Audyt wewnętrzny w firmie prywatnej: jak go przeprowadzić?
Audyt wewnętrzny to niezależne i obiektywne sprawdzenie, czy firma działa zgodnie z własnymi procedurami, przepisami i celami, zakończone raportem z ustaleniami i działaniami naprawczymi. W firmie prywatnej żadna ustawa go nie nakazuje, więc to firma decyduje o zakresie. Przeprowadza się go w sześciu krokach: plan, przygotowanie, badanie, ustalenia, raport, weryfikacja.
Jak przeprowadzić audyt wewnętrzny krok po kroku?
Audyt ma sześć etapów i kończy się dopiero wtedy, gdy ktoś sprawdzi, że działania naprawcze zadziałały. Raport w szufladzie to nie audyt.
- 1
Zaplanuj
Wybierz obszary z rejestru ryzyk o najwyższym wyniku. Ustal zakres, kryteria (procedura, przepis, umowa, norma), audytora i termin.
- 2
Przygotuj się
Przeczytaj procedury obszaru, wyniki poprzedniego audytu i listę incydentów. Przygotuj listę pytań i próbę dokumentów do sprawdzenia.
- 3
Zbadaj
Rozmawiaj z wykonawcami, obserwuj pracę, sprawdzaj dokumenty. Każde ustalenie opieraj na dowodzie: numerze dokumentu, dacie, zrzucie ekranu.
- 4
Sformułuj ustalenia
Porównaj stan faktyczny z kryterium. Nazwij niezgodności dużymi albo małymi i wskaż przyczynę, nie winnego.
- 5
Napisz raport
Zakres, ustalenia, dowody, ocena i uzgodnione działania naprawcze z osobą i terminem. Omów go z kierownikiem obszaru przed wysłaniem zarządowi.
- 6
Sprawdź skutki
Po terminie działań naprawczych wróć i sprawdź, czy problem zniknął. Dopiero wtedy zamknij audyt.
Co to jest audyt wewnętrzny i skąd wziąć jego definicję?
Najbliższą ustawową definicję ma sektor publiczny: audyt wewnętrzny to działalność niezależna i obiektywna, która wspiera kierownika w realizacji celów przez systematyczną ocenę kontroli zarządczej oraz czynności doradcze (art. 272 ustawy o finansach publicznych). Firma prywatna może ją przyjąć jako punkt odniesienia.
Dla audytorów w firmach prywatnych punktem odniesienia są też międzynarodowe standardy The Institute of Internal Auditors, w wydaniu z 2024 r. (Global Internal Audit Standards). W małej firmie wystarczy prostsza zasada: audytor nie sprawdza własnej pracy.
Audyt wewnętrzny a kontrola wewnętrzna: czym się różnią?
Kontrola wewnętrzna to codzienne mechanizmy wbudowane w proces, na przykład akceptacja faktury przez kierownika. Audyt sprawdza z zewnątrz procesu, czy te mechanizmy działają.
| Cecha | Kontrola wewnętrzna | Audyt wewnętrzny |
|---|---|---|
| Kto wykonuje | Pracownicy i kierownicy w ramach obowiązków | Osoba niezależna od obszaru |
| Kiedy | Stale, przy każdej operacji | Okresowo, według planu |
| Pytanie | Czy ta operacja jest poprawna? | Czy system kontroli działa i ma sens? |
| Wynik | Zatwierdzona lub wstrzymana operacja | Raport z ustaleniami i rekomendacjami |
| Przykład | Dwie osoby zatwierdzają przelew powyżej progu | Sprawdzenie 30 przelewów z kwartału pod kątem progu |
Audyt wewnętrzny a zarządzanie ryzykiem: jak się łączą?
Rejestr ryzyk mówi, gdzie audytować, a audyt mówi, czy zabezpieczenia z rejestru działają. Ustalenie z audytu obniża albo podnosi ocenę ryzyka po zabezpieczeniach.
Jak ułożyć roczny plan audytów?
Roczny plan audytów układa się od ryzyk o najwyższym wyniku i rozkłada na kwartały tak, żeby jeden audytor nie miał dwóch audytów naraz. W małej firmie realny jest jeden audyt na kwartał.
| Kwartał | Obszar | Dlaczego teraz | Audytor |
|---|---|---|---|
| I | Zakupy i akceptacja kosztów | Ryzyko „zakup bez akceptacji” z wynikiem 12 | Osoba z finansów |
| II | Nadawanie i odbieranie dostępów | Dwa odejścia z firmy w ostatnim półroczu | Osoba ze sprzedaży |
| III | Reklamacje | Wzrost liczby zgłoszeń po zmianie dostawcy | Osoba z finansów |
| IV | Dokumentacja pracownicza i terminy BHP | Przygotowanie do możliwej kontroli | Kierownik operacyjny |
Plan jest przykładem dla fikcyjnej firmy firma-przyklad.pl. Zatwierdza go zarząd, a zmiana w ciągu roku wymaga krótkiego uzasadnienia, na przykład nowego ryzyka albo incydentu.
Jak klasyfikować ustalenia z audytu?
Ustalenia dzieli się zwykle na trzy klasy: niezgodność dużą, niezgodność małą i obserwację. Podział pochodzi z praktyki audytów systemów zarządzania i pomaga ustalić, co naprawić najpierw.
| Klasa | Kiedy | Co dalej |
|---|---|---|
| Niezgodność duża | Zabezpieczenie nie działa albo go nie ma, a skutek może być poważny | Działanie naprawcze z krótkim terminem, informacja dla zarządu |
| Niezgodność mała | Pojedyncze odstępstwo od procedury, bez poważnego skutku | Działanie naprawcze z osobą i terminem |
| Obserwacja | Zgodne z kryterium, ale da się zrobić lepiej | Zapis w raporcie, decyzja kierownika obszaru |
Jak wygląda przykład audytu wewnętrznego?
Fikcyjna firma-przyklad.pl audytuje zakupy, bo w rejestrze ryzyk „zakup bez akceptacji” ma wynik 12. Audytor z działu finansów sprawdza 40 faktur kosztowych z kwartału.
- Kryterium: procedura zakupów, akceptacja kierownika do 5 tys. zł netto, zarządu powyżej.
- Ustalenie 1 (niezgodność mała): 3 faktury bez potwierdzenia wykonania usługi.
- Ustalenie 2 (niezgodność duża): 2 zakupy powyżej 5 tys. zł zaakceptowane tylko przez kierownika.
- Przyczyna: próg nie był wpisany w narzędziu, tylko w procedurze.
- Działanie: dopisanie progu do procedury obiegu dokumentów i listy osób uprawnionych, termin 30 dni, właściciel kierownik finansów.
Jak planować i rozliczać audyty w EXCORE?
Moduł Audyty i kontrole prowadzi obok siebie dwa rejestry: kontrole urzędów i audyty, które firma planuje sama albo zamawia u jednostki certyfikującej. Audyt ma audytora wewnętrznego lub jednostkę zewnętrzną, normę albo własną procedurę, zakres, dział, ocenę oraz liczbę niezgodności dużych i małych.
- Lista norm do wyboru obejmuje między innymi ISO 9001, 14001, 45001, 27001 oraz „Własna procedura”.
- Puste pole liczby niezgodności znaczy „nie wiem”, a zero „sprawdzono, nie było”.
- Działania naprawcze prowadzisz jako zadania, a ryzyka, których dotyczył audyt, poprawiasz w module Ryzyka.
- Dostęp do modułu wynika z roli: administrator wskazuje, kto widzi audyty, kto je edytuje, a kto nimi zarządza.
Wzór do pobrania
Checklista audytu wewnętrznego
CHECKLISTA AUDYTU WEWNĘTRZNEGO
Firma: [nazwa firmy]
Numer audytu: [np. AW/2026/03]
Obszar audytowany: [dział lub proces]
Kryteria: [procedura, przepis, umowa, norma]
Audytor: [imię i nazwisko], niezależny od obszaru: [tak/nie]
Termin: od [data] do [data]
Kierownik obszaru: [imię i nazwisko]
1. Planowanie
- [ ] Obszar wybrany na podstawie rejestru ryzyk, ryzyko nr [numer], wynik [wynik].
- [ ] Zakres i kryteria uzgodnione z zarządem.
- [ ] Kierownik obszaru poinformowany o terminie i zakresie dnia [data].
- [ ] Wyniki poprzedniego audytu i otwarte działania naprawcze przejrzane.
2. Przygotowanie
- [ ] Procedury i procesy obszaru przeczytane: [lista].
- [ ] Lista incydentów i reklamacji z okresu przejrzana.
- [ ] Próba dokumentów wybrana: [liczba] z [okres], metoda [losowo / największe kwoty].
- [ ] Lista pytań przygotowana.
3. Pytania kontrolne (dopasuj do obszaru)
- [ ] Czy procedura jest aktualna i ma właściciela?
- [ ] Czy osoby wykonujące znają procedurę i mają do niej dostęp?
- [ ] Czy każdy krok ma wykonawcę i jest wykonywany w terminie?
- [ ] Czy akceptacje są zgodne z progami i uprawnieniami?
- [ ] Czy dokumenty są kompletne i przechowywane we wskazanym miejscu?
- [ ] Czy uprawnienia w systemach odpowiadają rolom?
- [ ] Czy zabezpieczenia z rejestru ryzyk działają i były sprawdzane?
- [ ] Czy działania naprawcze z poprzedniego audytu zostały wykonane?
- [ ] Czy mierniki obszaru są mierzone i omawiane?
- [ ] [pytanie specyficzne dla obszaru]
4. Ustalenia
- Ustalenie [1]: [opis stanu faktycznego], kryterium [co powinno być], dowód [dokument, data], klasyfikacja [niezgodność duża / mała / obserwacja], przyczyna [przyczyna].
- Ustalenie [2]: [opis], kryterium [ ], dowód [ ], klasyfikacja [ ], przyczyna [ ].
5. Działania naprawcze
- Do ustalenia [1]: [działanie], odpowiada [osoba], termin [data].
- Do ustalenia [2]: [działanie], odpowiada [osoba], termin [data].
6. Ocena i raport
- [ ] Ocena ogólna: [pozytywna / z zastrzeżeniami / negatywna].
- [ ] Raport omówiony z kierownikiem obszaru dnia [data].
- [ ] Raport przekazany zarządowi dnia [data].
- [ ] Rejestr ryzyk zaktualizowany.
7. Weryfikacja skuteczności
- [ ] Działania naprawcze sprawdzone dnia [data].
- [ ] Wynik: [skuteczne / wymagają poprawy].
- [ ] Audyt zamknięty dnia [data].
Audytor: [podpis]
Kierownik obszaru: [podpis]
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Czy firma prywatna musi mieć audyt wewnętrzny?
Obowiązek z ustawy o finansach publicznych dotyczy sektora publicznego. W firmie prywatnej audyt wynika z decyzji zarządu, wymagań klienta albo systemu zarządzania, który firma certyfikuje.
Kto może być audytorem wewnętrznym w małej firmie?
Każdy pracownik spoza audytowanego obszaru, który zna kryteria i ma czas. Finanse mogą audytować sprzedaż, a sprzedaż zakupy. Nie powinien audytować własnej pracy.
Jak często przeprowadzać audyt wewnętrzny?
Obszary z wysokim ryzykiem raz w roku, pozostałe raz na dwa lub trzy lata. Plan na rok ustala się na podstawie rejestru ryzyk.
Czym audyt wewnętrzny różni się od zewnętrznego?
Audyt wewnętrzny zleca i odbiera sama firma, żeby poprawić własną pracę. Audyt zewnętrzny prowadzi podmiot spoza firmy, na przykład jednostka certyfikująca, klient albo biegły rewident, i kończy się oceną dla kogoś z zewnątrz.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację