Innri endurskoðun og áhættustýring

Innri endurskoðun og áhættustýring

Guðjón Viðar Valdimarsson

CIA,CFSA,CISA

Innri endurskoðun og hlutverk hennar Staða innri endurskoðunar í dag Áhættugreind endurskoðun Hefðbundin skipulagning endurskoðunarvinnu Virði áhættugreindrar

endurskoðunar Hlutverk aðila Forsendur áhættugreindrar endurskoðunar Áhættuþættir og markmið

Yfirlit kynningarYfirlit kynningar

Innri endurskoðunInnri endurskoðun má skilgreina sem hlutlaust matsferli,sem hefur það grundvallarmarkmið að skapa aukin verðmæti (virðisauka) með því að bæta viðkomandi rekstur, aðstoða stjórnendur við að ná settum rekstrarmarkmiðum og meta árangur, bæta áhættustýringu, eftirlit og stjórnun með kerfisbundnum og öguðum vinnubrögðum.

◦ Innri endurskoðun sem fag Sérstaða innri endurskoðunar og endurskoðun almennt,

innri og “ytri” endurskoðun. Rannsóknarskýrsla Alþingis leiddi í ljós þörf á hlutverki

innri endurskoðunar sem hún hafði ekki haft áður. Þróun í alþjóðlegum stöðlum og lagasetningu markar

aukið hlutverk og sérstöðu innri endurskoðunar. Álit innri endurskoðunar á tilvist og virkni eftirlitskerfis sé

orðin eins mikilvæg og áritun um áreiðanleika fjárhagsupplýsinga í ársreikning.

Almennri þekkingu á stöðu og hlutverki innri endurskoðunar er samt ábótavant hjá stjórnendum og reyndar almenning líka.

Áhættugreind endurskoðun (risk based audit)

Staða innri endurskoðunar í dag

Áhættugreind endurskoðunÁhættugreind endurskoðun Áhættumat á að vera grunnur að gerð árlegrar

endurskoðunaráætlunar

• Til að velja þau atriði sem skila mestri arðsemi í lækkun áhættu.

• Til að ráðstafa takmörkuðum mannafla á sem hagkvæmastan hátt.

Við framkvæmd endurskoðunar

• Skilgreining markmiða

• Skilgreining viðfangs (Scope)

Leiðarvísir fyrir ytri endurskoðendur um helstu áherslur í innri endurskoðun og eftirlitsumhverfi

Leið til þess að fá stuðning stjórnenda og stjórnar í því verkefni að skilgreina forgangsröð og greina viðfangsefni í áhættustýringu og eftirliti.

Áhættugreind endurskoðunÁhættugreind endurskoðun

Tiltekin verkefni með vissu millibili Öll verkefni tilheyra umfangi áætlunar og

breytast lítið Tiltekin verkefni að beiðni stjórnenda Breytingar í lagaumhverfi eða reglugerðum Reynsla endurskoðenda og sérþekking

Hefðbundin aðferð við gerð endurskoðunaráætlunnar

Hefðbundin aðferð við gerð endurskoðunaráætlunnar

Hlutlæg aðferð til að meta heildarviðfang endurskoðunarverkefna fyrirtækis

Kastar ljósi á mögulega áhættuþætti sem að öðrum kosti mundu ekki koma í ljós.

Setur fókus í endurskoðun á þá þætti starfseminnar sem hafa mesta áhættu

Skilar mestu virði í lækkun áhættu Færir stjórnendum tæki til þess að meta

og greina áhættu í starfsemi sinni.

Virði áhættugreindrar endurskoðunar

Virði áhættugreindrar endurskoðunar

◦ Hlutverk stjórnar Stjórn ber að tryggja að til staðar sé eftirlitsumhverfi

sem virkar. Stjórn skilgreinir áhættuþol (risk appetite) Stjórn ræður innri endurskoðanda til þess að gefa álit

um tilvist og virkni eftirlitsumhverfis. Stjórn skal tryggja óhæði og aðgang innri

endurskoðunar að upplýsingum. Að framfylgja samþykktum ábendingum innri

endurskoðunar gagnvart framkvæmdastjórn.

Hlutverk aðila

◦ Hlutverk endurskoðunarnefndar skv. lögum um fjármálafyrirtæki Mat á reikningsskilum og skýrslugerð stjórnenda um fjármál Eftirlit með gerð áhættugreiningar og viðbrögðum við áhættu Eftirlit með endurskoðun ársreiknings og tilvist

verklagsreglna um gerð ársreiknings. Fylgja eftir ábendingum úr innra eftirliti fyrirtækisins eða frá

innri endurskoðun. Ganga úr skugga um óhæði ytri endurskoðenda og hvort

störf ytri endurskoðenda önnur en endurskoðun skerði óhæði þeirra

Setja fram tillögu til stjórnar um tilnefningu ytri endurskoðanda eða endurskoðunarfyrirtækis fyrir aðalfund

Meta þörf á innri endurskoðun, annast ráðningu innri endurskoðenda og eftirlit með innri endurskoðun.

Hlutverk aðila

◦ Hlutverk stjórnenda Greina áhættuþætti Meta áhrif áhættuþátta Tryggja að gerðar séu viðeigandi ráðstafanir til að

stjórna áhættu Skýra stjórn frá þeim áhættuþáttum sem eru ekki

gerðar ráðstafanir fyrir (utan „risk appetite“) Fullvissa áhættustjórn að ráðstafanir séu gerðar til að

stjórna þeim áhættuþáttum sem eru utan áhættumarka.

Hlutverk aðila

◦ Hlutverk innri endurskoðunar Innri endurskoðun setur fram óháð og hlutlægt álit til

stjórnar og stjórnenda á því hvort stjórnun áhættuþátta sé innan áhættuþols fyrirtækisins.

Ekki að staðfesta með óyggjandi hætti, þ.e.a.s. að gefa fullkomna vissu fyrir því að öllum áhættuþáttum sé stjórnað innan áhættumats því í mörgum tilvikum er ekki hægt að sjá alla áhættuþætti fyrir.

Tekin hefur verið afstaða til stjórnunar áhættuþátta.

Hlutverk aðila

• Hlutverk innri endurskoðunar er að veita víðtæka þjónustu á sviði endurskoðunar og ráðgjafar til að hjálpa fyrirtækjum og stofnunum að ná markmiðum sínum.

• Lykilhlutverk innri endurskoðunar er að fylgjast með áhættuþáttum og tryggja að eftirlitsaðgerðir séu til staðar til að minnka áhrif áhættuþátta.

• Innri endurskoðun er einn af hornsteinum í góðum stjórnarháttum – saman með stjórn, framkvæmdastjórn og ytri endurskoðendum.

• Innri endurskoðun hjálpar fyrirtækjum að takast á við breytingar í lagalegu umhverfi á tímum aukinnar áherslu á góða stjórnarhætti fyrirtækja.

Hlutverk aðila

◦ Hlutverk áhættustýringardeilda Áhættustýring eru ekki eigendur áhættuþátta og

breyta engu um ábyrgð stjórnenda. Áhættustýring getur ráðfært sig við innri

endurskoðun en með vissum skilyrðum. Ráðgjöf á sviði áhættustýringar og stjórnun áhættuþátta

megi ekki skerða óhæði eða hlutlægni í umfjöllum innri endurskoðunar

Að sú vinna og manntímar mundi gera innri endurskoðun ókleift að standa við megin markmið sín sem væri að klára þau verkefni sem væru á endurskoðunaráætlun.

Að stjórendur fari ekki að líta svo á sem innri endurskoðun sé í raun „eigandi“ áhættuþátta. Innri endurskoðun á að gefa álit á stjórnun áhættuþátta til stjórnenda en ekki öfugt.

Hlutverk aðila

◦ Forsendur áhættugreindrar endurskoðunaráætlunar er fyrirtækið eða starfsemin : Þekki alla mikilvæga eðlislæga áhættuþætti þ.e.a.s. alla sem eru yfir

áhættumörkum Hefur metið og greint þessa áhættuþætti þannig að hægt sé að forgangsraða

þeim eftir þeirri ögn sem þeir standa fyrir. Hefur skilgreint áhættuþolmörk þannig að hægt er að meta eðlislæga og

eftirstandandi áhættuþætti og sjá hvort þeir liggi yfir eða undir þeim mörkum.

◦ Þessar forsendur leiða af sér að : Stjórn fyrirtækisins eða starfseminnar hafi sett fram stefnu um innra eftirlit Stjórn fyrirtækisins hefur samþykkt áhættuþolmörk Stjórnendur hafa hlotið þjálfun í því að greina og meta áhættuþætti og til þess

að hanna, reka og fylgjast með eftirlitsumhverfi sem uppfyllir kröfur stjórnar fyrirtækisins og er í samræmi við stefnu hennar.

Forsendur áhættugreindrar endurskoðunar

Staðlar IIA um innri endurskoðun og áhættugreind endurskoðun

Staðlar IIA um innri endurskoðun og áhættugreind endurskoðun

2010.A1 – The internal audit activity’s plan of engagements must be based on a documented risk assessment, undertaken at least annually. The input of senior management and the board must be considered in this process

Staðlar um innri endurskoðun og áhættugreind endurskoðun

Staðlar um innri endurskoðun og áhættugreind endurskoðun2120.A1 – The internal audit activity must evaluate risk exposures relating to the organization’s governance, operations, and information systems regarding the:

Reliability and integrity of financial and operational information;Effectiveness and efficiency of operations and programs; Safeguarding of assets; and Compliance with laws, regulations, policies, procedures, and contracts.

Staðlar IIA og framkvæmd áhættugreindrar endurskoðunar

Staðlar IIA og framkvæmd áhættugreindrar endurskoðunar

2201 – Planning Considerations

In planning the engagement, internal auditors must consider:

The objectives of the activity being reviewed and the means by which the activity controls its performance;

The significant risks to the activity, its objectives, resources, and operations and the means by which the potential impact of risk is kept to an acceptable level;

The adequacy and effectiveness of the activity’s risk management and control processes compared to a relevant control framework or model; and

The opportunities for making significant improvements to the activity’s risk management and control processes.

◦ Sjónarhorn innri endurskoðunar á áhættumat Þeir þættir sem hindra fyrirtækið/stofnunina í að ná

markmiðum sínum. Meta áhættuþætti úr frá markmiðum en ekki sem

tilgang í sjálfu sér. Leggja sjálfstætt mat á því hvort tekið sé tillit til allra

áhættuþátta Gefa álit á því hvort stjórnun áhættuþátta sé innan

áhættuþols (risk appetite) Staðreyna virkni eftirlitsþátta

Áhættuþættir og markmið

Áhættuþættir og markmið

Áhættuþættir og markmiðÁhættuþættir og markmið

1. Skilgreina heildarviðfangsefni (Audit universe)

2. Ákveða og greina tölugildi fyrir áhættuþætti eða leggja mat á slíkt sé það til staðar

3. Skilgreina tölugildi áhættuþátta í viðfangi endurskoðunar

4. Raða viðfangsefnum eftir tölugildi áhættu

5. Útbúa endurskoðunaráætlun út frá röðun viðfangsefna

Skref 1: Skilgreina heildarviðfangsefni


1. Tilteknar deildir eða starfsemi innan fyrirtækisins.

2. Ferlar eða viðskiptaeiningar

3. Verkefni að beiðni æðstu stjórnenda

4. Verkefni að beiðni stjórnar

5. Vegna laga eða reglugerðarákvæða

6. Möguleg verkefni á grundvelli reynslu eða eðlisávísunar



Algengir áhættuþættir

Niðurstöður fyrri endurskoðunar Tími frá síðustu endurskoðun Mikisvægismörk og lausafjárstaða Trúnaður Þroski og aldur kerfis Flækjustig kerfis Starfsmannavelta Hæfi stjórnenda Frammistöðuþættir Almannatengsl

Skref 2: Tölugildi fyrir áhættuþætti

Skref 2: Tölugildi fyrir áhættuþætti

1. Beita faglegri dómgreind með hliðsjón af tegund fyrirtækis og reynslu

2. Skoða fjölda tölugilda

3. Leggja mat á hvort vægi áhættuþáttar endurspegli vægi í umhverfi innan fyrirtækis.

Dæmi um tölugildiDæmi um tölugildi

Skref 3: Skilgreina tölugildi áhættuþátta

Skref 3: Skilgreina tölugildi áhættuþátta

Tekur á afleiðingum og líkum.

Hægt að setja fram sem tölugildi eða lýsingu á ástandi (Mikil, lítill)

Mikilvægt að setjið fram hlutlæga mælikvarða til að fastsetja tölugildi.

Dæmi um tölugildiDæmi um tölugildi

Dæmi um mat á áhættu

Ef afleiðingarnar af því að tiltekin áhætta verði að veruleika er :

EÐA líkurnar á því að viss áhætta verði að veruleika sé :

Þá skal meta áhættu sem :

Að starfsemi fyrirtækisins/stofnunarinnar sé hætt að miklu leiti í mjög langan tíma Algjörlega öruggt Mjög mikla (5)

Að starfsemi fyrirtækisins/stofnunarinnar muni ekki ná meirihluta markmiða sinna í langan tíma Líklegt Mikla (4)

Að hinda fyrirtækið/stofnuninna í að ná einhverjum að á markmiðum sínum í takmarkaðan tíma Hugsanlegt Meðal (3)

Að valda fyrirtækinu/stofnuninni óþægindum en hindrar ekki það ekki í að ná mikilsverðum markmiðum Ólíklegt Lítill (2)

Að valda fyrirtækinu/stofnuninni einhverjum minni háttar óþægindum en hefur engin áhrif á getu þess til að ná mikilsverðum markmiðum Fátítt Mjög lítill (1)

Skref 4 og 5: Raða eftir áhættueinkunn

Skref 4 og 5: Raða eftir áhættueinkunn

Skref 4 er tæknilegt viðfangsefni en skyldi vera yfirfarið vandlega

Athuga hvort til staðar séu ósamræmi í niðurstöðum viðtala og hópvinnu – forðast að taka þátt í innri pólitík.

Endurskoðunaráætlun ætti að byggja að mestu en ekki öllu leiti á niðurstöðunum.

Sveigjanleg áætlunargerð er að öllu jöfnu mun líklegri til að mæta væntingum stjórnenda og stjórnar

Útbúa áhættukort fyrir stjórn og stjórnendur

Útbúa áhættuskrá

Alg

jörl

eg

a

öru

gg

t (5

)

Atriði til skoðunar (5)

Atriði til aðgerða

(10) Óásættanlegt

ástand (15) Óásættanlegt


ástand (25)

Lík

leg

t (4

)

Viðunandi ástand (4)

Atriði til skoðunar

(8) Atriði til

aðgerða (12) Óásættanlegt


ástand (20)

Líku

r

Hu

gsa

nle

gt

(3)


Atriði til skoðunar

(6) Atriði til

aðgerða (9) Atriði til

aðgerða (12) Óásættanlegt

ástand (15)

Ólí

kle

gt

(2)





Atriði til aðgerða (10)

Fá

títt

(1

)





Atriði til aðgerða (5)

Mjög lítill (1) Lítill (2) Meðal (3) Mikill (4)

Mjög mikill (5)

Afleiðingar

Dæmi um áhættukort

Dæmi um áhættuskrá

Verkferill áhættugreindrar endurskoðunar:

Verkferill áhættugreindrar endurskoðunar:

Fá skilning á ferlum og markmiðum

1

Greina áhættuþætti

2

Mæla áhrif áhættuþátta

3

Leggja mat á virkni eftirlitsþátta og líkur á atburðum

4Meta og forgangsraða áhættuþáttum

5

Útbúa markmið ásamt verkefnis-lýsingu endurskoðunar

6

Innri endurskoðendur verða að greina og meta áhættuþætti á sjálfstæðan hátt.

Hefðbundin endurskoðun leggur áherslur á hringrás og endurtekningar vissra verkefna

Áhættugreind endurskoðun er hluti af stöðlum IIA og því er ekkert val um að beita þessari aðferð við framkvæmt endurskoðunar fyrir utan að þessi aðferð hefur marga kosti í för með sér fyrir starfsemi fyrirtækisins almennt.

Áætlanagerð í tengslum við áhættugreinda endurskoðun er margþættur ferill.

Framkvæmt endurskoðunar í einstökum verkefnum leiðir af hugmyndafræði áhættugreindrar endurskoðunar.

SamantektSamantekt

GSH – innri endurskoðun og ráðgjöf

gudjon.v.valdimarsson@gsh-innri-endurskodun.netwww.gsh-innri-endurskodun.net

Guðjón Viðar Valdimarsson CIA, CFSA, CISA

Documents

Innri endurskoðun og áhættustýring