22 Komórka audytu wewnętrznego

Instytucja powinna ustanowić niezależną skuteczną komórkę audytu wewnętrznego (KAW) z uwzględnieniem kryteriów proporcjonalności określonych w tytule I, oraz mianować osobę odpowiedzialną za tę komórkę w obrębie całej instytucji. KAW powinna być niezależna oraz dysponować wystarczającymi uprawnieniami, statusem i zasobami. W szczególności instytucja powinna zapewnić, aby kwalifikacje pracowników KAW oraz zasoby KAW, a w szczególności jej narzędzia audytu i metody analizy ryzyka były odpowiednie do wielkości i lokalizacji instytucji, a także charakteru, skali i złożoności ryzyka związanego z modelem biznesowym instytucji, jej działalnością, kulturą ryzyka i gotowością do podejmowania ryzyka.

KAW powinna być niezależna od działalności podlegającej audytowi. Dlatego też KAW nie powinna być łączona z żadną inną komórką.

KAW powinna, w oparciu o analizę ryzyka, niezależnie oceniać zgodność wszystkich działań i jednostek instytucji (w tym czynności objętych outsourcingiem) z jej polityką i procedurami oraz wymogami zewnętrznymi, a także dostarczyć obiektywnego zapewnienia tej zgodności. Każdy podmiot należący do grupy powinien być objęty zakresem działań KAW.

KAW nie powinna uczestniczyć w projektowaniu, wyborze, ustanawianiu i wdrażaniu konkretnej polityki, mechanizmów i procedur kontroli wewnętrznej, a także limitów ryzyka. Nie powinno to jednak uniemożliwiać organowi zarządzającemu pełniącego funkcję zarządczą żądania wkładu ze strony komórki audytu wewnętrznego w sprawach związanych z ryzykiem, kontrolą wewnętrzną i przestrzeganiem obowiązujących zasad.

KAW powinna oceniać, czy ramy kontroli wewnętrznej instytucji określone w sekcji 15 są skuteczne i efektywne. W szczególności KAW powinna oceniać:

• a. odpowiedniość ram zarządzania instytucją;
• b. czy dotychczasowa polityka i procedury są nadal odpowiednie i zgodne z wymogami prawnymi oraz regulacyjnymi, a także ze strategią instytucji w zakresie ryzyka i gotowością instytucji do podejmowania ryzyka;
• c. zgodność procedur z obowiązującymi przepisami i regulacjami oraz decyzjami organu zarządzającego;
• d. czy procedury są prawidłowo i skutecznie wdrażane (np. zgodność transakcji, poziom efektywnie ponoszonego ryzyka itp.); oraz
• e. odpowiedniość, jakość i skuteczność wdrażanych mechanizmów kontrolnych oraz sprawozdawczości obronnych jednostek biznesowych, a także komórek ds. zarządzania ryzykiem i ds. zgodności z przepisami.

KAW powinna zwłaszcza weryfikować rzetelność procesów zapewniających wiarygodność metod i technik stosowanych przez instytucję, a także założeń oraz źródeł informacji wykorzystywanych w jej modelach wewnętrznych (np. modelowania ryzyka i wyceny księgowej). Powinna ona także oceniać jakość i sposób wykorzystania narzędzi służących do jakościowej identyfikacji i oceny ryzyka oraz środków wdrożonych w celu minimalizacji ryzyka.

KAW powinna mieć swobodny dostęp do wszystkich ewidencji, dokumentów, informacji i budynków w całej instytucji. Powinno to obejmować dostęp do systemów informacji zarządczej oraz protokołów z posiedzeń wszystkich komitetów i organów decyzyjnych.

KAW powinna przestrzegać krajowych i międzynarodowych standardów zawodowych. Przykładem standardów zawodowych, o których jest mowa, są standardy ustanowione przez Instytut Audytorów Wewnętrznych.

Prace w ramach audytu wewnętrznego powinny być prowadzone zgodnie z planem audytu oraz szczegółowym programem audytu w oparciu o analizę ryzyka.

Plan audytu wewnętrznego powinien być sporządzany co najmniej raz w roku na podstawie rocznych celów kontrolnych audytu wewnętrznego. Plan audytu wewnętrznego powinien zostać zatwierdzony przez organ zarządzający.

Wszystkie zalecenia z audytu powinny skutkować formalnymi działaniami następczymi podejmowanymi na odpowiednich szczeblach kierownictwa w celu zapewnienia rozwiązania problemów w skuteczny i terminowy sposób i przedłożenia stosownych sprawozdań.