Organisaation keskimääräiset tulokset voivat näyttää hyviltä, vaikka merkittäviä riskejä jäisi tunnistamatta. IIA Internal Auditor -julkaisussa käsitellään sitä, miten keskiarvoihin keskittyminen voi peittää alleen riskikeskittymiä ja miksi sisäisten tarkastajien kannattaa tarkastella myös lukujen taustalla olevia eroja.
Sisäisessä tarkastuksessa hyödynnetään monenlaisia mittareita kontrollien toimivuudesta poikkeamien määriin ja vaatimustenmukaisuuden toteutumiseen. Kokonaisluvut tarjoavat hyödyllistä tietoa organisaation toiminnasta, mutta ne eivät välttämättä paljasta, missä riskit tosiasiassa sijaitsevat.
Esimerkiksi korkea vaatimustenmukaisuusaste voi antaa turvallisen vaikutelman, vaikka poikkeamat keskittyisivät yhteen liiketoimintayksikköön, kriittiseen järjestelmään tai tiettyyn toimittajaan.
Miten sisäinen tarkastus voi tunnistaa piilevät riskit?
Sisäisille tarkastajille tämä tarkoittaa tarvetta tarkastella kokonaiskuvan lisäksi riskien jakautumista. Olennaista on selvittää, missä poikkeamia esiintyy, miksi niitä syntyy ja eroavatko kontrollien toimivuus tai toimintatavat merkittävästi organisaation eri osissa.
Myös data-analytiikka ja tekoäly voivat auttaa tunnistamaan poikkeamia ja riskikeskittymiä, jotka eivät näy tavanomaisissa raporteissa. Näin tarkastustoimenpiteitä voidaan kohdentaa paremmin ja arvioida, edellyttävätkö havaitut erot lisäselvityksiä tai korjaavia toimenpiteitä.
Keskiarvo kertoo, miltä kokonaisuus näyttää – mutta ei välttämättä sitä, missä suurimmat riskit piilevät. Siksi sisäisen tarkastuksen on tärkeää katsoa tunnuslukujen taakse ja arvioida myös niiden taustalla olevia ilmiöitä.
🔗 Lue lisää: The Risks Hidden by the Average – Internal Auditor