Metinis vidaus audito planas: 5 taisyklės
Paskutinįjį metų ketvirtį dauguma įmonių rengia kitų metų veiklos planavimo paketą, įskaitant ir vidaus audito planą. Šiame etape priimami sprendimai stipriai prisideda prie būsimų auditų kuriamos vertės ir naudos bendrovei. Viena dažniausių planavimo klaidų yra auditas, suplanuotas srityje, kuri jo atlikimo metu iš esmės keičiasi. Toks auditas paprastai nustato realius trūkumus, tačiau iki rekomendacijų įgyvendinimo jie jau būna nebeaktualūs.
Tipinė situacija iš praktikos - finansų maklerio įmonės plane numatytas klientų tinkamumo vertinimo auditas. Pasirinkimas pagrįstas: sritis rizikinga, o MiFID reikalavimai nesikeičia. Tačiau tais pačiais metais bendrovė perkelia klientų aptarnavimą į naują platformą. Auditas tiria imtį iš senosios sistemos ir nustato neišsamius klausimynus bei pasenusius klientų profilius. Valdyba gauna realius, bet jau istorinius pastebėjimus. Tuo metu lieka nepatikrinta, ar klientų duomenys perkelti teisingai ir ar nauja tinkamumo vertinimo logika veikia.
Audito planas kuria vertę tik tada, kai jis nukreiptas į tikrąsias rizikas ir parengtas tinkamu laiku. Toliau pateikiame keletą pagrindinių taisyklių, padedančių to pasiekti.
1. Planą grįskite dokumentuotu rizikos vertinimu
Metinis planas neturėtų būti automatiškai veikiantis auditų grafikas. Pagal tarptautinius vidaus audito standartus planas turi remtis dokumentuotu organizacijos strategijos, tikslų ir rizikų vertinimu, kuris atliekamas bent kartą per metus. Pirmenybę teikite sritims, kuriose operacinė rizika didžiausia.
2. Įvertinkite reguliavimo ir vidaus pokyčius prieš nustatydami audito laiką
Neplanuokite audito srityje, kurios reguliavimas audito metu iš esmės keičiasi arba kuri pereina į naują sistemą, procesą ar struktūrą. Planuodami sudarykite artimiausių 12–18 mėnesių reguliavimo ir vidaus pokyčių žemėlapį. Pavyzdžiui, ES kovos su pinigų plovimu reglamentas (AMLR) taikomas nuo 2027 m. liepos 10 d. Todėl 2027 m. pirmąjį pusmetį tikslingiau vertinti pasirengimą naujiems reikalavimams, o ne atitiktį procedūroms, kurios netrukus bus keičiamos. Jei sritis rizikinga, bet jos reguliavimas ar procesai dar kinta, rinkitės pasirengimo vertinimą.
3. Įtraukite visas suinteresuotąsias šalis
Standartai reikalauja, kad rizikos vertinimas būtų grindžiamas valdybos ir vyresniosios vadovybės pateikta informacija, tačiau vien to praktikoje nepakanka. Būtina pasikalbėti su atitikties, rizikos valdymo, informacijos saugos ir PPTFP funkcijomis bei išorės paslaugų teikėjais, taip pat peržiūrėti priežiūros institucijos pastabas. Šie pokalbiai padeda iš anksto sužinoti ir apie planuojamus vidaus pokyčius.
4. Aiškiai apibrėžkite išteklius: ir audito, ir bendrovės
Planas turi nurodyti jam įgyvendinti reikalingus žmogiškuosius, finansinius ir technologinius išteklius. Įvertinkite turimas audito kompetencijas: IRT, PPTFP ar MiFID sritims gali prireikti išorės ekspertų. Ne mažiau svarbu ir audituojamų padalinių laikas, todėl užduočių terminus suderinkite su finansinių ataskaitų rengimo, priežiūros patikrinimų ir sistemų diegimo darbais.
5. Vidaus audito planas – gyvas dokumentas: stebėkite ir rekomendacijas
Audito planą periodiškai peržiūrėkite ir koreguokite, kai keičiasi rizikos, reguliavimas ar bendrovės veikla. Reikšmingus plano pakeitimus reikia pateikti valdybos tvirtinimui. Į planą taip pat įtraukite laiką ankstesnių rekomendacijų įgyvendinimo patikrai, nes nustatytas, bet neištaisytas trūkumas nuo priežiūros institucijos sankcijų neapsaugo.
Rengiantiems 2027 m. audito planą ExpertLab komanda gali padėti atlikti rizikos vertinimą, sudaryti reguliavimo pokyčių žemėlapį arba nepriklausomai įvertinti vidaus audito funkciją. Susisiekite su Agne Dačkiene.
