Załącznik nr 2 do zarządzenia nr 656/AKW/2016 Prezydenta Miasta Kędzierzyn-Koźle z dnia 18 stycznia 2016 r. KSIĘGA PROCEDUR AUDYTU WEWNĘTRZNEGO Rozdział I Postanowienia ogólne 1. 1. Celem Księgi procedur audytu wewnętrznego, zwanej dalej Księgą procedur, jest określenie sposobu przeprowadzania audytu wewnętrznego w Urzędzie Miasta Kędzierzyn-Koźle oraz w gminnych jednostkach organizacyjnych. 2. Ilekroć w niniejszym dokumencie jest mowa o: 1) audycie wewnętrznym należy przez to rozmieć ogół działań, o których mowa w art. 272 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz.U. z 2013 r., poz. 885 z późn. zm.); 2) audytorze wewnętrznym należy przez to rozmieć pracownika Urzędu Miasta Kędzierzyn-Koźle, spełniającego warunki określone w art. 286 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz.U. z 2013 r., poz. 885 z późn. zm.); 3) Biurze AKW należy przez to rozumieć Biuro Audytu i Kontroli Wewnętrznej (AKW) funkcjonujące w strukturze organizacyjnej Urzędu Miasta Kędzierzyn-Koźle; 4) Gminie należy przez to rozumieć Gminę Kędzierzyn-Koźle; 5) kierowniku Biura AKW- należy przez to rozmieć osobę kierującą na zasadzie jednoosobowego kierownictwa działalnością Biura Audytu i Kontroli Wewnętrznej Urzędu Miasta Kędzierzyn-Koźle, posiadającą odpowiednie kwalifikacje i dyplom zawodowy audytora wewnętrznego; 6) komórce audytowanej należy przez to rozumieć każdą komórkę organizacyjną Urzędu Miasta oraz gminną jednostkę organizacyjną; 7) Prezydencie Miasta należy przez to rozmieć Prezydenta Miasta Kędzierzyn-Koźle; 8) rozporządzeniu metodologicznym należy przez to rozumieć rozporządzenie Ministra Finansów z dnia 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu (Dz. U. z 2015 r. poz. 1480); 9) standardzie należy przez to rozumieć wymaganie dotyczące wykonywania zakresu działań audytowych i oceny działalności audytu wewnętrznego, zawarte w Międzynarodowych standardach praktyki zawodowej audytu wewnętrznego, opracowanych przez The Institute of Internal Auditors (Instytut Audytorów Wewnętrznych IIA), jako standardy audytu wewnętrznego dla jednostek sektora finansów publicznych; 10) sprawozdaniu należy przez to rozumieć dokument sporządzony po zakończeniu zadania audytowego oraz dokument sprawozdawczy z wykonania rocznego planu audytu; 1
11) Urzędzie Miasta należy przez to rozmieć Urząd Miasta Kędzierzyn-Koźle; 12) zadaniu audytowym należy przez to rozumieć zadnie zapewniające lub czynności doradcze wymienione w planie audytu, bądź realizowane poza planem audytu z inicjatywy audytora wewnętrznego lub na wniosek Prezydenta Miasta; 13) zadaniu zapewniającym należy przez to rozumieć ogół działań w celu dostarczenia Prezydentowi Miasta oceny adekwatności, efektywności i skuteczności kontroli zarządczej. 2. Ustalając procedury i zasady służące kierowaniu audytem wewnętrznym uwzględniono interpretację standardu 2040 wskazującą, iż forma i zawartość zasad i procedur zależą od wielkości i struktury audytu wewnętrznego oraz złożoności jego pracy. 3. Audyt wewnętrzny przeprowadza się na podstawie pisemnego upoważnienia kierownika jednostki. Zakres informacji do imiennego upoważnienia określa rozporządzenie metodologiczne, a wzór upoważnienia jest określony w załączniku nr 1 i 2 do niniejszej Księgi procedur. Audytor otrzymuje roczne upoważnienie do realizacji zarówno zadań zapewniających, czynności doradczych oraz czynności sprawdzających. Audyt wewnętrzny poza planem realizowany jest na podstawie każdorazowo wydawanego upoważnienia. 4. Czas trwania zadania audytowego liczony jest w osobodniach i traktuje się jako czas od faktycznego rozpoczęcia czynności w komórce audytowanej do czasu przekazania komórce audytowanej sprawozdania wstępnego z przeprowadzonego zadania zapewniającego. Rozdział II Planowanie roczne audytu 5. Analiza ryzyka obejmuje w szczególności identyfikację obszarów działalności Gminy oraz ocenę ryzyka we wszystkich zidentyfikowanych obszarach działalności, zwanych dalej obszarami ryzyka. Kierownik Biura AKW z udziałem specjalisty ds. audytu i kontroli identyfikuje wszystkie obszary ryzyka tj. procesy, zjawiska lub problemy wymagające przeprowadzenia audytu. 6. Proces analizy ryzyka przeprowadzony dla potrzeb planowania rocznego jest dokumentowany a dokumentacja ta przechowywana jest w pozostałej dokumentacji audytu wewnętrznego. 7. Analiza ryzyka dla potrzeb planowania rocznego może być przeprowadzona z zastosowaniem metody matematycznej bądź szacunkowej - delfickiej. 8. O wyborze metody analizy ryzyka decyduje Kierownik Biura AKW. W praktyce w Urzędzie Miasta na etapie planowania rocznego stosuje się matematyczną metodę analizy ryzyka. 9. Opis ww. metod analizy ryzyka stanowi załącznik nr 3 i 4 do niniejszej Księgi procedur. 10. Zawartość rocznego planu audytu określa rozporządzenie metodologiczne. Mogą się w nim znaleźć również inne, dodatkowe informacje, o ile kierownik Biura AKW, Prezydent Miasta uznają je za wymagające wyszczególnienia. Plan audytu powinien być przygotowany na koniec roku poprzedzającego rok, którego dotyczy. 2
11. Rezultatem przeprowadzonej analizy ryzyka jest ranking zadań. Wyboru zadań audytowych dokonuje się głównie na podstawie metody opartej na analizie ryzyka. Stosując tę metodę należy wybrać do planu rocznego tyle zadań, ile audytor jest w stanie przeprowadzić posiadanymi zasobami. 12. W celu wyliczenia prawidłowego czasu pracy audytora wewnętrznego przeznaczonego na przeprowadzenie audytów, należy z ogólnej liczby dni roboczych w całym roku wydzielić dni robocze, które będą przeznaczone na inne działania, w tym: 1) szkolenia i rozwój zawodowy; 2) czynności organizacyjno administracyjne związane z pełnieniem funkcji kierownika Biura AKW; 3) urlopy i inne nieobecności; 4) rezerwę czasową wykorzystywaną m.in. na współpracę z innymi instytucjami oraz zadania o charakterze doraźnym. Rozdział III Program zadania zapewniającego 13. Zgodnie z 15 rozporządzenia metodologicznego audytor wewnętrzny sporządza Program zadania zapewniającego, który powstaje na zakończenie fazy planowania danego zadania. Program zadania zapewniającego stanowi szczegółowy plan pracy audytora w trakcie realizacji zadania. 14. Opracowując Program zadania zapewniającego audytor powinien w szczególności określić elementy wskazane w 16 rozporządzenia metodologicznego. Możliwe jest również uzupełnienie sprawozdania o inne istotne elementy, jeżeli audytor wewnętrzny uzna, że ich zamieszczenie będzie miało wpływ na prawidłową realizację zadania. Rozdział IV Sporządzenie sprawozdania z czynności audytowych 15. Sprawozdanie wstępne jest dokumentem, w którym audytor wewnętrzny uzgadnia pisemnie z komórką audytowaną wstępne wyniki audytu wewnętrznego. Audytor wewnętrzny sporządza sprawozdanie wstępne, w którym w sposób jasny, rzetelny i zwięzły przedstawia wstępne wyniki z przeprowadzonego zadania zapewniającego, w tym w szczególności ustalenia i propozycje zaleceń. 16. Sprawozdanie wstępne audytor wewnętrzny przekazuje do wiadomości kierownikowi komórki audytowanej. Kierownik jednostki audytowanej ma prawo zgłosić na piśmie w terminie 7 dni od dnia otrzymania sprawozdania wstępnego dodatkowe wyjaśnienia lub udokumentowane zastrzeżenia dotyczące ustaleń stanu faktycznego, analizy przyczyn i skutków stwierdzonych uchybień oraz zaleceń zawartych w sprawozdaniu. 17. W przypadku zgłoszenia dodatkowych wyjaśnień lub umotywowanych zastrzeżeń audytor wewnętrzny dokonuje ich analizy i w miarę potrzeby podejmuje dodatkowe czynności wyjaśniające w tym zakresie. W przypadku stwierdzenia zasadności całości 3
lub części tych wyjaśnień lub zastrzeżeń audytor wewnętrzny zmienia lub uzupełnia odpowiednią część lub całość sprawozdania wstępnego. 18. Zgłoszone wyjaśnienia lub zastrzeżenia włączane są do dokumentacji dotyczącej zadania audytowego. 19. Po rozpatrzeniu dodatkowych wyjaśnień lub zastrzeżeń komórki audytowanej co do treści zawartych w sprawozdaniu wstępnym w przypadku ich wniesienia, lub po upływie 7 dni od dnia otrzymania przez kierownika komórki audytowanej sprawozdania wstępnego w przypadku, gdy kierownik komórki audytowanej nie wniesie w tym terminie dodatkowych wyjaśnień lub zastrzeżeń dotyczących treści sprawozdania, audytor wewnętrzny sporządza sprawozdanie końcowe w trzech jednobrzmiących egzemplarzach i przekazuje po jednym egzemplarzu komórce audytowanej, Prezydentowi Miasta, jeden egzemplarz włącza do dokumentacji zadania audytowego. 20. Minimalne wymagania dotyczące zawartości sprawozdania z zadania zapewniającego zostały określone w 18 ust. 1 rozporządzenia metodologicznego. Możliwe jest również uzupełnienie sprawozdania o inne istotne informacje, jeżeli audytor wewnętrzny uzna, że ich zamieszczenie będzie miało wpływ na zrozumienie wyników audytu. 21. W przypadku objęcia zakresem zadania zapewniającego kilku komórek audytowanych audytor wewnętrzny może przekazać komórce audytowanej tylko tę część sprawozdania, która dotyczy działalności danej komórki. 22. Wynik czynności doradczych będzie zależał od charakteru tych czynności i może przyjąć formę notatki, raportu, podsumowania, streszczenia etc., które mogą zawierać rekomendacje, wnioski. Rozdział V Monitoring, czynności sprawdzające 23. Monitorowanie polega na sprawdzeniu, jaki jest stan realizacji zaleceń przez audytowanego. 24. W celu monitorowania realizacji zaleceń audytor wewnętrzny może, po upływie terminów realizacji zaleceń określonych przez kierownika komórki audytowanej wystosować pisemne zapytanie o informację na temat faktycznych działań podjętych w celu realizacji zaleceń oraz stopnia ich realizacji do osoby lub też do osób odpowiedzialnych za realizację zaleceń z audytu zawartych w sprawozdaniu. Wzór informacji stanowi załącznik nr 5 do Księgi procedur. Uzyskaną informację załącza się do akt sprawy zadania zapewniającego, którego monitorowanie dotyczy. 25. Wybór najbardziej odpowiedniej formy monitorowania pozostawia się każdorazowo audytorowi wewnętrznemu, który dokonując takiego wyboru powinien uwzględniać potrzeby informacyjne kierownika jednostki. 26. Audytor wewnętrzny przeprowadza czynności sprawdzające dokonując oceny działań jednostki podjętych w celu realizacji zaleceń. Przeprowadzanie czynności sprawdzających ma na celu ocenę skuteczności działań wdrożonych na podstawie zaleceń (na ile zalecenia zamknęły określone ryzyka lub usprawniły działalność audytowanego). W tym celu audytor uzyskuje dostęp do zasobów komórek audytowanych w takim samym zakresie, jak w czasie przeprowadzonego wcześniej zadania zapewniającego. 4
27. Przeprowadzenie czynności sprawdzających jest obligatoryjne. Termin przeprowadzenia czynności sprawdzających jest określany z uwzględnieniem informacji otrzymanych od osoby odpowiedzialnej za realizację zaleceń z audytu, dotyczących terminu ich wdrożenia. Wynik czynności sprawdzających audytor wewnętrzny przedstawia w notatce informacyjnej Prezydentowi Miasta i komórce audytowanej. Jeden egzemplarz notatki włącza się do bieżących akt zadania audytowego, którego dotyczyły przeprowadzone czynności sprawdzające. Wzór notatki informacyjnej stanowi załącznik nr 6 do Księgi procedur. 28. Ogólna ocena skuteczności zaleceń zrealizowanych przez komórkę audytowaną (potwierdzenie, albo niepotwierdzenie, że wdrożone zalecenia przyczyniły się do poprawy funkcjonowania komórki audytowanej) może zostać wyrażona w stopniu: 1) pozytywnym - dokonujący oceny uznał, że w odpowiednich strukturach, zasadach i procedurach działalności, jak również procesach wprowadzono wszystkie zaplanowane zalecenia. Potwierdzenie, że wdrożone zalecenia przyczyniły się do poprawy funkcjonowania komórki audytowanej. Oznacza to, ze istnieje generalna zgodność faktycznego wykonania zaleceń z deklarowanym stopniem ich wdrożenia Ocena pozytywna wymaga kompletnej/ perfekcyjnej zgodności, sytuacji idealnej w wdrożeniu zaleceń; 2) pozytywnym z zastrzeżeniami - dokonujący oceny uznał, że komórka audytowana podjęła w dobrej wierze wysiłki, aby wprowadzić pojedyncze zalecenia, ale nie udaje się wdrożyć niektórych ważnych rekomendacji. Oceniający potrafi wskazać znaczne możliwości poprawy i udoskonaleń w skutecznym wdrożeniu zaleceń. 3) negatywnym dokonujący oceny uznał, że komórka audytowana nie bierze pod uwagę, nie czyni wysiłków w dobrej wierze, aby działać zgodnie z zaleceniami lub nie wdrożyła wielu lub żadnych zaleceń, lub stwierdzono brak realizacji zaleceń, których priorytet ustalenia kształtował się na poziomie wysokim, które może doprowadzić lub doprowadziło do istotnych negatywnych skutków dla badanego systemu/procesu; jego wynikiem może być w szczególności poważne zakłócenie funkcjonowania systemu, nieefektywne lub niecelowe wykorzystanie zasobów, straty finansowe, naruszenie powszechnie obowiązujących przepisów, w szczególności prowadzące do odpowiedzialności prawnej; nierzetelna ewidencja lub sprawozdawczość. Rozdział VI Sprawozdanie roczne z prowadzenia audytu wewnętrznego 29. Do końca stycznia każdego roku audytor wewnętrzny przedstawia Prezydentowi Miasta Sprawozdanie z prowadzenia audytu wewnętrznego. Wzór tego sprawozdania stanowi załącznik nr 7 do Księgi procedur. Rozdział VII Klasyfikacja, rejestracja i znakowanie spraw z zakresu audytu wewnętrznego 30. Dokumenty tworzone w Biurze Audytu i Kontroli Wewnętrznej rejestruje się i znakuje według zasad i trybu wykonywania czynności kancelaryjnych określonych rozporządzeniem Prezesa Rady Ministrów z dnia 18 stycznia 2011 roku w sprawie instrukcji kancelaryjnej, 5
jednolitych rzeczowych wykazów akt oraz instrukcji w sprawie organizacji i zakresu działania archiwów zakładowych (Dz. U z 2011 r. Nr 14, poz.67). 31. Akta audytu przekazuje się do archiwum zakładowego zgodnie z obowiązującymi przepisami prawa i według zasad określonych w Urzędzie Miasta Kędzierzyn-Koźle. Rozdział VIII Metody i techniki audytu wewnętrznego 32. 1. Przeprowadzając zadanie audytowe, audytor wewnętrzny może stosować różne metody i techniki, uwzględniając związane z tym koszty. Opisane poniżej techniki pozwalające na zebranie dowodów audytowych stanowią jedynie przykładowy katalog: 1) Testy przeglądowe pozwalające zrozumieć zasady funkcjonowania audytowanego systemu i zidentyfikować mechanizmy kontrolne, które w następnej kolejności zostaną zweryfikowane przy pomocy testów zgodności. Przygotowanie do przeprowadzenia testu przeglądowego polega na zapoznaniu się z obowiązującą procedurą, z istniejącym diagramem procesu. Podstawowym celem testu jest znalezienie dowodów potwierdzających istnienie mechanizmów kontroli, np. poprzez obserwację funkcjonowania systemu na różnych etapach lub prześledzenie jednej transakcji od początku do końca; 2) Testy zgodności dostarczające dowodów na przestrzeganie ustalonych procedur. Ocenie podlega system kontroli a nie wartość transakcji, a po stwierdzeniu odstępstwa ocenia się jego istotność. W testach zgodności wykorzystuje się następujące techniki: a) obserwacja / oględziny - polegająca na wizytacji pomieszczeń komórki organizacyjnej, poddawanej badaniu, technika ta może także polegać na obserwowaniu wykonywania zadań przez pracowników jednostki, b) rozmowa są przeprowadzane na wszystkich etapach audytu. Audytor może przeprowadzać wywiady z pracownikami zatrudnionymi na różnych szczeblach. Istotne ustalenia z wywiadu audytor musi potwierdzić innymi dowodami. Wszystkie informacje słowne, które mogą potwierdzić jakiś wniosek w dokumentacji roboczej audytu, należy udokumentować, c) powtórzenie czynności - powtórzenie przez audytora krok po kroku wszystkich czynności związanych z daną transakcją i przestrzeganie przy tym istniejących procedur oraz wykonywanie obliczeń, d) weryfikacja - ustalenie, czy transakcja faktycznie miała miejsce, była ważna i została prawidłowo zaksięgowana; zadaniem audytora jest ocena mechanizmów kontrolnych, a nie potwierdzenie samej transakcji; poprzez weryfikację audytor uzyskuje rozsądne zapewnienie, że kontrole są powiązane z operacjami i funkcjonują właściwie. Stosowane metody weryfikacji to: - porównanie z korespondującymi faktami lub standardami, np. czy stosowane procedury są aktualne lub czy pracownicy przeszli wymagane szkolenia, - potwierdzenie (pozytywne lub negatywne), - testy gwarancji (zestawienie transakcji z wymaganą dokumentacją, np. zestawienie faktury z kosztorysem i dokumentacją odbioru prac). 3) Testy rzeczywiste służące zgromadzeniu dowodów kompletności, dokładności oraz ważności informacji zawartych w zapisach księgowych. Wykonywane są po testach 6
zgodności. W zależności od wyniku testów zgodności audytor określa zakres testów rzeczywistych. Pozytywny wynik testów zgodności pozwala zrezygnować lub ograniczyć zakres i skalę testów rzeczywistych. W testach rzeczywistych kontroli podlega transakcja, a nie system kontroli; 4) Procedury analityczne stanowiące dla audytora narzędzie do oceny informacji zebranych w trakcie badania. Polegają na analizie relacji pomiędzy danymi finansowymi lub niefinansowymi z różnych okresów lub różnych jednostek, dokonywanej w celu stwierdzenia zgodności i przewidywanych tendencji lub znaczących odchyleń i niespodziewanych związków; 5) Metoda rozpoznawczego badania próbek posługująca się pobieraniem próbek losowych jako narzędziem dostępnym do wykorzystania w połączeniu z wieloma innymi testami. Wyróżnia się następujące podstawowe metody doboru próby: - losowanie statystyczne wymaga spełnienia warunku, aby wszystkie jednostki populacji miały równą szansę wyboru do próby, - losowanie intuicyjne dokonanie wyboru odbywa się na podstawie profesjonalnej oceny audytora i może być uzasadnione przez np. wartość jednostek populacji, poziom ryzyka, poziom reprezentatywności, - losowanie systematyczne wymaga wyliczenia stałego przedziału losowania, tzw. interwału. Interwał wyznacza się dzieląc populację przez liczebność próby; pierwszą jednostkę do próby wybieramy losowo z przedziału od 1 do wartości interwału; jeżeli interwał oznaczymy jako i, pierwszą jednostkę do próby jako p, a liczebność próby jako n, to wówczas do próby trafią jednostki o numerach: p, p+i, p+2i,p+(n-1)i, - losowanie na chybił trafił stosuje się je wtedy, gdy trudno zastosować inne metody, np. kiedy jednostkom populacji nie można przyporządkować kolejnych numerów. 6) Graficzna analiza procesów, oznaczająca to posługiwanie się siatką graficzną do sporządzenia wykresu lub schematu czynności, które muszą zostać wykonane, aby dane zadanie lub proces można było z powodzeniem doprowadzić do końca. Głównym celem sporządzania schematu graficznego jest identyfikacja kluczowych atrybutów kontrolnych tych, dzięki którym osiąga się cele kontrolne; Rozdział IX Postanowienia końcowe 33. W zakresie spraw nie ujętych w niniejszej Księdze procedur mają zastosowanie przepisy powszechnie obowiązujące, w szczególności przepisy rozporządzenia metodologicznego. 7