PODRĘCZNIK AUDYTU WEWNĘTRZNEGO

Załącznik do Zarządzenia Nr.44/ZAWiK/2016 Prezydenta Miasta Słupska z dnia 27 stycznia 2016 r. PODRĘCZNIK AUDYTU WEWNĘTRZNEGO Zespołu Audytu Wewnętrznego i Kontroli w Urzędzie Miejskim w Słupsku 1

Rozdział I Postanowienia ogólne. 1 1. Podręcznik audytu wewnętrznego jest dokumentem określającym metodykę przeprowadzania audytu wewnętrznego, jak również stanowi zbiór wzorów druków stosowanych przez audytorów wewnętrznych Zespołu Audytu Wewnętrznego i Kontroli w Urzędzie Miejskim w Słupsku. 2. Podręcznik audytu wewnętrznego w szczególności opisuje w sposób praktyczny następujące zagadnienia: 1) Roczny plan audytu, 2) zadania audytowe: zapewniające i czynności doradcze, 3) czynności sprawdzające, 4) system monitorowania zaleceń, 5) Sprawozdanie z wykonania Rocznego planu audytu. Rozdział II Podstawy prawne metodyki wykonywania audytu wewnętrznego. 2 1. W Urzędzie Miejskim w Słupsku audyt wewnętrzny prowadzony jest przez Zespół Audytu Wewnętrznego i Kontroli. 2. Audyt wewnętrzny wykonywany jest w oparciu o następujące akty prawne: 1) ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2013 r., poz. 885), 2) rozporządzenia Ministra Finansów z dnia 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu (Dz. U. z 2015 r. poz. 1480), 3) komunikatu Nr 2 Ministra Finansów z dnia 17 czerwca 2013 r. w sprawie standardów audytu wewnętrznego w jednostkach sektora finansów publicznych (Dz. Urz. Ministra Finansów z 2013 r. poz. 15). I. Postanowienia ogólne. Rozdział III Roczny plan audytu. 3 1. Dyrektor Zespołu Audytu Wewnętrznego i Kontroli w terminie do 31 grudnia sporządza Roczny plan audytu, zgodnie ze wzorem stanowiącym załącznik nr 1. 2. Zgodnie z art. 283 ust. 3 ustawy o finansach publicznych (Dz. U. Z 2013 poz. 885) Roczny plan audytu zatwierdzany jest przez Prezydenta Miasta Słupska. 3. Po zatwierdzeniu Rocznego planu audytu, Dyrektor ZAWiK informuje o planowanym przeprowadzeniu zadań audytowych dyrektorów wydziałów, pracowników na samodzielnych stanowiskach oraz dyrektorów podległych jednostek organizacyjnych, objętych Rocznym planem audytu. 4. Zatwierdzony Roczny plan audytu podlega publikacji w Biuletynie Informacji Publicznej. 2

5. Roczny plan audytu powinien zawierać w szczególności: 1) obszary działalności, w których zostaną przeprowadzone zadania zapewniające, 2) czas planowany w osobodniach na realizację poszczególnych zadań zapewniających, 3) czas planowany w osobodniach na realizację poszczególnych czynności doradczych, 4) czas planowany w osobodniach na realizację poszczególnych czynności sprawdzających i monitorowanie realizacji zaleceń, 5) czas planowany w osobodniach na kontynuację zadań audytowych z roku poprzedniego. II. Analiza i ocena ryzyka. 4 1. Roczny plan audytu opiera się na udokumentowanej analizie i ocenie ryzyka przeprowadzonej co najmniej raz w roku. 2. Dyrektor ZAWiK przeprowadzając analizę ryzyka uwzględnia zakres odpowiedzialności Prezydenta Miasta Słupska za funkcjonowanie kontroli zarządczej oraz bierze pod uwagę w szczególności: 1) cele i zadania Urzędu Miejskiego w Słupsku, 2) ryzyka wpływające na realizację celów i zadań Urzędu Miejskiego w Słupsku, 3) wyniki innych audytów i kontroli. 3. W wyniku przeprowadzonej analizy ryzyka Dyrektor ZAWiK sporządza listę wszystkich obszarów ryzyka i dokonuje oceny ryzyka. 4. Ocena ryzyka dokonywana jest w oparciu o następujące kryteria dla każdego obszaru ryzyka: 1) kategorie ryzyka, 2) data ostatniego audytu, 3) priorytety Prezydenta Miasta Słupska. 5. Ocena ryzyka wg kryterium kategorii ryzyka dokonywana jest dla każdego obszaru ryzyka w oparciu o przyznane punkty przez Dyrektora ZAWiK w skali od 1 do 4, stosując skalę wagową zawartą w załączniku nr 2 oraz stosując algorytm: {(istotność x waga I) + (jakość zarządzania x waga JZ) + (kontrola wewnętrzna x waga KW) + (czynniki zewnętrzne x waga CZ) + (czynniki operacyjne x waga CO)} / 4 x 100 % (dzielenie przez 4 wynika z czterostopniowej skali przyznawania punktów) 6. Ocena ryzyka wg kryterium daty ostatniego audytu dokonywana jest dla każdego obszaru ryzyka w oparciu o wartość czynnika upływu czasu: 1) audyt przeprowadzony 1-2 lata temu 0 punktów, 2) audyt przeprowadzony 3-4 lata temu 1 punkt, 3) audyt przeprowadzony 5-6 lat temu 2 punkty, 4) audyt przeprowadzony ponad 6 lat temu lub nigdy 3 punkty. oraz stosując algorytm: ocena ryzyka wg kryteriów ryzyka + wartość czynnika upływu czasu / 30 (dzielenie przez 30 wynika z ograniczenia czynnika upływu czasu) 7. Ocena ryzyka wg kryterium priorytetów Prezydenta Miasta Słupska dokonywana jest w oparciu o przyznane przez Prezydenta priorytety dla każdego obszaru ryzyka w skali od 1 do 4, gdzie 1 oznacza małe ryzyko a 4 duże oraz stosując algorytm: wartość priorytetu Prezydenta x wartość czynnika upływu czasu / 10 (dzielenie przez 10 wynika z matematycznego sprowadzenia liczby do układu dziesiętnego) 8. Końcową ocenę ryzyka poszczególnych obszarów ryzyka uzyskuje się poprzez zastosowanie algorytmu: ocena ryzyka wg kryteriów ryzyka + ocena ryzyka wg daty ostatniego audytu + ocena ryzyka wg priorytetów Prezydenta 3

9. Końcowe wyniki oceny ryzyka dla poszczególnych obszarów ryzyka stanowią podstawę do sporządzenia listy obszarów ryzyka stosując następującą skalę wielkości ryzyka: 1) najwyższe, 2) wysokie, 3) średnie, 4) niskie. 5 III. Analiza zasobów osobowych. 1. Analizę zasobów osobowych dokonuje Dyrektor ZAWiK w ramach sporządzanego Rocznego planu audytu. 2. Czas na realizację zadania audytowego wyrażony jest w osobodniach (1 dzień roboczy na 1 audytora). 3. Dyrektor ZAWiK planując ilość osobodni pracy audytora wewnętrznego uwzględnia w szczególności: 1) czas przeznaczony na szkolenia i rozwój zawodowy, 2) czas przeznaczony na czynności organizacyjne, 3) urlopy i inne nieobecności, 4) rezerwę czasową na inne nieprzewidziane czynności. 4. Dyrektor ZAWiK dokonując analizy zasobów osobowych na potrzeby Rocznego planu audytu bierze pod uwagę między innymi: 1) liczbę pracowników, 2) informację na temat wykorzystania dostępnych zasobów osobowych w poprzednich latach, 3) wiedzę, kwalifikacje i doświadczenie pracowników. 6 IV. Planowanie czasu na realizację zadań zapewniających, czynności doradczych oraz czynności sprawdzających i monitorowania realizacji zaleceń. 1. Planowanie czasu na realizację zadań zapewniających, czynności doradczych oraz czynności sprawdzających i monitorowania zaleceń objętych Rocznym planem audytu uzależnione jest od wielkości ryzyka. 2. W celu przyporządkowania poszczególnym zadaniom audytowym odpowiednią ilość osobodni stosuje się następującą skalę: 1) dla zadania o najwyższym ryzyku 80 osobodni, 2) dla zadania o wysokim ryzyku 60 osobodni, 3) dla zadania o średnim ryzyku 45 osobodni, 4) dla zadania o niskim ryzyku 30 osobodni. 4

Rozdział IV Zadania audytowe: zapewniające i czynności doradcze. I. Zadanie audytowe. 7 Zadaniem audytowym są zadanie zapewniające i czynności doradcze. II. Zadanie zapewniające. 8 1. Zadaniem zapewniającym jest zespół działań podejmowanych w celu dostarczenia Prezydentowi Miasta Słupska niezależnej i obiektywnej oceny kontroli zarządczej. 2. Audytor wewnętrzny wykonuje zadania zapewniające na podstawie imiennego upoważnienia, udzielonego przez Prezydenta Miasta Słupska, które w szczególności powinno zawierać: 1) imię i nazwiska audytora wewnętrznego, 2) nazwę komórki lub jednostki audytowanej, 3) termin ważności upoważnienia, 4) podpis Prezydenta Miasta Słupska ze wskazaniem imienia i nazwiska. 3. Dyrektor ZAWiK zawiadamia dyrektorów wydziałów, pracowników na samodzielnych stanowiskach pracy lub dyrektorów podległych jednostek organizacyjnych objętych zadaniem, o terminie rozpoczęcia zadania zapewniającego. 4. Audytor wewnętrzny wraz z rozpoczęciem przeprowadzania zadania zapewniającego aż do jego zakończenia prowadzi Ewidencję wykorzystania czasu pracy według wzoru stanowiącego załącznik nr 3. 5. Rozpoczynając realizację zadania zapewniającego audytor wewnętrzny przeprowadza przegląd wstępny, który polega w szczególności na: 1) zapoznaniu się z celami i obszarem działalności komórki lub jednostki, w której zostanie zrealizowane zadanie, 2) dokonaniu identyfikacji i oceny ryzyka, po uwzględnieniu mechanizmów kontrolnych, 3) uzgodnieniu z audytowanym kryteriów oceny mechanizmów kontrolnych w obszarze działalności komórki lub jednostki objętych zadaniem audytowym. 6. Audytor wewnętrzny przeprowadza naradę otwierającą, podczas której między innymi uzgadnia z audytowanym kryteria oceny mechanizmów kontrolnych. 7. W wyniku przeprowadzonej narady otwierającej audytor wewnętrzny sporządza Notatkę z narady otwierającej, której wzór stanowi załącznik nr 4. 8. Po przeprowadzeniu przeglądu wstępnego audytor sporządza Program zadania audytowego, według wzoru stanowiącego załącznik nr 5, który zawiera w szczególności: 1) temat zadania, 2) cele zadania, 3) podmiotowy i przedmiotowy zakres zadania, 4) istotne ryzyka w obszarze ryzyka objętym zadaniem, 5) sposób przeprowadzenia zadania tj. dobór próby, narzędzia i techniki przeprowadzenia zadania, 6) uzgodnione kryteria oceny mechanizmów kontrolnych, 7) datę rozpoczęcia i zakończenia zadania audytowego. 9. Program zadania audytowego zatwierdza Dyrektor ZAWiK. 5

10. W trakcie przeprowadzania zadania zapewniającego audytor wewnętrzny gromadzi, analizuje, ocenia i dokumentuje otrzymane informacje stanowiące podstawę do tworzenia dokumentów roboczych, do których należą między innymi: 1) ścieżka audytu, 2) kwestionariusz samooceny, 3) lista kontrolna. 11. Po zakończeniu zadania zapewniającego audytor wewnętrzny przeprowadza naradę zamykającą, w trakcie której prezentuje ustalenia stanu faktycznego i propozycje zaleceń oraz sporządza Notatkę z narady zamykającej według wzoru stanowiącego załącznik nr 6. 12. Wyniki przeprowadzonego zadania zapewniającego audytor wewnętrzny formułuje w postaci projektu sprawozdania. 13. Projekt sprawozdania audytor wewnętrzny przekazuje dyrektorowi wydziału, pracownikowi na samodzielnym stanowisku pracy lub dyrektorowi podległej jednostki organizacyjnej objętych zadaniem zapewniającym, którzy w terminie określonym przez audytora wewnętrznego, nie krótszym niż 7 dni kalendarzowych od otrzymania projektu sprawozdania, mogą zgłosić na piśmie dodatkowe wyjaśnienia. 14. Audytor wewnętrzny po rozpatrzeniu lub odrzuceniu dodatkowych wyjaśnień sporządza Sprawozdanie z przeprowadzonego zadania zapewniającego, które przekazuje dyrektorowi wydziału, pracownikowi na samodzielnym stanowisku pracy, dyrektorowi podległej jednostki organizacyjnej objętych zadaniem zapewniającym. 15. Sprawozdanie z zadania zapewniającego powinno zawierać w szczególności: 1) temat i cel zadania, 2) zakres podmiotowy i przedmiotowy zadania, 3) datę rozpoczęcia zadania, 4) ustalenia i ocenę według kryteriów przyjętych w programie zadania zapewniającego, 5) zalecenia, 6) odniesienie audytora do zastrzeżeń do projektu sprawozdania, 7) ogólną ocenę adekwatności, skuteczności i efektywności kontroli zarządczej w obszarze działalności audytowanej komórki lub jednostki, 8) datę sporządzenia zadania audytowego, 9) imię i nazwisko audytora realizującego zadanie audytowe oraz jego podpis. 16. Dyrektor wydziału, pracownik na samodzielnym stanowisku pracy lub dyrektor podległej jednostki organizacyjnej objętych zadaniem audytowym, po otrzymaniu Sprawozdania z przeprowadzonego zadania zapewniającego w ciągu 14 dni kalendarzowych przedstawia na piśmie audytorowi wewnętrznemu termin i sposób realizacji zawartych w Sprawozdaniu zaleceń oraz osoby odpowiedzialne za ich realizację. 17. W przypadku odmowy przez audytowanego realizacji zaleceń, w ciągu 7 dni kalendarzowych od dnia otrzymania Sprawozdania, audytowany przedstawia Prezydentowi Miasta Słupska i audytorowi wewnętrznemu pisemne stanowisko. 18. W przypadku nie złożenia przez audytowanego w powyższym terminie pisemnego stanowiska, audytor wewnętrzny przedstawia Prezydentowi Miasta Słupska Sprawozdanie z przeprowadzonego zadania audytowego stanowiącego ocenę funkcjonowania systemu kontroli zarządczej w audytowanym obszarze. 19. Prezydent Miasta Słupska będąc odpowiedzialnym za zapewnienie adekwatnego, skutecznego i efektywnego systemu kontroli zarządczej w Mieście Słupsk podejmuje decyzję w zakresie zaleceń wydanych przez audytora wewnętrznego. 20. W przypadku złożenia przez audytowanego pisemnego stanowiska Prezydent Miasta Słupska po zapoznaniu się z argumentami audytowanego i audytora wewnętrznego podejmuje ostateczną decyzję w sprawie zaleceń wydanych przez audytora w wyniku przeprowadzonego zadania audytowego. 6

21. Prezydent Miasta Słupska podejmując decyzję o realizacji zaleceń wydanych przez audytora wskazuje również osobę odpowiedzialną za ich realizację oraz ustala termin zakończenia realizacji zaleceń. 22. W przypadku podjęcia przez Prezydenta Miasta Słupska decyzji o nie realizowaniu zaleceń wydanych przez audytora wewnętrznego, nie wykonywane są czynności sprawdzające. III. Czynności doradcze. 9 1. Czynności doradcze stanowią inne niż zadania zapewniające działania, których zakres i charakter jest uzgodniony z Prezydentem Miasta Słupska, a których celem jest wspieranie Prezydenta Miasta Słupska w realizacji celów i zadań poprzez systematyczną ocenę systemu kontroli zarządczej. 2. Audytor wewnętrzny przeprowadza czynności doradcze wynikające z Rocznego planu audytu oraz poza planem - na wniosek Prezydenta Miasta Słupska lub z inicjatywy audytora wewnętrznego. 3. Audytor wewnętrzny powstrzymuje się od wykonywania czynności doradczych, które prowadzą do przejęcia przez audytora wewnętrznego obowiązków, odpowiedzialności lub uprawnień wchodzących w zakres zarządzania Urzędem Miejskim w Słupsku lub podległymi jednostkami organizacyjnymi. 4. Do czynności doradczych wykonywanych poza Rocznym planem audytu mogą należeć między innymi: 1) uczestnictwo w zespołach zadaniowych w celu przeprowadzenia analizy działalności operacyjnej, wydawania zaleceń, 2) nieformalne porady, analizy lub oceny, 3) uczestnictwo w stałych lub czasowych zespołach projektowych, 4) konsultacje, doradztwo, usprawnienie oraz szkolenie, 5) zadanie audytowe. 5. Sposób wykonania i dokumentowania przebiegu oraz wyniku czynności doradczych powinien być odpowiedni do rodzaju i charakteru działań podjętych przez audytora wewnętrznego. 6. W wyniku przeprowadzonych czynności doradczych audytor wewnętrzny przedstawia Prezydentowi Miasta Słupska opinie lub wnioski dotyczące usprawnienia funkcjonowania audytowanej jednostki. Rozdział V Czynności sprawdzające. 10 1. Czynności sprawdzające stanowią ocenę sposobu wdrożenia i skuteczności zaleceń zrealizowanych przez audytowanego. 2. W trakcie czynności sprawdzających audytor wewnętrzny dokonuje oceny skuteczności zrealizowanych zaleceń poprzez sprawdzenie, czy ich wdrożenie przyniosło oczekiwane efekty i przyczyniło się do poprawy realizacji zadań w badanym obszarze. 3. Wyniki i oceny czynności sprawdzających audytor wewnętrzny umieszcza w notatce informacyjnej, którą przekazuje dyrektorowi wydziału, pracownikowi na samodzielnym stanowisku, dyrektorowi podległej jednostki organizacyjnej objętych zadaniem audytowym oraz Prezydentowi Miasta Słupska. 4. Przedstawiona Prezydentowi Miasta Słupska informacja zawiera potwierdzenie czy wdrożone zalecenia przyczyniły się do poprawy funkcjonowania audytowanej jednostki. 7

Rozdział VI System monitorowania zaleceń 11 1. Celem monitorowania zaleceń jest sprawdzenie w jakim stopniu zostały one zrealizowane lub na jakim etapie jest proces wdrażania zmian. 2. Monitorowanie zaleceń odbywa się na podstawie Rocznego planu audytu lub poza planem. 3. Monitorowanie zaleceń służy: 1) zwiększeniu skuteczności audytu wewnętrznego, 2) dostarczeniu Prezydentowi Miasta Słupska dodatkowych informacji na temat audytowanych wydziałów lub jednostek, które mogą mieć wpływ na podejmowanie decyzji, 3) profesjonalizacji działania audytowanego wydziału lub podległej jednostki organizacyjnej, poprzez zachęcanie do poszukiwania skutecznych metod i praktyk, 4) jako miernik efektywności pracy audytorów wewnętrznych. 4. Monitorowanie realizacji zaleceń odbywa się w oparciu o: 1) informacje o sposobie realizacji zaleceń lub przyczynach niepodjęcia ich realizacji, uzyskane po zakończeniu zadania audytowego, 2) informacje o sposobie realizacji zaleceń lub przyczynach niepodjęcia ich realizacji, uzyskane na wniosek audytora wewnętrznego, 3) wyniki czynności sprawdzających. 5. W celu realizacji monitoringu zaleceń audytorzy wewnętrzni prowadzą Rejestr zaleceń, który zawiera w szczególności: 1) zakres przedmiotowy zadania audytowego, 2) zakres podmiotowy zadania audytowego, 3) datę przeprowadzenia zadania audytowego, 4) wydane zalecenia, 5) stan realizacji zaleceń. 6. Proces monitorowania zaleceń ma charakter ciągły, aż do momentu zakończenia wdrażania zaleceń. 7. Wyniki monitoringu zaleceń przedstawiane są Prezydentowi Miasta Słupska wraz ze Sprawozdaniem z realizacji Rocznego planu audytu. Rozdział VII Sprawozdanie z wykonania Rocznego planu audytu 12 1. W terminie do 31 stycznia każdego roku Dyrektor ZAWiK sporządza Sprawozdanie z realizacji planu audytu, według wzoru stanowiącego załącznik nr 7. 2. Zgodnie z art. 283 ust. 5 ustawy o finansach publicznych (Dz. U. Z 2013 poz. 885) Dyrektor ZAWiK przedstawia Prezydentowi Miasta Słupska Sprawozdanie z wykonania Rocznego planu audytu, celem zatwierdzenia. 3. Sprawozdanie z wykonania Rocznego planu audytu powinno zawierać w szczególności: 1) informacje o wszystkich zrealizowanych zadaniach zapewniających, czynnościach doradczych oraz czynnościach sprawdzających i monitorowaniu zaleceń wraz z odniesieniem do Rocznego planu audytu, 2) inne istotne informacje związane z funkcjonowaniem audytu wewnętrznego w roku poprzednim, w tym dotyczące przeprowadzenia oceny wewnętrznej i zewnętrznej audytu wewnętrznego. 8

4. Zatwierdzone Sprawozdanie z wykonania Rocznego planu audytu podlega publikacji w Biuletynie Informacji Publicznej. Rozdział VIII Dokumentowanie zadania audytowego 13 1. Audytor wewnętrzny dokumentuje wszystkie czynności i zdarzenia mające znaczenie dla prowadzenia audytu wewnętrznego w Urzędzie Miejskim w Słupsku. 2. Dokumentację prowadzoną przez audytora wewnętrznego stanowią: 1) dokumentacja dotycząca zadania audytowego (akta bieżące), 2) pozostała dokumentacja, w szczególności upoważnienia, dokumentacja związana z przygotowaniem planu audytu, plan audytu, sprawozdanie z realizacji planu audytu, wyniki oceny wewnętrznej i zewnętrznej audytu wewnętrznego (akta stałe). 3. Obowiązuje następujący sposób oznaczania dokumentów wytworzonych lub otrzymanych przez audytora wewnętrznego w trakcie przeprowadzania zadania audytowego: X/Y/Z/S/V gdzie: X oznacza numer zadania audytowego, Y oznacza klasyfikację akt (AS akta stałe, AB akta bieżące), Z oznacza rodzaj dokumentu np. REG regulamin, RAP raport, IN inne, S oznacza rok, V oznacza bieżący numer dokumentu. 4. Audytor wewnętrzny prowadzi Ewidencję akt stałych i akt bieżących według wzorów stanowiących załączniki nr 8 i 9. 5. Sposób oznaczania teczek zawierających akta audytu wewnętrznego oraz zasady ich archiwizacji uregulowane są w instrukcji kancelaryjnej obowiązującej w Urzędzie Miejskim w Słupsku. 6. Akta bieżące i akta stałe stanowią własność Urzędu Miejskiego w Słupsku. 7. Dyrektor ZAWiK udostępnia do wglądu akta bieżące i akta stałe Prezydentowi Miasta Słupska lub osobie przez niego upoważnionej. 9