Zmieniająca się rola audytu wewnętrznego
W ostatnich latach znacząco wzrasta rola doradcza audytu wewnętrznego, wyrażająca się szczególnym nastawieniem na generowanie wartości dodanej dla organizacji i wsparcia kierownictwa w bieżącym zarządzaniu.
Zmiany te zdają się wywoływać wśród kadry kierowniczej przekonanie, że komórka audytu wewnętrznego może w coraz większym zakresie uczestniczyć w działalności operacyjnej organizacji. Jaka jest zatem przyszłość audytu wewnętrznego? Czy audytor wewnętrzny jest w stanie dostarczać "niezbędne zapewnienie" (z ang. assurance) w kwestii prawidłowości funkcjonowania procesów zachodzących w organizacji, a w tym samym czasie angażować się w działalność operacyjną przy jednoczesnym zachowaniu swojej niezależności?
Odpowiedź brzmi... tak. W określonych sytuacjach i w ograniczonym zakresie, zgodnie ze standardami Instytutu Audytorów Wewnętrznych (z ang. IIA), audyt rzeczywiście może angażować się w konkretne prace, mające na celu wspieranie wybranych obszarów działalności organizacji. Nie może jednak przejmować na siebie odpowiedzialności za funkcjonowanie tych obszarów, gdyż zgodnie z obowiązującymi regulacjami i praktyką to zawsze pozostaje w gestii kierownictwa spółki.
Zmieniające się otoczenie, nowe technologie, globalizacja, zaostrzenia regulacyjne (np. Ustawa Sarbanes-Oxley, Nowa Umowa Kapitałowa) wymuszają na organizacjach ciągłe zmiany.
Wszystkie wyżej wymienione czynniki wpływają bezpośrednio na kształtowanie się oczekiwań udziałowców i kierownictwa spółek oraz pozostałych interesariuszy wobec funkcji audytu wewnętrznego1. Lista obszarów, w jakich audyt wewnętrzny może wspomagać poszczególne podmioty, jest długa.
Przykładowe sposoby wykorzystania funkcji audytu przedstawia poniższa tabela.
Jak widać, zakres wykorzystania audytu wewnętrznego jest naprawdę rozległy, czy jednak nie nazbyt szeroki?
Audyt wewnętrzny powinien wspierać organizację w osiąganiu jej celów poprzez systematyczne i zdyscyplinowane podejście do oceny i doskonalenia skuteczności procesów zarządzania ryzykiem, kontroli wewnętrznej i ładu korporacyjnego. W szczególności, w ramach swoich podstawowych obowiązków, odpowiada za dokonywanie oceny adekwatności, efektywności i skuteczności systemów kontroli wewnętrznej i zarządzania ryzykiem.
Wymienione we wstępie zmiany zdają się wymuszać przyspieszony rozwój audytu, i to na wielu innych płaszczyznach. Tym samym uaktywniają rozwój nowych technik zarządzania organizacją, nadając przy tym niektórym obszarom szczególne znaczenie. Należą do nich między innymi zasady ładu korporacyjnego oraz proces zarządzania ryzykiem korporacyjnym. Spróbujmy się skupić na przedstawieniu potrzeb i korzyści płynących z wdrożenia tych narzędzi oraz wskazania roli audytu wewnętrznego w tych procesach.
Ład korporacyjny (corporate governance)
Ład korporacyjny, według Zasad Nadzoru Korporacyjnego OECD, to system zarządzania i kontrolowania organizacji. Struktura ładu określa podział praw i obowiązków pomiędzy akcjonariuszami (wspólnikami), radą nadzorczą, zarządem i innymi interesariuszami. Ład korporacyjny definiuje reguły i procedury podejmowania decyzji dotyczących celów, sposobów ich realizacji oraz monitorowania osiąganych wyników. Ponadto, według Banku Światowego, ład korporacyjny jest związany z promowaniem uczciwości, odpowiedzialności i przejrzystości w spółce2.
Pojęcie ładu korporacyjnego może obejmować wszystkie powiązania korporacji - relacje między dostawcami kapitału, produktu, usług i zasobów ludzkich, klientami, a nawet szeroko rozumianym otoczeniem zewnętrznym. Może obejmować wszystkie obowiązki, których celem jest zapewnienie przejrzystości wobec udziałowców i pozostałych interesariuszy3.
Warto w tym miejscu zauważyć, że organizacja postępująca zgodnie z zasadami ładu korporacyjnego jest postrzegana jako bardziej atrakcyjna dla inwestorów. Według przeprowadzonych badań4, potencjalny udziałowiec jest w stanie zapłacić około 18-28% więcej za akcje spółki, jeśli jest przekonany o tym, że stosuje ona wyżej wymienione zasady. W rezultacie inwestor może polegać na informacjach zawartych w jej sprawozdaniach i raportach.
Audytor wewnętrzny, ze swoją uprzywilejowaną pozycją niezależnego wewnętrznego obserwatora, stanowi ważne ogniwo ładu korporacyjnego. Informuje zarząd, radę nadzorczą, kierownictwo oraz audytorów zewnętrznych o potencjalnych zagrożeniach i problemach związanych z kontrolą wewnętrzną, a jednocześnie ocenia efektywność zarządzania ryzykiem. Ponadto, komórka audytu wewnętrznego, poprzez bezpośrednią współpracę z radą nadzorczą, wspiera jej członków w wypełnianiu obowiązków informacyjnych (zgodnie z wymogami ładu korporacyjnego rada nadzorcza powinna dokonywać oceny systemów zarządzania ryzykiem i kontroli wewnętrznej oraz sporządzać raport z tej oceny).
Dział audytu wewnętrznego robi to poprzez systematyczną analizę procesów biznesowych i związanych z nimi mechanizmów kontrolnych, przeglądy sprawozdań spółki (zarządcze, finansowe, operacyjne) etc.
W tym kontekście, rozwój funkcji audytu wewnętrznego, jako kluczowego partnera dla organów korporacyjnych, wspierającego zarząd w organizacji i wdrażaniu zasad ładu korporacyjnego, leży w dobrze pojętym interesie kierownictwa firmy.
Zarządzanie ryzykiem korporacyjnym
Zarządzanie ryzykiem korporacyjnym jest realizowanym przez zarząd, kierownictwo lub inny personel przedsiębiorstwa, uwzględnionym w strategii i w całym przedsiębiorstwie procesem, którego celami są:
identyfikacja zdarzeń, które mogą wywierać wpływ na przedsiębiorstwo,
utrzymywanie ryzyka w określonych granicach,
rozsądne zapewnienie realizacji celów przedsiębiorstwa5.
Warto podkreślić, że wybrane rezultaty realizacji procesu zarządzania ryzykiem są szczególnie przydatne dla właściwego funkcjonowania audytu wewnętrznego. Wynika to z faktu, że nowoczesna komórka audytu wewnętrznego, bazująca na analizie ryzyka, potrzebuje informacji w tym zakresie w celu określenia obszarów krytycznych dla funkcjonowania spółki. Na tej podstawie audytor weryfikuje zadeklarowany przez kadrę kierowniczą poziom ryzyka w firmie, a także dostarcza zarządowi informacji o skuteczności zarządzania istotnymi rodzajami ryzyka, w celu osiągania bieżących i długofalowych celów biznesowych danej organizacji.
Takie podejście wydaje się wyjątkowo efektywne, gdyż pozwala na skoncentrowanie się na krytycznych dla funkcjonowania spółki poszczególnych obszarach działalności, a nie na automatycznym testowaniu procesów, niezależnie od ich wpływu na organizację. Zasada Pareto (20/80) jest odpowiednim komentarzem odnośnie celowości stosowania podejścia audytowego opartego na analizie i priorytetyzacji ryzyka.
Audyt oparty na ocenie ryzyka jest dużo bardziej wydajny i skuteczny dla całej organizacji. Pozwala bowiem ograniczyć zaangażowanie środków, dostarczając dużo bardziej wartościowych i aktualnych informacji, wspomagających bieżące procesy zarządcze i decyzyjne.
Ograniczenia w wykorzystaniu audytu
Opisane procesy zaangażowania audytu wewnętrznego wskazują, w jak różne obszary wkracza audytor, realizując swoją funkcję wsparcia zarządu w bieżącym kierowaniu organizacją. Jednakże w tym nieustającym dążeniu do rozwoju kadra zarządzająca musi pamiętać o istniejących ograniczeniach w stosunku do audytu wewnętrznego. Ograniczenia te w większości przypadków wynikają z konieczności zapewnienia audytowi niezależności i obiektywizmu, a ich respektowanie leży w interesie samych zarządzających.
Doświadczenie pokazuje, że zarządy spółek często zakładają, iż skoro audyt wewnętrzny posiada pogłębioną wiedzę w zakresie funkcjonowania poszczególnych procesów biznesowych, to powinien również starać się ją wykorzystać w działalności operacyjnej.
Pokusa wykorzystania audytorów ze względów opisanych powyżej jest duża, ale należy pamiętać o tym, że nie zwolnią oni zarządu i kadry kierowniczej z odpowiedzialności za podległe obszary.
Zakres zaangażowania audytu wew-nętrznego w realizację działań operacyjnych, jak również ograniczenia z tym związane najlepiej pokazać na przykładzie roli, jaką powinien pełnić i jakiej powinien unikać audyt w procesie zarządzania ryzykiem. Zgodnie z "Position Statement: The Role of Internal Audit in the Enterprise-wide Risk Management" IIA (zob. diagram obok) audyt wewnętrzny nie może: ustalać poziomu apetytu na ryzyko, kształtować procesu zarządzania ryzykiem, dostarczać zapewnienia w zakresie rodzajów ryzyka dla kierownictwa, podejmować decyzji dotyczących wyboru środków ograniczania ryzyka, wdrażać w imieniu kadry zarządzającej odpowiedzi na ryzyko oraz nie powinien brać na siebie odpowiedzialności za proces zarządzania ryzykiem.
Kierownictwo organizacji powinno zdawać sobie sprawę z unikalnej roli i wiedzy audytu wewnętrznego w stosunku do ładu korporacyjnego, zarządzania ryzykiem korporacyjnym oraz procesu kontroli wewnętrznej. Powinno również mieć świadomość istniejących ograniczeń w tym zakresie.
Zarząd powinien zadbać, aby audytor wewnętrzny był partnerem dla rady nadzorczej i kadry kierowniczej, bo tylko z takiej pozycji będzie w stanie efektywnie wspierać procesy zarządzania organizacją.
Autorka jest menedżerem w Deloitte.
1 Audyt wewnętrzny (według definicji Międzynarodowego Stowarzyszenia Audytorów Wewnętrznych) - działalność niezależna, obiektywnie zapewniająca (z ang. assurance) i doradcza, której celem jest przysporzenie wartości i usprawnienie działalności operacyjnej przedsiębiorstwa. Działanie audytu wewnętrznego pomaga organizacji w osiąganiu jej celów poprzez systematyczne i konsekwentne podejście do oceny i doskonalenia skuteczności procesów zarządzania ryzykiem, kontroli wewnętrznej i ładu korporacyjnego.
2 Źródło: R. Czerniawski, A. Rapacka, "Pomiędzy prawem a finansami", Wolters Kluwer Polska, 2007.
3 Ira M. Millstein, Weil, Gotshal & Manges, za: M. Masny.
4 Badania przeprowadzone przez McKinsey & Company w 2002 r., powtarzane również w następnych latach.
5 Definicja wg The Committee of Sponsoring Organizations of the Treadway Commission.
malwina897