Александр Филатов - Управление рисками, аудит и внутренний контроль

Рекомендуется, чтобы внутренний аудит головной организации компании холдингового типа осуществлял функциональное руководство деятельностью внутреннего аудита в ДЗО в соответствии с подходами, изложенными в настоящих Методических рекомендациях, координировал работу внутреннего аудита во всех ДЗО компании, с учетом особенностей организации управления головной компании и ДЗО.

Для выполнения поставленных задач внутренние аудиторы головной компании могут принимать участие в работе комитета по аудиту и/или ревизионной комиссии ДЗО.

Руководитель внутреннего аудита координирует взаимодействие внутреннего аудита с внешним аудитором компании.

Внутренний аудит и внешний аудитор могут взаимодействовать в рамках:

– обмена информацией о результатах оценки эффективности СВК компании, в том числе за подготовкой бухгалтерской (финансовой) отчетности;

– обсуждения планов деятельности внутреннего аудита и внешнего аудитора с целью их координации и минимизации двойной работы;

– анализа эффективности внедрения корректирующих мероприятий, направленных на устранение недостатков СВК компании за подготовкой бухгалтерской (финансовой) отчетности.

Результаты работы внутреннего аудита могут быть использованы внешним аудитором в рамках проведения процедур внешнего аудита. В этом случае внешний аудитор проводит предварительную оценку результатов работ внутреннего аудита согласно требованиям применимых стандартов аудита. Руководителю внутреннего аудита рекомендуется оказывать содействие внешнему аудитору в проведении такой оценки.

Руководитель внутреннего аудита на ежегодной основе обсуждает с советом директоров (комитетом по аудиту) эффективность процесса внешнего аудита (включая эффективность координации деятельности внутреннего и внешнего аудита).

Взаимодействие с другими субъектами системы внутреннего контроля

Внутренний аудит может использовать в своей деятельности результаты работы других субъектов СВК и иных заинтересованных сторон, которые в силу своего функционала так же, как и внутренний аудит, осуществляют мониторинг и оценку системы внутреннего контроля по отдельным направлениям деятельности (в том числе комплаенс-служба, подразделение по управлению рисками, служба безопасности и другие специализированные подразделения, а также ревизионная комиссия, далее – «субъекты СВК и иные заинтересованные стороны»). В целях выявления рисков с недостаточным или дублирующим покрытием субъектами СВК и/или заинтересованными сторонами руководитель внутреннего аудита 14разрабатывает схему (карту) взаимодействия субъектов СВК и иных заинтересованных сторон, осуществляющих мониторинг и оценку СВК по отдельным направлениям деятельности («карта гарантий») – документ, определяющий сферы ответственности субъектов СВК и иных заинтересованных сторон в отношении отдельных рисков компании. Схема (Карта) взаимодействия субъектов СВК и иных заинтересованных сторон может включать следующую информацию:

– перечень бизнес-процессов компании;

– перечень рисков компании;

– лиц, ответственных за управление рисками компании (владельцев риска);

– субъекты СВК и иные заинтересованные стороны, осуществляющие мониторинг/оценку в отношении каждого из рисков.

При разработке схемы (карты) руководитель может использовать имеющиеся в компании классификатор рисков и процессов, карту рисков, другие внутренние документы компании, определяющие схемы взаимодействия субъектов СВК и иных заинтересованных сторон, осуществляющих мониторинг и оценку СВК по отдельным направлениям деятельности.

В случае если внутренний аудит полагается на результаты работы других субъектов СВК и иных заинтересованных сторон, руководителю внутреннего аудита рекомендуется предварительно оценить качество и надежность результатов работ (в т. ч. применяемую методологию, процедуры и техники, используемые при оценке, объем и характер работ и проч.).

Взаимодействие с государственными надзорными органами

Внутренний аудит в рамках своей деятельности взаимодействует с государственными надзорными органами в порядке, предусмотренном законодательством и соответствующими внутренними нормативными документами компании, в том числе со Счетной палатой Российской Федерации, а также другими государственными надзорными органами по вопросам, относящимся к компетенции внутреннего аудита.

Руководитель внутреннего аудита разрабатывает план деятельности внутреннего аудита, как правило, на ежегодной основе.

План деятельности внутреннего аудита включает плановые проверки и прочие мероприятия внутреннего аудита.

Руководитель внутреннего аудита предоставляет план деятельности внутреннего аудита на рассмотрение (согласование) исполнительным органам и утверждение совету директоров. К плану также могут прилагаться график работ, штатное расписание подразделения, ресурсный план и финансовый бюджет внутреннего аудита.

План деятельности внутреннего аудита разрабатывается на основе модели аудита, с использованием информации и запросов, полученных от исполнительных органов и совета директоров компании, результатов оценки рисков компании (подготовленными, например, службой управления рисками компании, если такая служба имеется в компании).

Планирование деятельности внутреннего аудита состоит из следующих этапов:

– формирование/актуализация модели аудита компании;

– проведение/использование результатов оценки рисков;

– ранжирование объектов аудита по уровню рисков с учетом дополнительных факторов;

– формирование риск-ориентированного плана внутренних аудиторских проверок;

– формирование плана деятельности внутреннего аудита на основе риск-ориентированного плана проверок, запросов/поручений исполнительных органов и совета директоров компании, мероприятий по осуществлению последующего контроля за финансово-хозяйственной деятельностью, а также других мероприятий внутреннего аудита;

– формирование графика работ, штатного расписания подразделения, ресурсного плана и финансового бюджета.

План деятельности внутреннего аудита рекомендуется пересматривать на регулярной основе, в том числе с учетом результатов переоценки рисков компании.

Модель аудита компании включает перечень объектов аудита, например, бизнес-процессы, бизнес-функции, проекты/инициативы компании, подразделения, бизнес-единицы и иное в зависимости от выбранного в компании подхода к структурированию объектов аудита.