Въведение
Стандартите за вътрешен одит в публичния сектор имат за цел:
Да очертаят основните принципи, въз основа на които следва да се осъществява дейността по вътрешен одит в публичния сектор;
Да осигурят професионална рамка за извършване на широк кръг дейности по вътрешен одит, които да носят полза за организацията;
Да създадат основа за оценяване работата на вътрешния одит;
Да насърчават усъвършенстването на процесите и дейностите в организацията. Вътрешният одит е независима и обективна дейност за предоставяне на увереност и консултиране, предназначена да носи полза и да подобрява дейността на организацията. Вътрешният одит помага на организацията да постигне целите си чрез прилагане на систематичен и дисциплиниран подход за оценяване и подобряване ефективността на процесите на управление на риска, контрол и управление.
Вътрешният одит се осъществява чрез изпълнение на конкретни одитни ангажименти за даване на увереност или консултиране.
Одитният ангажимент за даване на увереност се изразява в предоставяне на обективна оценка на доказателствата от вътрешния одитор с цел да се предостави независимо мнение или извод относно процес, система или друг обект на одита. Естеството и обхватът на ангажимента за даване на увереност се определят от вътрешния одитор. Одитният ангажимент за консултиране се изразява в даване на съвет, мнение, обучение и други, предназначени да подобряват процесите на управление на риска и контрола, без вътрешният одитор да поема управленска отговорност за това.
Одитният ангажимент за консултиране се извършва по инициатива на ръководителя на организацията. Естеството и обхватът на консултантския ангажимент се определят съвместно с ръководителя на организацията.
Стандартите са обособени в следните три групи: присъщи за дейността стандарти, стандарти за изпълнение на работата и уточняващи стандарти. Присъщите за дейността стандарти разглеждат характеристиките, които притежават лицата, извършващи вътрешен одит. Стандартите за изпълнение на работата описват естеството на вътрешния одит и посочват критерии, на базата на които може да се оцени качеството на извършваните одитни ангажименти. Докато присъщите за дейността стандарти и стандартите за изпълнение на работата се прилагат при всички одитни ангажименти, уточняващите стандарти се използват при осъществяването на отделните видове ангажименти (за даване на увереност и консултиране). Уточняващите стандарти, отнасящи се до ангажиментите за даване на увереност, са с индекс У след номера на стандарта, а тези за консултиране - с индекс К след номера на стандарта.

Присъщи за дейността стандарти
100 - Цел, правомощия и отговорности Целта, правомощията и отговорностите на вътрешния одит трябва да бъдат официално дефинирани в Статута на звеното за вътрешен одит, разработен в съответствие със Закона за вътрешен одит в публичния сектор, насоките на министъра на финансите и тези стандарти и одобрен от ръководителя на организацията и одитния комитет, ако има сформиран такъв.
100.У1 - Естеството на ангажиментите за даване на увереност, предоставяни на организацията, трябва да се дефинира в Статута на звеното за вътрешен одит.
100.К1 - Естеството на ангажиментите за консултиране трябва да се дефинира в Статута на звеното за вътрешен одит.
110 - Независимост и обективност
Дейността по вътрешен одит трябва да бъде независима, а вътрешните одитори трябва да бъдат обективни при изпълнение на своята работа.
111 - Организационна независимост
Ръководителят на вътрешния одит трябва да докладва на такова ниво в организацията, което да позволява на звеното за вътрешен одит да изпълнява своите задължения.
111.У1 - Не трябва да се допуска намеса при определяне обхвата на дейността по вътрешния одит, изпълнението на одиторската работа и представянето на резултатите.
112 - Индивидуална обективност
Вътрешните одитори трябва да имат непредубедено и безпристрастно отношение и да избягват конфликт на интереси.
113 - Накърняване на независимостта или обективността
Ако независимостта или обективността са реално накърнени или има съмнения за това, обстоятелствата, свързани с накърняването, трябва да бъдат доведени до знанието на съответните лица. Начинът на оповестяването ще зависи от естеството на накърняването.
113.У1 - Вътрешните одитори не трябва да оценяват дейности, за които преди това са носели отговорност. Обективността се счита за накърнена, когато вътрешният одитор извършва ангажимент за даване на увереност относно дейност, за която той е бил отговорен през предходната година.
113.К1 - Вътрешните одитори могат да извършват ангажимент за консултиране, свързан с дейности, за които преди това са носели отговорност.
113.К2 - Ако съществува вероятност да бъдат накърнени независимостта или обективността на вътрешните одитори във връзка с извършването на предложени ангажименти за консултиране, ръководството трябва да бъде уведомено за това, преди да бъде приет консултантският ангажимент.
120 - Компетентност и професионална грижа
Ангажиментите трябва да се изпълняват компетентно и с професионална грижа.
121 - Компетентност
Вътрешните одитори трябва да притежават необходимите знания, умения и други способности за изпълнение на индивидуалните си отговорности. Звеното за вътрешен одит като цяло трябва да притежава или да осигури необходимите знания, умения и други способности за изпълнение на своите задължения.
121.У1 - Ръководителят на вътрешния одит трябва да предложи на ръководителя на организацията да назначи експерт, в случай че служителите в звеното за вътрешен одит не притежават знанията, уменията и другите способности, необходими за изпълнението на целия ангажимент или на част от него.
121.У2 - Вътрешният одитор трябва да притежава достатъчно знания, за да може да разпознае индикаторите за извършена измама, но от него не се очаква да притежава експертните познания на лице, чието основно задължение е разкриването и разследването на измами.
121.У3 - Вътрешните одитори трябва да притежават познания за ключови рискове и контроли в областта на информационните технологии, както и за достъпни технологично базирани одитни техники за осъществяване на възложената им работа. Въпреки това не се очаква всички вътрешни одитори да притежават компетентността на вътрешен одитор, чието основно задължение е извършването на одит на информационните технологии.
121.К1 - Ръководителят на вътрешния одит трябва да откаже ангажимент за консултиране или да предложи на ръководителя на организацията да назначи експерт, в случай че служителите в звеното за вътрешен одит не притежават знанията, уменията и другите способности, необходими за изпълнението на целия ангажимент или на част от него.
122 - Професионална грижа
Вътрешните одитори трябва да полагат грижи и умения, които се очакват от един разумно предпазлив и компетентен вътрешен одитор. Професионална грижа не означава непогрешимост.
122.У1 - Вътрешният одитор трябва да полага професионална грижа, като взема под внимание:
• обема на работата, необходим за постигане целите на ангажимента;
• относителната сложност, същественост или значимост на въпросите - обект на ангажиментите за даване на увереност;
• адекватността и ефективността на процесите за управление на риска, контрол и управление;
• вероятността от съществени грешки, нередности или несъответствия;
• разходите по придобиване на увереността, отнесени към потенциалните ползи.
122.У2 - Професионалната грижа предполага вътрешният одитор да обмисли възможността за използване на компютризирани одиторски техники и други техники за анализ на данните.
122.У3 - Вътрешният одитор трябва да внимава за съществените рискове, които могат да повлияят на целите, дейностите или ресурсите. Въпреки това процедурите за даване на увереност сами по себе си не гарантират идентифицирането на всички съществени рискове, дори когато са изпълнени с професионална грижа.
122.К1 - Вътрешният одитор трябва да проявява професионална грижа при изпълнението на ангажимент за консултиране, като взема под внимание:
• потребностите и очакванията на ръководството, включително естеството, времетраенето и представянето на резултатите от ангажимента;
• относителната сложност и обем на работата, необходима за постигане целите на ангажимента;
• разходите по консултантския ангажимент, отнесени към потенциалните ползи от него.
123 - Непрекъснато професионално развитие
Вътрешните одитори трябва да усъвършенстват знанията, уменията и другите си способности чрез непрекъснато професионално развитие.
130 - Програма за осигуряване на качеството и за усъвършенстване
Ръководителят на вътрешния одит трябва да разработи и прилага програма за осигуряване на качеството и за усъвършенстване, която покрива всички аспекти на вътрешния одит, както и да наблюдава постоянно нейната ефективност. Тази програма включва периодични вътрешни и външни оценки на качеството и непрекъснато вътрешно наблюдение. Всяка част от програмата трябва да бъде разработена така, че да подпомогне вътрешния одит да носи полза и да подобрява дейността на организацията, както и да даде увереност, че вътрешният одит се извършва в съответствие със Стандартите за вътрешен одит в публичния сектор и Етичния кодекс на вътрешните одитори.
131 - Оценяване на програмата за качество
Ръководителят на вътрешния одит трябва да въведе процедура за наблюдение и оценка на цялостната ефективност на програмата за качество. Процедурата трябва да включва както вътрешни, така и външни оценки. Вътрешните оценки трябва да включват:
• текущи прегледи на работата на звеното за вътрешен одит, които се извършват от неговия ръководител;
• периодични прегледи, извършвани чрез самооценка или чрез оценяване от други лица в организацията, които познават практиката по вътрешен одит и Стандартите за вътрешен одит в публичния сектор.
Външните оценки, като например прегледи за осигуряване на качеството, трябва да се извършват поне веднъж на 5 години от квалифициран и независим проверяващ или екип от проверяващи, външни за организацията, които притежават сертификат "вътрешен одитор в публичния сектор".
132 - Докладване по програмата за качество
Ръководителят на вътрешния одит трябва да доведе до знанието на ръководството и на одитния комитет, ако има сформиран такъв, резултатите от външните оценки.
133 - Употреба на израза "Извършен в съответствие със Стандартите за вътрешен одит в публичния сектор"
Вътрешните одитори могат да докладват, че работата им е "извършена в съответствие със Стандартите за вътрешен одит в публичния сектор" само в случаите, когато оценките на програмата за подобряване на качеството показват, че вътрешният одит е извършен в съответствие със стандартите.
134 - Обявяване на несъответствия
Въпреки че вътрешният одит трябва изцяло да следва изискванията на стандартите, а самите одитори да спазват Етичния кодекс на вътрешните одитори, възможни са случаи, в които не е постигнато пълно съответствие. Когато несъответствието оказва влияние върху цялостния обхват или работата на вътрешния одит, това несъответствие трябва да се доведе до знанието на ръководството и одитния комитет, ако има сформиран такъв.

Стандарти за изпълнение на работата
200 - Управление на вътрешния одит
Ръководителят на вътрешния одит трябва да управлява ефективно вътрешния одит, така че той да допринесе полза на организацията.
201 - Планиране
Ръководителят на вътрешния одит трябва да изготвя планове въз основа на оценка на риска, в които да определя приоритетите на звеното за вътрешен одит в съответствие с целите на организацията.
201.У1 - Планирането на ангажиментите на вътрешния одит трябва да се базира на оценка на риска, която се прави поне веднъж годишно. В този процес е необходимо да се вземе предвид мнението, предоставено от ръководството и одитния комитет, ако има сформиран такъв.
201.К1 - Ръководителят на вътрешния одит трябва да обмисли дали да приеме ангажимент за консултиране, като прецени доколко изпълнението му ще доведе до по-добро управление на рисковете и до подобряване на дейностите в организацията. Поетите ангажименти трябва да бъдат включени в плана.
202 - Представяне и одобрение
Ръководителят на вътрешния одит трябва да представи плана за вътрешен одит и оценката за необходимите ресурси на ръководството и одитния комитет, ако има сформиран такъв, за преглед и одобрение, включително междувременно възникнали съществени промени. Ръководителят на вътрешния одит трябва да съобщи и какъв ефект биха имали ресурсните ограничения.
203 - Управление на ресурсите
Ръководителят на вътрешния одит трябва да се увери, че ресурсите за дейността по вътрешен одит са подходящи, достатъчни и ефективно разпределени за изпълнение на одобрения план.
204 - Политики и процедури
Ръководителят на вътрешния одит трябва да одобри политики и процедури за работа на вътрешния одит.
205 - Координация
Ръководителят на вътрешния одит трябва да обменя информация и да координира дейността си с тази на външните одитори, за да осигури оптимален обхват и минимално дублиране на усилия.
206 - Докладване пред ръководителя на организацията и пред одитния комитет, ако има сформиран такъв
Ръководителят на вътрешния одит трябва да докладва периодично пред ръководителя на организацията и пред одитния комитет, ако има сформиран такъв, по отношение на целите, правомощията, отговорностите на вътрешния одит и изпълнението на одитния план. Докладването трябва също така да включва значителните рискове, на които е изложена организацията, както и въпроси относно контрола, управлението и други, за които е необходимо или е било поискано от одитния комитет и ръководството да бъдат докладвани.
210 - Естество на работата
Вътрешният одит трябва да оценява и да допринася за подобряване на процесите за управление на риска, контрол и управление в организацията, като прилага систематичен и дисциплиниран подход.
211 - Управление на риска
Вътрешният одит трябва да подпомага организацията чрез идентифициране и оценяване на съществените рискове, както и да допринася за подобряване на системите за управление на риска и контрол.
211.У1 - Вътрешният одит трябва да наблюдава и оценява ефективността на системата за управление на риска в организацията.
211.У2 - Вътрешният одит трябва да оценява рисковете, свързани с управлението, оперативната дейност и информационните системи на организацията, които могат да възникнат по отношение на:
• съответствието със законите, подзаконовите и вътрешните актове и договорите;
• надеждността и пълнотата на финансовата и оперативната информация;
• ефективността и ефикасността на оперативната дейност;
• опазването на активите.
211.К1 - При изпълнение на консултантски ангажименти вътрешните одитори трябва да обърнат внимание на рисковете, свързани с целите на ангажимента, и да имат предвид съществуването на други значими рискове.
211.К2 - В процеса на идентифициране и оценяване на съществените рискове за организацията вътрешните одитори трябва да използват информацията за рисковете, придобита при извършване на консултантските ангажименти.
212 - Контрол
Вътрешният одит трябва да подпомага организацията при поддържането на ефективни форми на контрол, като оценява тяхната ефективност и ефикасност и насърчава непрекъснатото им усъвършенстване.
212.У1 - Въз основа на резултатите от оценката на риска вътрешният одит трябва да оцени адекватността и ефективността на формите на контрол, обхващащи управлението на организацията, оперативната дейност и информационните системи. Това включва:
• съответствието със законите, подзаконовите и вътрешните актове и договорите;
• надеждността и пълнотата на финансовата и оперативната информация;
• ефективността и ефикасността на операциите;
• опазването на активите.
212.У2 - Вътрешният одит трябва да установи в каква степен оперативните и програмните цели и задачи са определени и съответстват на целите и задачите на организацията.
212.У3 - Вътрешните одитори трябва да направят преглед на дейностите и програмите с цел да установят до каква степен резултатите съответстват на поставените цели и задачи, за да определят дали дейностите и програмите се изпълняват така, както е предвидено.
212.У4 - Необходими са адекватни критерии за оценка на формите на контрол. Вътрешните одитори трябва да установят степента, до която ръководството е въвело адекватни критерии за определяне постигането на поставените цели и задачи. Ако тези критерии са адекватни, вътрешните одитори трябва да ги използват в процеса на оценяване. Ако критериите не са адекватни, вътрешните одитори трябва заедно с ръководството да разработят подходящи критерии за оценяване.
212.К1 - При изпълнение на консултантски ангажимент вътрешните одитори трябва да обърнат внимание на формите на контрол, свързани с целите на ангажимента, и да отчитат съществуването на значими контролни слабости.
212.К2 - В процеса на идентифициране и оценяване на значимите рискове за организацията вътрешните одитори трябва да използват информацията за формите на контрол, придобита при извършване на консултантските ангажименти.
213 - Управление
Вътрешният одит трябва да оценява и да дава подходящи препоръки за подобряване процесите на управление, насочени към постигането на следните цели:
• насърчаване на етични отношения и ценности в рамките на организацията;
• осигуряване ефективно управление на организацията и поемане на отговорност;
• ефективна комуникация към съответните звена в организацията по отношение на рисковете и контрола;
• ефективно координиране на дейностите и обмена на информация между одитния комитет, ако има сформиран такъв, външните и вътрешните одитори и ръководството.
213.У1 - Вътрешният одит трябва да оцени създаването, изпълнението и ефективността на задачите, програмите и дейностите, свързани с етиката на организацията.
213.К1 - Целите на консултантските ангажименти трябва да бъдат в съответствие с основните ценности и цели на организацията.
220 - Планиране на ангажимента
Вътрешните одитори трябва да разработят и документират план за всеки поет ангажимент, който да включва обхвата, целите, времетраенето и разпределението на ресурсите за изпълнение на ангажимента. При планиране на работата по ангажимента вътрешните одитори трябва да имат предвид:
• целите на дейността, която се проверява, както и механизмите, чрез които се контролира тяхното постигане;
• съществените рискове, на които са изложени дейността, нейните цели, ресурсите и операциите, както и механизмите, чрез които потенциалното влияние на риска се поддържа в допустими граници;
• адекватността и ефективността на системите за управление на риска и контрол на дейността в сравнение с релевантна контролна рамка или модел;
• възможностите за извършване на значителни подобрения на системите за управление на риска и контрол.
220.К1 - При консултантски ангажимент вътрешните одитори трябва да постигнат заедно с ръководството разбиране по отношение на целите, обхвата, съответните отговорности и другите очаквания на ръководството. При значими ангажименти това разбиране трябва да бъде документирано.
221 - Цели на ангажимента
Всеки ангажимент трябва да има конкретно определени цели.
221.У1 - Вътрешните одитори трябва да направят предварителна оценка на рисковете, свързани с проверяваната дейност. Целите на ангажимента трябва да отразяват резултатите от тази оценка.
221.У2 - В процеса на определяне целите на ангажимента вътрешният одитор трябва да има предвид вероятността за наличието на съществени грешки, нередности, несъответствия и други.
221.К1 - Целите на консултантските ангажименти са да бъдат отчетени рисковете, формите на контрол и управленските процеси, доколкото за това е постигнато съгласие с ръководството.
222 - Обхват на ангажимента
Установеният обхват трябва да е достатъчен, за да обезпечи постигането на целите на ангажимента.
222.У1 - При определяне обхвата на ангажимента трябва да се вземат предвид съответните системи, документация (записи), персонал и имущество, включително това, което се намира под контрола на външни за организацията лица.
222.У2 - Ако при изпълнение на ангажимент за даване на увереност възникнат значителни възможности за консултиране, с ръководството трябва да бъде постигнато отделно писмено разбиране относно целите, обхвата, отговорностите и другите очаквания. Резултатите от ангажимента за консултиране трябва да бъдат представени в съответствие със стандартите за извършване на консултантска дейност.
222.К1 - При изпълнение на консултантски ангажимент вътрешните одитори трябва да осигурят достатъчен обхват на ангажимента, за да бъдат постигнати договорените цели. Ако по време на ангажимента у вътрешните одитори възникнат резерви по отношение на обхвата, тези резерви трябва да се обсъдят с ръководството, за да се реши дали изпълнението на ангажимента да продължи.
223 - Разпределение на ресурсите за изпълнение на ангажимента
Ръководителят на вътрешния одит трябва да определи подходящите ресурси, необходими за постигане целите на ангажимента. Подбирането на персонал трябва да се извършва след оценяване на естеството и сложността на всеки ангажимент, срока за изпълнението му и наличните ресурси.
224 - Работна програма за ангажимента
Вътрешните одитори трябва да изготвят работни програми за постигане целите на ангажимента. Тези работни програми трябва да се документират.
224.У1 - Работните програми трябва да установяват процедурите за идентифициране, анализ, оценка и документиране на информацията по време на ангажимента. Работната програма трябва да бъде одобрена от ръководителя на вътрешния одит, преди да започне нейното изпълнение, като одобрение се изисква и за всяка следваща промяна в нея.
224.К1 - Работните програми по консултантски ангажименти могат да бъдат с различна форма и съдържание в зависимост от естеството на ангажимента.
230 - Изпълнение на ангажимента
Вътрешните одитори трябва да идентифицират, анализират, оценяват и документират достатъчно информация, за да постигнат целите на ангажимента.
231 - Идентифициране на информацията
Вътрешните одитори трябва да идентифицират достатъчно надеждна, уместна и полезна информация, за да постигнат целите на ангажимента.
232 - Анализ и оценка
Вътрешните одитори трябва да основават изводите и резултатите от ангажимента на извършени подходящи анализи и оценки.
233 - Документиране на информацията
Вътрешните одитори трябва да документират съответната информация, подкрепяща изводите и резултатите от ангажимента.
233.У1 - Ръководителят на вътрешния одит трябва да упражнява контрол върху достъпа до документацията по ангажимента. Ръководителят на вътрешния одит трябва да получи одобрението на ръководителя на организацията, преди да разкрие такава документация пред външни лица.
233.У2 - Ръководителят на вътрешния одит трябва да разработи изисквания за съхраняване на документацията по ангажиментите. Тези изисквания трябва да са в съответствие с вътрешните правила на организацията, както и с всички свързани нормативни или други изисквания.
233.К1 - Ръководителят на вътрешния одит трябва да разработи изисквания и политики за запазването и съхраняването на документацията по ангажиментите, както и да определи реда за предоставянето є на вътрешни и външни лица. Тези политики трябва да са в съответствие с вътрешните правила на организацията, както и с всички свързани нормативни или други изисквания.
234 - Надзор върху работата по ангажимента
Ръководителят на вътрешния одит осъществява надзор по подходящ начин върху изпълнението на ангажиментите с цел да се осигури постигане на целите, качество на работата и развитие на персонала.
240 - Представяне на резултатите
Ръководителят на вътрешния одит трябва да представя резултатите от изпълнението на ангажимента на ръководителя на организацията.
241 - Критерии за представяне на резултатите
При представянето на резултатите трябва да се посочат целите и обхватът на ангажимента, както и приложими изводи, препоръки и планове за действие.
241.У1 - Окончателният доклад за резултатите от ангажимента трябва да съдържа цялостното мнение и/или изводи на вътрешния одитор, когато това е уместно.
241.У2 - Вътрешните одитори се насърчават да отбелязват доброто представяне на организацията при изготвяне на доклада за резултатите от ангажимента.
241.У3 - При предоставянето на резултатите от ангажимента на лица извън организацията трябва да се посочат и ограниченията за разпространяването и използването им.
241.К1 - Отчитането на напредъка и резултатите от консултантските ангажименти може да бъде различно по форма и съдържание в зависимост от естеството на ангажимента и потребностите на ръководството.
242 - Качество на докладите
Докладите трябва да бъдат прецизни, обективни, ясни, стегнати, конструктивни, пълни и навременни. Ако окончателният доклад съдържа съществена грешка или пропуск, ръководителят на вътрешния одит трябва да предостави коригираната информация на всички лица, които са получили първоначалния доклад.
243 - Обявяване на несъответствие със стандартите
Когато несъответствие със стандартите окаже влияние върху изпълнението на определен ангажимент, при представянето на резултатите от него трябва да се посочат:
• стандартът/стандартите, с които не е постигнато пълно съответствие,
• причината/причините за това несъответствие, и
• влиянието на несъответствието върху изпълнявания ангажимент.
244 - Получатели на резултатите от ангажимента
Ръководителят на вътрешния одит трябва да докладва резултатите от одита и на лицата, които имат отношение към тях и които следва да ги анализират внимателно.
244.У1 - Ръководителят на вътрешния одит е отговорен за това крайните резултати от одита да стигнат до знанието на лицата, които имат отношение към тях и които следва да ги анализират внимателно.
244.У2 - Ако няма други правни изисквания, предвидени в закон или в друг акт, преди представяне на резултатите на лица извън организацията ръководителят на вътрешния одит е длъжен:
• да оцени потенциалния риск за организацията;
• да се консултира с ръководството на организацията и с правоспособен юрист от организацията, в случай че е уместно;
• да контролира разпространението на резултатите, като ограничи тяхното използване.
244.К1 - Ръководителят на вътрешния одит носи отговорността за предоставянето на ръководството на организацията на крайните резултати от ангажимента по консултиране.
244.К2 - При изпълнение на консултантски ангажименти могат да бъдат установени проблеми, свързани с управлението на риска, контрола и управлението в организацията. Винаги, когато тези въпроси са значими за организацията, те трябва да бъдат доведени до знанието на ръководството и одитния комитет, ако има сформиран такъв.
250 - Мониторинг на напредъка
Ръководителят на вътрешния одит трябва да изгради и поддържа система за мониторинг на статуса на резултатите, представени на ръководството.
250.У1 - Ръководителят на вътрешния одит трябва да въведе процес за проследяване на резултатите и да се увери, че управленските действия са били ефективно осъществени или че ръководството е поело риска от непредприемане на действия.
250.К1 - Вътрешният одит трябва да наблюдава статуса на резултатите от консултантски ангажименти до степента, договорена с ръководството.
260 - Резолюция на одитния комитет, ако има сформиран такъв, относно решението на ръководството за приемане на риска
Ако ръководителят на вътрешния одит счита, че ръководството е приело ниво на остатъчен риск, което може да е неприемливо за организацията, той трябва да обсъди въпроса с ръководителя на организацията. Ако проблемът с остатъчния риск не бъде разрешен, той трябва да бъде докладван от ръководителя на вътрешния одит и ръководството пред одитния комитет, ако има сформиран такъв, който да вземе решение (резолюция).