יעודה של הביקורת הפנימית הוא בתרומתה לאיכות ולמצוינות ארגונית, המכוונת את הארגון ערכית ומקצועית להשיג שלמות בכל מה שהוא עושה כלפי כלל בעלי העניין. כמו כן, לסייע להנהלת הארגון באיתור כשלים בתהליך במטרה לצמצם בעתיד את העלויות שיצרו הכשלים בעבר ולהמליץ על שיפורים בתהליך בשאיפה להביא את הארגון לביצועים טובים יותר.
בחלקה של הביקורת נופל החלק הקשה והמורכב, להיות "שומרת סף" התורמת את חלקה לאיכות ולמצוינות בכך, שהיא חושפת לאור אזורים בהם הארגון צפוי להיכשל כתוצאה מליקויים מערכתיים, מקצועיים או נורמטיביים.
פעילות המבקר הפנימי.
פעילות המבקר הפנימי מתחלקת למספר שלבים עיקריים:
לצורך קביעת נושאי הביקורת המרכיבים את תוכנית הביקורת עושה המבקר הערכת סיכונים, שבה נלקחים בחשבון הן היעדים והמשימות לטווח קצר והארוך של הארגון, והן המגמות החיוביות והשליליות בסביבת הארגון. על בסיס ניתוח היעדים והסביבה מעריך המבקר מהם הנושאים שבהם שינויים ושיפורים בבקרות הניהוליות עשויים לתרום לצמצום הסיכונים ולקידום אפקטיבי, יעיל ומוסרי של יעדי הארגון.
בחירת הנושאים לביקורת מתייחסת לא רק לתהליכים ופרויקטים קיימים הנמצאים בסיכון, אלא גם לתהליכים ופרויקטים חדשים שמן הראוי להיכנס אליהם כדי לנצל הזדמנויות שנוצרו בסביבה החיצונית והפנימית. ויתור לא מחושב של המבקר הפנימי על הזדמנות לקדם את יעדי הארגון, דרך בחירה בנושא ביקורת מתאים, מהווה אף הוא סיכון.
עריכת ביקורת מתחילה בלימוד ההקשר הרחב של הנושא המבוקר באמצעות סקר מוקדם, שבו אוסף המבקר נתונים על התשומות והתפוקות של התהליכים המבוקרים, מראיין עובדים ומנהלים המשתתפים בתהליכים המבוקרים ועורך תצפיות. בנוסף ללימוד הנושא המבוקר באמצעות מחקר אמפירי עורך המבקר בשלב הסקר המוקדם גם מחקר עיוני שנועד לנסח מיני-תאוריות והשערות לגבי סיכונים בתחום המבוקר ועל הדרכים לצימצומם. מחקר עיוני זה מבוסס בעיקר על לימוד דו"חות ביקורת קודמים שלו ושל אחרים, שבהם מפורט הניסיון הקודם שלו ושל מבקרים אחרים בנושאים דומים שניתן להתייחס אליהם כאל תקדימים מתאימים. מחקר עיוני זה מתבסס גם על לימוד דרכי הארגון והתהליכים בארגונים המוכרים כמצטיינים, על שיטות עבודה ובקרות ניהוליות המוכרות כ-best practice.
על בסיס הסקר המוקדם יכול המבקר להעריך האם תצמח תועלת מהמשך הביקורת בנושא שנבחר, ואם כן - כיצד לתחם אותו טוב יותר לפני הכניסה "לעבודת השטח". תיחום הביקורת לפני עבודת השטח כולל, כאמור, ניסוח השערות לגבי הסיכונים שצפויים בנושא המבוקר והביטוי שיקבלו הסיכונים הללו בשטח; לדוגמה, סיכונים של יעילות נמוכה בקידום יעדי הארגון כתוצאה מהעדר מדדי ביצוע, חוסר יעילות של הפעילות הארגונית כתוצאה מהעדר תחשיבים נכונים, בעיות אתיות בפעולת בכירים כתוצאה מריכוז סמכויות והעדר שקיפות.
הן על בסיס ההשערות המפורטות והן על בסיס ידע מכללא שאינו מפורש ומודע למבקר, מחפש המבקר במהלך עבודת השטח רמזים לדברים שקיימים ושלהערכתו רצוי שלא יתקיימו, דהיינו נתונים ואירועים שנראים לו כאנומליות, כחריגות וכסטיות ממצב עניינים רצוי. נתונים ואירועים שקיומם מרמז על סיכונים. באותה מידה מחפש המבקר במהלך עבודת השטח רמזים לדברים שלא קיימים ושלהערכתו העובדה שאירועים כאלו לא מתקיימים ושנתונים כאלו לא נאספים היא שלילית ומצביעה על סיכונים אפשריים לארגון.
אנומליות, סטיות, חריגות ולקונות אלו משמשות את המבקר כדי לארוג את הממצאים המתייחסים הן למה שקדם לחריגות אלו והביא אותן, והן למה שצפוי בעקבותיהן. המבקר הפנימי מציע בממצאים הסברים המתייחסים לעבר ומציינים מה, להערכתו, הם הגורמים שגרמו או אִפשרו היווצרות חריגים אלו. המבקר הפנימי כולל בממצאים גם תחזיות לגבי העתיד כאשר הוא מפרט את היקף וחומרת הסיכונים לקידום מועיל, יעיל ואתי של יעדי הארגון שסטיות ולקונות אלו מצביעים עליהם.
הממצאים הללו מובאים בטיוטת דו"ח הביקורת, והמבוקרים חייבים להתייחס הן לעצם קיום החריגות שהמבקר זיהה, הן לנכונות הסיבות שהמבקר מציע להיווצרותם והן לדעתם על קיום הסיכונים וחומרתם, לגוף המבוקר, שהמבקר גזר מהחריגות והלקונות שאותן זיהה. כמו כן המבוקר חייב לציין את לוח הזמנים לתיקון הליקויים שנמצאו על ידי המבקר הפנימי ואם ישנן אי הסכמות עם המבקר אלה יצוינו בדוח ויידונו בוועדת הביקורת.
על בסיס בחינה כפולה זו של הדינמיקה בגוף המבוקר ובסביבתו שיצרה או איפשרה את החריגים הללו, ועל בסיס ניתוח חומרת הסיכונים לקידום יעדי הארגון שקיום דינמיקה זו מצביעה עליהם וכמו כן גם על בסיס תגובת המבוקרים, מנסח המבקר בדו"ח הסופי המלצות על בקרות ניהוליות העשויות לצמצם סיכונים אלו.
העוסק בתחום נדרש לידע בתחומים השונים: כלכלה, סטטיסטיקה, משפטים, מערכות מידע ועוד. המבקר הפנימי נותן שירות לארגון מכוון שבהגדרת המקצוע הביקורת הפנימית היא שירות לארגון. המבקר ממונה על ידי הדירקטוריון ועל כן הוא עובד שלו, מקבל את שכרו מהארגון ומדווח לדירקטוריון. בעטיין של מגמות של צמצום עלויות בשוק עבודת הביקורת מועברת למיקור חוץ, לאמור מועסקים משרדי רואי חשבון המספקים שירותי ביקורת פנימית במיקור חוץ. אמנם המינוי נעשה על ידי הדירקטוריון, וממנים את אחד השותפים במשרד מכוון שמבקר פנים צריך להיות יחיד, על-פי חוק הביקורת הפנימית, אבל כאן החיסרון - שהוא הופך להיות חיצוני לארגון, מתקשה לחוות את הארגון אותו הוא מבקר ובכך יש משום מידת מה של פגיעה באי תלותו. מבקר פנימי חייב להיות בתוך הארגון ולהוות את מחלקת הביקורת הפנימית.
המעקב אחר ביצוע החלטות נועד כדי לוודא את אפקיביות הביקורת הפנימית. ללא מעקב ייתכן שליקויים לא יתוקנו וכך לעבודת הביקורת לא תהיה שום ערך. המעקב מאפשר את האפקטיביות של הביקורת בשל העובדה שגם המעקבים מדווחים לדירקטוריון ונידונים הביצועים ותיקני הליקויים שהוצגו על ידי המבקר הפנימי.
בישראל.
בישראל מעוגנת פונקציית הביקורת הפנימית בגופים ציבוריים בחוק הביקורת הפנימית, התשנ"ב-1992. בגופים פיננסיים (בנק, חברת ביטוח), בחברות ציבוריות ובגופים נוספים נדרש מינוי מבקר פנימי מכוח החוקים המסדירים את פעולתם. בין יתר הגופים החייבים במינוי ע"פ חוק של מבקר פנימי הם: חברות ציבוריות (נסחרות בבורסה), חברות ממשלתיות, גופים ציבוריים (משרדי ממשלה וגופים נתמכים על-ידה), רשויות מקומיות ואגודת שיתופיות.
חוק הביקורת הפנימית מגדיר התאמה לתפקיד בזו הלשון (סעיף 3(א)(4)): "הוא בעל תואר אקדמי מאת מוסד להשכלה גבוהה בישראל או מוסד להשכלה גבוהה בחוץ לארץ שהכיר בו לעניין זה מוסד להשכלה גבוהה בישראל, או שהוא עורך דין או רואה חשבון". יש לשים לב שהמבקר הפנימי אינו חייב להיות עורך דין או רואה חשבון: המבקר הפנימי רשאי להיות בעל תואר אקדמי, או עורך דין, או רואה חשבון (כיוון שבעת חקיקת החוק, עריכת דין וראיית חשבון לא דרשו בהכרח תואר אקדמי).
קיימת לשכה מקצועית שהיא לשכת המבקרים הפנימיים בישראל ואשר מקיימת מסלולי לימודים לתואר ראשון ושני בביקורת פנימית וציבורית ומנפיקה תעודת מבקר מוסמך ומומחה.
סעיף 3(א)(5) מגדיר את דרישות הניסיון כחלק מדרישות ההתאמה, בין היתר ניסיון של שנתיים או שהשתתף בהשתלמות מקצועית שאישרה הוועדה לענייני השתלמויות - הוועדה כוללת נציג של לשכת המבקרים הפנימיים. ברמת העקרון מספיקים הלימודים במסגרת לשכת המבקרים על-מנת לעסוק במקצוע הביקורת הפנימית, אלא שמרבית המעסיקים בשוגג קוראים לא נכון את דרישות החוק.
החוק מחייב מינוי מבקר אולם לא נקבעו כללים לשעות עבודה ומספר המבקרים ולכן לא פעם הארגון מעדיף לצמצם את עבודת המבקר. כאן חשובה מידת היכולת של המבקר להציג את ההשלכות והסכנות שבהיעדר שעות מספיקות של ביקורת (משאבים לביקורת). תקציב שעות של הביקורת הוא פונקציה, בין היתר לגודל הארגון, פעילותו וכדומה. שעות העבודה, מספר המבקרים והיקף הביקורת נשלטים על ידי הארגון וזה עלול לעיתים להקשות על ביקורת נאותה. החוק דורש את אי תלותו של המבקר הפנימי ולכן על תאגידים לפעול לכך, כגון הכפפתו של המבקר הפנימי לדרג הבכיר ביותר בארגון, לרוב ליו"ר הדירקטוריון. אישור תקציב הביקורת הפנימית נעשה על ידי ועדת הביקורת בהתאם להצעת תוכנית עבודה שנתית ורב-שנתית אותה מגיש המבקר על-סמך הערכת סיכונים - לעיתים ובחלק מן המבקרים הוא בעצמו עורך את הערכת הסיכונים - ובדיקת החשיפה למעילות - גם סקר שהמבקר לעיתים עורך בעצמו.
סעיף 45א(2) לחוק מבקר המדינה 1958 מעניק הגנה למבקר פנימי.
הביקורת הפנימית באוניברסיטאות בישראל - מקרה מיוחד.