O audycie wewnętrznym rozmawiamy z Panią Olgą Reyzz – Rubini, CIA, Wiceprezes Instytutu Audytorów Wewnętrznych IIA Polska.
Adam Kuchta, Infor.pl: Audyt wewnętrzny jest działalnością niezależną i obiektywną, której celem jest przysporzenie wartości i usprawnienie działalności operacyjnej organizacji. Tak definiuje audyt wewnętrzny The Institute of Internal Auditors w Miedzynarodowych Standardach Audytu Wewnętrznego. Co w praktyce kryje się pod tą definicją?
Olga Reyzz – Rubini, CIA, Wiceprezes Instytutu Audytorów Wewnętrznych IIA Polska: Jest jeszcze dalsza część definicji. Mówi ona, że działalność ta polega na systematycznej, dokonywanej w uporządkowany sposób ocenie procesów: zarządzania ryzykiem, kontroli i ładu organizacyjnego. Pomaga organizacji osiągnąć cele zapewniając o skuteczności tych procesów, jak również poprzez doradztwo.
Dopiero mając pełną definicję, możemy uświadomić sobie istotę działalności audytu. Pomaga organizacji osiągnąć cele. W przypadku biznesu, cele biznesowe.
Audyt powinien być niezależny i obiektywny...
Tak. To warunek konieczny, ale nie jedyny.
Jeden z menadżerów w firmie gdzie pracuję, powiedział mi kiedyś, że dla niego wielką wartością jest m.in. to, że procesy, które jego dotyczą, są oceniane przez osobę w nie niezaangażowaną. Wcale mnie to nie dziwi. Trudno jest nad wszystkim panować, szczególnie gdy obszar jest bardzo rozbudowany.
Mając profesjonalnego, doświadczonego, niezależnego i obiektywnego audytora, kierownictwo organizacji, otrzymuje nie tylko usługę zapewnienia o poprawności i bezpieczeństwie funkcjonowania wszystkich systemów zarządzania, ale też wsparcie doradcze, wskazówki w jaki sposób usprawnić procesy tak, aby sprawnie, skutecznie i efektywnie przynosiły wartość dla organizacji.
To jest ta wartość dodana audytu. Nie tylko mówimy czy system działa prawidłowo, ale też pomagamy go udoskonalić.
O jakich obszarach mówimy, jakich procesach?
Wszystkich, które funkcjonują w organizacji.
Natomiast jakie konkretnie procesy będą oceniane, to powstaje w fazie planowania audytu, opartej na analizie ryzyka organizacji i potrzebach Zarządu czy Rady Nadzorczej. Zasoby są ograniczone. Zawsze. Dlatego audyt musi się koncentrować na tych procesach, które w danym roku będą najbardziej istotne dla realizacji celów lub wpływają na bezpieczeństwo firmy, w szeroko rozumianym zakresie. Czynniki brane pod uwagę, to m.in. zmiany otoczenia biznesowego organizacji, systemy kontroli, zmienność w obszarach, podatność systemów na zmiany, operacje finansowe i wiele innych.
Audyt musi działać proaktywnie. Reagować na zmiany w otaczającej firmę rzeczywistości. Dostrzegać szanse i zagrożenia. I słuchać. Słuchać, co mają do powiedzenia menagerowie i pozostali pracownicy. Nie bez kozery w języku łacińskim słowo audite oznacza właśnie słuchanie.
Tak naprawdę planowanie audytu trwa cały rok.
Oczywiście najbardziej komfortowa sytuacja jest taka, w której każdy obszar byłby "pokryty" audytowo w określonym przedziale czasu. Jednak najczęściej działy audytów nie mają aż takich zasobów. A nawet w większości przypadków nie miałoby to uzasadnienia biznesowego.
Czyli audyt wewnętrzny działa na rzecz realizacji strategii firmy. Czy tak?
Zdecydowanie. Punktem wyjścia do aktywności audytu są cele strategiczne organizacji.
Tak samo jak dla celów operacyjnych, które przecież mają służyć realizacji wizji i strategii. Następuje gradacja celów w dół, a audyt wspiera organizację na każdym szczeblu zarządzania.
W efekcie audyt daje zarządowi zapewnienie, że firma podąża we właściwym kierunku, podąża za strategią. Inaczej mówiąc, realizacja strategii jest pod kontrolą.
Międzynarodowe Standardy Badania zwiększą jakość audytu
Audyt może działać motywująco na weryfikowany obszar lub, mogą być obawy, że wręcz przeciwnie. W jaki sposób od strony praktycznej możemy zapobiec demotywacji audytowanej organizacji?
Przede wszystkim współpracując. Począwszy od etapu uzgadniania celów zadania z kierownictwem, wypracowywania kryteriów, po dyskutowanie i omawianie ustaleń i rekomendacji. Naczelna zasada. Nie zaskakujemy siebie nawzajem. Dlatego ustalenia powinno się przedstawiać i omawiać jeszcze przed zamknięciem audytu.
Jednak ustalenia, czyli fakty, to nie wszystko. Audyt musi dotrzeć do przyczyn takiego, a nie innego stanu rzeczy, zidentyfikować jakie to może mieć konsekwencje (ryzyka) dla organizacji, wyciągnąć wnioski i dać rekomendacje. To jest bardzo wrażliwy i delikatny moment. Niezwykle ważne są umiejętności komunikacyjne audytora, umiejętność przekonywania i umiejętność zaangażowania ludzi w wypracowywanie rozwiązań. Powoduje to przyjmowanie rekomendacji jako własnych, zmniejsza opór do wprowadzenia zmian. Oczywiście nie zawsze tak można i nie zawsze się musi udać, ale należy próbować.
Rola controllera personalnego w firmie
Zdarza się również, że sami menadżerowie lub pozostali pracownicy mają świetne pomysły na usprawnienie procesów. Zdarza się również, że ciężko im się z tym przebić wyżej. Nie znajdują zrozumienia. Audyt jest wtedy okazją do wsparcia tych pomysłów i wdrożenia proponowanych rozwiązań.
Dlatego, jeszcze raz podkreślam, słuchamy innych i wspieramy w dążeniach do realizacji celów.
Ostatnio prowadziłam bardzo trudny i istotny dla organizacji audyt, w którym wszystkie, dosłownie wszystkie rekomendacje, były takie same jak je widziała osoba odpowiedzialna za ten obszar. Dobrze zidentyfikowane ryzyko i dotarcie do rzeczywistych przyczyn danych ustaleń, nie powinno pozostawiać wiele miejsca na kreatywność w rekomendacjach.
Jednocześnie musimy zawsze mieć na uwadze, że należy zachować równowagę między biznesem a bezpieczeństwem jego prowadzenia. Między ryzykiem a mechanizmami kontrolnymi. Audytor musi rozumieć obszar w jakim działa. Rekomendowanie rozwiązań systemowych, które "zabiją" biznes byłoby absolutnie nieracjonalne i nie audytorskie.
Jaki w takim razie powinien być profesjonalny audytor wewnętrzny?
Nie chcę tutaj powiedzieć, że warunkiem koniecznym jest posiadanie certyfikatu, np. CIA (Certified Internal Auditor), bo to nieprawda. Jest wielu bardzo dobrych audytorów, z olbrzymim dorobkiem i doświadczeniem, którzy nie posługują się takim dokumentem. Jednak zdecydowanie posiadanie certyfikatu podnosi rozpoznawalność audytora jako profesjonalisty.
Wspomniany wyżej certyfikat CIA jest potwierdzeniem kwalifikacji zawodowych. Znajomości nie tylko standardów wypracowanych przez wspomniany wyżej Międzynarodowy Instytut Audytorów Wewnętrznych, ale też rozbudowanej wiedzy m.in. z zakresu zarządzania organizacją, nadzoru korporacyjnego, finansów, rachunkowości, zagadnień bezpieczeństwa informatycznego, analiz biznesowych, zarządzania ryzykiem. Jest jednocześnie, można powiedzieć, takim testem na inteligencję. Pytania zadawane są w specyficzny, podchwytliwy sposób. Nie jest łatwo zdać egzaminy.
Trudno również wymieniać tutaj inne kwalifikacje i umiejętności, szczególnie, że te mogą być różne w zależności od organizacji, z którą audytor współpracuje. Ale postaram się wskazać niewielką część tych uniwersalnych, niekoniecznie tzw. "twardych", które ja uważam, że być powinny.
Jak już wspomniałam wcześniej, audytor powinien umieć słuchać, potrafić "wczuwać" się w biznes, rozumieć otoczenie w którym działa i cele do jakich dąży organizacja, a przy tym nie zatracić umiejętności dostrzegania i oceniania ryzyk. Powinien być również doskonałym analitykiem i przede wszystkim zawsze umieć zachować obiektywizm. To jest stan umysłu, którego nie da się nauczyć czy w inny sposób wyćwiczyć.
Skuteczna i efektywna komunikacja firmy z audytorem
Czyli nie jest łatwo zostać dobrym audytorem. Jakie jeszcze warunki muszą być spełnione, aby organizacja rzeczywiście skorzystała na usługach audytu wewnętrznego?
Audyt może przynieść bardzo wymierne korzyści organizacji, ale również pod warunkiem, że pozwala mu się rzeczywiście działać, a nie stwarzać wrażenie tego działania.
Mam na myśli sytuacje, w których komórka audytu funkcjonuje, jest nawet usytuowana w strukturze tak, że jest zapewniona jej niezależność organizacyjna od innych procesów, ale nie ma tzw "klimatu" do rzeczywistego, efektywnego działania. Właściwy "klimat" to nie tylko obieg informacji, czyli zapewnienie, że wszystkie istotne, strategiczne i pozostałe informacje są dla audytora dostępne, to również rzeczywista współpraca na etapie planowania audytu, jego przeprowadzania i później wdrażania rekomendacji. To również angażowanie audytu, jako doradcy w sprawy o istotnym znaczeniu dla organizacji, wykorzystywanie jego całościowego, niezależnego i obiektywnego spojrzenia na firmę, wiedzy o procesach, wiedzy o ryzykach i istniejących współzależnościach.
Od jakiegoś czasu dobrą praktyką jest zapraszanie szefa audytu na posiedzenia zarządu. Same protokoły są tylko lakonicznym wyliczeniem ostatecznych ustaleń, uchwał i krótkim podsumowaniem dyskusji. Tymczasem wiele informacji i intencji, tzw. „ducha” decyzji, można poznać poprzez bezpośrednie uczestnictwo w spotkaniach. Dzięki temu działania audytu będą jeszcze bardziej efektywne.
Oczywiście ogromną rolę odgrywa profesjonalizm audytora, ale jednocześnie, niezwykle ważna jest świadomość osób zarządzających. Świadomość tego, czym tak naprawdę jest audyt, jaka jest jego rola. I zaufanie, że dając wachlarz możliwości działania, wykorzystując atrybuty audytu, organizacja może czuć się bardziej bezpieczną w dążeniu do celów i realizacji strategii.
I podniesieniu tej właśnie świadomości, miała służyć ta rozmowa. Bardzo dziękuję.