Innri endurskoðun og áhættustýring

1. Innriendurskoðun og áhættustýring GuðjónViðarValdimarsson CIA,CFSA,CISA

2. Yfirlitkynningar • Innriendurskoðun og hlutverkhennar • Staðainnriendurskoðunar í dag • Áhættugreindendurskoðun • Hefðbundinskipulagningendurskoðunarvinnu • Virðiáhættugreindrarendurskoðunar • Hlutverkaðila • Forsenduráhættugreindrarendurskoðunar • Áhættuþættir og markmið

3. Innriendurskoðun Innriendurskoðunmáskilgreinasemhlutlaustmatsferli,semhefurþaðgrundvallarmarkmiðaðskapaaukinverðmæti (virðisauka) meðþvíaðbætaviðkomandirekstur, aðstoðastjórnendurviðaðnásettumrekstrarmarkmiðum og meta árangur, bætaáhættustýringu, eftirlit og stjórnunmeðkerfisbundnum og öguðumvinnubrögðum.

4. Staðainnriendurskoðunar í dag • Innri endurskoðun sem fag • Sérstaða innri endurskoðunar og endurskoðun almennt, innri og “ytri” endurskoðun. • Rannsóknarskýrsla Alþingis leiddi í ljós þörf á hlutverki innri endurskoðunar sem hún hafði ekki haft áður. • Þróun í alþjóðlegum stöðlum og lagasetningu markar aukið hlutverk og sérstöðu innri endurskoðunar. • Álit innri endurskoðunar á tilvist og virkni eftirlitskerfis sé orðin eins mikilvæg og áritun um áreiðanleika fjárhagsupplýsinga í ársreikning. • Almennri þekkingu á stöðu og hlutverki innri endurskoðunar er samt ábótavant hjá stjórnendum og reyndar almenning líka. • Áhættugreind endurskoðun (riskbasedaudit)

5. Áhættugreindendurskoðun • Áhættumat á að vera grunnur að gerð árlegrar endurskoðunaráætlunar • Til að velja þau atriði sem skila mestri arðsemi í lækkun áhættu. • Til að ráðstafa takmörkuðum mannafla á sem hagkvæmastan hátt. • Við framkvæmd endurskoðunar • Skilgreining markmiða • Skilgreining viðfangs (Scope)

6. Áhættugreindendurskoðun • Leiðarvísirfyrirytriendurskoðendur um helstuáherslur í innriendurskoðun og eftirlitsumhverfi • Leiðtilþessaðfástuðningstjórnenda og stjórnar í þvíverkefniaðskilgreinaforgangsröð og greinaviðfangsefni í áhættustýringu og eftirliti.

7. Hefðbundinaðferðviðgerðendurskoðunaráætlunnar • Tiltekinverkefnimeðvissumillibili • Öllverkefnitilheyraumfangiáætlunar og breytastlítið • Tiltekinverkefniaðbeiðnistjórnenda • Breytingar í lagaumhverfieðareglugerðum • Reynslaendurskoðenda og sérþekking

8. Virðiáhættugreindrarendurskoðunar • Hlutlægaðferðtilað meta heildarviðfangendurskoðunarverkefnafyrirtækis • Kastarljósi á mögulegaáhættuþættisemaðöðrumkostimunduekkikoma í ljós. • Seturfókus í endurskoðun á þáþættistarfseminnarsemhafamestaáhættu • Skilarmestuvirði í lækkunáhættu • Færirstjórnendumtækitilþessað meta og greinaáhættu í starfsemisinni.

9. Hlutverk aðila • Hlutverk stjórnar • Stjórn ber að tryggja að til staðar sé eftirlitsumhverfi sem virkar. • Stjórn skilgreinir áhættuþol (riskappetite) • Stjórn ræður innri endurskoðanda til þess að gefa álit um tilvist og virkni eftirlitsumhverfis. • Stjórn skal tryggja óhæði og aðgang innri endurskoðunar að upplýsingum. • Að framfylgja samþykktum ábendingum innri endurskoðunar gagnvart framkvæmdastjórn.

10. Hlutverk aðila • Hlutverk endurskoðunarnefndar skv. lögum um fjármálafyrirtæki • Mat á reikningsskilum og skýrslugerð stjórnenda um fjármál • Eftirlit með gerð áhættugreiningar og viðbrögðum við áhættu • Eftirlit með endurskoðun ársreiknings og tilvist verklagsreglna um gerð ársreiknings. • Fylgja eftir ábendingum úr innra eftirliti fyrirtækisins eða frá innri endurskoðun. • Ganga úr skugga um óhæði ytri endurskoðenda og hvort störf ytri endurskoðenda önnur en endurskoðun skerði óhæði þeirra • Setja fram tillögu til stjórnar um tilnefningu ytri endurskoðanda eða endurskoðunarfyrirtækis fyrir aðalfund • Meta þörf á innri endurskoðun, annast ráðningu innri endurskoðenda og eftirlit með innri endurskoðun.

11. Hlutverk aðila • Hlutverk stjórnenda • Greina áhættuþætti • Meta áhrif áhættuþátta • Tryggja að gerðar séu viðeigandi ráðstafanir til að stjórna áhættu • Skýra stjórn frá þeim áhættuþáttum sem eru ekki gerðar ráðstafanir fyrir (utan „riskappetite“) • Fullvissa áhættustjórn að ráðstafanir séu gerðar til að stjórna þeim áhættuþáttum sem eru utan áhættumarka.

12. Hlutverk aðila • Hlutverk innri endurskoðunar • Innri endurskoðun setur fram óháð og hlutlægt álit til stjórnar og stjórnenda á því hvort stjórnun áhættuþátta sé innan áhættuþols fyrirtækisins. • Ekki að staðfesta með óyggjandi hætti, þ.e.a.s. að gefa fullkomna vissu fyrir því að öllum áhættuþáttum sé stjórnað innan áhættumats því í mörgum tilvikum er ekki hægt að sjá alla áhættuþætti fyrir. • Tekin hefur verið afstaða til stjórnunar áhættuþátta.

13. Hlutverkaðila • Hlutverkinnriendurskoðunareraðveitavíðtækaþjónustu á sviðiendurskoðunar og ráðgjafartilaðhjálpafyrirtækjum og stofnunumaðnámarkmiðumsínum. • Lykilhlutverkinnriendurskoðunareraðfylgjastmeðáhættuþáttumogtryggjaaðeftirlitsaðgerðirséutilstaðartilaðminnkaáhrifáhættuþátta. • Innriendurskoðunereinnafhornsteinum í góðumstjórnarháttum – samanmeðstjórn, framkvæmdastjórnogytriendurskoðendum. • Innriendurskoðunhjálparfyrirtækjumaðtakast á viðbreytingar í lagaleguumhverfi á tímumaukinnaráherslu á góðastjórnarhættifyrirtækja.

14. Hlutverk aðila • Hlutverk áhættustýringardeilda • Áhættustýring eru ekki eigendur áhættuþátta og breyta engu um ábyrgð stjórnenda. • Áhættustýring getur ráðfært sig við innri endurskoðun en með vissum skilyrðum. • Ráðgjöf á sviði áhættustýringar og stjórnun áhættuþátta megi ekki skerða óhæði eða hlutlægni í umfjöllum innri endurskoðunar • Að sú vinna og manntímar mundi gerainnri endurskoðun ókleift að standa við megin markmið sín sem væri að klára þau verkefni sem væru á endurskoðunaráætlun. • Að stjórendur fari ekki að líta svo á sem innri endurskoðun sé í raun „eigandi“ áhættuþátta. Innri endurskoðun á að gefa álit á stjórnun áhættuþátta til stjórnenda en ekki öfugt.

15. Forsendur áhættugreindrar endurskoðunar • Forsendur áhættugreindrar endurskoðunaráætlunar er fyrirtækið eða starfsemin : • Þekki alla mikilvæga eðlislæga áhættuþætti þ.e.a.s. alla sem eru yfir áhættumörkum • Hefur metið og greint þessa áhættuþætti þannig að hægt sé að forgangsraða þeim eftir þeirri ögn sem þeir standa fyrir. • Hefur skilgreint áhættuþolmörk þannig að hægt er að meta eðlislæga og eftirstandandi áhættuþætti og sjá hvort þeir liggi yfir eða undir þeim mörkum. • Þessar forsendur leiða af sér að : • Stjórn fyrirtækisins eða starfseminnar hafi sett fram stefnu um innra eftirlit • Stjórn fyrirtækisins hefur samþykkt áhættuþolmörk • Stjórnendur hafa hlotið þjálfun í því að greina og meta áhættuþætti og til þess að hanna, reka og fylgjast með eftirlitsumhverfi sem uppfyllir kröfur stjórnar fyrirtækisins og er í samræmi við stefnu hennar.

16. Staðlar IIA um innriendurskoðun og áhættugreindendurskoðun 2010.A1 – The internal audit activity’s plan of engagements must be based on a documented risk assessment, undertaken at least annually. The input of senior management and the board must be considered in this process

17. Staðlar um innriendurskoðun og áhættugreindendurskoðun • 2120.A1 – The internal audit activity must evaluate risk exposures relating to the organization’s governance, operations, and information systems regarding the: • Reliability and integrity of financial and operational information; • Effectiveness and efficiency of operations and programs; • Safeguarding of assets; and • Compliance with laws, regulations, policies, procedures, and contracts.

18. Staðlar IIA og framkvæmdáhættugreindrarendurskoðunar • 2201 – Planning Considerations • In planning the engagement, internal auditors must consider: • The objectives of the activity being reviewed and the means by which the activity controls its performance; • The significant risks to the activity, its objectives, resources, and operations and the means by which the potential impact of risk is kept to an acceptable level; • The adequacy and effectiveness of the activity’s risk management and control processes compared to a relevant control framework or model; and • The opportunities for making significant improvements to the activity’s risk management and control processes.

19. Áhættuþættir og markmið • Sjónarhorn innri endurskoðunar á áhættumat • Þeir þættir sem hindra fyrirtækið/stofnunina í að ná markmiðum sínum. • Meta áhættuþætti úr frá markmiðum en ekki sem tilgang í sjálfu sér. • Leggja sjálfstætt mat á því hvort tekið sé tillit til allra áhættuþátta • Gefa álit á því hvort stjórnun áhættuþátta sé innan áhættuþols (riskappetite) • Staðreyna virkni eftirlitsþátta

20. Áhættuþættir og markmið

21. Áhættuþættir og markmið Skilgreinaheildarviðfangsefni (Audit universe) Ákveða og greinatölugildifyriráhættuþættieðaleggja mat á slíktséþaðtilstaðar Skilgreinatölugildiáhættuþátta í viðfangiendurskoðunar Raðaviðfangsefnumeftirtölugildiáhættu Útbúaendurskoðunaráætlunútfráröðunviðfangsefna

22. Skref 1: Skilgreinaheildarviðfangsefni Tilteknardeildireðastarfsemiinnanfyrirtækisins. Ferlareðaviðskiptaeiningar Verkefniaðbeiðniæðstustjórnenda Verkefniaðbeiðnistjórnar Vegnalagaeðareglugerðarákvæða Mögulegverkefni á grundvellireynslueðaeðlisávísunar

23. Skref 1: Skilgreinaheildarviðfangsefni

24. Skref 2: Tölugildifyriráhættuþætti Algengiráhættuþættir • Niðurstöðurfyrriendurskoðunar • Tímifrásíðustuendurskoðun • Mikisvægismörk og lausafjárstaða • Trúnaður • Þroski og aldurkerfis • Flækjustigkerfis • Starfsmannavelta • Hæfistjórnenda • Frammistöðuþættir • Almannatengsl Beitafaglegridómgreindmeðhliðsjónaftegundfyrirtækis og reynslu Skoðafjöldatölugilda Leggja mat á hvortvægiáhættuþáttarendurspeglivægi í umhverfiinnanfyrirtækis.

25. Dæmi um tölugildi

26. Skref 3: Skilgreinatölugildiáhættuþátta • Tekur á afleiðingum og líkum. • Hægtaðsetjaframsemtölugildieðalýsingu á ástandi (Mikil, lítill) • Mikilvægtaðsetjiðframhlutlægamælikvarðatilaðfastsetjatölugildi.

27. Dæmi um tölugildi

28. Dæmi um mat á áhættu

29. Skref 4 og 5: Raðaeftiráhættueinkunn • Skref4 ertæknilegtviðfangsefni en skyldiverayfirfariðvandlega • Athugahvorttilstaðarséuósamræmi í niðurstöðumviðtala og hópvinnu – forðastað taka þátt í innripólitík. • Endurskoðunaráætlunættiaðbyggjaaðmestu en ekkiölluleiti á niðurstöðunum. • Sveigjanlegáætlunargerðeraðöllujöfnumunlíklegritilaðmætavæntingumstjórnenda og stjórnar • Útbúaáhættukortfyrirstjórn og stjórnendur • Útbúaáhættuskrá

30. Dæmi um áhættukort

31. Dæmi um áhættuskrá

32. 1 2 6 Útbúamarkmiðásamtverkefnis-lýsinguendurskoðunar Meta og forgangsraðaáhættuþáttum Fáskilning á ferlum og markmiðum Greinaáhættuþætti Mælaáhrifáhættuþátta Leggja mat á virknieftirlitsþátta og líkur á atburðum 5 3 4 Verkferilláhættugreindrarendurskoðunar:

33. Samantekt • Innri endurskoðendur verða að greina og meta áhættuþætti á sjálfstæðan hátt. • Hefðbundin endurskoðun leggur áherslur á hringrás og endurtekningar vissra verkefna • Áhættugreind endurskoðun er hluti af stöðlum IIA og því er ekkert val um að beita þessari aðferð við framkvæmt endurskoðunar fyrir utan að þessi aðferð hefur marga kosti í för með sér fyrir starfsemi fyrirtækisins almennt. • Áætlanagerð í tengslum við áhættugreinda endurskoðun er margþættur ferill. • Framkvæmt endurskoðunar í einstökum verkefnum leiðir af hugmyndafræði áhættugreindrar endurskoðunar.

34. GSH – innriendurskoðun og ráðgjöf gudjon.v.valdimarsson@gsh-innri-endurskodun.netwww.gsh-innri-endurskodun.net GuðjónViðarValdimarsson CIA, CFSA, CISA