Александр Филатов - Управление рисками, аудит и внутренний контроль

Перечень объектов аудита корректируется с учетом изменений в деятельности компании (например, появление новых проектов, формирование новых подразделений и т. д.). С этой целью модель аудита пересматривается как минимум один раз в год.

Для целей разработки плана деятельности внутреннего аудита используются результаты оценки рисков компании, проведенной исполнительными органами (службой управления рисками) компании в рамках СУР.

Принимая решение об использовании результатов оценки рисков компании, руководитель внутреннего аудита может, с учетом имеющихся ресурсов, предусмотреть проведение дополнительного анализа возможности полагаться на такую информацию (в том числе, проанализировать полноту выявленных рисков, качество описания и оценки рисков, эффективность процессов, используемых исполнительными органами компании для мониторинга и отчетности по рискам и проч.).

Если полученной от исполнительных органов компании информации о рисках недостаточно/информация не предоставлена (например, в случае отсутствия формализованных процессов выявления и оценки рисков) – внутренний аудит осуществляет анализ рисков объектов аудита самостоятельно. Подход к выявлению и оценке рисков объектов аудита определяется внутренним аудитом самостоятельно, исходя из особенностей компании.

На основании результатов оценки рисков осуществляется соотнесение выявленных рисков и объектов аудита. Объекты аудита ранжируются по уровню риска. Методики ранжирования и перечень дополнительных факторов, используемых для ранжирования, определяются внутренним аудитом самостоятельно, исходя из специфики компании.

При ранжировании объектов аудита рекомендуется рассмотреть несколько дополнительных факторов, в т. ч.: материальность (существенность влияния на результаты деятельности компании) объекта аудита; численность сотрудников; текучесть руководителей высшего и среднего звена; изменения в деятельности объекта; время, прошедшее с последней проверки; результаты предыдущей проверки данного объекта аудита и проч.

По итогам ранжирования формируются группы объектов аудитов с высоким, средним и низким уровнем риска.

Объекты аудита включаются в план деятельности внутреннего аудита по результатам оценки рисков на выборочной основе. Проведение плановых проверок является основной деятельностью внутреннего аудита. Кроме того, необходимо предусмотреть бюджет времени и на выполнение следующих мероприятий:

– консультирование руководства компании по вопросам управления рисками, внутреннего контроля и корпоративного управления;

– разработка и актуализация внутренних нормативных документов, регламентирующих деятельность внутреннего аудита (методологии внутреннего аудита);

– осуществление мониторинга выполнения в компании планов мероприятий по устранению недостатков, нарушений и совершенствованию СВК, разработанных руководителями объектов аудита по результатам проверок

– разработка плана деятельности внутреннего аудита на период, определяющего приоритеты деятельности внутреннего аудита;

– подготовка отчета по результатам деятельности внутреннего аудита;

– содействие исполнительным органам компании в расследовании недобросовестных/противоправных действий работников и третьих лиц;

– взаимодействие с внешним аудитором, подразделениями компании по вопросам, относящимся к деятельности внутреннего аудита;

– повышение профессиональной квалификации внутренних аудиторов и прочее.

На основании данных об общем количестве времени на выполнение плановых проверок и прочих мероприятий внутреннего аудита и данных об общем доступном фонде времени на реализацию плана, руководитель внутреннего аудита определяет достаточность (дефицит) внутренних ресурсов.

В случае если внутренние ресурсы не позволяют реализовать все плановые проверки и прочие мероприятия, указанные в плане, руководитель внутреннего аудита информирует совет директоров (комитет по аудиту) о необходимости принятия соответствующего решения (например, выделения дополнительных ресурсов для выполнения плана посредством увеличения численности внутренних аудиторов, привлечения сторонних организаций (аутсорсинг/косорсинг) или сокращения объема задач).

Этапы организации проверки

Проверки проводятся внутренним аудитом на основании утвержденного плана деятельности внутреннего аудита. Как правило, проверки осуществляются в три этапа и включают:

– планирование и подготовку к проведению проверки;

– проведение проверки;

– подготовку отчета по результатам проверки.

Для проведения каждой проверки назначается руководитель проверки и формируется рабочая группа, состав которой утверждается руководителем внутреннего аудита или уполномоченным им работником.

На каждом из этапов проверки участники рабочей группы имеют право запрашивать любую необходимую информацию от проверяемых объектов аудита.

Подготовительный этап

На подготовительном этапе осуществляется формирование программы проверки. Программа проверки формируется до начала проведения каждой проверки и включает следующую информацию:

– цели проверки;

– объем и содержание проверки;

– сроки и распределение трудовых ресурсов;

– характер и объем аудиторских процедур, используемых для достижения целей проверки (процедуры тестирования, аналитические процедуры).

Программа проверки утверждается руководителем внутреннего аудита или уполномоченным им работником. Программа проверки может корректироваться в процессе выполнения проверки по согласованию с руководителем внутреннего аудита или с иным уполномоченным работником.

С целью более точного определения целей проверки и идентификации областей, подлежащих проверке, в рамках планирования проверок учитываются результаты оценки рисков и анализа контрольных процедур, относящихся к объекту аудита.

При подготовке программы проверки руководитель внутреннего аудита определяет такой уровень формализации и документирования (в частности, итогов совещаний по планированию, процедур оценки рисков, степени детализации программы проверки и т. п.), который является приемлемым для компании.

Руководитель проверки информирует руководителей объекта аудита о планируемой проверке, в том числе:

– целях планируемой проверки, объеме и содержании работы;

– участниках рабочей группы и времени на выполнение проверки.

Также руководитель проверки запрашивает у руководителя объекта аудита вводную информацию об объекте аудита с целью: