Zasady współpracy audytora wewnętrznego i IOD w w jednostkach sektora finansów publicznych

Działający w jednostkach sektora finansów publicznych inspektor ochrony danych (IOD) i audytor wewnętrzny to dwie ważne osoby wspierające kierownictwo jednostki w zgodnej z prawem realizacji jej celów i zadań. Obie są niezależne w wykonywaniu swoich obowiązków, które niekiedy są zbieżne. Dlatego tak ważne jest, by odpowiednio ułożyć ich wzajemne relacje. Jak to zrobić? Odpowiedzi na to ważne pytanie udzielił Prezes Urzędu Ochrony Danych Osobowych, który wraz z Ministerstwem Finansów wypracował zasady współpracy dotyczące audytu wewnętrznego w obszarze ochrony danych osobowych.

Jak uniknąć konfliktu

Przypomnijmy, że od 25 maja 2018 r., tj. od dnia rozpoczęcia stosowania ogólnego rozporządzenia o ochronie danych (RODO), jednostki sektora publicznego są zobowiązane do wyznaczenia inspektora ochrony danych. Obowiązkiem kierownika jednostki jest zapewnienie IOD nie tylko odpowiedniego wsparcia w wypełnianiu zadań. Ma on także zapewnić mu warunki niezbędne do niezależnego i skutecznego ich wykonywania, do których należą:

- bezpośrednia podległość kierownikowi jednostki,

- udział we wszystkich sprawach związanych z ochroną danych osobowych,

- nieotrzymywanie instrukcji dotyczących wykonywania zadań,

- brak możliwości odwołania lub ukarania za wypełnianie przez IOD jego zadań,

- nieotrzymywanie innych zadań i obowiązków, które mogłyby powodować konflikt interesów.

Jednocześnie w jednostkach sektora finansów publicznych, w których prowadzony jest audyt wewnętrzny, funkcjonuje audytor wewnętrzny dokonujący systematycznej oceny kontroli zarządczej, obejmując zasięgiem swojego działania wszystkie obszary jednostki.

Także jemu, zgodnie z art. 282 ust. 1 ustawy z 27 sierpnia 2009 r. o finansach publicznych, kierownik jednostki musi zapewnić warunki niezbędne do niezależnego, obiektywnego i efektywnego prowadzenia audytu wewnętrznego, w tym organizacyjnej odrębności komórki audytu wewnętrznego oraz ciągłości prowadzenia audytu wewnętrznego w jednostce.

Jako warunki niezależności audytora wewnętrznego powołana ustawa wskazuje:

- bezpośrednią podległość kierownika komórki audytu wewnętrznego kierownikowi jednostki,

- ochronę stosunku pracy poprzez konieczność uzyskania zgody właściwego komitetu audytu na rozwiązanie stosunku pracy lub zmianę warunków płacy i pracy kierownika komórki audytu wewnętrznego ministerstwa oraz jednostki w dziale,

- prawo wstępu do pomieszczeń jednostki oraz wglądu do wszelkich dokumentów, informacji i danych oraz do innych materiałów związanych z funkcjonowaniem jednostki, w tym utrwalonych na elektronicznych nośnikach danych, jak również do sporządzania ich kopii, odpisów, wyciągów, zestawień lub wydruków, z zachowaniem przepisów o tajemnicy ustawowo chronionej,

- zobowiązanie pracowników jednostki do udzielania informacji i wyjaśnień, a także sporządzania i potwierdzania kopii, odpisów, wyciągów lub zestawień niezbędnych do realizacji audytu.

Dodatkowo, zgodnie ze standardami audytu wewnętrznego dla jednostek sektora finansów publicznych, określonymi w Komunikacie Ministra Rozwoju i Finansów z 12 grudnia 2016 r. w sprawie standardów audytu wewnętrznego dla jednostek sektora finansów publicznych, audytor wewnętrzny nie powinien być narażony na jakiekolwiek próby ingerowania w zakres realizowanego audytu, wpływania na sposób wykonywania pracy i informowania o jej wynikach. Jednocześnie audytor powinien unikać konfliktu interesów.

Muszą się szanować i uzupełniać

Obowiązkiem każdej jednostki sektora publicznego jako administratora danych jest czuwanie nad zgodnym z prawem przetwarzaniem danych osobowych i właściwą organizacją bezpieczeństwa informacji. W osiągnięciu tego celu jednostka powinna korzystać zarówno z pomocy audytorów, jak i inspektorów ochrony danych.

Zarówno IOD, jak i audytor wewnętrzny wspierają kierownika jednostki sektora finansów publicznych w realizacji jej celów i zadań. Do zadań IOD należy m.in. monitorowanie zgodności przetwarzania danych osobowych z obowiązującymi przepisami prawa. Natomiast zadaniami audytora wewnętrznego są m.in. ocena zgodności działalności jednostki z przepisami prawa (a zatem również przepisami prawa o ochronie danych osobowych) oraz procedurami wewnętrznymi, a także skuteczności i efektywności działania, ochrony zasobów oraz zarządzania ryzykiem.

W związku z tym działania audytorów wewnętrznych i inspektorów ochrony danych powinny być komplementarne, czyli wzajemnie się uzupełniać.

W celu wsparcia prawidłowego funkcjonowania jednostki powinni oni wymieniać informacje i dokumenty niezbędne dla prawidłowej realizacji swoich zadań. Zarówno inspektorzy ochrony danych, jak i audytorzy podlegają bezpośrednio kierownikowi jednostki. Ich praca może podlegać jego kontroli, w tym tej zleconej podmiotom wewnętrznym lub zewnętrznym.

Zarówno w przypadku audytora wewnętrznego, jak i inspektora ochrony danych kluczową rolę odgrywa niezależność w realizowaniu zadań. Stąd audytorzy i inspektorzy muszą w swojej pracy uwzględniać wzajemną niezależność i nie wpływać na jej ograniczanie.

Kierownik zadecyduje

Sposób przeprowadzania audytu wewnętrznego został określony w przepisach rozporządzenia Ministra Finansów z dnia 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu. W przypadku gdy audyt obejmuje zadania realizowane przez IOD, audytor wewnętrzny powinien odnosić się do badanego obszaru, nie formułując wniosków dotyczących bezpośrednich działań IOD. W tym zakresie ostateczne decyzje podejmuje kierownik jednostki. Jeżeli IOD nie zgadza się ze stanowiskiem kierownika jednostki sektora finansów publicznych, powinien mieć możliwość przedstawienia swojego stanowiska, które powinno zostać uzasadnione i udokumentowane. Materiał ten może być przydatny w celach dowodowych w przypadkach oceny prawidłowości wykonywania funkcji IOD w kontekście jego odpowiedzialności na gruncie przepisów prawa pracy lub Kodeksu cywilnego (odpowiedzialności kontraktowej) przez właściwe organy.

Inspektor ochrony danych i audytor wewnętrzny posiadają gwarancje niezależności kształtujące ich status. Każdy z nich działa też w celu zapewnienia zgodności działań jednostki sektora finansów publicznych z prawem. Dlatego w osiągnięciu tego celu potrzebna jest ich efektywna współpraca oraz wzajemne wspieranie się w tym zakresie wiedzą i doświadczeniem.

Jakie podmioty są w sektorze finansów publicznych

Zgodnie z art. 9 ustawy o finansach publicznych sektor finansów publicznych tworzą: 

1) organy władzy publicznej, w tym organy administracji rządowej, organy kontroli państwowej i ochrony prawa oraz sądy i trybunały;

2) jednostki samorządu terytorialnego oraz ich związki;

2a) związki metropolitalne;

3) jednostki budżetowe;

4) samorządowe zakłady budżetowe;

5) agencje wykonawcze;

6) instytucje gospodarki budżetowej;

7) państwowe fundusze celowe;

8) Zakład Ubezpieczeń Społecznych i zarządzane przez niego fundusze oraz Kasa Rolniczego Ubezpieczenia Społecznego i fundusze zarządzane przez Prezesa Kasy Rolniczego Ubezpieczenia Społecznego;