Planiranje u internoj reviziji

Planiranje revizije je neophodno budući da internoj reviziji omogućava: ostvarivanje ciljeva, utvrđivanje prioriteta i obezbeđivanje efikasnog i efektivnog korišćenja resursa. U praksi, planiranje i priprema interne revizije internom revizoru uzima najviše vremena. To je zato što je priprema revizije u svakoj reviziji veoma važan korak.

Planiranje revizije pruža:

a) osnovu za procenu budućih potreba za resursima;

b) ovlašćenje da se postupa po planu nakon što plan odobri više rukovodstvo;

v) standard u odnosu na koji može da se meri stvarna uspešnost;

g) sredstvo kroz koje rukovodstvo treba da prihvati poslove koje obavlja interna revizija i

d) stalnu evidenciju faktora koji su uzeti u obzir prilikom utvrđivanja plana, kao i donetih odluka.

Planiranje je ključni deo procesa revizije i obuhvata tri faze:

– Prvu fazu ovog procesa predstavlja Strategijski plan, koji navodi pokrivenost revizijom u naredne tri do pet godina i predstavlja osnovu celog procesa planiranja.

– Druga faza je Godišnji plan rada, koji je zasnovan na prvoj godini strategijskog plana i detaljno navodi revizije koje će se obaviti u narednih dvanaest meseci.

– Treću fazu čine planovi zadataka revizije koji se pripremaju na početku svake revizije navedene u Godišnjem planu rada.

Strategijsko planiranje

Dobar Strategijski plan:

a) pomaže u identifikovanju oblasti koje treba da budu predmet revizije,

b) omogućava objektivan pristup definisanju poslova interne revizije, koji je zasnovan na proceni rizika,

v) pomaže internoj reviziji prilikom ocene sistema internih kontrola i

g) internoj reviziji omogućava da optimalno koristi resurse i poboljša efektivnost „usluge” koju pruža rukovodstvu.

Prema standardima Instituta internih revizora, interni revizori planiranje treba da obavljaju na osnovu procene rizika, kao i da planove revidiraju i ažuriraju svake godine.

Faze pripreme strategijskog plana su:

a) utvrđivanje revizijskog okruženja;

b) identifikovanje sistema/oblasti koji mogu biti predmet revizije;

v) procena rizika za svaki sistem/oblast;

g) odluka o revizijskoj strategiji;

d) procena potreba revizije.

Utvrđivanje revizijskog okruženja

Početna tačka strategijskog planiranja jeste dobro razumevanje konteksta u kojem organizacija funkcioniše. To podrazumeva razmatranje pitanja kao što su:

– stav rukovodstva prema kontroli;

– podaci o opštem nivou kontrola u organizaciji;

– stav organizacije prema rizicima;

– spremnost rukovodstva da prihvati promene itd.

Identifikovanje sistema koji mogu biti predmet revizije

Sledeći korak predstavlja identifikovanje predmeta revizije. Cilj treba da bude da se identifikuju i definišu sistemi koji pokrivaju sve ciljeve i aktivnosti organizacije. Korisno je da broj sistema ili grupa sistema bude sveden na broj kojim može da se upravlja racionalno.

Oblasti za reviziju po sistemima ili podsistemima mogu da se identifikuju kroz saradnju sa rukovodiocima na različitim nivoima. Treba iskoristiti rad prethodnih revizija, kao i znanje i iskustvo koje su kroz njih stekli interni revizori.

Pored identifikovanja oblasti po sistemima i podsistemima, treba utvrditi i:

– povezanost sistema;

– sisteme koji funkcionišu u više odeljenja i

– mišljenje rukovodstva o oblastima, odnosno konkretnim faktorima koji se smatraju visokorizičnim.

Procena rizika

Nakon što se identifikuju sistemi, neophodno je uraditi procenu rizika, čime će se obezbediti argumentacija za način na koji će se koristiti resursi revizije u dugoročnom periodu. Cilj je koncentrisati se na one aktivnosti koje nose veći rizik za organizaciju kao celinu.

Rizici se često utvrđuju kroz razgovore sa rukovodiocima i zaposlenima, upitnike i diskusije samih revizora. Na obim istraživanja koje će se izvršiti utiču troškovi i teškoće vezane za prikupljanje podataka za ocenu sistema.

Procena rizika je u suštini zasnovana na subjektivnom sudu, ali mogu da se koriste i različite tehnike kako bi analiza bila sistematičnija i u određenoj meri objektivnija. Njihovo korišćenje podržava sud koji revizori donesu po pitanju prioriteta i učestalosti revizija. Ove tehnike pomažu u identifikovanju oblasti koje nose veliki rizik, koji inače možda ne može da se identifikuje na drugi način. Svaka faza procene rizika treba da bude u potpunosti dokumentovana.

Jedan od pristupa koji se obično koristi u proceni prioriteta i učestalosti obavljanja revizije uključuje izračunavanje indeksa rizika. Ovaj pristup predstavlja kombinaciju utvrđivanja stepena rizika za svaki od niza predodređenih karakteristika ili elemenata sistema i dodeljivanje težine svakom od njih, čime se daje sud o njihovoj relativnoj važnosti na skali od 1 (nizak) do 5 (visok) rizika.

To omogućava izračunavanje indeksa rizika za svaki sistem. Neki uobičajeni elementi rizika uključuju:

– vrednost i broj transakcija;

– vrednost prihoda i rashoda;

– vrednost i likvidnost sredstava;

– karakteristike sistema;

– organizacione faktore;

– složenost sistema;

– stabilnost sistema – tendencija, odnosno verovatnoća promena;

– posebne elemente koji su karakteristični samo za taj sistem;

– osetljivost sistema;

– delokrug i uticaj sistema na buduće događaje i odluke ili na druge sisteme;

– upravljanje i kontrolu;

– moral zaposlenih;

– kvalitet internih kontrola u sistemu;

– datum i nalaze poslednje revizije;

– mišljenje drugih kontrolnih organa (npr. eksterna revizija, inspekcija).

U određivanju težine treba doneti sud u odnosu na relativnu važnost različitih elemenata. Na primer, stepen stabilnosti sistema može biti važniji od broja transakcija budući da sistemi koji se menjaju mogu imati nove i nedokazane interne kontrole. Organizacioni elementi, kao što su uticaj jednog sistema na drugi, odnosno uticaj na niz podsistema, mogu imati veću težinu nego elementi koji se odnose samo na dati sistem.

Elementi i faktori njihove težine treba da budu kombinovani u formulu koja se koristi za izračunavanje indeksa rizika. U izboru faktora težine revizor treba da izbegava da unese pristrasnost u formulu. Sistem utvrđivanja težine treba da bude što jednostavniji, pri čemu se obično koristi skala od 1 do 5.

Strategija revizije

Nakon što se definišu sistemi i izračunaju indeksi rizika, rukovodilac interne revizije treba da razmotri i usaglasi rezultate sa rukovodstvom.

Nakon toga treba definisati strategiju revizije. Opšta strategija revizije, definisana ranije u ovom procesu, treba da bude dobra polazna osnova. Nije realno niti neophodno detaljno pokriti sve aspekte sistema internih kontrola svake godine. Cilj ove strategije treba da bude dovoljna pokrivenost osnovnih oblasti, koja će omogućiti donošenje opšteg mišljenja o adekvatnosti sistema kontrola.

Na osnovu indeksa rizika sisteme treba svrstati u one sa visokim, srednjim i niskim rizikom. Na primer, može da se utvrdi sledeće:

a) revizije sa indeksom rizika od 85 su visokorizične;

b) revizije sa indeksom rizika 40–84 srednjeg su rizika i

v) revizije sa indeksom rizika od 39 ili manje niskog su rizika.

Strategija revizije treba da uključi češće revizije sistema koji nose veći rizik – obično se takvi sistemi revidiraju svake godine kako bi se potvrdilo da su sistemi koji su od vitalnog značaja pod efektivnom kontrolom. Prilikom prve revizije sistema koji nosi veliki rizik kontrole će se detaljno pregledati kako bi se ustanovilo koje su kontrole ključne i koliko su efektivne. Naknadne revizije sistema koji nose visoke rizike biće ograničene na potvrdu da su ciljevi sistema, ciljevi kontrola, rizici i kontrole isti, kao i na sprovođenje testova usaglašenosti.

Revizije nisu tako učestale kod sistema koji su srednjeg rizika. Ukoliko se radi o ciklusu revizija od tri godine, onda su ovakvi sistemi predmet revizije u dve od tri godine ciklusa. To može da se opravda time što su ovi sistemi izloženi relativno malom riziku čak i ukoliko nisu predmet revizije u jednoj godini.

Revizija niskorizičnih sistema može da se vrši jednom u tri godine, a u nekim slučajevima revizija može da se ograniči na samo dva ili tri ključna sistema.

Procena potreba revizije

Sledeća faza je utvrđivanje potreba za resursima, odnosno procena potreba revizije. Procena vremena koje revizori treba da provedu na svakom revizijskom poslu treba da se utvrdi uzimajući u obzir ograničenja kao što su raspoloživo vreme i resursi.

Ove procene treba da budu zasnovane na iskustvu i stručnosti revizora. Revizorima koji nisu obučeni ili nemaju iskustva treba više vremena da obave određene poslove. „Revizorsko” vreme treba da uključi „osnovno direktno” vreme i direktno vreme vezano za rad vođa timova i rukovodioca interne revizije. Osnovno direktno vreme podrazumeva sve faze određene revizije, kao što su prikupljanje opštih podataka, priprema plana revizije, utvrđivanje činjenica, dokumentovanje, testiranje, priprema izveštaja, razmatranje nalaza revizije, naknadni poslovi revizije i praćenje promena u sistemu.

Kad se strategija revizije priprema prvi put, verovatno će biti neophodno da se za svaku kategoriju revizije odredi standardno vreme, npr.:

1. veliki rizik – 100 dana (tj. 300 dana po organizaciji u okviru jednog ciklusa);
2. srednji i mali rizik – 75 dana (tj. 150 dana po ciklusu za organizacije srednjeg rizika i 75 dana po ciklusu za organizacije malog rizika).

Ove cifre mogu da se revidiraju prilikom kasnijih ažuriranja strategijskog plana i za određene revizije može da se odredi konkretno vreme na osnovu stečenog iskustva.

Neophodno je planirati i revizije sistema u razvoju. Ukoliko su već poznati neki važni razvojni projekti, planiranje može biti preciznije i treba da uzme u obzir predviđene rokove. U njima obično postoje ključne faze koje zahtevaju različite vrste revizije.

Slično tome, neophodno je planirati i vreme za druge poslove, kao što su praćenje (naknadne revizije), revizije uspešnosti (performansi), saveti i ispitivanje pronevera.

Na osnovu svih pomenutih elemenata postoji mogućnost da se izračuna vreme potrebno za revizije u okviru perioda koji pokriva strategijski plan. Zatim treba da se utvrdi broj revizora koji je neophodan da se obezbedi pokrivenost revizijom. Ukoliko su potrebni dodatni resursi (što često može da bude slučaj), rukovodilac interne revizije treba da razgovara sa rukovodiocem organizacije o tome da li je moguće obezbediti dodatne revizore. Ukoliko je moguće obezbediti samo ograničeni broj dodatnih revizora, rukovodilac interne revizije treba da razmotri i usaglasi stepen „potvrde” koju revizija može da obezbedi, kao i da utvrdi na šta interni revizori treba da se koncentrišu. Treba imati na umu da revizija u tom slučaju ne može da pruži potpunu potvrdu.

Nakon toga sledi priprema revidiranog strategijskog plana, koji treba da predstavi sledeće:

– resurse – koji treba da budu raspoloživi svake godine;

– prioritet – opšte je pravilo da se revizije prioritetnih sistema raspoređuju što je ranije moguće u okviru raspoloživih godišnjih resursa;

– učestalost – određuje koliko često određeni sistem treba da bude predmet revizije;

– logistiku – moguće je da postoje dobri razlozi zašto određene revizije moraju da se obave (odnosno ne moraju da se obave) jedne iza drugih u vrlo kratkom roku. Moguće je i da će za neke revizije biti potrebni specijalni stručnjaci i ovde mora da se vodi računa o njihovoj raspoloživosti tokom određene godine. Ovaj faktor je veoma važan u godišnjim planovima.

Strategijski plan treba da se revidira i ažurira svake godine, pri čemu druga godina tekućeg strategijskog plana postaje prva godina novog plana i osnova za godišnji plan naredne godine. Kompletna ocena plana treba da se vrši na svake četiri do pet godina ili čak i ranije ukoliko dođe do promena u organizaciji.