Anna Margrét Jóhannesdóttir, CIA, MPA

Verkefnisstjóri, Innri endurskoðun

Reykjavíkurborgar

Viðfangsefni1. Áhættustjórnun – hlutverk innri endurskoðunardeilda Hvar er áhættustjórnun að finna í stöðlum IE? Áhættustjórnun – helstu hugtök

2. Hvernig nýtist áhættustjórnun í störfum innri endurskoðunardeilda?

Í endurskoðunaráætlun Í úttektum Fullvissuúttektum (Assurance) Ráðgefandi úttektum (Consulting)

Innri endurskoðun styður

við eftirlitshlutverk stjórnar

(Governance Oversight)

Heimild:Internal Auditing: Assuranceand Consulting Services, 2007

Heimild:Internal Auditing: Assuranceand Consulting Services, 2007.

Tæki til að sinna eftirliti

Fullvissa/staðfesting um stöðu fyrirtækisins (Assurance)◦ Hlutlaust matsferli sem gefur stjórn vissu um virkni innra eftirlits og

áhættustýringu

◦ Aðilar sem ekki eru hluti af daglegum rekstri félagsins

Innri endurskoðun

Ytri endurskoðun

Áhættustjórnun (Risk Management) ◦ Stjórnendur bera ábyrgð á innleiðingu og uppbyggingu á

áhættustýringu

◦ Gera þarf kröfu um öfluga áhættustýringu innan fyrirtækis

Gera kröfur um mælingu á framgangi lykilmarkmiða.

Áhættumat og innleiðing eftirlitsaðgerða

◦ Alþjóðlegt staðlasett IIA – IPPF

Skilgreining á innri endurskoðun

Siðareglur

Alþjóðlegir innri endurskoðunarstaðlar

Leiðbeiningar um notkun staðlanna.

Innri endurskoðun verður að meta og stuðla að endurbótum í stjórnarháttum fyrirtækja, áhættustjórnun og innra eftirliti, með kerfisbundum og öguðum hætti.

Innra eftirlit

Áhættustjórnun

Stjórnarhættir

Heimild:Internal Auditing:Assuranceand Consulting Services, 2007.

Innri endurskoðun — hlutverk◦ Góðir stjórnarhættir (staðall 2110) Meta fyrirkomulag (Assurance)

Sannreyna virkni (Assurance)

Byggja upp þekkingu þar sem við á (Consulting)

◦ Áhættustjórnun (staðall 2120) Meta fyrirkomulag (Assurance)

Sannreyna virkni (Assurance)

Byggja upp þekkingu þar sem við á (Consulting)

◦ Innra eftirlit (staðall 2130) Meta fyrirkomulag (Assurance)

Sannreyna virkni (Assurance)

Byggja upp þekkingu þar sem við á (Consulting)

2120 Áhættustjórnun

◦ Innri endurskoðun verður að meta það hversu vel

áhættustjórnun er að ná markmiðum sínum og

aðstoða við uppbyggingu áhættustjórnunar innan

fyrirtækisins.

IIA Position Paper: The role of Internal Auditing in

Enterprise-wide Risk Management, 2009.

Áhættustjórnun er kerfisbundin aðferð sem

beitt er þvert á starfsemi stofnunar til að

greina, upplýsa og ákvarða hvernig skuli

bregðast við tækifærum og ógnunum sem

viðkomandi stofnun stendur frammi fyrir til

að ná sínum markmiðum.

Skilgreining IIA

Hvað er áhætta ?

◦ Það sem getur gerst og haft

áhrif á möguleika fyrirtækisins

til að ná markmiðum sínum

◦ Áhætta felur jafnt í sér tækifæri

sem og ógnanir

Grunnhugtök í áhættustjórnun

Áhættumat

Viðbrögð við áhættu - eftirlitsaðgerðir skilgreindar (umbótaverkefni)

Eftirfylgni

Grunnhugtök við greiningu á hættu

Eðlislæg áhætta - Inherent Risk

Eftirlitsaðgerðir - Key Controls

Afgangsáhætta - Residual Risk (Current Risk)

Horft til framtíðar(proactive)

◦ Fyrirbyggjandi innra eftirlit

◦ Hvaða atriði skipta máli til þess að ná árangri og koma í veg fyrir mistök?

◦ Minni áherslur á greiningu á fortíð.

Áhættumat er ferli sem gengur þvert á reksturinn og

felur í sér aðkomu stjórnar, stjórnenda og annars

starfsfólks . Með áhættumati er leitast við að:◦ skilgreina þá áhættuþætti sem geta haft áhrif á að

viðkomandi rekstur nái markmiðum sínum.

◦ skilgreina áhættuþol („risk tolerance―) eða áhættuvilja („risk

appetite―).

◦ stjórna eða meðhöndla áhættuþætti þannig að tryggð sé

hæfileg vissa um að viðkomandi stofnun og rekstrareiningar

innan hennar nái (eða hafi náð) settum markmiðum.

1. Finna samhengið — Yfirfara

helstu markmið viðkomandi

eininga/stofnunar.

2. Finna áhættuþætti — Greining

áhættuþátta; hvað getur gerst?

3. Greina áhættu — Skilgreining

vægi áhættu.

4. Meta áhættu — Skilgreining á

áhættuþoli.

5. Meðhöndla áhættu —

Skilgreina meðhöndlun áhættu;

hvað þarf að gera?

(umbótaverkefni skilgreind)

Finna samhengið

Eft

irli

t o

g e

nd

urm

atFinna áhættuþætti

Greina áhættu

Meta áhættu

Meðhöndla áhættu

Sam

sk

ipti

og

sa

mrá

ð

Finna samhengið

Eft

irli

t o

g e

nd

urm

atFinna áhættuþætti

Greina áhættu

Meta áhættu

Meðhöndla áhættu

Sam

sk

ipti

og

sa

mrá

ð

Mynd — Ferill áhættustjórnunar. Heimild : AS/NZS 4460:2004

Forgangsröðun verkefna – vægi áhættu

Vægi áhættu og stigagjöf

Mikil 5 5 10 15 20 25

4 4 8 12 16 20

Mið 3 3 6 9 12 15

2 2 4 6 8 10

Lítil 1 1 2 3 4 5

1 2 3 4 5

Litlar Mið Miklar

Áh

rif

Líkur

Vægi og forgangur

Mikill

Meðal

Litlar

Grípa þarf til aðgerða með tilliti til tilkostnaðar og ávinnings.

Aðgerða ekki þörf, líkur og áhætta ekki það mikil.

Til að tryggja að markmið náist og innra eftirlit sé virkt þarf að bregðasttafarlaust við. Núverandi ástand býður upp á að mistök eigi sér stað.

Heimild: Risk based internal auditing, an introduction David Griffiths, mars, 2006.

Viðfangsefni1. Áhættustjórnun – hlutverk innri endurskoðunardeilda Hvar er áhættustjórnun að finna í stöðlum IE? Áhættustjórnun – helstu hugtök

2. Hvernig nýtist áhættustjórnun í störfum innri endurskoðunardeilda?

Í endurskoðunaráætlun Í úttektum Fullvissuúttektum (Assurance) Ráðgefandi úttektum (Consulting)

Áhættumiðuð endurskoðunaráætlun

Fullvissuúttektir

Blanda af fullvissuúttektum og ráðgefandi verkefnum

Ráðgefandi verkefni

2010 – Áætlanagerð

◦ Yfirmaður innri endurskoðunar verður að gera áhættugrundaða áætlun til þess að geta forgangsraðað verkefnum innri endurskoðunar til samræmis við meginmarkmið fyrirtækisins.

Áhættumiðuð endurskoðunaráætlun

2210 – Markmið úttekta Skilgreina verður markmið einstakra úttekta.

2210.A1 – Innri endurskoðendur verða að gera forathugun á áhættuþáttum sem tengjast því sviði sem þeir ætla að gera úttekt á. Markmið úttektarinnar verða að endurspegla niðurstöður þessa mats.

2210.A2 – Innri endurskoðendur verða að meta líkur á verulegum skekkjum, misferlum, að ekki sé farið eftir lögum og reglum og öðrum áhættuþáttum þegar þeir eru að ákveða markmið úttektar.

Skref 2: Lýsing

Það þarf að bera kennsl á hvaða áhætta getur verið fyrir

hendi bæði inni í vinnuferlunum sjálfum og í umhverfi

þeirra. Markmið áhættumats er m.a. að:

•greina áhættuþætti í starfsumhverfi og verkferlum

• meta áhættuna m.a. með tilliti til viðbragða sem

grípa þarf til.

•greina mögulegar aðgerðir sem draga úr áhættu til

þess að markmið um rétta áætlun og skilvirka virkni

nái fram að ganga.

Ráðgefandi hlutverk innri endurskoðunar

◦ Vera leiðandi við að kynna ERM

◦ Bjóða fram sérþekkingu á sviði ERM

◦ Leiðbeinendur í vinnuhópum /sjálfsmatsferli (Facilitate

workshops)

◦ Byggja upp þekkingu — fræða/kenna um ERM

◦ Aðstoða við að þróa sameiginlegt tæki (common

language, framework and understanding)

IIA Position Paper: The Role of Internal

Auditing in Enterprise-wide Risk Management, 2009.

IIA Position Paper: The Role of InternalAuditing in Enterprise-wide Risk Management, 2009.

Fyrirbyggjandi innra eftirlit (proactive)

Hafa til hliðsjónar ―Safeguards‖

◦ Stjórnendur bera ábyrgð á áhættustjórnun innan

fyrirtækisins.

◦ IE má ekki meðhöndla áhættu fyrir hönd stjórnenda.

◦ Ráðgefandi hlutverk IE skal vera skráð í

erindisbréfi/starfsreglum og samþykkt af stjórn.

◦ Setur IE takmarkanir við fullvissuúttekt á virkni

áhættustýringar.

Aðferð sjálfsmats beitt við

áhættumat. ◦ Hópur lykilstarfsmanna

viðkomandi starfseininga kemur

saman.

◦ Starfsmaður áhættustýringar-

deildar eða innri endurskoðunar

taka sér hlutverk leiðbeinanda.

1. Finna samhengið — Yfirfara

helstu markmið viðkomandi

eininga/stofnunar.

2. Finna áhættuþætti — Greining

áhættuþátta; hvað getur gerst?

3. Greina áhættu — Skilgreining

vægi áhættu (áhrif og líkur).

4. Meta áhættu — Skilgreining á

áhættuþoli.

5. Meðhöndla áhættu —

Skilgreina meðhöndlun áhættu;

hvað þarf að gera?

(umbótaverkefni skilgreind)

Finna samhengið

Eft

irli

t o

g e

nd

urm

atFinna áhættuþætti

Greina áhættu

Meta áhættu

Meðhöndla áhættu

Sam

sk

ipti

og

sa

mrá

ð

Finna samhengið

Eft

irli

t o

g e

nd

urm

atFinna áhættuþætti

Greina áhættu

Meta áhættu

Meðhöndla áhættu

Sam

sk

ipti

og

sa

mrá

ð

Mynd — Ferill áhættustjórnunar. Heimild : AS/NZS 4460:2004

Hlutverk leiðbeinandans ―facilitator‖

◦ Byggja upp gott andrúmsloft - brjóta ísinn.

◦ Hvetja fólk til dáða við að greina áhættu og koma með tillögur að

umbótum.

◦ Yfirfæra þekkingu og vinnubrögð (hafa gátlista til hliðsjónar –

tryggja að lykilatriði séu yfirfarin).

◦ Aðstoða og uppfræða við skilgreiningu á viðbrögðum við áhættu.

Hlutverk ―sjálfsmatshóps‖

◦ Virkir þátttakendur í áhættumati.

◦ Skilgreina viðbrögð við áhættu – skilgreina eftirlitsaðgerðir

(umbótaverkefni).

◦ Ákveða hvernig á að leysa umbótaverkefnið,

umfang, vinnulag og þátttakendur.

◦ Innleiða viðbrögð við áhættu, þ.e. eftirlitsaðgerðir.

◦ Skila niðurstöðum til yfirmanns og uppfæra áhættuskrá.

Hvað skiptir máli til að ná árangri ?- Greining áhættuþátta !

Innri þættir

Stjórnskipulag

Mannauður

Verklag

Upplýsingatækni

Lög og reglur

O.fl.

Ytri þættir

Efnahagsumhverfið

Upplýsingatækni

Umhverfismál

Samfélagið

O.fl.

Markmið:

ÞjónustaFjármálVerklag

Mannauður

Vinnsukjal - tilbúið dæmi.

Áhættuþættir:Ábyrgðar-

aðili

Áætluð

verklok

Hvað getur gerst og

hvernigTilkostnaður Ávinningur dagsetn

1. Markmið fyrirtækis - Þjónusta

1.1

Umsókn getur týnst.

Umsókn sem borist

hefur til XX er ekki

svarað.

4 5 20 2

Umsækjandi kvartar. Ekki

til skriflegt verklag um

móttöku umsókna og

upplýsingagjöf til

viðskiptavinar. Upplýsingar

til umsækjanda ekki til

staðar fyrr en við

lokaafgreiðslu erindis.

Tryggja þarf skilvirka

stjórnsýslu. Hver umsókn þarf

að fá málsnúmer.

Umsækjendur eiga að fá

kvittun sem staðfestir móttöku

umsóknar. Þar sem fram

kemur stutt lýsing á

málsmeðferð og hvenær megi

vænta niðurstöðu.

xx xx AA 15. jan ´10

1.2 3 3 9 2

1.3

2. Markmið fyrirtækis - Fjármál

2.1

2.2

3. Verklag

3.1

4. Mannauður

4.1

Tilv.Núverandi innra eftirlit eða

athugasemdirAðgerðir til að takmarka áhættu

EftirlitsaðgerðirLíkur

5= Miklar

3=Mið

1=Lítið

Áhrif

5= Mikil

3=Mið

1=Lítil

Mark

mið

Áhættu-

stig

Vinnsukjal - tilbúið dæmi.

Best practice gátlisti !

Áhættuþættir:Ábyrgðar-

aðili

Áætluð

verklok

Hvað getur gerst og

hvernigTilkostnaður Ávinningur dagsetn

Mannauðsmál - stofnupplýsingar launþega og grunnforsendur launakeyrslu

1.1

Samningar vegna nýs

launþega berast ekki til

launaafgreiðslu.xx xx AA 15. jan ´10

1.2

Rangar forsendur

launaúttreiknings

skráðar í launakerfi.

1.3

Miðlægar forsendur ekki rétt

uppfærðar, svo sem

samningsbundnar

launahækkanir, eingreiðslur

o.þ.h.

1.4

2.1

2.2

Áhættu-

stig

Mannauðsmál - öryggi gagna

Tilv.Núverandi innra eftirlit eða

athugasemdirAðgerðir til að takmarka áhættu

EftirlitsaðgerðirLíkur

5= Miklar

3=Mið

1=Lítið

Áhrif

5= Mikil

3=Mið

1=Lítil

Mark

mið

35

Með skilgreiningu umbótaverkefna eru eftirlitsaðgerðir útfærðar, þ.e. verkferlar endurskoðaðir, gerðir skriflegir og aðgengilegri.

Gerð áhættumats er liður í því að stuðla að öflugu innra eftirliti og ná þannig fram hæfilegri vissu um að sett markmið nái fram að ganga.

36

Mikilvægt er fyrir deildir að fara í gegnum áhættumat áður en hafist er handa við að yfirfara verklagsreglur og þróa gæðahandbók.

Með áhættumati fæst fram mat á þeim þáttum sem koma í veg fyrir að viðkomandi starfseining nái markmiðum sinum og þá um leið er skilgreint hvaða verklag skiptir máli til að viðkomandi eining nái settum markmiðum.

Í vinnu við gerð áhættumats fá áhættuþættir vægi og er gefið áhættustig. Þessi stigagjöf verður forsenda forgangsröðunar umbótaverkefna.

Áhættumat styður við árangursstjórnun – t.d. stefnumiðað

árangursmat

Mælikvarðar í skorkorti

◦ Er hámarks áhætta í skorkorti ?

◦ Fær hámarks áhætta nægjanlega forgangsröðun ?

Markmið fyrirtækis

Fjármál

Þjónusta

Verklag

Mannauður

Sjálfsmat ◦ Styrkir liðsandann og virkni lykilstarfsmanna

◦ Öll sjónarmið eru dregin fram og rædd.

◦ Þátttaka lykilstarfsmanna við að forma umbótaverkefni– skilgreining eftirlitsaðgerða.

◦ Betur tryggð virkni stjórnenda og starfsmanna við að fylgja eftir tillögum um það sem betur má fara - innleiðing eftirlitsaðgerða.

Áhættumat ◦ Gefur einstökum verkefnum / þáttum vægi.◦ Grundvöllur fyrir betri forgangsröðun verkefna.

Að vera í hlutverki leiðbeinanda ◦ Góð leið til að yfirfæra þekkingu

◦ Betri tengsl við viðskiptavini

◦ Þekking á starfsemi IE verður meiri

◦ Fyrr haft samband við IE ef eitthvað er að

◦ IE fær enn dýpri skilning á starfseminni

Viðfangsefni1. Áhættustjórnun – hlutverk innri endurskoðunardeilda Hvar er áhættustjórnun að finna í stöðlum IE? Áhættustjórnun – helstu hugtök

2. Hvernig nýtist áhættustjórnun í störfum innri endurskoðunardeilda?

Í endurskoðunaráætlun Í úttektum Fullvissuúttektum (Assurance) Ráðgefandi úttektum (Consulting)