Vnútorný audit

Okrem vnútorných auditov, ktoré sú zaradené v ročnom pláne, môže útvar vnútorného auditu v odôvodnených prípadoch, najmä pri podozrení na výskyt nepredvídaných rizík, na základe rozhodnutia štatutárneho orgánu alebo s jeho súhlasom, vykonať vnútorný audit, ktorý nebol uvedený v ročnom pláne. V prípade, že nastane situácia podľa predchádzajúcej vety, nevyžaduje sa vykonanie zmeny ročného plánu; informácie o vnútornom audite, ktorý bol vykonaný nad rámec ročného plánu, oznámi útvar vnútorného auditu ministerstvu financií prostredníctvom ročnej správy o vykonaných vnútorných auditoch. V prípade potreby zmeny alebo doplnenia (napr. pri zmene počtu zamestnancov útvaru, pri prehodnotení priorít) schváleného strednodobého plánu alebo ročného plánu a na základe aktuálneho prehodnotenia rizík, sa vypracuje dodatok k strednodobému plánu a/alebo ročnému plánu. V predmetnom dodatku sa náležite odôvodnia jednotlivé zmeny alebo doplnenia. Dodatok k plánom vnútorného auditu schvaľuje štatutárny orgán podľa § 17 ods. 4 zákona č. 357/2015 Z. z. a každá zmena v plánoch vnútorného auditu sa podľa § 18 ods. 1 písm. a) zákona č. 357/2015 Z. z. zasiela ministerstvu financií a Najvyššiemu kontrolnému úradu SR do desiatich pracovných dní odo dňa jej schválenia.

Podľa § 16 ods. 1 zákona č. 357/2015 Z. z. je správca kapitoly štátneho rozpočtu povinný zabezpečiť vykonávanie vnútorného auditu minimálne dvomi svojimi zamestnancami. Vnútorný audit môže byť, okrem vymenovaného vnútorného audítora, vykonaný aj iným zamestnancom, napr. takým, ktorý vykonáva agendu nesúvisiacu s vnútorným auditom. Tento zamestnanec by však nemal mať vzťah ku skutočnostiam, ktoré budú predmetom overenia vnútorným auditom z dôvodu, aby spochybnená jeho nepredpojatosť. 

Zamestnanci vnútorného auditu môžu vykonať aj personálny audit zaradený v ročnom pláne alebo v odôvodnených prípadoch na základe rozhodnutia štatutárneho orgánu alebo s jeho súhlasom. Vnútorný audit predstavuje nástroj správcu kapitoly štátneho rozpočtu, ktorý má nezávislým overovaním napomáhať štatutárnemu orgánu správcu kapitoly štátneho rozpočtu pri identifikovaní príležitostí na zdokonaľovanie riadiacich a kontrolných procesov a na rozvíjanie finančného riadenia. Ak zameranie vnútorného auditu smeruje k zdokonaľovaniu riadiacich a kontrolných procesov správcu kapitoly štátneho rozpočtu, a zároveň reflektuje ciele uvedené v § 10 ods. 2 zákona č. 357/2015 Z. z., prípadne aj ďalšie ciele, takýto vnútorný audit možno považovať za vnútorný audit vykonaný v súlade so zákonom č. 357/2015 Z. z.

Z pohľadu zákona č. 357/2015 Z. z. možno vykonať audit ochrany osobných údajov ako vnútorný audit, keďže plnenie úloh v oblasti ochrany osobných údajov tvorí súčasť riadiacich a kontrolných procesov správcu kapitoly štátneho rozpočtu, t. j. aj súčasť systému riadenia rizík, ktorého overovanie a hodnotenie zaraďujeme medzi ciele vnútorného auditu.

Vnútorný audit možno vykonať podľa § 16 ods. 2 zákona č. 357/2015 Z. z. na základe písomného poverenia vydaného štatutárnym orgánom správcu kapitoly štátneho rozpočtu. Ak proces prípravy, vyhotovenia a schvaľovania dokumentov OVS zabezpečuje elektronickým spôsobom, prostredníctvom elektronického registratúrneho systému, OVS je oprávnený fyzický (listinný) podpis príslušnej osoby nahradiť relevantnou elektronickou formou. Podmienkou však je, aby OVS mal na takýto elektronický proces vytvorené dostatočné materiálno-technické podmienky a niesol zodpovednosť za autenticitu, nespornosť, integritu a nepopierateľnosť elektronicky vyhotovených a schválených dokumentov. Ďalšou podmienkou je, že aj elektronicky vydané dokumenty, musia spĺňať všetky náležitosti podľa zákona č. 357/2015 Z. z., t. j. napr. poverenie na vykonanie vnútorného auditu musí mať písomnú formu a musí byť vydané štatutárnym orgánom správcu kapitoly štátneho rozpočtu. Ak sú tieto podmienky naplnené, duplicitné vyhotovenie poverenia na vykonanie vnútorného auditu v listinnej podobe sa nevyžaduje.

Zlúčením osoby vnútorného audítora a zodpovednej osoby by dochádzalo k stretu ich záujmov, nakoľko činnosť vnútorného audítora, vo vzťahu k úlohám plneným zodpovednou osobou, nebude objektívna a nezávislá tak, ako to stanovuje § 2 písm. c) a § 16 ods. 1 zákona č. 357/2015 Z. z., a zároveň by došlo k porušeniu ust. § 10 ods. 3 zákona č. 357/2015 Z. z. Uvedené platí aj z opačného pohľadu, t. j. zo strany zodpovednej osoby. Vnútorný audítor spracovávajúci osobné údaje by v takomto prípade nebol podrobený nezávislému a objektívnemu posúdeniu zo strany zodpovednej osoby tak, ako to vyžaduje čl. 38 ods. 6 nariadenia. Vnútorný audítor pri svojej práci plní úlohy, pri ktorých do istej miery spracúva osobné údaje (t. j. je „spracovateľom“ osobných údajov), keďže má prístup k informáciám, údajom, zamestnancom, majetku a pod. správcu kapitoly štátneho rozpočtu a vytvára o tom auditnú stopu.

Útvar vnútorného auditu je oprávnený vykonať v danej právnickej osobe vnútorný audit podľa zákona č. 357/2015 Z. z., pričom rozsah overenia závisí od cieľa vnútorného auditu. Ustanovenie § 16 ods. 4 písm. b) zákona č. 357/2015 Z. z. určuje, že SKŠR vykonáva vnútorný audit v právnickej osobe v jeho zriaďovateľskej pôsobnosti alebo zakladateľskej pôsobnosti, alebo v právnickej osobe, v ktorej OVS vykonáva akcionárske práva alebo práva vyplývajúce z vlastníctva majetkových podielov, alebo ktorú spravuje. Pre účely výkladu tohto ustanovenia pritom nie je rozhodujúce, či takáto právnická osoba je alebo nie je OVS. Je v kompetencii štatutárneho orgánu SKŠR určiť cieľ a rozsah overovania vnútorného auditu tak, aby prostredníctvom vykonaného vnútorného auditu získal náležité uistenie o nastavení a funkčnosti riadiacich a kontrolných procesov aj v subjektoch spadajúcich do jeho pôsobnosti.  

Útvar vnútorného auditu je oprávnený vykonať vnútorný audit vo všetkých osobách uvedených v ustanovení § 16 ods. 4 písm. a) až d) zákona č. 357/2015 Z. z., pričom by mal byť schopný zhodnotiť pri plánovaní riziká vo všetkých osobách, či už na základe výstupov z riadenia rizík (§ 5 zákona č. 357/2015 Z. z.) vlastnej organizácie, resp. podriadených organizácií, na základe výsledkov predchádzajúcich auditov a kontrol, ale aj na základe vlastného nezávislého audítorského úsudku (týka sa hlavne povinných osôb uvedených v § 16 ods. 4 písm. c) a d) zákona č. 357/2015 Z. z.). Z vykonaného hodnotenia rizík by malo byť zrejmé, ktoré oblasti/subjekty boli v rámci hodnotenia rizík vyhodnotené ako najrizikovejšie. Cieľom objektívneho hodnotenia rizík je spracovať plány auditov tak, aby reflektovali riziká celého rezortu pri zohľadnení návrhov a odporúčaní štatutárneho orgánu správu kapitoly štátneho rozpočtu. 

Podľa § 16 ods. 1 zákona č. 357/2015 Z. z. je útvar vnútorného auditu organizačne priamo podriadený štatutárnemu orgánu SKŠR a je funkčne a organizačne oddelený a nezávislý od iných organizačných útvarov SKŠR a od výkonu finančnej kontroly. Uvedeným sa má zabezpečiť najmä nezávislosť a objektivita zamestnancov vykonávajúcich vnútorný audit a predídenie možnému konfliktu záujmov. V súvislosti s inými kontrolnými mechanizmami zákon č. 357/2015 Z. z. upravuje najmä potrebu zabezpečiť funkčnú a organizačnú nezávislosť od výkonu finančnej kontroly. Pri začlenení zamestnancov vykonávajúcich vnútorný audit do jedného organizačného útvaru spolu so zamestnancami zodpovednými za výkon vnútornej kontroly podľa zákona č. 10/1996 Z. z. s tým, že by zabezpečenie oboch kontrolných procesov zastrešoval jeden vedúci zamestnanec, môže nastať riziko možného konfliktu záujmov, riziko zasahovania do nezávislosti a objektivity vnútorného auditu a v konečnom dôsledku aj samotné porušenie zákona č. 357/2015 Z. z. Uvedené riziká súvisia napr. s tým, že vnútorným auditom je možné overiť nastavenie a výkon vnútornej kontroly (t. j. vnútorným auditom by sa overovali činnosti zabezpečované v rámci organizačného útvaru vrátane činnosti priameho nadriadeného), príp. hrozí zaujatosť pri tvorbe plánov vnútorných auditov.

Podľa § 20 ods. 7 zákona č. 357/2015 Z. z. sa pri výkone auditu skutočnosti zistené počas auditu prerokujú s povinnou osobou pred doručením návrhu správy povinnej osobe na oboznámenie. Až následne, po prerokovaní skutočností zistených počas auditu, je oprávnená osoba povinná v súlade s § 20 ods. 4 písm. b) zákona č. 357/2015 Z. z. oboznámiť povinnú osobu s návrhom správy. Prerokovanie skutočností zistených počas auditu predstavuje záverečné stretnutie audítorskej skupiny so zástupcami povinnej osoby s cieľom informovať ich o priebehu auditu a o najvýznamnejších pozitívnych ako aj negatívnych skutočnostiach zistených v rámci auditu.