Cuprins

Cap I. STRUCTURA ARTICOLULUI......................................................................................22.1 Registrul riscurilor: continut si tehnici de elaborare.........................................................3

Seminariile de identificare a riscurilor................................................................................4Evidentele contabile ...........................................................................................................4

2.2 Dimensionarea relevantei riscurilor..................................................................................5Cap.II CONCLUZII SI PROPUNERI.......................................................................................8

- 1 -

Cap I. STRUCTURA ARTICOLULUI

Definitie: Auditul intern furnizează/raportează managementului unei entităţi o opinie/asigurare independentă şi obiectivă cu privire la faptul că riscurile cu care se confruntă entitatea sunt ameliorate sau nu la un nivel acceptabil. Auditul intern este o activitate independenta si obiectiva care da unei entitati o asigurare in ceea ce priveste gradul de control asupra operatiunilor, o indruma pentru a-i imbunatati operatiunile si contribuie la adaugarea unui plus de valoare.

Auditul intern ajuta organizatia sa isi atinga obiectivele, evaluand, printr-o abordare sistematica si metodica, procesele sale de management al riscurilor, de control, si de guvernare a organizatiei si facand propuneri pentru a le consolida eficacitatea.

Strategia RBA si planul de audit sunt doua componente, recunoscut fiind si de standardele de audit intern. Practicile de elaborare a planurilor de audit intern si programelor de misiune sunt variate, avand la baza o strategie traditionala de audit care plaseaza in centrul atentiei auditul intern una sau mai multe dintre urmatoarele variante: auditul pe procese, pe functii, pe meserii, pe teme, auditul de conformitate , auditul operational.

Strategia RBA, implica o selectie si o prioritate a activitatilor, precum si a misiunilor de audit intern, pentru ca auditul sa-si atinga scopul. Astfel, schimbarea strategiei, implica schimbari asupra desfasurarii activitatii de audit, asupra eficacitatii si eficientei lui.

Preconditii necesare pentru aplicarea strategiei RBA: Organizatia cunoaste toate riscurile inerente; Organizatia si-a evaluat riscurile, astfel incat acestea pot fi ordonate in functie de

pericolul pe care-l reprezinta; Organizatia si-a definit apetitul pentru risc, astfel incat riscurile inerente si cele

reziduale pot fi evaluate si clasificate in functie de acesta.

Preconditiile pot fi satisfacute numai daca: Consiliul a adoptat un set de politici de control intern la nivelul organizatiei; Consiliul a aprobat apetitul pentru risc; Directorii executivi au fost instruiti pentru implementarea politicilor adoptate de

consiliu.

Etapele RBA:1. examinare registrului riscurilor si determinarea riscurilor;2. elaborarea planului de audit si aprobarea acestuia de catre comitet;3. realizarea misiunilor de audit;4. actualizarea universului de audit si riscuri.

In continuare vom prezenta primele doua etape ale RBA.

Prima etapa consta in examinarea registrului riscurilor.Registrul riscurilor este utilizat pentru:

evidenţierea riscurilor identificate în oricare din etapele unui proiect; clasificarea riscurilor; înregistrarea strategiilor de acţiune, a responsabilităţilor şi costurilor.

Registrul riscurilor constituie baza planului de management al riscurilor, iar în proiectele mici îl poate substitui pe acesta.

- 2 -

Registrul riscurilor trebuie să cuprindă cel puţin:- un cod de identificare unic pentru fiecare risc;- precizarea persoanei care a identificat riscul şi momentul când a făcut acest lucru;- o descriere a fiecărui risc;- cauza apariţiei riscului;- o analiză a riscului din punct de vedere al probabilităţii de manifestare şi al

impactului;- calculul expunerii la risc, care va sta la baza clasificării riscurilor.- Pentru a putea folosi registrul riscurilor in mod credubil, este necesar obtinerea unei

asigurari cu privire ca riscurile situate peste nivelul apetitului penrtu risc au fost identificate si evaluate corect de catre conducere.

Proceduri de audit aplicate de auditorii interni: interviul: discuţii cu diferiţi factori interesaţi pentru identificarea unor riscuri

neidentificate pe parcursul activităţilor obişnuite de planificare; brainstormingul; analiza SWOT,cu scopul de a se convinge de importanta riscurilor si de a face eforturi pentru a le diminua;

Documentarea cu privire la:- obiectivele organizatiei- metode de evaluare a riscurilor , alocarea responsabilitatilor pentru diferite procese

din cadrul organizatiei;- utilizarea unei scale de evaluare a relevantei riscurilor;- definirea apetitului pentru risc, printr-o declaratie a consiliului;- metode de integrare a riscurilor in procesul decizional;- registrul riscurilor.

Verificarea documentelor obtinute;

Concluzionarea cu privire la credibilitatea si posibilitatea utilizarii registrului riscurilor, fie ca acestea necesita ajustari sau corectii minore, fie ca nu poate fi utilizat sau nu exista.

2.1 Registrul riscurilor: continut si tehnici de elaborareRegistrul riscurilor reprezinta o lista completa a riscurilor identificate de catre

conducerea organizatiei, care pun in pericol obiectivele acesteia.Intocmirea registrului riscurilor, revine functiei de management, daca aceasta exista in intreprindere; daca nu exista, auditorii interni pot sprijini si consilia conducerea superioara in infiintarea registrului de riscuri, evaluarea riscurilor si determinarea apetitului pentru risc. Acest proces ajuta auditorii interni sa poata evalua credibilitatea registrului de riscuri obtinut.

Raspunsul la intrebarea: ,, Registrul riscurilor include toate riscurile semnificative?,, este crucial. Punctul de plecare consta in a formula, anticiparile privind riscurile potentiale care ameninta obiectivele , pentru a le putea dezbate impreuna cu persoanele competente din organizatie. Riscului anticipat ii sunt atasat procese de control care il reduc si-l controleaza.

Astfel, procesele de control devin obiective, amenintate de alte riscuri si ameliorate de alte controale si pot fi identificate , pe rand, toate riscurile construindu- se registrul riscurilor.

Structura acestuia, este facila de urmarit si de inteles, respectiv usor de utilizat de catre auditorii interni in elaborarea planurilor anuale de audit. Intre procesele de control utilizate de

- 3 -

auditorii interni si cele utilizate de catre organizatie, trebuie sa existe o apropiere mare, dar exista situatii in care procesele de control nu pot ameliora riscurile, deci controalele sunt inutile.

Pentru a evita confuziile, se poate folosi o structurare a registrului riscurilor, astfel tinandu-se cont de doua aspecte:

Riscurile care ameninta procesele superioare din ierarhie; Procese de control care amelioreaza riscurile.

Structurarea registrului riscurilor, din prisma altor auditori, pleaca direct de la sursa: Consiliul de administratie; Persoanele relevante in cadrul organizatiei.

Avantajul acestei proceduri directe consta in faptul ca economiseste foarte mult timp, dar pe de alta pare unele riscuri raman neidentificate deoarece auditorii nu mai au o baza de confruntre pregatita de ei anterior.

Identificarea riscurilor se face cu ajutorul urmatoarelor proceduri:1. interviul;2. seminariile de identificare a riscurilor;3. evidentele contabile.

Interviul – scopul unui interviu este de a afla opinia celui intervievat asupra riscurilor la care este expusa organizatia. Utilizarea acestei proceduri conduce la urmatoarele avantaje:

- facilitatea obtinerii de informatii de la o singura persoana fata de un grup d epersoane;- cresterea gradului de confort si existenta unui mediu prielnic in exprimarea propriilor

idei.

Dezavantajele folosirii interviului consta in faptul ca exista o mare dificultate in a omogeniza toate punctele de vedere individuale si de a clasifica riscurile obtinute.

Seminariile de identificare a riscurilorLista de riscuri obtinuta in urma dezbaterilor din cadrul seminariilor, pun in pericol

obiectivele organizatiei, respectiv o dimensionate a probabilitatii si consecintei acestora.Avantajul procedurii este acela ca in urma seminariilor, persoanele care

interactioneaza, creiaza noi idei.

Evidentele contabile Riscurle pot fi descoperite in urma unui control al situatiilor financiare sau a evidentelor contabile.

In urma parcurgerii procedurilor de mai sus, registrul riscurilor trebuie sa fie transpus intr-o baza de date pentru a facilita clasificarea si utilizarea lui ulterioara.

- 4 -

2.2 Dimensionarea relevantei riscurilorOdata construit registrul riscurilor, etapa urmatoare trebuie sa vizeze sustinerea

consiliului in ceea ce priveste rafinarea registrului riscurilor prin identificarea tuturor riscurilor ,,semnificative,, prin raportatrea la apetitul pentru risc. Dimensionarea relevantei riscurilor este relizata cu ajutorul a doua variabile componente: consecinta (C) si probabilitatea (P).

Cateva precizari legate de modelul de cuantificare a semnificatiei riscurilor:- am utilizat o scala de dimensionare pe 5 nivele, ficarui nivel atasandu-i valori

numerice cuprinse intre 1 si 5 detaliata in tabelul de mai sus;- momentul dimensionarii relevantei riscurilor: inainte sau dupa evaluarea poceselor de

control atasate acestora?

Normele profesionale de audit intern, recomanda dimensionarea riscurilor atat inainte cat si dupa ce procesele de control au fost evaluate.

Retinem urmatoarele:Risc inerent - Expunerea la un anumit risc, înainte să fie luată vreo masură de

atenuare a lui. El serveste pentru formularea planului de audit anual si identificarea misiunilor de audit.

Risc rezidual - Expunerea cauzată de un anumit risc dupa ce aufost luate măsuri de atenuare a lui. Măsurile de atenuare a riscurilor apartin controlului intern. Din această cauză riscul rezidual este o măsură a eficacitaţii controlului intern, fapt pentru care unele ţări au înlocuit termenul de risc rezidual cu cel de risc de control. Riscul rezidual este determinat pe parcursul misiunilor de audit pentru evaluarea eficacitatii si eficientei controalelor efective asupra riscurilor.

Faceti deosebirea intre riscul inerent şi riscul rezidual. Riscul inerent este riscul specific ce ţine de realizarea obiectivului, fără a se interveni prin măsuri de atenuare a riscurilor (controlul intern). Riscul rezidual este riscul ce rămâne după ce s-au pus în operă măsurile de atenuare a riscurilor inerente sau, cu alte cuvinte, riscurile remanente controlului intern. Riscul rezidual este consecinţa faptului că riscurile inerente nu pot fi controlate în totalitate. Oricâte măsuri s-ar lua, incertitudinea rămâne. Mai mult decât atât, amploarea măsurilor de ţinere sub control a riscurilor inerente este limitată, deoarece resurseleposibil de antrenat sunt ele insele limitate.

Identificarea riscurilor inerente este utilă, deoarece crează o imagine a riscurilor cu care se poate confrunta organizaţia daca sistemul de control intern nu funcţionează corespunzator. De asemenea, identificarea riscurilor reziduale este importantădeoarece ele constituie o măsură a eficacităţii controlului intern, dar şi un reper de raportare la tolerabilitate la risc.

Evaluarea semnificatiei riscurilor poate fi realizata prin realizarea unei matrici pentru fiecare risc in parte astfel incat consiliul sa poata decide asupra riscurilor acceptabile, respectiv inacceptabile definindu- si apetitul pentru risc.

Etapa a doua este elaborarea planului de auditObiectivele urmarite de auditori:

stabilirea riscurilor care vor fi incluse in planul de audit; alocarea misiunilor de audit pentru riscuri; intocmirea planului de audit.

- 5 -

Alegera riscurilor semnificative din registru se realizeaza prin raportarea la apetitul pentru risc al conduceri acesta fiind un criteriu prioritar; riscurile situate sub nivelul apetitului pentru risc al conduceri nu tin de atributiile auditorilor, iar acestea nu vor face parte din palnul de audit.

Dintre riscurile situate peste nivelul apetitului pentru risc, exista urmatoarele situatii in care auditorii interni vor decide mentinerea sau eliminarea lor din planul de audit:

riscurile pe care conducerea considera ca nu vor putea fi ameliorate astfel incat sa fie reduse la nivelul apetitului pentru risc motiv pentru care le accepta; daca exista programe contingente pentru aceste riscuri, ele vor face obiectul unor misiuni de audit, astfel riscurile vor fi incluse in planul de audit;

riscurile pe care conducerea le elimina prin diferite actiuni sau programe.Astfel auditori vor decide daca le pastreaza sau nu in planul de audit, mentinerea lor in plan fiind justificata de faptul ca acele riscuri pot genera altele.

riscurile examinate si evaluate de o terta parte care furnizeaza o asigurare directa consiliului de administratie asupra gradului de control exercitat de organizatie asupra acestora.In aceste cazuri, strategia si politicile interne ale organizatiei sunt un punct de sprijin in luarea unei decizii asupra mentinerii sau eliminari lor din planul de audit;

riscurile aduse la limita apetitului pentru risc, din rapoartele misiunilor de audit intern anterioare.Din punct de vedere al intervalului de timp care a trecut de la finalul misiunilor si de rezultatele dovedite de programele de monitorizare post-audit cu privire la implementarea masurilor corective, auditori vor decide daca pastreaza sau nu riscurile in planul de audit.

Riscurile ramase vor fii incluse in planul de audit.Punctul de plecare al alocari riscurilor pe misiiuni de audit il reprezinta registrul riscurilor, actualizat cu rezultatele procesului de filtrare precedent.

Criteriile de alocare utilizate cel mai frecvent sunt: resursele necesare si perioada de timp pentru o misiune de audit(cu cat mai

multe riscuri si procese alocate pe o misiune, cu atat mai lunga si mai costisitoare va fi misiunea de audit);

persoanele care urmeaza a fii intervievate in contextul misiunii; locatia proceselor auditabile, etc.

Exista si compani care adopta gruparea riscurilor pe misiuni, dupa ce obtin o lista cu procesele auditabile si reordonarea lor ulterioara in functie de locatie sau alte criterii.

In ceea ce priveste gruparea misiunilor de audit in functie de importanta si includera lor in planul anual, auditul intern trebuie sa adopte un rationament rezonabil avand la baza resurse financiare, materiale, uname si de intervalul de timp pus la dispozitie.

Unele organizatii opteaza ca toate misiunile sa fie incluse intr-un plan anual, iar alte companii pentru planuri multianual. Companiile care abia adopta functia de audit intern fac fata unor constrangeri mari mai ales in ceea ce priveste resursa umana.

Se folosesc mai multe modele pentru stabilirea prioritatilor in realizarea misiunilor de audit fiecare dintre ele fiind elaborate in functie de particularitatile specifice fiecarei companii.

In continuare vom incerca prezentarea unui model cu ajutorul exemplului precedent; auditori pot conveni urmatoarea situatie:

pentru riscurile inerente cuprinse in intervalul 1-4 nu se vor lua niciodata misiuni de audit intern;

pentru riscurile inerente care se situeaza in intervalul 5-9 se vor adopta masuri de audit intern o data la 3 ani;

- 6 -

pentru riscurile inerente care se situeaza in intervalul 10-12 se vor realiza misiuni de audit o data la 2 ani;

pentru riscurile inerente a caror relevanta se afla in intervalul 15-25 se vor realiza misiuni anuale de audit.

Auditori pot restrange sau detalia scala de mai sus in functie de nevoile fiecarei oraganizatii, astfel pot fii dezvoltate planuri de audit mai scurta decat un an, planuri anuale sau multianuale.Prioritatile misiunilor sunt stabilite de conducerea organizatiei.

O data intocmita baza de date elaborarea planului de audit poate sa inceapa. Planul de audit trebuie sa contina informatii cu privire la:

- misiunile de audit;- perioada de timp prevazuta pentru misiunile de audit(cand vor incepe, cate zile

vor dura, cand se vor finaliza);- riscurile si procesele de control asociate acestora ce vor face obiectul

misiunilor;- numele auditorilor care vor participa in cadrul misiuunilor.

Planul de audit trebuie aprobat de catre comitetul de audit si consiliului de administratie al organizatiei. Comitetului de audit i-se poate transmite un raporta care sa contina date referitoare la:

- riscurile si procesele ce vor face obiectul misiunilor de audit cuprinse in planul de audit:

- riscurile si controalele asupra carora auditori interni vor formula o opinie pe baza rezultatelor obtinute din misiunile de revizuire si din misiunile de audit din perioadele precedente;

- activitatile de consultanta ce vor fi prezentate de catre auditul intern conducerii organizatiei cu scopul reducerii riscurilor reziduale sub nivelul apetitului pentru risc;

- riscurile neacoperite ca urmare a politicilor organizatiei sau a limitarii resurselor;- asigurarea ca planul de audit este in conformitate cu carta auditului intern.

Cap.II CONCLUZII SI PROPUNERI

Mediul de afaceri actual a impus adoptarea unor strategii tot mai deversificate printre care si strategia RBA. Avantajele oferite de aplicarea ei justifica eforturile organizatiei de a o utiliza.

Avantejele RBA:- optimizarea activitati auditorilor interni prin concentrarea atentiei lor asupra

evenimentelor care reprezinta adevarate pericole pentru organizatie;- introducerea unei abordari pe baza de prioritati in alcatuirea planului de audit intern;- alocarea resurselor si utilizarea acestora pe misiuni de audit intern astfel existand

posibilitatea de a interveni doar acolo unde este nevoie inlaturandu-se consumul inutil de resurse; crescand astfel eficacitatea si eficienta misiunilor;

- flexibilitatea auditorilor interni in rationamentul profesional;

Dezavantaj: aplicarea RBA necesita constituirea functiei de management al riscurilor distincta de auditul intern, intalnita mai ales in cazul companiilor autohtone.

- 7 -

Deoarece conducerea companiilor manifesta o anumita reticenta fata de auditul intern din perspectiva cresterii cheltuielilor, a sustine si convinge managementul de necesitatea acestuia nu este nici pe departe o misiune usoara.

Auditul intern ajută instituţia să îşi atingă obiectivele evaluând procesele sale de management al riscurilor, de control şi de conducere. Auditorii interni pot prin consiliere permanentă, să ajute instituţia să identifice, să evalueze şi să implementeze un dispozitiv de management al riscurilor şi de control care să permită stăpânirea acestor riscuri. În afără misiunii clasice de asigurare, auditorii interni îşi asumă un rol de consiliere în vederea îmbunătăţirii proceselor fundamentale ale institutei. Misiunile de audit scot în evidenţă anomaliile şi punctele slabe semnificative din cadrulproceselor ce se desfăşoară la nivelul instituţiei, astfel încât să poată fi remediate sau atenuate consecinţele acestora.

Auditul intern trebuie să propună planuri de audit bazate pe analiza riscurilor, pentru a stabili priorităţiile activitaţii de audit. Auditul bazat pe analiza riscului, modifică modul în care auditorii percep controlul şi riscul. Auditul intern trebuie să ajute conducerea eentităţilor publice să menţina un control intern adecvat, evaluând eficienţa şi eficacitatea acestuia şi incurajând îmbunătăţirea sa continuă.

Este foarte important că auditul intern să participe la dezbaterea la cel rnai înalt nivel de decizie din instituţie, a problemelor importante şi care au implicaţii de sistem asupra activităţii entităţii în ansamblul său, creându-se astfel posibilitatea orientării activităţii de audit intern catre problematica cu care se confruntă managementul.

Auditorii interni trebuie să dea dovadă de claritate, consecvenţă, profesionalism, amabilitate, competenţă, comunicare şi să conştientizeze auditaţii că sunt lângă ei, pentru interesele lor şi ceea ce este cel mai important, pentru a adăuga valoare entităţii auditate. Plusul de valoare adus de auditul intern este rezultatul aportului de competenţă pentru practicarea unui control intern raţional. Auditul intern trebuie privit drept util, nu ca fiind impus de cadrul normativ existent. Este foarte important ca auditul intern să fie judecat pentru lucrurile pe care le-a constatat nu pentru lucrurile pe care nu le-a găsit.

Auditul intern trebuie abordat într-o maniera constructivă, care să aibă la bază un parteneriat manager/auditor, orientat spre viitor, bazat pe profesionalismul şi obiectivitatea auditorilor şi pe responsabilizarea audităţilor privind rolul auditului intern.

Pentru a supravieţui într-o lume a concurenţei, fiecare întreprindere, indiferent de natura acesteia, trebuie să măsoare cu discernământ fiecare leu cheltuit şi fiecare dram de energie consumată, urmărind obţinerea unor rezultate cât mai performante cu eforturi şi cheltuieli cât mai reduse.

- 8 -