Artykuł nr 38, Kategoria: Zgodność i raportowanie

Audyt dokumentacji zgodności i kontroli wewnętrznej – jak znaleźć luki między polityką a praktyką?

Firma posiada:

kodeks etyczny;
politykę przeciwdziałania korupcji;
procedurę zgłaszania nieprawidłowości;
zasady weryfikacji kontrahentów;
matrycę uprawnień;
procedurę zatwierdzania wydatków;
rejestr szkoleń;
dokumentację kontroli wewnętrznej.

Na pierwszy rzut oka system wygląda dojrzale.

Każdy wymagany dokument istnieje.

Polityki są zatwierdzone.

Pracownicy odbyli szkolenia.

W systemie znajdują się formularze i rejestry.

Czy to oznacza, że organizacja rzeczywiście działa zgodnie z przyjętymi zasadami?

Nie musi.

Najważniejsze problemy bardzo często pojawiają się nie w samym dokumencie, lecz pomiędzy:

POLITYKĄ → PROCEDURĄ → KONTROLĄ → DZIAŁANIEM → DOWODEM

Przykład:

Polityka mówi:

każdy nowy kontrahent podlega weryfikacji przed rozpoczęciem współpracy.

Procedura opisuje:

zakres wymaganych kontroli.

System zakupowy pozwala jednak:

utworzyć dostawcę bez potwierdzenia ich wykonania.

Pracownik zna zasadę.

Ale pod presją czasu może:

najpierw uruchomić zakup, a dokumentację uzupełnić później.

Formalnie firma posiada:

politykę zgodności.

Operacyjnie istnieje:

możliwość jej pominięcia.

I właśnie tak powstaje luka między polityką a praktyką.

Dokumentacja zgodności nie powinna być oceniana wyłącznie według pytania „czy istnieje?”

To za mało.

Znacznie lepsza sekwencja pytań brzmi:

Czy wymaganie istnieje?

Czy zostało przełożone na konkretną kontrolę?

Czy kontrola jest wykonywana?

Czy pozostaje po niej dowód?

Czy kontrola rzeczywiście ogranicza ryzyko, dla którego została utworzona?

To pięć różnych poziomów.

Organizacja może przejść pierwszy.

I nie przejść czwartego ani piątego.

Najnowsze standardy wyraźnie kierują uwagę na skuteczność, a nie tylko istnienie systemu

ISO 37301:2021 jest międzynarodowym standardem dotyczącym systemów zarządzania zgodnością. W 2026 r. standard przeszedł okresowy przegląd i został potwierdzony jako nadal aktualny. ISO wskazuje, że obejmuje on ustanawianie, rozwijanie, wdrażanie, ocenianie, utrzymywanie i doskonalenie systemu zarządzania zgodnością. (iso.org)

Jeszcze bardziej bezpośrednio problem skuteczności ujmuje ISO 37302:2025, poświęcone właśnie ocenie skuteczności systemu zarządzania zgodnością. Dokument przedstawia zasady, wskaźniki i sposób monitorowania oraz przeglądu tego, jak system faktycznie działa. (iso.org)

To bardzo ważna zmiana perspektywy.

Nie pytamy tylko:

„Czy przedsiębiorstwo ustanowiło kontrolę?”

Pytamy:

„Czy potrafi wykazać, że ta kontrola jest skuteczna?”

Istnienie procedury, wykonanie procedury i skuteczność procedury to trzy różne rzeczy

Wyobraźmy sobie kontrolę:

wszystkie płatności powyżej 50 000 zł wymagają drugiej akceptacji.

Poziom 1 – konstrukcja

Procedura zawiera taki obowiązek.

Poziom 2 – wykonanie

System pokazuje dwie akceptacje.

Poziom 3 – skuteczność

Czy druga osoba rzeczywiście sprawdziła:

odbiorcę;
podstawę płatności;
kwotę;
dokument źródłowy?

Jeżeli druga akceptacja polega na mechanicznym kliknięciu:

kontrola formalnie została wykonana.

Ale jej wartość ochronna może być niewielka.

To dlatego audyt zgodności i kontroli wewnętrznej powinien rozróżniać:

KONSTRUKCJĘ → WYKONANIE → SKUTECZNOŚĆ

Amerykański Departament Sprawiedliwości zadaje dokładnie takie pytanie

Aktualne wytyczne Departamentu Sprawiedliwości Stanów Zjednoczonych dotyczące oceny firmowych systemów zgodności pochodzą z września 2024 r. i nadal znajdują się w oficjalnym zestawie materiałów Departamentu w 2026 r. (justice.gov)

Dokument nie ogranicza się do pytania:

czy firma ma program zgodności.

Pyta m.in.:

czy system jest dobrze zaprojektowany;
czy posiada odpowiednie zasoby i umocowanie;
czy działa w praktyce;
czy firma ma dostęp do danych pozwalających identyfikować problemy;
czy wykryte nieprawidłowości są właściwie badane i dokumentowane. (justice.gov)

Nie jest to uniwersalny polski standard prawny.

Jest jednak bardzo wartościowym przykładem nowoczesnego podejścia:

papierowy system nie wystarcza – trzeba badać jego rzeczywiste działanie.

Mapa Polityka–Kontrola–Praktyka Expert Design

Do audytu można zastosować autorski model:

WYMÓG → POLITYKA → PROCEDURA → KONTROLA → WYKONANIE → DOWÓD → WYNIK → NAPRAWA

To Mapa Polityka–Kontrola–Praktyka Expert Design.

Nie jest oficjalnym standardem ISO ani IIA.

Jej zadaniem jest ustalenie:

w którym miejscu pomiędzy wymaganiem a rzeczywistym działaniem organizacji pojawia się luka.

WARSTWA 1. WYMÓG – z czego wynika obowiązek?

Zanim sprawdzimy politykę, trzeba ustalić:

dlaczego w ogóle istnieje.

Źródłem może być:

ustawa;
rozporządzenie;
umowa;
norma;
warunek licencji;
wymóg grupy kapitałowej;
decyzja zarządu;
zobowiązanie wobec klienta.

Bez tego nie można wiarygodnie ocenić:

czy polityka pokrywa właściwy zakres.

Rejestr wymogów

Dla większego systemu przydatna jest tabela:

Oznaczenie	Wymóg	Źródło	Odpowiedzialny
W-01	weryfikacja kontrahenta	regulacja / polityka	zakupy
W-02	zgłaszanie konfliktu interesów	kodeks	wszyscy pracownicy
W-03	podwójna akceptacja	polityka finansowa	finanse
W-04	szkolenie okresowe	wymóg wewnętrzny	kadry

Dzięki temu wiadomo:

czego system ma pilnować.

Pierwsza luka: obowiązek istnieje, ale nie ma go w dokumentacji

Przykład:

nowe wymaganie prawne weszło w życie.

Procedura nadal opisuje:

poprzedni stan.

To luka aktualności.

Problem nie leży w wykonaniu.

Problem pojawia się wcześniej:

polityka nie odzwierciedla już obowiązującego wymogu.

WARSTWA 2. POLITYKA – czy zasada została właściwie zdefiniowana?

Polityka powinna określać:

cel;
zakres;
podstawowe zasady;
odpowiedzialność;
najważniejsze zakazy lub obowiązki.

Nie zawsze powinna opisywać:

każdy krok operacyjny.

Od tego może być procedura.

Ale polityka musi jednoznacznie powiedzieć:

czego organizacja wymaga.

Przykład słabej polityki

„Pracownicy powinni zachowywać najwyższe standardy uczciwości.”

To wartościowa zasada.

Ale z punktu widzenia kontroli trudno ustalić:

co dokładnie oznacza naruszenie.

Lepszy system łączy zasadę z:

procedurą;
przykładami;
ścieżką zgłoszenia;
sposobem eskalacji.

WARSTWA 3. PROCEDURA – czy wiadomo, jak wykonać wymaganie?

Polityka:

kontrahenta trzeba zweryfikować.

Procedura powinna odpowiedzieć:

kiedy;
przez kogo;
w jakich źródłach;
według jakich kryteriów;
co zrobić przy wyniku negatywnym;
kto zatwierdza wyjątek.

Jeżeli tych informacji brakuje:

pracownik musi stworzyć własną metodę.

To może prowadzić do:

różnych sposobów wykonywania tego samego obowiązku.

Polityka bez procedury może być wartością, ale niekoniecznie kontrolą

To ważne rozróżnienie.

Zdanie:

„nie tolerujemy korupcji”

komunikuje stanowisko organizacji.

Ale system przeciwdziałania korupcji może potrzebować również:

zasad prezentów;
weryfikacji pośredników;
progów;
dokumentowania;
eskalacji.

Inaczej pracownik zna:

intencję.

Nie zawsze zna:

właściwe działanie.

WARSTWA 4. KONTROLA – co konkretnie ma zapobiec naruszeniu albo je wykryć?

To punkt, w którym dokumentacja musi przejść w mechanizm działania.

Kontrola może być:

zapobiegawcza

np. brak możliwości wykonania płatności bez akceptacji;

wykrywająca

np. późniejsza kontrola nietypowych transakcji;

korygująca

np. obowiązek zmiany procesu po wykrytym naruszeniu.

Każdy ważny wymóg powinien mieć kontrolę albo świadomą decyzję, że jej nie potrzebuje

Można zbudować:

Macierz wymóg–kontrola

Wymóg	Kontrola	Charakter
podwójna akceptacja	blokada w systemie	zapobiegawcza
konflikt interesów	oświadczenie	wykrywająca
szkolenie	przypomnienie + potwierdzenie	zapobiegawcza
wyjątek	zatwierdzenie przełożonego	korygująca

Jeżeli przy materialnym wymogu pole „kontrola” jest puste:

powstaje luka konstrukcji kontroli.

Kontrola zapisana tylko w procedurze może być słabsza od kontroli wbudowanej w proces

Porównajmy:

Wariant A

Instrukcja mówi:

pamiętaj o dwóch akceptacjach.

Wariant B

System nie pozwala wysłać płatności bez drugiej akceptacji.

Wariant B redukuje zależność od:

pamięci i dobrej woli użytkownika.

Nie oznacza to, że wszystkie kontrole powinny być automatyczne.

Ale audyt powinien pytać:

dlaczego kontrola ma właśnie taką formę?

WARSTWA 5. WYKONANIE – czy kontrola rzeczywiście działa w codziennej pracy?

Tutaj dokument przestaje wystarczać.

Potrzebujemy:

próby transakcji;
obserwacji procesu;
zapisów systemowych;
rozmów;
historii wyjątków;
wyników kontroli.

Test próby

Załóżmy:

procedura wymaga weryfikacji wszystkich kontrahentów.

Wybieramy:

próbę 30 nowych dostawców.

Sprawdzamy:

czy weryfikacja została wykonana;
przed czy po rozpoczęciu współpracy;
przez właściwą osobę;
według aktualnej wersji procedury;
czy istnieje dowód.

Teraz audytujemy:

praktykę.

Nie tylko dokument.

Ważne: brak naruszenia nie dowodzi skuteczności kontroli

Firma może powiedzieć:

„Nie mieliśmy żadnego incydentu.”

To nie wystarcza.

Możliwe, że:

kontrola działa świetnie;
ryzyko się nie zmaterializowało;
naruszenie nie zostało wykryte.

Dlatego brak incydentu:

nie jest sam w sobie dowodem skuteczności kontroli.

WARSTWA 6. DOWÓD – czy wykonanie kontroli można odtworzyć?

Kontrola mogła zostać wykonana.

Ale po pół roku nikt nie potrafi tego wykazać.

Przykład:

„Kierownik zawsze to sprawdza.”

Gdzie dowód?

„Nie zapisujemy tego.”

Wtedy pojawia się:

luka odtwarzalności.

Dowód wykonania może mieć różną formę

zapis w systemie;
dziennik zdarzeń;
podpis;
zatwierdzenie;
rejestr;
protokół;
formularz;
wynik automatycznego testu.

Nie każdy proces potrzebuje:

osobnego formularza.

Ale przy kontroli materialnej powinna istnieć możliwość ustalenia:

czy i kiedy została wykonana.

WARSTWA 7. WYNIK – czy kontrola osiąga cel?

To najważniejszy poziom.

Możemy mieć kontrolę wykonywaną:

100% przypadków.

Ale czy wykrywa to, co ma wykrywać?

Przykład

Procedura wymaga:

sprawdzenia kontrahenta na liście sankcyjnej.

Kontrola jest wykonywana zawsze.

Ale pracownicy korzystają z:

nieaktualnej kopii listy pobranej sześć miesięcy wcześniej.

Wykonanie:

100%.

Skuteczność:

problematyczna.

Skuteczność nie jest tym samym co dyscyplina wykonania

To fundamentalne rozróżnienie:

dyscyplina

czy kontrolę wykonano?

adekwatność

czy kontrola bada właściwą rzecz?

skuteczność

czy faktycznie ogranicza zamierzone ryzyko?

ISO 37302:2025 właśnie dlatego koncentruje się na ocenie skuteczności systemu zarządzania zgodnością, a nie tylko jego formalnej obecności. Standard zawiera podejście oparte na zasadach, wskaźnikach, monitorowaniu, pomiarach i przeglądach. (iso.org)

WARSTWA 8. NAPRAWA – co organizacja robi po wykryciu problemu?

Dobry system zgodności nie jest systemem:

bez naruszeń.

To nierealne założenie.

Jest systemem, który potrafi:

wykrywać;
wyjaśniać;
reagować;
usuwać przyczyny;
ograniczać powtórzenie.

Remediacja powinna iść dalej niż poprawienie jednego przypadku

Przykład:

wykryto płatność bez wymaganej akceptacji.

Można:

uzyskać brakujący podpis po fakcie.

Ale to nie odpowiada:

dlaczego system pozwolił wykonać płatność?

Lepsze pytania:

błąd użytkownika?
niewłaściwe uprawnienia?
brak blokady?
wyjątek systemowy?
niejasna procedura?

Przyczyna źródłowa jest ważniejsza niż sam objaw

Można poprawiać:

pojedyncze przypadki.

Jeżeli źródłem jest:

wadliwa architektura kontroli,

problem będzie wracał.

Dlatego warto prowadzić:

rejestr przyczyn powtarzających się ustaleń.

Mapa Polityka–Kontrola–Praktyka

Warstwa	Pytanie kontrolne
Wymóg	Z czego wynika obowiązek?
Polityka	Czy zasada została jasno określona?
Procedura	Czy wiadomo, jak ją wykonać?
Kontrola	Co ogranicza ryzyko?
Wykonanie	Czy kontrola rzeczywiście działa?
Dowód	Czy można wykazać jej wykonanie?
Wynik	Czy ogranicza zamierzone ryzyko?
Naprawa	Czy organizacja uczy się z problemów?

To właśnie Mapa Polityka–Kontrola–Praktyka Expert Design.

Najważniejszy test: wybierz jeden wymóg i przejdź całą drogę

Przykład:

„Kontrahent wysokiego ryzyka wymaga dodatkowej akceptacji.”

Audyt:

Wymóg

istnieje.

Polityka

opisuje dodatkową kontrolę.

Procedura

wskazuje trzy kryteria ryzyka.

Kontrola

formularz oznacza przypadek jako wysoki.

Wykonanie

sprawdzamy 20 przypadków.

Dowód

istnieje elektroniczne zatwierdzenie.

Wynik

w dwóch przypadkach akceptacja nastąpiła już po podpisaniu umowy.

Teraz znaleźliśmy realną lukę:

kontrola istnieje, ale jest wykonywana za późno.

Czas wykonania kontroli jest częścią skuteczności

Kontrola wykonana:

po decyzji

może mieć zupełnie inną wartość niż:

przed decyzją.

Przykłady:

weryfikacja dostawcy po podpisaniu umowy;
sprawdzenie limitu po płatności;
analiza konfliktu interesów po głosowaniu.

Formalnie:

kontrolę wykonano.

Funkcjonalnie:

nie mogła już zapobiec zdarzeniu.

Test momentu kontroli

Pytamy:

W jakim momencie procesu kontrola musi nastąpić, aby nadal mogła spełnić swój cel?

To proste pytanie często ujawnia bardzo materialne problemy.

Kultura organizacyjna ma znaczenie

Nie wszystkie luki wynikają z dokumentów.

Może istnieć nieformalna zasada:

„w pilnych sprawach omijamy procedurę”.

Albo:

„nikt nie chce eskalować problemów do zarządu”.

Wtedy oficjalny dokument może być:

poprawny.

Praktyka:

zupełnie inna.

Badania empiryczne wspierają znaczenie kultury i kontroli wewnętrznej

Badanie opublikowane w 2025 r. dotyczące skuteczności kontroli wewnętrznej w obszarze rachunkowości i finansów wskazało na znaczenie przywództwa opartego na odpowiedzialności i przestrzeganiu zasad oraz na istotną rolę kultury organizacyjnej w skuteczności kontroli. Wyniki pochodzą z konkretnej badanej populacji i nie powinny być traktowane jako uniwersalne prawo dla wszystkich przedsiębiorstw. (emerald.com)

Z kolei badanie przedsiębiorstw państwowych w Chinach, opublikowane w 2024 r., wykazało związek wdrażania wytycznych dotyczących zarządzania zgodnością z poprawą efektywności inwestycji, a jednym z analizowanych mechanizmów było wzmocnienie kontroli wewnętrznej. Wynik dotyczy konkretnego otoczenia instytucjonalnego i nie należy przenosić jego wielkości bezpośrednio na inne kraje lub typy firm. (sciencedirect.com)

Praktyczny wniosek jest ostrożniejszy:

system zgodności działa w środowisku organizacyjnym, a nie w oderwaniu od niego.

„Ton z góry” trzeba sprawdzać na konkretnych zachowaniach

Deklaracja prezesa:

„zgodność jest dla nas priorytetem”

to komunikat.

Audyt powinien sprawdzić:

co dzieje się, gdy sprzedaż koliduje z procedurą;
czy pracownik może zatrzymać proces;
czy osoby przynoszące złe wiadomości są wspierane;
czy wyjątki dla kierownictwa są traktowane inaczej.

To daje bardziej wiarygodny obraz niż:

sam kodeks etyczny.

Wyjątki są jednym z najlepszych źródeł wiedzy o systemie

Jeżeli polityka działa dobrze w normalnym przypadku:

warto zobaczyć wyjątki.

Na przykład:

pilna płatność;
strategiczny klient;
ważny dostawca;
dyrektor proszący o odstępstwo.

Właśnie wtedy widać:

czy kontrola jest rzeczywista.

Rejestr wyjątków

Data	Kontrola	Wyjątek	Kto zatwierdził	Uzasadnienie
02.09	dwie akceptacje	jedna	dyrektor	pilna dostawa
11.09	pełna weryfikacja	skrócona	zgodność	niski zakres
17.09	limit wydatku	przekroczony	zarząd	awaria

Po kilku miesiącach pytamy:

czy wyjątki są rzeczywiście wyjątkami?

Jeżeli procedurę omija się regularnie, być może problemem nie są pracownicy

Może się okazać, że:

procedura jest zbyt wolna;
próg jest źle ustawiony;
system nie pasuje do działalności;
wymaganie jest niejasne.

To nie oznacza:

automatycznie poluzować kontrolę.

Oznacza:

zbadać przyczynę powtarzalnych odstępstw.

Kontrola może być formalnie wykonywana, ale obchodzona

Przykład:

wymagane są:

trzy oferty.

Pracownik pozyskuje:

jedną realną;
dwie pro forma tylko po to, aby zamknąć wymóg.

Na poziomie formularza:

PASS.

Na poziomie celu kontroli:

problem.

Dlatego audyt nie powinien oceniać wyłącznie:

obecności dokumentów.

Powinien rozumieć:

funkcję kontroli.

Kontrola „na papierze” i kontrola „w sensie ekonomicznym”

Można to ująć tak:

formalnie

czy krok wykonano?

funkcjonalnie

czy krok mógł zmienić wynik?

To drugie pytanie jest często bardziej wartościowe.

Kompetencje są częścią systemu zgodności

ISO 37303:2025 poświęcono zarządzaniu kompetencjami potrzebnymi do skutecznego systemu zgodności. Standard wskazuje na potrzebę określania i rozwijania wiedzy, umiejętności oraz doświadczenia niezbędnych do wykonywania ról związanych z obowiązkami zgodności – zarówno wewnątrz organizacji, jak i w odpowiednich relacjach zewnętrznych. (iso.org)

To ważne, ponieważ:

nawet świetna procedura może nie działać, jeśli osoba wykonująca kontrolę nie ma kompetencji do oceny wyniku.

Szkolenie nie jest automatycznie dowodem kompetencji

Pracownik:

ukończył szkolenie.

To dowód:

uczestnictwa.

Nie zawsze:

umiejętności zastosowania zasad.

Test kompetencji

Zamiast pytać:

„Czy odbyłeś szkolenie dotyczące konfliktu interesów?”

można przedstawić:

konkretny scenariusz.

Na przykład:

„Twój bliski krewny pracuje u dostawcy biorącego udział w postępowaniu. Co robisz?”

Odpowiedź pokazuje:

czy wiedza jest operacyjna.

Szkolenia powinny odpowiadać roli

Osoba odpowiedzialna za:

zakupy

potrzebuje innych przykładów niż:

pracownik księgowości.

Dlatego system szkoleniowy nie powinien ograniczać się do:

jednego identycznego materiału dla całej firmy.

WARSTWA DANYCH – czy firma potrafi zobaczyć, że kontrola nie działa?

Wytyczne Departamentu Sprawiedliwości zwracają uwagę na dostęp do danych i informacji potrzebnych do identyfikowania problemów lub słabości systemu zgodności możliwie wcześnie. (justice.gov)

To bardzo ważny obszar.

Jeżeli firma ma kontrolę:

ale nie mierzy jej działania,

problemy mogą pozostawać niewidoczne.

Przykładowe wskaźniki kontroli

Nie muszą być skomplikowane.

Można mierzyć:

udział kontroli wykonanych w terminie;
liczbę wyjątków;
liczbę brakujących zatwierdzeń;
powtarzalne nieprawidłowości;
czas zamknięcia ustaleń;
odsetek ponownie otwartych problemów.

Nie chodzi o:

jak największą liczbę wskaźników.

Chodzi o takie, które pomagają rozpoznać:

czy system działa.

Zły wskaźnik może stworzyć fałszywe poczucie bezpieczeństwa

Przykład:

100% pracowników ukończyło szkolenie.

Brzmi znakomicie.

Ale jeśli:

40% osób nie potrafi poprawnie rozwiązać podstawowego scenariusza,

mamy:

activity success,

ale nie:

evidence skuteczności.

W polskim ujęciu:

wykonaliśmy działanie, ale nie potwierdziliśmy rezultatu.

Audyt kontroli powinien badać zarówno konstrukcję, jak i działanie

Można zastosować dwa podstawowe pytania.

Czy kontrola została właściwie zaprojektowana?

To:

ocena konstrukcji.

Czy działała zgodnie z projektem przez badany okres?

To:

ocena działania.

Przykład

Kontrola:

druga osoba zatwierdza zmianę danych dostawcy.

Konstrukcja

Dobra.

Próba 40 zmian

W 11 przypadkach:

zatwierdzenie nastąpiło po zmianie.

Czyli:

kontrola istnieje,

ale jej działanie wymaga poprawy.

Następny poziom: czy nawet prawidłowo wykonana kontrola jest skuteczna?

Możliwe, że:

druga osoba zatwierdza zawsze.

Bez faktycznego sprawdzenia.

Dlatego trzeci test brzmi:

czy kontrola wpływa na jakość decyzji lub wykrywanie problemów?

Macierz skuteczności kontroli

Konstrukcja	Wykonanie	Wynik
dobra	dobre	ocenić skuteczność
dobra	słabe	luka wykonania
słaba	dobre	kontrola wykonywana, lecz niewystarczająca
słaba	słabe	luka systemowa

To prosta tabela.

A pozwala uniknąć wniosku:

„mamy procedurę, więc kontrola działa”.

Audyt zgodności nie powinien szukać wyłącznie naruszeń

To bardzo ważne.

Jeżeli audyt rozpoczynamy od:

„znajdźmy, kto nie przestrzega zasad”,

możemy przeoczyć:

wadliwą konstrukcję systemu.

Lepsze pytanie:

Czy organizacja stworzyła warunki, które umożliwiają i wspierają zgodne działanie?

System zgodności powinien być możliwy do wykonania

Jeżeli procedura wymaga:

czterech akceptacji w ciągu dwóch godzin,

a osoby zatwierdzające są w różnych strefach czasowych:

problem może być konstrukcyjny.

Pracownicy zaczynają tworzyć:

obejścia.

Obejście nie zawsze jest dowodem złej woli

Może być informacją:

proces nie pasuje do rzeczywistości.

Dlatego każde powtarzalne obejście powinno uruchomić:

analizę przyczyny.

Jak przeprowadzić audyt dokumentacji zgodności i kontroli wewnętrznej?

Można zastosować osiem przebiegów.

PRZEBIEG 1 – źródła obowiązków

Co organizacja musi lub chce spełniać?

PRZEBIEG 2 – polityki

Czy obowiązki zostały właściwie przełożone na zasady?

PRZEBIEG 3 – procedury

Czy wiadomo, jak zasady realizować?

PRZEBIEG 4 – konstrukcja kontroli

Czy każde istotne ryzyko ma odpowiedni mechanizm?

PRZEBIEG 5 – próba wykonania

Czy kontrole były rzeczywiście stosowane?

PRZEBIEG 6 – dowody

Czy istnieje odtwarzalny ślad?

PRZEBIEG 7 – skuteczność

Czy kontrola osiąga zamierzony cel?

PRZEBIEG 8 – naprawa i uczenie się

Czy wykryte problemy prowadzą do trwałej poprawy?

To zupełnie inny audyt niż:

sprawdzenie, czy wszystkie procedury mają numer i podpis.

Macierz pokrycia audytu

Obszar	Pełna kontrola	Próba	Poza zakresem
polityki	✓
procedury	✓
płatności		✓
dostawcy		✓
szkolenia		✓
bezpieczeństwo informatyczne			✓

Taka informacja chroni przed zbyt szerokim wnioskiem:

„system zgodności jest skuteczny”.

Jeżeli zbadaliśmy:

tylko trzy procesy,

wynik powinien odnosić się:

do tych trzech procesów.

Najczęstsze rodzaje luk

1. Luka wymagania

Obowiązek nie został ujęty w dokumentacji.

2. Luka procedury

Polityka istnieje, ale nie wiadomo, jak ją wykonać.

3. Luka kontroli

Wymóg istnieje, ale nie ma mechanizmu sprawdzającego.

4. Luka wykonania

Kontrola istnieje, ale nie jest wykonywana.

5. Luka dowodowa

Kontrola jest wykonywana, lecz nie ma śladu.

6. Luka czasowa

Kontrola wykonywana jest za późno.

7. Luka skuteczności

Kontrola działa formalnie, ale nie ogranicza ryzyka.

8. Luka naprawcza

Problemy są wykrywane, ale ich przyczyny pozostają.

To daje bardzo użyteczną typologię ustaleń.

Jedna luka może znajdować się kilka poziomów wcześniej, niż początkowo się wydaje

Przykład:

pracownik nie wykonał dodatkowej weryfikacji.

Pierwsza interpretacja:

luka wykonania.

Ale podczas kontroli okazuje się:

procedura nie określa, kiedy dodatkowa weryfikacja jest obowiązkowa.

Prawdziwa luka znajduje się więc:

wcześniej – w konstrukcji procedury.

To ważne dla naprawy.

Naprawiaj przyczynę na najwyższym właściwym poziomie

Jeżeli problem wynika z:

niejasnej polityki,

nie wystarczy przeszkolić pracownika.

Jeżeli z:

błędnego systemu,

nie wystarczy zmienić instrukcji.

Jeżeli z:

braku kompetencji,

nie wystarczy dołożyć kolejnego pola w formularzu.

Remediacja powinna odpowiadać:

rzeczywistemu źródłu problemu.

Rejestr ustaleń powinien rozróżniać typ luki

Przykład:

Oznaczenie	Ustalenie	Typ
Z-01	brak kryterium wysokiego ryzyka	procedura
Z-02	weryfikacja po podpisaniu umowy	czas
Z-03	brak dowodu akceptacji	dowód
Z-04	system pozwala ominąć kontrolę	konstrukcja
Z-05	problem powrócił po poprawce	naprawa

Dzięki temu zarząd widzi:

nie tylko liczbę problemów,

ale:

strukturę słabości systemu.

Najważniejsze ustalenia powinny prowadzić do ponownego testu

Po poprawce:

nie zamykamy problemu na podstawie deklaracji „wdrożono”.

Trzeba ponownie sprawdzić:

dokument;
system;
próbę transakcji;
dowód;
skutek.

Czyli zastosować retest dokumentu po zmianach.

Przykład ponownego testu

Pierwotny problem:

system pozwalał utworzyć dostawcę bez weryfikacji.

Naprawa:

dodano obowiązkowe pole.

Ponowny test:

utwórz testowy przypadek bez danych;
sprawdź, czy system blokuje przejście;
sprawdź możliwość obejścia;
sprawdź uprawnienia administracyjne;
sprawdź zapis dowodu.

Dopiero wtedy:

problem można uznać za zamknięty w badanym zakresie.

Zgodność i kontrola wewnętrzna nie są tym samym

To ważne rozróżnienie.

system zgodności

koncentruje się m.in. na przestrzeganiu:

prawa;
regulacji;
standardów;
zobowiązań;
zasad etycznych.

kontrola wewnętrzna

jest szerszym mechanizmem wspierającym m.in.:

osiąganie celów;
wiarygodność informacji;
ochronę zasobów;
prawidłowość procesów;
zarządzanie ryzykiem.

W praktyce:

silny system zgodności bardzo często potrzebuje silnych kontroli wewnętrznych.

Globalne standardy audytu wewnętrznego również wymagają myślenia przez ryzyka i kontrole

Globalne standardy audytu wewnętrznego IIA z 2024 r., obowiązujące dla odpowiednich ocen jakości od stycznia 2025 r., organizują pracę audytową m.in. wokół skutecznego planowania, wykonywania badań, rozwijania ustaleń, komunikowania wyników i monitorowania działań. (theiia.org)

To nie znaczy, że każdy audyt dokumentacji zgodności jest formalnym audytem wewnętrznym w rozumieniu IIA.

Logika jest jednak bardzo użyteczna:

RYZYKO → KRYTERIUM → KONTROLA → DOWÓD → USTALENIE → DZIAŁANIE → PONOWNY TEST

Audyt powinien szukać także kontroli zbędnych

Więcej kontroli nie zawsze znaczy:

lepiej.

Może istnieć:

pięć akceptacji;
trzy formularze;
dwie powtarzające się kontrole.

Koszt rośnie.

Skuteczność:

niekoniecznie.

Duplicate Control Test

Pytamy:

Czy dwie kontrole ograniczają to samo ryzyko w ten sam sposób?

Jeżeli tak:

może istnieć możliwość:

uproszczenia procesu.

Oczywiście dopiero po sprawdzeniu:

czy jedna z nich nie pełni innej funkcji, np. niezależnej weryfikacji.

Nadmiernie skomplikowany system może osłabić zgodność

Jeżeli użytkownik musi wykonać:

27 kroków,

może rosnąć ryzyko:

błędu;
pominięcia;
obchodzenia.

Dlatego audyt powinien oceniać nie tylko:

niedobór kontroli,

ale również:

ich proporcjonalność.

Kontrola powinna być dopasowana do ryzyka

Przykład:

zakup:

500 zł.

Kontrola:

cztery akceptacje.

Możliwe:

nieproporcjonalne.

Zakup:

5 mln zł.

Jedna akceptacja:

być może niewystarczające.

Nie istnieje uniwersalna liczba.

Potrzebna jest:

ocena ryzyka.

Dojrzały system nie traktuje każdego przypadku identycznie

Może różnicować kontrolę według:

kwoty;
kraju;
rodzaju kontrahenta;
dostępu do danych;
charakteru transakcji;
poziomu ryzyka.

Ale reguły różnicowania powinny być:

jasne i odtwarzalne.

Dane mogą pomóc wykryć obchodzenie kontroli

Przykład:

limit dodatkowej akceptacji:

50 000 zł.

W danych występuje wiele transakcji:

49 800 zł.

To może być przypadek.

Może też być:

sygnał dzielenia wydatków.

Audyt danych pozwala wtedy przejść:

od procedury

do:

rzeczywistego zachowania.

Nie każdy sygnał jest naruszeniem

Wysoka liczba transakcji:

tuż pod limitem

nie dowodzi:

obchodzenia procedury.

To:

sygnał wymagający weryfikacji.

Należy sprawdzić:

charakter zakupów;
dostawców;
daty;
projekty;
uzasadnienia.

Dopiero później:

ustalenie.

Sygnał → kandydat → zweryfikowane ustalenie

To bardzo ważna sekwencja.

Nie:

„algorytm znalazł → naruszenie”.

Tylko:

SYGNAŁ → SPRAWDZENIE → DOWÓD → USTALENIE

Chroni to system przed:

fałszywymi alarmami.

Audyt zgodności może być wspierany analizą mechaniczną

W dużych zbiorach można automatycznie wyszukiwać:

brakujące akceptacje;
transakcje pod progiem;
nietypowe godziny;
powtarzalne wyjątki;
niedokończone kontrole;
niespójności w rejestrach.

Dzięki temu człowiek nie musi:

ręcznie przeglądać tysięcy rekordów.

Ale finalna ocena nadal wymaga:

kontekstu i dowodu.

Sztuczna inteligencja również może wspierać audyt, ale nie powinna sama rozstrzygać naruszeń

Może pomagać:

mapować polityki do procedur;
porównywać wersje;
wyszukiwać brakujące elementy;
grupować ustalenia;
analizować rejestry.

Ale może również:

błędnie interpretować wyjątek;
pominąć hierarchię;
wygenerować fałszywy alarm.

Dlatego wynik maszyny powinien być traktowany jako:

sygnał do weryfikacji.

12 pytań do audytu systemu zgodności i kontroli wewnętrznej

Czy znamy pełny rejestr wymogów?
Czy każdemu materialnemu wymogowi odpowiada polityka lub zasada?
Czy zasady zostały przełożone na wykonywalne procedury?
Czy kluczowe ryzyka mają konkretne kontrole?
Czy wiadomo, kto odpowiada za ich wykonanie?
Czy kontrole są wykonywane we właściwym momencie?
Czy pozostaje po nich dowód?
Czy system umożliwia łatwe obejście?
Czy wyjątki są monitorowane?
Czy kontrole rzeczywiście ograniczają ryzyko?
Czy pracownicy mają odpowiednie kompetencje?
Czy wykryte problemy prowadzą do trwałej poprawy?

Jeżeli kilka odpowiedzi brzmi:

„nie wiadomo”

to właśnie tam warto rozpocząć audyt.

Macierz gotowości

Można zastosować cztery robocze wyniki.

POZIOM 1 – DOKUMENTY

Zasady istnieją.

Brak wystarczającego dowodu działania.

POZIOM 2 – WDROŻENIE

Procedury i kontrole są stosowane.

POZIOM 3 – SKUTECZNOŚĆ

Organizacja potrafi wykazać, że kontrole ograniczają określone ryzyka.

POZIOM 4 – DOSKONALENIE

Dane z kontroli, incydentów i wyjątków są wykorzystywane do poprawy systemu.

To nie jest oficjalna skala ISO.

Jest to autorska klasyfikacja Expert Design pomagająca pokazać:

różnicę między posiadaniem dokumentacji a dojrzałym systemem działania.

Papierowa dojrzałość i operacyjna dojrzałość to nie to samo

Organizacja może mieć:

50 polityk.

I niski poziom działania.

Inna:

12 dobrze zaprojektowanych procedur,

które są:

dostępne;
zrozumiałe;
wspierane przez system;
mierzone;
poprawiane.

Liczba dokumentów nie jest więc:

dobrym wskaźnikiem dojrzałości.

Najczęstsze problemy ujawniane podczas takiego audytu

1. Wymóg bez kontroli

Firma zobowiązuje się do czegoś, czego nikt nie sprawdza.

2. Kontrola bez właściciela

Każdy zakłada, że wykonuje ją ktoś inny.

3. Polityka i system mówią co innego

Dokument wymaga blokady, system jej nie ma.

4. Kontrola wykonywana po zdarzeniu

Za późno, aby zapobiec ryzyku.

5. Brak dowodu

Nie można wykazać wykonania.

6. Wyjątek bez zatwierdzenia

Nie wiadomo, kto zaakceptował odstępstwo.

7. Szkolenie bez sprawdzenia umiejętności

Udział jest mylony z kompetencją.

8. Wiele kontroli, ale brak oceny skuteczności

System mierzy aktywność, nie wynik.

9. Powtarzające się problemy

Naprawiane są przypadki, nie przyczyna.

10. Dokumentacja nie odpowiada praktyce

Pracownicy stosują równoległy, nieformalny proces.

Jak powinien wyglądać wynik audytu?

Nie:

„znaleziono 47 niezgodności”.

Lepsza struktura:

Warstwa 1 – podsumowanie zarządcze

problemy wysokiego znaczenia;
kontrole nieskuteczne;
decyzje wymagane.

Warstwa 2 – mapa luk

wymóg;
polityka;
procedura;
kontrola;
działanie.

Warstwa 3 – rejestr ustaleń

dowód;
znaczenie;
odpowiedzialny;
działanie;
termin.

Warstwa 4 – ponowny test

co poprawiono;
co rzeczywiście zamknięto.

To daje:

pełny ślad naprawczy.

Przykład ustalenia

Słabo:

„Proces weryfikacji dostawców jest niezgodny.”

Lepiej:

Polityka wymaga zakończenia weryfikacji dostawcy przed rozpoczęciem współpracy. W badanej próbie 40 nowych kontrahentów w 9 przypadkach weryfikację zatwierdzono już po pierwszym zamówieniu. System zakupowy nie blokuje rozpoczęcia współpracy bez zakończonej weryfikacji. Powstaje luka pomiędzy wymaganiem polityki a mechanizmem operacyjnym.

Teraz wiadomo:

co;
gdzie;
ile;
dlaczego;
jaka może być przyczyna.

Możliwa naprawa

Nie musi brzmieć:

„przeszkolić pracowników”.

Może obejmować:

blokadę systemową;
jasną ścieżkę wyjątku;
ponowne szkolenie wybranych ról;
pomiar terminowości;
ponowny test po wdrożeniu.

To naprawia:

system.

Nie tylko:

pojedynczy przypadek.

Audyt nie powinien projektować zbyt ciężkiego systemu

To ważne.

Celem nie jest:

stworzenie maksymalnej liczby kontroli.

Celem jest:

zaprojektowanie proporcjonalnego systemu, który realnie ogranicza materialne ryzyka.

Każda dodatkowa kontrola ma:

koszt;
czas;
obciążenie użytkowników.

Dlatego również nowe rekomendacje powinny przejść:

test proporcjonalności.

Koszt kontroli a koszt ryzyka

Pytamy:

czy koszt dodatkowej kontroli jest uzasadniony znaczeniem ryzyka?

Nie zawsze potrzebna jest:

automatyczna blokada.

Czasami wystarczy:

próbkowa kontrola następcza.

Ale przy wysokim ryzyku:

ręczne przypomnienie może być za słabe.

Jak wybrać zakres audytu?

Nie trzeba od razu analizować całej firmy.

Można rozpocząć od obszarów:

zakupów;
płatności;
prezentów i korzyści;
konfliktów interesów;
danych osobowych;
dostawców;
zgłoszeń nieprawidłowości;
dostępu do systemów.

Następnie wykonać:

triage ryzyka.

Audyt celowany może być bardziej wartościowy niż szeroka kontrola wszystkiego

Jeżeli największe ryzyko dotyczy:

stron trzecich,

można przeprowadzić:

audyt ścieżki kontrahenta od rejestracji do płatności.

Sprawdzamy:

WYMÓG → WERYFIKACJA → ZATWIERDZENIE → UMOWA → PŁATNOŚĆ → MONITOROWANIE

To często ujawnia więcej niż:

przegląd 80 polityk.

Jak audytować politykę przeciwdziałania korupcji?

Nie tylko:

czy zawiera właściwe zakazy.

Sprawdź:

prezenty;
gościnność;
pośredników;
sponsoring;
darowizny;
zatwierdzenia;
rejestry;
wyjątki;
faktyczne transakcje.

Czyli:

dokument + system + praktyka.

Jak audytować konflikty interesów?

Sprawdź:

definicję;
obowiązek ujawnienia;
formularz;
właściciela;
decyzję;
działania ograniczające;
ponowny przegląd.

Nie wystarczy:

roczne oświadczenie.

Konflikt może pojawić się:

dzień po jego podpisaniu.

Jak audytować zgłoszenia nieprawidłowości?

Sprawdź nie tylko kanał.

Także:

poufność;
dostęp;
terminy;
niezależność badania;
dokumentację;
działania następcze;
ochronę przed odwetem.

Departament Sprawiedliwości w swoich wytycznych zwraca uwagę m.in. na istnienie właściwie wyposażonych mechanizmów prowadzenia terminowych, obiektywnych i udokumentowanych postępowań wyjaśniających. (justice.gov)

Jak audytować szkolenia?

Nie tylko:

liczba uczestników.

Sprawdź:

właściwe role;
zakres;
aktualność;
scenariusze;
sprawdzenie zrozumienia;
działania po błędnych odpowiedziach.

Tu szczególnie przydatne jest ISO 37303:2025 dotyczące kompetencji w systemach zarządzania zgodnością. (iso.org)

Jak audytować system od strony danych?

Warto pytać:

czy z danych można rozpoznać, że reguły są obchodzone?

Przykłady:

płatności tuż poniżej progu;
wiele wyjątków jednego menedżera;
kontrole zatwierdzane po zdarzeniu;
dostawcy bez pełnej dokumentacji;
powtarzające się braki.

Dzięki temu audyt przechodzi:

od dokumentacji

do:

zachowania.

Ponowny audyt inną metodą może ujawnić inne luki

Pierwsza kontrola:

przegląd polityk.

Druga:

analiza danych transakcyjnych.

Pierwsza:

PASS.

Druga:

pokazuje częste obejścia.

To nie znaczy, że pierwszy audyt był błędny.

Badał:

inną warstwę.

Dlatego przy systemach wysokiego ryzyka warto czasami wykorzystać drugi audyt inną metodą.

Skuteczność systemu powinna być oceniana okresowo

ISO 37302:2025 zostało stworzone właśnie po to, aby wspierać organizacje w systematycznej ocenie skuteczności systemów zarządzania zgodnością poprzez odpowiednie zasady, wskaźniki, monitorowanie, pomiar i przegląd. (iso.org)

To prowadzi do ważnego wniosku:

audyt zgodności nie powinien być jednorazowym wydarzeniem wykonywanym dopiero po incydencie.

Może być:

elementem uczenia się organizacji.

Najczęstsze pytania

Czy audyt dokumentacji zgodności polega na sprawdzeniu, czy firma ma wszystkie wymagane polityki?

Nie. To może być pierwszy etap. Pełniejsza kontrola powinna również sprawdzić procedury, mechanizmy kontrolne, ich rzeczywiste wykonanie, dowody i skuteczność.

Czy posiadanie certyfikowanego systemu oznacza, że każda kontrola działa poprawnie?

Nie. Certyfikacja określonego systemu nie oznacza automatycznie, że każda pojedyncza kontrola jest zawsze skuteczna. Dlatego potrzebne jest monitorowanie i ocena działania.

Czy ISO 37301 nadal jest aktualne?

Tak. ISO 37301:2021 zostało poddane okresowemu przeglądowi w 2026 r. i potwierdzone jako aktualne. (iso.org)

Czym różni się ISO 37302 od ISO 37301?

ISO 37301 określa wymagania i wytyczne dla systemu zarządzania zgodnością, natomiast ISO 37302:2025 wspiera organizacje w ocenie jego skuteczności. ISO wyraźnie wskazuje, że drugi dokument nie zastępuje pierwszego. (iso.org)

Czy szkolenie pracownika dowodzi, że posiada potrzebne kompetencje?

Nie zawsze. ISO 37303:2025 właśnie dlatego koncentruje się szerzej na określaniu i rozwijaniu niezbędnych kompetencji, a nie wyłącznie na samym uczestnictwie w szkoleniu. (iso.org)

Czy wytyczne Departamentu Sprawiedliwości USA obowiązują polską firmę?

Nie jako ogólny polski standard prawny. Można jednak wykorzystywać je jako wartościowy punkt odniesienia dla pytań dotyczących rzeczywistej skuteczności firmowego systemu zgodności. (justice.gov)

Czy brak incydentów oznacza, że system działa dobrze?

Nie. Brak wykrytych incydentów może mieć wiele przyczyn. Potrzebny jest bezpośredni dowód dotyczący konstrukcji, wykonania i skuteczności kontroli.

Czy Mapa Polityka–Kontrola–Praktyka jest standardem ISO?

Nie. To autorski model Expert Design inspirowany współczesnym podejściem do skuteczności systemów zgodności, kontroli wewnętrznej i audytu.

Najważniejsza luka powstaje wtedy, gdy organizacja ma poprawną politykę, ale rzeczywisty proces pozwala robić coś zupełnie innego

To główny wniosek.

Profesjonalny audyt zgodności nie powinien zatrzymywać się na:

„dokument jest.”

Powinien przejść całą ścieżkę:

WYMÓG → POLITYKA → PROCEDURA → KONTROLA → WYKONANIE → DOWÓD → WYNIK → NAPRAWA

To właśnie Mapa Polityka–Kontrola–Praktyka Expert Design.

Jeżeli ścieżka jest kompletna:

organizacja może wykazać nie tylko, co deklaruje, ale także jak przekłada deklarację na realne działanie.

Jeżeli ścieżka się urywa:

znajdujemy konkretną lukę.

Może to być:

nieaktualna polityka;
niejasna procedura;
brak kontroli;
słabe wykonanie;
brak dowodu;
kontrola wykonana za późno;
nieskuteczny mechanizm;
brak trwałej naprawy.

Wtedy audyt przestaje być:

sprawdzaniem dokumentów.

Staje się:

badaniem, czy organizacja rzeczywiście funkcjonuje w sposób, który sama zadeklarowała i którego wymagają od niej obowiązujące zasady.

Nie zawsze trzeba od razu analizować cały system.

Można rozpocząć od jednego procesu wysokiego ryzyka – na przykład:

zatwierdzania dostawców;
płatności;
konfliktów interesów;
dostępu do danych;
obsługi wyjątków.

Następnie przejść całą ścieżkę od wymogu do rzeczywistego działania.

Jeżeli natomiast problem dotyczy przede wszystkim jakości samych procedur, wcześniejszym krokiem będzie audyt procedur i polityk firmowych.

Opisz obszar zgodności lub kontroli wewnętrznej wymagający niezależnej weryfikacji

Źródła i podstawa merytoryczna

ISO 37301:2021 – systemy zarządzania zgodnością, wymagania wraz z wytycznymi stosowania. Standard został poddany okresowemu przeglądowi w 2026 r. i potwierdzony jako aktualny. Dotyczy ustanawiania, wdrażania, oceniania, utrzymywania i doskonalenia systemu zarządzania zgodnością. (iso.org)

ISO 37302:2025 – systemy zarządzania zgodnością, wytyczne dotyczące oceny skuteczności. Dokument wspiera organizacje w monitorowaniu, mierzeniu i przeglądaniu skuteczności systemu oraz w jego ciągłym doskonaleniu. Nie zastępuje ISO 37301 i nie jest normą certyfikacyjną. (iso.org)

ISO 37303:2025 – systemy zarządzania zgodnością, wytyczne dotyczące zarządzania kompetencjami. Standard dotyczy identyfikowania i rozwijania wiedzy, umiejętności oraz doświadczenia potrzebnych do skutecznej realizacji obowiązków związanych ze zgodnością. (iso.org)

Departament Sprawiedliwości Stanów Zjednoczonych, Wytyczne dotyczące oceny firmowych systemów zgodności, aktualizacja z września 2024 r. Dokument obejmuje m.in. projekt systemu, jego faktyczne wdrożenie, dostęp do danych, badanie nieprawidłowości i działania naprawcze. Stanowi punkt odniesienia, a nie ogólny standard prawny obowiązujący polskie przedsiębiorstwa. (justice.gov)

The Institute of Internal Auditors, Globalne standardy audytu wewnętrznego, 2024. Standardy dotyczą m.in. planowania audytu, wykonywania badań, rozwijania ustaleń, komunikowania wyników i monitorowania działań następczych. (theiia.org)

Badanie zarządzania zgodnością i efektywności inwestycji w przedsiębiorstwach państwowych, 2024. Analiza przedsiębiorstw w Chinach wykazała dodatnią zależność między wdrażaniem wytycznych dotyczących zarządzania zgodnością a efektywnością inwestycji, wskazując m.in. na rolę kontroli wewnętrznej. Wyniki dotyczą konkretnego otoczenia instytucjonalnego i nie powinny być bezpośrednio uogólniane na wszystkie przedsiębiorstwa. (sciencedirect.com)

Dane dla wyszukiwarki

1. Tytuł dla wyszukiwarki: Audyt zgodności i kontroli wewnętrznej – jak go zrobić?

2. Opis dla wyszukiwarki: Jak sprawdzić, czy polityki i kontrole naprawdę działają? Poznaj metodę audytu zgodności od wymogu do rzeczywistej praktyki.

3. Tagi: audyt zgodności, kontrola wewnętrzna, system zgodności, polityki firmowe, procedury firmowe, skuteczność kontroli, zarządzanie ryzykiem, audyt procedur, ISO 37301, ISO 37302

4. Fraza kluczowa: audyt zgodności i kontroli wewnętrznej

5. Uproszczona nazwa: audyt-zgodnosci-i-kontroli-wewnetrznej