Przed kilkoma tygodniami podczas wirtualnego spotkania z członkami IIA Polska miałem przyjemność omówienia założeń dla współpracy na linii compliance – audyt wewnętrzny. Niniejszy tekst to kontynuacja rozważań w tym zakresie, a także nawiązanie do wytycznych IIA opisujących to zagadnienie.
W ubiegłym roku w artykule "Compliance i audyt wewnętrzny. Audiatur et altera pars", opublikowanym na tym portalu, postulowałem współpracę przedstawicieli II i III Linii w ramach organizacji:
„nie sposób efektywnie i kompleksowo zarządzać ryzykiem, bez współpracy i współdziałania jednostek konstytuujących Model III Linii. Ich zadaniem jest nie tylko działanie na rzecz zysku przedsiębiorstwa lecz także działanie na rzecz sprawiedliwości.”
W tym roku The Institute of Internal Auditors opublikował, wspomniane powyżej, Wytyczne dla współpracy pomiędzy audytem wewnętrznym a compliance w celu wzmocnienia systemu zarządzania opartego o zasady corporate governance( ang. Internal Audit and Compliance: Clarity and collaboration for stronger governance), które mają pomóc przedstawicielom niezależnej komórki audytu wewnętrznego zrozumieć rolę, zadania, jak i podział odpowiedzialności w ramach organizacji pomiędzy audyt wewnętrzny a compliance. Jest to szczególnie istotne w kontekście założeń zaktualizowanego Modelu III Linii, który wprost podkreśla, iż „niezależność komórki audytu wewnętrznego nie oznacza jej izolacji”. Podkreślając, iż rekomendowanym podejściem, które pozwolić może na efektywne wzmocnienie struktur organizacji, ładu korporacyjnego, jak i systemu zarządzania, jest takie, w którym pomiędzy niezależnym przedstawicielem III Linii dochodzi do regularnych interakcji z przedstawicielami dwóch pozostałych Linii, w tym jednostką compliance.
W Modelu III Linii czytamy:
„Istnieje potrzeba współpracy i komunikacji pomiędzy, zarówno pierwszą, jak i drugą linią zarządzania i audytu wewnętrznego, aby zapewnić, że nie ma niepotrzebnego powielania lub nakładania obowiązków oraz luk mogących generować dodatkowe ryzyko dla organizacji”
Wyżej wymieniona teza jest w pełni zgodna ze Standardem IIA nr 2050 pt. Koordynowanie i zaufanie, który stanowi, iż:
„w celu zapewnienia odpowiedniego zakresu audytu i minimalizacji powielania wysiłków, zarządzający audytem wewnętrznym powinien wymieniać informacje, koordynować działania i brać pod uwagę możliwość polegania na pracy innych zarówno wewnętrznych, jak i zewnętrznych wykonawców usług zapewniających i doradczych.”
Podejście oparte na współpracy (wymianie informacji oraz koordynowaniu działania) mającej na celu działanie na rzecz sprawiedliwości (w rozumieniu zgodności działalności organizacji), która ma to do siebie, że gdy jest urzeczywistniona, pozwala na optymalizację procesów zarządczych, jak i transparentność oraz zwiększoną pewność w obliczu nadchodzących wyzwań makroekonomicznych. Dlatego też wychodząc od teorii, warto pochylić się nad praktycznym podejściem do współpracy jednostek będących przedmiotem zainteresowania.
Brak efektywnej współpracy, ujednolicenia nomenklatury, synchronizacji działań w odniesieniu do I Linii, jak i brak ich adekwatności, a także mnogość obowiązków raportowych nakładających się na siebie, powodował będzie brak zrozumienia dla czynności podejmowanych przez jednostki II i III linii u przedstawicieli szeroko rozumianego biznesu (I linii). W tym celu podążając za wykładnią przytoczonego powyżej standardu, tak istotną jest wymiana informacji pomiędzy jednostkami II i III linii.
Mając powyższe na uwadze warto zastanowić się nad potencjalnymi (praktycznymi) kierunkami ewolucji tej współpracy:
- uzgodnienie wspólnej terminologii – wspólnej dla obydwu jednostek, a w konsekwencji stanowiącej ujednolicenie komunikacji do „biznesu”,
- stworzenie jednego repozytorium ryzyka, przypisanego do określonych procesów funkcjonujących w ramach organizacji - identyfikację procesów ryzyka w ramach mapy ryzyka,
- uzgodnienie matrycy kontroli w oparciu o zidentyfikowane ryzyka,
- interakcje w celu uzgodnienia planu kontroli oraz planu badania audytowego,
- rozważenie wdrożenia wspólnego rozwiązania IT wspierającego procesy kontrolne.
No dobrze, a jakie wymierne korzyści płynąć będą z tej współpracy?
Otóż najbardziej prozaiczne i oczywiste, a jednocześnie niedoceniane:
- minimalizacja luk w zakresie identyfikowania ryzyka,
- maksymalizacja procesów kontrolnych,
- optymalizacja procesów,
- efektywne i transparentne zasady raportowania kierownictwu,
- agregacja i przetwarzanie informacji – ich wymiana w ramach organizacji,.
Ostatecznie bowiem efektywny system zarządzania oparty o fundament w postaci zasad ładu korporacyjnego, wymaga nie tylko odpowiedniego podziału ról i obowiązków, ale także zgodnego z zasadą proporcjonalności i adekwatności, dopasowania działań podejmowanych przez jednostki organizacyjne. W szczególności poprzez koordynację, współpracę i komunikację.