Să ne închipuim următoarele scenarii: într-o companie, un asociat folosește banii organizației în interes personal, fără ca ceilalți asociați să știe. Alt scenariu: un contabil face plăți către conturi proprii, strecurate cu măiestrie printre operațiunile curente ale firmei. Încă unul: furnizorul care apare în acte, emite facturi și încasează, dar nu există în realitate.
Sunt situații pe care oameni din echipa Accountess le-au întâlnit în activitatea lor. Sunt totodată scenarii care au ceva important în comun: nu ies la iveală prin simpla alcătuire a unui raport de audit intern. Ele devin vizibile abia atunci când cineva se uită cu adevărat la ce se întâmplă în companie: cum circulă banii, cine aprobă o operațiune, cine o execută, cine o verifică și ce se întâmplă atunci când mai multe dintre aceste responsabilități se cumulează la aceeași persoană.
Și astfel apare o dilemă pentru tot mai multe companii din România.
Auditul intern este obligatoriu pentru entitățile ale căror situații financiare anuale sunt supuse, potrivit legii, auditului statutar. Iar începând cu situațiile financiare aferente anului 2025, formularul de bilanț cere explicit companiilor să declare dacă au trecut prin procesul de audit intern.
Dilema vine din următoarea situație: mulți manageri se întreabă doar „Cum ne conformăm?”. Întrebarea corectă, pe care și ei o știu, este, de fapt, „Dacă tot facem auditul, ce vrem să aflăm din el?”
Ce ar trebui să-și dorească un manager responsabil? Un raport obligatoriu și conform, care ajunge la dosar, sau un audit intern complet care poate descoperi unde este vulnerabilă compania?
Când este obligatoriu auditul intern pentru o companie?
Se pornește de la o regulă relativ simplă: dacă situațiile financiare anuale ale unei companii sunt supuse, potrivit legii, auditului statutar, compania are obligația să organizeze și să asigure și exercitarea activității de audit intern. Cerința este prevăzută de art. 65 alin. (7) din Legea nr. 162/2017.
Companiile care intră sub reglementările contabile aprobate prin OMFP nr. 1.802/2014 au un reper important pentru stabilirea obligației de auditare, prin următoarele trei criterii:
- total active: 16.000.000 lei;
- cifra de afaceri netă: 32.000.000 lei;
- numărul mediu de salariați în cursul exercițiului financiar: 50.
Sunt supuse auditării entitățile care depășesc cel puțin două dintre cele trei limite, iar obligația se aplică atunci când depășirea are loc în două exerciții financiare consecutive. Pentru această categorie, și reversul e valabil: ieșirea de sub obligația de auditare intervine dacă limitele a două dintre cele trei criterii nu mai sunt depășite în două exerciții financiare consecutive.
Mai sus nu este prezentată însă singura situație în care apare obligativitatea auditului statutar. Există și alte categorii de entități cu această obligație, precum entitățile de interes public. De aceea, verificarea obligației unei anumite companii nu se face exclusiv pe baza celor trei praguri.
Ce s-a schimbat în 2026?
E vorba despre vizibilitatea conformării.
Prin Ordinul Ministerului Finanțelor nr. 2.036/2025, care se aplică situațiilor financiare aferente exercițiului 2025, formularul de bilanț include un câmp referitor la auditul intern. Compania este nevoită astfel să răspundă la întrebarea: „Entitatea are organizată activitatea de audit intern, potrivit legii?”
Miza conformării nu este neglijabilă. Potrivit formei actuale a Legii nr. 162/2017, încălcarea obligației prevăzute la art. 65 alin. (7) poate atrage o penalitate administrativă între 50.000 și 100.000 de lei.
Iată așadar argumentul legal pentru care o companie ar trebui să se ocupe de auditul intern. Mai importante însă, credem noi, sunt argumentele economice și de management.
Un raport de audit intern nu este același lucru cu auditul în sine
Odată ce companiile constată că au obligația de a organiza auditul intern, apare în mod firesc și cererea de oferte. Și aici se face de multe ori o confuzie importantă: compania consideră că are nevoie de un raport de audit intern, dar legea cere, în realitate, să organizeze și să asigure exercitarea activității de audit intern.
Diferența nu se rezumă la expresiile din vocabular.
Raportul este, până la urmă, rezultatul vizibil al unei activități. Dar valoarea lui depinde de ce procese au fost analizate, ce riscuri au fost identificate, ce documente și operațiuni au fost verificate și ce controale reale au fost desfășurate.
Din păcate, în activitatea Accountess vedem tot mai des companii care, acum sub presiunea costurilor și în general sub cea conformării, pornesc în căutări de la întrebarea: „Cât ne costă raportul?”.
Este firesc, dar nu asta ar trebui să conteze cel mai mult pentru management.
O întrebare mai bună este:
Cu ce ne va ajuta ceea ce a verificat auditorul pentru a putea ajunge la concluziile din acel raport?
Să revenim la unul dintre cazurile întâlnite în practică: un contabil realiza plăți către conturi proprii și le ascundea printre operațiunile de rutină ale companiei.
O procedură privind plățile sau un document care afirmă că acestea sunt controlate nu contribuie la descoperirea problemei. Pentru asta trebuie înțeles cu adevărat și testat întregul proces: cine poate iniția plata, cine o aprobă, cine are acces la conturile bancare, ce documente justificative există. Și trebuie confirmat faptul că mecanismele de control funcționează efectiv.
Același principiu este valabil chiar și dacă nu se investighează potențiale fraude. O procedură poate exista bine-mersi pe hârtie și, în practică, să nu fie respectată. Un control poate exista teoretic, dar să nu funcționeze în practică. O responsabilitate poate fi atribuită formal unei persoane, dar operațiunea în sine să fie realizată, în realitate, de altcineva.
Iată suficiente motive pentru care un audit intern serios nu începe cu raportul. Raportul vine la final.
Ce verifică, de fapt, un audit intern făcut cu responsabilitate?
Auditul intern nu înseamnă doar verificarea cifrelor. Și nici nu trebuie confundat cu auditul statutar. Legea face ea însăși distincția între cele două activități, iar pentru entitățile supuse auditului statutar ea impune, separat, organizarea și exercitarea auditului intern.
Diferența poate fi explicată mai simplu: auditul intern se uită la procese, verificări și riscuri, cu obiectivul de a determina unde nu funcționează suficient de bine mecanismele prin care compania se protejează.
Practic, examinăm circuitul banilor și al documentelor, a achizițiilor și plăților, relația cu furnizorii, fluxurile de aprobare, accesul la anumite operațiuni sau sisteme și modul în care sunt împărțite responsabilitățile.
Nu toate aceste zone dețin aceeași importanță în companii. Aria concretă a misiunilor de audit se stabilește în raport cu activitatea organizației.
Există însă o întrebare foarte simplă, al cărei răspuns spune multe despre calitatea controlului intern:
Cine decide, cine execută și cine verifică?
Am întâlnit suficiente situații problematice, iar vulnerabilitatea pornea tocmai de aici: nu exista o separare suficient de clară între aceste roluri.
Să luăm un exemplu:
O persoană poate avea motive perfect legitime și este desemnată să selecteze sau să propună un furnizor. Problema apare atunci când aceeași persoană are dreptul să inițieze achiziția, să confirme că bunurile sau serviciile au fost recepționate corespunzător și să controleze aprobarea facturii pentru plată.
Iată așadar un mecanism de urmat, una dintre verificările utile pentru management, care poate începe chiar cu această hartă:
Cine decide? Cine execută? Cine verifică?
Nu este o formulă magică. În organizațiile mici, spre exemplu, separarea completă a celor trei funcții poate fi dificilă. Dar întrebarea poate arăta foarte repede unde merită să privești mai atent.
Și acesta este unul dintre rolurile unui audit intern făcut cu responsabilitate: să îi arate managementului unde este compania descoperită.
Trei situații reale în care vulnerabilitatea a fost detectată în interiorul procesului
În experiența Accountess am avut constatări pornite de la mecanisme sofisticate de fraudă, dar și de la vulnerabilități mult mai simple: prea mult control concentrat într-o arie prea restrânsă, algoritmi de verificare deficitari sau responsabilități neclarificate.
Iată cele trei situații întâlnite:
Banii companiei, folosiți fără știrea celorlalți asociați. Din perspectiva auditului intern, nu ne oprim la identificarea unei operațiuni neobișnuite. Trebuie înțeles și mecanismul care a făcut-o posibilă: cine avea acces la bani, cine putea dispune efectuarea operațiunilor, ce justificări erau necesare și cine verifica ulterior tranzacțiile. Cu alte cuvinte, constatarea unei probleme este doar jumătate din muncă. Cealaltă jumătate este identificarea vulnerabilității care a permis apariția ei.
Plăți ascunse printre operațiunile de rutină. Un contabil făcea plăți către conturi proprii și le ascundea printre operațiunile obișnuite ale companiei. Prin urmare, simpla existență a unor proceduri interne nu este suficientă. Cine inițiază plata? Cine o autorizează? Cine verifică beneficiarul și documentele justificative? Cine poate modifica datele unui furnizor? Cine verifică ulterior extrasul bancar?
Dacă mecanismul de control declarat nu se pune în practică, sau este deficitar, riscul e ca o operațiune necorespunzătoare să poată fi inițiată și apoi să treacă neobservată.
Furnizorul care nu exista. Facturi care treceau printr-un circuit în care aceeași persoană controla comanda, recepția și aprobarea.
Un audit intern responsabil caută (și găsește) tocmai asemenea puncte slabe, înainte ca ele să se transforme într-o pierdere importantă pentru companie.
Poate auditul intern să descopere fraude?
Ar fi greșit să reducem rolul auditului intern la acela de „detectiv al companiei”. Obiectivul său este mai larg.
Auditul intern evaluează procese, riscuri și mecanisme de control. Se identifică situații în care regulile sunt încălcate, controalele pot fi ocolite sau anumite persoane dispun de o autonomie care expune compania unor riscuri nejustificate.
Uneori, în spatele unei asemenea vulnerabilități se află o fraudă. Alteori, cauza este mult mai puțin spectaculoasă: o procedură prost concepută, o responsabilitate neclară, un control care există numai formal sau o practică de lucru necorespunzătoare, tolerată ani la rând.
Dar o eroare repetată poate produce pierderi chiar dacă nimeni nu a intenționat să fraudeze compania. Un proces de aprobare deficitar poate genera plăți greșite. Un acces prea larg la anumite sisteme sau proceduri poate crea pagube înainte ca cineva să profite efectiv de ele.
De aceea, întrebarea utilă nu este doar:
„Avem fraude în companie?”
Ci și:
„Avem procese care ar permite unei fraude sau unei erori semnificative să apară și să rămână nedetectată?”
Auditul intern nu înlocuiește o ”investigație” antifraudă atunci când există suspiciuni concrete, care cer de fapt o examinare făcută de specialiști. Dar poate identifica vulnerabilități și anomalii, arătând din timp managementului unde trebuie să privească mai atent.
Cât costă un audit intern? Cu ce se compară acest cost?
Presiunea asupra costurilor este firească, mai ales în perioada actuală. Desigur, dacă auditul intern este perceput în primul rând ca o obligație de conformare, inevitabil apare tentația de a cumpăra varianta cea mai ieftină.
Cum se poate evalua costul corect?
Dacă două oferte sunt privite doar ca modalități de a obține același raport de audit, prețul poate părea criteriul evident de departajare. Dacă însă una presupune verificarea efectivă a proceselor și controalelor, iar cealaltă se limitează în principal la documentație, nu mai comparăm același serviciu.
În experiența Accountess, un audit intern serios poate costa în medie 500 – 700 euro/lună ( x 12 luni pe an), în funcție de dimensiunea, complexitatea și riscurile organizației.
Desigur, întrebarea relevantă pentru management este: Ce primește compania în schimb?
Să presupunem că o vulnerabilitate în procesul de plăți permite pierderi recurente timp de un an. Sau că un control insuficient asupra furnizorilor face posibile plăți pentru tranzacții care nu ar fi trebuit aprobate. Este clar ce dorim să subliniem: valoarea pierderii poate depăși rapid diferența dintre un audit făcut superficial și unul care examinează efectiv procesele.
Prin urmare, prețul unui audit trebuie evaluat în raport cu munca efectivă și riscul pe care aceasta îl adresează, nu doar cu existența documentului final.
Cum îți dai seama dacă primești un audit real, nu doar un raport?
Câteva întrebări adresate înainte de semnarea contractului pot spune foarte multe despre ce urmează să se întâmple.
- Ce procese vor fi analizate?
Răspunsul ar trebui să fie mai complex decât „vom face auditul intern conform legii”. Compania trebuie să primească lista cu zonele care vor intra efectiv în aria verificărilor.
- Cum sunt identificate și prioritizate riscurile?
Un audit util își concentrează atenția acolo unde consecințele unei erori sau ale unui control slab pot aduce probleme grave.
- Ce va verifica efectiv auditorul?
Ce documente, operațiuni, fluxuri și controale vor fi examinate? Există proceduri de testare și algoritmi de lucru stabiliți? Sau verificarea se limitează la existența procedurilor și documentelor?
- Este analizată separarea responsabilităților?
Pentru procesele sensibile, cine decide, cine execută și cine verifică? Și, acolo unde separarea completă nu este posibilă, există alte controale care reduc riscul?
- Sunt verificate controalele în practică?
Faptul că o procedură există și este documentată nu demonstrează că este și respectată în practică. Auditorul trebuie să poată evalua diferența dintre procesul descris și cel care se activează în realitate.
- Cum vor fi prezentate constatările și riscurile?
O simplă listă cu ce nu funcționează e una. De ce nu funcționează, cât de importantă e problema, de ce a apărut și cum poate fi evitată este altceva. Și este mult mai important pentru management.
- Raportul va conține recomandări aplicabile?
Este clar că fără soluții propuse ca urmare a constatărilor, compania nu va avea un câștig real.
- Ce se întâmplă după raport?
Merită clarificat dacă și cum va fi urmărită implementarea măsurilor stabilite în urma constatărilor. Și ce rol va avea auditorul în acest proces.
Răspunsurile la aceste întrebări ar trebui să permită managementului să înțeleagă ce muncă există în spatele raportului pe care îl cumpără. Și mai ales cum îi va fi util.
Ce ar trebui să primească managementul în urma auditului intern?
La finalul unui proces de audit intern responsabil, conducerea ar trebui să aibă răspunsuri clare la câteva întrebări esențiale: unde sunt vulnerabilitățile companiei, care dintre ele sunt prioritare, ce controale nu funcționează suficient de bine și ce măsuri pot reduce expunerea.
Managementul are nevoie de concluzii suficient de clare încât să poată decide ce trebuie schimbat, cine trebuie să o facă și ce probleme trebuie tratate cu prioritate.
Auditul intern nu trebuie să preia rolul managementului și nici să îi spună antreprenorului cum să-și conducă afacerea.
Rolul lui este să îi ofere o perspectivă independentă asupra zonelor în care compania este expusă.
La Accountess nu facem audit intern „doar pentru dosar”
Creșterea interesului pentru auditul intern vine din nevoia de conformare: sunt companii care vor, înainte de toate, documentul care demonstrează că obligația a fost îndeplinită.
Avem de-a face, per ansamblu, cu numeroase obligații administrative, presiune permanentă asupra costurilor și suficientă birocrație. Privit din exterior, auditul intern poate părea încă o cerință care trebuie bifată.
Accountess a ales să nu livreze doar documentația, fără verificarea care trebuie să stea în spatele ei.
Motivul este simplu: un raport emis fără să te uiți cu adevărat în companie nu aduce folos nici companiei, nici auditorului.
Un audit intern serios presupune tocmai disponibilitatea de a pune întrebări, de a urmări procesele și de a semnala lucrurile care nu funcționează, inclusiv (sau mai ales) atunci când răspunsurile sunt incomode.
În cele din urmă, aceasta este valoarea pentru care o companie ar trebui să plătească.
Audit intern obligatoriu: formalitate sau instrument de protecție?
O companie poate trata auditul intern ca pe încă o cerință de conformare, poate căuta și obține documentația necesară și poate considera problema rezolvată odată ce raportul a ajuns la dosar.
Un audit intern bun nu garantează că într-o companie nu vor exista niciodată greșeli sau fraude.
Dar un auditor responsabil face ceva mult mai realist și mai valoros: arată managementului unde există vulnerabilități înainte ca acestea să coste sau să devină probleme reale.
Aveți obligația de face un audit intern sau vreți să evaluați dacă auditul actual oferă managementului informația de care are nevoie? Echipa Accountess poate analiza împreună cu managementul cerințele aplicabile companiei, riscurile relevante care merită investigate și aria de audit necesară.
Contactați-ne pentru o primă discuție.
Autor: Mihaela Teleman, General Manager Accountess
Ne poți urmări pe Linkedin și pe Facebook pentru a rămâne mereu la curent cu materialele pe care le publicăm.