audytu.

Jeśli jednak organizacja korzysta z usług biegłego rewidenta, który nie przeprowadzi w ramach badania oceny systemu kontroli wewnętrznej, zarządzający audytem wewnętrznym powinien rozważyć uwzględnienie w planie audytu odpowiedniego zadania w tym obszarze. Właśnie identyfikacja tego typu białych plam na mapie zapewnień stanowi główny cel jej sporządzania. Dlatego też powinna stanowić wyznacznik, które obszary działalności organizacji (z którymi wiąże się istotne ryzyko) i kontrole muszą być objęte większym nadzorem ze strony audytu wewnętrznego.

AP