Nie istnieje i nigdy nie powstanie, gdyż jego podstawowa rola (funkcja) sprowadza się do procesu porównania istniejącego stanu ze stanem oczekiwanym, a zatem, reagując na objawy niekorzystnego zjawiska – działa wyłącznie post factum. Kontrola jest zawsze wtórna do rzeczywistości i nigdy nie jest pierwotną, inicjującą siłą. W zależności od swoich umiejętności ujawnia fakty, zdarzenia, następstwa, ale ich nie kreuje. Stany Zjednoczone Ameryki Północnej jako pierwsze dostrzegły pogłębiający się problem oszustw finansowych i gospodarczych inicjowanych przez menedżerów dużych korporacji. W uzasadnieniu potrzeby wprowadzenia rygorystycznego systemu kar podawano m.in., że system kontroli wewnętrznej oparty na podziale obowiązków może okazać się nieskuteczny, zwłaszcza, gdy dochodzi do zmowy kilku osób. Upoważnienia do podejmowania decyzji, czy dysponowania zasobami mogą być nadużywane, a kierownictwo może omijać procedury kontroli, które samo w tym celu ustanowiło. Z drugiej jednak strony ustanowienie systemu kontroli wewnętrznej, który całkowicie eliminowałby ryzyko strat jest niemożliwe i wręcz surrealistyczne. Koszty jego urzeczywistnienia przewyższyłyby kilkakrotnie korzyści.

W nowoczesnych koncepcjach i prognozach na przyszłość już nie zadziwia podkreślanie stałego wzrostu zapotrzebowania na systemy kontroli wewnętrznej, które stają się coraz bardziej wydajne, jak również na narzędzia umożliwiające przeprowadzenie obiektywnej ewaluacji istniejących systemów . Dzieje się tak, ponieważ kontrola wewnętrzna częściej postrzegana jest w kategoriach właściwego rozwiązywania jak najszerszego wachlarza utajonych problemów. W reformujących się polskich przedsiębiorstwach będzie ona coraz bardziej potrzebna, ale i coraz bardziej skomplikowana. Zachowanie bezpieczeństwa prowadzonej działalności stanie się trudniejsze i będzie miało inny wymiar. Ten stan rzeczy dotyczyć będzie także problemu zwiększenia skuteczności , czego i pierwsze symptomy tych tendencji już są widoczne.

Współczesne organizacje przestały być tylko sumą dobrze rozpoznanych elementów. Komplikują się podsystemy i relacje między nimi. Zwiększają się i potęgują sprzeczności. Kontrola wewnętrzna musi uwzględniać coraz bardziej sprzeczne wymagania wewnętrzne i zewnętrzne. Przede wszystkim musi sprostać nadzorowi coraz to bardziej rygorystycznej organizacji. Należy zatem sprowadzić do wspólnego mianownika mechaniczne z żywym, zaprogramowane z nieprzewidywalnym, rygorystyczne z elastycznym, sprawne z humanistycznym, wspólne z indywidualnym, a co najważniejsze kooperujące z rywalizującym. Dlatego właśnie, żeby zapewnić bezpieczeństwo podobnym organizacjom, niezbędny okazuje się audyt wewnętrzny.

Pod pojęciem audytu wewnętrznego kryją się wchodzące w skład systemu kontroli wewnętrznej procesy sprawdzania i oceniania, a ważnym jego celem staje się zapewnienie bezstronnej i praktycznej porady dla kierownictwa spółki w zakresie doskonalenia mechanizmów obowiązującego w jednostce systemu. Audyt wewnętrzny jest definiowany jako „proces wykonywany przez pracowników jednostki w celu osiągnięcia określonych celów”. Definicja ta jest definicją sensu largo, zawiera bowiem w sobie wszystkie elementy kontrolowania spółek kapitałowych, ułatwiając jednocześnie bezpośrednie skoncentrowanie się na celach nadrzędnych. Na audyt wewnętrzny składa się pięć połączonych ze sobą czynników, właściwych sposobowi zarządzania przedsiębiorstwem przez jego kierownictwo. Składniki owe są ze sobą immanentnie powiązane i stanowią kryteria wyznaczenia efektywności systemu. Audyt wewnętrzny jest procesem, który wykonywany jest przez radę nadzorczą jednostki, zarząd i innych pracowników, stworzonym aby zapewnić w rozsądnym stopniu, że osiągnięte zostaną cele w następujących kategoriach:
- efektywność i wydajność operacji;
- wiarygodność sprawozdań finansowych;
- zgodność z aktami prawnymi i przepisami.

Definicja ta zawiera w swoich ramach kilka fundamentalnych koncepcji, a mianowicie:
a) Audyt wewnętrzny jest procesem ciągłym. Jest środkiem do osiągnięcia celu, a nie celem samym w sobie.
b) System kontroli wewnętrznej jest realizowany na każdym szczeblu organizacji .
c) Od audytu wewnętrznego można oczekiwać przedstawienia organom głównym spółki kapitałowej, tj. zarządowi i radzie nadzorczej, jedynie rozsądnej pewności, nie zaś pewności absolutnej.
d) Audyt wewnętrzny posiada narzędzia do osiągania celów w jednej lub kilku osobnych, lecz zachodzących na siebie kategoriach.

Powyższa definicja audytu wewnętrznego jest szeroka z dwóch powodów.
1) Jest to sposób, w jaki wiele osób z kierownictwa wyższego szczebla przestrzegało audyt wewnętrzny przy zarządzaniu ich przedsiębiorstwami . W rzeczywistości często mówi się w kategoriach audytu i sprawowania audytu.
2) Definicja ta uwzględnia elementy składowe audytu wewnętrznego.

Ci, którzy wolą skupić uwagę na osobnych procesach, mogą to uczynić: na przykład, na kontrolach dotyczących sprawozdawczości finansowej lub kontrolach związanych ze spełnianiem wymagań przepisów prawnych. Podobnie, można skoncentrować się na kontrolach określonych komórek lub w dziedzinie działania spółki kapitałowej. Definicja ta daje także podstawę do określenia efektywności audytu wewnętrznego. Audyt wewnętrzny nie jest jednym zdarzeniem czy incydentem, lecz nieprzerwanym procesem, który przenika działalność jednostki. Operacje owe są nieodłącznie związane są z mechanizmem, w jaki zarząd prowadzi spółkę z ograniczoną odpowiedzialnością czy spółkę akcyjną.

Procesy w spółce kapitałowej, które dokonywane są za pośrednictwem komórek organizacyjnych lub stanowisk pracy, zarządzane są za pomocą podstawowych procesów zarządczych: planowania, wykonywania i monitorowania. Audyt wewnętrzny jest częścią tych procesów i jest z nimi zintegrowany . Umożliwia i ułatwia im funkcjonowanie i monitoruje ich istotność i przebieg. „Jest on narzędziem stosowanym przez zarząd, nie zaś substytutem zarządzania”. System kontroli wewnętrznej przenika się z działalnością operacyjną spółki kapitałowej i istnieje ze względu na fundamentalne przyczyny gospodarcze. Audyty wewnętrzne są efektywne wtedy i tylko wtedy, jeżeli są elementem infrastruktury jednostki i są częścią funkcjonowania spółki. Powinny być one raczej wewnątrz – wbudowane w strukturę niż nadbudowane do niej.

Wbudowanie audytu w strukturę przedsiębiorstwa może w sposób bezpośredni i nieograniczony wpłynąć na zdolność jednostki do osiągania kluczowych celów i wspomagać inicjatywy jakościowe i ilościowe spółki kapitałowej. Doskonalenie jest bezpośrednio efektem powiązania ze sposobami zarządzania spółkami oraz sprawowania kontroli nad nimi. Zarząd, rada nadzorcza i inni współpracownicy spółki są wykorzystywani w realizacji audytu wewnętrznego. Audyt jest przeprowadzany za pomocą ich werbalnych i manualnych zdolności i predyspozycji. Ludzie ustanawiają priorytetowe cele jednostki i następnie wdrażają mechanizmy kontrolujące.

Podobnie – kontrola wywiera wpływ na działania ludzi. „Audyt wewnętrzny uznaje, że ludzie nie zawsze rozumują i komunikują się lub działają w sposób konsekwentny” . Każdy pracownik wnosi do miejsca pracy unikalne doświadczenia i umiejętności, ma różne potrzeby, priorytety i odmienne pomysły na uskutecznienie mechanizmów działania spółki. Powyższe realia wpływają na audyt wewnętrzny, ale i na odwrót. Pracownicy muszą być świadomi swojej odpowiedzialności i ograniczenia uprawnień. Zgodnie z powyższym powinno istnieć prawidłowe i bliskie powiązanie między obowiązkami pracowników i sposobami w jaki są one wypełniane, jak również celami przedsiębiorstwa.

Audyt wewnętrzny, niezależnie od tego, jak dobrze jest zaprojektowany i wdrożony, może zapewnić zarząd i radę nadzorczą jedynie w rozsądnych granicach, że cele jednostki są dzięki niemu osiągnięte. Na prawdopodobieństwo spełnienia założeń głównych mają wpływ ograniczenia nieodłączne od wszystkich „systemów kontroli wewnętrznej”. Najczęściej występujące spośród nich to: błędna ocena sytuacji przy podejmowaniu decyzji, rozważenie relatywnych kosztów i korzyści systemu przez osoby tworzące go oraz zwykłe ludzkie uchybienia, będące wynikiem błędów i pomyłek. Dodatkowo, audyt można obejść poprzez zmowę dwóch lub więcej osób. Ponadto zarząd ma możliwość przekroczenia lub zlekceważenia systemu kontroli. Każda jednostka ustanawia swą misję, wytycza cele, jakie chce osiągnąć i strategie ich osiągnięcia. Cele mogą być ustanowione dla jednostki jako całości, mogą być też ukierunkowane na poszczególne działania przeprowadzane przez jednostkę. Mimo iż wiele celów jest specyficznych dla danej jednostki, część z nich ma charakter uniwersalny.

Audyt wewnętrzny składa się z pięciu powiązanych ze sobą elementów. Wywodzą się one ze sposobu, w jaki zarząd kieruje spółką kapitałową i są związane z procesem zarządzania. Elementami tymi są: środowisko kontroli, oszacowanie ryzyka, czynności kontrolne, informacja i komunikacja, monitoring .

Audyt wewnętrzny nie jest procesem seryjnym, w którym tylko jeden element wpływa na następny. Jest to wielokierunkowy proces, w którym niemal każdy element może i będzie wpływał na inne. Środowisko audytu stwarza atmosferę, w której ludzie prowadzą swą działalność i wykonują swoje obowiązki kontrolne . Służy ono za podstawę wszystkich innych elementów. W tym środowisku zarząd dokonuje oszacowania ryzyka związanego z realizacją określonych celów. Czynności kontrolne przeprowadzane są w celu pomocy w uzyskiwaniu zapewnienia, że są wykonywane zalecenia zarządu dotyczące zarządzania ryzykiem. W tym czasie zdobywane są odpowiednie informacje, przekazywane następnie w obrębie organizacji. Cały proces jest monitorowany.

Żadne dwie jednostki nie będą miały identycznego i nie powinny mieć jednolitego systemu kontroli wewnętrznej. Spółki kapitałowe i ich potrzeby w zakresie audytu wewnętrznego znacznie różnią się między sobą ze względu na branżę, wielkość, kulturę i metodykę zarządzania. Dlatego też, gdy wszystkie przedsiębiorstwa potrzebują wspólnego elementu, którym jest konieczność sprawowania audytu wewnętrznego nad swą działalnością, to jednak system kontroli wewnętrznej jednego przedsiębiorstwa będzie często wyglądał zupełnie inaczej niż w innych przedsiębiorstwach.

Nowoczesny system audytu wewnętrznego powinien zostać ustanowiony i wdrożony na każdym poziome zarządzania spółką kapitałową. System powinien być oparty przede wszystkim na umiejętności identyfikacji i zarządzania właściwymi danemu poziomowi ryzykami, których występowanie mogłoby uniemożliwić w jakikolwiek sposób sprawne osiąganie zaplanowanych celów. Pożądane jest, aby w każdym z tych systemów zaistniał nowoczesny system monitorowania dokonać oraz ich efektywnej oceny oraz ewaluacji. Nowoczesny audyt wewnętrzny związany jest przede wszystkim z funkcją doradczą i kontrolną, związaną z zarządzaniem ryzykiem – ocenia, czy proces zarządzania nim jest odpowiednio zaprojektowany i działa efektywnie i skutecznie.

Aleksandra Nadolska, mgr prawa Uniwersytet Gdański