k vyhlášce č. 23/2014 Sb.
Podrobnější vymezení některých požadavků na vnitřní audit
Obecné požadavky
Statut vnitřního auditu
Analýza rizik a plánování vnitřního auditu
Výkon a informace vnitřního auditu
Zabezpečení a zvyšování kvality vnitřního auditu
1. Pro výkon vnitřního auditu povinná osoba má nebo získá takové kapacity, které jsou nezbytné pro plnění stanovených požadavků.
2. Osoba vykonávající vnitřní audit (dále jen „vnitřní auditor“) vykonává při plnění svých úkolů nezávislou a objektivní ujišťovací a případně konzultační činnost, která
a) se zaměřuje na přidávání hodnoty a zdokonalování vnitřních procesů a
b) přináší systematický metodický přístup k hodnocení a zlepšování funkčnosti a efektivnosti řízení rizik, kontrolních procesů a procesů správy a řízení společnosti.
3. Vnitřní auditoři poskytují své výstupy příslušným orgánům, výborům a pracovníkům včas a tyto výstupy jsou aktuální, spolehlivé a ucelené.
4. Při provádění své činnosti mají vnitřní auditoři zajištěn přístup ke všem relevantním osobám, prostorám, zařízením, informacím a dokumentům povinné osoby.
5. Osoba ve vedení funkce vnitřního auditu má možnost zúčastnit se zasedání všech orgánů a výborů povinné osoby. V případech hodných zvláštního zřetele může být toto právo jednotlivě omezeno důvodným rozhodnutím řídicího nebo kontrolního orgánu.
6. Osoba ve vedení funkce vnitřního auditu je podřízena takovému organizačnímu stupni v povinné osobě, který umožní plnění požadavků na výkon vnitřního auditu.
7. Pokud se ve zcela výjimečných případech podílí na poskytování ujištění o činnosti fyzická osoba, která tuto činnost vykonávala nebo na jejímž zavádění se podílela před méně než 12 měsíci, je tato skutečnost uvedena a odůvodněna ve zprávě o provedeném vnitřním auditu a zároveň je zajištěna maximální objektivita této zprávy.
8. Při případném výkonu konzultační činnosti je zajištěno, že není omezena schopnost vnitřního auditora podávat nezávislé a objektivní ujištění o funkčnosti a efektivnosti řídicího a kontrolního systému nebo jinou ujišťovací činnost pro povinnou osobu; při případném výkonu konzultační činnosti vnitřní auditor poskytuje nestranné konzultace v otázkách zavedení a udržování řídicího a kontrolního systému a jeho součástí, zejména v otázkách zavádění a udržování funkčních a efektivních systémů a mechanismů řízení rizik a kontrolních mechanismů a řádných administrativních a účetních postupů včetně spolehlivosti a integrity finančních a dalších informací.
9. Povinná osoba vymezí statut vnitřního auditu, kterým upraví zejména
a) působnost a pravomoci útvaru či právnické nebo fyzické osoby vykonávající v povinné osobě nebo pro povinnou osobu vnitřní audit,
b) cíl, předmět a rozsah výkonu vnitřního auditu,
c) povahu ujišťovacích a případných konzultačních činností vykonávaných vnitřními auditory a výstupů z těchto činností,
d) proces plánování vnitřního auditu,
e) způsob sdělování výsledků vnitřního auditu včetně návrhů nápravných opatření,
f) způsob vypořádání připomínek ohledně závěrů vnitřního auditu a řešení sporů a
g) způsob ukládání nápravných opatření na základě zjištění vnitřního auditu.
10. Plánování činnosti a rozvrhování kapacit vnitřních auditorů je založeno na analýze rizik.
11. Analýza rizik hodnotí míru rizik spojených s jednotlivými činnostmi povinné osoby tak, že zohlední pravděpodobnost selhání řídicího a kontrolního systému v jednotlivých oblastech a míru možné ztráty z tohoto selhání vyplývající. Výstup z provedené analýzy rizik předkládá osoba ve vedení funkce vnitřního auditu řídicímu orgánu, případně výboru pro audit, k projednání. Odlišné názory řídicího orgánu nebo výboru pro audit na výstup z analýzy rizik jsou zdokumentovány.
12. Na základě analýzy rizik sestavuje osoba ve vedení funkce vnitřního auditu návrh strategického a periodického plánu vnitřního auditu. Při přípravě plánu vyžaduje a vyhodnocuje podněty řídicího a kontrolního orgánu, případně výboru pro audit, osob ve vrcholném vedení, zohledňuje požadavky příslušných právních předpisů na prověření vnitřním auditem a přihlíží k dalším významným relevantním požadavkům, informacím a skutečnostem, zejména k nově zaváděným činnostem povinné osoby a k obsahu zpráv orgánů dohledu. Zároveň bere v úvahu činnost vnitřního auditu jiných osob, které jsou členem téhož konsolidačního celku, pokud je to relevantní, a auditora.
13. Plány činnosti vnitřního auditu jsou před schválením řídicím orgánem předloženy k projednání kontrolnímu orgánu, případně výboru pro audit. Důvody změn plánů vnitřního auditu jsou zdokumentovány.
14. Strategický plán vnitřního auditu je sestavován na období tří až pěti let. Strategický plán zajišťuje, že činnost vnitřního auditu je efektivně rozvržena na příslušné období (tří až pěti let), jsou zohledněna strategická rozhodnutí řídicího a kontrolního orgánu povinné osoby a rizikovost jednotlivých činností a je určena předpokládaná perioda ověřování. Strategický plán je v návaznosti na provedenou analýzu rizik případně aktualizován.
15. Periodický plán vnitřního auditu je sestavován na období jednoho roku nebo kratší časový úsek. Periodický plán určuje cíl, předmět a termín plánovaných vnitřních auditů. Periodický plán dále rozvrhuje kapacitu na plánované vnitřní audity, mimořádné vnitřní audity, vzdělávání a ostatní činnosti.
16. Osoba ve vedení funkce vnitřního auditu zajistí, že výkon vnitřního auditu je efektivně koordinován, pokud je to relevantní, s vnitřními auditory jiných osob, které jsou členem téhož konsolidačního celku. Zároveň při koordinaci činnosti zohlední ověřování zadaná mimo plán řídicím nebo kontrolním orgánem a ověření dle požadavku příslušného orgánu dohledu.
17. Pro každou jednotlivou auditní akci je veden auditorský spis. Auditorský spis je veden takovým způsobem, aby byl plně rekonstruovatelný postup při provedeném auditu. Auditorské spisy jsou prověřovány osobou ve vedení funkce vnitřního auditu nebo jí zmocněným vnitřním auditorem.
18. O provedeném vnitřním auditu je vypracovávána zpráva. Zpráva obsahuje zejména cíl, předmět, rozsah provedeného vnitřního auditu a zjištění spolu s návrhem nápravných opatření. Zpráva obsahuje názor vnitřního auditora na míru rizik obsaženou v auditované činnosti včetně zbytkového (nekrytého) rizika v dané oblasti a jeho přijatelnost. Zpráva je přístupná řídicímu a kontrolnímu orgánu, výboru pro audit a věcně příslušným řídicím osobám včetně osob ve vrcholném vedení.
19. Osoba ve vedení funkce vnitřního auditu zajistí vytvoření a udržování systému sledování nápravných opatření uložených na základě zjištění vnitřního auditu, včetně sledování, zda jsou tato opatření efektivně zavedena. V případě, že osoba ve vedení funkce vnitřního auditu dojde k závěru, že je stupeň zbytkového rizika v dané oblasti v důsledku nezavedení efektivních nápravných opatření pro povinnou osobu nepřijatelný, projedná tuto skutečnost s řídicím orgánem. Pokud dle úsudku osoby odpovědné za vedení funkce vnitřního auditu není otázka zbytkového rizika v dané oblasti vyřešena, předá tuto informaci kontrolnímu orgánu, případně výboru pro audit.
20. Osoba ve vedení funkce vnitřního auditu pravidelně informuje o zjištěních vnitřního auditu, o návrzích nápravných opatření a o odstraňování zjištěných nedostatků řídicí a kontrolní orgán, případně výbor pro audit.
21. Osoba ve vedení funkce vnitřního auditu předkládá alespoň jednou ročně řídicímu a kontrolnímu orgánu, případně výboru pro audit, k projednání souhrnné vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému povinné osoby. Toto hodnocení se týká zejména spolehlivosti a integrity finančních a dalších informací, funkčnosti a efektivnosti procesů, ochrany aktiv a dodržování právních a vnitřních předpisů.
22. Osoba ve vedení funkce vnitřního auditu zpracovává pravidelně, alespoň však jednou ročně, zprávu o činnosti vnitřního auditu a předkládá ji řídicímu a kontrolnímu orgánu, případně výboru pro audit, k projednání.
23. Osoba ve vedení funkce vnitřního auditu informuje řídicí orgán, případně kontrolní orgán nebo výbor pro audit, o možných dopadech v důsledku případných omezených zdrojů vnitřního auditu.
24. Povinná osoba zajistí personální a další zabezpečení výkonu vnitřního auditu tak, aby soustavně poskytoval nezávislé a objektivní ujištění o činnostech povinné osoby, zejména o funkčnosti a efektivnosti řídicího a kontrolního systému a jeho součástí, v odpovídající kvalitě a s patřičnou přidanou hodnotou. Využíváním outsourcingu při zajišťování výkonu funkce vnitřního auditu není tato povinnost dotčena.
25. Osoba ve vedení funkce vnitřního auditu vypracuje a pravidelně aktualizuje program pro zabezpečení a zvyšování kvality vnitřního auditu, který zahrne všechny aspekty vnitřního auditu a průběžně sleduje funkčnost a efektivnost tohoto programu, ledaže toto provádí kontrolní orgán nebo výbor pro audit.