Post on 24-Oct-2015
description
transcript
UNIVESRISTATEA BABEŞ – BOLYAI
FACULTATEA DE ŞTIINŢE ECONOMICE ŞI GESTIUNEA
AFACERILOR
CLUJ – NAPOCA
IMPACTUL TEHNOLOGIEI ASUPRA
PRACTICILOR DE AUDIT INTERN
Coordonator ştiinţific
Lect. univ. dr. Boţa-Avram Cristina
Studenţi An 2 Master, MCAC
Nicoară Ioana Sorina
Oltean Anca
2012
i
Cuprins
1. Introducere .................................................................................................................................. 1
2. Metodologia de cercetare ............................................................................................................ 3
3. Impactul tehnologiei asupra auditului intern .............................................................................. 5
3.1. Auditul intern în schimbare .................................................................................................. 5
3.2. Tehnologia utilizată în cadrul auditului intern ................................................................... 11
3.3. Auditul asistat de tehnologie .............................................................................................. 18
4. Concluzii ................................................................................................................................... 26
5. Bibliografie ............................................................................................................................... 27
1
1. Introducere
Dacă există un adevăr fundamental în mediul de afaceri actual, acesta este că puţine companii
pot funcţiona fără o tehnologie substanţială şi robustă. Tehnologia, în toate formele ei, este
indispensabilă în mediu competitiv de astăzi. Majoritatea companiilor se bazează pe calculatoare
şi software-uri pentru a obţine informaţii exacte care sunt necesare în gestionarea eficientă a
afacerii. Companiile au ales să includă soluţii IT pentru a se dezvolta şi a opera cu succes pe
pieţele pe care activează.
O modalitate prin care multe corporaţii au adoptat tehnologia informaţiei pe o scara largă este
prin instalarea de sisteme Enterprise Resource Planning (ERP) pentru a-şi satisface nevoile de
prelucrare a datelor şi realizarea tranzacţiilor. ERP-urile sunt software-uri care permit unei
organizaţii să utilizeze un sistem de aplicaţii integrate pentru a gestiona afacerea. Acestea
integrează toate faţete specifice unei operaţiuni, inclusiv dezvoltare, producţie, vânzări şi
marketing. Sistemele ERP creează noi oportunităţi, precum şi noile provocări pentru focusul
general al funcţiei de audit intern (Saharia et al., 2008). De aceea, funcţia de audit intern trebuie
să fie adaptabilă şi creativă.
Institutul Auditorilor Interni (IIA- Institute of Internal Auditors), autoritatea globală pentru
profesia de audit intern, a recunoscut rolul vital al tehnologiei în realizarea auditului intern, atât
în Ghidul Evaluări Riscului IT (GAIT – Guide to the Assessment of IT Risk) cât şi prin
modificări cheie asupra Standardelor Internaţionale pentru Practica Profesională în Auditul
Intern (International Standards for the Professional Practice of Internal Audit). Încă de la nivelul
anului 2010, în standardul IIA 1220.A2 se menţionează ”În exercitarea profesiei, auditorii interni
trebuie să considere implementarea auditului asistat de tehnologie şi a altor tehnici de analiză a
datelor.” Acelaşi standard susţine că “Activitatea de audit intern trebuie să evalueze dacă
guvernanţa tehnologiei informaţiei a organizaţiei susţine strategiile şi obiectivele
organizaţionale”. De aceea auditorii interni trebuie să se familiarizeze cu noile tool-uri de analiză
a datelor, cu tehnicile de audit asistate de calculator (CAATs), precum şi cu practicile de audit
continuu şi monitorizare continuă.
2
Organizaţiile din ziua de astăzi sunt din ce în ce mai sofisticate, iar funcţia de audit intern trebuie
să fie conectată la tehnologie pentru a-şi îmbunătăţii scopul şi ritmul de muncă, pentru a produce
rezultate mai bune, mai relevante şi mai sigure într-un timp cât mai scurt. Acest fapt devine mai
evident pe fondul nesiguranţei din economia globală, care forţează organizaţiile să producă mai
multe cu mai puţine resurse. În acelaşi timp, cererile şi aşteptările din partea auditorilor interni
sunt tot mai mari şi în schimbare în vederea îmbunătăţirii managementului riscurilor şi a
asigurării unui proces de guvernanţă şi control funcţional. Creşterea interesului publicului în
guvernanţa corporativă, în special cu privire la conceptul în schimbare de control intern (IFAC,
2006) a condus organizaţiile spre revizuirea aşteptărilor legate de funcţia de audit intern. Mai
mult decât atât, odată cu dezvoltarea managementului riscurilor ca un aspect integrant al
guvernanţei corporative, schimbări au avut loc şi în cadrul rolului auditorilor interni.
Funcţia de audit intern este îmbunătăţită astăzi de către auditul asistat de tehnologie şi de
tehnicile de analiză a datelor. Acum, auditul intern are capacitatea de a examina cantităţi mari de
date, de a identifica modele, tipare, trenduri şi potenţiale riscuri precum şi de a face recomandări
mai bune managementului şi Consiliului de Administraţie. Auditul intern asistat de tehnologie
oferă un nou nivel de vizibilitate asupra a ceea ce se întâmplă în organizaţii şi prin urmare
problemele sunt mai uşor de identificat şi rezolvat. Această acurateţe, precizie şi eficienţă oferă
funcţiei de audit intern posibilitatea de a se concentra mai mult asupra activităţilor strategice, de
ansamblu.
3
2. Metodologia de cercetare
Auditul intern este o funcţie în cadrul unei companii care nu variază în funcţie de obiectul de
activitate al acesteia, ci mai degrabă de dimensiune şi de complexitatea operaţiunilor desfăşurate.
Modul de organizare şi de funcţionare a departamentului de audit intern este specific fiecărei
companii şi nu se încadrează în informaţiile făcute publice de către acestea. Pe de-o parte pentru
că atât controalele interne cât şi auditul intern sunt adaptate în funcţie de activităţile, de modul de
funcţionare şi de diviziunea muncii în cadrul companiilor şi pe de altă parte deoarece aceste
informaţii nu sunt utile publicului deoarece nu oferă nici un tip de asigurare referitor la
informaţiile financiar-contabile sau la activitatea companiei. Asigurarea rezonabilă asupra
situaţiilor financiare este furnizată de auditul extern.
Luând în considerare aceste aspecte, informaţiile necesare pentru studierea practicilor de audit
intern în cadrul companiilor pot fi culese doar din interiorul acestora, şi cu acordul lor. În plus,
desprinderea unor concluzii generale privitoare la practicile de audit este dificilă deoarece
acestea sunt adaptate specificului fiecărei companii. Acest fapt poate explica şi lipsa interesului
spre studii referitoare la acest domeniu.
Pentru realizarea lucrării de faţă am apelat la studii de specialitate pentru reliefarea impactului
tehnologiei asupra mediului de afaceri în general, cu implicaţii importante şi asupra practicilor de
audit intern. Am considerat tehnologia ca având un dublu impact asupra practicilor de audit
intern. Pe de-o parte prezenţa tehnologiei în toate operaţiunile şi tranzacţiile companiilor le
expune la riscuri specifice şi le remodelează modul de organizare şi funcţionare. În acest sens,
auditul intern trebuie să se adapteze pentru contracararea riscurilor nou apărute şi pentru a se plia
pe noua funcţionare a entităţilor. Pe de altă parte, dezvoltarea tehnologică permite regândirea
proceselor de audit prin utilizarea unor soft-uri care să eficientizeze munca auditorilor şi să le
permită efectuarea unor teste mai complexe.
Pentru reliefarea impactului tehnologiei asupra practicilor de audit, am considerat oportun
prezentarea unor exemple concrete. Pentru aceasta am apelat la studii de specialitate care, pe
4
baza interviurilor desfăşurate, au cules informaţii referitoare la utilizarea tehnologiei în cadrul
funcţiei de audit intern. Aceste studii prezintă exemple concrete de companii care utilizează
anumite programe informatice pentru eficientizarea şi atingerea obiectivelor auditului intern.
5
3. Impactul tehnologiei asupra auditului intern
3.1. Auditul intern în schimbare
Accentul la nivel mondial asupra necesităţii guvernanţei corporative a provocat un interes în
creştere în funcţia de audit intern (Goodwin şi Yeo, 2001). Funcţia de audit intern s-a schimbat în
mod semnificativ pentru a face faţă evoluţiilor în guvernanţa corporativă (Bailey et al., 2003),
precum şi evoluţiilor din domeniul tehnologiei informaţiei (Allegrini et al., 2006). Cu toate
acestea, rămâne o provocare continuă pentru funcţia de audit intern să îşi dovedească valoarea
adăugată organizaţiilor prin îmbunătăţirea guvernanţei corporative în mediul IT extins.
Cadrul internaţional al Practicii Profesionale (IPPF - International Professional Practices
Framework) este cadrul conceptual care organizează ghidurile promulgate de către Institutul
Auditorilor Interni (IIA). Institutul, o organizaţie de încredere la nivel global, oferă
profesioniştilor din domeniul auditului intern îndrumări şi ghiduri organizate în IPPF sub forma
unor ghiduri obligatorii şi a unor ghiduri recomandate.
Ghidurile obligatorii includ 3 elemente: Definitia Auditului Intern, Codul de Etică şi Standardele
Internaţionale de Practică Profesională de Audit Intern (International Standards for the
Professional Practice of Internal Auditing – denumite în continuare Standarde). Ghidurile
obligatorii sunt dezvoltate în urma unui proces minuţios stabilit, care include o perioadă de
dezbatere publică pentru a ţine cont de părerea tuturor părţilor interesate.
Standardele sunt focalizate pe principii şi oferă un cadru pentru realizarea şi promovarea
auditului intern. Standardele cuprind: cerinţele de bază pentru practica profesională a auditului
intern şi pentru evaluarea eficienţei performanţei sale - cerinţele sunt aplicabile pe plan
internaţional la nivel organizaţional şi individual; interpretări ale standardelor – clarifică termeni
şi concepte întâlnite în cerinţe; glosar de termeni. Conformitatea cu principiile stabilite în
ghidurile obligatorii este necesară şi esenţială pentru practica profesională a auditului intern.
6
Institutul Auditorilor Interni (IIA- Institute of Internal Auditors), autoritatea globală pentru
profesia de audit intern, a recunoscut rolul vital al tehnologiei în realizarea auditului intern, atât
în Ghidul Evaluări Riscului IT (GAIT – Guide to the Assessment of IT Risk) cât şi prin
modificări cheie asupra Standardelor Internaţionale pentru Practica Profesională în Auditul
Intern (International Standards for the Professional Practice of Internal Audit). Încă de la nivelul
anului 2010, în standardul IIA 1220.A2 se menţionează ”În exercitarea profesiei, auditorii interni
trebuie să considere implementarea auditului asistat de tehnologie şi a altor tehnici de analiză a
datelor.” Acelaşi standard susţine că “Activitatea de audit intern trebuie să evalueze dacă
guvernanţa tehnologiei informaţiei a organizaţiei susţine strategiile şi obiectivele
organizaţionale.” De aceea auditorii interni trebuie să se familiarizeze cu noile tool-uri de analiză
a datelor, cu tehnicile de audit asistate de calculator (CAATs), precum şi cu practicile de audit
continuu şi monitorizare continuă.
Ghidurile recomandate descriu practici pentru implementarea eficientă a ghidurilor obligatorii şi
sunt alcătuite din: position papers (rapoarte de poziţie, evidenţiază poziţia institutului cu privire
la diferite chestiuni semnificative), practice advisories (recomandări de practică) şi practice
guides (ghiduri de practică). Ghidurile de practică oferă îndrumări referitoare la desfăşurarea de
activităţi de audit intern, dorind totodată să sprijine interacţiunea şi comunicarea auditului intern
cu Consiliul de Administraţie. Acestea includ procese şi proceduri, instrumente şi tehnici,
programe, abordări pas-cu-pas, precum şi exemple. Ghidurile de Practică sunt împărţite în 4
categorii: Generale, pentru Sectorului Public, ghiduri pentru tehnologia de audit la nivel global -
Global Technology Audit Guides (GTAG) şi ghiduri pentru evaluarea riscurilor în IT - Guide to
the Assessment of IT Risk (GAIT).
GTAGs sunt scrise într-un limbaj de afaceri clar şi abordează problemele actuale legate de
gestionarea tehnologiei informaţiei (IT), control şi securitate. Acestea servesc drept resursă
pentru directorii de audit în legătură cu diferite riscuri asociate tehnologiei şi practicile
recomandate. Seria de ghiduri practice GAIT descrie relaţiile dintre riscul afacerii, controale
cheie din cadrul proceselor de afaceri, controale automate şi alte funcţionalităţi critice ale
tehnologiei informaţiei şi controale cheie în cadrul controalelor generale IT. Fiecare ghid
7
abordează un aspect specific al tehnologiei informaţiei din puncte de vedere al riscului şi al
evaluării controlului.
Introducerea tehnologiei, într-un sistem existent este o provocare masivă şi are un impact
puternic asupra organizaţiei la nivelul tuturor departamentelor. Tehnologia poate include, dar nu
se limitează la servere, dispozitive mobile, tablete, calculatoare, social media, protocoale de
comunicare, reţele wireless, site-uri de comerţ electronic, şi alte tool-uri, sofware-uri şi platforme
indispensabile mediului de afaceri actual. Una dintre cele mai importante inovaţii din lumea IT
au fost sistemele Enterprise Resource Planning (ERP). Punerea în aplicare a sistemelor ERP
necesită reorganizarea şi re-ingineria proceselor de afaceri. Acest lucru implică noi modalităţi de
proiectare a sarcinilor, a locurilor de muncă, de comunicaţii în cadrul organizaţiei şi conduce la
structuri noi de lucru şi proceduri (Kallinikos, 2004).
Sistemele ERP automatizează activităţile organizaţiilor prin intermediul unei aplicaţii software
integrate. Acestea facilitează fluxul de informaţii între toate funcţiunile afacerii din interiorul
graniţelor organizaţiei şi gestionează conexiunile cu stakeholderii exteriori. Tabelul de mai jos
sintetizează diferenţele dintre mediul organizaţional tradiţional şi mediu ERP:
Mediu Tradiţional Mediu ERP
Sisteme multiple Mai puţine sisteme
Dispersat şi diversificat Soluţii integrate
Dezvoltat cu mijloace proprii Dezvoltat de un specialist (distribuitor)
Orientat pe loturi de procesare Orientat spre susţinerea viziunii strategice şi a
procesului de luare a deciziilor
Sistem închis Deschidere pentru colaborări
Cerere pentru abilităţi de programare
disponibile în cadrul firmei
Necesitatea unor noi seturi de abilităţi
complexe
Mai în detaliu, un sistem ERP se caracterizează prin:
baza de date este, de obicei, centralizată şi deoarece aplicaţiile sunt utilizate de o
multitudine de utilizatori, sistemul este flexibil şi permite personalizare şi configurare;
8
procesele se desfăşoară online în timp real, prin urmare bazele de date sunt actualizate
simultan;
introducerea de date este condiţionată de validarea datelor şi se bazează pe
interrelaţionarea acestora;
deoarece tranzacţiile sunt stocate într-o bază de date comună, diferite module
actualizează intrările în baza de date;
autorizarea este făcută la nivelul aplicaţiei şi nu al bazei de date. prin urmare, evaluarea
controlului securităţii este de o importanţă capitală;
auditorii trebuie să îşi petreacă un timp considerabil cu înţelegerea fluxurilor de date şi
prelucrarea tranzacţiilor;
sistemul depinde într-o mare măsură de reţele pe scară largă;
vulnerabilitatea datorată accesului sporit este preţul plătit pentru o integrare mai ridicată
şi o procesarea mai rapidă a datelor într-o manieră integrată;
riscul de defectare a unui sigur punct care să ducă la blocarea întregului sistem este mai
mare în sistemele ERP.
Tehnologia şi în special sistemele ERP pot schimba structura internă a funcţiei de audit şi
practica în domeniu. Punerea în aplicare a sistemelor ERP alături de alte progrese tehnologice
acţionează ca un catalizator pentru schimbarea funcţiei de audit intern, prin afectarea controlului
intern şi a riscurilor din cadrul organizaţiei. Mediul de control al riscurilor este influenţat de
tehnologie şi de implementarea sistemelor ERP. Prin urmare, funcţia de audit intern trebuie să fie
remodelată. Relaţiile sale cu toate celelalte părţi implicate vor fi de asemenea afectate (Paape et
al, 2003).
Unele studii consideră că auditorii interni au pierdut controlul asupra rolului lor tradiţional de
evaluatori, deoarece acest rol este acum construit în IT şi cunoştinţele lor de audit au devenit
uşor transferabile personalului IT (Spathis şi Constantinides, 2004). Alţii sugerează că auditorii
interni nu numai că îşi continuă funcţia lor tradiţională, dar îşi extind, de asemenea, şi rolului lor
în alte zone funcţionale (Bierstaker, 2001; Lightle şi Vallario, 2003; Madani, 2009).
9
Sistemele ERP elimină interacţiunea umană cu fluxuri de date. Astfel, se sporeşte securitatea,
precizia şi integritatea în cadrul organizaţiilor. Ca urmare, transparenţa în procesele de afaceri a
crescut. Deşi obiectivele de control intern rămân aceleaşi, mecanismele de control sunt
modificate (Madani, 2009). Sistemele ERP aduc schimbări în controlul intern, procesul de
afaceri şi separarea funcţiilor (Hunton et al, 2001;. Wright şi Wright, 2002). Totodată sunt
afectate multe aspecte de control, cum ar fi planificarea de control şi monitorizare, autorizaţiile,
autentificarea utilizatorilor, restricţiile de timp, integritatea datelor, reconcilieri şi separarea
funcţiilor (Sia et al., 2002).
Pe de o parte, sistemele ERP restrâng controlul intern. OLeary (2000) afirmă că sisteme ERP
consolidează controlul prin intermediul unor informaţii standardizate şi accesibile, care fac orice
abatere vizibilă. Pe de altă parte, practicile de afaceri, care sunt încorporate în ERP şi
transparenţa au dus simultan la mai multă putere conferită salariaţilor şi relaxarea controlului
(Elmes et al., 2005). Cu toate acestea, nu există multe cercetări cu privire la schimbările necesare
în funcţia de audit intern pentru a se asigura de buna funcţionare a controlului intern în cadrul
organizaţiilor bazate pe ERP, în scopul de a spori legitimitatea acestuia.
Complexitatea sistemelor integrate ERP generează riscuri suplimentare. O eroare introdusă într-o
parte a sistemului poate perturba întregile operaţiuni ale afacerii (Saharia et al., 2008). Mai mult
decât atât, OLeary (2000) susţine că natura interdependentă a sistemului ERP expune
organizaţiile la unele riscuri semnificativ diferite. Aceste riscuri unice includ întreruperea
activităţii în curs de desfăşurare, procesul de interdependenţă, intimitate şi confidenţialitate,
calitatea datelor şi riscuri cu privire la securitatea sistemului.
Este important ca auditorii interni să fie conştienţi de riscurile unice asociate cu sisteme de tip
ERP, în scopul de a planifica şi executa o funcţie de asigurare. Cu toate acestea, modificările
necesare în funcţia de audit intern pentru a ajuta la gestionarea riscurilor au fost trecute cu
vederea în mediul sistemelor ERP. De aceea, este importantă investigarea modului în care
funcţia de audit intern trebuie să se schimbe pentru a menţine legitimitatea.
10
Sistemele ERP prezintă noi provocări şi oportunităţi pentru funcţia de audit intern (Hunton et al,
2001;. Wright şi Wright, 2002). Funcţia tradiţională a auditului intern nu mai este suficientă,
odată cu punerea în aplicare a acestor sistemelor (Madani, 2009). Ele complică funcţia de audit
intern. Datorită naturii în timp real a sistemelor ERP, mulţi auditorilor interni nu mai deţin
pregătirea necesară pentru a îndeplini misiunea lor de guvernare.
Pe de altă parte, sisteme de tip ERP au condus la o schimbare semnificativă a focusului general
al funcţiei de audit intern. Profesioniştii în audit intern dezvoltă un rol tot mai amplu pentru ei
înşişi. Aceştia sunt responsabil mai puţin de verificarea datelor şi oferă mai multă consultanţă. În
acelaşi timp, capacităţile auditorilor interni au fost extinse (Saharia et al., 2008), ceea ce induce
costuri mai mari şi necesită alte abilităţi decât cele aferente funcţiei de bază standard (Paape et
al., 2003). Rolul auditului intern este pro-activ şi în curs de dezvoltare.
Auditorii trebuie să-şi extindă abilităţile lor pentru a lucra în mod eficace şi eficient în mediul
ERP. În caz contrar, auditorii interni pot să se confrunte cu o diminuare a necesităţii prezenţei lor
prin preluarea noilor atribuţii de către alte grupuri concurente profesional. Spathis şi
Constantinides (2004) examinează modificările aduse prin implementarea de sisteme ERP în
procesul de contabilitate. Rezultatele au arătat că singura schimbare notabilă în practicile de
contabilitate este legată de utilizarea sporită a funcţiei de audit intern.
Informaţiile disponibile pană la ora actuală nu abordează suficient de avansat problema
influenţiei tehnologiei în special prin sisteme ERP asuprea rolului auditului intern. Schimbarea
funcţiei de audit intern, ca răspuns la punerea în aplicare a sistemelor ERP este privită adeseori
contradictoriu, însă cu siguranţă această schimbare este constatată.
11
3.2. Tehnologia utilizată în cadrul auditului intern
Modul de organizare şi funcţionare a auditului intern, respectiv a departamentului de audit este
specific fiecărei companii. Tehnologia utilizată în cadrul practicilor de audit intern, sau lipsa
utilizării acesteia este de asemenea specifică fiecărei companii în parte. Trebuie subliniat faptul
că aceste informaţii nu sunt puse la dispoziţie de către companii, nu sunt făcute publice. Drept
urmare, pentru a reliefa tendinţele, modul şi măsura în care tehnologia este utilizată în cadrul
practicilor de audit intern am apelat la studiul realizat de Protiviti în 2012 „Internal Audit
Capabilities and Needs Survey”. Acest studiu este bazat pe răspunsurile angajaţilor la un
chestionar. Majoritatea respondenţilor sunt angajaţi ai unor companii americane.
În cadrul practicilor de audit intern, tehnologia este utilizată doar de 65% din companii. 35%
dintre acestea nu utilizează nici un tip de software. Dintre companiile care utilizează softuri
informatice, 37% folosesc programe informatice pentru activităţi de bază, cum ar fi păstrarea
documentelor şi prelucrarea de text. În plus, doar jumătate din companiile intervievate utilizează
tehnologia pentru a preveni, detecta, monitoriza şi investiga fraudele.
Rezultatele studiului indică faptul că este resimţită nevoia de îmbunătăţire a nivelului de utilizare
a tehnologiei în cadrul auditului intern. Principalele arii în care se resimte această nevoie sunt:
modul de gestionare al activelor din domeniul IT, crearea şi gestionarea furnizorilor, controlul
acceselor şi încasările. Modul de gestionare al activelor din domeniul IT prezintă o deosebită
importanţă deoarece toate funcţiile din cadrul unei companii necesită un anumit nivel de
tehnologie (computere, softuri informatice). În consecinţă acestea se află răspândite în întreaga
companie, la majoritatea angajaţilor şi necesită o bună gestionare. În plus, activele IT conţin date
esenţiale pentru companie. Pierderea, distrugerea sau publicarea unor date confidenţiale poate
avea efecte nefaste. Celelalte arii în care se resimte nevoia de îmbunătăţire a nivelului de
utilizare al tehnologiei se referă în principal la evitarea fraudelor (crearea unor furnizori fictivi şi
efectuarea de plăţi către aceştia, accesul la date, informaţii sau tranzacţii al unor persoane
neautorizate).
12
În ceea ce priveşte nivelul efectiv de utilizare a tehnologiei în cadrul practicilor de audit intern,
ariile în care aceasta este cel mai practicată sunt: controlul acceselor, datoriile către
furnizori/plăţi şi achiziţiile. Deşi în aceste domenii se utilizează un nivel mai înalt al tehnologiei,
respondenţii consideră că este nevoie de o îmbunătăţire a nivelului de utilizare a tehnologiei.
Domeniile în care tehnologia este cel mai puţin utilizată sunt: operaţiunile de leasing pentru
echipamente, operaţiunile de leasing operaţional, drepturi de autor. În aceste domenii nici nu este
resimţită nevoia de a utiliza tehnologia pentru auditul intern.
Aceste rezultate sunt aferente tuturor respondenţilor. Dacă ne focalizăm doar pe răspunsurile
directorilor de audit intern, apar mici diferenţe. Directorii de audit intern resimt nevoia de
îmbunătăţire a nivelului de utilizare a tehnologiei în principal în ceea ce priveşte modul de
gestionare al activelor IT. Spre deosebire de rezultatele generale, aceştia consideră importantă
creşterea nivelului de utilizare a tehnologiei pentru auditarea încasărilor şi a modului de
gestionare a furnizorilor.
Înafara nivelului de utilizare a tehnologiei, trebuie luat în considerare şi nivelul cunoştinţelor
tehnice ale personalului angajat. Implementarea şi utilizarea tehnologiei implică şi cunoaşterea
de către personalul angajat a modului de funcţionare a acesteia, ceea ce implică trainingul
angajaţilor precum şi dorinţa şi motivaţia acestora de a învăţa şi utiliza tehnologia.
Cunoştinţele tehnice cu nivelul cel mai scăzut şi cu nevoia cea mai mare de îmbunătăţire sunt în
domeniul social media şi cloud computing. Aceste domenii sunt relativ noi iar utilizarea lor în
cadrul companiei duce la apariţia de noi riscuri ceea ce impune auditului intern identificarea,
evaluarea, monitorizarea şi controlarea lor.
În ceea ce priveşte social media, mediul s-a schimbat drastic în ultimi ani şi multe companii se
zbat să ţină pasul cu schimbările şi cererile din această zonă. Aplicaţiile social media şi site-uri
ca Facebook sau Twitter au explodat în termeni de popularitate în ultimii ani şi noi site-uri social
media apar online într-un ritm foarte alert. Unele firme au politici vagi sau învechite de social
media şi inaplicabile în cazul în care activităţi inadecvate apar. Conform studiului Information
Technology Capabilities and Needs 2011 doar o pătrime din respondenţi au primit instrucţiuni
13
clare în ceea ce priveşte utilizarea social media. Aşadar, în majoritatea organizaţiilor este loc
pentru îmbunătăţiri.
Prin intermediul cloud computing-ului aplicaţiile şi datele sunt disponibile utilizatorilor unei
organizaţii oriunde şi oricând aceştia doresc să le acceseze. Prin urmare, pentru ca afacerea să
funcţioneze şi să livreze produsele sau serviciile sale nu mai trebuie să întreţină hardware-ul şi
software-ul necesar, sau să dispună de suport pentru a menţine toate componentele acestei
infrastructuri actualizate, securizate şi disponibile. Cloud computing-ul urmăreşte să crească
viteza cu care aplicaţiile sunt rulate, să crească inovaţia şi să reducă costurile, dar şi să mărească
agilitatea afacerii (Sun). Alte potenţiale beneficii pentru organizaţiile care apelează la cloud
computing sunt: separarea afacerii de infrastructură necesară funcţionării acesteia; flexibilitate în
alegerea furnizorilor de servicii de cloud computing astfel încât acestea să se potrivească cât mai
bine nevoilor afacerii cu posibilitatea încheierii unor contracte pe termen scurt; natura elastică a
infrastructurii ce oferă posibilitatea de a aloca resurse considerabile spre anumite servicii în
funcţie de cerere; reducerea costurilor datorită eficienţei operaţionale; implementarea mai rapidă
a noilor servicii oferite; reducerea riscului operaţional, dacă disponibilitatea serviciilor este
corect protejată în baza unui contract.
Utilizarea cloud computing-ului poate prezenta riscuri pentru companie, dar dacă anumite riscuri
cheie sunt înţelese şi planificate încă de la început acestea pot fi gestionate. Înainte de a trece
spre cloud computing companiile ar trebui să evalueze riscurile la care se expun. Rolul auditului
intern în procesul de migrare spre cloud computing este considerabil. Datorită funcţiei sale de
asigurare, auditul intern va ajuta managementul să identifice riscurile cheie şi să determine dacă
aceste riscuri au fost adecvat evaluate şi s-au luat măsurile necesare pentru diminuarea lor
(Protiviti, Internal Audit`s Role in Cloud Computing, 2011).
Printre domeniile în care se resimte nevoia de îmbunătăţire a cunoştinţelor tehnice se numără şi:
gestiunea riscului de fraudă, tehnologii pentru analiza datelor, cuantificarea eficienţei auditului
intern. Comparând rezultatele cu cele din anii anteriori se pot desprinde următoarele concluzii:
nevoia de cunoaştere a aplicaţiilor social media şi a cloud computing este nouă, fiind identificată
de angajaţi doar în anul 2011; în aceeaşi situaţie se află şi cunoaşterea tehnologiilor pentru
14
analiza datelor; angajaţii şi-au îmbunătăţit nivelul cunoaşterii tehnologiilor de tip eXtensible
Business Reporting Language (XBRL) şi Control Objectives for Information and Related
Technology (COBIT).
XBRL este un standard global disponibil gratuit pentru schimbul de informaţii caracteristice
afacerilor. XBRL permite exprimarea sensului semantic utilizat în principal în raportarea
informaţiilor de afaceri. Limbajul este bazat pe XML şi utilizează sintaxa XML şi tehnologii
conexe. O utilizare a XBRL este de a defini şi schimba informaţii financiare, cum ar fi situaţiile
financiare. COBIT este un cadru creat de ISACA (Information Systems Audit and Control
Association) pentru management IT şi guvernanţa IT. Acesta este un set de instrumente de
sprijin, care permite managerilor să reducă decalajul dintre cerinţele de control, probleme tehnice
şi riscurile de afaceri.
Auditul intern este specific fiecărei companii. Drept urmare şi tehnologiile utilizate şi stăpânite
de angajaţi diferă de la o companie la alta. Totuşi, unele caracteristici sunt comune companiilor
în funcţie de dimensiunea lor. Astfel, dacă lipsa de cunoaştere a aplicaţiilor social media este
comună tuturor companiilor, cunoaşterea tehnică a cloud computing este prezentă în cazul
angajaţilor companiilor mari şi doar în cazul companiilor mici şi mijlocii se resimte nevoia de
îmbunătăţire a cunoştinţelor în acest domeniu. În cazul companiilor mici şi mijlocii trebuie
îmbunătăţit nivelul de cunoaştere al tehnologiilor pentru prevenirea şi detectarea fraudelor în
contextul automatizării proceselor. Se poate desprinde concluzia că în companiile mari angajaţii
beneficiază de cursuri de pregătire profesională pentru a stăpâni modul de funcţionare al
proceselor automatizate. În cadrul companiilor mici şi mijlocii, deşi automatizarea proceselor
este o realitate, angajaţii nu sunt pregătiţi pentru a face faţă tuturor schimbărilor implicate de
acest fapt. Cunoaşterea modului de gestiune a riscului de fraudă, care este un aspect mai sensibil
şi mai greu de cuantificat, trebuie îmbunătăţită în cadrul tuturor companiilor, indiferent de
dimensiunea lor.
În ceea ce priveşte cunoaşterea proceselor de audit, nevoia cea mai pregnantă de îmbunătăţire a
cunoştinţelor este în domeniul auditului continuu, urmat de CAATs (Computer Assisted Audit
Tools) şi de monitorizarea continuă. De asemenea angajaţii consideră că ar trebui să îşi
15
îmbunătăţească nivelul de cunoaşterea a programelor pentru analiza datelor. Aceste domenii în
care se resimte nevoia de îmbunătăţire a cunoştinţelor sunt constante în ultimii 3 ani, diferă doar
ordinea lor. Astfel, dacă în 2010 pe primul plan se afla cunoaşterea CAATs si a programelor
pentru analiza datelor, în 2011 şi 2012 pe primul loc se află auditul continuu. Se poate desprinde
concluzia că în ultimii 3 ani angajaţii şi-au îmbunătăţit nivelul de cunoştinţe în ceea ce privesc
programele de analiză a datelor, însă acesta este un domeniu în continuă evoluţie ceea ce implică
un proces de învăţare continuă din partea angajaţilor.
Auditul continuu este un proces de audit care examinează practicile de contabilitate în mod
continuu de-a lungul anului. Auditurile continue sunt de obicei bazate pe tehnologie şi sunt
proiectate pentru a automatiza verificarea erorilor şi a datelor în timp real. Un sistem de audit
continuu declanşează alarma dacă sunt anomalii şi erori detectate în sistem şi emite o notificare
despre acestea.
Programul de monitorizare continuă are ca scop determinarea dacă un set complet de controale
de securitate din cadrul unui sistem continuă să fie eficiente în timp pe fondul schimbărilor
inevitabile care apar. Monitorizarea continuă este o activitate importantă în evaluarea impactului
de securitate asupra unui sistem ca urmare a schimbărilor planificate şi neplanificate la nivelul
hardware-ului, software-ului, firmware-ului sau mediului de operare.
Astfel, monitorizarea continuă oferă managementului posibilitatea să determine mai repede şi cu
mai mare acurateţe spre ce ar trebui să îşi îndrepte atenţia şi resursele pentru a îmbunătăţii
procese, pentru a diminua riscuri sau a lansa iniţiative cu scopul de a îşi atinge obiectivele
propuse. Pe de alta parte, auditul continuu oferă auditorilor interni posibilitatea de a determina
mai repede şi cu mai mare acurateţe spre ce ar trebui să îşi îndrepte atenţia şi resursele astfel
încât să îmbunătăţească calitatea auditurilor şi să susţină managementul.
Termenul de CAATs (Computer Assisted Audit Tools) reuneşte toate tehnicile care implică
utilizarea calculatorului pentru aplicarea procedurilor de audit. CAATs include toate tehnicile de
acest fel, de la aplicaţii simple de prelucrare de text până la sisteme complexe şi specializate.
Printre acestea se numără şi Microsoft Word, MS Excel şi MS Access pentru prelucrare de text,
16
organizarea foilor de lucru, grafice. Alte aplicaţii folosite pentru baze de date şi pentru analizarea
datelor sunt Oracle, Statistical Analysis Software (SAS), Structured Query Language (SQL),
Crystal Report şi PowerBuilder. Aceste aplicaţii pot fi folosite pentru extragerea şi selectarea
datelor precum şi pentru analiza acestora. Embedded Audit Modules (EAMs – module de audit
incorporate) sunt o categorie aparte de CAATs şi se evidenţiază prin faptul ca sunt incorporate în
aplicaţiile entităţii şi favorizează monitorizarea tuturor tranzacţiilor în timp real (Debreceny et
al., 2003; Groomer and Murthy, 2003, regăsit în Debreceny et al., 2005).
Cea mai utilizată categorie de CAATs este GAS (Generalized Audit Software – Software de
audit generalizat). Aceste tipuri de software reprezintă programe care conţin module capabile să
citească documentele existente pe un calculator şi să efectueze operaţiuni sofisticate cu datele
conţinute de acele fişiere pentru a ajuta la îndeplinirea obiectivelor auditului. Aceste tipuri de
programe au o interfaţă prietenoasă şi nu necesită cunoştinţe de programare din partea
utilizatorilor, respectiv a auditorilor. Programul utilizează cerinţele sau interogările auditorului şi
le transformă în linii de cod. Avantajul acestui tip de software, comparativ cu EAM este că nu
necesită cunoştinţe de programare, dar nu oferă nici posibilitatea de monitorizare în timp real.
Motivul utilizării pe scară largă a softurilor de tip GAS reprezintă simplitatea în utilizare.
Exemple de astfel de softuri sunt: Audit Command Language (ACL), Interactive Data Extraction
and Analysis (IDEA) şi Panaudit Plus. GAS permite exploatarea datelor aflate în sistemele
companiei într-un mod facil, flexibil şi interactiv.
Nivelul de cunoaştere al proceselor de audit precum şi nevoia de îmbunătăţire a acestuia diferă în
funcţie de dimensiunea companiei. Astfel, îmbunătăţirea cunoştinţelor în domeniul auditului
continuu şi monitorizării continue este considerată necesară în toate tipurile de companii, dar
companiile mari pun accentul şi pe îmbunătăţirea cunoştinţelor pentru monitorizarea fraudei.
În ceea ce priveşte abilităţile personale, angajaţii consideră că au o stăpânire medie a noilor
tehnologii, dar că nivelul acesteia ar trebui îmbunătăţit. Îmbunătăţirea nivelului de utilizare a
noilor tehnologii este resimţită ca o nevoie în special în cadrul companiilor mijlocii. O explicaţie
a acestui fenomen ar putea fi faptul că în cadrul companiilor mari angajaţii au parte de mai multe
programe de training pentru tehnologiile folosite în companie, iar în cazul companiilor mici
17
tehnologiile utilizate sunt doar cele de baza. Companiile mijlocii doresc să utilizeze tehnologii
mai complexe şi mai avansate, însă nu dispun de programe eficiente pentru instruirea
personalului în utilizarea lor ceea ce ar explica nevoia percepută de angajaţi de a-şi îmbunătăţi
cunoştinţele în acest domeniu.
18
3.3. Auditul asistat de tehnologie
Importanţa utilizării tehnologiei în cadrul auditului intern este redată de faptul că aceasta ajută la
obţinerea unor rezultate mai bune, mai sigure şi într-un timp mai scurt. De asemenea, utilizarea
tehnologiei poate duce la obţinerea unor beneficii superioare cu utilizarea a mai puţine resurse.
Pentru reliefarea concretă a modului în care tehnologia este utilizată în cadrul practicilor de audit
intern am apelat la studiul realizat de Protiviti, Internal Audit Around the Word 2010 şi la alte
studii regăsite în literatura de specialitate pentru exemplificarea concretă a tipurilor de tehnologii
implementate în anumite companii.
Accenture este o companie înfiinţată în Irlanda, care este cotată pe piaţa de capital de la New
York şi întocmeşte rapoarte în conformitate cu cerinţele SEC (Securities and Exchange
Commisssion), fiind prezentă în peste 52 de ţări. Obiectul principal de activitate al companiei
Accenture este prestarea de servicii profesionale. Obiectivele principale ale auditului intern în
cadrul companiei sunt: evaluarea modalităţii de gestionare a riscului, evaluarea siguranţei şi
integrităţii mediului financiar şi operaţional, evaluarea eficienţei controalelor interne şi a
sistemelor informaţionale, evaluarea măsurii în care politicile companiei sunt respectate.
Directorul de audit din cadrul Accenture consideră tehnologia ca fiind „o forţă multiplicatoare” a
abilităţilor auditorilor deoarece munca auditorilor interni este mult mai eficientă cu ajutorul
tehnologiei. Pentru atingerea obiectivelor auditului intern sunt utilizate următoarele programe:
SAP, CCH TeamMate, Microsoft SharePoint şi Audit Command Language (ACL).
Programul SAP este utilizat în întreaga companie şi nu este un program specific doar auditului
intern. Este util însă deoarece cu ajutorul acestei aplicaţii auditorii interni pot analiza datele din
orice locaţie înainte de a ajunge fizic acolo.
Programul ACL este specific doar auditului şi dă posibilitatea auditorilor interni de a verifica
seturi întregi de date, fără a apela la eşantionare ceea ce face evaluarea riscurilor mult mai
fiabilă. Programele TeamMate şi SharePoint sunt utilizate pentru organizarea activităţii de audit
intern, făcând posibil accesul tuturor auditorilor la toate foile de lucru din toate ţările.
19
Commonwealth Bank este o companie care oferă servicii financiare. Aceasta a fost înfiinţată în
Australia şi operează în 11 ţări, fiind listată pe piaţa de capital din Australia. În cadrul companiei
a fost format un grup de analiză pentru a facilita legătura dintre programele informatice şi
auditorii interni. Programul utilizat este SAS (Statistical Analysis System), iar grupul de analiză
monitorizează continuu datele pentru a identifica semnalele unei posibile probleme. Astfel,
Commonwealth Bank utilizează tehnologia pentru facilitarea unei atitudini pro-active, pentru
identificarea posibilelor probleme înainte de apariţie şi intervenirea pentru a le evita. Atingerea
acestui obiectiv este însă împiedicată de dificultatea selectării datelor.
Dentsply este o companie din Statele Unite care produce instrumente medicale, desfăşurând
activităţi operaţionale în 120 de ţări. În această companie obiectivul auditului intern este de a
evalua fiabilitatea rapoartelor financiare, integritatea activelor, eficienţa practicilor şi proceselor
financiare, precum şi evaluarea modului în care controalele interne sunt concepute şi a modului
lor de funcţionare. Suplimentar, auditul intern trebuie să furnizeze recomandări pentru
îmbunătăţirea acestor aspecte.
Programul utilizat de departamentul de audit intern este Audit Command Language (ACL).
Acest program permite echipei de audit intern să verifice anumite seturi de date rezultând într-o
creştere a eficienţei precum şi o posibilitate de control a costurilor. Utilizarea acestui program
reduce şi costurile echipei de audit deoarece auditorii nu sunt nevoiţi să se deplaseze în toate
locaţiile companiei ci pot verifica anumite aspecte cu ajutorul tehnologiei.
Deutsche Bank este o instituţie financiară din Germania care desfăşoară activităţi operaţionale în
72 de ţări. Departamentul de audit intern este format din peste 400 de membri (semnificativ mai
mulţi decât celelalte companii prezentate până acum), localizaţi in 31 de ţări pentru a asigura
prezenţa auditului intern în toate regiunile. În ceea ce priveşte tehnologia utilizată în cadrul
auditului intern, Deutsche Bank utilizează un program dezvoltat intern. Scopul principal al
folosirii acestui program este eficientizarea utilizării resurselor. Numele programului este
AWARE (Audit Workflow and Risk Assessement Engine), nume care sugerează un program
destinat să eficientizeze fluxul de lucru al auditului intern precum şi evaluarea riscurilor. Acest
program permite tuturor membrilor echipei de audit intern să acceseze întreaga bază de date în
20
orice moment, din orice locaţie. În plus, acest program reuneşte cele 3 aplicaţii care erau anterior
folosite (una pentru planificare, una pentru munca de teren şi o a treia pentru urmărire). Pentru
eficientizarea fluxului de lucru, programul oferă posibilitatea de a pune în ordine cronologică
toate sarcinile care trebuie îndeplinite.
Philips, companie olandeză, desfăşoară activităţi operaţionale în 60 de ţări. În cadrul auditului
intern este utilizată aplicaţia Enterprise Transaction Repository (ETR), care este o platforma
SAP. Printre avantajele utilizării acestei tehnologii se numără: o mai bună planificare a auditului
intern, asigurarea faptului că riscurile la care sunt supuse situaţiile financiare sunt monitorizate
de-a lungul întregului exerciţiu financiar pentru ca resursele să fie alocate în consecinţă precum
şi scăderea costurilor cu auditul extern.
SAP este o companie din Germania care produce programe pentru calculator, având activităţi
operaţionale în 50 de ţări. Pentru auditul intern, compania utilizează tehnologii dezvoltate intern.
Printre avantajele acestui soft se numără: generarea automată de documente, incluzând
recomandări şi semnalarea riscurilor; o interfaţă prietenoasă; posibilitatea de a efectua căutări
avansate, incluzând filtre pe regiuni, companii sau tip de audit; o bună monitorizare a auditului.
Shell este o companie olandeză din domeniul energetic cu sedii operaţionale în 100 de ţări. În
cadrul auditului intern a fost implementat un set complex de programe informatice pentru a
răspunde cerinţelor echipei de audit. Printre aceste cerinţe se numără: extragerea şi analiza
seturilor de date, evaluarea modului în care tranzacţiile, procesele şi programele funcţionează.
Cu ajutorul tehnologiei auditul intern nu mai apelează la eşantionare ci verifică complet
tranzacţiile companiei.
SPB este o instituţie financiară cu sediul în Franţa care desfăşoară activităţi operaţionale în 11
ţări. Programele informatice utilizate de SPB sunt Protiviti Governance Portal (PGP) pentru
organizarea şi stocarea documentelor de audit şi Audit Command Language (ACL) pentru
analiza datelor şi întocmirea rapoartelor. Directorul de audit susţine că programul PGP ajută
foarte mult la organizarea documentelor, regăsirea anumitor detalii precum şi oferirea
21
posibilităţii de verificare a documentelor. Programul ACL oferă posibilitatea analizării seturilor
de date mai cuprinzătoare, rezultând un audit intern mai eficient.
Talecris este o companie de produse farmaceutice din Statele Unite ale Americii. Această
companie desfăşoară activităţi operaţionale în 3 ţări. Departamentul de audit intern al acestei
companii utilizează programul ACL, în special Continuous Control and Monitoring (CCM).
Acest program oferă posibilitatea de a efectua 189 de teste de audit zilnic, săptămânal şi lunar.
Acest program oferă un control şi o monitorizare continuă a activităţilor şi ajută la o analiză
complexă a datelor.
Impactul tehnologiei nu se resimte doar în ţările dezvoltate. Dacă exemplele precedente fac
referire preponderent la cazul Statelor Unite ale Americii şi Europei Occidentale, putem să ne
orientăm atenţia şi spre ţările în curs de dezvoltare. Exemple relevante în acest sens regăsim în
studiul Employing generalized audit software in the financial services sector: Challenges and
opportunities efectuat de Roger Debreceny, Sook-Leng Lee, Willy Neo şiJocelyn Shuling Toh în
2005. Acesta prezintă modul de utilizare al tehnologiei în cadrul auditului intern al unor instituţii
financiare din Singapore.
Din motive de confidenţialitate studiul nu menţionează numele băncilor exemplificate. Banca C
este o societate dinafara lui Singapore care are 4 filiale în această ţară. Departamentul de audit
intern utilizează programul ACL. Criteriile de selecţionare a datelor necesare auditului sunt
introduse în program, iar acesta descarcă datele selectate de pe serverul băncii. Eşantionul este
selectat în funcţie de procentul din totalul conturilor pe care auditorul doreşte să le verifice.
Programul ACL este utilizat şi pentru investigaţii specifice, cum ar fi unele situaţii suspicioase.
Un exemplu în acest sens este analizarea trendurilor. Auditorul poate analiza trendul unor
tranzacţii pe mai multe perioade, iar fluctuaţiile anormale vor fi reliefate.
Banca A foloseşte de asemenea programul ACL în cadrul funcţiei de audit intern. Datele sunt
iniţial descărcate pe software-ul general implementat pentru tranzacţiile efectuate de bancă,
respectiv Silverlake Integrated Banking Suite (SIBS). Ulterior aceste date sunt exportate în
programul ACL. Criteriile pentru identificarea şi selecţionarea datelor sunt specificate în cadrul
22
programului ACL care este utilizat pentru eşantionare. Un exemplu în acest sens este
selecţionarea datelor pentru auditul unei filiale. Auditorul poate selecţiona un criteriu, de
exemplu tranzacţii mai mari de 250.000 de dolari. Tranzacţiile care îndeplinesc acest criteriu
sunt reliefate de programul ACL şi organizate în forma unui raport, pentru o identificare mai
facilă. Acest raport poate include câmpuri cum ar fi: numărul contului bancar, numele titularului,
suma care a depăşit plafonul selecţionat, valuta, operatorul care a efectuat tranzacţia, tipul, data
şi descrierea tranzacţiei. Pe baza acestui raport auditorii pot restrânge numărul de probe şi se pot
asigura că toate informaţiile necesare tranzacţiilor sunt corecte şi complete.
Programul ACL poate fi utilizat şi pentru identificare conturilor inactive. Prin inserarea unui
criteriu de tipul „conturi fără mişcări pe o perioadă de 6 luni”, programul ACL generează un
raport cu toate conturile care îndeplinesc acest criteriu. Pe baza acestui raport se pot verifica
procedurile de identificare şi măsura în care acestea funcţionează corect. Dacă aceste proceduri
nu funcţionează eficient se propun proceduri noi pentru investigarea tranzacţiilor neobişnuite.
Acest aspect este important deoarece conturile inactive pot fi reactivate pentru scopuri
frauduloase, cum ar fi spălarea de bani.
Deşi programul ACL facilitează şi eficientizează munca auditorilor, auditorul intern din cadrul
băncii A consideră ca acest sistem poate fi îmbunătăţit. De exemplu el consideră că ar fi un
avantaj ca ACL să fie instalat pe server-ul băncii pentru ca datele să fie exportate în program
printr-o singură procedură (spre deosebire de descărcarea iniţială a datelor de pe server şi apoi
exportarea lor în ACL, în două proceduri distincte şi consumatoare de timp). Prin instalarea
programului ACL pe server se reduce timpul necesar pentru demararea auditului. În plus se
reduce forţa de muncă necesară, deoarece nu mai este nevoie de asistenţa unui specialist IT
pentru procedura de migrare a datelor în ACL. Trebuie luată însă în considerarea ca excluderea
specialistului IT să nu afecteze securitatea şi integritatea server-ului băncii. Un alt beneficiu al
acestei instalări ar fi faptul că permite un audit continuu şi nu auditarea datelor istorice. Astfel,
programul ACL poate semnala o tranzacţie care depăşeşte un plafon prestabilit în momentul în
care aceasta are loc.
23
Banca B, o bancă locală din Singapore utilizează un program dezvoltat intern, denumit Zeus.
Trebuie remarcat faptul că, şi în ţările în curs de dezvoltare, tehnologia nu este doar „importată”,
unele companii dezvoltând programe şi softuri adaptate specificului şi nevoilor proprii. Cu
ajutorul programului Zeus, auditorii pot accesa datele oricând şi din orice locaţie sub forma unor
fişiere de tip „read-only”. Comparativ cu ACL, programul Zeus are şi o funcţie de arhivare,
stocând documente însă nu poate genera statistici şi analize de date. Programul Zeus este utilizat
preponderent pentru efectuarea de calcule, imprimarea scrisorilor de confirmare, efectuarea de
interogări şi sortarea datelor. Pentru unele cerinţe mai specifice ale auditorilor, aceştia se
adresează departamentului de IT pentru a le furniza informaţiile. Acest fapt denotă pe de o parte
faptul că auditorii ar avea nevoie de cunoştinţe de specialitate în domeniul IT pentru a efectua
singuri toate operaţiunile necesare funcţiei de audit, iar pe de altă parte auditorii nu sunt
autorizaţi să efectueze anumite interogări pentru securitatea informaţiei şi reducerea riscului ca
informaţia să fie distribuită persoanelor neautorizate.
Exemplele studiate sunt sintetizate în tabelul de mai jos:
Companie Ţara de
provenienţă
Tehnologie utilizată
Accenture Irlanda ACL, SAP, CCH TeamMate, Microsoft
SharePoint
Commonwealth
Bank
Australia SAS (Statistical Analysis System)
Dentsply U.S.A. ACL
Deutsche Bank Germania AWARE (dezvoltat intern)
Philips Olanda SAP
SAP Germania dezvoltat intern
Shell Olanda set complex de programe informatice
SPB Franta ACL, PGP (Protiviti Governance Protal)
Talecris U.S. ACL
Banca A Singapore ACL
Banca B Singapore Zeus (dezvoltat intern)
Banca C Singapore ACL
(Sursa: prelucrarea autorilor)
24
Studiind frecvenţa cu care tipurile de tehnologii sunt utilizate în cadrul companiilor se observă
următoarea distribuţie, redată în tabelul de mai jos:
ACL SAP Dezvoltat intern Altele
53,85% 23,08% 23,08% 30,77%
(Sursa: prelucrarea autorilor)
Peste jumătate dintre companii au implementat programul ACL, utilizarea acestuia fiind cel mai
răspândită. Platformele SAP sunt utilizate doar în 23% din cazuri. Aceasta poate fi datorată
faptului că platformele SAP nu sunt neapărat specifice funcţiei de audit intern, ci mai degrabă
sunt platforme implementate pentru toate funcţiile companiei. Trebuie remarcat faptul că 23%
din companiile analizate au dezvoltate tehnologii proprii pentru a fi folosite în cadrul auditului
intern. Deşi dezvoltarea internă a tehnologiilor permite o mai bună adaptare la specificul
companiei, acest proces necesită o investiţie mai mare şi personal calificat în domeniu.
Concentrându-ne atenţia doar pe tehnologiile utilizate de instituţiile financiare, procentele se
schimbă semnificativ.
ACL SAP Dezvoltat intern Altele
66,67% 0% 33,33% 33,33%
(Sursa: prelucrarea autorilor)
Peste 60% dintre instituţiile financiare utilizează ACL, iar platformele SAP nu sunt
implementate deloc în companiile din acest sector. Acest fapt denotă faptul că programul ACL
răspunde cerinţelor auditului intern din cadrul instituţiilor financiare. Pe de altă parte,
platformele SAP sunt potrivite pentru companii din alte domenii de activitate decât instituţiile
financiare. Se remarcă faptul că o treime din instituţiile financiare au dezvoltate tehnologii
proprii pentru departamentul de audit intern. Putem desprinde concluzia că în cadrul acestor
instituţii nevoia de a avea tehnologii adaptate organizaţiei este mai pregnantă decât în cadrul
companiilor cu alte domenii de activitate.
25
Exemplele prezentate ilustrează faptul că tehnologia este utilizată în cadrul funcţiei de audit
intern. Utilitatea tehnologiei este vastă, de la aspecte de bază cum ar fi procesarea de text,
realizarea unor tabele şi grafice, organizarea foilor de lucru, până la aspecte complexe şi
specifice cum ar fi analiza statistică a datelor, identificarea unor tendinţe, interogarea bazelor de
date pentru identificarea elementelor atipice. În plus, tehnologia este utilizate indiferent de
obiectul de activitate al companiei. Dintre exemplele noastre, cel mai frecvent utilizat este
programul ACL, fiind implementat atât în instituţii financiare, care utilizează tehnologia pentru
toate tranzacţiile şi operaţiunile efectuate cât şi de companii cu activitate de producţie, cum ar fi
Dentsply şi Telecris din industria produselor medicale.
Tehnologia utilizată în cadrul companiilor cuprinde atât programe cum ar fi ACL, care permit
efectuarea unor operaţiuni şi proceduri standard cât şi programe adaptate cerinţelor specifice
companiei. Software-ul adaptat unei companii poate fi achiziţionat de la un furnizor, cum este
SAP, care permite adaptarea programul în funcţie de cerinţele utilizatorilor, sau poate fi
dezvoltat intern, cum este cazul programului Zeus pentru instituţia financiară din Singapore şi
AWARE pentru Deutsche Bank.
26
4. Concluzii
Tehnologia va continua să transforme modul în care organizaţiile îşi gestionează afacerile,
crescând eficienţa şi reducând costurile, dar există riscuri. Identificarea şi înţelegerea riscurilor
relevante este esenţială pentru succesul afacerii, asigurarea securităţii datelor şi satisfacerea
eficace a cererii. De aceea, organizaţiile trebuie să implementeze procese de evaluare şi
monitorizare a riscurilor, iar auditul intern este responsabil cu înţelegerea riscurilor care
ameninţă organizaţia şi trebuie să se asigure că managementul a evaluat potenţialele riscuri şi
acestea sunt adresate pro-activ.
Auditorii interni trebuie să îşi dezvolte şi îmbunătăţească abilităţile legate de utilizarea
tehnologiei şi să ţină pasul cu continua dezvoltare şi modificare a acesteia. Pe de-o parte aceştia
trebuie să obţină o înţelegerea a modalităţii de implementare şi funcţionare a sistemelor IT în
cadrul organizaţiei precum şi a modului în care software-ul este folosit în cadrul tranzacţiilor şi
operaţiunilor şi a riscurilor la care compania se expune prin utilizarea acestor tehnologii. Pe de
altă parte auditorii interni sunt nevoiţi să cunoască şi să înţeleagă programele specifice auditului
intern pentru a le utiliza eficient şi pentru a exploata la maxim avantajele pe care acestea le oferă.
Auditul intern trebuie să se adapteze modului de organizare şi funcţionare a companiei. Astfel,
dacă în cadrul unei companii toate operaţiunile, procesele şi tranzacţiile utilizează tehnologia
informaţiei, va fi dificil, dacă nu chiar imposibil pentru auditul intern să îşi atingă obiectivele
prin realizarea tuturor procedurilor manual. Integrarea tehnologiei informaţiei în cadrul funcţiei
de audit intern trebuie să fie simultană cu integrarea acesteia în cadrul celorlalte funcţii ale
companiei. Pentru realizarea unui audit intern eficient sunt necesare soft-uri specializate,
integrate la nivelul sistemului informatic al companiei.
27
5. Bibliografie
1. Delloite (2010) , Continuous Monotoring and Continuous Auditing: from Idea to Implementation
2. Goodwin, J. and Yeo, T. (2001). Two factors affecting internal audit independence and
objectivity: Evidence from Singapore. International Journal of Auditing, 5(2), 107-25
3. Hunton, J., Wright, A. and Wright, S. (2001).Business and audit risks associated with ERP
systems: knowledge differences between information systems audit specialists and financial
auditors. 4th European Conference on Accounting Information Systems (ECAIS), Athens
4. Institute of Internal Audit (2010), International Standards for the Professional Practice of
Internal Auditing
5. Kallinikos J. (2004), Deconstructing Information Packages: Organizational and Behavioral
Implications of ERP Systems, Information Technology and People, Vol.17, Issue 1
6. Madani, H. (2009).The role of internal auditors in ERP-Based organisations. journal of
Accounting & Organisational Change,5 (4) , 514-526.
7. Paape, L., Scheffe, and Snoep P. (2003). The Relationship between the Internal Audit Function
and Corporate Governance in the EU – a Survey. International Journal of Auditing, 7, 247-262
8. Protiviti Knowleadgeleader (2010), Internal Audit Around the World
9. Protiviti Knowleadgeleader (2011), Information Technology Capabilities and Needs Survey
10. Protiviti Knowleadgeleader (2011), Internal Audit’s Role in Cloud Computing
11. Protiviti Knowleadgeleader (2012), Internal Audit Capabilities and Needs Survey
12. Raja Gopalan (2012), Internal Audit in ERP Environment Knowledge, Management Series, Vol.
1, Issue 5
13. Roger Debreceny, Sook-Leng Lee, Willy Neo, Jocelyn Shuling Toh (2005), Employing
generalized audit software in the financial services sector: Challenges and opportunities,
Managerial Auditing Journal, Vol. 20 Iss: 6, pp.605 – 618
14. Saharia Adyta, Koch Bruce, Tucker Robert (2008), ERP Systems and Internal Audit
15. Saharia, A., Koch, B. and Tucker, R. (2008). ERP systems and Internal Audit. Issues in
Information Systems, XL (2), 578-586.
16. Spathis, C. and Constantinides, S. (2004). Enterprise resource planning systems‟ impact on
accounting processes. Business Process Management Journal, 10 (2), 234-247
17. Sun Microsystems (2009), Introduction to Cloud Computing Architecture
18. Wright, S. and Wright, A. (2002).Information System Assurance for Enterprise Resource
Planning Systems: Unique Risk Considerations. Journal of Information Systems, 16, 99-113