ROLA AUDYTU I KONTROLI WEWNĘTRZNEJ W OGRANICZANIU RYZYKA PRZEDIĘBIORSTWA

Transkrypt

1 Jerzy P. Gwizdała ROLA AUDYTU I KONTROLI WEWNĘTRZNEJ W OGRANICZANIU RYZYKA PRZEDIĘBIORSTWA Streszczenie Wprowadzenie audytu w firmie jest bardzo potrzebne. Wspiera on jednostkę w osiąganiu zamierzonych celów poprzez systematyczne i zdyscyplinowane podejście do oceny procesów zarządzania ryzykiem, kontroli wewnętrznej czy ładu korporacyjnego (corporate governance). Audyt odpowiada za ocenę adekwatności, efektywności i skuteczności systemów kontroli wewnętrznej. Audytor w jednostce stoi na pozycji niezależnego obserwatora. Na podstawie własnych analiz informuje zarząd, radę nadzorczą, kierownictwo, a także audytorów zewnętrznych o potencjalnym zagrożeniu i problemach występujących w danym przedsiębiorstwie. Wstęp W ostatnim okresie na rynku finansowym obserwujemy rozkwit gospodarczy w Polsce, a co za tym idzie, wzrasta również konkurencja. W takiej sytuacji ważne jest, aby podejmować jak najbardziej trafne decyzje i wychodzić naprzeciw oczekiwaniom klientów. W sytuacji, gdy na rynku, w wyniku błędów, kilka przedsiębiorstw poniosło straty, co mogłoby doprowadzić do bankructwa, ważna jest odpowiednia kontrola ich działalności. W wyniku braku wczesnego audytu w procesach zarządzania nie można podjąć kluczowych decyzji w odpowiednim czasie. Audyt stał się obligatoryjnym procesem w zarządzaniu przedsiębiorstwem. Ostatnio audyt wewnętrzny w Polsce bardzo się zmienił. Duży wpływ na to miały głośne upadki firm na całym świecie, oraz skandale i afery finansowe, które dotknęły firmy audytorskie. Zmusiło to przedsiębiorców do wprowadzenia nowych regulacji prawnych w celu zapewnienia wiarygodności i przejrzystości działań gospodarczych. W związku z tym wdrożenie nowoczesnego audytu stało się koniecznością. Audyt wewnętrzny wprowadzono po to, aby mógł wspierać kadrę kierowniczą w całokształcie działalności przez ocenę strategii zarządzania ryzykiem.

2 2 Dopuszczone style 1. Zadania audytu w ocenie ryzyka w przedsiębiorstwie Pojęcie ryzyka można rozumieć jako prawdopodobieństwo wystąpienia określonych zdarzeń, które mogą spowodować negatywne odchylenie od wyznaczonych celów. Czasami jednak występuje inny rozwój zdarzeń niż wyznaczony, a jednak nieoczekiwanie przynosi pozytywne skutki. 1 Ryzyko przez nas postrzegane jest często negatywne, gdyż kojarzy się ze stratami czy innymi niepowodzeniami. Lecz bez ryzyka nie ma mowy o osiągnięciu jakichkolwiek zysków. Analiza ryzyka jest to proces ciągły często decydujący o sukcesie jednostki. Dlatego też przedsiębiorstwa często podejmują ryzyko i z tego tytułu osiągają wysokie zyski. Pewien poziom ryzyka jest warunkiem koniecznym w działalności, gdyż często pobudza do nowych pomysłów. Audyt wewnętrzny ocenia ryzyko w kontekście wyboru tych zadań, w których jest największe prawdopodobieństwo ryzyka. W pracy audytora pomiar ryzyka jest oceniany na każdym etapie jego działania. Właśnie ograniczenie ryzyka uważane jest za priorytetowy cel przeprowadzania audytu wewnętrznego. Proces ten opiera się na trzech etapach: identyfikowaniu ryzyka, dogłębnej analizie ryzyka i wyselekcjonowanie najważniejszych jego obszarów oraz ustalenie kolejności badań, kontroli podjętych działań. Pierwszą czynnością w analizie ryzyka jest jego identyfikacja, a więc określenie, co w danym momencie zagraża firmie i jaki jest tego rozmiar. Należy przeanalizować transakcje, określić rodzaj zachodzącego ryzyka i je sklasyfikować. Przydzielenie ryzyka do odpowiedniej grupy jest potrzebne po to, by móc wybrać odpowiednią metodę jego pomiaru. Kolejnym elementem jest kwantyfikacja czyli pomiar ryzyka wg ustalonych wcześniej metod. W zależności z jakim ryzykiem mamy do czynienia, wybieramy odpowiednią metodę do jego pomiaru, zaczynając od najprostszych opisowych, a kończąc na skomplikowanych opartych na różnych wzorach i tabelach. I tak np., by ocenić ryzyko kredytowe możemy zastosować analizę wykluczającą, czy metodę punktową, a ryzyko stopy procentowej oceniamy za pomocą metody luki lub duracji oraz analizy elastyczności. Trudniej jest ocenić ryzyka związane z instrumentami pochodnymi, które nabierają coraz większego znaczenia w działalności przedsiębiorstw. Do ich pomiaru służą modele ekonometryczne np. miary zmienności, miary wrażliwości, litery greckie. Kolejnym etapem jest sterowanie ryzykiem, a więc podjęcie działań by ograniczyć ryzyko do minimum i nie przekroczyć odpowiednich pułapów. 1 Saunders E.J., Audyt i kontrola wewnętrzna w przedsiębiorstwach. Wydawnictwo Edukator, Częstochowa 2003, s

3 Ostatnią częścią procesu badania ryzyka jest kontrola, która bada, czy podjęto właściwe działania by to ryzyko ograniczyć. Przede wszystkim należy sprawdzić wszystkie metody analizy. Departament Audytu Wewnętrznego w firmie powołuje się po to, by mógł dokonać prawidłowej oceny każdego podjętego ryzyka. 2 Audytor może badać ryzyko ze względu na przedmiot lub podmiot rewizji. Analiza podmiotowa polega na logicznym doborze kilku komórek spośród całej organizacji. Przeprowadza się ją głównie w jednostkach wielozakładowych. W analizie przedmiotowej wybiera się kilka operacji gospodarczych dzięki którym możliwe jest uzyskanie obrazu całej sytuacji poprzez minimalny nakład pracy. Czasami w czasie badania różnych nieprawidłowości można czegoś nie zauważyć lub przekroczyć jakieś istotne operacje gospodarcze i te momenty nazywamy obszarami ryzyka. Czynniki wpływające na wzrost ryzyka podzielić można na: wewnętrzne, do których zaliczamy między innymi odpowiedni dobór kadry i kierownictwa, zakres ich wiedzy, jakość sprzętu, charakter działalności, efektywność nadzoru, zewnętrzne to konkurencja, rozwój nowoczesnych technologii, nieprzewidziane katastrofy, zmiany w gospodarce czy zmiany potrzeb klientów. Podstawowym rodzajem ryzyka, którym zajmuje się audyt wewnętrzny jest ryzyko operacyjne. Jest ono bezpośrednio związane z istotnymi błędami ludzi, sprzętu, zawodnością programów informatycznych, działań kontrolnych, pomyłkami, awariami systemowymi, a także błędami w procesach. Rolą audytu w ryzyku operacyjnym nie jest ocena właściwej decyzji, lecz to czy osoba podejmująca tą decyzję, posiadała wszelkie niezbędne informacje i wiedzę na dany temat. 3 Aby audyt wewnętrzny był właściwie przeprowadzony, należy najpierw ustalić, jakie rodzaje ryzyka występują w danej organizacji. W tym celu trzeba wyselekcjonować wszystkie procesy występujące i przypisać do nich ryzyko. Audytor na podstawie analizy otrzymanych informacji, sam musi zidentyfikować obszary ryzyka i podjąć decyzje o kolejności przeprowadzonego badania. Główną uwagę powinien zwrócić na: 4 wpływ podejmowanych decyzji na opinię publiczną, wyznaczony cel i zadania, zbiór przepisów i ustaw, wg których działa jednostka, ilość, rodzaj i rozmiar operacji finansowych, stan majątkowy jednostki. 3 2 Bankowość. Podręcznik akademicki, (red.) W.L. Jaworski, Z. Zawadzka, POLTEX, Warszawa 2007, s Janc A., Kałużny R., Audyt wewnętrzny i audyt zewnętrzny w banku. Wydawnictwo Akademii Ekonomicznej w Poznaniu, Poznań 2008, s Winiarska K., Audyt wewnętrzny w 2007 r. Standardy międzynarodowe regulacje krajowe, Difin, Warszawa 2007, s. 153.

4 4 Dopuszczone style Audytor może skorzystać z wielu metod oceny ryzyka, a ich wybór zależy od niego samego. Czasami może wykorzystać poprzednie analizy lub mapy ryzyka oraz kwestionariusze jego oceny. Wstępnym warunkiem oszacowania ryzyka jest ustalenie celów: operacyjnych, sprawozdawczości finansowej, publikacji sprawozdań, zgodności z przepisami, przestrzegania norm prawnych i obowiązujących przepisów. Opracowano wiele metod mierzenia ryzyka dla celów audytu. Kwantyfikacja ryzyka wpływa na priorytetyzację i koncentrację badań na elementach o największym ryzyku. Dlatego pomiar ryzyka składa się z elementów obiektywnych i subiektywnych uwzględniając m.in.: 5 złożoność (np. podział na produkty proste i skomplikowane), wartość pieniężną: (np. wartość gotówki w kasie, portfel należności i zobowiązań), dynamika rozwoju (np. wdrożenie unowocześnień, zmiana przepisów), system kontroli (gdy jakość i procedury lepsze to ryzyko mniejsze), płynność aktywów, czas (np. odstęp między jednym audytem a drugim). Na obszarach o większym ryzyku i sprawach bardziej istotnych dla firmy, audyt należy przeprowadzać częściej i dokonywać pomiaru uzyskiwanych wyników. Zasada ta musi być przetestowana i dokładnie opisana w metodach przeprowadzania audytu. Aby prawidłowo ocenić ryzyko, konieczny jest dostęp do uczciwych i wyczerpujących informacji badanego procesu. Audytor wewnętrzny musi posiadać wiedzę na temat praktycznych metod analizy ryzyka, czyli zagrożeń bezpośrednich powodujących brak osiągnięcia celu oraz szans dających możliwość jego osiągnięcia. Ryzyko audytu dzielimy na: ryzyko kontroli - możliwość przeoczenia istotnych błędów, ryzyko nieodłączne - nie można wykryć istotnych błędów z powodu braku systemu kontroli, ryzyko przeoczenia - występuje w przypadku niewykrycia błędów z powodu złej techniki audytu lub interpretacji danych, ryzyko przeoczenia można zmniejszyć przez odpowiedni nadzór, ryzyko całkowite - inaczej badania, to iloczyn wszystkich ryzyk związanych z przeprowadzoną kontrolą. Do ustalenia poziomu ryzyka w audycie wewnętrznym stosuje się następujące metody: 6 5 Janc A., Kałużny R., Audyt wewnętrzny i audyt zewnętrzny w banku, Wydawnictwo Akademii Ekonomicznej w Poznaniu, Poznań 2008, s Winiarska K., Wewnętrzna kontrola finansowo-księgowa w firmie, ODDK, Gdańsk 2006 s. 154.

5 metodę szacunkową, metodę matematyczną, metodę mieszaną. Metoda szacunkowa zwana inaczej delficką, 1ub metodą grupy eksperckiej polega na tworzeniu list rankingowych z zadaniami o największym stopniu ryzyka przypisując im określoną liczbę punktów przez wszystkich audytorów zajmujących się daną sprawą. Nie wymaga dużych obliczeń, ale jest niezbyt precyzyjna. Często stosuje się ją w prognozach długoterminowych. Metoda matematyczna polega na zastosowaniu arkusza kalkulacyjnego wzorów matematycznych do zidentyfikowania zadań. Jej zaletą jest możliwość wielokrotnego wprowadzania danych do arkusza, możliwość pomiaru trendów, porównywania i wielokrotnego stosowania. Wadą tej metody jest obowiązek ciągłego aktualizowania modelu i subiektywizm w ocenie danych. Na podstawie powyższych metod Biuro Audytu Wewnętrznego i Ministerstwo Finansów opracowało metodę mieszaną, która obejmuje etap planowania, programowania i prowadzenia zadania. Do pomiaru ryzyka audytorzy stosują również kwestionariusz oceny ryzyka. Audytor przekazuje go pracownikom jednostki do wypełnienia, czasami nawet anonimowo, by w ten sposób zdobyć opinię na różne tematy np. przestrzegania procedur, relacji między pracownikami i kierownictwem, zachowania i kultury. Według nowoczesnych standardów w przedsiębiorstwach powinny być opracowane przez szefa audytu wewnętrznego roczne plany audytów. Podstawą ich wykonania jest analiza ryzyka. Plan audytów powinien być odzwierciedleniem głównych rodzajów ryzyka, które wpływają na zrealizowanie wytyczonych przez organizację celów. W planowaniu audytu na następny rok bierze się pod uwagę: wycenę i identyfikację ryzyka dla najważniejszych procesów w firmie, otrzymania od kierownictwa informacji o zapotrzebowaniu na audyty, scharakteryzowanie proponowanych do audytu tematów, przekazanie planów kierownictwu do zatwierdzenia. Plan audytów powinien zawierać tematy audytowanych procesów, terminy oraz czas potrzebny do jego przeprowadzenia. Jeśli kierownictwo uzna, że jakiś audyt powinien być wykonany, a audytorzy nie są kompetentni do jego przeprowadzenia, należy podjąć odpowiednie działania umożliwiające pozyskanie wymaganych umiejętności, lub zaprosić audytora zewnętrznego, by zmniejszyć ryzyko jego niewykonania. 5

6 6 Dopuszczone style 2. Audyt i kontrola wewnętrzna w zarządzaniu ryzykiem Analiza ryzyka jest zadaniem bardzo odpowiedzialnym. Wymaga od audytora dobrej znajomości jednostki i jej zasad działania. Wiele zależy od subiektywnej oceny audytora, właściwej oceny ryzyka, prawdopodobieństwa jego wystąpienia czy zagrożeń z nim związanych. Nie można wykonać pełnego audytu w jednostce, dlatego od profesjonalizmu audytora zależy zakres jego obszaru oraz metoda wykonania. W związku z tym analiza ryzyka jest kluczowym elementem audytu stawianym kierownictwu jednostki, do jego przeprowadzenia należy wybrać audytora posiadającego odpowiednie doświadczenie, intuicję do pozyskiwania kluczowych informacji o firmie, kwalifikacje oraz znającego dobrze działalność jednostki. Dlatego też standardy audytu dotyczące ryzyka duży nacisk kładą na doświadczenie i staż audytora by zagwarantować powodzenie audytu. Obecnie kontrola wewnętrzna przestaje być wystarczająca. Nawet najlepiej przeprowadzona kontrola nie jest w stanie zagwarantować prawidłowego funkcjonowania jednostki. Pomimo tego, ze dzięki jej działalności wykrywane są nieprawidłowości oraz wprowadzane zmiany w postaci różnego rodzaju nowelizacji, to każda forma działalności kontrolnej powinna wspierać audytem wewnętrznym. Podczas kontroli przeprowadzane są czynności, które mają na celu porównanie faktów z tym co było 1ub jest wymagane w przepichsach czy procedurach. Stan wymagany opiera się na obowiązujących normach a także na danych szacowanych z poprzednich okresów. W czynnościach tych można wyodrębnić sześć podstawowych etapów: 7 1. Określenie stanu wymaganego jako podstawy do przeprowadzenia porównania. 2. Ustalenie faktu zaistniałego w jednostce oraz porównanie go z wzorcem, 3. Ocena stanu faktycznego z określeniem jako prawidłowy bądź nieprawidłowy. 4. Ocena negatywnych skutków w przypadku odstępstw od wzorów. 5. Ustalenie przyczyn powstałych niezgodności, 6. Ustalenie odpowiedzialnych pracowników za powstałe różnice oraz przyjęcie oświadczeń wyjaśniających przyczynę powstania nieprawidłowości. Kontrola wewnętrzna powinna stanowić wszechstronnie powiązany system obejmujący wszystkich pracowników przedsiębiorstwa sprawujących z uwagi na zajmowane stanowiska funkcje nadzoru, pracowników mających obowiązek kontrolowania określonych zagadnień, jak również te osoby, których obowiązki w zakresie kontroli, wynikają z odpowiednich przepisów lub doraźnych poleceń zwierzchników. 8 M. Klimas zwraca szczególną uwagę na fakt, iż kontrola wewnętrzna w przedsiębiorstwie ma bardzo duże znaczenie. Jej rola wzrasta 7 Ibidem, s Klimas M., Kontrola wewnętrzna w przedsiębiorstwie, PWE, Warszawa 1985, s.9.

7 wraz ze wzrostem odpowiedzialności kierownictwa za osiągnięcie wyznaczonych celów. Dlatego też faktem jest, iż podstawą są prawidłowy obieg informacji oraz metody jej wykorzystania i interpretowania. Podstawowymi mechanizmami kontroli wewnętrznej są: - zapewnienie rzetelnego prowadzenia działalności, - przestrzeganie (weryfikacja zgodności) polityki wewnętrznej, - zabezpieczenie majątku, - efektywne wykrywanie niezgodności i oszustw, - prowadzenie dokładnej księgowości, - terminowe przygotowywanie informacji finansowych. Każda kontrola wewnętrzna powinna być zarządzona przez kierownictwo, zarząd, radę nadzorczą bądź pracowników danej jednostki, aby można było uzyskać rzetelne informacje dotyczące efektywności podejmowanych działań, przestrzegania przepisów prawa oraz ocenie wiarygodności sporządzanych sprawozdań. Charakteryzując kontrolę wewnętrzną należy również omówić jej podstawowe cechy, które są następujące: 9 kontrola jest pozwiązana z funkcjami zarządzania jakie stosowane są w danej jednostce, kontrola wewnętrzna wykonywana jest przez członków zarządu, stosowanie kontroli, która ma na celu porównanie wytyczonych zadań z ich wykonaniem pod względem zgodności z zarządzeniami oraz prawem, skupianie się na prawidłowości, zgodności oraz legalności wszelakich operacji wykonywanych w danej jednostce, kontrola wewnętrzna przeprowadzana jest w trzech etapach tj. kolejno: kontrola wstępna bieżąca oraz następna. Kontrola wstępna jest stosowana przed dokonaniem operacji, bieżąca - w trakcie ich trwania, a następna po ich wykonaniu, cel kontroli, czyli podniesienie efektywności przeprowadzanych działań pod względem ekonomicznym, zabezpieczania własności społecznych i prywatnych, wskazanie roli kontroli pod względem praktycznego przestrzegania prawa, instrukcji oraz zarządzeń. Według definicji,,małej encyklopedii rachunkowości kontrola wewnętrzna w zakresie rachunkowości obejmuje całą dokumentację księgową oraz programy do sporządzania kalkulacji. Kontrola ma za zadanie zapewnienie kierownictwa, że prowadzona rachunkowość w danej jednostce jest rzetelna, terminowa oraz sprawnie i prawidłowo wykonywana Ibidem, s Mała encyklopedia rachunkowości, (red.) S. Skrzywan, PWE, Warszawa 1971, s. 384.

8 8 Dopuszczone style Kontrola wewnętrzna może być traktowana jako inspekcja, gdyż jej głównym celem jest sprawdzanie zarwano funkcjonalności oraz norm jakościowych produktów jak i funkcjonowania jednostek pod każdym względem. Funkcja kontroli wewnętrznej ma na celu ochronę firmy przed skargami klientów, a także potencjalnymi stratami związanymi z wycofaniem produktów 1ub nawet ewentualnymi kosztami procesów sądowych. Pion kontroli wewnętrznej w firmie powinien być podporządkowany Prezesowi Zarządu lub w niektórych przypadkach Radzie Nadzorczej. Zarząd ma obowiązek zatwierdzenia rocznego planu kontroli oraz okresowego kontrolowania sprawozdań z jej wykonania. Zdarza się, że Rada Nadzorcza zleca wykonanie kontroli w pewnej części działań przedsiębiorstwu np. obsługi klienta w zakresie kontroli wstępnej. Podczas tworzenia kontroli wewnętrznej trzeba wziąć pod uwagę formę i sposób kontroli, gdzie możemy wyodrębnić: kontrolę wstępną - badanie operacji i zamierzeń przed ich realizacją, kontrolę bieżącą - sprawdzanie wszystkich operacji i działań w trakcie ich wykonywania, kontrolę następną - sprawdzanie dokumentów z okresów minionych, kontrolę kompleksową - badanie pewnego zagadnienia z całej działalności firmy począwszy od filii - agencji - oddziału aż po jego centralę, kontrolę pełną - szczegółowe sprawdzanie jednostki z całokształtu działalności za okres 2-3 1at, kontrolę problemową - badanie jakiejś części działalności, kontrolę doraźną - badanie wyjaśniające w nagłych wypadkach np. podejrzenie pracownika o nadużycia, kontrolę informatyczną - sprawdzanie działania systemu informatycznego poziomu zabezpieczeń komputerowych. Departament kontroli ma na celu skontrolowanie jakości i ilości pracy w jednostkach organizacyjnych firmy. W imieniu kierownictwa na potrzeby przeprowadzania kontroli pion kontroli instytucjonalnej opracowuje zestaw wytycznych, aby mogli się nimi posługiwać kontrolerzy. Wytyczne te najczęściej są danymi poufnymi lub do użytku wewnętrznego i powinny być zbadane przez kontrolerów obligatoryjnie w zakresie danego tematu. Kontrolerzy posługują się nimi w czasie pracy, aby jak najdokładniej i jak najuczciwiej wykonywać powierzone zadania. W swej codziennej pracy mogą też korzystać z różnych instrukcji i testów. Na zakończenie kontroli należy sporządzić protokół w którym powinny być zawarte wszelkie wykryte wady i niedociągnięcia oraz ocena badanego odcinka wraz z łączną oceną z kontroli. Na podstawie tego protokołu departament kontroli powinien opracować wnioski i zalecenia pokontrolne i przedstawić je kierownikowi jednostki kontrolowanej. Kierownik natomiast zobowiązany jest usunąć nieprawidłowości i poinformować pisemnie o podjętych działaniach.

9 Kontrolę wewnętrzną wykonuje się według następujących etapów: 11 stwierdzenia stanu faktycznego, porównania stanu faktycznego z normami, ustalenie przyczyn, ustalenie osoby odpowiedzialnej, sformułowanie wniosków. Wraz ze zmianami gospodarczymi i upływającym czasem zmienia się system kontroli wewnętrznej. W okresie kryzysu gospodarczego w większości firm działających w gospodarce rynkowej wprowadzono kontrolę zarządczą, której częścią jest kontrola wewnętrza przedsiębiorstwa. Narzędziem wspierającym ten proces stał się audyt wewnętrzny. Zgodnie ze standardami audyt wewnętrzny pełni funkcję niezależną i doradczą, zapewniającą polepszenie działalności firmy. Poprzez doskonalenie procesów zarządzania ryzykiem, kontroli oraz ładu korporacyjnego przyczynia się do osiągania zamierzonych celów organizacji. W ogólnym znaczeniu audyt wewnętrzny wspomaga system kontroli wewnętrznej poprzez niezależną opinię na temat procesu kontroli czyli jej funkcjonowanie, efektywność oraz adekwatność. Audyt wewnętrzny jest czymś innym niż kontrola wewnętrzna, chociaż oba te badania mają wiele cech wspólnych. Audyt ma na celu monitorowanie systemu kontroli zarządczej pod względem jej legalności, celowości czy jawności, ma wspomagać kierownictwo w zarządzaniu i podejmowaniu decyzji. Ma pełnić funkcję doradczą poprzez zasadę wartości dodanej, aby polepszyć działanie instytucji. Audyt w jednostce działa po to by wyeliminować konieczność wykonywania kontroli, jest działaniem prewencyjnym aby w porę wykryć i określić ryzyko. Pomiędzy audytem wewnętrznym a kontrolą wewnętrzną istnieją różnice w następujących elementach: metodach i formie działania, zakresie niezależności, pełnionych zadaniach, usytuowaniu organizacyjnym, stosowanych kryteriach oceny, efektem pracy. Aby organizacja działała prawidłowo, nieodzowna jest kontrola wewnętrzna. Za jej właściwe funkcjonowanie odpowiada kierownictwo. Audyt natomiast jest kolejnym etapem w działalności jednostki - wkracza w momencie weryfikacyjnym, a więc sprawdza istotę i skuteczność podejmowanych rozwiązań. W dłuższym okresie audyt ma na celu usprawnić kontrolę i ocenić jej formy działania, a1e sam w sobie nie jest kontrolą. Kontrola wewnętrzna działa według wcześniej ustalonych zasad i ma na celu porównanie stanu faktycznego z założonymi normami i planami. Ma sprawdzić czy nie ma rozbieżności w dokumentach i 9 11 Górecki E., Kontrola wewnętrzna w przedsiębiorstwie rynkowym, Interfort, Łódź 1999, s. 91.

10 10 Dopuszczone style stwierdzić ewentualne nieprawidłowości. Do kontrolerów należy przegląd całej dokumentacji oraz wizytacja poszczególnych działów i ocena pracy zatrudnionych tam pracowników. Na tej podstawie sporządzany jest protokół pokontrolny uwzględniający ocenę danej jednostki. Audyt wewnętrzny w organizacji pełni inną rolę, ma pomóc w ustaleniu obiektywnego obrazu działania jednostki. Jest gwarantem, iż w sposób niezależny ujawnia zagrożenia a nie tylko wykrywa małe nieprawidłowości i odchylenia od standardów. Dzięki temu, że przeprowadzane audyty są niezależne i obiektywne, to mają duży wpływ na zarządzanie daną jednostką. 12 Główna różnica pomiędzy audytem wewnętrznym a kontrolą to taka, iż audyt w jednostce stosowany jest zapobiegawczo, natomiast kontrola przeprowadzana jest w sytuacjach kryzysowych, w danym czasie powstałe nieprawidłowości są wyjaśniane i doprowadza się je najczęściej do rozwiązania. Uogólniając różnice, można powiedzieć, że audyt w danej instytucji przeprowadzany jest w celu eliminacji błędów, aby nie było potrzeby przeprowadzania kontroli w przedsiębiorstwie. Dodatkowo audyt ocenia możliwości kontroli, czy w razie potrzeby będzie w stanie ona umiejętnie wyjaśnić powstałą niezgodność. 13 Przeprowadzane audyty często utożsamiane są z tzw. kontrolą kontroli. Audyt wewnętrzny i kontrola wewnętrzna mają dużo cech wspólnych, lecz posiadają również wiele różnic, które przedstawia tabela 1. Tabela 1. Cechy odróżniające audyt wewnętrzny od kontroli wewnętrznej Cechy Audyt wewnętrzny Kontrola wewnętrzna Charakter i rola prewencyjny, wykazuje słabe strony jednostki, kształtuje przyszłe działania, określa ryzyko, zajmuje się analizą informacji, wspiera kierownictwo, usprawnia funkcjonowanie jednostki, ma atrybut niezależności (podlega tylko kierownikowi) doraźny, porównuje stan faktyczny z założonym, identyfikuje cele i środki, ustala zgodności bądź odchylenia od norm, bada konkretne wyniki i procesy, zabezpiecza jednostkę przed poniesieniem strat, jest to wyodrębniona komórka w jednostce Formy działania rozmowy z pracownikami, to wizytacja, rewizja, in- 12 Polak K.: Audytorzy wewnętrzni nadal nie mają jednej formuły działania. Gazeta Prawna 2003, nr 113, s Winiarska K.: Teoretyczne i praktyczne aspekty audytu wewnętrznego. Difin, Warszawa 2005, s

11 11 Kryteria oceny i efekty pracy zagłębianie się w procedury, badania sposobów działania, funkcjonowanie kontroli, analizuje poszczególne systemy i procesy sprawozdanie, ocena poszczególnych obszarów, wnioski, rekomendacje spekcja, jej wyznacznikiem jest stan faktyczny protokół, wystąpienie pokontrolne, ocena działalności, uwagi i wnioski stwierdzające nieprawidłowość Źródło: opracowanie własne W odmienny sposób najważniejsze różnice pomiędzy audytem wewnętrznym a kontrolą wewnętrzną prezentuje J. Antczak w swoich opracowaniach. Cztery podstawowe różnice przedstawione są w tabeli 2. Tabela 2 Różnice między kontrolą wewnętrzną a audytem wewnętrznym Lp. Kontrola wewnętrzna Audyt wewnętrzny 1. Zespół mechanizmów kontrolnych na wszystkich szczeblach organizacyjnych firmy, działania wbudowane w jej strukturę 2. Zbiór reguł, procedur, metod i sposobów wykonywania określonych czynności, podstawy kierownictwa 3. Bieżące, regularne kontrolowanie wszystkich czynności i procesów 4. Firma nie może istnieć bez kontroli wewnętrznej Wydzielona komórka organizacyjna, profesjonalnie zajmująca się audytem Weryfikowanie i monitorowanie działania systemu kontroli wewnętrznej oraz procesów zarządzania Wspieranie zarządzania firmą, dzięki systematycznej i metodycznej ocenie skuteczności całego systemu kontroli wewnętrznej Firma może istnieć bez audytu wewnętrznego Źródło: Czubakowska K., Od auditingu do sponsoringu w rachunkowości, Polskie Wydawnictwo Ekonomiczne, Warszawa 2007, s.32 Podstawową różnicą, pomimo wielu cech wspólnych jest fakt, ze audyt wewnętrzny weryfikuje to co jest obecnie z tym co można by zmienić w przyszłości, zajmuje się wspieraniem oraz doradzaniem kierownictwu firmy, udziela informacji, które pomagają w radzeniu sobie w trudnych sytuacjach. Natomiast

12 12 Dopuszczone style kontrola wewnętrzna bada przeszłość, weryfikuje błędy jakie wystąpiły, analizuje sposób ich powstania oraz wnioskuje o ukaranie osób odpowiedzialnych za niezgodności. KONTROLA WEWNETRZNA AUDYT WEWNĘTRZNY prewencja detekcja korekcja Oznaczenia: Prewencja monitorowanie operacji, przewidywanie ewentualnych problemów Detekcja wykrywanie błędów, przeoczeń i niewłaściwych działań Korekcja minimalizowanie wpływu zagrożeń, usuwanie problemów ujawnionych podczas detekcji, identyfikowanie przyczyn błędów. Rysunek 1. Kontrola wewnętrzna a audyt wewnętrzny Źródło: Winiarska K., Teoretyczne i praktyczne aspekty audytu wewnętrznego, Difin, Warszawa 2005, s.87 Podsumowując można uznać, iż w każdej instytucji finansowej konieczne jest systematyczne przeprowadzanie zarówno kontroli, jak i audytu w celu sprawnego jej funkcjonowania i umiejętnego zarządzania ryzykiem przez kierownictwo 3. Proces zintegrowanego zarządzania ryzykiem Pojawiające się nowe rodzaje ryzyka, a także narastający wzrost zagrożenia na międzynarodowych rynkach doprowadziły firmy do konieczności zarządzania ryzykiem w sposób dojrzały i skuteczny. Wpłynęły również na nieustanne udoskonalanie metod pomiaru oraz sterowania ryzykiem. W przedsiębiorstwach obserwujemy nieustanną modyfikację norm prawnych, które ograniczają podejmowane ryzyka. Do przestrzegania ich zobowiązane są zarządy firm oraz rady nadzorcze. Pierwotnie normy prawne uwzględniały głównie ryzyko operacyjne połączone z danym rodzajem działalności gospodarczej. Istnieje sporo obszarów w funkcjonowaniu przedsiębiorstwa, w których prawidłowe zarządzanie ryzykiem związane jest z pewnymi korzyściami. Należą do nich: asekuracja przed utratą wartości firmy, zapewnienie (gwarancja) wypłacalności oraz płynności.

13 Zarządzanie ryzykiem stanowi łączną część procesu planowania oraz kierowania i raportowania. W przypadku, gdy w firmie pojawi się spore pogorszenie sytuacji finansowej do której dochodzi bardzo często w warunkach niewłaściwego zarządzania ryzykiem, wówczas przedsiębiorstwo ponosi następujące koszty związane z : obniżeniem ceny akcji oraz wartości przedsiębiorstwa, co może wpłynąć na zdolność pozyskiwania nowych źródeł finansowania; pomniejszeniem udziału w rynku; zmniejszeniem ceny produktów i usług dla klientów portfelowych, aby ich zatrzymać w portfelu klientów; rezygnacją klientów z długoterminowych umów i przejście do innych dostawców. Zakres zarządzania oraz raportowania ryzykiem w firmie na wszystkich poziomach kierowniczych musi być określony w wartości progowej. Ustala ona, od jakiej wartości dane ryzyko dla konkretnych działów staje się ważne bądź niebezpieczne. Proces zintegrowanego systemu zarządzania ryzykiem ma charakter planowy i celowy. Proces ten można podzielić na sześć kluczowych i zasadniczych faz. Należą do nich : identyfikacja ryzyka (w tym system wczesnego ostrzegania), analiza ryzyka, sformułowanie wariantów, ocena ryzyka, decyzje i działania w obszarze ryzyka (sterowanie ryzykiem) oraz kontrola, monitoring i ocena podjętych działań. Zarządzanie ryzykiem na globalnym rynku usług i produkcji jest oparte na konsolidacji wszystkich działań firmy. Zintegrowane zarządzanie ryzykiem polega na identyfikowaniu wszystkich rodzajów ryzyka w funkcjonowaniu przedsiębiorstwa oraz ich ocenie. Zintegrowane zarządzanie ryzykiem to nie tylko konsolidacja procesu zarządzania poszczególnymi rodzajami ryzyka w każdej jednostce firmy, lecz także jej połączenie z systemem zarządzania. Na jego syntetyczny model składają się trzy czynniki, jakimi są: zasady (polityka) oraz metody i infrastruktura. Zintegrowane zarządzanie ryzykiem jest rozległym, złożonym i zwartym procesem zarządzania ryzykiem rynkowym, ryzykiem kredytowym, ryzykiem operacyjnym oraz ryzykiem kapitału ekonomicznego, a także przeniesieniem ryzyka, aby osiągnąć zwiększenie wartości przedsiębiorstwa. Zintegrowane zarządzanie ryzykiem w przedsiębiorstwem powinno charakteryzować się: zintegrowaną strukturą organizacyjną pod kątem centralizacji funkcji raportowania, zintegrowanym podejściem do strategii w ramach transferu ryzyka, wyróżnieniem w zarządzie firmy osoby do spraw zarządzania ryzykiem, fuzją zarządzania ryzykiem z procesem biznesowym. 13

14 14 Dopuszczone style Efektywny i sprawny proces zintegrowanego zarządzania ryzykiem w firmie powinien zawierać następujące elementy: 14 zarządzanie operacyjne - zagwarantowanie zgodności ze strategią biznesową, nadzór korporacyjny - stworzenie struktury zarządzania ryzykiem; zarządzanie portfelem, analizę ryzyka - ewolucja zaawansowanych analitycznych narzędzi, transfer ryzyka - przeniesienie na zewnątrz zbyt dużego bądź zbyt kosztownego ryzyka, zarządzanie relacjami (stosunkami) z interesariuszami - udoskonalenie przejrzystości w sferze informacji o profilu ryzyka, zbiory danych oraz technologie - zespolenie danych z możliwościami użycia systemów informatycznych. Zintegrowane zarządzanie ryzykiem związane jest również z pewnymi korzyściami. Należą do nich: podwyższona skuteczność operacyjna; uniknięcie dużych, a także małych strat finansowych; niższa zmienność dochodów; większe zaufanie uczestników rynku dzięki udoskonalonym procesom corporate governance; najlepsza alokacja (przeznaczenie) kapitału; większa zdolność uzyskania określonych z góry celów; podwyższona rentowność. Właściwe zarządzanie ryzykiem przedsiębiorstwa to prawidłowe i należyte zarządzenie nim. Ryzyko przedsiębiorstwa ma specyficzny i nietypowy charakter, bowiem ściśle powiązane jest z pełną i całkowitą działalnością każdego podmiotu w gospodarce. System zintegrowanego zarządzania ryzykiem daje możliwość normalizacji procesów, normalizacji pojęć a także normalizacji miar i narzędzi. Kształtować może również sprawny i skuteczny system komunikowania oraz funkcjonowania firmy. Tego typu normalizacja w układzie różnych firm może doprowadzić do sprawniejszego przepływu kapitału, a także zwiększeniu skuteczności oraz transparentności (przejrzystości) rynków kapitałowych i finansowych. Zintegrowane zarządzanie ryzykiem należy do kluczowych i najistotniejszych elementów strategii wszystkich podmiotów gospodarczych. Przedsiębiorstwa wykorzystują proces zintegrowanego zarządzania ryzykiem w celu zabezpieczenia się przed niekorzystnymi czynnikami, zjawiskami, wynikającymi zarówno z mikrootoczenia, jak i makrootoczenia biznesowego. 14 Crouhy M., Galai D., Mark R., Risk Management, McGraw-Hill, New York 2001, s

15 Należy więc pamiętać, iż ryzyko jest nieodłącznym ogniwem działalności każdego przedsiębiorstwa i dlatego niezwykle ważne jest zarządzanie nim w sposób profesjonalny i efektywny. 15 Podsumowanie W ostatnich latach rola audytu bardzo wzrosła. Jest ona wartością dodaną w przedsiębiorstwie, wspiera kierownictwo w bieżącym zarządzaniu ( w tym ryzykiem). Aby audyt dobrze spełnił swoją rolę musi rzetelnie i jasno przedstawiać dane finansowe zgodnie z obowiązującymi przepisami oraz normami prawnymi. Wprowadzenie audytu w firmie jest bardzo potrzebne. Wspiera on jednostkę w osiąganiu zamierzonych celów poprzez systematyczne i zdyscyplinowane podejście do oceny procesów zarządzania ryzykiem, kontroli wewnętrznej czy ładu korporacyjnego (corporate governance). Audyt odpowiada za ocenę adekwatności, efektywności i skuteczności systemów kontroli wewnętrznej. Audytor w jednostce stoi na pozycji niezależnego obserwatora. Na podstawie własnych analiz informuje zarząd, radę nadzorczą, kierownictwo, a także audytorów zewnętrznych o potencjalnym zagrożeniu i problemach występujących w danym przedsiębiorstwie. Ogólnie mówiąc audyt jest zjawiskiem dość nowym, wzbudzającym uzasadnione zainteresowanie. Dopiero od kilku lat wzrasta jego rola w zakresie zarządzania ryzykiem. Znaczenie audytu i sama istota jego przeprowadzania wywołuje coraz więcej dyskusji. Nawet dla wielu pracowników jest jeszcze mało znany. Często myli się pojęcie audytu z kontrolą. Trzeba zaznaczyć, że zasady jego przeprowadzania nie są do końca sformalizowane. Jeszcze jest za mało publikacji na temat audytu. Trudno znaleźć źródła mówiące o konkretnym wpływie audytu na działalność firmy na przełomie ostatnich lat. Główny Urząd Statystyczny również nie prowadzi w tej kwestii statystyk. Uważa się, że w niedalekiej przyszłości audyt stanie się najlepszą formą wspomagającą zarządzanie ryzykiem. Literatura 1. Bankowość. Podręcznik akademicki, (red.) W.L. Jaworski, Z. Zawadzka, POLTEX, Warszawa Czubakowska K., Od auditingu do sponsoringu w rachunkowości, Polskie Wydawnictwo Ekonomiczne, Warszawa Górecki E., Kontrola wewnętrzna w przedsiębiorstwie rynkowym, Interfort, Łódź Janc A., Kałużny R., Audyt wewnętrzny i audyt zewnętrzny w banku, Wydawnictwo Akademii Ekonomicznej w Poznaniu, Poznań Klimas M., Kontrola wewnętrzna w przedsiębiorstwie, PWE, Warszawa Mała encyklopedia rachunkowości, (red.) S. Skrzywan, PWE, Warszawa 1971.

16 16 Dopuszczone style 7. Polak K., Audytorzy wewnętrzni nadal nie mają jednej formuły działania, Gazeta Prawna 2003, nr Saunders E.J., Audyt i kontrola wewnętrzna w przedsiębiorstwach, Wydawnictwo Edukator, Częstochowa Winiarska K., Audyt wewnętrzny w 2007 r. Standardy międzynarodowe regulacje krajowe, Difin, Warszawa Winiarska K., Teoretyczne i praktyczne aspekty audytu wewnętrznego, Difin, Warszawa Winiarska K., Wewnętrzna kontrola finansowo-księgowa w firmie, ODDK, Gdańsk THE ROLE OF AUDIT AND INTERNAL CONTORL IN ENTERPIRSE S RISK MITIGATION Summary The introduction of audit in the company is very necessary. It supports an entity in achieving its objectives by bringing a systematic, disciplined approach to the evaluation of risk management, internal control and corporate governance. Audit is responsible for assessing the adequacy, effectiveness and efficiency of internal control systems. An internal auditor is an independent observer. On the basis of analysis he informs the board of directors, board of management, as well as external auditors about the potential dangers and problems occurring in the enterprise.