On mõned teemad, mida olen aastate jooksul ikka ja jälle uuesti käsitlenud, ütleb Chambers. Üks neist on praktika, kus siseaudit annab aru finantsjuhile. Jätkuvalt ei pea ma seda õigeks ega asjakohaseks ja sellest teemast siin kirjutangi.
Richard Chambers, CIA, CFE, QIAL, CRMA, CGAP oli aastatel 2009–2021 siseaudiitorite ülemaailmse kutseühingu ja siseaudiitorite standardeid kehtestava asutuse The Institute of Internal Auditors president ja tegevjuht. Chambersil on rohkem kui 40 aasta pikkune kogemus siseauditi kutsealal. Ta on ka Richard F. Chambers and Associates, LLC asutaja ja tegevjuht.
IIA on juba aastaid läbi viinud uuringuid siseauditi aruandluse teemal. Hea uudis meie uuringutest on see, et püsivalt suur protsent auditijuhte väidavad, et nad alluvad ja annavad aru auditikomiteele.
Enam kui 80% Põhja-Ameerika siseauditijuhtidest ütlevad, keda küsitleti IIA 2021. aasta Põhja-Ameerika siseauditi uurimuse jaoks, et nad annavad aru "auditikomiteele, juhatusele või samaväärsele tasandile". Sarnast trendi näeme ka globaalselt.
Kus asub siseaudit ettevõtte struktuuris?
Kuid kui siseauditi üksusel on isegi näiline sõltumatuse või objektiivsuse konflikt, ei ole see tingitud alluvus- ega aruandlussuhtest. Probleem tuleb sellest, kus asub siseauditi üksus ettevõtte struktuuris. Sageli "lükatakse" kõige vastuolulisem aruandlussuhe finantsjuhile. On hämmastav, kui sageli vastavad Põhja-Ameerika siseauditijuhid IIA küsitlustele, et nad annavad aru finantsdirektorile.
Selle aruandlussuhte kriitikud väidavad sageli, et siseauditit võidakse nii finantsjuhi valdkonna auditeerimisest eemale juhtida, kuna viimane ei taha kontrolli. Ma tegelikult ei leia, et see oleks suurim probleem. Selle asemel näitavad aastate jooksul kogutud andmed, et finantsjuhid kasutavad tõenäolisemalt siseauditi abi, et käsitleda oma vastutusvaldkondade võtmeriske, välistades sellega ettevõtte teiste tegevusvaldkondade riskid.
Siseaudit ei peaks kunagi kuuluma finantsjuhile
Kirjutasin sellest 2015. aasta artiklis "Siseaudit ei peaks kunagi kuuluma finantsjuhile". Märkisin muuhulgas, et siseauditi üksused, mis töötasid finantsjuhi heaks, pühendasid üle 60% rohkem ressursse finantsaruandluse sisekontrollide (ICFR) hindamisele, võrreldes siseauditi üksustega, kes andsid aru mõnele teisele juhtkonna liikmele.
Need on reaalsed riskid, mis on realiseerunud
Kas ICFR-i riskid on 60% suuremad selles ettevõtetes, kus finantsjuhid kontrollivad siseauditit? Ma ei usu. Pigem, nagu ma toona märkisin, et paljud finantsjuhid, kellel on siseauditi üle järelevalve, kasutavad seda tööde tegemiseks ja küsimuste lahendamiseks, mis muidu jääksid finantsjuhi teha. Tahan näidata, et sellised on riskid, mis realiseeruvad, kui siseaudit on finantsjuhi alluvuses.
Enne kui ma selgitan edasi seda, mis minu arvates on vastuoluline seisukoht, tunnistan, et IIA rahvusvahelised siseauditi kutsestandardid on piisavalt paindlikud, et mitte võimaldada aruandlussuhet finantsjuhiga. Standardis 1110 on osaliselt kirjas, et „auditi juht peab aru andma organisatsioonis tasemele, mis võimaldab siseauditi üksusel oma kohustusi täita”. Standard 1110.A1 läheb veidi kaugemale öeldes: "Siseauditi tegevus peab olema vaba sekkumisest siseauditi ulatuse kindlaksmääramisel, töö tegemisel ja tulemuste edastamisel."
Niisiis, kui standardid välistavad selgesõnaliselt aruandlussuhet finantsjuhiga, siis miks ma jätkuvalt muret väljendan? Küsimus pole tegelikult selles, kellele siseaudit aru annab. Selle asemel on probleem see, mil määral see isik kasutab võimu siseauditi üle ja kahjustab selle võimet jälgida organisatsioonis kõiki olulisi riske.
Siseauditi sõltumatus ei vähene mitte ainult siis, kui juhtkonna liikmed juhivad siseauditit eemale oma vastutusvaldkonna tundlikest riskidest. Siseauditi väärtuse langus ilmneb ka siis, kui juhid suunavad siseauditit tegelema just neile erilist huvi pakkuvate riskide või küsimustega, aga seda tehakse organisatsiooni vaates oluliste riskide arvelt.
Olen juba 2012. aastast jaganud oma muret ohtudest, mis kaasnevad sellega, et siseauditi üksus annab administratiivselt aru kellelegi teisele peale tegevjuhi. Toonases ajaveebipostituses „On aeg, et me finantsjuhi varju alt välja kolime" kirjutasin nii: „Siseauditi üksustel on aeg finantsjuhi alt ära kolida. Vajame tugevaid töösuhteid oma finantsjuhtidega, kuid vajame ka sõltumatust ja paindlikkust finantsteabe hindamiseks ja auditiplaanide koostamiseks ilma mõjutamiseta (või isegi mõju tajumiseta).
Enamik siseauditijuhte võiks tõenäoliselt luua tugeva töösuhte tegevjuhtkonna mis tahes liikmega, kuid lubamatu mõjutamise oht on suurem, kui siseaudit sõltub finantsüksusest mis iganes viisil.
Ma ei ole üksi, mõistmaks riske, mis tekivad, kui siseaudit annab aru juhtkonna liikmetele. USA Föderaalreservi juhatajate nõukogu andis 2013. aasta alguses välja täiendava juhendi siseauditi funktsiooni kohta, millest anti finantsasutustele täiendavaid selgitusi siseauditi sõltumatusest. Selles öeldakse konkreetselt:
„Kui siseauditijuht annab administratiivselt aru kellelegi teisele peale tegevjuhi, peaks auditikomitee dokumenteerima selle aruandlusstruktuuri põhjendused, sealhulgas leevendama kontrollimeetmeid olukordade jaoks, mis võivad CAE objektiivsust negatiivselt mõjutada.
Sellistel juhtudel peaks auditikomitee perioodiliselt (vähemalt kord aastas) hindama, kas siseauditijuht on erapooletu ja kas seda ei mõjuta aruandlusliini korraldus. Lisaks tuleks siseauditijuhi ja kõigi teiste auditiüksuse töötajate huvide konflikte jälgida vähemalt kord aastas, kehtestades piirangud auditeerimisvaldkondadele, kus konfliktid võivad tekkida.
Lisaks käsitleb IIA rahvusvaheline siseauditi raamistik rakendusjuhendis (IG) 1110 organisatsiooni sõltumatuse küsimust. IG annab nõu: "IIA soovitab siseauditijuhil anda administratiivselt aru tegevjuhile nii, et ta on sõltumatul positsioonil organisatsioonis ja tal on volitused takistamatult oma ülesandeid täita."
Need olulised nõuanded tugevdavad argumenti, et siseauditi üksus tuleb struktuuris seada tasandile, kus see on sõltumatuse mõttes kõige vähem mõjutatud tegevjuhtide tasandist. Põhjus selles, et siseaudit töötab standardist lähtuvalt juhtkonnale ja juhatusele pakkudes neile erapooletut ja objektiivset kindlustunnet.
Tänapäeval seisavad ettevõtete ees väljakutsed, mis on dünaamilised, globaalsed, keerulised ja kerkivad esile kiirusega, mis on meie ajaloos esmakordne. Seetõttu peame tegema kõik endast oleneva, et kaitsta siseauditi sõltumatust. Kui lisada sõltumatusele ja objektiivsusele ka tajumise ja usaldusväärsuse tegurid, on hind lihtsalt liiga kõrge, et jätkata praktikat, kus siseaudit näib kuuluvat finantsjuhile.
Võib-olla on siseauditi juhil viimane aeg rääkida tegevjuhiga nendest teemadest.