KSIĘGA PROCEDUR AUDYTU WEWNĘTRZNEGO

Transkrypt

1 DAW 0940/1/1/2009 KSIĘGA PROCEDUR AUDYTU WEWNĘTRZNEGO Księga procedur audytu wewnętrznego w Samodzielnym Publicznym Szpitalu Klinicznym Nr 1 im. Prof. Stanisława Szyszko Śląskiego Uniwersytetu Medycznego w Katowicach stanowi podstawowe źródło informacji w zakresie zagadnień związanych z organizacją stanowiska audytu i jego prowadzeniem. Księga obejmuje zbiór procedur audytu wewnętrznego stosowanych w Szpitalu, które umożliwiają realizowanie zadań audytu w sposób standardowy, dzięki korzystaniu z jednolitych wzorów dokumentów i jednolitej formy sprawozdań. Księga procedur określa: zasady i metodykę audytu, służące zapewnieniu właściwej organizacji pracy komórki audytu oraz jednolitej praktyki prowadzenia i dokumentowania czynności audytowych podczas przeprowadzania zadania audytowego, wzory dokumentów roboczych, stosowane typy dokumentów oraz ich formę, co ujednolica sposób ich wykorzystania, obowiązki i terminy przekazywania przez audytora uprawnionym jednostkom planów, sprawozdań i innych informacji związanych z zakresem działania komórki audytu, zasady dokonywania zmian w procedurach audytu. Księga Procedur Audytu Wewnętrznego Szpitala składa się z następujących części: I. Procedury audytu wewnętrznego; II. Wzory dokumentów roboczych obowiązujących w audycie wewnętrznym; III. Kodeks etyki audytora wewnętrznego. Księga procedur audytu wewnętrznego stosowana przez Audytora wewnętrznego w Szpitalu jest dokumentem opracowanym na podstawie: - Ustawy z dnia 27sierpnia 2009 r. o finansach publicznych (Dz.U. z 2009 r. nr 157, poz. 1240), - Rozporządzenia Ministra Finansów z dnia 10 kwietnia 2008 r. w sprawie szczegółowego sposobu i trybu przeprowadzania audytu wewnętrznego (Dz.U. nr 66, poz. 406), - Rozporządzenia Ministra Finansów z dnia 04 kwietnia 2008 r. w sprawie trybu sporządzania oraz wzoru sprawozdania z wykonania planu audytu za rok poprzedni (Dz.U. nr 61, poz. 378), - Komunikatu nr 16/2006 z dnia 18 lipca 2006 r. w sprawie ogłoszenia "Kodeksu etyki audytora wewnętrznego w jednostkach sektora finansów publicznych" i "Karty audytu wewnętrznego w jednostkach sektora finansów publicznych" (Dz.Urz. Min. Fin. Nr 9, poz. 70), - Międzynarodowych Standardów Profesjonalnej Praktyki Audytu Wewnętrznego, opracowanych przez Instytut Audytorów Wewnętrznych - IIA (The Institute of Internal Auditors), - Podręcznika Audytu Wewnętrznego w Administracji Publicznej- opracowanego przez Ministerstwo Finansów, - Komunikatu nr 1 Ministra Finansów z dnia 19 lutego 2009 r. w sprawie standardów audytu wewnętrznego w jednostkach sektora finansów publicznych (Dz. Urz. Ministra Finansów z dnia 02 marca 2009 r. nr 2 poz. 12). 1

2 I. PROCEDURY AUDYTU WEWNĘTRZNEGO 1. Definicja, cele audytu wewnętrznego Audyt wewnętrzny jest działalnością niezależną, obiektywnie zapewniającą i doradczą, której celem jest przysporzenie wartości i usprawnienie działalności operacyjnej organizacji. Pomaga on jednostce w osiąganiu jej celów poprzez systematyczne i zdyscyplinowane podejście do oceny i doskonalenia skuteczności procesów governance, zarządzania ryzykiem i kontroli. Usługi zapewniające (poświadczające) obejmują obiektywną ocenę dowodów, dokonywaną przez audytora wewnętrznego w celu dostarczenia niezależnej opinii oraz wniosków w odniesieniu do procesu, systemu lub innego zagadnienia. Charakter zadania zapewniającego oraz jego zakres są ustalane przez Audytora wewnętrznego. Usługi doradcze, ze względu na ich charakter, wykonywane są w odpowiedzi na konkretne zapotrzebowanie zleceniodawcy. Charakter oraz zakres zadania doradczego jest przedmiotem umowy ze zleceniodawcą. Podczas świadczenia usług doradczych audytor wewnętrzny jest zobowiązany do zachowania obiektywizmu i nie przejmowania odpowiedzialności kierownictwa. Zgodnie z art. 48 ustawy o finansach publicznych audytem wewnętrznym jest ogół działań obejmujących: 1) niezależne badanie systemów zarządzania i kontroli w jednostce, w tym procedur kontroli finansowej, w wyniku którego kierownik jednostki uzyskuje obiektywną i niezależną ocenę adekwatności, efektywności i skuteczności tych systemów; 2) czynności doradcze, w tym składanie wniosków, mające na celu usprawnienie funkcjonowania jednostki. Ocena systemów zarządzania i kontroli dotyczy w szczególności: 1) zgodności prowadzonej działalności z przepisami prawa oraz obowiązującymi w jednostce procedurami wewnętrznymi; 2) efektywności i gospodarności podejmowanych działań w zakresie systemów zarządzania i kontroli; 3) wiarygodności sprawozdania finansowego oraz sprawozdania z wykonania budżetu. Definicję audytu wewnętrznego według ustawy o finansach publicznych należy postrzegać poprzez pryzmat Międzynarodowych Standardów Profesjonalnej Praktyki Audytu Wewnętrznego, opracowanych przez Instytut Audytorów Wewnętrznych, które następująco definiują audyt wewnętrzny: Audyt wewnętrzny jest niezależną, obiektywną działalnością o charakterze zapewniającym i doradczym, prowadzoną w celu wniesienia do organizacji wartości dodanej i usprawnienia jej funkcjonowania. Audyt wewnętrzny wspiera organizację w osiąganiu wytyczonych celów poprzez systematyczne i konsekwentne działanie, służące ocenie i poprawie efektywności zarządzania ryzykiem, systemu kontroli oraz procesu zarządzania organizacją. Niezależny, profesjonalny i obiektywny audyt wewnętrzny w Szpitalu jest dla Dyrektora Szpitala źródłem informacji o podległej jednostce. Dzięki informacjom uzyskiwanym od Audytora wewnętrznego, Dyrektor Szpitala może ocenić czy wdrożony przez niego system kontroli wewnętrznej spełnia swe zadania. Audyt wewnętrzny jest zatem narzędziem zarządzania, służącym Dyrektorowi Szpitala do uzyskania racjonalnego zapewnienia, że: - cele i zadania postawione przed jednostką są realizowane, - istotne ryzyka zostały zidentyfikowane i ocenione, a istotne informacje o ryzyku są identyfikowane i w odpowiednim czasie przekazywane kierownictwu jednostki, procedury wynikające z przepisów prawa lub przyjęte przez Dyrektora są wdrażane 2

3 i przestrzegane, - mechanizmy i procedury stanowiące system kontroli wewnętrznej są adekwatne i skuteczne dla prawidłowego działania Szpitala. Celami audytu wewnętrznego są: - ocena zagrożenia ryzykiem związanym z governance, działalnością operacyjną oraz systemami informatycznymi w jednostce, - identyfikacja i analiza ryzyka związanego z działalnością Szpitala, a w szczególności ocena efektywności procesu zarządzania ryzykiem oraz ocena systemu kontroli wewnętrznej, - wyrażanie opinii na temat skuteczności mechanizmów kontrolnych w badanym systemie, - dostarczenie Dyrektorowi Szpitala, w oparciu o ocenę systemu kontroli wewnętrznej, racjonalnego zapewnienia, że jednostka działa prawidłowo, - składanie sprawozdań z poczynionych ustaleń, oraz tam gdzie jest to właściwe, przedstawienie uwag i wniosków dotyczących poprawy skuteczności działania w danym obszarze. 2. Zakres działania audytu wewnętrznego Audyt wewnętrzny obejmuje wszelkie działania prowadzone przez Szpital. Audytor wewnętrzny jest uprawniony do przeprowadzania w jednostce audytu finansowego, operacyjnego, systemowego, informatycznego i zgodności. Obowiązki audytora wewnętrznego obejmują badanie i identyfikowanie zakresu obszaru podlegającego audytowi oraz podejmowanie działań zmierzających do poszerzenia w razie potrzeby tego obszaru. Działania audytu wewnętrznego muszą wspierać organizację w utrzymaniu skutecznej kontroli poprzez ocenę jej skuteczności i efektywności oraz promowanie ciągłego usprawnienia. 3. Zasady działania Audytora wewnętrznego 3.1 Zasady etyki zawodowej Zgodnie z Kodeksem etyki audytora wewnętrznego w jednostkach sektora finansów publicznych, ogłoszonym w Komunikacie Nr 16/2006 Ministra Finansów z dnia 18 lipca 2006 r., audytor wewnętrzny powinien przestrzegać następujących zasad: - uczciwość- Audytor wewnętrzny przy wykonywaniu swoich obowiązków powinien postępować uczciwie tj. w zgodzie ze swoimi przekonaniami, według najlepszej woli i wiedzy oraz z należytą starannością tak, by nie dawać powodów do podważenia prezentowanych przez niego ocen i opinii; - obiektywizm- Audytor wewnętrzny powinien zachowywać obiektywizm podczas przeprowadzania audytu wewnętrznego, w szczególności przy zbieraniu, ocenianiu i przekazywaniu informacji na temat badanej działalności lub procesu. Audytor wewnętrzny dokonuje wyważonej oceny, biorąc pod uwagę wszystkie istotne okoliczności związane z przeprowadzanym zadaniem audytowym; - poufność- Audytor wewnętrzny powinien szanować wartość i własność informacji, którą otrzymuje i nie ujawniać jej bez odpowiedniego upoważnienia, chyba że istnieje prawny lub zawodowy obowiązek jej ujawnienia; - profesjonalizm- Audytor wewnętrzny powinien wykorzystywać posiadaną wiedzę, umiejętności oraz doświadczenie do możliwie najbardziej profesjonalnego przeprowadzania audytu wewnętrznego. Jeżeli audytor nie posiada wystarczającej wiedzy, umiejętności lub innych kompetencji, niezbędnych do wykonania danych czynności audytowych, powinien wystąpić o wsparcie merytoryczne lub pomoc do innych pracowników jednostki albo wystąpić z wnioskiem 3

4 o powołanie rzeczoznawcy Postępowanie i relacje pomiędzy audytorami wewnętrznymi Audytor wewnętrzny postępuje w sposób sprzyjający umacnianiu zawodowej współpracy i dobrych stosunków z innymi audytorami. 3.3 Konflikt interesów Audytor wewnętrzny nie powinien brać udziału w zadaniu audytowym, które może prowadzić do powstania konfliktu interesów. 4. Struktura organizacyjna audytu wewnętrznego Audytor wewnętrzny podlega bezpośrednio Dyrektorowi Szpitala, który zapewnia mu organizacyjną odrębność wykonywania zadań określonych w ustawie o finansach publicznych Planowanie działań audytu wewnętrznego Audytor wewnętrzny planuje działania w taki sposób, aby efektywnie wykorzystać umiejętności i czas pracy oraz materiały potrzebne do wykonania zadania audytowego, biorąc pod uwagę w szczególności: ilość zadań, rozwój zawodowy, w tym potrzeby szkoleniowe, działalność organizacyjną, urlopy oraz inne nieobecności. Działania audytu powinny zapewnić przysporzenie organizacji wartości dodanej. Planowanie pracy opiera się na ocenie wystąpienia potencjalnych zagrożeń w obszarach poddawanych audytowi, według kryterium istotności ryzyka. Audytor wewnętrzny powiadamia Dyrektora Szpitala o planach działania audytu wewnętrznego i zasobach niezbędnych do ich wykonania, a także o znaczących zmianach w realizowanym planie oraz o skutkach ograniczeń w zasobach Kierowanie pracą audytu wewnętrznego Nadzór nad Audytorem wewnętrznym sprawuje Dyrektor Szpitala. Za kierowanie audytem wewnętrznym odpowiedzialny jest Audytor wewnętrzny zatrudniony w Szpitalu. Ustala on pracę w taki sposób, aby: prace audytorskie pomagały realizować cele i zadanie jednostki zatwierdzone przez kierownika jednostki, zasoby audytu wewnętrznego były sprawnie i efektywnie wykorzystywane, zapewniona była współpraca pomiędzy audytem wewnętrznym i audytorami zewnętrznymi, czynności audytorskie były wykonywane zgodnie z wymogami przyjętej procedury, międzynarodowymi standardami audytu oraz standardami audytu wewnętrznego, w jednostkach sektora finansów publicznych. 5. Obowiązki, zadania oraz prawa Audytora wewnętrznego 5.1 Obowiązki Audytora wewnętrznego: 1. Audytor wewnętrzny przestrzega podstawowych zasad wynikających ze standardów audytu wewnętrznego w jednostkach sektora finansów publicznych. 2. Audytor wewnętrzny przestrzega podstawowych zasad wynikających z kodeksu etyki audytora wewnętrznego w jednostkach sektora finansów publicznych. 3.W trakcie przeprowadzania czynności audytowych obowiązkiem audytora wewnętrznego jest rzetelne, obiektywne i niezależne: - ustalenie stanu faktycznego w zakresie funkcjonowania jednostki, - określenie oraz analiza przyczyn i skutków uchybień, - przedstawienie uwag i wniosków w sprawie usunięcia uchybień oraz wprowadzenia usprawnień audytowanej działalności. 5.2 Zadania Audytora wewnętrznego: 1. Audytor wewnętrzny dokonuje przeglądu działań operacyjnych i programów, 4

5 aby ustalić stopień, w jakim wykonanie jest zgodne z wytyczonymi celami i zadaniami oraz określić, czy działania operacyjne i programy zostały wdrożone i są wykonywane zgodnie z zamierzeniami. 2. Audytor wewnętrzny, przeprowadzając audyt wewnętrzny: - bada wiarygodność sprawozdania finansowego oraz sprawozdania z wykonania budżetu (planu finansowego), - dokonuje oceny adekwatności, efektywności i skuteczności systemów kontroli, w tym przestrzegania procedur kontroli zarządzania ryzykiem i kierowania jednostką, - dokonuje oceny przestrzegania zasady celowości i oszczędności w dokonywaniu wydatków, uzyskiwania możliwie najlepszych efektów w ramach posiadanych środków oraz przestrzegania terminów realizacji zadań i zaciągniętych zobowiązań. 3. Audytor wewnętrzny jest uprawniony do przeprowadzania audytów finansowych, systemowych, działalności, informatycznych, zarządzania, gospodarności, wydajności, efektywności i innych. 4. Audytor wewnętrzny nie jest odpowiedzialny za procesy poddawane audytowi wewnętrznemu. 5. Audytor wewnętrzny nie jest odpowiedzialny za procesy zarządzania ryzykiem i procesy kontroli wewnętrznej w jednostce, ale poprzez swoje badanie, wnioski i uwagi wspomaga Dyrektora Szpitala we właściwej organizacji i realizacji tych procesów. 6. Audytor wewnętrzny nie jest odpowiedzialny za wykrywanie przestępstw, ale powinien posiadać wiedzę pozwalającą mu zidentyfikować znamiona przestępstwa. 7. Audytor wewnętrzny w zakresie wykonywania swoich zadań współpracuje z audytorami zewnętrznymi, w tym w szczególności z kontrolerami Najwyższej Izby Kontroli Prawa Audytora wewnętrznego 1. Audytor wewnętrzny, prowadząc audyt wewnętrzny, ma prawo wglądu do wszelkich informacji, danych, dokumentów i innych materiałów związanych z funkcjonowaniem jednostki, w tym zawartych na elektronicznych nośnikach informacji, jak również do wykonywania z nich kopii, odpisów, wyciągów, zestawień lub wydruków, z zachowaniem przepisów o tajemnicy ustawowo chronionej. 2. Audytor ma zagwarantowane prawo dostępu, z zachowaniem przepisów o ochronie informacji niejawnych, do wszystkich pracowników oraz wszelkich innych źródeł informacji potrzebnych do przeprowadzenia audytu wewnętrznego i związanych z funkcjonowaniem jednostki, w której jest przeprowadzany audyt wewnętrzny. 3. Audytor ma zagwarantowane prawo dostępu do obiektów i pomieszczeń jednostki, w zakresie niezbędnym do prowadzenia audytu wewnętrznego. 4. Audytor wewnętrzny ma prawo uzyskiwać od kierownika i pracowników Szpitala informacje oraz wyjaśnienia w celu zapewnienia efektywnego i wydajnego przeprowadzania audytu wewnętrznego. Pracownicy audytowanej jednostki są obowiązani, na żądanie Audytora wewnętrznego, udzielać mu informacji i wyjaśnień, a także potwierdzać kopie, odpisy, wyciągi, zestawienia lub wydruki. Udzielone ustne informacje i wyjaśnienia powinny być utrwalone na piśmie oraz podpisane przez osobę, która ich udzieliła lub je złożyła, i przez Audytora wewnętrznego albo przez samego Audytora wewnętrznego. 6. Planowanie audytu wewnętrznego Audytor wewnętrzny ma zagwarantowaną niezależność w zakresie planowania. Audytor wewnętrzny przygotowując plany: roczny, strategiczny (długookresowy) i zadania audytowego, przeprowadza analizę ryzyka. W procesie planowania uwzględniane są priorytety Dyrektora Szpitala oraz kierowników jednostek, w których prowadzony jest 5

6 audyt wewnętrzny Analiza ryzyka Analiza ryzyka powinna być obecna na każdym etapie pracy Audytora wewnętrznego. Przeprowadzenie udokumentowanej analizy ryzyka powinno poprzedzać sporządzenie rocznego planu audytu wewnętrznego. Standardy audytu wewnętrznego w jednostka sektora finansów publicznych definiują ryzyko jako możliwość wystąpienia dowolnego zdarzenia, działania lub braku działania, którego skutkiem może być szkoda w majątku lub wizerunku danej jednostki, lub które przeszkodzi w osiągnięciu wyznaczonych jej celów i zadań. Ryzyko jest mierzone wpływem (siłą oddziaływania) oraz prawdopodobieństwem jego wystąpienia. Ryzyko jest konsekwencją występowania niepewności co do kształtowania się przyszłości. Z niepewnością związane są zarówno szanse jak i zagrożenia. Szanse to zdarzenia lub działania, których skutkiem może być osiągnięcie lepszych niż zakładano rezultatów. Zagrożenia to zdarzenia lub działania, których skutkiem może być szkoda w majątku lub wizerunku danej jednostki, lub które przeszkodzi w osiągnięciu wyznaczonych jej celów i zadań. Jako przykłady takich niepożądanych zdarzeń można wymienić np. podjęcie błędnej decyzji, wynikające z wykorzystania nieprawdziwych, nieaktualnych czy niepełnych informacji, niewłaściwe zaksięgowanie środków, przekazanie nienależnej dotacji. Zdarzenia te mogą przynieść niepożądane skutki dla jednostki i ponoszącego za nią odpowiedzialność kierownika, np. zwrot środków finansowych do budżetu państwa lub, krytyczny raport audytora zewnętrznego (np. Najwyższej Izby Kontroli) czy wreszcie negatywny obraz jednostki w oczach opinii publicznej. Uwzględniając powyższe definicje ryzyko można określić jako prawdopodobieństwo wystąpienia zagrożeń, których skutki dla organizacji są istotne. Audytor wewnętrzny, w celu przygotowania planu audytu, dokonuje udokumentowanej analizy obszarów ryzyka, biorąc pod uwagę w szczególności: cele i zadania, istotne ryzyka wpływające na realizację celów i zadań, istniejące systemy kontroli i zarządzania, czynniki ryzyka wpływające na realizację celów i zadań jednostki, przepisy prawne dotyczące działalności, zmiany organizacyjne i prawne, złożoność prowadzonej przez jednostkę działalności, skomplikowanie lub zmienność wykonywanej działalności, liczbę, rodzaj i wielkość dokonywanych operacji finansowych, liczbę i kwalifikacje zawodowe pracowników, wielkość majątku, sytuację finansową, sprawozdania finansowe oraz sprawozdania z wykonania budżetu, zaufanie do kierownictwa operacyjnego, uwagi pracowników, możliwość dysponowania przez Szpital środkami pochodzącymi ze źródeł zagranicznych, nie podlegających zwrotowi, ze szczególnym uwzględnieniem wymogów dawcy, wewnętrzne i zewnętrzne czynniki ryzyka mające wpływ na realizację celów, działania, które mogą mieć wpływ na opinię publiczną, systemy informatyczne - jakość i bezpieczeństwo, akceptację ustaleń audytu i jakość podejmowanych działań naprawczych, 6

7 wyniki wcześniej dokonanej oceny adekwatności, efektywności i skuteczności systemów, kontroli, w tym kontroli finansowej, terminy i wyniki wcześniej przeprowadzonego audytu lub kontroli, uwagi kierownika jednostki, w której prowadzony jest audyt wewnętrzny. W procesie analizy ryzyka można wyróżnić trzy etapy: - identyfikacja ryzyka, - pomiar ryzyka, - hierarchizacja ryzyka. 6.2 Identyfikacja ryzyka Kluczowym etapem w procesie analizy ryzyka jest identyfikacja obszarów i czynników ryzyka. Konsekwencją zdefiniowania ryzyka przez pryzmat prawdopodobieństwa jest niemożność bezpośredniej identyfikacji ryzyka. W procesie identyfikacji ryzyka identyfikuje się zatem zagrożenia oraz obszary i czynniki ryzyka. Obszary ryzyka to procesy lub problemy, w których mogą wystąpić istotne zagrożenia. Czynniki ryzyka to zdarzenia, działania, zaniechania, które zwiększają prawdopodobieństwo wystąpienia zagrożeń (zmaterializowania się ryzyka) lub wpływają na zwiększenie potencjalnej straty w przypadku wystąpienia zagrożeń. Audytor wewnętrzny identyfikuje wedle własnej zawodowej oceny obszary ryzyka, czyli procesy, zjawiska lub problemy wymagające przeprowadzenia audytu. Do identyfikacji ryzyka wykorzystuje się w szczególności następujące informacje: - cele i zadania, - przepisy prawne dotyczące działania (ewentualne zmiany w tych przepisach), - strukturę organizacyjną, - wyniki wcześniej przeprowadzonego audytów lub kontroli, - wyniki rozmów, jakie audytor przeprowadził z kierownictwem, kierownikami komórek organizacyjnych i innymi pracownikami. Przyjęto, że w obszarze działania Szpitala, zostaną wyodrębnione obszary audytu, tj. jednorodne fragmenty działalności, związane z gospodarką finansową, dające się wyodrębnić ze względu na przedmiot, zaangażowane komórki organizacyjne oraz rezultat tej działalności. Następnie w obszarach audytu zostaną wyodrębnione obszary ryzyka. Podział ten powinien być w miarę możliwości stały, o ile nie wystąpią okoliczności (np. nałożenie nowych zadań) powodujące ich zmianę. W załączniku nr 1 do części pierwszej księgi procedur audytu wewnętrznego przedstawiono przykładowo zidentyfikowane obszary audytu i wyodrębnione w nich obszary ryzyka, występujące w Szpitalu Metody analizy ryzyka Ocena ryzyka przeprowadzona jest przy pomocy metody matematycznej z wykorzystaniem arkuszy kalkulacyjnych wyznaczającą priorytety poszczególnych zadań. W celu wyznaczenia priorytetu audytu zastosowano czterostopniową skalę: - najwyższy, - wysoki, - średni, - niski. W przypadku modelu matrycy ryzyka analiza została oparta o następujące czynniki ryzyka: 1. Kryteria ryzyka - materialność - wrażliwość - kontrola wewnętrzna - stabilność(podatność na zmiany) 7

8 - złożoność 2. Data ostatniego audytu. Ze względu na to, iż będzie to pierwszy rok przeprowadzenia audytu wewnętrznego, w analizie ryzyka wzięto pod uwagę przeprowadzone dotychczas kontrole wewnętrzne. 3. Priorytet kierownictwa. Kategoria ryzyka Kategoriom ryzyka zostały nadane wagi, wynikające z oceny Audytora wewnętrznego - materialność rozumiana jako efektywność wykorzystania środków finansowych i możliwość wystąpienia strat materialnych, przy ustaleniu wysokości wagi uwzględniono możliwość wystąpienia lub braku implikacji finansowych oraz stopień skomplikowania finansowego waga 0,25; - wrażliwość systemu, rozumiana jako postrzeganie funkcjonowania Szpitala przez pacjentów, przy ustaleniu wysokości wagi uwzględniono rzetelność danych, wpływ błędu na system, znaczenie polityczne, wrażliwość petentów waga 0,20; - kontrola wewnętrzna, czyli ocena systemu procedur funkcjonujących w Szpitalu, przy ustaleniu wagi wzięto pod uwagę wnioski z poprzednich kontroli wewnętrznych, rozdział obowiązków, jakość morale oraz rotacja kadr, istnienie regulacji i procedur kontroli waga 0,25; - stabilność, czyli podatność na zmiany systemu i wszelkich uregulowań prawnych, na podstawie których realizowane są zadania, uwzględniono przewidywane zmiany przepisów prawnych i ich wpływ na funkcjonujący system waga 0,15; - złożoność, czyli stopień skomplikowania przepisów i procedur, wpływ na wysokość wagi miał poziom skomplikowania regulacji prawnych, liczba subsystemów, granice systemów, liczba etapów procesowania waga 0,15; Definicje kategorii ryzyk oraz zasady przydzielania punktów. Oceny Materialność 0,25 1. Brak implikacji finansowych 2. Małe implikacje finansowe 3. Duże implikacje finansowe 4. Kluczowy system finansowy Czynniki wpływające na ocenę: wielkość przepływów finansowych, ilość operacji, ryzyko straty w pojedynczej operacji, poziom kosztów jednostkowych, poziom jakości produktu Wrażliwość 0,20 Kontrola wewnętrzna 0,25 Stabilność/ podatność na zmiany 0,15 Złożoność 0,15 Mała Silna Bardzo silny Niska Umiarkowana Wysoka Stabilny Umiarkowana Wrażliwa Zadowalająca Znaczące zmiany Wysoka Bardzo wrażliwa Czynniki wpływające na ocenę: poufność danych, wpływ błędu na inny system, znaczenie polityczne, wrażliwość stron, podatność na naciski korupcyjne Niska Czynniki wpływające na ocenę : wnioski z poprzednich audytów, podział obowiązków, jakość kadr, systemów, morale, rotacja kadr, istnienie regulacji, procedur Nowo wdrożony system Czynniki wpływające na ocenę: ilość zmian prawnych i organizacyjnych zachodzących i planowanych w systemie oraz ich zakres i terminy Bardzo wysoka Czynniki wpływające na ocenę: złożoność wymagań, regulacji, liczba subsystemów, granice systemu, przekraczanie, liczba etapów Każde zadanie audytowe otrzymało w odniesieniu do każdego wyżej wymienionego kryterium określoną ilość punktów w skali od 1 do 4, punkty zostały podzielone w oparciu o profesjonalny osąd audytora wewnętrznego (1 to wartość minimalna, a 4 to wartość maksymalna, jaką można przyznać dla danego kryterium) Wyniki analizy ryzyka W oparciu o przydzielone punkty, w ramach określonych kryteriów i przyjętych wag, wyznaczona została ocena ryzyka wg kryteriów, stosując następujący wzór: Ocena ryzyka według kryteriów ={[( materialność x waga M) + ( wrażliwość x waga W) + 8

9 (stabilność x waga S) + (kontrola wewnętrzna x waga KW) + ( złożoność x waga Z) ] :4 } x 100% Gdzie nazwa kryterium oznacza ilość przydzielonych punktów w skali 1 do 4. Data ostatniego audytu: w opracowaniu ryzyka przyjęto następujące wartości czynnika upływu czasu od ostatniego audytu, biorąc pod uwagę także dotychczasowe kontrole wewnętrzne: - 0,30 - audyt nigdy nie był przeprowadzany; - 0,20 - audyt przeprowadzony w 2007 roku; - 0,10 - audyt przeprowadzony w 2008 roku; - 0,00 - audyt przeprowadzony w 2009 roku. Ocena ryzyka po uwzględnieniu daty ostatniego audytu = ocena ryzyka po uwzględnieniu kryteriów + czynnik upływu daty od ostatniego audytu Ostateczne określenie wartości rankingowej zadań audytowych nastąpiło po dodaniu do oceny audytora punktów wynikających z priorytetów kierownictwa oraz terminu ostatniego audytu oraz po dokonaniu ich normalizacji. Priorytet kierownictwa: obliczenia uwzględniają wynik kategorii ryzyka oraz dodatkowo priorytety kierownictwa. Algorytm obliczeń jest następujący: Ocena ryzyka po uwzględnieniu priorytetu kierownictwa = ocena ryzyka po uwzględnieniu daty ostatniego audytu/kontroli + priorytet kierownictwa 6.5. Obszary ryzyka ustalone ze względu na stopień ważności Po uwzględnieniu priorytetu kierownictwa, terminu ostatniego audytu i znormalizowaniu oceny ryzyka dla każdego zadania audytowego został wyznaczony ostateczny(końcowy) priorytet audytu według skali: - wysoki- ocena ryzyka o wartości z przedziału 100 % - 90%, - średni ocena ryzyka o wartości z przedziału 90 % - 70 %, - niski ocena ryzyka poniżej 70 %. 7. Roczny plan audytu wewnętrznego Audyt wewnętrzny przeprowadza się na podstawie rocznego planu audytu wewnętrznego. W uzasadnionych przypadkach audyt wewnętrzny może być przeprowadzony poza planem audytu. Roczny plan audytu sporządza Audytor wewnętrzny w porozumieniu z Dyrektorem Szpitala. Plan przedstawia ogólny opis tego, co komórka audytu wewnętrznego zamierza dokonać w ciągu roku. Zadania audytowe dobiera się w oparciu o ocenę ryzyka oraz uwzględniając preferencje Dyrektora Szpitala i / lub kierowników jednostek audytowanych. Przygotowując plan audytu należy ustalić kolejność poddania obszarów ryzyka audytowi wewnętrznemu, biorąc pod uwagę głównie wyniki analizy obszarów ryzyka oraz czynniki organizacyjne, w tym w szczególności: - czas niezbędny do przeprowadzenia zadań audytowych, - czas przeznaczony na szkolenie, - dostępne zasoby ludzkie i rzeczowe, - rezerwę czasową na nieprzewidziane działania. Audytor wewnętrzny, przygotowując plan audytu, określa również obszary ryzyka, które powinny zostać objęte audytem wewnętrznym w latach następnych. Plan audytu powinien zawierać w szczególności: wyniki analizy obszarów ryzyka: określenie obszarów działalności jednostki zidentyfikowane przez audytora wewnętrznego z określeniem szacowanego poziomu ryzyka w danym obszarze, planowane zadania zapewniające, planowane czynności doradcze, 9

10 planowane czynności sprawdzające, planowany czas realizacji audytu wewnętrznego, planowane obszary, które powinny zostać objęte audytem wewnętrznym w kolejnych latach. Plan audytu na rok następny sporządza się według wzoru ustalonego Rozporządzeniem Ministra Finansów z dnia 10 kwietnia 2008r. w sprawie szczegółowego sposobu i trybu przeprowadzania audytu wewnętrznego. Plan audytu podpisuje Audytor wewnętrzny oraz Dyrektor Szpitala, w którym zatrudniony jest Audytor wewnętrzny. Roczny plan audytu wewnętrznego na rok następny Audytor wewnętrzny przedstawia Dyrektorowi Szpitala oraz Ministrowi Finansów w terminie do końca października każdego roku. Audytor wewnętrzny przedstawia do końca marca każdego roku, Dyrektorowi Szpitala, Ministrowi sprawozdanie z wykonania planu audytu za rok poprzedni. Sprawozdanie z wykonania rocznego planu audytu sporządza się w formie wskazanej przez Ministra Finansów. Jeżeli w trakcie realizacji planu audytu Audytor wewnętrzny stwierdzi, że przeprowadzenie wszystkich zaplanowanych zadań audytowych jest niemożliwe lub niecelowe, uzgadnia w formie pisemnej z Dyrektorem Szpitala, zakres realizacji planu audytu. O uzgodnionym zakresie realizacji planu audytu audytor wewnętrzny informuje kierowników jednostek, w których przeprowadza audyt wewnętrzny. W uzasadnionych przypadkach, w szczególności w przypadku wystąpienia nowych ryzyk lub też zmiany oceny ryzyka, Audytor wewnętrzny może przeprowadzić audyt wewnętrzny poza planem audytu, w uzgodnieniu z Dyrektorem Szpitala. Jeżeli przeprowadzenie audytu wewnętrznego poza planem audytu stworzy zagrożenie dla jego realizacji, Audytor wewnętrzny zawiadamia o tym na piśmie Dyrektora Szpitala. 8. Zadanie audytowe Do przeprowadzenia audytu wewnętrznego uprawnia imienne upoważnienie wystawione przez Dyrektora Szpitala oraz legitymacja służbowa lub dowód osobisty. Zakres informacji do imiennego upoważnienia określa Rozporządzenie Ministra Finansów z dnia 10 kwietnia 2008r. w sprawie szczegółowego sposobu i trybu przeprowadzania audytu wewnętrznego, a wzór upoważnienia jest określony w załączniku do podręcznika audytu wewnętrznego w administracji publicznej Ministerstwa Finansów. Upoważnienie do przeprowadzania audytu wewnętrznego powinno zawierać: - imię i nazwisko audytora wewnętrznego, - nazwy komórek audytowanych lub nazwę jednostki, w której będzie przeprowadzany audyt wewnętrzny, - informację, czy przeprowadzenie audytu wynika z planu audytu, - termin ważności upoważnienia, - podpis ze wskazaniem imienia i nazwiska Dyrektora Szpitala. W przypadku zadań wymagających specjalnych kwalifikacji, Audytor wewnętrzny może, w uzgodnieniu z Dyrektorem Szpitala, powołać rzeczoznawcę. Wniosek o powołanie rzeczoznawcy przygotowuje Audytor wewnętrzny i przedkłada do zatwierdzenia Dyrektorowi Szpitala. Forma wniosku o powołanie rzeczoznawcy powinna być zgodna ze ustalonym wzorem. Audytor wewnętrzny może się zwrócić do Dyrektora Szpitala z wnioskiem o powołanie rzeczoznawcy do udziału w zadaniu audytowym na każdym etapie zadania. Na sposób wykonania oraz dokumentowania przebiegu i wyników audytu może mieć wpływ charakter przeprowadzanego zadania audytowego: 1) zadanie zapewniające, 2) czynności doradcze, 3) audyt wewnętrzny zlecony. 10

11 Ad.1 Zadanie zapewniające to zespół działań podejmowanych przez Audytora wewnętrznego w celu dostarczenia Dyrektorowi Szpitala, niezależnej i obiektywnej oceny. Ad.2 Czynności doradcze to działania podejmowane przez audytora, których charakter i zakres jest uzgadniany z kierownikiem jednostki, w której jest zatrudniony, których celem jest usprawnienie funkcjonowania jednostki, z zastrzeżeniem, że Audytor wewnętrzny nie przejmuje na siebie zadań lub uprawnień wchodzących w zakres zarządzania jednostką. Ad.3 Audyt wewnętrzny zlecony to audyt zlecony przez ministra finansów przeprowadzony za zgodą kierownika jednostki, a w szczególnych przypadkach bez zgody. Audyt wewnętrzny zlecony może być również przeprowadzony na wniosek Rady Ministrów. Przeprowadzenie każdego zadania audytowego można podzielić na następujące etapy: 1) wstępny przegląd dokonywany w celu zapoznania się z ogólną organizacją, działaniem i mechanizmami kontroli występującymi w badanym obszarze, 2) przygotowanie programu zadania audytowego, 3) czynności audytowe, w tym: a) narada otwierająca, b) wstępna ocena systemu kontroli wewnętrznej, c) testowanie, d) stwierdzenie stanu istniejącego, e) narada zamykająca, 4) sprawozdanie z przeprowadzenia audytu wewnętrznego, 5) czynności sprawdzające Techniki badania Przeprowadzając zadanie audytowe, Audytor wewnętrzny może stosować różne techniki. Opisane poniżej techniki i narzędzia badania stosowane mogą być na etapie planowania zadania audytowego, jak również w trakcie czynności audytorskich (na miejscu). Przy dokonywaniu wyboru najlepszej metody badania danej konkretnej działalności, audytor stosuje takie techniki, które doprowadzą do pożądanego wyniku, uwzględniając związane z tym koszty. Można stosować następujące techniki badania: testy przeglądowe (walk-through)- to wstępne badanie systemu, które pozwala audytorowi potwierdzić, że dobrze rozumie zasady jego funkcjonowania, diagram (flowchart)- to ilustracja obowiązujących procedur oraz identyfikacja systemów kontrolnych, testy zgodności- mają na celu uzyskanie dowodów badania dotyczących skuteczności działania procedur kontrolnych (testy kontroli) oraz procedur operacyjnych (testy zgodności procedur operacyjnych- weryfikuje się zgodność działania sprawdzanej procedury z przepisami prawa i przyjętymi wytycznymi, a także ich skuteczność), testy wiarygodności- są przeprowadzane w celu uzyskania dowodów badania stwierdzających wykrycie istotnych nieprawidłowości dokumentów finansowych. 9.Procedury uzyskiwania dowodów badania 9.1. Obserwacja Obserwacja polega na przyglądaniu się czynnościom lub zadaniom wykonywanym przez innych, na przykład Audytor wewnętrzny obserwuje przeprowadzany przez pracowników jednostki spis z natury lub procedury nie pozostawiające ścieżki rewizyjnej Inspekcja Polega na zbadaniu zapisów, dokumentów lub aktywów trwałych. Stopień wiarygodności dowodów badania, uzyskanych drogą inspekcji zapisów i dokumentów, zależy od ich 11

12 rodzaju, źródeł oraz skuteczności kontroli wewnętrznych nad ich przetwarzaniem. Inspekcja składników aktywów trwałych dostarcza wiarygodnych dowodów badania co do ich istnienia, ale niekoniecznie prawa ich własności, czy wartości Zapytania i potwierdzenia Zapytania polegają na zasięganiu informacji u poinformowanych osób pracujących w jednostce lub źródeł zewnętrznych wobec jednostki. Zapytania mogą przyjmować różnorodne formy od formalnego pisemnego zapytania skierowanego do stron trzecich, po nieformalne zasięgnięcie ustnych informacji u osób pracujących w danej jednostce. W wyniku zapytań audytor wewnętrzny może uzyskać informacje, których wcześniej nie posiadał lub dowody badania o charakterze potwierdzającym. Potwierdzenie polega na uzyskaniu odpowiedzi na zapytanie mające na celu potwierdzenie prawidłowości informacji zawartych w dokumentacji księgowej. Na przykład, Audytor wewnętrzny stara się zazwyczaj potwierdzić należności w drodze bezpośredniego kontaktu z dłużnikiem Przeliczanie Przeliczanie polega na sprawdzeniu arytmetycznej poprawności dokumentów źródłowych i zapisów księgowych lub przeprowadzeniu niezależnych obliczeń Procedury analityczne Na procedury analityczne składa się analiza znaczących wskaźników i trendów łącznie z badaniem wykrytych wahań wartości i zależności, które są niespójne z innymi informacjami lub różnią się od przewidywanych wielkości Badania wyrywkowe Audytor, w toku realizacji zadań audytowych często ma do czynienia z bardzo dużymi zbiorami danych. Zbadanie wszystkich elementów takiej populacji jest zbyt pracochłonne i zazwyczaj, ze względu na ograniczony czas audytu, niemożliwe. Stąd też, duże znaczenie mają badania wyrywkowe, które pozwalają na ograniczenie czasu audytu i na podjęcie z wystarczającą pewnością decyzji, co do poprawności badanego obszaru. Podczas badań wyrywkowych wykorzystuje się wybór celowy, jak i losowy (tzw. próbkowanie audytowe). Wybór celowy próbki polega na określeniu przez audytora, na podstawie zawodowego doświadczenia i dotychczasowych wyników audytu, kryteriów wyboru jednostek do badania. Takimi kryteriami mogą być: - zwiększone ryzyko błędu zawarte w badanych elementach, - bezwzględne lub względne znaczenie elementu, - przypadki nietypowe przy operacjach typowych. Badania oparte na wyborze celowym charakteryzują jedynie zbadane elementy, a więc próbkę. Brak jest podstaw do rozciągnięcia rezultatów badania na pozostałe, nie poddane badaniu elementy zbiorowości. Wybór celowy jest na ogół uzupełniany próbkowaniem audytowym. A zatem po wyborze elementów poddanych badaniu pełnemu (wybór celowy), z pozostałych losuje się próbkę (próbkowanie audytowe). Próbkowanie audytowe (audit sampling) jest metodą badania polegającą na zastosowaniu procedur audytowych do mniej niż 100% populacji, w taki sposób, aby umożliwić uzyskanie i oszacowanie dowodów charakteryzujących wybrane pozycje, co pozwoli sformułować lub pomoże w sformułowaniu wniosków, dotyczących całej populacji. Próbkowanie audytowe polega na: - ustaleniu niezbędnej wielkości próbki, - wylosowaniu próbki, - zbadaniu elementów tworzących próbkę, - uogólnieniu (ekstrapolacji) wyników uzyskanych w próbce na całą populację. 12

13 Zakres zastosowania próbkowania audytorskiego powinien być przy tym ograniczony do dużych populacji liczących co najmniej 100 elementów. 10. Wstępny przegląd Wstępny przegląd polega na zbieraniu informacji o badanej działalności, bez ich szczegółowej weryfikacji. Do głównych celów wstępnego przeglądu należą: - zrozumienie badanej działalności, - wyodrębnienie istotnych obiektów audytu, wymagających szczególnej uwagi w trakcie zadania audytowego, - zidentyfikowanie istniejących mechanizmów kontroli, - uzyskanie informacji ułatwiających przeprowadzenie zadania audytowego, - ustalenie, czy konieczne jest przeprowadzanie zadania audytowego w danym obszarze ryzyka. Wstępny przegląd pozwala zaplanować i przeprowadzić zadanie audytowe w sposób efektywny. Do podstawowych technik wykorzystywanych w czasie przeglądu wstępnego należą: - rozmowy z pracownikami komórki audytowanej, - rozmowy z osobami, na które audytowana działalność wywiera wpływ, np. z użytkownikami wyników generowanych przez audytowaną działalność, - obserwacja, oględziny, - analiza sprawozdań i innych dokumentów przygotowywanych dla kierownictwa komórki audytowanej, - procedury analityczne, - schematy, wykresy, - testy przeglądowe(walk-through); - kwestionariusze kontroli wewnętrznej. Zebrane na tym etapie informacje stanowią dla audytora podstawę do opisania procesu, który ma być poddany badaniu w trakcie zadania audytowego. Przez proces należy rozumieć pewien logicznie uporządkowany ciąg czynności, działań, decyzji i uzgodnień, których efektem jest powstanie pewnej wartości dodanej w postaci dającej się określić zmiany w środowisku zewnętrznym, i którą można określić efektem pracy jednej lub kilku komórek organizacyjnych jednostki. Dokumentacja w postaci opisowej lub analizy graficznej procesu może ulec dalszym modyfikacjom na etapie oceny systemu kontroli wewnętrznej. Ostateczna wersja dokumentacji procesu jest włączona zarówno do akt stałych jak i bieżących. 11. Program zadania audytowego Program zadania audytowego stanowi plan pracy do wykonania w toku danego zadania. W uzasadnionych przypadkach, audytor wewnętrzny może, w trakcie przeprowadzania zadania zapewniającego, dokonywać udokumentowanych zmian w jego programie. Audytor wewnętrzny opracowuje program zadania audytowego uwzględniając- w obszarze objętym zadaniem w szczególności: 1) cele i zadania jednostki, 2) istotne ryzyka, 3) systemy zarządzania ryzykiem i kontroli, 4) możliwość wprowadzenia usprawnień systemów zarządzania i kontroli, 5) datę rozpoczęcia i przewidywany czas trwania zadania, 6) przekazane założenia lub program w przypadku przeprowadzania audytu zleconego. W programie zadania zapewniającego określa się w szczególności: 1) oznaczenie zadania audytowego ze wskazaniem jego tematu, 13

14 2) cel zadania audytowego, 3) podmiotowy i przedmiotowy zakres zadania audytowego, 4) istotne ryzyka w obszarze objętym zadaniem, 5) sposób przeprowadzenia zadania. Sposób wykonywania i dokumentowania czynności doradczych oraz forma i zawartość sprawozdania z ich wykonania powinny być odpowiednie do rodzaju i charakteru działań podjętych przez audytora wewnętrznego. W przypadku przeprowadzania audytu wewnętrznego zleconego audytor wewnętrzny uwzględnia założenia lub program przekazany przez Ministra Finansów albo przez Generalnego Inspektora Kontroli Skarbowej (dla środków pochodzących ze źródeł zagranicznych). 12. Przeprowadzenie zadania audytowego Przed rozpoczęciem audytu wewnętrznego w komórce organizacyjnej, Audytor wewnętrzny zawiadamia kierownika tej komórki o przedmiocie i czasie trwania audytu wewnętrznego. Kierownik komórki audytowanej zapewnia Audytorowi wewnętrznemu warunki niezbędne do sprawnego przeprowadzenia audytu wewnętrznego, przedstawia żądane dokumenty oraz ułatwia terminowe udzielanie wyjaśnień przez pracowników tej komórki. Na żądanie Audytora wewnętrznego przed rozpoczęciem zadania zapewniającego kierownik audytowanej komórki przekazuje dokumenty i udziela informacji w zakresie związanym z audytem. Pracownicy audytowanej komórki mają prawo złożyć oświadczenia dotyczące przedmiotu zadania zapewniającego. Audytor wewnętrzny włącza te oświadczenia do akt bieżących Narada otwierająca Realizację zadania audytowego poprzedza narada otwierająca, przeprowadzona przez Audytora wewnętrznego z udziałem pracowników uczestniczących w zadaniu audytowym oraz kierownika komórki, w której jest przeprowadzany audyt wewnętrzny, lub z udziałem wyznaczonego przez niego pracownika. W naradzie otwierającej mogą uczestniczyć także osoby sprawujące nadzór nad działalnością komórki audytowanej, wskazani przez kierownika tej komórki pracownicy w niej zatrudnieni oraz audytor koordynujący działalność komórki audytu wewnętrznego. Podczas narady otwierającej Audytor wewnętrzny przedstawia cel, tematykę i założenia organizacyjne zadania audytowego zapewniającego. Kierownik komórki, w której jest przeprowadzany audyt wewnętrzny, przedstawia informacje dotyczące jej funkcjonowania oraz uzgadnia z Audytorem wewnętrznym sposoby unikania zakłóceń jej pracy w trakcie przeprowadzania zadania audytowego zapewniającego. Do spraw, które należy omówić w trakcie narady należą następujące kwestie: a) Tematyka i cele przegląd podstawowego zakresu i celów zaplanowanych dla danego zadania audytowego. Zarysowanie ogólnego planu pracy audytu. Podkreślenie, że celem audytu jest wspomożenie kierownictwa poprzez dostarczenie analiz, ocen, zaleceń oraz informacji dotyczących badanych działań. b) Założenia organizacyjne wyjaśnienie, w jaki sposób postępować się będzie z ustaleniami audytu, np.: rozwiązanie spraw związanych z drobnymi ustaleniami, omawianie wszystkich ustaleń na bieżąco, aby umożliwić kierownictwu komórki audytowanej podjęcie działań naprawczych, narada zamykająca po zakończeniu czynności audytorskich (na miejscu) oraz zasady dystrybucji sprawozdania z przeprowadzonego audytu. Omówienie aktualnego stanu poprzednich ustaleń audytu. c) Postępy audytu doprowadzenie do porozumienia z kierownictwem komórki 14

15 poddawanej audytowi, na temat bieżącego informowania ich pracowników o postępach i ustaleniach audytu. Ustalenie częstotliwości przekazywania informacji o postępach audytu oraz szczebli kierowniczych, do których będą kierowane te informacje. d) Wkład ze strony kierownika komórki audytowanej zwrócenie się z prośbą o wskazanie problemów, w rozwiązaniu których audytorzy mogą okazać się pomocni. (Należy starannie rozważyć wszelkie sugestie i życzenia, aby upewnić się, czy rzeczywiście zachodzi potrzeba skierowania uwagi audytora na te problemy. Nie należy angażować się w działalność operacyjną). e) Współpraca administracyjna informacje na temat godzin pracy, dostępu do akt, miejsca do pracy dla audytorów, wymogów dochowania terminów przez pracowników komórki poddanej audytowi. Uzyskania innych informacji, które mogą być pomocne do ustalenia harmonogramu działań audytu, tak aby dopasować je do trybu pracy badanej komórki i aby jak najmniej zakłócać jej pracę. f) Przedstawienie się i wizytacja zorganizowanie spotkania z pozostałymi pracownikami, z którymi audytor będzie kontaktować się w trakcie przeprowadzania zadania audytowego. Zorganizowanie wizytacji, obejścia pomieszczeń dla zaznajomienia się z fizycznym środowiskiem pracy. Efektywna komunikacja na początku audytu może istotnie wpłynąć na atmosferę, w której prowadzony jest cały audyt. Z przeprowadzonej narady otwierającej Audytor wewnętrzny sporządza protokół, który zawiera w szczególności informacje o celu, przebiegu i wyniku narady. Protokół z narady otwierającej podpisują prowadzący naradę Audytor wewnętrzny oraz kierownik komórki, w której jest przeprowadzany audyt wewnętrzny, albo osoba przez niego wskazana. W razie odmowy podpisania protokołu, Audytor wewnętrzny czyni o tym wzmiankę w protokole. Kierownik komórki, w której jest przeprowadzany audyt wewnętrzny albo osoba przez niego wskazana powinny niezwłocznie pisemnie uzasadnić przyczyny odmowy podpisania protokołu Wstępna ocena systemów kontroli wewnętrznej Ocena systemu kontroli wewnętrznej może być przeprowadzona jako część oceny ryzyka występującego w Szpitalu, na etapie planowania rocznego audytu, jak również w trakcie różnych faz planowania i realizacji danego zadania audytowego. Ocena mechanizmów kontroli wewnętrznej powinna dostarczyć rozsądnego, chociaż nie absolutnego zapewnienia, że podstawowe elementy systemu są wystarczające do osiągnięcia zamierzonych celów. Ocena winna być wystarczająco udokumentowana oraz poparta wynikami testów, obserwacji i badań. Głównym celem wszystkich prac audytorskich jest ocena systemów zarządzania i kontroli w jednostce. Badając system kontroli wewnętrznej audytorzy mogą posłużyć się kwestionariuszami kontroli wewnętrznej lub listami kontrolnymi. Stanowią one dla audytorów pomoc do uzyskiwania potrzebnych informacji od pracowników badanej jednostki na temat mechanizmów kontroli wewnętrznej. Kwestionariusze takie są skonstruowane w taki sposób, żeby odpowiedzi negatywne wskazywały na potencjalnie słabe punkty kontroli wewnętrznej. Negatywna odpowiedź będzie powodować, że audytor będzie się starał ustalić, czy istnieją inne elementy kontroli, które kompensowałyby negatywną odpowiedź. Narzędziami wspomagającymi pracę audytora są notatki opisowe oraz graficzna analiza procesów, opracowywane na etapie wstępnego przeglądu. Oprócz podanych powyżej narzędzi wiele informacji audytor uzyskuje podczas rozmów z pracownikami komórek. Informacje te oraz wynikające z nich ustalenia i wnioski, są także dokumentowane w dokumentach roboczych. W ocenie mechanizmów kontroli wewnętrznej audytor bierze pod uwagę następujące czynniki: 15

16 - typy błędów i nieprawidłowości, które mogą występować, - procedury kontroli służące zapobieganiu i wykrywaniu takich błędówi nieprawidłowości, - czy zostały przyjęte stosowne procedury i czy są zadowalająco przestrzegane, - słabe strony, które mogłyby umożliwiać występowanie błędów i nieprawidłowości, pomimo istniejących mechanizmów kontroli, - wpływ tych słabych stron na charakter, rozłożenie w czasie i stopień nasilenia technik audytu, które trzeba zastosować. Funkcje mechanizmów kontroli wewnętrznej, które zostaną uznane za krytyczne albo ważne dla zachowania siły określonego cyklu transakcji, są testowane i oceniane Testowanie Testowanie polega na określeniu i doborze reprezentatywnej próbki operacji, zbadaniu ich, porównaniu wyników z oczekiwaniami oraz dokonaniu ekstrapolacji wyników na badaną populację. Stosowanie prób statystycznych opartych na teorii prawdopodobieństwa pozwala na stawianie tez dotyczących większych zbiorów z określonym stopniem pewności, na podstawie badania pewnej części procentowej wszystkich elementów. Istnieją dwa podstawowe rodzaje testów: 1) testy zgodności, 2) testy wiarygodności Stwierdzenie stanu istniejącego Obowiązkiem Audytora wewnętrznego jest rzetelne, obiektywne i niezależne: - ustalenie stanu faktycznego w zakresie funkcjonowania jednostki, - określenie oraz analiza przyczyn i skutków uchybień, - przedstawienie zaleceń w sprawie usunięcia uchybień lub wprowadzenia usprawnień. Cechy dobrze opracowanych ustaleń audytu: - kryteria (wg jakich norm to stwierdzono?), - stwierdzenie stanu (gdzie jest błąd?), - przyczyna (dlaczego tak się stało?), - skutek (jaki to ma skutek?), - zalecenie (co należy zrobić?) Narada zamykająca Po zakończeniu zadania audytowego, w celu przedstawienia wstępnych wyników audytu wewnętrznego, Audytor wewnętrzny przeprowadza naradę zamykającą z udziałem kierownika komórki, w której był przeprowadzony audyt wewnętrzny. W naradzie mogą uczestniczyć także osoby sprawujące nadzór nad działalnością audytowanej komórki wskazani przez kierownika tej komórki pracownicy w niej zatrudnieni. Celem narady jest poinformowanie kierownictwa komórki poddanej audytowi o wynikach audytu, osiągnięcie porozumienia na temat ustaleń oraz zapoznanie się z działaniami naprawczymi zaplanowanymi lub już podjętymi w celu poprawy ewentualnych niedociągnięć ujawnionych przez audyt. Należy również przedstawić pozytywne mechanizmy kontroli wewnętrznej i zarządzania, zidentyfikowane podczas przeprowadzania audytu. Z przeprowadzonej narady zamykającej Audytor wewnętrzny sporządza protokół, który zawiera w szczególności informacje o celu, przebiegu i wyniku narady. Protokół z narady zamykającej podpisują prowadzący naradę Audytor wewnętrzny oraz kierownik komórki, w której jest przeprowadzany audyt wewnętrzny, albo osoba przez niego wskazana. W razie odmowy podpisania protokołu, Audytor wewnętrzny czyni o tym wzmiankę w protokole. Kierownik komórki, w której jest przeprowadzany audyt wewnętrzny albo osoba przez niego wskazana powinni niezwłocznie pisemnie uzasadnić przyczyny odmowy podpisania protokołu. Audytor wewnętrzny przekazuje kierownikowi audytowanej komórki, projekt sprawozdania z audytu wewnętrznego, przed terminem przeprowadzenia narady 16

17 zamykającej. 13. Sprawozdanie z przeprowadzenia audytu wewnętrznego Celem sprawozdań składanych Dyrektorowi Szpitala przez Audytora wewnętrznego jest dostarczenie obiektywnych informacji i zaleceń. Sprawozdanie z audytu wewnętrznego, stanowi wynik końcowy każdego zadania audytowego. Audytor wewnętrzny sporządza sprawozdanie z przeprowadzonego zadania audytowego, w którym przedstawia, w sposób jasny, rzetelny i zwięzły, ustalenia i wnioski poczynione w trakcie audytu wewnętrznego. Sprawozdanie powinno zawierać: 1) temat zadania, 2) cele zadania audytowego, 3) podmiotowy i przedmiotowy zakres zadania audytowego, 4) datę jego sporządzenia, 5) termin, w którym przeprowadzono zadanie audytowe, 6) nazwę i adres komórki, w której jest przeprowadzany audyt wewnętrzny, 7) imię i nazwisko audytorów wewnętrznych, uczestniczących w zadaniu audytowym, 8) podjęte czynności i zastosowane techniki przeprowadzania zadania audytowego, 9) zwięzły opis działań jednostki w obszarze objętym zadaniem, 10) ustalenia stanu faktycznego wraz z określeniem kryteriów dokonania ich oceny, 11) określenie oraz analizę przyczyn uchybień, 12) skutki lub ryzyka wynikające z uchybień, 13) zalecenia, 14) opinię audytora wewnętrznego w sprawie adekwatności, skuteczności i efektywności systemu zarządzania i kontroli w obszarze objętym zadaniem, 15) podpis audytora wewnętrznego. Jasne określenie celu zadania audytowego jest konieczne dla prawidłowej oceny jego wyników. Ustalenia są to stwierdzenia faktów. W sprawozdaniu powinny zostać przedstawione te ustalenia, które są konieczne dla ustalenia lub wyjaśnienia wniosków i zaleceń audytora. Ustalenia audytu powinny uwzględniać następujące czynniki: kryteria, stan, przyczyna, skutek. Analiza przyczyn i skutków znalezionych uchybień, to sporządzona przez audytora wewnętrznego ocena wpływu stanu faktycznego na badany rodzaj działalności i na całą jednostkę. W przypadku braku uchybień należy wyraźnie wskazać, że system funkcjonuje prawidłowo. Uwagi i wnioski w sprawie stwierdzonych uchybień stanowią zalecenia ulepszeń oraz plan działań naprawczych. Zalecenia mogą być ogólne lub szczegółowe i powinny wynikać z ustaleń i wniosków audytora wewnętrznego. Wszystkie sprawozdania powinny posiadać następujące cechy: Dokładność sprawozdania muszą być poparte faktami. Jest niezmiernie ważnym dla wiarygodności audytora wewnętrznego, aby zachować najwyższy poziom rzeczowej, bezstronnej i obiektywnej sprawozdawczości. Jasność sprawozdania muszą być jasne, zrozumiałe i nie powinny wymagać konieczności ich interpretowania ani ustnych wyjaśnień. Kwantyfikacja uwagi powinny mieć podany w maksymalnym możliwym stopniu wymiar ilościowy, aby pozwolić na ustalenie wagi i skutków oddziaływania wskazanych punktów. Przykłady kwantyfikacji stanowią ilości, liczby odchyleń w testach oraz zakresu testowania. Zwięzłość sprawozdania muszą być trafne i dotyczyć przedmiotu audytu. Niekoniecznie 17

18 oznacza to, że mają być krótkie. Rzetelność sprawozdania winny zachować równowagę, biorąc pod uwagę wrażliwość klientów audytu. Nacisk należy położyć na warunki poprawy, a nie na krytykę osób lub zdarzeń z przeszłości. Terminowość wszelkie sprawozdania muszą być sporządzane niezwłocznie po zakończeniu danego zadania audytowego. Przypisanie odpowiedzialności do konkretnych osób w sprawozdaniu należy określić kto, jak i kiedy powinien podejmować działania naprawcze. Sprawozdanie audytor wewnętrzny przekazuje kierownikowi komórki, w której jest przeprowadzany audyt wewnętrzny, po odbyciu narady zamykającej. W uzasadnionych przypadkach Audytor wewnętrzny może przekazać kierownikowi komórki audytowanej tylko te fragmenty sprawozdania, które dotyczą działalności kierowanej przez niego komórki. Kierownik komórki, w której jest przeprowadzany audyt wewnętrzny, może zgłosić na piśmie, w terminie określonym przez Audytora wewnętrznego, nie krótszym niż 7 dni od dnia otrzymania sprawozdania, dodatkowe wyjaśnienia lub umotywowane zastrzeżenia dotyczące treści sprawozdania. W razie zgłoszenia dodatkowych wyjaśnień lub zastrzeżeń, Audytor wewnętrzny dokonuje ich analizy i w miarę potrzeby podejmuje dodatkowe czynności wyjaśniające w tym zakresie, a w przypadku stwierdzenia zasadności całości lub części dodatkowych wyjaśnień lub zastrzeżeń - zmienia lub uzupełnia odpowiednią część albo całość sprawozdania. W razie nieuwzględnienia dodatkowych wyjaśnień lub zastrzeżeń, w całości lub w części, Audytor wewnętrzny przekazuje swoje stanowisko wraz z uzasadnieniem, na piśmie, kierownikowi komórki audytowanej. Dodatkowe wyjaśnienia lub zastrzeżenia oraz kopię stanowiska, Audytor wewnętrzny włącza do bieżących akt. Audytor wewnętrzny po rozpatrzeniu dodatkowych wyjaśnień lub zastrzeżeń, przekazuje kierownikowi jednostki, w której jest przeprowadzane zadanie zapewniające oraz kierownikowi komórki audytowanej po jednym egzemplarzu sprawozdania. W uzasadnionych przypadkach Audytor wewnętrzny może przekazać kierownikowi komórki audytowanej tylko te fragmenty sprawozdania, które dotyczą działalności kierowanej przez niego komórki. Trzeci egzemplarz sprawozdania włącza się do akt bieżących audytu. Kierownik komórki audytowanej, w terminie 14 dni od dnia otrzymania sprawozdania może zgłosić na piśmie kierownikowi jednostki, w której przeprowadzane jest zadanie zapewniające, swoje stanowisko wobec przedstawionego sprawozdania. Jeżeli kierownik komórki audytowanej, uzna zasadność zaleceń zawartych w sprawozdaniu, wyznacza osoby odpowiedzialne za ich realizację oraz ustala termin ich realizacji, powiadamiając o tym pisemnie Audytora wewnętrznego oraz kierownika jednostki, w której jest przeprowadzany zadanie audytowi, w terminie 14 dni od dnia otrzymania sprawozdania. W przypadku odmowy realizacji zaleceń kierownik komórki audytowanej powiadamia pisemnie Audytora wewnętrznego oraz kierownika jednostki, w której przeprowadzane jest zadanie, o przyczynach odmowy, w terminie 14 dni od dnia otrzymania sprawozdania. W przypadku gdy kierownik komórki audytowanej, we wskazanym terminie, nie ustali osób odpowiedzialnych oraz terminu realizacji zaleceń z audytu albo odmówi realizacji zaleceń, decyzję o realizacji zaleceń podejmuje kierownik jednostki, w której jest przeprowadzane zadanie, który wyznacza osoby odpowiedzialne za realizację zaleceń i ustala termin ich realizacji, powiadamiając o tym pisemnie Audytora wewnętrznego. Dyrektor Szpitala, na podstawie sprawozdania z przeprowadzenia audytu wewnętrznego, podejmuje działania mające na celu usunięcie uchybień lub usprawnienie funkcjonowania, informując o tym Audytora wewnętrznego. Jeżeli w terminie 2 miesięcy od dnia otrzymania sprawozdania z audytu wewnętrznego nie zostaną podjęte działania mające 18

19 na celu usunięcie uchybień, Dyrektor Szpitala informuje o tym Audytora wewnętrznego, uzasadniając brak podjęcia działań. 14. Czynności sprawdzające Czynności sprawdzające, to zespół czynności wykonywanych przez Audytora wewnętrznego w celu sprawdzenia czy i w jakim stopniu, Dyrektor Szpitala podjął kroki, zmierzające do wprowadzenia w życie zaleceń (uwag i wniosków) udzielonych w wyniku audytu lub czy Dyrektor Szpitala ocenił ryzyko związane z nie wdrożeniem danego zalecenia. Audytor wewnętrzny może przeprowadzić czynności sprawdzające, dokonując oceny działań jednostki, w której przeprowadzone było zadanie zapewniające, podjętych w celu realizacji zaleceń. W tym celu Audytor wewnętrzny może wystosować do kierowników komórek, do których skierowane były zalecenia, pisemne zapytanie o stan prac nad wdrożeniem zaleceń. Przed przystąpieniem do przeprowadzenia czynności sprawdzających Audytor wewnętrzny przygotowuje plan czynności sprawdzających, w którym zamieszcza się w szczególności: - oznaczenie zadania audytowego (czynności sprawdzających), - podmiotowy i przedmiotowy zakres czynności sprawdzających, - uwagi i wnioski (zalecenia) audytora wewnętrznego sformułowane w trakcie zadania audytowego, którego czynności sprawdzające dotyczą, - cel czynności sprawdzających, - wskazówki metodyczne, - założenia organizacyjne, - harmonogram przeprowadzenia czynności sprawdzających. Przed przystąpieniem do przeprowadzenia czynności sprawdzających Audytor wewnętrzny przeprowadza wywiad (rozmowę) z kierownikiem komórki poddawanej sprawdzeniu lub wyznaczonym przez niego pracownikiem. Przedmiotem wywiadu (rozmowy) powinno być ustalenie sposobu wykorzystania uwag i wniosków (zaleceń), stopnia zaawansowania prac nad wdrożeniem zaleceń oraz ewentualne efekty osiągnięte w wyniku realizacji zaleceń. Z wywiadu (rozmowy) Audytor wewnętrzny sporządza protokół. W trakcie czynności sprawdzających Audytor wewnętrzny wykorzystuje te techniki przeprowadzania audytu, które są niezbędne do osiągnięcia założonych celów. Czynności sprawdzające mogą obejmować kategorie działań o różnej skali, od rozmowy, poprzez zbadanie określonej procedury, aż po realizację od początku procesu zadania audytowego. Ustalenia poczynione w trakcie czynności sprawdzających Audytor wewnętrzny zamieszcza w notatce informacyjnej. Notatkę informacyjną audytor wewnętrzny przekazuje Dyrektorowi Szpitala, kierownikowi komórki, w której przeprowadzono czynności sprawdzające, a trzeci egzemplarz włącza do bieżących akt audytu wewnętrznego. 15. Dokumentacja Audytor wewnętrzny dokumentuje wszystkie czynności i zdarzenia, które mają istotne znaczenie dla ustaleń audytu wewnętrznego. Audytor wewnętrzny prowadzi: 1) bieżące akta audytu wewnętrznego ( akta bieżące ) w celu dokumentowania przebiegu oraz wyników audytu wewnętrznego, 2) stałe akta audytu ( akta stałe ), w celu gromadzenia informacji dotyczących obszarów ryzyka, które mogą być przedmiotem audytu wewnętrznego Bieżące akta audytu wewnętrznego Akta bieżące zawierają informacje niezbędne do sformułowania zaleceń, które będą zawarte w sprawozdaniu z przeprowadzenia audytu wewnętrznego. 19

20 Bieżące akta obejmują w szczególności: - imienne upoważnienie do przeprowadzania audytu wewnętrznego, - program zadania audytowego oraz dokumenty związane z jego przygotowaniem, - protokoły z narady otwierającej, zamykającej i narady z pracownikami komórki, w której jest przeprowadzony audyt wewnętrzny, - dokumenty sporządzone przez audytora wewnętrznego oraz dokumenty otrzymane od osób trzecich w trakcie przeprowadzania audytu wewnętrznego, - informacje i wyjaśnienia udzielane przez pracowników audytowanej jednostki, - informacje i dokumenty zgromadzone przed rozpoczęciem zadania audytowego w zakresie związanym z zadaniem audytowym, - oświadczenia dotyczące przedmiotu zadania zapewniającego, złożone przez pracowników komórki audytowanej, - sprawozdanie z przeprowadzenia audytu wewnętrznego, - dokumentację dotyczącą przeprowadzonych czynności sprawdzających, w tym notatkę informacyjną z czynności sprawdzających, - inne dokumenty o istotnym znaczeniu dla przeprowadzanego audytu wewnętrznego. Wymienione wyżej dokumenty włącza się do akt bieżących, w kolejności wynikającej z toku dokonywanych czynności, numerując je i zamieszczając na początku każdego tomu akt, wykaz materiałów zawartych w danym tomie, z podaniem ich numeru i nazwy. W przypadku wykonywania czynności doradczych audytor wewnętrzny włącza do akt bieżących dokumenty odpowiednie do rodzaju i charakteru podjętych czynności. Kierownik jednostki (Dyrektor Szpitala), w której przeprowadzane jest zadanie audytowe, lub osoba przez niego upoważniona ma prawo wglądu do bieżących akt audytu Najczęściej stosowane dokumenty robocze Kwestionariusz kontroli wewnętrznej (KKW) KKW jest dokumentem roboczym zawierającym pytania dotyczące systemu kontroli wewnętrznej. Odpowiedzi pomagają w ocenie systemu kontroli wewnętrznej. Informacje uzyskane przy użyciu KKW wymagają potwierdzenia z innych źródeł. Audytor wykorzystuje KKW zadając kierownictwu i pracownikom komórki audytowanej pytania otwarte i zamknięte. Pytania zamknięte są tak sformułowane, że można na nie tylko odpowiedzieć tak/nie. Tego typu odpowiedzi są łatwe do analizy i dostarczają audytorom informacji zarówno o systemie kontroli wewnętrznej jak i o audytowanych osobach. Weryfikacja informacji przekazanych przez audytowanych pozwala ocenić również ich wiarygodność. Pytania otwarte pozwalają audytowanym na swobodny opis kontroli. Odpowiedzi pozwalają zrozumieć zasady funkcjonowania systemu kontroli. KKW są stosowane w początkowej fazie audytu, aby audytor miał możliwość potwierdzenia odpowiedzi na zadane pytania. Kwestionariusz audytor wypełnia na podstawie odpowiedzi udzielonych przez audytowanego lub wypełniany jest wspólnie. Lista kontrolna (check list) Lista kontrolna jest podstawowym dokumentem, jakim dysponuje audytor. Ma wszechstronne zastosowanie. Może być stosowana na każdym etapie realizacji zadania audytowego. Zalety stosowania listy kontrolnej: - pomaga w ujednoliceniu uzyskanych informacji, - zapewnia standardowe podejście do przeprowadzonego badania, - zapobiega pominięciu w badaniu istotnych kontroli lub przewidywalnych faktów, - stosowanie list kontrolnych powoduje transfer wiedzy pomiędzy audytorami. Listy kontrolne są stosowane zarówno przez audytorów jak i audytowanych. Przy wykorzystaniu list kontrolnych przedmiotem zainteresowania audytora będzie sposób wykonywania i rejestrowania czynności nadzoru. Listy kontrolne powinny zawierać 20