Олег Крышкин - Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

Несколько слов об оформлении матриц рисков и контрольных процедур и тестов. В целом какие-либо правила отсутствуют. Особенности оформления определяются как соображениями целесообразности и практичности, так и вкусом и предпочтениями руководителя ПВА и/или руководителя проекта. Как минимум методология оформления матриц и тестов должна способствовать обеспечению доказательности материалов отчета. Полезно придерживаться трех описанных выше нюансов. Например, описывать контрольную процедуру в матрице аналогично описанию на схеме процесса и наоборот (соблюдение принципа унификации). Или, например, в матрице указывается пункт и подпроцесс, где находится риск или контрольная процедура, при этом пункт совпадает с пунктом по схеме (принцип перекрестных ссылок), а название подпроцесса – с названием схемы (принцип унификации). Или еще пример: в столбце матрицы «Тестирование» указывается название и номер теста по соответствующему процессу. Для этой цели в каждом процессе используется определенная нумерация тестов (принцип перекрестных ссылок).

При оформлении тестов как минимум должны указываться следующие реквизиты (см. пример шапки теста в табл. 23):

1) исполнитель – например, зная исполнителя, можно сделать ряд предположений о том, насколько профессионально проведен тест;

2) цель – помогает контролировать ход тестирования. Также позволяет оценить адекватность выводов;

3) размер выборки – дает представление об объективности выводов и возможности экстраполяции результатов на совокупность в целом;

4) программа теста – позволяет сопоставить план работы с фактом;

5) вывод – позволяет оперативно установить результат тестирования без обязательного изучения материалов теста.

Таблица 23. Пример оформления детального теста

Вопросники самоконтроля (далее вопросник) представляют собой довольно специфичный инструмент. Однако они используются во многих профессиях намного чаще, чем может показаться. По сути, вопросник представляет собой шпаргалку, в которой отражены наиболее важные моменты планируемого процесса или процедуры. Он полезен как начинающим аудиторам, так и продвинутым аудиторам (например, при контроле полноты и качества работы начинающих аудиторов). Также информация из вопросников может использоваться для унификации результатов проектов внутреннего аудита, а также для формирования статистических данных определенного содержания и в определенном формате. И это далеко не исчерпывающий список вариантов применения вопросников.

Формат и содержание вопросников определяются теми задачами, которые предстоит решить. Рассмотрим вопросник, представленный в табл. 24. Он использовался для повышения квалификации начинающих внутренних аудиторов в области описания и анализа процессов, а точнее этапов процессов. Это достигалось за счет фокусирования внимания на определенных элементах системы внутреннего контроля и процесса. Начинающий аудитор заполнял несколько вопросников по ходу проекта.

Таблица 24. Пример вопросника самоконтроля

Раздел 1 «Статус по ключевым целям контроля в рамках процесса» – здесь необходимо оценить, во-первых, наличие указанных целей на этапе процесса, а во-вторых, достижение этих целей системой внутреннего контроля этапа процесса. Если цель контроля является актуальной и достигается, то ставится отметка в графе «Да». Если она является актуальной, но не достигается, то ставится отметка в графе «Нет». При наличии отметки в графе «Нет» необходимо пояснить в графе «Примечания» причину отсутствия цели. Если цель контроля является неактуальной, то в обеих графах ставятся прочерки. В этом случае также необходимо пояснить причину прочерков.

Раздел 2 «Статус по системе контроля» – в данном разделе используются всего два пункта. Пометка в графе «Да» означает дублирование контрольных процедур и/или адекватное разделение полномочий. Необходимо пояснить, почему разделение полномочий адекватно. Пометка в графе «Нет» означает отсутствие дублирования контрольных процедур и/или адекватного разделения полномочий. Необходимо пояснить, почему дублирование контрольных процедур отсутствует.

Раздел 3 «Статус по эффективности процесса» – наиболее развернутый раздел, состоящий из 12 подпунктов, предназначен для всесторонней оценки фундаментальных параметров этапа процесса. Разберем каждый подпункт.

• Пункт 3.1 «Соблюдение концепции “затраты/выгоды”» в рамках процесса» – соблюдать данную концепцию – значит принимать ключевые решения из соображений экономической целесообразности. Пометка в графе «Да» означает, что решения именно так и принимаются. В этом случае необходимо пояснить на существенных примерах причину такой отметки.

• Пункт 3.2 «Соблюдение концепции Change Control – процесс способен адекватно меняться в ответ на влияние внешних и внутренних факторов» – примером такого механизма является наличие процесса изучения рынка в составе процесса «Продажи» (маркетинговые исследования и т. д.). Изучение рынка способствует многочисленным изменениям в процессе «Продажи» (например, изменение ценовой политики) и в ряде сопутствующих процессов (например, изменение линейки выпускаемой продукции). Пометка в графе «Да» означает, что концепция соблюдается. В этом случае надо пояснить, за счет чего это достигается.

• Пункт 3.3 «Распределение полномочий в процессе соответствует распределению ответственности» – за счет правильного соотношения полномочий и ответственности достигается балансировка процесса. Пометка в графе «Да» означает, что соотношение правильное. В этом случае необходимо на существенных примерах пояснить, что это так.

• Пункт 3.4 «Скорость исполнения этапов процесса адекватна» – в этом случае можно дать как субъективную оценку (исключительно мнение внутреннего аудитора), так и в определенной степени объективную оценку (например, по аналогии с сопоставимыми объектами аудита, на основании мнения экспертов). Разумеется, предпочтение отдается более объективным оценкам. Отметка в графе «Да» означает, что скорость адекватна. В этом случае необходимо пояснить, за счет чего это достигается.

• Пункт 3.5 «Достаточность ресурсов для осуществления процесса» – понятие ресурсов трактуется в расширительном смысле (кроме персонала). Отметка в графе «Да» означает, что ресурсов достаточно. В этом случае необходимо показать, что поступления ресурсов за вычетом оттока ресурсов соответствуют потребности процесса.