Algoritmi teoretici privind desfasurarea misiunii de audit public intern la o entitate publica

ALGORITMI TEORETICI PRIVIND DESFASURAREA MISIUNII DE AUDIT PUBLIC INTERN LA O ENTITATE PUBLICA

DESFASURAREA MISIUNII DE AUDIT

Cuvantul "misiune" vine de la latinescul "missio", care inseamna "a trimite". Dictionarul explicativ al limbii romane defineste misiunea ca fiind o "insarcinare, imputernicire data cuiva, sarcina de a face un anumit lucru". Normele profesionale ale auditului intern definesc misiunea ca fiind "o misiune, sarcina sau activitate speciala de revizuire, precum un audit intern, o auto-evaluare in ceea ce priveste controlul, investigarea unei fraude sau o misiune de consiliere. O misiune poate ingloba mai multe sarcini sau activitati desfasurate in vederea atingerii unui ansamblu determinat de obiective care se raporteaza la acestea".

Misiunile de audit intern, in functie de obiectul activitatii de audit, pot fi de doua feluri, si anume :

misiuni specifice sunt misiunile care au un singur obiect de activitate; o astfel de misiune ar putea fi "auditul controlului financiar preventiv la institutia x".

misiuni generale, in opozitie cu cele specifice nu se limiteaza numai la o institutie ci la mai multe; spre exemplu "auditul controlului financiar preventiv".

In functie de elementele urmarite in cadrul unei misiuni, acestea pot fi:

misiuni unifunctionale se ocupa de un singur element din activitatea unei entitati auditate; spre exemplu o misiune unifunctionala ar fi gestiune magaziei de rechizite"

misiuni plurifunctionale care au ca obiect auditarea mai aceleiasi activitati dar raspandita teritorial; spre exemplu auditarea cheltuielilor si veniturilor la o institutie publica ce are mai multe filiale in teritoriu.

Desfasurarea unei misiuni de audit impune parcurgerea mai multor etape, si anume:

pregatirea misiunii de audit;

desfasurarea efectiva a misiunii (interventia la fata locului);

incheierea misiunii (raportul de audit

1. Pregatirea misiunii de audit

Etapa de pregatire a misiunii este foarte importanta, deoarece necesita din partea auditorilor o informare completa despre activitatea ce urmeaza a fi auditata. Aceasta informare se refera la cunoasterea reglementarilor in domeniu, dar si la cunoasterea particularitatilor legate de activitatea ce urmeaza a se audita. De asemenea, in aceasta etapa este necesara urmarirea unor proceduri, precum:

initierea auditului (P01, P02, P03);

colectarea si prelucrarea informatiilor;

analiza riscurilor;

elaborarea programului de audit public intern

Procedurile si documentele specifice etapei de pregatire a misiunii de audit sunt prezentate schematic in fig. 1.

1.1. Initierea auditului

Conform acestei proceduri trebuie intocmite mai multe documente care sa permita auditorului efectuarea misiunii, si nu numai atat, ci cu obiectivitate.

. Primul pas al procedurii este emiterea ordinului de serviciu. Ordinul de serviciu este intocmit de catre conducatorul compartimentului de audit, care repartizeaza sarcinile de serviciu pentru fiecare auditor in parte. Sarcinile de serviciu sunt consemnate in planul anual de audit public intern, iar ordinul de serviciu este intocmit pe baza acestui plan. Emiterea ordinului de serviciu are triplu rol, si anume:

de a atentiona auditorul asupra misiunilor sale; auditorul efectueaza misiunile ce ii sunt incredintate, decizia efectueaza acestora nefiind a auditorului ci a conducatorului compartimentului de audit.

de a da "greutate" misiunii de audit, prin aceea ca ordinul de serviciu este emis de conducatorul compartimentului de audit;

de a informa conducerea compartimentului sau compartimentelor ce urmeaza a fi auditate despre desfasurarea misiunii de audit.

Dupa intocmirea ordinului de serviciu, personalul de secretariat aloca un numar ordinului de serviciu si da copii ale acestuia fiecarui membru al echipei de audit, moment in care auditorii sunt informati despre sarcinile imediat urmatoare.

Ordinul de serviciu cuprinde perioada in care se va derula misiunea, scopul si obiectivele misiunii de audit si echipa care participa la misiune.

Un ordin de serviciu poate arata astfel:

Model elaborat de UCAAPI

Model A-01

Entitatea publica

Nr . . .Data . . .

ORDIN DE SERVICIU

In conformitate cu prevederile . . .si cu Planul anual de audit public intern, se va efectua o misiune de audit public intern la . . . ..in perioada . . ..Scopul misiunii de audit este . . .., iar obiectivele acesteia sunt . . ..

Mentionam ca se va efectua un audit de . . ..

Echipa de audit public intern este formata din urmatorii auditori . ..

Conducatorul Compartimentului de audit public intern

2. Dupa informarea auditorilor despre misiunea ce urmeaza a o efectua, acestia trebuie sa dea o Declaratie de independenta prin care acestia declara daca au relatii cu institutia sau activitatea auditata, daca au avut sau au relatii oficiale, personale sau financiare cu persoane angajate in activitatea auditata au daca sunt implicati in vreun fel in activitatea respectiva. Scopul acestei declaratii este de verifica eventualele incompatibilitati personale ale auditorilor desemnati in misiune. O declaratie de independenta poate arata ca in modelul A-02.

DECLARATIA DE INDEPENDENTA - Model A-02

Entitatea publica . . .. 

A fi completat de catre auditori, inclusiv consultantii:

Numele    Data ..

Misiunea de audit public intern . . . . . . . . . . . . . . .

Auditor, Conducator Compartiment de audit public intern,

Dupa verificarea Declaratiei de independenta de catre seful compartimentului de audit, acesta din urma identifica incompatibilitatile (daca este cazul) si stabileste modalitatile prin care se pot atenua acestea incompatibilitati, dupa care aproba Declaratia de independenta.

Auditorii isi deschid un dosar permanent al misiunii de audit in care vor indosaria ordinul de serviciu si declaratia de independenta, iar daca in timpul misiunii apare vreo incompatibilitate, auditorul este obligat sa anunte conducerea compartimentului de audit.

Dosarul permanent al misiunii de audit cuprinde mai multe sectiuni:

Sectiunea A - Raportul de audit public intern si anexele acestuia in care se regasesc:

ordinul de serviciu;

declaratia de independenta;

rapoarte ( intermediar, final, sinteza recomandarilor);

fisele de identificare si analiza problemelor (FIAP);

formularele de constatare a iregularitatilor;

programul de audit.

Sectiunea B - Administrativa

notificarea privind declansarea misiunii de audit public intern;   

minuta sedintei de deschidere;

minuta reuniunii de conciliere;

minuta sedintei de inchidere;

corespondenta cu entitatea/structura auditata.

Sectiunea C - Documentatia misiunii de audit public intern

strategii interne;

reguli, regulamente si legi aplicabile;

proceduri de lucru;

materiale despre institutia sau structura auditata (indatoriri, responsabilitati, numar de angajati, fisele posturilor, graficul organizatiei, natura si locatia inregistrarilor contabile);

informatii financiare;

rapoarte de audit public anterioare interne si externe;

informatii privind posturile cheie si despre fluxurile de operatii;

documentatia analizei riscurilor.

Sectiunea D - Supervizarea si revizuirea desfasurarii misiunii de audit public intern si a rezultatelor acesteia:

• revizuirea raportului de audit public intern;  
• raspunsurile auditorilor interni la revizuirea raportului de audit public intern. 

3. Daca aceste doua proceduri au fost indeplinite se trece la procedura P-03 Notificarea privind declansarea misiunii de audit. Parcurgerea acestei proceduri are ca scop informarea entitatii sau a structurii ce urmeaza a fi auditata, de declansarea misiunii. Informarea structurii ce se va audita are drept scop de a asigura desfasurarea normala a activitatii de audit.

In acest sens, auditorii pregatesc a adresa de notificare pe care o transmit entitatii sau structurii ce urmeaza a fi auditata cu 15 zile inainte de declansarea misiunii. Adresa de notificare este verificata de conducatorul compartimentului de audit si este semnata de acesta, dupa care i se da un numar de inregistrare de secretariat si este trimisa institutiei sau structurii ce urmeaza a se audita, iar auditorii vor atasa la dosar o copie a acestei adrese. Modelul de notificare B-01 este prezentat mai jos.

Model B-01

Entitatea publica

Data

NOTIFICAREA PRIVIND DECLANSAREA MISIUNII

DE AUDIT PUBLIC INTERN

Catre Partile interesate

De la Conducatorul Compartimentului de audit public intern

Ref    Denumirea misiunii de audit public intern

Stimate(a)..

In conformitate cu Planul anual de audit public intern, urmeaza ca in perioada de . . . .. sa efectuam o misiune de audit public intern cu tema . . la (numele entitatii/structurii auditate).

Auditul va examina responsabilitatile asumate de catre (numele entitatii/structurii auditate) si va determina daca aceasta isi indeplineste obligatiile sale intr-un mod eficient si efectiv.

Va vom contacta ulterior pentru a stabili de comun acord o sedinta de deschidere in vederea discutarii diverselor aspecte ale misiunii de audit, cuprinzand:

prezentarea auditorilor;

prezentarea principalelor obiective ale misiunii de audit public intern;

programul interventiei la fata locului;

scopul misiunii de audit public intern;

alte aspecte.

Pentru o mai buna intelegere a activitatii dumneavoastra, va rugam sa ne puneti la dispozitie urmatoarea documentatie necesara: . . . . . . .

Daca aveti unele intrebari privind aceasta actiune, va rog sa contactati pe (numele auditorului) sau pe mine .

Cu stima   Data

-----------

Conducatorul Compartimentului de audit public intern   

1.2. Colectarea si prelucrarea informatiilor

Cea de-a doua procedura in etapa pregatirii misiunii este colectarea si prelucrarea informatiilor. In literatura de specialitate i se mai spine "etapa de familiarizare". Acest pas este poate cel mai important intr-o misiune de audit deoarece ii permite auditorului sa se familiarizeze cu domeniul ce urmeaza al audita, iar informatiile colectate ii faciliteaza procedurilor de analiza a riscului si de verificare.

In etapa colectarii informatiilor se aduna informatiile cu caracter general despre institutia sau activitatea ce se auditeaza. Informatiile colectate trebuie sa permita:

a) "identificarea principalelor elemente ale contextului institutional si socio-economic in care institutia sau structura auditata isi desfasoara activitatea;

b) analiza cadrului normativ ce reglementeaza activitatea institutiei sau structurii auditate

c) cunoasterea organizarii institutiei sau structurii auditate, a tehnicilor sale de lucru si a diferitelor nivele de administrare, conform organigramei, a regulamentelor de functionare, a fiselor posturilor si a procedurilor scrise;

d) analiza factorilor ce ar putea impiedica buna desfasurare a misiunii de audit;

e) identificarea punctelor cheie ale functionarii institutiei sau structurii auditate si ale sistemelor sale de control, pentru o evaluare prealabila a punctelor tari si slabe;

f)  urmarirea constatarilor si recomandarilor din rapoartele de audit precedente, care ar putea afecta misiunea de audit;

g) identificarea si evaluarea riscurilor cu incidenta semnificativa;

h) identificarea unor surse de informatii care ar putea fi folosite ca dovezi ale auditului;

i)  identificarea informatiilor probante necesare pentru atingerea obiectivelor controlului si selectionarii tehnicilor de investigare adecvate."[1]

In aceasta etapa nu trebuie colectate tot felul de informatii care nu au relevanta pentru efectuarea misiunii de audit. Informatiile ce trebuie stranse se refera la trei elemente esentiale, si anume:

modul de organizare al institutiei sau sectorului ce va fi auditat (organigrama, gradul de pregatire profesionala al angajatilor, modul de repartizare al sarcinilor etc.);

cunoasterea obiectivelor institutiei sau a sectorului ce urmeaza a fi auditate, punctele slabe si cele tari, precum si a mediului economico-social in care aceasta isi desfasoara activitatea;

cunoasterea tehnicilor de lucru utilizate de institutie sau de sectorul vizat pentru auditare, de la cele generale la cele specifice, astfel incat auditorul sa poata aplica tehnicile si procedeele necesare pentru efectuarea misiunii de audit.

In normele romanesti, pentru parcurgerea acestei proceduri este indicata utilizarea Chestionarului de luare la cunostinta, in care auditorul isi pune intrebari si tot el raspunde la acestea, utilizand instrumente corespunzatoare, precum interviuri, observari, documente. Un astfel de chestionar ar trebui sa aiba urmatoarea structura:

Cunoasterea contextului in care institutia sau sectorul auditat isi desfasoara activitate; acesta ar trebui sa cuprinda intrebari si raspunsuri legate de marimea sectorului auditat, activitatile desfasurate de acesta, bugetul institutiei sau al sectorului, efectivele de salariati si mediul de lucru.

Cunoasterea modului de organizare al institutiei sau al sectorului auditat, in care se regasesc intrebari si raspunsuri legate de organizarea institutiei si structura acesteia, organigrama si relatiile ce se stabilesc intre structurile acesteia, gradul de informatizare al activitatilor institutiei.

Cunoasterea modului de functionare al institutiei auditate, in care se regasesc informatii despre metodele si procedurile utilizate, informatii legate de legislatie si alte reglementari legale, organizarea specifica, sistemul de informare si circuitul documentelor, problemele anterioare si actuale  etc..

Tot in aceasta faza, pentru edificarea cunostintelor auditorului se pot folosi si alte instrumente de cunoastere precum, documente actualizate despre metodele si procedeele de lucru, rapoartele si darile de seama ale sectorului auditat, note, interviuri etc.

In aceasta faza conducatorul revede la randul sau, documentatia si organizeaza la nivelul compartimentului o sedinta in vederea identificarii obiectivelor audiabile si a criteriilor de analiza de risc, stabilirea obiectivului, a scopului auditului si a metodologiei.

Dupa colectarea informatiilor necesare misiunii de audit acestea trebuie prelucrate. Prelucrarea informatiilor consta in:

a) analiza structurii sau institutiei auditate si a activitatii sale (organigrama, regulamente de functionare, fise ale posturilor, circuitul documentelor);

b) analiza cadrului normativ ce reglementeaza activitatea institutiei sau structurii auditate;

c) analiza factorilor susceptibili de a impiedica buna desfasurare a misiunii de audit public intern;

d) analiza rezultatelor controalelor precedente;

e) analiza informatiilor externe referitoare la entitatea/structura auditata.

In cadrul procedurii de prelucrare a informatiilor se face identificarea obiectelor auditabile. Obiectul auditabil "reprezinta activitatea elementara domeniului auditat, ale carei caracteristici pot fi definite teoretic si pot fi comparate cu realitatea practica."[2]

Identificarea obiectelor auditabile  se realizeaza in 3 etape:

a.  in prima etapa are loc detalierea activitatilor pe faze succesive, cu descrierea intregului proces, de la realizarea activitatii pana la inregistrarea acesteia;

b. in cea de-a doua etapa se defineste pentru fiecare operatiune in parte conditiile ce trebuie sa le indeplineasca din punct  de vedere al controalelor specifice si al riscurilor aferente (ce trebuie sa fie evitate);

c.  in cea de-a treia etapa se stabilesc modalitatile de functionare necesare pentru ca institutia sau structura auditata sa atinga obiectivul propus si sa elimine riscul.

In aceasta faza se intocmeste lista centralizatoare a obiectelor auditabile, fiecare din aceste obiecte fiind definite in functie de caracteristicile specifice si ale riscurilor asociate. Lista centralizatoare a obiectelor auditabile constituie suportul de analiza a riscurilor.

1.3. Analiza riscurilor

A) Definirea riscului

Normele generale privind exercitarea activitatii de audit intern definesc riscul ca fiind "orice eveniment, actiune, situatie sau comportament cu impact nefavorabil asupra capacitatii entitatii publice de a realiza obiectivele." Definitia data de Normele profesionale ale auditului intern definesc riscul ca fiind "posibilitatea de a se produce un eveniment care ar putea avea un impact asupra indeplinirii obiectivelor in functie de consecinte si probabilitate".. Din definitiile prezentate reiese ca riscul se masoara in functie de probabilitate si de gravitate si durata consecintelor.

Riscurile de audit pot fi de trei feluri, si anume:

risc inerent (esential);

risc al controlului;

risc de nedetectare (nedepistare)

Riscul inerent (esential) apare, de regula, in cazul realitatea de pe teren nu corespunde cu informatiile aflate in documente sau in reglementari legale ( in cazul auditului de regularitate). Pentru estimarea acestui risc, auditorul trebuie sa efectueze o evaluare a mediului economico-social si a particularitatilor institutiei sau structurii auditate.

Riscul controlului intervine in momentul in care nici in cadrul activitatii institutiei sau sectorului auditat si nici cu ajutorul controlului intern nu se detecteaza anumite abateri sau greseli, care pot duce la pagube materiale sau de alta financiare. Pentru estimarea riscului de control auditorul trebuie sa faca o analiza mai detaliata. In urma acestei analize se pot distinge doua solutii, si anume, una in care auditorul constata o inadvertenta intre cele doua sisteme, caz in care exista un risc al controlului ridicat si cea de-a doua in care auditorul considera ca cele doua sisteme sunt compatibile si capabile sa previna o eroare semnificativa, caz in care riscul de control este mai scazut.

Riscul de nedetectare se refera la riscul ca o abatere sau o iregularitate care nu a fost depistata de controlul intern sa nu fie depistata nici de audit. Ceea ce inseamna ca daca auditorul constata ca exista un risc de control acesta trebuie sa aplice cat mai multe proceduri pentru a putea determina aceste tipuri de erori.

B) Identificarea riscului

Determinarea gradului de risc intr-o misiune de audit este foarte importanta, deoarece cu aceasta ocazie se poate indeparta pe viitor riscul si entitatea auditata poate sa-si indeplineasca obiectivele propuse. In activitatea de audit, identificarea riscurilor reale se face pornind de la analize si examinari efectuate inainte de perioada in care se efectueaza misiunea propriu-zisa de audit. Pentru identificarea riscurilor trebuie avuti in vedere factorii care pot genera perturbatii in activitatea unei institutii sau unui sector. Acesti factori pot fi grupati in trei categorii:

- factori legati de expunerea bunurilor, se refera la locul unde activele se gasesc efectiv in institutie sau in sectorul ce urmeaza a fi auditat; riscurile in legatura cu expunerea bunurilor pot fi legate de deturnare de active, de incendiu sau de pagube de orice fel.

- factori legati de mediul economico-social, se refera la riscurile aflate in jurul activelor, si nu la active in sine, precum riscurile legate de operatiunile cu active.

factori legata de amenintarile din jur; acesti factori sunt imprevizibili si impun din partea auditorului folosirea imaginatiei pentru a inlatura riscurile. Aceste riscuri se refera la fraude , pericole sociale sau catastrofe naturale.

In normele nationale au fost identificate patru categorii de riscuri, si anume:

a) Riscuri de organizare (neformalizarea procedurilor): lipsa unor responsabilitati precise; insuficienta organizare a resurselor umane; documentatia insuficienta, neactualizata;

b) Riscuri operationale: neinregistrarea in evidentele contabile; arhivare necorespunzatoare a documentelor justificative; lipsa unui control asupra operatiilor cu risc ridicat;

c) Riscuri financiare: plati nesecurizate, nedetectarea operatiilor cu risc financiar;

d) Riscuri generate de schimbarile legislative, structurale, manageriale etc.

Analiza riscurilor este o procedura foarte importanta in activitatea de audit intern si are ca scop:

identificarea eventualelor pericole din institutia sau structura auditata;

determinarea modului in care controlul intern sau diferitele proceduri utilizate de institutie sau de structura auditata au posibilitatea sa previna, sa elimine sau sa minimizeze pericolele;

evaluarea activitatii de control intern al institutiei sau structurii auditate.

C) Etapele analizei riscului

Analiza riscului presupune parcurgerea mai multor etape:

1. analiza activitatii institutiei sau structurii auditate;

2. identificarea si evaluarea cu impact inerent asupra activitatii institutiei sau structurii auditate, care pot influenta operatiile economico-financiare;

verificarea existentei controalelor interne, a procedurilor de control intern, precum si evaluarea acestora;

evaluarea punctelor slabe, masurarea acestora si impartirea lor pe clase de risc.

D) Masurarea riscului

Riscul se masoara in functie de probabilitatea de aparitie a lui si de gravitatea consecintelor evenimentului.

Masurarea probabilitatii

Pentru masurarea probabilitatii aparitiei riscului trebuie luate in considerare elemente legate de vulnerabilitatea institutiei, precum si de calitatea controlului intern.

Criteriile utilizate pentru masurarea probabilitatii de aparitie a riscului sunt:

a) aprecierea vulnerabilitatii institutiei;

b) aprecierea controlului intern.

Scara de masurare a probabilitatii aparitiei riscului porneste de la "imposibilitate" si ajunge la "certitudine", existand trei nivele de exprimare, si anume:

probabilitate mica;

probabilitate medie;

probabilitate mare.

a) Aprecierea vulnerabilitatii institutiei sau sectorului auditabil

Pentru a da o apreciere asupra vulnerabilitatii institutiei sau sectorului auditabil, auditorul va examina toti factorii ce ar putea avea incidenta asupra acesteia, cum ar fi: resursele umane, complexitatea prelucrarii operatiilor, mijloacele tehnice existente

Vulnerabilitatea se poate exprima pe trei nivele, si anume:

vulnerabilitate redusa;

vulnerabilitate medie;

vulnerabilitate mare.

b) Aprecierea controlului intern

Activitatea de audit nu nare ca scop efectuarea controlului perfect asupra domeniilor auditate. Rolul de a efectua un control total asupra activitatilor unei institutii ii revine controlului intern. Aceasta activitate, prin metodele si procedeele sale proprii are posibilitatea sa determine riscurile si neregulile din cadrul institutiei sau activitatii auditate. Aprecierea controlului intern  se face pe baza analizei calitatii activitatii de control, pe trei nivele:

control intern corespunzator;

control intern insuficient;

control intern cu lipsuri grave.

In functie de aprecierile legate de vulnerabilitate si de activitatea de control se determina efectele riscului in cazul in care acesta se produce. Acest nivel poate fi exprimat pe trei nivele, si anume:

risc cu impact scazut;

risc cu impact moderat;

risc cu impact ridicat.

In functie de combinarea probabilitatii de aparitie a riscului cu impactul acestuia pot apare mai multe situatii, care pot fi luate in seama sau nu de conducerea institutiei, astfel:

Cand in urma masurarii riscului apare un impact ridicat, insa o probabilitate redusa de aparitie a riscului, atunci exista posibilitatea ca managementul institutiei sa intervina;

Cand si impactul este redus si probabilitatea este scazuta, atunci riscul poate fi ignorat;

Cand impactul este redus , dar probabilitatea este mare, atunci pentru evitarea aparitiei riscului este necesara efectuarea procedurilor de control;

Cand atat impactul este ridicat, cat si probabilitatea intervenirii riscului este mare, atunci este obligatoriu organizarea controlului intern si eventual utilizarea posibilitatilor de interventie pentru inlaturarea riscului.

Deci se poate spune ca probabilitatea aparitiei riscurilor este primordiala fata de nivelul de impact. Cu alte cuvinte, atunci cand si impactul si probabilitatea sunt la cote maxime, trebuie inlaturat pericolul, de aceea in grafic apar culori diferite, de la cel pastelate, care te indeamna la liniste la culori aprinse, care indica "cota de avarie".

Aprecierea controlului intern se face de catre auditor pe baza Ghidului de evaluare a controlului intern.

Ghidul de evaluare al controlului intern