Mylicie się, ale to nie wasza wina

Ostatnio odbyłem kilak rozmów (to ja najczęściej byłem pytany) na temat tego jaka jest różnica między audytem, a kontrolą. Jak dla mnie – żadna.

Bo jaka jest różnica pomiędzy śmigłowcem a helikopterem; autokarem i autobusem lub kosmonautą, astronautą lub taikonautą. Właśnie taka jak miedzy audytem i kontrolą.

Dowodów na to dostarczył między innymi Orlen likwidując komórkę kontroli wewnętrznej i łącząc ją w całość z biurem audytu. Nie ma sensu funkcjonowanie w firmie dwóch komórek organizacyjnych wykonujących te same zadania i konkurujących miedzy sobą. To zarządzający powinien wiedzieć czego oczekuje od audytorów / kontrolerów i jak ich będzie nazywał. Inaczej ich zadania są nieefektywne i nakierowane na udowodnienie racji swojego bytu w organizacji.

Ale zacznijmy od początku. Skąd to nieporozumienie? Z walki starego z nowym i nowego lepszego (zachodniego) świata z lokalną tradycją.

Słownik Języka Polskiego PWN definiuje pojęcie „kontroli” jako: „sprawdzanie czegoś, zestawianie stanu faktycznego ze stanem wymaganym”,  „nadzór nad kimś lub nad czymś”, oraz potocznie rozumiana jako „instytucja lub osoba sprawująca nad czymś nadzór”.

Wikipedia zaś wskazuje, że Audyt to niezależna ocena danej organizacji, systemu, procesu, projektu lub produktu. Przedmiot audytu jest badany pod względem zgodności z określonymi standardami, wzorcami, listami kontrolnymi, przepisami prawa, normami lub przepisami wewnętrznymi organizacji (polityki, procedury). Czyli reasumując to właściwie (sic!) kontrola.

Wyraz „audyt” pochodzi od łacińskiego „auditor”, tj. słuchacz, słuchający. Określenie to związane było z „przesłuchaniem rachunków“. W starożytnym Rzymie jeden urzędnik „przesłuchiwał“ – porównywał, odczytując ich treść z dokumentami innego, co miało zapobiegać błędom i stracie pieniędzy. Instytucja audytu (ang. auditing) istnieje i rozwija się od XIX wieku. Początkowo audyt był działaniem niezależnych ekspertów, którzy stwierdzali prawdziwość i jasny obraz sytuacji finansowej podmiotu gospodarczego, bądź wskazywali na jakieś niedociągnięcia. Miał on więc początkowo charakter zewnętrzny. Zmiana roli audytu nastąpiła na początku XX wieku. Organizacje chcąc uniezależnić się od audytorów zewnętrznych zaczęły zatrudniać własnych audytorów, którzy weryfikowali poprawność zapisów księgowych, zgodność procedur z przepisami, a także skuteczność mechanizmów kontrolnych. Rekrutowali się ze środowiska biegłych rewidentów i stąd początkowo rodzący się audyt wewnętrzny był zdominowany przez zagadnienia księgowe.

Audyt jest przeprowadzany przez niezależnych ekspertów (wewnętrznych lub wewnętrznych). Są oni nazywani audytorami. Pojęcie „audytu” stosowane jest zarówno w sektorze prywatnym, jak i publicznym. Dla utrudnienia rozróżnienia w sektorze finansów publicznych od kilku lat w Polsce, zgodnie z art. 68 ustawy o finansach publicznych funkcjonuje pojęcie kontroli zarządczej.

Kontrolę zarządczą w jednostkach sektora finansów publicznych stanowi ogół działań podejmowanych dla zapewnienia realizacji celów i zadań w sposób zgodny z prawem, efektywny, oszczędny i terminowy.

Celem kontroli zarządczej jest zapewnienie w szczególności:

1. zgodności działalności z przepisami prawa oraz procedurami wewnętrznymi;
2. skuteczności i efektywności działania;
3. wiarygodności sprawozdań;
4. ochrony zasobów;
5. przestrzegania i promowania zasad etycznego postępowania;
6. efektywności i skuteczności przepływu informacji;
7. zarządzania ryzykiem.

A więc kontrola zarządcza to audyt.

Współcześnie audyt przeprowadzany jest w sposób ukierunkowany raczej na usprawnienie organizacji, niż na wskazanie nieprawidłowości. Nie ma charakteru represyjnego, w raporcie z audyt nie powinno wymieniać się nazwisk i wskazywać winnych. Badanie rozpoczyna się od analizy ryzyka, a podstawą badania są systemy kontroli.

Wikipedia wspomina, że pojęcie audytu bywa mylone z kontrolą. W odróżnieniu od kontroli audyt działa na podstawie planu (kontrola często przeprowadzana jest na zlecenie), jego celem jest usprawnienie organizacji (celem kontroli jest znalezienie nieprawidłowości i winnych), skupia się na ocenie ex-ante (kontrola na ex-post), i jest niezależna.

Marcin Dublaszewski (audytor wewnętrzny, wykładowca oraz promotor nowoczesnych metod zarządczych w administracji publicznej) na swoim blogu wskazuje, że „wraz z implementacją audytu wewnętrznego zaczęto kreować alternatywne wobec polskiej tradycji podejście do idei kontroli wewnętrznej. Tradycyjne rozumienie pojęcia „kontrola wewnętrzna” oznaczała komórkę organizacyjną (kontrola instytucjonalna) zajmującą się przeprowadzaniem kontroli innych komórek organizacyjnych jednostki. Próbując określić rolę tradycyjnej kontroli wewnętrznej sformułowano definicję stanowiącą, iż kontrola w znaczeniu funkcjonalnym (ang. audit) oznacza badanie lub przegląd polegający na ustaleniu stanu faktycznego, porównaniu go ze stanem wymaganym/pożądanym oraz dokonanie jego oceny. (a więc de facto to audyt). Inne spojrzenie na przedmiotowe zagadnienie pozwala zobaczyć kontrolę wewnętrzną jako system zarządzania jednostką: kontrola w znaczeniu zarządczym (ang. control) jest to przyjęty system zarządzania (procedury, instrukcje, zasady, mechanizmy) służący do uzyskania racjonalnej pewności, że cele zarządzania zostaną osiągnięte. Proces dzięki któremu zarządza się określonymi działaniami. Takie rozróżnienie kontroli (funkcjonalna i zarządcza) odbiega od potocznego znaczenia, gdzie kontrola instytucjonalna to kontrola wykonywana przez wyodrębnioną komórkę lub osobę a kontrola funkcjonalna to system.

Trzeba pamiętać, że kontrola to system, który ma ułatwiać funkcjonowanie i na bieżąco wyłapywać potencjalne błędy, a co za tym idzie dawać możliwość wykonania założonych zadań.

Dodatkowa, aby było jeszcze ciekawiej 24 czerwca 2013 r. Ministerstwo Finansów w komunikacie z dnia 17 czerwca 2013 r. wskazało standardy audytu wewnętrznego dla jednostek sektora finansów publicznych

Wskazano w nich, że:

Kontrola to każde działanie podejmowane przez kierownictwo, radę i inne osoby w celu zarządzenia ryzykiem i zwiększenia prawdopodobieństwa osiągnięcia ustalonych celów. Kierownictwo planuje i organizuje działania wystarczające do uzyskania racjonalnego zapewnienia, że ogólne i szczegółowe cele organizacji zostaną zrealizowane. Kierownictwo kieruje też wykonaniem tych działań.

Natomiast audyt wewnętrzny to departament, wydział, zespół konsultantów lub innych ekspertów świadczący usługi zapewniające i doradcze, działający niezależnie i obiektywnie w celu przysporzenia wartości i usprawnienia działalności operacyjnej organizacji. Audyt wewnętrzny systematycznie, w uporządkowany sposób ocenia procesy: ładu organizacyjnego, zarządzania ryzykiem i kontroli i przyczynia się do poprawy ich działania, tym samym pomagając organizacji osiągnąć cele.

Definicje pochodzą ze skopiowanej i zaimplementowanej do polskich przepisów standardu Instytutu Audytorów Wewnętrznych IIA.

Mnie osobiście przekonało do poglądu o braku różnicy pomiędzy audytem i kontrolą prosty wykres zaprezentowany przez Marka Wardawa na swoim blogu. Wykres ten wskazuje, że istnieje system kontroli dzielony na część kontroli wewnętrznej i zewnętrznej. Kontrola zewnętrzna to kontrole instytucji (UKS, NIK, RIO) lub rewizja finansowa. Natomiast system kontroli wewnętrznej to kontrola funkcjonalna i kontrola instytucjonalna. Kontrola funkcjonalna to kontrola pozioma (wzajemna kontrola komórek organizacyjnych współpracujących ze sobą), kontrola pionowa (czyli kontrola przełożonego) oraz samokontrola (uważnie wykonuję to co robię aby nie popełnić błędu). Dodatkowo jako kontrolę instytucjonalną wskazano (sic!) audyt wewnętrzny.

Reasumując czy kontrolujący będzie nazwany audytorem, czy też kontrolerem nie ma żadnego znaczenia, to osoby pracujące w kontroli instytucjonalnej mają sprawdzić, czy wszystko działa poprawnie i na końcu zadać pytanie: Dlaczego tak jest? Tylko w ten sposób przeprowadzone czynności kontrolne lub audytowe maja sens w firmie lub instytucji. Inaczej zaś nie dają zarządzającym informacji (potwierdzenia, że jest dobrze lub źle i dlaczego tak jest). Tylko szeroko rozumiana działalność dająca zapewnienie, że system kontroli działa ma sens inaczej zaś zarządzający otrzymują nieustannie informacje, że coś nie działa i coś jest nie tak. I tu też trzeba dodać dodatkowo trzy grosze zarządzający MUSI dać niezależność swoim kontrolerom / audytorom inaczej dostanie tylko takie informacje, których się spodziewał (a właściwie nakazał wykazać w sprawozdaniu z przeprowadzonego audytu lub kontroli). Inny sposób zarządzania komórką kontroli instytucjonalnej, niezależnie czy to będzie kontrola wewnętrzna czy audyt nie ma sensu.

Spór o różnicę pomiędzy audytorem a kontrolerem jest sporem jaki prezentował w radiowej Trójce przez lata profesor Jan Tadeusz Stanisławski w serii wykładów Katedry Mniemanologii Stosowanej „O wyższości Świąt Wielkiej Nocy nad Świętami Bożego Narodzenia”. A rozstrzygniecie było najprostsze z możliwych te święta były ważniejsze, które były bliżej! W przypadku zaś audytora / kontrolera ważna jest nie nazwa, ale jego profesjonalizm, wiedza i doświadczenie, bo nazwa ma drugorzędne znacznie.