„Funcția de audit intern oferă asigurare și consiliere independente și obiective privind adecvarea și eficacitatea guvernanței și a managementului riscului. Realizează acest lucru prin aplicarea competentă a unor procese sistematice și disciplinate, a expertizei și a discernământului.”The Institute of Internal Auditors (IIA) · The IIA's Three Lines Model: An Update of the Three Lines of Defense · 2020 · The IIA, «The IIA's Three Lines Model: An Update of the Three Lines of Defense» (iulie 2020), Principiul 4 «Third line roles»
Nimeni nu poate da asigurare independentă asupra propriei munci, oricât de competent ar fi.
Modelul actualizat de Institutul Auditorilor Interni în iulie 2020 nu mai vorbește despre „linii de apărare”, ci despre roluri. Organul de guvernanță dă direcția și cere socoteală. Managementul acoperă prima și a doua linie: prima livrează produsele și serviciile și, implicit, deține riscurile care vin cu ele; a doua aduce expertiză, monitorizare și contestare — conformitate, securitatea informației, calitate. A treia linie e auditul intern, care oferă asigurare independentă și obiectivă asupra guvernanței și a managementului riscului, raportând atât conducerii, cât și organului de guvernanță. Aici stau două confuzii scumpe. Responsabilul cu securitatea informației e linia a doua: sfătuiește, monitorizează, contestă, dar nu poate da asigurare despre propria muncă. Iar auditul intern nu proiectează controale și nu ține registrul de riscuri, altfel își pierde independența. Aceeași regulă se aplică la certificare: cine a implementat sistemul nu poate audita ce a implementat.
Cardul spune că nimeni nu dă asigurare despre propria muncă. Hai să ducem ideea mai departe: rolurile simultane funcționează doar dacă fiecare știe când să se oprească. Cine sfătuiește nu poate apoi judeca sfatul dat. Cine construiește un control nu poate spune dacă controlul e bun. Într-o familie, persoana care a gătit cina nu e cea care decide dacă cina a fost suficient de bună pentru invitați. De aceea auditul intern nu proiectează nimic pe care apoi să-l evalueze. Independența nu e un titlu, ci o limită pe care și-o impune singură. Dar ce se întâmplă când rolurile se suprapun în practică, de pildă când managementul cere auditului intern să țină registrul de riscuri?
Când auditul intern ține registrul de riscuri, problema nu apare imediat. Registrul arată bine, e actualizat, totul merge. Rănile apar peste un an, când același audit trebuie să evalueze dacă riscurile firmei sunt corect identificate. Oricum ar evalua, își judecă propria muncă, iar opinia devine neutilizabilă pentru organul de guvernanță. E ca și cum contabilul care ține registrele ar semna și raportul că registrele sunt corecte. Soluția nu e ca auditul să refuze orice ajutor, ci ca rolul să fie scris negru pe alb: cine deține activitatea, cine o verifică. Asta ridică întrebarea următoare: cine decide de fapt aceste limite, și cine le supraveghează?
De ce contează Independența nu e o formalitate: o opinie dată despre propriul proiect nu are valoare, iar organismul de certificare respinge aranjamentul.