Niewiele słów w świecie biznesu wzbudza taki popłoch jak audyt. Co jest jednocześnie dowodem na jego znaczenie i zupełnie przesadzoną reakcją. Choć wiele osób postrzega audyt, nie bez powodu, jako proces z natury antagonistyczny, to ma on jednocześnie kluczowe znaczenie dla sukcesu organizacji. Audyt jest, najprościej rzecz ujmując, zorganizowanym sposobem sprawdzenia, czy wszystko jest tak dobre, jak wszyscy twierdzą. Takie pytanie bywa niekiedy niewygodne, ale najczęściej okazuje się, że warto je było zadać. Zaufanie to świetna rzecz w związku, ale w biznesie zdecydowanie lepiej, jeśli poparte jest dokumentacją.
Audyt wewnętrzny a zewnętrzny – najważniejsze różnice
Na pierwszy rzut oka audyt wewnętrzny i zewnętrzny różnią się przede wszystkim tym, kto je przeprowadza: swój albo obcy. To wygodny skrót, ale łatwo prowadzi na manowce, bo nie każda organizacja ma własną komórkę audytu wewnętrznego, a te same zadania można przecież zlecić firmie z zewnątrz. Mimo to, taki audyt pozostaje audytem wewnętrznym. W praktyce niestety granice definicyjne tych dwóch pojęć bywają płynne. Innymi słowy, to, co ludzie nazywają audytem wewnętrznym i zewnętrznym niekoniecznie mieści się w jednoznacznych ramach. Zamiast pytać „kto”, najlepiej zapytać: dla kogo i po co, czyli w jakim celu jest przeprowadzany audyt i przed kim odpowiada. Różnica opiera się więc na trzech filarach.
Pierwszy to mandat i adresat. Audyt wewnętrzny powołuje sama organizacja na własne potrzeby. Służy on zarządowi, radzie nadzorczej czy komitetowi audytu i to przed nimi odpowiadają audytorzy. Audyt zewnętrzny w swojej podstawowej, ustawowej postaci jest wymagany przez prawo i odpowiada przed osobami trzecimi: właścicielami, państwem, opinią publiczną. Pierwszy patrzy do wewnątrz, a drugi na zewnątrz.
Drugi filar to przedmiot, czyli to, co audyt poświadcza. Audyt zewnętrzny wydaje opinię w jednej, ściśle określonej sprawie, zwykle o tym, czy sprawozdanie finansowe przedstawia rzetelny i jasny obraz sytuacji jednostki. Audyt wewnętrzny takiej opinii nie wydaje, ale za to może zająć się praktycznie wszystkim: ryzykiem, kontrolą, ładem organizacyjnym, efektywnością procesów, najczęściej skupiając się na obszarach podwyższonego ryzyka.
Trzeci to reżim niezależności i charakter produktu. Audytor zewnętrzny musi stać całkowicie poza badaną jednostką; jest to wpisany na listę biegły rewident lub firma audytorska, związana wymogami niezależności, rotacji i zakazem świadczenia części innych usług na rzecz tego samego klienta; efektem jego pracy jest sformalizowana opinia, często podawana do wiadomości publicznej. Niezależność audytu wewnętrznego ma charakter organizacyjny: działa on wewnątrz firmy, a jego raporty są zwykle poufne, jednak podlega on zwykle bezpośrednio funkcjonalnie radzie nadzorczej lub komitetowi audytu, co stanowi niejako najwyższy poziom niezależności w firmie.
W maksymalnym uproszczeniu, audyt wewnętrzny służy organizacji w ocenie sprawności jej działania, a audyt zewnętrzny służy wydaniu niezależnej opinii na temat jakiegoś obszaru działalności organizacji, zwykle jako warunek spełnienia zewnętrznych wymogów. Powyższe trzy aspekty przesądzają o tym czy audyt określimy jako zewnętrzny czy jako wewnętrzny. Inne ich cechy, które często wymienia się z nimi jednym tchem, to raczej typowe tendencje niż twarde reguły. Samo pojęcie „audytu zewnętrznego” bywa bardzo pojemne, obejmując audyty finansowe, ale także certyfikacyjne, projektowe czy doradcze, które rządzą się własnymi prawami. Bywa też tak, że z ustaleń audytu zewnętrznego korzysta samo kierownictwo.
Strażnik od wewnątrz – czym jest audyt wewnętrzny
Tak więc, audyt wewnętrzny to proces kontrolny prowadzony na bieżąco na potrzeby samej organizacji. Choć audyt wewnętrzny działa wewnątrz firmy, kluczowa jest jego niezależność i obiektywizm. Dla zachowania bezstronności komórka audytu powinna podlegać funkcjonalnie radzie nadzorczej lub komitetowi audytu, a jedynie administracyjnie zarządowi. Jego celem jest upewnienie się, że w organizacji wszystko przebiega sprawnie i prawidłowo. I potencjalnie może to być naprawdę wszystko. Audyt wewnętrzny może koncentrować się na konkretnym obszarze funkcjonowania organizacji, takim jak zarządzanie ryzykiem, ład korporacyjny, zarządzanie finansami, efektywność operacyjna, czy compliance, jednak w większości przypadków jego zakres jest szeroki i elastyczny, w zależności od potrzeb, przy czym prace planuje się w oparciu o analizę ryzyka, koncentrując się na obszarach o najwyższym ryzyku. Audytorami są w tym przypadku wyspecjalizowani pracownicy firmy lub zewnętrzny podwykonawca zatrudniony specjalnie w tym celu. W obu przypadkach raporty trafiają na biurka kierownictwa i służą doskonaleniu procesów wewnętrznych. Audyt wewnętrzny łączy przy tym dwie role: funkcję zapewniającą, czyli obiektywną ocenę procesów oraz funkcję doradczą, wspierającą kierownictwo w usprawnianiu organizacji. Audyt wewnętrzny nie jest jednorazowym działaniem o ograniczonym zasięgu, ale procesem ustawicznym.
Nieznajomy z teczką – czym jest audyt zewnętrzny
Audyt zewnętrzny to nie to samo co audyt wewnętrzny przeprowadzony przez podmiot trzeci. To byłby nadal audyt wewnętrzny, tyle że zlecony podwykonawcy. Samo pojęcie audytu zewnętrznego jest dość szerokie i obejmuje zarówno audyt finansowy, jak i audyty certyfikacyjne czy audyty projektów. Ten artykuł odnosi się przede wszystkim do jego najczęstszej formy, czyli niezależnego badania sprawozdań finansowych organizacji, przeprowadzanego na rzecz zewnętrznych interesariuszy. W przypadku spółek giełdowych są to akcjonariusze; w innych przypadkach może to być państwo (reprezentujące interes publiczny) lub, na przykład, darczyńcy organizacji charytatywnej, którzy chcą mieć pewność, że ich środki są właściwie wydatkowane.
Ponieważ głównym celem takiego audytu zewnętrznego jest wydanie obiektywnej opinii na temat tego, czy sprawozdania finansowe przedstawiają rzetelny i prawdziwy obraz sytuacji, musi być on przeprowadzany przez neutralny podmiot trzeci. Audyty zewnętrzne tego typu realizowane są zazwyczaj raz w roku, zgodnie z ustrukturyzowanym procesem. Wyniki przekazywane są właściwym interesariuszom i (w odróżnieniu od wyników audytu wewnętrznego, które zwykle mają charakter poufny) w wielu przypadkach są podawane do wiadomości publicznej. W przypadku innych typów audytu zewnętrznego, niektóre szczegóły tego procesu mogą się różnić, w zależności od charakteru i celu audytu.
Audyt wewnętrzny a zewnętrzny – kluczowe różnice
Skoro o przynależności audytu nie przesądza jego wykonawca, zacznijmy od tego, co naprawdę dzieli oba typy, a dopiero potem przejdziemy do cech, które zwykle, choć nie zawsze, im towarzyszą.
| Kryterium | Audyt wewnętrzny | Audyt zewnętrzny |
| Różnice nośne — przesądzają o przynależności audytu | ||
| Mandat i adresat | Powoływany przez organizację na jej potrzeby; odpowiada przed kierownictwem i organami nadzoru | Wymagany przez prawo (w postaci ustawowej) lub np. jako warunek certyfikacyjny; odpowiada przed osobami trzecimi |
| Przedmiot poświadczenia | Nie wydaje sformalizowanej opinii; może badać dowolny obszar (ryzyko, kontrola, ład, procesy) | Wydaje opinię w jednej sprawie: np. czy sprawozdanie finansowe daje rzetelny i jasny obraz |
| Reżim niezależności | Maksymalna niezależność organizacyjna, ale pozostaje częścią organizacji | Pełna niezależność – biegły rewident / firma audytorska spoza jednostki, z wymogami niezależności i rotacji |
| Cechy typowe, tendencje (nie bez wyjątków) | ||
| Zakres | Szeroki i elastyczny (procesy, ryzyko, kontrola, ład – w tym także kilka aspektów na raz); najczęściej obszary wysokiego ryzyka | Najczęściej sprawozdania finansowe; odmiany certyfikacyjne, projektowe czy doradcze mają własny, konkretnie określony zakres |
| Częstotliwość | Proces ciągły lub cykliczny | Badanie okresowe, zwykle doroczne |
| Adresat i jawność raportu | Kierownictwo; raport zwykle poufny | Interesariusze (choć z wyników korzysta i kierownictwo); opinia często bywa publiczna |
Pierwsze trzy różnice mówią, czym dany audyt jest; pozostałe, jak zwykle wygląda. Dlatego przy nietypowych zleceniach to właśnie mandat, przedmiot i reżim niezależności pozostają najpewniejszym kryterium.
Po co to komu? – cele i funkcje obu typów audytu
Oba typy audytu służą wiarygodności i przejrzystości organizacji, a w konsekwencji, poprawie jej funkcjonowania. Jednak ich szczegółowe cele różnią się od siebie. Audyt wewnętrzny ma za zadanie dostarczenie kierownictwu obiektywnych, wiarygodnych informacji o efektywności operacyjnej i słabościach wewnętrznych procesów. Informacje te mogą być wykorzystywane do podejmowania decyzji strategicznych i wprowadzania usprawnień. Audyt zewnętrzny natomiast ma na celu obiektywne zapewnienie interesariuszy przez neutralną instytucję, że informacje finansowe są dokładne, kompletne i zgodne ze stanem rzeczywistym lub że firma spełnia określone wymogi.
Zasady są po to, żeby je znać – standardy i regulacje obejmujące audyt wewnętrzny i zewnętrzny
Oba rodzaje audytu opierają się na powszechnie przyjętych standardach, które jednak są odmiennie egzekwowane w obu przypadkach. Głównym organem wyznaczającym standardy dla audytu wewnętrznego jest Instytut Audytorów Wewnętrznych (Institute of Internal Auditors – IIA). Stosowanie się do jego wytycznych jest dobrą praktyką zwiększającą wiarygodność audytu, ale może też wynikać z wymogów statutu spółki. Co więcej, audytorzy prowadzący audyt zewnętrzny nie będą skłonni opierać się na dokumentacji audytu wewnętrznego, jeśli nie spełnia ona standardów. A to wydłuża cały proces i podnosi jego koszt. Wreszcie, w silnie regulowanych branżach, takich jak bankowość czy ubezpieczenia, przestrzeganie standardów IIA jest często wymogiem prawnym.
W przypadku audytu zewnętrznego przestrzeganie standardów, takich jak Międzynarodowe Standardy Audytu (International Standards on Auditing – ISA) jest wymogiem prawnym, a ich naruszenie grozi audytorowi poważnymi konsekwencjami. Przykładowo, unijna Dyrektywa w sprawie audytu nakłada obowiązek stosowania ISA podczas obowiązkowych audytów zewnętrznych w państwach członkowskich. Nie tylko samo stosowanie standardów jest obowiązkowe. Prawo może też narzucać konkretne zasady sprawozdawczości (jak np. MSSF czy amerykański GAAP). Wreszcie, w wielu krajach audytorzy zewnętrzni muszą posiadać certyfikat lub licencję i być zarejestrowani w organizacji zawodowej (np. ACCA, ICAEW lub krajowym odpowiedniku).
Kiedy nie masz wyboru – kiedy wymagany jest audyt zewnętrzny
Sam audyt zewnętrzny również często jest obowiązkowy. W większości porządków prawnych jest obowiązkowy dla spółek giełdowych, a także firm prywatnych przekraczających określony próg wielkości. Organizacje non-profit, charytatywne i należące do sektora publicznego także często podlegają obowiązkowemu audytowi zewnętrznemu, w imię zaufania publicznego. Organizacje działające w szczególnie wrażliwych sektorach, takich jak ochrona zdrowia oraz instytucje finansowe także zobowiązane są zwykle do przeprowadzania corocznych audytów zewnętrznych.
Razem raźniej – jak audyty się uzupełniają
Pomimo różnic, oba typy audytu uzupełniają się na wiele sposobów. Najbardziej oczywistym jest to, że audyt wewnętrzny pomaga znaleźć i wyeliminować problemy, które ujawniłyby się podczas audytu zewnętrznego. Z drugiej strony, ustalenia audytu wewnętrznego mogą wskazywać audytorom zewnętrznym obszary podwyższonego ryzyka wymagające dokładniejszej analizy. Co więcej, jeśli audyt wewnętrzny jest prowadzony prawidłowo i zgodnie ze standardami, audytorzy zewnętrzni często będą opierać się na jego wynikach, zamiast powielać pracę audytorów wewnętrznych. Zwiększa to efektywność audytu zewnętrznego, ogranicza jego zakres i skraca czas trwania, a tym samym obniża koszty. Razem oba typy audytu tworzą wielopoziomowy system zapewnienia jakości, który wzmacnia ład korporacyjny i wiarygodność firmy.
Po co zawracać głowę? – korzyści dla biznesu
Dla wielu osób perspektywa bycia poddanym audytowi może wydawać się groźna, potencjalnie niosąc ze sobą negatywne konsekwencje. W rzeczywistości jednak zarówno audyt wewnętrzny, jak i zewnętrzny są kluczowym narzędziem zarządzania ryzykiem i budowania wiarygodności. Przede wszystkim oba pozwalają organizacji identyfikować potencjalne ryzyka i słabe punkty, zanim spowodują one poważne straty w reputacji czy finansach. Dobrze skonstruowany system audytu wewnętrznego umożliwia podejmowanie lepszych decyzji, eliminowanie nieefektywności i doskonalenie zarządzania ryzykiem. Audyt zewnętrzny natomiast wzmacnia wiarygodność organizacji wobec inwestorów, kredytodawców i partnerów biznesowych. Wreszcie, oba typy audytu pomagają organizacji sprostać nadzorowi regulacyjnemu i skutecznie reagować na kryzysy.
Mity, pomyłki i przekłamania – najczęstsze nieporozumienia
- Audyt wewnętrzny to tylko próba generalna przed audytem zewnętrznym. W rzeczywistości pełni o wiele szersze funkcje i służy zupełnie innym celom.
- Audytorzy wewnętrzni to egzaminatorzy, którzy czyhają na błędy, żeby je wytknąć i ukarać. Tak naprawdę ich rola jest doradcza i ma pomóc w doskonaleniu procesów.
- Pozytywna opinia audytu zewnętrznego to dowód dobrego zarządzania. Najczęściej jest to jedynie dowód dobrej (tj. rzetelnej i przejrzystej) rachunkowości.
- Posiadanie audytu zewnętrznego zwalnia z potrzeby audytu wewnętrznego. W praktyce obie funkcje są komplementarne, a nie wymienne.
W skrócie – podsumowanie różnic
Krótko mówiąc, audyt wewnętrzny to proces ustawiczny, realizowany wewnątrz organizacji, natomiast audyt zewnętrzny to jednorazowa opinia neutralnego kontrolera. Audyt zewnętrzny istnieje przede wszystkim dla dobra interesariuszy; audyt wewnętrzny służy głównie kierownictwu. Audyty wewnętrzne mają szeroki zakres i charakter ciągły, a audyt zewnętrzny ma charakter okresowy i skupia się przede wszystkim na sprawozdaniach finansowych. Raporty z audytu zewnętrznego są często publiczne; raporty z audytu wewnętrznego służą firmie i są poufne. Obie formy są jednak równie niezbędne dla sprawnego ładu korporacyjnego i żadna z nich nie zastępuje drugiej.
