Sisäisen tarkastuksen vuosisuunnittelun riskiarviomallin kehittäminen

Abstract

Opinnäytetyön tavoitteena oli kehittää suomalaisen finanssialan toimijan sisäisen tarkastuksen riskiperusteista vuosisuunnittelua vahvistamalla erityisesti sen systemaattisuutta ja läpinäkyvyyttä. Työn taustalla oli havainto, että kohdeorganisaation riskienhallintajärjestelmän kypsyystason takia, sisäisen tarkastuksen käytössä ei ollut vuosisuunnittelun tueksi yhtiö- ja yksikkötasoista, dataan perustuvaa riskianalyysiä. Vuosisuunnittelun riskiperusteisuus perustui suppeaan riskien arviointiin ja johdon haastatteluihin. Työn toimeksiantajana toimi suomalainen finanssialan toimijan Sisäisen tarkastuksen toiminto. Työn teoreettisessa osuudessa kerrotaan sisäisen tarkastuksen kansainvälisistä standardeista, sisäisen valvonnan ja riskienhallinnan malleista sekä tutkimuksista, jotka käsittelevät riskiperusteisen suunnittelun, rotaatioperusteisuuden ja strategialähtöisen arvioinnin vaatimuksia. Teoriaosassa kuvataan sisäisen tarkastuksen tehtävä, ammatillinen viitekehys sekä vuosisuunnittelun keskeiset elementit, kuten riskiperusteisuus, strategialähtöisyys, rotaatio ja tiedonkeruumenetelmät. Empiirinen osuus toteutettiin toiminnallisena kehittämistyönä, joka perustui opinnäytetyön tekijän ja sisäisen tarkastuksen johtajan havaintoihin sekä organisaatiossa tehtyihin haastatteluihin vuosina 2024–2025. Kehittämistyön tuloksena luotiin uusi, kevyesti toteutettava ja subjektiivinen, mutta rakenteellisesti johdolle hyvin perusteltava riskiarviomalli. Malli yhdistää määrällisiä sekä laadullisia riskitekijöitä ja huomioi eri yksiköiden volyymin, toiminnan monimutkaisuuden, kriittisyyden, toisen linjan havainnot, muutokset ja sisäisen tarkastuksen oman näkemyksen. Lisäksi otettiin käyttöön jatkuvan seurannan prosessi, jossa riskitietoa kerättiin läpi vuoden eri organisaatiotasoilta. Uudistettu malli mahdollisti aiempaa laajemman riskikuvan muodostamisen ja tarjosi johdonmukaisen perusteen tarkastuskohteiden valinnalle. Johtopäätöksenä voidaan todeta, että uusi riskiarviomalli vahvisti sisäisen tarkastuksen vuosisuunnittelun läpinäkyvyyttä ja paransi päätöksenteon perusteltavuutta. Jatkuva seuranta mahdollisti lisäksi aiempaa ajantasaisemman ja kokonaisvaltaisemman näkymän yhtiön riskiavaruuteen. Tulosten perusteella vuosisuunnittelun kehittäminen osoittautui selvästi tarpeelliseksi, ja luotu arviointimalli lisäsi merkittävästi suunnitteluprosessin systemaattisuutta. Yhteenvetona voi todeta, että kehitetty malli tarjoaa realistisen, skaalautuvan ja riskiperusteisen lähestymistavan vuosisuunnittelun toteuttamiseen. Kehittämistyö toimii myös hyvänä perustana mallin ja tätä kautta koko sisäisen tarkastuksen tulevalle kehitystyölle.

The aim of the thesis was to develop the risk-based annual planning of the internal audit of a Finnish financial institution strengthening its systematic approach and transparency. The background to the work was the observation that due to the maturity level of the target organization's risk management system, internal audit did not use company- and unit-level and data-based risk analysis to support annual planning. The risk-based annual planning was based on a limited risk assessment and management interviews. The work was commissioned by the Internal Audit function of a Finnish financial institution. The theoretical part of the thesis describes international internal audit standards, internal control and risk management models, and studies that address the requirements of risk-based planning, rotation-based planning, and strategy-based assessment. The theoretical part describes the role of internal audit, the professional framework, and the key elements of annual planning, such as risk-based planning, strategy-based planning, rotation, and data collection methods. The empirical part was conducted as functional development work, which was based on the observations of the thesis author and the head of internal audit, as well as interviews conducted in the organization in 2024–2025. The development work resulted in the creation of a new, easily implemented, and subjective risk assessment model that is structurally well justified to management. The model combines quantitative and qualitative risk factors and considers the volume, complexity, criticality, second-line observations, changes and internal audit's own view of different units. In addition, a continuous monitoring process was introduced, in which risk information was collected throughout the year from different organizational levels. The revised model enabled the formation of a broader risk picture than before and provided a consistent basis for the selection of audit targets. In conclusion, the new risk assessment model strengthened the transparency of internal audit's annual planning and improved the justification of decision-making. Continuous monitoring also enabled a more up-to-date and comprehensive view of the company's risk landscape. Based on the results, the development of annual planning proved to be clearly necessary, and the created assessment model significantly increased the systematic nature of the planning process. In summary, it can be stated that the developed model offers a realistic, scalable and risk-based approach to the implementation of annual planning. The development work also forms a sustainable foundation for the future development of the model and, through it, the entire internal audit.