k vyhlášce č. 123/2007 Sb.
Podrobnější vymezení požadavků na vnitřní audit

I. Obecné požadavky

1. Pro výkon vnitřního auditu povinná osoba má nebo získá takové kapacity, které jsou nezbytné pro plnění stanovených požadavků.

2. Osoba vykonávající vnitřní audit (dále jen „vnitřní auditor“) vykonává při plnění svých úkolů nezávislou, objektivní, ujišťovací a případně konzultační činnost, která

a) se zaměřuje na přidávání hodnoty a zdokonalování vnitřních procesů,

b) přináší systematický metodický přístup k hodnocení a zlepšování efektivnosti řízení rizik, kontrolních procesů a procesů správy a řízení společnosti.

3. Vnitřní auditoři poskytují své výstupy orgánům povinné osoby, příslušným zaměstnancům a výborům, pokud jsou zřízeny, včas a tyto výstupy jsou aktuální, spolehlivé a ucelené.

4. Při provádění své činnosti mají vnitřní auditoři zajištěn přístup ke všem relevantním dokumentům povinné osoby.

5. Osoba pověřená výkonem vnitřního auditu (§ 13) má možnost zúčastnit se zasedání všech poradních a rozhodovacích orgánů a výborů povinné osoby. V případech hodných zvláštního zřetele může být toto právo jednotlivě omezeno odůvodněným rozhodnutím představenstva povinné osoby.

6. Osoba pověřená výkonem vnitřního auditu je podřízena takovému organizačnímu stupni v povinné osobě, který umožní plnění funkcí vnitřního auditu.

7. Pokud se ve výjimečných případech podílí na poskytování ujištění o činnosti fyzická osoba, která tuto činnost vykonávala nebo na jejímž zavádění se podílela před méně než 12 měsíci, je tato skutečnost uvedena ve zprávě o provedeném vnitřním auditu a zároveň je zajištěna maximální objektivita této zprávy.

8. Při případném výkonu konzultační činnosti je zajištěno, aby nebyla omezena schopnost vnitřního auditora podávat nezávislé a objektivní ujištění o funkčnosti a efektivnosti řídicího a kontrolního systému; při výkonu konzultační činnosti vnitřní auditoři poskytují poradenství v otázkách řídicího a kontrolního systému a v otázkách zavádění řídicích a kontrolních mechanismů.

II. Statut vnitřního auditu
Povinná osoba vymezí statut vnitřního auditu, kterým upraví zejména

a) postavení, odpovědnosti a pravomoci útvaru či osoby (právnické nebo fyzické) vykonávající v povinné osobě nebo pro povinnou osobu vnitřní audit,

b) předmět výkonu vnitřního auditu,

c) povahu ujišťovacích a případných konzultačních činností vykonávaných vnitřními auditory,

d) proces plánování vnitřního auditu,

e) způsob sdělování výsledků vnitřního auditu včetně návrhů opatření k nápravě,

f) způsob vypořádání připomínek ohledně závěrů vnitřního auditu a řešení případných sporů,

g) způsob ukládání opatření k nápravě na základě zjištění vnitřního auditu.

III. Analýza rizik a plánování vnitřního auditu

1. Plánování činnosti a rozvrhování kapacit vnitřních auditorů je založeno na analýze rizik.

2. Analýza rizik hodnotí míru rizik spojených s jednotlivými činnostmi povinné osoby tak, že zohlední pravděpodobnost selhání řídicího a kontrolního systému v jednotlivých oblastech a míru možné ztráty z tohoto selhání vyplývající. Výstup z provedené analýzy rizik předkládá osoba pověřená výkonem vnitřního auditu představenstvu a dozorčímu orgánu, případně výboru pro audit k projednání. Odlišné názory představenstva nebo dozorčího orgánu, případně výboru pro audit na výstup z analýzy rizik jsou zdokumentovány.

3. Na základě analýzy rizik sestavuje osoba pověřená výkonem vnitřního auditu návrh strategického a periodického plánu vnitřního auditu. Při přípravě plánu rovněž vyžaduje a vyhodnocuje podněty dozorčího orgánu, případně výboru pro audit, představenstva a vrcholného vedení, zohledňuje požadavky příslušných právních předpisů na prověření vnitřním auditem a přihlíží k dalším významným relevantním informacím a skutečnostem, například k nově zaváděným činnostem povinné osoby a k obsahu zpráv orgánů dohledu. Zároveň bere v úvahu činnost a požadavky vnitřního auditu jiných osob, které jsou členem téhož konsolidačního celku a auditora.

4. Plány činnosti vnitřního auditu jsou před schválením představenstvem předloženy k projednání dozorčímu orgánu, případně výboru pro audit. Důvody případných změn plánů vnitřního auditu jsou zdokumentovány.

5. Strategický plán vnitřního auditu je sestavován na období tří až pěti let. Strategický plán zajišťuje, aby činnost vnitřního auditu byla efektivně rozvržena na příslušné období (tří až pěti let), byla zohledněna strategická rozhodnutí orgánů povinné osoby, rizikovost jednotlivých činností a určena předpokládaná perioda ověřování. Strategický plán je v návaznosti na provedenou analýzu rizik případně aktualizován.

6. Periodický plán vnitřního auditu je sestavován na období jednoho roku, případně na kratší časový úsek. Periodický plán určuje cíl, předmět a termín plánovaných vnitřních auditů. Periodický plán dále rozvrhuje kapacitu na plánované vnitřní audity, mimořádné vnitřní audity, vzdělávání a ostatní činnosti.

IV. Výkon vnitřního auditu

1. Osoba pověřená výkonem vnitřního auditu zajistí, aby výkon vnitřního auditu byl efektivně koordinován a prováděn ve spolupráci s vnitřními auditory jiných osob, které jsou členem téhož konsolidačního celku. Zároveň při koordinaci činnosti zohlední ověřování zadaná představenstvem nebo dozorčím orgánem, případně výborem pro audit, a ověření dle požadavku příslušného orgánu dohledu.

2. Pro každou jednotlivou auditní akci je veden auditorský spis. Auditorský spis je veden takovým způsobem, aby byl plně rekonstruovatelný postup při provedeném auditu. Auditorské spisy jsou prověřovány osobou pověřenou výkonem vnitřního auditu, případně jí zmocněným vnitřním auditorem.

3. O provedeném vnitřním auditu je vypracovávána zpráva. Zpráva obsahuje zejména cíl, předmět, rozsah provedeného vnitřního auditu a zjištění spolu s návrhem opatření k nápravě. Zpráva dále obsahuje názor vnitřního auditora na míru rizik obsaženou v auditované činnosti včetně zbytkového (nekrytého) rizika v dané oblasti, a jeho přijatelnost. Zpráva je přístupná představenstvu, dozorčímu orgánu, případně výboru pro audit a věcně příslušným řídícím osobám.

4. Osoba pověřená výkonem vnitřního auditu zajistí vytvoření a udržování systému sledování opatření k nápravě uložených na základě zjištění vnitřního auditu, včetně sledování, zda jsou tato opatření efektivně zavedena. V případě, že osoba pověřená výkonem vnitřního auditu dojde k závěru, že je stupeň zbytkového rizika v dané oblasti v důsledku nezavedení efektivních opatření k nápravě pro povinnou osobu nepřijatelný, projedná tuto skutečnost s představenstvem. Pokud dle úsudku osoby pověřené výkonem vnitřního auditu není otázka zbytkového rizika v dané oblasti vyřešena, předá tuto informaci dozorčímu orgánu, případně výboru pro audit.

V. Informace vnitřního auditu

1. Osoba pověřená výkonem vnitřního auditu pravidelně informuje o zjištěních vnitřního auditu, o návrzích opatření k nápravě a o odstraňování zjištěných nedostatků představenstvo a dozorčí orgán, případně výbor pro audit.

2. Osoba pověřená výkonem vnitřního auditu předkládá alespoň jednou ročně představenstvu a dozorčímu orgánu, případně výboru pro audit k projednání souhrnné vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému povinné osoby. Toto hodnocení se týká zejména spolehlivosti a integrity finančních a dalších informací, funkčnosti a efektivnosti procesů, ochrany aktiv a dodržování právních a vnitřních předpisů.

3. Osoba pověřená výkonem vnitřního auditu zpracovává pravidelně, alespoň však jednou ročně, zprávu o činnosti vnitřního auditu a předkládá ji představenstvu a dozorčímu orgánu, případně výboru pro audit k projednání.

4. Osoba pověřená výkonem vnitřního auditu informuje představenstvo a dozorčí orgán, případně výbor pro audit o možných dopadech v důsledku případných omezených zdrojů vnitřního auditu.

VI. Zabezpečení a zvyšování kvality vnitřního auditu
Osoba pověřená výkonem vnitřního auditu vypracuje a pravidelně aktualizuje program pro zabezpečení a zvyšování kvality vnitřního auditu, který zahrne všechny aspekty vnitřního auditu a průběžně sleduje efektivnost tohoto programu.