Wiarygodność danych w raportach audytu wewnętrznego: standardy, ochrona danych i niezależność

Standardy audytu wewnętrznego w sektorze finansów publicznych

Audytora wewnętrznego w jednostce sektora finansów publicznych obowiązują standardy audytu wewnętrznego dla tego sektora. Art. 273 ust. 2 ustawy o finansach publicznych nakazuje kierować się zawartymi w nich wskazówkami. Ustawa zobowiązuje też ministra finansów do określenia i ogłoszenia standardów zgodnych z powszechnie uznawanymi standardami IIA.

W polskim sektorze finansów publicznych obowiązują standardy z Komunikatu Ministra Rozwoju i Finansów z 12 grudnia 2016 r. Komunikat uznaje Międzynarodowe standardy praktyki zawodowej audytu wewnętrznego (The Institute of Internal Auditors) za standardy dla jednostek sektora finansów publicznych. Dokument opublikowano w Dzienniku Urzędowym Ministra Rozwoju i Finansów z 16 grudnia 2016 r. (poz. 28).

Standardy i wytyczne Ministra Finansów są dostępne w zakładce BIP resortu finansów. Stronę aktualizowano: pierwsza publikacja w styczniu 2019 r., kolejne wersje w latach 2020–2024.

Standardy IIA są obowiązkowymi wytycznymi dla audytorów wewnętrznych w jednostkach sektora finansów publicznych od 2006 r. Krajowy system standardów jest wprost powiązany z dokumentami IIA. Zmiany globalne przekładają się na obowiązki audytorów publicznych, ale formalne wdrożenie wymaga działania ministra finansów.

Dla wiarygodności danych ważne są standardy wykonania nr 2300 i 2310, dotyczące wykonywania zadania i zbierania informacji, a także nr 2320 i 2330. Niezależność i obiektywizm regulują standardy atrybutów nr 1100–1130; materiały IIA wymieniają także Kodeks Etyki IIA.

Standard 2400 wymaga komunikowania wyników zadania. Komunikat zgodnie ze standardem 2410 obejmuje cele i zakres zadania oraz właściwe wnioski, zalecenia i plany działań, a standard 2420 wymaga, by był dokładny, obiektywny, jasny, zwięzły, konstruktywny, kompletny i terminowy. Standard 2430 dopuszcza deklarację zgodności ze standardami wyłącznie wtedy, gdy potwierdzają ją wyniki programu zapewnienia i poprawy jakości; standard 2440 wymaga przekazania wyników właściwym stronom (IIA).

Kluczowe standardy audytu wewnętrznego dla wiarygodności danych

Globalne standardy audytu wewnętrznego i ich wdrażanie

Od 9 stycznia 2025 r. nowe Globalne standardy audytu wewnętrznego są punktem odniesienia dla wszystkich audytorów wewnętrznych. Opracował je Instytut Audytorów Wewnętrznych (IIA Global) z siedzibą w Stanach Zjednoczonych. Zastąpiły Międzynarodowe standardy praktyki zawodowej audytu wewnętrznego obowiązujące jeszcze w 2024 r.

Dokument ma charakter uniwersalny. Analizę nowych standardów z punktu widzenia polskiego sektora finansów publicznych opublikowała Najwyższa Izba Kontroli w „Kontroli Państwowej” nr 4/2024.

Droga wdrożenia różni się w obu sektorach. W sektorze komercyjnym organizacje dostosowują własne funkcje audytu wewnętrznego do nowych wymagań, a w finansach publicznych wdrożenie wymaga komunikatu ministra finansów w dzienniku urzędowym (NIK).

Nowe standardy obejmują wymagania i wytyczne. Przy przygotowaniu raportu trzeba ocenić zarówno wykonanie zadania i zebranie informacji, jak i sposób komunikowania wyników (NIK).

Ustawa o finansach publicznych zobowiązuje ministra finansów do określenia i ogłoszenia standardów zgodnych z powszechnie uznawanymi standardami audytu wewnętrznego, czyli standardami IIA Global. Wdrożenie nowych standardów w tym sektorze wymaga komunikatu ministra finansów ogłoszonego w dzienniku urzędowym (NIK).

Porównanie starych i nowych globalnych standardów audytu wewnętrznego (IIA)

Zalety i ograniczenia stosowania nowych standardów IIA w sektorze publicznym

Ochrona danych osobowych w raportach audytu wewnętrznego

Wiarygodność raportu opartego na dużych zbiorach danych zależy od poprawności obliczeń, legalności przetwarzania i ograniczenia zakresu danych do celu analizy. Kontrola powinna obejmować zarówno dane wejściowe, jak i sposób ich prezentacji odbiorcom.

Przed analizą zapisz źródło danych, okres i zakres ich pobrania, wykorzystane pola oraz cel przetwarzania. Taki zapis ułatwia odtworzenie, jakie informacje wykorzystano i komu przekazano wyniki.

W komunikacie dotyczącym projektu zintegrowanej platformy analitycznej Rzecznik Praw Obywatelskich wskazał, że projekt pomija zasady wynikające z RODO. Przywołał też art. 8 Karty Praw Podstawowych UE, który gwarantuje prawo do ochrony danych osobowych i określa warunki ich przetwarzania (Rzecznik Praw Obywatelskich).

Organem nadzorczym właściwym w sprawach ochrony danych osobowych w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO), który zastąpił Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Prezesa UODO powołuje i odwołuje Sejm za zgodą Senatu na wniosek Prezesa Rady Ministrów. RODO podkreśla niezależność organu nadzorczego w wypełnianiu jego zadań.

W dokumentacji zadania ustal podstawę prawną przetwarzania i cel analizy, a następnie sprawdź, czy używane dane i ich zakres odpowiadają temu celowi. W raporcie opisz te ustalenia w sposób pozwalający odbiorcy ocenić, skąd pochodzą dane i dlaczego zostały wykorzystane.

Do zadań Prezesa UODO należy monitorowanie i egzekwowanie przepisów RODO, rozpatrywanie skarg, działania edukacyjne i doradcze, współpraca z innymi organami nadzorczymi, działania certyfikujące oraz sporządzanie rocznych sprawozdań (PUODO). Skargę do organu nadzorczego przewiduje art. 77 RODO, a kontrolę przestrzegania przepisów o ochronie danych osobowych Prezes UODO prowadzi na podstawie art. 78 ustawy o ochronie danych osobowych.

Ogranicz dane wykorzystywane w analizie i publikowane w raporcie do zakresu potrzebnego do osiągnięcia celu. Sprawdź też ich prawidłowość, a szczegóły zbędne do uzasadnienia ustaleń pomiń.

Dane identyfikujące ogranicz do sytuacji, w których są niezbędne do celu audytu. Jeśli wniosek można przedstawić bez ujawniania tożsamości osoby, rozważ agregację lub anonimizację; przed przekazaniem raportu sprawdź, czy połączenie szczegółów nie pozwala jej zidentyfikować.

Dostęp do danych roboczych i raportu ogranicz do odbiorców, którzy potrzebują ich do swoich zadań, i dobierz sposób przekazania tak, by chronić poufność oraz integralność informacji. Określ też, jak długo dane są potrzebne, i nie przechowuj ich dłużej, niż wymaga tego cel przetwarzania.

Przed pobraniem danych z rejestrów porównaj cel raportu z celem, w jakim dane zebrano, i ustal, które pola są rzeczywiście potrzebne. Odnotuj decyzję oraz jej uzasadnienie w dokumentacji zadania.

Raport powinien pozwalać prześledzić drogę od źródła danych przez zakres udostępnienia i metodę analizy do wniosku. Wskaż ograniczenia mogące wpływać na interpretację, aby odbiorca mógł ocenić zasadność ustaleń.

W audycie zgodności z RODO weryfikuje się m.in., czy administrator wyznaczył inspektora ochrony danych w przypadkach wskazanych w przepisach i czy realizuje on powierzone zadania.

W raportach rozdzielaj trzy warstwy: opis źródła danych i sposobu ich pozyskania, opis metod analizy oraz ocenę i wnioski. Czytelnik powinien ustalić, na jakiej podstawie dane udostępniono, jaki był ich zakres i jakie ograniczenia wiążą się z ich wykorzystaniem. Bez tego nawet poprawne obliczeniowo zestawienia bywają podważane.

Kontrola ochrony danych osobowych w raporcie audytu wewnętrznego

Metody analizy danych wspierające wiarygodność raportów audytu

Standardy audytu wewnętrznego wskazują, że w ramach wykonywania zadania audytorzy wewnętrzni zbierają informacje. Odpowiadają temu standardy nr 2300 i 2310 – wykonywanie zadania i zbieranie informacji.

Wiarygodność danych można oceniać przez ich poprawność, kompletność i spójność, a także możliwość ustalenia źródła oraz odtworzenia sposobu analizy. Te wymiary pomagają odróżnić błąd w danych od ograniczenia metody lub zakresu.

Niezależnie od metody dokumentuj źródło danych, datę i zakres pobrania oraz definicje wykorzystanych pól. Pozwala to odtworzyć analizę po czasie.

Dane uzgadniaj z systemem źródłowym lub dokumentacją, aby wykryć braki, duplikaty i wartości nietypowe. Częstym źródłem błędów jest zestawianie danych z różnych systemów bez uzgodnienia definicji i okresów, których dotyczą.

W raporcie jasno rozdzielaj ustalenia oparte na danych od tych z wyjaśnień audytowanego lub z oglądu dokumentów.

Opisuj przyjęte założenia i ograniczenia analizy. Nawet jeśli nie zmieniają wniosków, pozwalają czytelnikowi ocenić, jak mocno tezy opierają się na danych. Raport pokazuje wtedy nie tylko wynik, ale i drogę dojścia do niego.

Przed analizą standardy wykonania wymagają zaplanowania zadania. Odpowiadają temu standardy nr 2200 – planowanie zadania, 2201 – aspekty zadania, 2210 – cele zadania, 2220 – zakres zadania, 2230 – przydział zasobów i 2240 – program zadania.

Końcowa kontrola przed zatwierdzeniem raportu powinna potwierdzić, że dane odpowiadają celom zadania, zostały uzgodnione ze źródłem i udokumentowane wraz z ograniczeniami. Wnioski oddziel od wyjaśnień audytowanego i innych dowodów, a wyniki przedstaw jasno, kompletnie i terminowo (IIA).

Kroki przygotowania wiarygodnego raportu audytu wewnętrznego

Niezależność i obiektywizm audytora wewnętrznego

W audycie wewnętrznym zaufanie do ustaleń opiera się na bezstronnej ocenie i niezależnym usytuowaniu funkcji audytu. Standardy IIA nr 1100 i 1110 dotyczą odpowiednio niezależności i obiektywizmu oraz niezależności organizacyjnej.

Niezależność organizacyjna oznacza takie usytuowanie audytu wewnętrznego, które pozwala mu realizować zadania bez nieuzasadnionego wpływu. Obiektywizm wymaga oceny dowodów bez założeń o oczekiwanym wyniku.

W dokumentacji zadania odnotuj potencjalne konflikty interesów oraz działania ograniczające ich wpływ na ocenę. Jeśli audytor nie może zachować obiektywizmu w danej sprawie, należy uwzględnić to przy przydziale zadań.

Jeśli niezależność lub obiektywizm zostały ograniczone, opisz zagrożenie i zastosowane zabezpieczenia w dokumentacji audytu, a w razie potrzeby również w raporcie. Odbiorca powinien móc ocenić, czy ograniczenie wpływa na ustalenia i wnioski.

W raporcie wskaż, jak standardy 1100–1130 i Kodeks Etyki IIA przekładają się na niezależność i obiektywizm w zadaniu. Samo przytoczenie numerów standardów nie opisuje ewentualnego zagrożenia ani zastosowanych zabezpieczeń.

W audycie wewnętrznym niezależność organizacyjną opisuje standard nr 1110. Standard nr 1111 – bezpośrednia współpraca z Radą Audytu – oraz nr 1112 – role zarządzającego audytem wewnętrznym wykraczające poza audyt wewnętrzny – wskazują granice usytuowania funkcji.

Standard nr 1000 – Karta audytu – określa cel, uprawnienia i odpowiedzialność audytu wewnętrznego. Standard nr 2060 dotyczy składania sprawozdań kierownictwu wyższego szczebla i radzie audytu; wymaga okresowego raportowania o celu, uprawnieniach, odpowiedzialności i wynikach funkcji audytu względem planu oraz zgodności z Kodeksem Etyki i standardami (IIA).