Audyt wewnętrzny

Kontekst regulacyjny

Audyt wewnętrzny to funkcja, która dostarcza zarządowi (włoskiemu Consiglio di amministrazione) i najwyższemu kierownictwu niezależnej i obiektywnej oceny skuteczności procesów ładu korporacyjnego, zarządzania ryzykiem i kontroli. Punktem odniesienia dla profesji są Global Internal Audit Standards wydane przez Institute of Internal Auditors, obowiązujące od 2025 roku. Zastąpiły one obligatoryjne elementy poprzedniego International Professional Practices Framework (Standardy, Kodeks etyki i Core Principles) oraz określają wymagania dotyczące niezależności, planowania opartego na ryzyku, komunikowania wyników i jakości samej funkcji. Dla projektowania systemu kontroli wewnętrznej modelem odniesienia pozostają ramy COSO, uzupełnione o COSO ERM w zakresie zarządzania ryzykiem korporacyjnym. Model trzech linii IIA (Three Lines Model) precyzuje natomiast rolę audytu wewnętrznego jako trzeciej linii, odrębnej od zadań pierwszej i drugiej linii (zarządzanie operacyjne, zarządzanie ryzykiem i compliance), które pozostają w rękach kierownictwa.

We Włoszech funkcję tę przewiduje Kodeks Corporate Governance dla spółek notowanych, które go przyjmują, oraz przepisy sektorowe dla banków, zakładów ubezpieczeń i pośredników finansowych. W pozostałych przedsiębiorstwach impuls wynika z włoskiego kodeksu cywilnego. Art. 2086 ust. 2 nakłada na przedsiębiorcę działającego w formie spółki lub w innej formie zbiorowej obowiązek utrzymywania struktur organizacyjnych, administracyjnych i rachunkowych odpowiednich do charakteru i rozmiaru przedsiębiorstwa, także w celu terminowego wykrycia kryzysu i utraty zdolności kontynuowania działalności (włoski dekret ustawodawczy nr 14/2019, Kodeks kryzysu przedsiębiorstwa). Art. 2381 wymaga od organów delegowanych dbałości o te struktury, a od zarządu oceny ich adekwatności. Bez niezależnej weryfikacji procesów ocena ta opiera się głównie na informacjach przekazywanych przez te same organy delegowane: audyt wewnętrzny wzmacnia ją dowodami zebranymi w miejscu realizacji procesów.

Nasze podejście

Oferujemy funkcję w modelu outsourcingu, przejmując w całości odpowiedzialność operacyjną, albo w modelu co-sourcingu, obok istniejącej struktury wewnętrznej, która potrzebuje kompetencji specjalistycznych lub dodatkowych zasobów. W obu przypadkach mandat jest sformalizowany w karcie audytu (audit charter) zatwierdzonej przez zarząd: dokument określa zakres, uprawnienia, linie raportowania i zasady niezależności. W przypadku spółek notowanych włoski Kodeks Corporate Governance wyraźnie dopuszcza powierzenie funkcji, w całości lub w wybranych obszarach działalności, podmiotowi zewnętrznemu o odpowiednich kwalifikacjach, niezależności i organizacji, z uzasadnieniem tego wyboru w sprawozdaniu o ładzie korporacyjnym.

Zaczynamy od audit universe: uporządkowanego wykazu procesów, spółek, systemów i dostawców, które mogą być przedmiotem weryfikacji. Oceniamy go pod kątem ryzyka razem z kierownictwem, wykorzystując analizy już dostępne, aby nie pytać dwa razy o to samo. Wynikają z tego plan wieloletni i plan roczny przedkładane zarządowi.

Prace prowadzimy według pisemnego programu: analiza dokumentacji, wywiady, odtworzenie procesów w miejscu ich realizacji, testy mechanizmów kontrolnych na wyznaczonych próbach, poszukiwanie przyczyn źródłowych. Ustalenia omawiamy z osobami odpowiedzialnymi przed sporządzeniem raportu, tak aby rekomendacje były wykonalne i wcześniej uzgodnione. Follow-up jest częścią usługi: monitorujemy realizację planów działania i okresowo raportujemy zarządowi, komitetowi ds. kontroli i ryzyka oraz Collegio sindacale.

Szczególną uwagę poświęcamy koordynacji z pozostałymi funkcjami kontrolnymi (Organismo di Vigilanza, biegły rewident, IOD, osoby odpowiedzialne za systemy zarządzania), tak aby przepływy informacji były zintegrowane, a przedsiębiorstwo nie było poddawane powtarzanym weryfikacjom tych samych procesów.

Co wyróżnia naszą usługę

• Weryfikowalna konstrukcja funkcji: karta audytu, procedury operacyjne, KPI funkcji i program zapewnienia jakości są zbudowane na Global Internal Audit Standards, tak aby zarząd i Collegio sindacale mogli ocenić pracę funkcji, a nie tylko jej wyniki.
• Udokumentowany follow-up: każde ustalenie trafia do rejestru z osobą odpowiedzialną, terminem i stanem realizacji; wdrożenie działań korygujących sprawdzamy w praktyce i rozliczamy w okresowym sprawozdaniu dla zarządu.
• Ustalenia użyteczne dla zarządu: raporty odróżniają to, co pilne, od tego, co można poprawić, i zawierają całościową ocenę systemu kontroli, a nie zwykłą listę nieprawidłowości.
• Elastyczność: model współpracy (outsourcing lub co-sourcing) oraz intensywność prac dostosowują się rok do roku do zmian zakresu i ryzyka, bez zobowiązań kadrowych.