Audyt wewnętrzny a ryzyko nadużyć

Bezpośrednią tego pochodną jest kwestia wewnętrznej odpowiedzialności za zarządzanie ryzykiem nadużyć. Zapisano już setki stron, dowodząc wyższości jednych rozwiązań organizacyjnych nad innymi, ale różnice zdań sięgają dalej i dotyczą także zakresu odpowiedzialności audytu wewnętrznego w tym obszarze. Dyskusje na ten temat toczyły się praktycznie od zawsze, a przyczynkiem do nich pozostaje standard 1210.A2, zgodnie z którym audytor wewnętrzny musi mieć wiedzę niezbędną do oszacowania ryzyka nadużyć oraz oceny sposobu zarządzania nim przez organizację, ale nie wymaga się od niego specjalistycznej wiedzy eksperckiej. Mimo dość klarownego brzmienia zapis ten jest bardzo różnie interpretowany. Zdaniem niektórych, określa on maksimum zaangażowania audytorów w rozwiązanie problemu nadużyć (i w związku z tym nie można oczekiwać od nich niczego więcej), z kolei adwersarze twierdzą, że rekomendacja ta określa minimum kwalifikacji audytorów i wszelkie dodatkowe ich kompetencje i umiejętności zapewniają wartość dodaną dla organizacji. Wbrew oczekiwaniom nie zakończył tego sporu opublikowany przez Instytut Audytorów Wewnętrznych w końcu 2009 r. dokument pt. Audyt wewnętrzny a nadużycia, w którym szczegółowo opisano rolę komórki audytu wewnętrznego na poszczególnych etapach procesu zarządzania ryzykiem nadużyć. Głównym i uzasadnionym zarzutem wobec niego było postrzeganie problemu wyłącznie z punktu widzenia korporacji i zlekceważenie specyfiki mniejszych organizacji, w których z przyczyn obiektywnych pewne działania nie mogą być delegowane na komórki specjalistyczne, bo takie nie istnieją.

Racja – tradycyjnie – wydaje się leżeć pośrodku. Należy pamiętać, że wszelkie rekomendacje, najlepsze praktyki oraz wzorcowe instrukcje stanowią jedynie pewną konstrukcję ramową. Aby poprawnie z nich korzystać, muszą one być wdrożone elastycznie, zgodnie z profilem działania i specyfiką operacyjną danego podmiotu. Ma to szczególne znaczenie w mniejszych firmach, które nie mogą pozwolić sobie na wyodrębnienie specjalistycznych komórek, np. do walki z nadużyciami. Oczywiście w sytuacji, gdy konstrukcja taka stanowi również punkt odniesienia (a tak jest w przypadku „Międzynarodowych standardów praktyki zawodowej audytu wewnętrznego”), trzeba zachować zgodność z jej wytycznymi, nie ograniczając się jednak wyłącznie do zakresu ujętego wprost w ich treści. Uzasadnione wydaje się zatem twierdzenie, że organizacja musi walczyć z problemem nadużyć przy efektywnym wykorzystaniu wszelkich dostępnych zasobów, wliczając w to audyt wewnętrzny. Im większe możliwości operacyjne komórki audytu w tym zakresie, tym lepsze zarządzanie ryzykiem nadużyć w całej organizacji. Jednocześnie należy dołożyć wszelkich starań, aby wykorzystywanie w tym celu audytu wewnętrznego nie odbiło się negatywnie na realizacji jego podstawowych zadań oraz na niezależności i obiektywizmie audytorów.