© ۲۰۲۴ – انجمن حسابرسان داخلی – استرالیا

گزارش رسمی

مدیریت ریسک‌های واحد حسابرسی داخلی ۲۰۲۴

Level 5, 580 George Street, Sydney NSW 2000 | PO Box A2311, Sydney South NSW 1235

T +61 2 9267 9155 F +61 2 9264 9240 E enquiry@iia.org.au www.iia.org.au

ارتباط، حمایت، پیشرفت

این منبع پس از انتشار «استانداردهای جهانی حسابرسی داخلی» در سال ۲۰۲۴ تهیه شده است.

مقدمه

هدف

هدف این گزارش رسمی، تشریح چگونگی مدیریت بهتر ریسک‌ها توسط واحدهای حسابرسی داخلی است.

پیشینه

مدیریت ریسک مؤثر برای موفقیت هر سازمانی ضروری است. سازمان‌ها در انواع مختلف، به‌طور فعال و با نظارت مناسب در سطح هیئت‌مدیره، ریسک‌ها را شناسایی و مدیریت می‌کنند. «اصول و توصیه‌های راهبری شرکتی ASX» (۲۰۱۹)، شرکت‌های پذیرفته‌شده در بورس را ملزم می‌کند که یک یا چند کمیته تخصصی در هیئت‌مدیره برای نظارت بر ریسک و بازبینی چارچوب مدیریت ریسک آن شرکت داشته باشند. این شرکت‌ها همچنین موظف‌اند ریسک‌های بااهمیت خود را در گزارش‌های سالانه افشا کنند.

به‌طور مشابه، نهادهای بخش دولتی استرالیا (در سطوح فدرال، ایالتی، منطقه‌ای و محلی) موظف به حفظ چارچوب‌های مدیریت ریسک مؤثر هستند که از طریق سیاست‌ها، دستورالعمل‌های خزانه‌داری، مقررات و سایر سازوکارها الزامی شده است.

مدیریت ریسک مؤثر، صرفاً در سطح هیئت‌مدیره یا مدیریت ارشد محقق نمی‌شود، بلکه نیازمند مشارکت تمام بخش‌ها و واحدهای کسب‌وکار یک سازمان، از جمله واحد حسابرسی داخلی است.

بحث

موضوع

استاندارد ISO 31000 «مدیریت ریسک – راهنما»، ریسک را «اثر عدم قطعیت بر اهداف» تعریف می‌کند. واحدهای حسابرسی داخلی نیز مانند هر سازمانی، اهدافی دارند که تحت تأثیر عدم قطعیت قرار می‌گیرند. با این حال، واحدهای حسابرسی داخلی اغلب، اگر نگوییم تمام، وقت خود را صرف بررسی فرآیندهای راهبری، مدیریت ریسک و کنترل سازمان خود می‌کنند. اما این واحدها چند وقت یک‌بار به درون خود می‌نگرند تا ارزیابی کنند که آیا ریسک‌ها و کنترل‌های کلیدی خودشان به‌طور مؤثر مدیریت می‌شوند یا خیر؟

واحد حسابرسی داخلی چگونه می‌تواند، مطابق با تعریف حسابرسی داخلی در «استانداردهای جهانی حسابرسی داخلی»، «با ارائه یک رویکرد سیستماتیک و منضبط برای ارزیابی و بهبود اثربخشی فرآیندهای راهبری، مدیریت ریسک و کنترل»، به تحقق اهداف *خود* کمک کند؟

این گزارش رسمی به بررسی این موضوع می‌پردازد که واحدهای حسابرسی داخلی چگونه می‌توانند به‌طور فعال ریسک‌هایی را که بر موفقیتشان تأثیر می‌گذارد، شناسایی، ارزیابی و مدیریت کنند.

تاریخچه

مفهوم مدیریت ریسک توسط واحدهای حسابرسی داخلی، جدید نیست. در سال ۲۰۰۹، IIA «مشاوره عملی ۲۱۲۰-۲» (راهنمای توصیه‌شده و منسوخ‌شده) را منتشر کرد که نشان می‌داد «واحد حسابرسی داخلی از ریسک‌ها مصون نیست و باید اقدامات لازم را برای اطمینان از مدیریت ریسک‌های خود انجام دهد».

بسیاری از واحدهای حسابرسی داخلی با نگهداری و به‌روزرسانی دوره‌ای دفتر ثبت ریسک‌های خود – چه به‌صورت مستقل و چه به‌عنوان بخشی از یک سیستم مدیریت ریسک سازمانی گسترده‌تر – این مشاوره عملی را به کار بستند.

در واحدهای حسابرسی داخلی بزرگ‌تر، مانند سازمان‌های جهانی یا مؤسسات مالی بزرگ، افراد مشخصی برای شناسایی، نظارت و گزارش‌دهی ریسک‌های واحد حسابرسی داخلی منصوب می‌شوند.

ریسک‌های پیش روی واحد حسابرسی داخلی

ریسک‌هایی که واحد حسابرسی داخلی هنگام انجام مأموریت خود با آنها مواجه می‌شود، ممکن است بر اثربخخشی و اعتبار مدیر ارشد حسابرسی و همچنین تک‌تک حسابرسان داخلی تأثیر بگذارد.

ریسک‌هایی که ممکن است بر یک واحد حسابرسی داخلی تأثیر بگذارند عبارت‌اند از:

دسته ریسک	نمونه‌های ریسک
استراتژیک	مدیریت ذی‌نفعان – ناتوانی در شناسایی و برآورده ساختن انتظارات ذی‌نفعان کلیدی. پروژه‌ها و طرح‌های استراتژیک – ناتوانی در برنامه‌ریزی و اجرای طرح‌های بزرگ به شیوه‌ای سیستماتیک و هماهنگ (مانند پیاده‌سازی سیستم مدیریت حسابرسی جدید یا انطباق با استانداردهای نظارتی یا صنعتی جدید). ساختار سازمانی – ساختار سازمانی واحد حسابرسی داخلی از دستیابی به اهداف استراتژیک و تجاری به شیوه‌ای کارآمد پشتیبانی نکند. ارتباطات داخلی – عدم درک یا پاسخگویی به‌موقع به نگرانی‌های تیم حسابرسی داخلی. برند و اعتبار – ناتوانی در ایجاد، ترویج و حفظ برند، اعتبار و اعتمادی که با مأموریت واحد حسابرسی داخلی همسو باشد. این ریسک شامل جانبدارانه یا غیرعینی بودن واحد حسابرسی داخلی در ارزیابی‌هایش نیز می‌شود. پویایی بازار – تغییرات در محیط خارجی که بر توانایی واحد حسابرسی داخلی برای انجام مأموریت خود تأثیر می‌گذارد (مانند از دست دادن کارکنان کلیدی یا کمبود ارائه‌دهندگان خدمات تخصصی به دلیل وجود مشتریان با پرداخت بهتر).
عملیاتی	فرهنگ – عدم تعریف و تقویت فرهنگی که اعضای تیم حسابرسی داخلی باید مطابق با ارزش‌های سازمانی و مأموریت واحد حسابرسی داخلی به آن پایبند باشند. فهرست خدمات – عدم تناسب انواع خدمات حسابرسی ارائه‌شده توسط واحد حسابرسی داخلی با نیازهای کسب‌وکار یا پشتیبانی از انجام مأموریت حسابرسی داخلی. تمرکز بر ریسک – عدم همسویی برنامه حسابرسی داخلی با استراتژی سازمان و ریسک‌های کلیدی. (به برگه اطلاعاتی IIA-Australia با عنوان «حوزه‌های حسابرسی نادیده گرفته‌شده» نیز مراجعه کنید). مدیریت تغییر – مقاومت تیم حسابرسی داخلی در برابر تغییر یا طرح‌های تغییر با مدیریت ضعیف (مانند تغییرات بیش از حد مکرر، اجرای بدون مشورت، عدم آموزش کافی و غیره). مدیریت نیروی انسانی – ناتوانی در استخدام و حفظ کارمندان واجد شرایط برای اطمینان از سطوح بهینه کارکنان و برنامه‌ریزی جانشینی کافی. این ریسک شامل نرخ بالای جابجایی کارکنان نیز می‌شود. ارائه اطمینان کاذب – این فرض که مشارکت واحد حسابرسی داخلی در یک فعالیت، لزوماً به سازمان اطمینان مطلق می‌دهد. تدارکات – عدم شفافیت یا تأخیر در انتصاب ارائه‌دهندگان خدمات حسابرسی داخلی. دامنه کار حسابرسی – گسترش یا محدودیت دامنه توسط تیم حسابرسی داخلی و مدیریت در طول انجام کارهای حسابرسی. طولانی شدن چرخه انجام کار حسابرسی – زمان طولانی چرخه از شروع تا پایان کارهای حسابرسی به دلیل الزامات مستندسازی سنگین، صدور پیش‌نویس‌های متعدد گزارش برای مدیریت، مدیریت پروژه ناکارآمد و غیره. ارائه‌دهندگان خدمات – ورود و نظارت ناکارآمد بر ارائه‌دهندگان خدمات حسابرسی داخلی. تقلب و رفتار غیراخلاقی – رفتار متقلبانه توسط تیم حسابرسی داخلی، مانند جعل کاربرگ‌ها، دستکاری گزارش هزینه‌ها، یا ارائه اطلاعات نادرست به کمیته حسابرسی. دقت گزارش‌دهی – دقیق یا کامل نبودن گزارش‌های مربوط به کارهای حسابرسی که به کمیته حسابرسی ارائه می‌شود.
مالی	تنظیم بودجه – استفاده از داده‌های ناقص یا نادرست برای تخمین منابع مالی مورد نیاز در طول فرآیند برنامه‌ریزی حسابرسی داخلی. محدودیت‌های بودجه – فراتر رفتن از بودجه واحد حسابرسی داخلی که توسط کمیته حسابرسی تأیید شده است.
انطباق	استانداردها – عدم انطباق با «استانداردهای جهانی حسابرسی داخلی». قوانین و مقررات – عدم انطباق با الزاماتی مانند: الزامات مرتبط با حسابرسی داخلی در بخش دولتی استرالیا (فدرال/ایالتی/منطقه‌ای). استانداردهای احتیاطی سازمان مقررات احتیاطی استرالیا (APRA) قابل اعمال برای حسابرسی داخلی، مانند CPS510 «راهبری» و CPS234 «امنیت اطلاعات». اصول و توصیه‌های راهبری شرکتی ASX.

ریسک‌های منتقل‌شده از سایر بخش‌های سازمان

حوزه دیگری که باید در نظر گرفته شود، زمانی است که واحدهای کسب‌وکار، مسئولیت اجرای کنترل‌های مشترک را به واحدهای دیگر واگذار می‌کنند. این کنترل‌ها ممکن است از نظر ماهیت و پیچیدگی متفاوت باشند و گاهی به دلیل ماهیتشان برای واحد حسابرسی داخلی قابل اعمال نباشند، اما نیازمند بررسی دقیق هستند. در بیشتر موارد، لازم است که واحد حسابرسی داخلی از وجود مستندات فرآیند و رویه برای روشن کردن انتظارات و رفتارهای سازمانی اطمینان حاصل کند. برخی ملاحظات در زیر برای ارجاع آورده شده است:

حوزه	ملاحظات
مدیریت هزینه‌ها و کارت‌های اعتباری شرکتی	بسته به ماهیت استفاده (مانند سفرهای متعدد) و بلوغ کنترل‌های مرتبط با هزینه در سازمان، مدیر ارشد حسابرسی ممکن است کنترل‌های اضافی را برای حفاظت بیشتر از اعتبار واحد حسابرسی داخلی و کارکنان آن در نظر بگیرد.
حفاظت از دارایی‌ها و مدیریت دسترسی	مدیران ارشد حسابرسی مسئول فضای فیزیکی که واحد حسابرسی داخلی در آن قرار دارد و امکاناتی که توسط آن استفاده می‌شود، خواهند بود. این مسئولیت شامل، اما نه محدود به، بازبینی دسترسی به فضاهای کاری فیزیکی، رایانه‌ها، سیستم مدیریت حسابرسی، فضاهای همکاری آنلاین (مانند SharePoint یا Google Drive) یا اطلاعات غیرمرتبط با حسابرسی مانند جزئیات کارکنان، حقوق و مزایا و غیره است.
بهداشت و ایمنی	ممکن است چندین کنترل مرتبط با بهداشت و ایمنی به سایر بخش‌های سازمان منتقل شود، اما واحد حسابرسی داخلی از این الزامات مستثنی نیست. آموزش و انتصاب مسئولان کمک‌های اولیه و آتش‌نشانی، بازبینی محیط کار و اطلاع‌رسانی دوره‌ای تعهدات بهداشت و ایمنی، کنترل‌های رایجی برای رسیدگی به این ریسک‌ها هستند. علاوه بر این، ممکن است ملاحظات خاصی برای واحد حسابرسی داخلی وجود داشته باشد، مانند کار از خانه و سلامت کلی کارکنان از جمله تعادل کار و زندگی و پاسخ به نظرسنجی‌های سلامت سازمانی.
طرح‌های ابتکاری شرکتی	ممکن است طرح‌های ابتکاری در سطح سازمان وجود داشته باشد که از استراتژی سازمان نشأت می‌گیرند و برای واحد حسابرسی داخلی ریسک‌هایی ایجاد می‌کنند. این طرح‌ها ممکن است شامل ادغام‌ها و تملک‌ها، واگذاری‌ها، بازسازی هزینه‌ها و سایر استراتژی‌هایی باشد که بر ترکیب تیم حسابرسی داخلی، منابع و اجرای برنامه حسابرسی تأثیر می‌گذارد.

نقش استانداردهای IIA در مدیریت ریسک‌های حسابرسی داخلی

«استانداردهای جهانی حسابرسی داخلی» بیان می‌کنند که آنها «راهنمای عمل حرفه‌ای حسابرسی داخلی در سراسر جهان هستند و به‌عنوان مبنایی برای ارزیابی و ارتقای کیفیت واحد حسابرسی داخلی عمل می‌کنند». اگرچه به صراحت بیان نشده است، استانداردها راهکارهای متنوعی را برای مقابله با ریسک‌های بالقوه‌ای که واحدهای حسابرسی داخلی با آنها مواجه می‌شوند، ارائه می‌دهند. موارد زیر را در نظر بگیرید:

• ریسک عدم شناسایی یا مدیریت سوگیری‌های بالقوه هنگام انجام کار حسابرسی – که از طریق استاندارد ۲.۱ «بی‌طرفی فردی» به آن پرداخته می‌شود.
• ریسک خودارزیابی یا انجام مسئولیت‌های مدیریتی – که از طریق استاندارد ۲.۱ «بی‌طرفی فردی» به آن پرداخته می‌شود.
• ریسک از دست رفتن یا سوءاستفاده از داده‌ها توسط حسابرسان داخلی – که از طریق استاندارد ۵.۲ «حفاظت از اطلاعات» به آن پرداخته می‌شود.
• ریسک عدم همسویی فعالیت‌های حسابرسی داخلی با انتظارات ذی‌نفعان – که از طریق استاندارد ۸.۱ «تعامل با هیئت‌مدیره» و استاندارد ۱۱.۱ «ایجاد روابط و ارتباط با ذی‌نفعان» به آن پرداخته می‌شود.
• ریسک محدود شدن توانایی واحد حسابرسی داخلی برای اجرای مؤثر برنامه حسابرسی به دلیل کمبود بودجه، کارکنان یا منابع فناوری – که از طریق استانداردهای ۱۰.۱ «مدیریت منابع مالی»، ۱۰.۲ «مدیریت منابع انسانی» و ۱۰.۳ «منابع فناوری» به آن پرداخته می‌شود.
• ریسک عدم وجود شواهد کافی برای پشتیبانی از نتایج حسابرسی – که از طریق استاندارد ۱۲.۳ «نظارت و بهبود عملکرد کار حسابرسی» و استاندارد ۱۴.۱ «جمع‌آوری اطلاعات برای تحلیل‌ها و ارزیابی» به آن پرداخته می‌شود.

اگرچه این فهرست جامعی از ریسک‌های بالقوه‌ای که از طریق انطباق با استانداردها مدیریت می‌شوند نیست، اما ارزش انطباق با استانداردها را از منظر مدیریت ریسک برجسته می‌کند.

یک رویکرد سیستماتیک و منضبط برای مدیریت ریسک‌های حسابرسی داخلی

چارچوب‌های مدیریت ریسک معمولاً فعالیت‌های اصلی را به پنج مرحله زیر تقسیم می‌کنند:

این مراحل مشابه را می‌توان برای مدیریت ریسک‌های واحد حسابرسی داخلی به کار برد:

مرحله ۱ – شناسایی

اقدام	ملاحظات
شناسایی تمام ریسک‌های بالقوه‌ای که واحد حسابرسی داخلی ممکن است با آنها مواجه شود.	از هدف، تعریف و مأموریت واحد حسابرسی داخلی (منشور حسابرسی داخلی) شروع کنید. استراتژی و اهداف سازمان خود را بازبینی کنید و فرآیندهای حسابرسی داخلی را که به‌طور مستقیم یا غیرمستقیم به آن کمک می‌کنند، فهرست نمایید. این سؤال را بپرسید – «چه اموری باید به درستی پیش بروند»؟ این سؤال را بپرسید – «چه چیزی ممکن است اشتباه پیش برود»؟ ریسک‌های موجود در فرآیندهای شناسایی‌شده (برنامه‌ریزی حسابرسی، اجرای کار، گزارش‌دهی و غیره) را در کارگاه‌های داخلی، با تیم ریسک و انطباق، و با مراجعه به منابع صنعتی خارجی بررسی کنید. از روش‌شناسی ارزیابی ریسک سازمان (در صورت وجود) برای در نظر گرفتن تمام ریسک‌ها و دسته‌بندی ریسک‌های شناسایی‌شده استفاده کنید.
خروجی – فهرستی از فرآیندها و ریسک‌های مرتبط در یک دفتر ثبت ریسک.

مرحله ۲ – ارزیابی

اقدام	ملاحظات
ارزیابی و دسته‌بندی ریسک‌ها بر اساس احتمال و تأثیر برای تعیین اهمیت آنها.	از روش‌شناسی ارزیابی ریسک سازمان خود برای ارزیابی ریسک‌ها استفاده کنید. می‌توان از یک ماتریس پیامد (تأثیر) و احتمال (احتمال وقوع) برای ارزیابی عینی ریسک با استفاده از مقیاس‌هایی مانند تأثیر (از ناچیز تا شدید) و احتمال (از بعید تا بسیار محتمل) برای استخراج رتبه ریسک استفاده کرد. به‌عنوان بخشی از ارزیابی، آسیب‌پذیری فرآیندها در برابر شکست و عدم دستیابی به اهدافشان را در نظر بگیرید. برخی عواملی که می‌توانید در نظر بگیرید: اهمیت استراتژیک اهمیت نظارتی پیچیدگی فرآیند و سطح اتوماسیون توانایی و ظرفیت افراد درگیر فراوانی اجرای فرآیند تاب‌آوری و پایداری مسائل یا نگرانی‌های گذشته مانند تقلب، زیان عملیاتی، خطاها و حذفیات، یافته‌های نظارتی و حسابرسی خارجی.
خروجی – تمام ریسک‌های موجود در دفتر ثبت، دارای رتبه ریسک به همراه دلایل پشتیبان هستند.

مرحله ۳ – اولویت‌بندی

اقدام	ملاحظات
رتبه‌بندی ریسک‌ها بر اساس اهمیت آنها، به‌طوری که ریسکی که چالش کمی برای واحد حسابرسی داخلی ایجاد می‌کند، اولویت پایینی داشته باشد.	پس از نهایی شدن فهرست، حوزه‌هایی را که نیاز به توجه دارند، اولویت‌بندی کنید. درک خود از ریسک‌ها را با متخصصان موضوعی یا واحدهای اطمینان‌بخش خط دوم (دفاعی) بیازمایید.
خروجی – شفافیت در مورد اینکه کدام ریسک‌ها باید مورد رسیدگی قرار گیرند (برای مثال، تمام ریسک‌های با رتبه «متوسط» و بالاتر).

مرحله ۴ – مدیریت

اقدام	ملاحظات
پاسخ به ریسک از طریق پذیرش، اجتناب، کاهش یا اشتراک‌گذاری آن.	برای پذیرش ریسک‌های بی‌اهمیت، آماده باشید. کنترل‌ها را برای مدیریت ریسک‌ها شناسایی و توسعه دهید یا استراتژی‌های جایگزین مانند پذیرش، اجتناب یا اشتراک‌گذاری ریسک‌ها را در نظر بگیرید. کنترل‌ها را می‌توان به روشی مشابه با نحوه تدوین توصیه‌ها در طول یک کار حسابرسی داخلی توصیف کرد: چه کسی مسئول اجرای کنترل است (ظرفیت/توانایی)؟ کنترل در چه زمانی باید اجرا شود (پیشگیرانه/کشفی)؟ بهترین نوع کنترل چیست (بازبینی دستی/گردش کار خودکار)؟ بهترین مدرک برای اثبات اجرای کنترل چیست (مانند امضای چک‌لیست)؟ کنترل چگونه ریسک را مدیریت می‌کند؟ برای مثال: مدیر ارشد حسابرسی، پرونده حسابرسی را در سیستم مدیریت حسابرسی قبل از صدور گزارش نهایی، بررسی و تأیید می‌کند تا اطمینان یابد که شواهد برای پشتیبانی از نتایج، کافی و مناسب است.
خروجی – تمام ریسک‌های مهم و کنترل‌های کاهنده آنها شناسایی شده‌اند. در مواردی که کنترل‌ها وجود ندارند یا ناکارآمد هستند، برنامه‌های اقدام مشخص، قابل اندازه‌گیری، قابل دستیابی، مرتبط و زمان‌بندی‌شده (SMART) برای رسیدگی به ریسک‌های مهم وجود دارد.

مرحله ۵ – نظارت

اقدام	ملاحظات
نظارت مستمر بر عملکرد کنترل‌ها و محیط عملیاتی برای شناسایی ریسک‌های جدید بالقوه.	نظارت مستمر، کلید مدیریت ریسک مؤثر است، زیرا سازمان‌ها و محیط آنها پویا هستند و ریسک‌ها تغییر می‌کنند. واحد حسابرسی داخلی می‌تواند از استراتژی‌های مختلفی برای نظارت مؤثر بر ریسک استفاده کند. روش‌های مفید عبارت‌اند از: توسعه و نظارت بر شاخص‌های کلیدی ریسک (KRI) برای ارزیابی اینکه آیا ریسک‌ها در طول زمان در محدوده اشتهای ریسک باقی می‌مانند یا خیر. خودارزیابی دوره‌ای کنترل‌های موجود (اثربخشی طراحی و عملیاتی) برای تأیید اینکه آیا کنترل‌ها همچنان به‌طور مؤثر ریسک‌ها را مدیریت می‌کنند. بازبینی دوره‌ای دفتر ثبت ریسک برای تأیید اینکه آیا تحولات اخیر مانند تغییر مقررات، مسائل جدید ریسک، رویدادها یا حوادث، و بازبینی‌های خارجی، نیاز به افزودن یا بازنگری ریسک‌های موجود دارند. گزارش‌دهی دوره‌ای اقدامات باز در برابر زمان‌بندی‌های توافق‌شده، هم به‌صورت داخلی و هم به کمیته حسابرسی و خط دوم (دفاعی)، به‌ویژه در جایی که یک سازوکار تجمیع و گزارش‌دهی ریسک وجود دارد.
خروجی – پایش مستمر چشم‌انداز متغیر ریسک و بهبود مستمر محیط کنترلی واحد حسابرسی داخلی.

پیوست ۱ نشان می‌دهد که چگونه ریسک‌ها و کنترل‌های مهم در چرخه عمر حسابرسی داخلی می‌توانند در طول زمان مدیریت و نظارت شوند.

عوامل حیاتی موفقیت

برخی عواملی که به حداکثر رساندن ارزش حاصل از مدیریت ریسک‌های واحد حسابرسی داخلی کمک می‌کنند، عبارت‌اند از:

• مانند هر فرآیندی، «جو حاکم در رأس سازمان» (Tone at the Top) که توسط مدیر ارشد حسابرسی ایجاد می‌شود، حیاتی است. مدیران ارشد حسابرسی باید ارزش مدیریت فعال ریسک‌ها را ترویج داده و در جلسات همفکری شرکت کنند.
• مشارکت کل تیم حسابرسی داخلی در فرآیند همفکری و کسب نظر آنها هنگام تدوین دفتر ثبت ریسک. مشارکت تیم به ایجاد آگاهی و حمایت از مدیریت ریسک مؤثر کمک می‌کند.
• محدود کردن تعداد ریسک‌های موجود در دفتر ثبت ریسک به تمرکز و تناسب تلاش‌ها کمک می‌کند. تعداد ریسک‌ها بر اساس اندازه، مدل عملیاتی و ماهیت فعالیت‌های واحد حسابرسی داخلی متفاوت خواهد بود.
• تخصیص منابع کافی به واحد مدیریت ریسک با کارکنان توانمند.
• آگاه کردن صاحبان کنترل از مسئولیت‌هایشان و نتیجه مورد انتظار از اجرای مؤثر یک کنترل. درخواست تأییدیه سالانه اثربخشی کنترل را نیز در نظر بگیرید.
• جدی گرفتن مسائل کنترلی برای بهبود مستمر و یادگیری از تجربیات گذشته.
• ارزیابی هزینه در مقابل فایده پاسخ‌های ریسک. مگر در موارد کاملاً ضروری، از کنترل بیش از حد ریسک‌ها و تحمیل رویه‌ها یا فرآیندهای اضافی به تیم حسابرسی داخلی خودداری کنید.

ملاحظات برای واحدهای حسابرسی داخلی کوچک‌تر

واحدهای حسابرسی داخلی کوچک‌تر نیز باید برای مدیریت ریسک‌های خود اقدام کنند. ریسک‌های خاص این واحدها عبارت‌اند از:

• بودجه‌های محدود که بر توانایی آنها برای کسب مهارت‌های تخصصی، آموزش، استقرار تحلیل داده‌ها و ارائه پوشش گسترده از کل ریسک‌های سازمان یا جهان حسابرسی تأثیر می‌گذارد.
• مشکلات در استخدام و حفظ کارکنان، زیرا فرصت‌های رشد ممکن است محدود باشد و واحدهای حسابرسی داخلی بزرگ‌تر ممکن است حقوق و مزایای بهتری ارائه دهند.
• چالش‌های مربوط به نظارت بر کار حسابرسی، به‌ویژه برای واحدهایی با یک حسابرس داخلی، و حفظ یک برنامه تضمین و بهبود کیفیت مؤثر (به‌ویژه، دریافت ارزیابی کیفیت خارجی).

از منظر مدیریت ریسک، واحدهای حسابرسی داخلی کوچک‌تر لزوماً به یک ماتریس ریسک و کنترل اختصاصی نیاز ندارند، اما در صورت استفاده، می‌توان آن را با شرایط آن‌ها تطبیق داد (برای مثال، شامل تعداد کمتری ریسک باشد و با تناوب کمتری به‌روزرسانی شود).

مدیران ارشد حسابرسی در واحدهای کوچک‌تر باید از ریسک‌های بالقوه‌ای که واحد با آن مواجه است، آگاه باشند. این آگاهی می‌تواند از طریق گفتگو با ذی‌نفعان کلیدی یا سایر ارائه‌دهندگان اطمینان (مانند حسابرس مستقل) حاصل شود تا بازخوردی در مورد نحوه نگرش به واحد حسابرسی داخلی، نقاط قوت آن و حوزه‌های بالقوه برای بهبود دریافت گردد. ارتباط با همتایان در حوزه حسابرسی داخلی و آگاهی از چالش‌های آنها نیز می‌تواند به آمادگی برای یک ریسک خاص کمک کند.

در واحدهای حسابرسی داخلی کوچک‌تر، بسیاری از ریسک‌های پیش‌تر شرح داده شده، ممکن است مدیریت کافی نداشته باشند. بسیار مهم است که هرگونه محدودیتی که واحد حسابرسی داخلی با آن روبرو است، به صورت دوره‌ای به کمیته حسابرسی اطلاع داده شود. برای مثال، اگر امنیت سایبری یک ریسک عمده برای سازمان باشد و واحد حسابرسی داخلی مهارت‌های لازم برای حسابرسی آن را نداشته باشد، یا بودجه کافی برای استخدام شخص ثالث را در اختیار نداشته باشد، این موضوع باید به وضوح به کمیته حسابرسی ابلاغ و مستند گردد.

تأثیر ریسک‌های مدیریت‌نشده در حسابرسی داخلی

اعتبار یک واحد حسابرسی داخلی برای اثربخشی آن ضروری است و این اعتبار می‌تواند در نتیجه ریسک‌های مدیریت‌نشده، به‌شدت آسیب ببیند. ریسک‌های مدیریت‌نشده می‌توانند منجر به افشای اطلاعات توسط کارکنان حسابرسی داخلی، غفلت از شناسایی مسائل عمده، نتایج منفی از یک ارزیابی کیفیت خارجی یا بازبینی نهاد نظارتی، و سایر رویدادهای نامطلوب شوند. تأثیر این موارد ممکن است از از دست دادن اعتبار و اعتماد به واحد حسابرسی داخلی و انزوای آن، تا برکناری مدیر ارشد حسابرسی متغیر باشد.

در شرایطی که یک واحد حسابرسی داخلی رویداد نامطلوب بزرگی را تجربه می‌کند، مدیر ارشد حسابرسی باید یک تحلیل علل ریشه‌ای انجام دهد تا بفهمد «چرا این اتفاق افتاد یا چرا ما متوجه آن نشدیم؟» و سپس برنامه‌ای برای احیای اعتبار واحد تدوین کند.

جمع‌بندی

خلاصه

واحد حسابرسی داخلی، مانند هر بخش دیگری از کسب‌وکار، برای دستیابی به اهداف خود با ریسک‌هایی مواجه است. مهم است که این ریسک‌ها به شیوه‌ای عملی، پایدار و با مشارکت کل تیم حسابرسی داخلی، به طور فعال شناسایی، ارزیابی و مدیریت شوند.

نتیجه‌گیری

واحد حسابرسی داخلی از ریسک‌ها مصون نیست. همانطور که استانداردها الزامی می‌دانند، حسابرسان داخلی ارزیابی می‌کنند که آیا سازمان و واحدهای کلیدی کسب‌وکار، رویه‌های مدیریت ریسک مستحکمی دارند یا خیر. واحدهای حسابرسی داخلی باید همین ذهنیت ارزیابی را در مورد ریسک‌های خود نیز به کار گیرند.

اگرچه هیچ راهی برای مدیریت رسمی تمام ریسک‌هایی که یک واحد حسابرسی داخلی با آن‌ها مواجه می‌شود وجود ندارد، اما باید گام‌های عملی برای شناسایی، ارزیابی و پاسخ فعالانه به ریسک برداشته شود و هرگونه محدودیت یا ریسک‌های مدیریت‌نشده قابل توجه، به وضوح به کمیته حسابرسی ابلاغ گردد. رویکرد انجام این کار ممکن است ساختاریافته و در قالب یک ماتریس ریسک و کنترل (RACM) یا دفتر ثبت ریسک باشد، یا ممکن است کمتر رسمی باشد. صرف‌نظر از روش، مدیر ارشد حسابرسی و تیم حسابرسی داخلی باید بر ریسک‌هایی که مانع از دستیابی واحد به مأموریت، اهداف استراتژیک و برنامه عملیاتی‌اش می‌شوند، تسلط کامل داشته باشند.

ساختن اعتبار و برند یک واحد حسابرسی داخلی سال‌ها طول می‌کشد، اما این اعتبار می‌تواند با یک شکست بزرگ و علنی از بین برود. مدیران ارشد حسابرسی به دلیل مسائل عملکردی، عدم انطباق، ارتباط ضعیف با مدیریت، و به خاطر شکست‌های کنترلی سازمانی که باید توسط واحد حسابرسی داخلی شناسایی می‌شد، از کار برکنار شده‌اند. مدیریت فعالانه ریسک‌های واحد حسابرسی داخلی و گنجاندن اقدامات اصلاحی در متدولوژی‌ها و فرآیندهای روزمره، کمک شایانی به حفاظت از واحد و افزایش اثربخشی آن خواهد کرد.

پیوست ۱ – ماتریس نمونه ریسک و کنترل (گزیده)

جدول زیر گزیده‌ای از یک ماتریس نمونه ریسک و کنترل (RACM) فرآیندمحور را نشان می‌دهد که به ریسک‌های کلیدی در یک واحد حسابرسی داخلی، کنترل‌های کلیدی متداول، و روش‌های پایش آنها می‌پردازد.

فرآیند	ریسک‌های کلیدی	کنترل	نوع کنترل	روش‌های پایش
ف۱. برنامه حسابرسی داخلی	ر۱. برنامه حسابرسی داخلی مبتنی بر ریسک نباشد و با استراتژی، اهداف، ریسک‌ها و الزامات نظارتی سازمان همسو نباشد. این امر می‌تواند به فعالیت‌های اطمینان‌بخش فاقد ارزش افزوده یا توبیخ نظارتی منجر شود که بر اعتبار سازمان تأثیر می‌گذارد.	ک۱. مدیر ارشد حسابرسی و کمیته حسابرسی، برنامه حسابرسی داخلی و تغییرات بعدی آن را بازبینی و تصویب می‌کنند تا تأیید نمایند که: با استراتژی، اهداف و ریسک‌های کلیدی سازمان همسو است. الزامات نظارتی سازمان در خصوص انجام حسابرسی‌های دوره‌ای (مانند استانداردهای APRA یا الزامات ایالتی/منطقه‌ای) را پوشش می‌دهد. منابع انسانی، فناورانه و مالی مورد نیاز برای اجرای برنامه را به اندازه کافی در نظر گرفته است. توسط مستندات مرتبط، قابل اتکا و کافی پشتیبانی می‌شود که قضاوت‌های کلیدی و منطق مبتنی بر ریسک را تشریح می‌کند.	پیشگیرانه	پ۱. خودارزیابی دوره‌ای: بازبینی مستقل مستندات برنامه‌ریزی حسابرسی داخلی برای تأیید مربوط بودن، قابل اتکا بودن و کافی بودنِ: رویه‌های انجام شده برای تدوین برنامه حسابرسی. مفروضات زیربنایی و منطق کلیدی پشتیبان برنامه حسابرسی. پ۲. شاخص کلیدی ریسک: گزارش‌دهی دوره‌ای به کمیته حسابرسی در مورد پیشرفت برنامه در مقایسه با اهداف. در صورت عدم تحقق اهداف، تحلیل دلایل و اقدامات اصلاحی به کمیته گزارش می‌شود.
ف۲. اجرای فرآیند حسابرسی	ر۲. نتایج حاصل از فعالیت‌های واحد حسابرسی داخلی فاقد پشتوانه کافی از اطلاعات مرتبط، قابل اتکا و تحلیل‌شده باشد. این امر می‌تواند به ارائه اطمینان نادرست یا استنتاج اشتباه از اثربخشی محیط کنترلی و در نتیجه از دست رفتن اعتماد به واحد حسابرسی داخلی منجر شود.	ک۲. قبل از صدور گزارش حسابرسی، مدیران حسابرسی (یا مدیر ارشد حسابرسی در سازمان‌های کوچک‌تر) مستندات حسابرسی مانند ماتریس ریسک و کنترل (RACM)، برنامه کاری و کاربرگ‌های آزمون را برای تأیید موارد زیر بازبینی و تصویب می‌کنند: متدولوژی حسابرسی به درستی به کار گرفته شده است. مستندات، اهداف حسابرسی و نتایج به دست آمده را پشتیبانی می‌کنند.	پیشگیرانه	پ۳. خودارزیابی دوره‌ای: بازبینی مستقل مستندات حسابرسی برای بررسی مربوط بودن، قابل اتکا بودن و کافی بودن رویه‌های حسابرسی انجام‌شده برای رسیدن به نتایج مندرج در گزارش حسابرسی داخلی.
ف۳. استخدام و برون‌سپاری مشترک	ر۳. کارکنان واحد حسابرسی داخلی یا ارائه‌دهندگان خدمات، مستقل نباشند یا به نظر نرسد که مستقل هستند. این امر می‌تواند بر یکپارچگی، قابلیت اتکا و اعتبار گزارش‌های حسابرسی داخلی تأثیر منفی بگذارد.	ک۳. قبل از به‌کارگیری یک منبع، مدیر ارشد حسابرسی (یا نماینده وی) یک ارزیابی تضاد منافع انجام می‌دهد تا تأیید کند که هیچ‌گونه تضاد منافع، چه واقعی و چه ظاهری، وجود ندارد (مانند سابقه کاری منبع با مدیریت یا رابطه خویشاوندی با افراد کلیدی). اگر تضاد منافع شناسایی و منبع پذیرفته شود، تدابیر حفاظتی کافی و مناسب برای حفظ استقلال اجرا می‌شود (مانند منع موقت منبع از کار بر روی حسابرسی‌هایی که قبلاً مسئولیت آن را بر عهده داشته است). تمام این تضادها به همراه تصمیمات و تدابیر حفاظتی، در دفتر ثبت تضاد منافع ثبت می‌شوند.	پیشگیرانه	پ۴. خودارزیابی دوره‌ای: بازبینی مستقل تضادهای ثبت‌شده در دفتر ثبت تضاد منافع برای تأیید اینکه تضادهای شناسایی‌شده به اندازه کافی و به طور مناسب ارزیابی و مدیریت شده‌اند.

کتاب‌شناسی و مراجع

کتاب‌شناسی

• شورای راهبری شرکتی ASX، ۲۰۱۹. اصول و توصیه‌های راهبری شرکتی، ویرایش چهارم. [آنلاین] موجود در: https://www.asx.com.au/documents/asx-compliance/cgc-principles-and-recommendations-fourth-edn.pdf
• سازمان مقررات احتیاطی استرالیا، ۲۰۱۹. استاندارد احتیاطی CPS 234 امنیت اطلاعات. [آنلاین] موجود در: https://www.apra.gov.au/sites/default/files/cps_234_july_2019_for_public_release.pdf
• سازمان مقررات احتیاطی استرالیا، ۲۰۱۹. استاندارد احتیاطی CPS 510 راهبری. [آنلاین] موجود در: https://www.apra.gov.au/sites/default/files/draft_prudential_standard_cps_510_governance_march_2019_v1_0.pdf
• وزارت دارایی (استرالیا)، ۲۰۱۴. سیاست مدیریت ریسک مشترک‌المنافع. [آنلاین] موجود در: http://www.finance.gov.au/comcover/risk-management/
• هیئت استانداردهای بین‌المللی حسابرسی داخلی، ۲۰۲۴. استانداردهای جهانی حسابرسی داخلی. [آنلاین] موجود در: https://www.theiia.org/globalassets/site/standards/globalinternalauditstandards_2024january9_printable.pdf
• سازمان بین‌المللی استانداردسازی، ۲۰۱۸. ISO 31000:2018 مدیریت ریسک – دستورالعمل‌ها، ژنو: سازمان بین‌المللی استانداردسازی.
• دولت نیو ساوت ولز، ۲۰۲۰. سیاست حسابرسی داخلی و مدیریت ریسک برای بخش دولتی عمومی. [آنلاین] موجود در: https://www.treasury.nsw.gov.au/documents/tpp20-08-internal-audit-and-risk-management-policy-general-government-sector
• انجمن حسابرسان داخلی – استرالیا، ۲۰۲۳. برگه اطلاعات: حوزه‌های حسابرسی نادیده گرفته شده. [آنلاین] موجود در: https://iia.org.au/technical-resources/fact-sheet/iia-australia-factsheet-neglected-audit-areas

این گزارش رسمی همچنین از سند منسوخ‌شده زیر بهره می‌برد:

• انجمن حسابرسان داخلی، ۲۰۰۹. رهنمود عملی ۲۱۲۰-۲، مدیریت ریسک فعالیت حسابرسی داخلی.

هدف گزارش‌های رسمی

گزارش رسمی (White Paper) سندی است که توسط کارشناسان باتجربه تألیف و داوری همتا می‌شود تا راهنمایی در مورد یک موضوع خاص مرتبط با راهبری، مدیریت ریسک یا کنترل ارائه دهد. این گزارش به دنبال آگاه‌سازی خوانندگان در مورد یک مسئله و ارائه ایده‌ها و گزینه‌هایی برای نحوه مدیریت آن است. این گزارش لزوماً بیانگر موضع یا فلسفه انجمن جهانی حسابرسان داخلی و انجمن حسابرسان داخلی–استرالیا نیست.

زندگی‌نامه نویسندگان

این گزارش رسمی توسط افراد زیر نوشته شده است:

• فرح جورج آراج PFIIA, CIA, CRMA, QIAL, CPA, CFE
  جورج یک رهبر باتجربه در حسابرسی داخلی است که به طور فعال ریسک‌های حسابرسی داخلی را در نقش‌های مختلف مدیر ارشد حسابرسی مدیریت کرده است. او به عنوان مشاور در شعب استرالیای غربی و نیو ساوت ولز انجمن حسابرسان داخلی-استرالیا خدمت کرده است. جورج پیش از این عضو هیئت استانداردهای بین‌المللی حسابرسی داخلی انجمن جهانی حسابرسان داخلی بوده است.
• عمیر دانکا CIA, CRMA, CA, FCCA, CPA, CISA
  عمیر دانکا یک حسابرس داخلی کارکشته در حوزه خدمات مالی با بیش از ۱۵ سال تجربه است. او در ارزیابی و بهبود کنترل‌های داخلی، فرآیندهای مدیریت ریسک و چارچوب‌های انطباق در مؤسسات مالی پیشرو، سرآمد بوده است. تخصص عمیر حوزه‌های بانکداری، بیمه و مدیریت سرمایه‌گذاری را در بر می‌گیرد.

این گزارش رسمی توسط افراد زیر ویرایش شده است:

• مایکل پارکینسون PFIIA, CIA, CRMA, CISA, CRISC
• اندرو کاکس MBA, MEC, GradDipSc, GradCertPA, DipBusAdmin, DipPubAdmin, AssDipAcctg, CertSQM, PFIIA, CIA, CISA, CFE, CGAP, CSQA, MACS Snr, MRMIA

درباره انجمن حسابرسان داخلی–استرالیا

انجمن حسابرسان داخلی (IIA) انجمن حرفه‌ای جهانی برای حسابرسان داخلی است که دفتر مرکزی جهانی آن در ایالات متحده آمریکا قرار دارد و دارای انجمن‌ها و شعب وابسته در سراسر جهان، از جمله استرالیا، است.

انجمن حسابرسان داخلی به عنوان مدافع اصلی حرفه حسابرسی داخلی، مرجع استانداردگذار بین‌المللی این حرفه، تنها ارائه‌دهنده گواهینامه‌های حسابرسی داخلی پذیرفته‌شده در سطح جهان، و پژوهشگر و آموزش‌دهنده اصلی فعالیت می‌کند.

انجمن حسابرسان داخلی با «استانداردهای جهانی حسابرسی داخلی» و راهنمایی‌های حرفه‌ای مرتبط، معیار یکپارچگی و حرفه‌ای‌گری حسابرسی داخلی را در سراسر جهان تعیین می‌کند.

انجمن حسابرسان داخلی–استرالیا تضمین می‌کند که اعضای آن و کل این حرفه به خوبی نزد تصمیم‌گیرندگان و افراد تأثیرگذار نمایندگی می‌شوند و به طور گسترده در تعدادی از کمیته‌های جهانی و گروه‌های کاری برجسته در استرالیا و در سطح بین‌المللی حضور دارد.

انجمن حسابرسان داخلی در سال ۱۹۴۱ تأسیس شد و اکنون بیش از ۲۰۰,۰۰۰ عضو از ۱۹۰ کشور با صدها شعبه محلی دارد. به طور کلی، اعضا در حوزه‌های حسابرسی داخلی، مدیریت ریسک، راهبری، کنترل داخلی، حسابرسی فناوری اطلاعات، آموزش و امنیت فعالیت می‌کنند.

حق نشر

این گزارش رسمی حاوی مطالب متنوعی است که مشمول حق نشر هستند. برخی از این‌ها مالکیت معنوی نویسنده، برخی متعلق به انجمن جهانی حسابرسان داخلی یا انجمن حسابرسان داخلی–استرالیا، و برخی دیگر متعلق به اشخاص ثالث است که مشخص شده‌اند. به جز موادی که به طور واضح در مالکیت عمومی هستند، فقط مطالبی که متعلق به انجمن جهانی حسابرسان داخلی و انجمن حسابرسان داخلی–استرالیا است، می‌توانند کپی شوند، به شرطی که محتوای متنی و گرافیکی تغییر نکند و به منبع اشاره شود. انجمن حسابرسان داخلی–استرالیا این حق را برای خود محفوظ می‌دارد که در هر زمان این اجازه را لغو کند. هیچ اجازه‌ای برای استفاده تجاری یا فروش این مطالب داده نمی‌شود.

سلب مسئولیت

در حالی که انجمن حسابرسان داخلی–استرالیا تلاش کرده است تا اطمینان حاصل کند که اطلاعات موجود در این گزارش رسمی تا حد امکان دقیق است، این اطلاعات فقط برای استفاده شخصی و آموزشی است و با حسن نیت و بدون هیچ‌گونه ضمانت صریح یا ضمنی ارائه می‌شود. هیچ تضمینی در مورد دقت یا به‌روز بودن اطلاعات موجود در این گزارش رسمی داده نمی‌شود. انجمن حسابرسان داخلی–استرالیا هیچ مسئولیتی در قبال هرگونه زیان یا خسارت ناشی از استفاده از اطلاعات موجود در این گزارش رسمی را نمی‌پذیرد.