Zakres zmian w rozporządzeniu Ministra Finansów z 4.9.2015 r. w sprawie przeprowadzania audytu wewnętrznego oraz przekazywania informacji o pracy i wynikach audytu wewnętrznego (Dz.U. z 2015 r. poz. 1480; dalej: AudytWewR)
Zasadnicze zmiany dotyczą:
1) planowania rocznego,
2) metodyki przeprowadzania zadania zapewniającego,
3) współpracy z audytowanym,
4) zapewnienia jakości audytu wewnętrznego,
5) dokumentowania procedur i pracy audytora wewnętrznego,
6) raportowania wyników audytu.
Zgodnie z treścią § 1 AudytWewR określa szczegółowy sposób i tryb przeprowadzania audytu wewnętrznego oraz przekazywania informacji o pracy i wynikach audytu wewnętrznego, ponadto AudytWewR reguluje także (jak poprzednio) tryb przeprowadzania audytu wewnętrznego zleconego, o którym mowa w art. 292 ust. 1 pkt 1 i art. 293 ustawy z 27.8. 2009 r. o finansach publicznych (t.j. Dz.U. z 2013 r. poz. 885 ze zm.; dalej: FinPubU), i tryb przeprowadzania oceny prowadzenia audytu wewnętrznego, o której mowa w art. 292 ust. 1 pkt 2 i art. 294 FinPubU, co stanowi wypełnienie delegacji ustawowej.
Przykładem mogą być obszary, dla których powoływane są specjalne komitety/komisje/zespoły/, a przewodniczący tego typu gremium pełni tę funkcję niezależnie od przynależności do danej komórki organizacyjnej.
Audytowanie zadań, które często bezpośrednio są związane z realizacją celów jednostki, przy obecnej definicji „komórki audytowanej” i proponowanej definicji „audytowanego” będzie w zasadzie niemożliwe.
Definicja audytowanego
Definicja audytowanego może także nastręczać kłopotów przy okazji realizacji poszczególnych procedur z przedmiotowego rozporządzenia. O ile dotychczas proces informacyjno-uzgodnieniowy z komórkami audytowanymi nie budził wątpliwości, o tyle w obecnym brzmieniu zapisów, w których mowa jest o audytowanym, a nie o kierowniku komórki audytowanej, będzie wymagał podjęcia decyzji, kto po stronie audytowanego bierze udział w audycie i ma prawo decyzji. Oczywiście może to zostać doprecyzowane w wewnętrznych dokumentach jednostki, np. w karcie audytu, o ile doprecyzowanie takie będzie możliwe.
W rozporządzeniu zadania zostały podzielone pomiędzy kierownika jednostki a audytora wewnętrznego, natomiast nie uwzględniono, że część zadań przypisanych kierownikowi komórki audytu wewnętrznego będzie wykonywana przez audytora zatrudnionego w jednoosobowej komórce audytu wewnętrznego. Co prawda, zgodnie z art. 277 ust. 4 FinPubU, „do audytora wewnętrznego zatrudnionego w jednoosobowej komórce audytu wewnętrznego przepisy ustawy dotyczące kierownika komórki audytu wewnętrznego stosuje się odpowiednio”. Jednak w tym miejscu rodzi się pytanie, czy na pewno także przepisy rozporządzenia wykonawczego stosuje się odpowiednio. Może to budzić wątpliwości przy stosowaniu rozporządzenia.
Dokumentacja audytu
Nadal zachowano obowiązek dokumentowania przez audytora wewnętrznego wszystkich czynności i zdarzeń mających znaczenie dla prowadzenia audytu wewnętrznego w jednostce. Takie brzmienie zapisu oznacza, że o tym, które to będą czynności i zdarzenia, powinien decydować audytor wewnętrzny w porozumieniu z kierownikiem jednostki.
Dokumentacja dotycząca zadania audytowego
Dokumentacja dotycząca zadania audytowego obejmuje w szczególności:
1) program zadania zapewniającego oraz dokumenty robocze związane z jego przygotowaniem,
2) inne dokumenty robocze związane z realizacją zadania zapewniającego,
3) sprawozdanie z zadania zapewniającego,
4) dokumenty robocze związane z wykonywaniem czynności doradczych,
5) dokumenty dotyczące monitorowania realizacji zaleceń i przeprowadzania czynności sprawdzających.
W uregulowaniach pojawia się określenie „robocza dokumentacja”, co ma istotne znaczenie w świetle ustawy z 6.9.2001 r. o dostępie do informacji publicznej (t.j. Dz.U. z 2014 r. poz. 782).
Robocza dokumentacja
O roboczych dokumentach jest mowa przy okazji:
1) przygotowania programu zadania zapewniającego,
2) realizacji zadania zapewniającego,
3) wykonywania czynności doradczych.
Jednak nie oznacza to wprost, że wszystkie dokumenty z tych obszarów mają charakter roboczy, nie ma bowiem definicji tego określenia – o tym, co ma charakter roboczy, będzie decydował audytor wewnętrzny w porozumieniu z kierownikiem jednostki. Jednak z brzmienia zapisów wynika, że dokumentem roboczym nie będzie program zadania audytowego, plan audytu, sprawozdanie z jego wykonania, wyniki oceny wewnętrznej i zewnętrznej audytu wewnętrznego, sprawozdanie z zadania zapewniającego, dokumenty dotyczące monitorowania realizacji zaleceń i przeprowadzania czynności sprawdzających. O ile w przypadku planu rocznego audytu i sprawozdania rocznego z jego realizacji takie rozwiązanie jest zrozumiałe, o tyle w przypadku programów zadań audytowych, sprawozdań z zadań audytowych czy też dokumentów dotyczących monitorowania realizacji zaleceń i przeprowadzania czynności sprawdzających jest to ryzykowne rozwiązanie. W dokumentach tych bardzo często znajdują się informacje wrażliwe, z punktu widzenia funkcjonowania jednostki, np. dane o lukach w bezpieczeństwie informacji lub sposoby zabezpieczeń informatycznych i fizycznych, czy też dane dotyczące projektów badawczych, w których toku wyniki do czasu opublikowania nie powinny być ujawniane.
Zgodnie z § 6 AudytWewR kierownik komórki audytu wewnętrznego ma obowiązek w szczególności określić sposób przeprowadzania analizy ryzyka oraz wzory podstawowych dokumentów dotyczących prowadzenia audytu wewnętrznego, uwzględniając wielkość oraz strukturę jednostki.
Biorąc pod uwagę, że sposób przeprowadzania analizy ryzyka jest determinantem wyznaczania obszarów audytu, wydaje się, że kierownik jednostki powinien mieć wpływ na metodykę analizy ryzyka, a przynajmniej mieć świadomość, jak ten proces przebiega, i akceptować taki tryb postępowania. Ponadto w ramach opracowywania wzorów podstawowych dokumentów należy się spodziewać, że wśród nich znajdą się takie wzory, jak sprawozdanie z zadania audytowego, plan roczny audytu, sprawozdanie z realizacji planu rocznego i notatka informacyjna. Dokumenty te będą determinować procesy planowania i sprawozdawczy, o których kierownik jednostki powinien móc decydować lub przynajmniej się wypowiedzieć, w jakiej formie informacje od audytu wewnętrznego będą do niego docierały. Należy jednak oczekiwać, że audytorzy wewnętrzni doskonale zdają sobie sprawę ze swojej roli i będą, nawet nieformalnie, uzgadniać z kierownikami jednostek swoje wewnętrzne procedury.
Zachowano zapis, że dokumentacja dotycząca zadania audytowego i pozostała dokumentacja audytu wewnętrznego stanowią własność jednostki, jednak zapis ten nie realizuje w pełni standardu 2410.A3 – Komunikat Nr 2 Ministra Finansów z 17.6.2013 r. w sprawie standardów audytu wewnętrznego dla jednostek sektora finansów publicznych (Dz.Urz. MF z 2013 r. poz. 15; dalej: MSAudytWewK). mającego na celu ochronę informacji zawartych w sprawozdaniu. W obecnym stanie prawnym realizacja tego standardu jest właściwie niemożliwa, z uwagi na zapisy ustawy o dostępie do informacji publicznej i wyrok Trybunału Konstytucyjnego.
Sposób sporządzania i elementy planu audytu oraz sprawozdania z jego wykonania
Sposób sporządzania i elementy planu audytu oraz sprawozdania z jego wykonania zostały uregulowane w rozdziale 2 AudytWewR.
Jak można przeczytać w uzasadnieniu do rozporządzenia, „projektodawca zakłada, że po ponad 5 latach od wprowadzenia przepisów dotyczących kontroli zarządczej jednostki opracowały i wdrożyły systemy zarządzania ryzykiem związanym z osiąganiem celów i realizacją zadań jednostki. Ze względu na różny stopień dojrzałości stosowanych systemów, dokonując analizy ryzyka na potrzeby przygotowania planu audytu audytor wewnętrzny powinien wziąć pod uwagę te elementy funkcjonującego w jednostce systemu zarządzania ryzykiem, które mogą być wykorzystane przy tworzeniu planu. W szczególności chodziłoby o wykorzystanie gromadzonych przez jednostki informacji o ryzykach związanych z osiąganiem celów i realizacją zadań w jednostce oraz o sposobie zarządzania tymi ryzykami”.
Należy przyznać, że założenie to jest zgodne z praktyką i obowiązującymi standardami audytu wewnętrznego dla jednostek sektora finansów publicznych (MSAudytWewK). Standardy te również wymagają, aby w procesie planowania rocznego uwzględniać istniejący systemu zarządzania ryzykiem w organizacji, w tym informacji o poziomach apetytu na ryzyko, ustalonych przez kierownictwo dla różnych działań lub części organizacji. Należy jednak mieć na uwadze, że w przypadku niedojrzałości systemu zarządzania ryzykiem w jednostce, trzeba przede wszystkim dokonać oceny jego wiarygodności, aby nie doprowadzić do zakłócenia obrazu obszarów ryzyka.
W rocznym planie audytu będą przedstawiane tylko obszary działalności jednostki, w których zostaną przeprowadzone zadania zapewniające w danym roku, bez wskazywania obszarów ryzyka.
Na uwagę zasługuje zapis § 9 AudytWewR, który stanowi, że kierownik komórki audytu wewnętrznego wyznacza obszary działalności jednostki, w których zostaną przeprowadzone zadania zapewniające w roku następnym, biorąc pod uwagę m.in. priorytety kierownika jednostki i komitetu audytu. Artykuł 283 ust. 4 FinPubU stanowi, że „Kierownik komórki audytu wewnętrznego, przeprowadzając analizę ryzyka, bierze pod uwagę w szczególności zadania wynikające z planu działalności, a także wytyczne ministra kierującego działem, komitetu audytu oraz szczegółowe wytyczne Ministra Finansów, o których mowa w art. 69 ust. 4”. Oznacza to, że wytyczne komitetu audytu są brane pod uwagę tylko przy analizie ryzyka, co jest zgodne z ogólną zasadą wynikającą zarówno ze standardów audytu wewnętrznego dla jednostek sektora finansów publicznych (Standard 2010 – MSAudytWewK), jak i przepisów (art. 283 ust. 3 FinPubU), że plan audytu oparty jest na analizie ryzyka. Zapis § 9 AudytWewR będzie skutkował tym, że priorytety komitetu audytu (który w przypadku zastosowanych w Polsce rozwiązań nie zawsze posiada pełną wiedzę na temat problemów danej jednostki) będą musiały być uwzględnione w planie audytu niezależnie od wyników analizy ryzyka. Rozwiązania ustawowe i zawarte w standardach są logiczne i wskazują na to, że priorytety komitetu audytu są jedynie uwzględniane w analizie ryzyka, a proponowany zapis wydaje się być niezgodny z tymi rozwiązaniami.
W nowych rozwiązaniach kierownik komórki audytu wewnętrznego nie musi przekazywać informacji o planowanym przeprowadzeniu zadań zapewniających kierownikom wszystkich komórek audytowanych objętych planem audytu, lecz udostępni plan audytu całej jednostce w sposób i formie uzgodnionych z kierownikiem jednostki (vide § 10 ust. 4 AudytWewR). Przyjęte rozwiązanie jest o wiele bardziej rozsądne od poprzedniego, gdzie określając w planie rocznym obszary ryzyka, audytor na ogół nie mógł wiedzieć, jakie komórki będą objęte audytem (ustalane to było dopiero na etapie analizy ryzyka przeprowadzanej do zadania).
Wszelkie uregulowania związane z przeprowadzaniem zadania audytowego poza planem audytu zostały zastąpione zapisami § 11 AudytWewR, w którym przewidziano możliwość zmiany planu w uzgodnieniu z kierownikiem jednostki.
Sprawozdawczość roczna z audytu nie została tak szczegółowo uregulowana, jak w obecnie obowiązującym rozporządzeniu, jednak należy mieć na uwadze zapisy standardów. W związku ze standardem 2060 MSAudytWewK) – Składanie sprawozdań kierownictwu wyższego szczebla i radzie w sprawozdaniu z audytu należy zamieścić takie informacje, jak: zagadnienia dotyczące systemu kontroli, ładu organizacyjnego, znaczącego ryzyka, na jakie narażona jest organizacja (w tym ryzyka oszustwa), oraz inne, których omówienia wymaga lub oczekuje kierownictwo wyższego szczebla . Zatem fakt braku szczegółowego katalogu elementów sprawozdania nie zwalnia audytorów wewnętrznych od przedstawiania informacji o ryzyku, systemie kontroli i ładzie organizacyjnym. Rozporządzenia zakłada także obowiązek przedstawiania w sprawozdaniu rocznym z audytuwyników oceny wewnętrznej i zewnętrznej audytu wewnętrznego, co może być uznane za realizację standardu 1320 – Sprawozdawczość dotycząca programu zapewnienia i poprawy jakości obligującego do przekazywania kierownictwu wyższego szczebla wyników programu zapewnienia i poprawy jakości.
Planowanie i realizacja zadania audytowego oraz informowanie o jego wynikach
Obszar ten został uregulowany w rozdziale 3 AudytWewR i obejmuje:
1) zadania zapewniające,
2) monitorowanie realizacji zaleceń,
3) czynności sprawdzające,
4) czynności doradcze.
Planowanie zadania zapewniającego
W procesie planowania zadania zapewniającego wprowadzono nową instytucję, tzw. przegląd wstępny (vide § 14 i 15 AudytWewR). W praktyce audytorzy wewnętrzni zawsze przeprowadzali przegląd wstępny, aby poznać obszar badany i właściwie opracować program zadania audytowego.
Zgodnie z § 15 AudytWewR w ramach wstępnego przeglądu audytor powinien uzgodnić z audytowanym kryteria oceny mechanizmów kontrolnych w obszarze działalności jednostki objętym zadaniem. W przypadku braku uzgodnienia kryteriów z audytowanym, audytor wewnętrzny uzgadnia je z kierownikiem jednostki.
Bardzo wzniosła jest idea zakładająca „współpracę audytowanego z audytorem wewnętrznym”, lecz niestety jest ona oderwana od rzeczywistości. System audytu wprowadzony w Polsce od 2009 r. obligujący audytorów wewnętrznych do raportowania wyników jednostce nadzorującej (ministrowi w dziale), a także niedawno wydany wyrok Trybunału Konstytucyjnego w sprawie sygn. K 14/13 spowodował wzrost nieufności do audytora. Niestety nieufność ta wpływa na poziom współpracy, a właściwie niechęć do tej współpracy. Audyt jest bowiem często traktowany, zarówno przez audytowanych, jak i samego kierownika jednostki, jak swoista kontrola, która na dodatek przekazuje wyniki na zewnątrz jednostki. Niezależnie od doświadczenia i profesjonalizmu audytora w obecnym stanie prawnym ma on znikome możliwości przekonania audytowanych i kierownika jednostki, że działa w interesie jednostki, zatem współpraca będzie owocna dla obu stron.
Zapis § 15 nie uwzględnia w ogóle procesowego podejścia do audytu i wbrew pozorom nie stanowi realizacji Standardu 2210.A3 MSAudytWewK). W standardzie tym co prawda mowa jest o kryteriach oceny, ale nie o uzgadnianiu ich z audytowanym. W ramach wstępnego przeglądu audytor na podstawie oceny ryzyka dokonuje identyfikacji jednostek objętych audytem i obszaru przedmiotowego. Zatem w chwili rozpoczynania wstępnego przeglądu audytor, w większości przypadków, nie będzie wiedział, jakie jednostki zostaną objęte audytem. Powstaje zatem wątpliwość, w którym momencie należy zrealizować obowiązek nałożony w § 14 AudytWewR – poinformowania audytowanego o planowanej realizacji zadania, i jak należy rozumieć określenie „Przed rozpoczęciem zadania zapewniającego”.
Co do zasady wstępny przegląd powinien być zaliczony do danego zadania zapewniającego, ale powiadomienie jednostek o audycie będzie możliwe dopiero po ich zidentyfikowaniu, a zatem najwcześniej w trakcie trwania wstępnego przeglądu. Planując i rozliczając czas przeznaczony na zadanie zapewniające, należy precyzyjnie określić, w którym momencie rozpoczyna się audyt – niewątpliwie nie powinna to być data z pisma zawiadamiającego o prowadzeniu audytu. Zapis § 14 AudytWewR jest jednak bardziej przejrzysty, niż obowiązujący wcześniej zapis § 17 AudytWewR, że „rozpoczynając realizację zadania zapewniającego, kierownik komórki audytu wewnętrznego albo audytor usługodawcy informuje kierowników komórek audytowanych objętych zadaniem o planowanym przeprowadzeniu zadania zapewniającego”, z którego wynikało, że audytor planuje realizować coś, co już rozpoczął.
Nadal audytor wewnętrzny ma obowiązek opracowania programu zadania audytowego.
Informowanie o wynikach audytu wewnętrznego
AudytWewR zakłada uzgodnienie wstępnych wyników audytu oraz zaleceń z audytowanym. W uregulowaniach zrezygnowano z obowiązku przedstawiania kierownikom komórek audytowanych, po zakończeniu czynności w komórkach audytowanych, ustaleń stanu faktycznego i wysyłania do audytowanego sprawozdania w celu zgłoszenia przez niego uwag. Nie ma też zapisów o możliwości zwołania narady zamykającej. Zgodnie z § 18 AudytWewR audytor wewnętrzny po przeprowadzeniu czynności audytowych uzgadnia pisemnie z audytowanym wstępne wyniki audytu wewnętrznego, w tym w szczególności ustalenia i propozycje zaleceń, a w przypadku nieuzgodnienia występnych wyników audytu wewnętrznego, audytowany może zgłosić pisemne zastrzeżenia, w terminie określonym przez audytora wewnętrznego, nie krótszym niż 7 dni kalendarzowych od dnia poinformowania audytowanego o wstępnych wynikach.
Z zaproponowanych uregulowań wynika, że bez uzgodnienia (czyli obopólnej zgody) wstępnych wyników audytor nie będzie miał prawa sporządzić sprawozdania (§ 19 ust. 1 AudytWewR – po uzgodnieniu wstępnych wyników audytu wewnętrznego, audytor sporządza sprawozdanie z zadania zapewniającego). Rodzi się wątpliwość, czy takie rozwiązanie faktycznie skróci czas audytu – wydaje się, że raczej uniemożliwi w niektórych wypadkach sporządzenie sprawozdania.
Procedura raportowania
Zgodnie z § 20 AudytWewR procedura raportowania przedstawia się następująco:
1) kierownik komórki audytu wewnętrznego przekazuje sprawozdanie audytowanemu i kierownikowi jednostki;
2) audytowany, w terminie 14 dni kalendarzowych od otrzymania sprawozdania, ustala sposób i termin oraz wyznacza osoby odpowiedzialne za realizację zaleceń, powiadamiając o tym na piśmie kierownika komórki audytu wewnętrznego – koniec procesu
lub
3) w przypadku zastrzeżeń do treści zaleceń lub odmowy ich realizacji, w terminie 7 dni kalendarzowych od otrzymania sprawozdania, audytowany przedstawia pisemne stanowisko kierownikowi jednostki i audytorowi wewnętrznemu;
4) kierownik jednostki podejmuje decyzję dotyczącą realizacji zaleceń, informując o tym audytowanego i kierownika komórki audytu wewnętrznego – koniec procesu.
Przedmiotowe uregulowania nie wskazują, co należy zrobić, jeśli audytowany nie wywiąże się z nałożonego obowiązku – czyli nie odpowie na sprawozdanie lub tylko w części zrealizuje obowiązek. Zapis ust. 4 AudytWewR odnosi się jedynie do sytuacji, gdy audytowany wnosi zastrzeżenia.
Czynności doradcze
Zgodnie z § 23 AudytWewR audytor wewnętrzny, planując czynności doradcze, uzgadnia ich cel i zakres z kierownikiem jednostki.
Warto zwrócić uwagę, że proponowany zapis nie precyzuje:
1) czy każda czynność doradcza musi być planowana;
2) czy za każdym razem uzgadniany jest cel i zakres czynności doradczej z kierownikiem jednostki;
3) na czyj wniosek lub polecenie czynność ma być realizowana.
Obowiązujący wcześniej zapis § 29 ust. 1 AudytWewR był bardziej precyzyjny (choć niewyczerpujący) i stanowił, że audytor wewnętrzny może wykonywać czynności doradcze na wniosek kierownika jednostki lub z własnej inicjatywy w zakresie z nim uzgodnionym.
Należy zauważyć, że czynności doradcze realizowane są jako:
1) formalne czynności doradcze – planowane, często posiadające program działań;
2) nieformalne czynności doradcze – stanowiące działalność rutynową, np. udział
w stałych komisjach, projektach o ograniczonym czasie trwania, zebraniach doraźnych oraz wymianie informacji;
3) specjalne czynności doradcze – polegające na udziale w różnych zespołach powoływanych w celu przeprowadzenia konkretnego przedsięwzięcia, bez prawa decyzyjnego;
4) pilne czynności doradcze – polegające na udziale w procesie przywrócenia lub utrzymania działalności operacyjnej po awarii lub innym nadzwyczajnym wydarzeniu bądź w zespole, którego zadaniem jest wsparcie w wykonaniu szczególnego polecenia lub dotrzymania nietypowego terminu.
Audyt wewnętrzny zlecony i ocena prowadzenia audytu wewnętrznego
W rozdziale 4. Zawarto następujące nowe rozwiązania dotyczące audytu zleconego:
1) zrezygnowano z możliwości opracowywania programu zadania przez Ministra Finansów (§ 26 ust. 1 AudytWewR);
2) nałożono na audytora wewnętrznego obowiązek opracowywania programu zadania zapewniającego przy audycie zleconym (§ 26 ust. 2 AudytWewR).
Odnośnie oceny prowadzenia audytu wewnętrznego dokonano zmiany terminu – z 7 do 14 dni – w jakim kierownik jednostki może zgłosić Ministrowi Finansów na piśmie swoje stanowisko do wyników oceny, oraz dodano zapis, że do oceny przeprowadzanej przez Generalnego Inspektora Kontroli Skarbowej, zgodnie z ustawą o finansach publicznych, przepisy § 41–44 AudytWewR stosuje się odpowiednio.
