Standard 2120 ja tegevusjuhis 2120-2 sätestavad, et Siseauditi funktsioonidega seotud riskid jagunevad kolme põhilisse kategooriasse:
- Auditi ebaõnnestumise risk
- Petliku kindluse andmise risk
- Mainega seotud risk
Petlik kindlustunne tugineb eeldustel, mitte faktidel. Kindlasti on siseaudiitori kutsetegevusega pikemalt seotud siseaudiitoritel kogemusi olukordadest, kus teised töötajad on väljendanud arvamust, et “kui juba siseaudit asja uurib, siis on keegi millegagi hakkama saanud.” Samas on ka vastupidiseid olukordi, kus eeldatakse, et kui siseaudit on positiivse hinnangu ndnud, siis midagi halvasti enam antud valdkonnas olla ei saa. Sellistes olukordades ongi tegemist petliku kindlustunde efektiga.
Kõigi kolme riski osas on tegelikult tegemist riskiga, mis realiseerudes avaldab mõju mitte ainult siseauditi funktsioonile endale vaid kogu asutusele ja selle juhtkonnale. Näiteks olukorras, kus tippjuht on saanud siseauditilt konkreetses küsimuses positiivse hinnangu ja kindlustunde ning juht on antud teadmist kas avalikkusele või äriühingu omanikele esitlenud kuid mõni aeg hiljem selgub, et siseaudit oli jõudnud valedele järeldustele, on see ebameeldiv ka tippjuhile, rääkimata siis siseaudiitorist.
Kuid mis on siis standardi kohaselt põhjuseks, et siseauditi riskid realiseeruvad:
- Ei täideta Rahvusvahelisi siseauditeerimise kutsetegevuse standardeid.
- Ebasobiv kvaliteedi tagamise ja täiustamise programm (standard 1300), sealhulgas toimingud audiitori sõltumatuse ja objektiivsuse jälgimiseks.
- Puudub mõjus riskide hindamise protsess, mis tuvastaks strateegiliste riskide hindamise käigus auditi võtmevaldkonnad ning üksikute auditite planeerimise käigus kõrge riskiga valdkonnad ja selle tulemusena ei tehta õigeid auditeid ja/või kulutatakse aega valedele audititele.
- Ei kujundata mõjusaid siseauditi toiminguid, et testida “tegelikke“ riske ja õigeid kontrolle.
- Osana siseauditi toimingutest ei hinnata kontrollide ülesehituse asjakohasust ja kontrollide mõjusust.
- Kasutatakse auditimeeskondi, kellel puudub kogemustel või kõrge riskiga valdkondade tundmisel põhinev kompetentsus.
- Leidude või avastatud kontrollinõrkuste puhul ei rakendata kõrgendatud professionaalset skeptitsismi ja laiendatud audititoiminguid.
- Asjakohase siseauditi juhi poolse järelevalve puudumine.
Valede otsuste tegemine pettusele viitavate tõendusmaterjalide korral, näiteks
„Tõenäoliselt ei ole see oluline“ või „Meil ei ole aega ega ressursse selle probleemiga
tegelemiseks.“
Kahtlustest ei teavitata õigeid inimesi.
Aruandeid ei suudeta viia õigete adressaatideni
Mis siis aitab? Ka siin annavad nimetatud IIA standardid võimalikud riske maandavad siseauditi tegevused ette:
- Kvaliteedi tagamise ja täiustamise programm
- Regulaarsed auditiuniversumi ülevaatused
- Regulaarsed auditi tööplaanide ülevaatused
- Mõjus planeerimine
- Mõjus auditi ülesehitus
- Mõjusad juhtkonna poolse ülevaatuse ja leidude eskaleerimise reeglid
- Asjakohane ressursside jaotus
Kvaliteedi tagamise ja täiustamise programm on mõiste, mis paljudes tekitab veel segadust. Tegelikult ei ole tegemist millegi keerulise—vaja on välja mõelda ja rakendada siseauditi üksuses tegevused, mis tagavad, et järgitakse standardit. Sellest, kuidas programmi koostada, mida seada mõõdikuteks ja millised on nõuded jooksvale ülevaatusele
räägime edaspidi mõnel koolitusel.
siseaudiitor.ee
