Александр Филатов - Управление рисками, аудит и внутренний контроль

Для подтверждения текущего состояния объекта аудита в части процедур внутреннего контроля и мероприятий по управлению рисками рабочая группа собирает достаточное количество надежных аудиторских доказательств. К аудиторским доказательствам могут относиться:

– копии подтверждающих документов, в том числе первичные учетные документы, электронная переписка, договоры, протоколы встреч, расчеты/сверки;

– выгрузки из ИТ-систем;

– протоколы рабочих встреч, письменные разъяснения и объяснения;

– документация, сформированная в ходе выполнения аудиторских процедур (результаты инвентаризации, протоколы осмотров и т. п.);

– прочие документы/информация.

Выводы (заключения) и рекомендации по итогам проверки

На основе выявленных недостатков и нарушений формулируются выводы. При формулировании выводов рабочая группа основывается на своем профессиональном суждении, сформированном на основе анализа аудиторских доказательств. В отчет включаются только те выводы, которые подтверждены надежными аудиторскими доказательствами.

Выводы могут касаться задания проверки в целом или его отдельных аспектов. Выводы могут включать, но не ограничиваться, указанием на то, соответствуют ли цели и задачи деятельности объекта аудита целям и задачам компании, достигаются ли цели и задачи компании и функционирует ли проверяемый объект так, как запланировано.

Заключение (мнение) рабочей группы может включать совокупную оценку системы управления рисками и внутреннего контроля объекта аудита или может быть ограничено отдельными видами контроля или аспектами проверки, в частности, могут быть сформулированы заключения относительно:

– эффективности дизайна ключевых контрольных процедур;

– эффективности выполнения ключевых контрольных процедур (операционной эффективности контрольных процедур);

– эффективности управления критичными рисками объекта аудита; эффективности СУР и СВК объекта аудита.

На основе проведенных наблюдений и выводов формулируются рекомендации по совершенствованию системы управления рисками и внутреннего контроля объекта аудита. Рекомендации могут быть направлены на принятие мер для корректировки существующих условий или совершенствования деятельности и могут предлагать подходы к изменению или улучшению деятельности в качестве руководства для исполнительных органов по достижению желаемых результатов.

Рекомендации могут быть общими или конкретными. Например, в некоторых случаях могут быть предложены рекомендации общего характера, в других – конкретные меры по совершенствованию. В некоторых случаях исполнительным органам компании может быть предложено проведение дополнительного расследования (например, в случае выявления индикаторов недобросовестных/противоправных действий работников и третьих лиц).

Контроль над выполнением проверки

Для достижения поставленных целей, обеспечения качества работы и повышения квалификации внутренних аудиторов осуществляется контроль над выполнением проверки. Требуемая степень контроля зависит от уровня профессионализма и опыта участников рабочей группы, а также сложности проверки.

Контроль начинается на этапе планирования и продолжается в процессе выполнения проверки. К процедурам контроля относятся:

– обеспечение наличия у участников рабочей группы необходимых знаний, навыков и других компетенций, необходимых для выполнения проверки;

– предоставление необходимых инструкций в процессе планирования и утверждения программы проверки;

– обеспечение выполнения утвержденной программы проверки;

– определение того, поддерживают (подтверждают) ли аудиторские рабочие документы наблюдения, выводы и рекомендации по проверке;

– обеспечение точности, объективности, ясности, краткости, конструктивности и своевременности передачи информации, относящейся к проверке;

– обеспечение достижения целей проверки;

– предоставление возможностей для развития знаний, навыков и других компетенций внутренних аудиторов.

Руководитель внутреннего аудита несет общую ответственность за осуществление контроля над выполнением проверки, но может поручить/делегировать соответствующие функции другим внутренним аудиторам, обладающим надлежащим опытом работы во внутреннем аудите.

Все рабочие документы, относящиеся к проверке, проверяются в установленном порядке, чтобы убедиться в том, что они подтверждают информацию по проверке, и что необходимые аудиторские процедуры выполнены (способы доказательств осуществления контроля определяются внутренними документами компании, определяющими порядок документирования результатов работы внутреннего аудита, и могут включать заполнение проверочной таблицы (чек-листа) по комплекту аудиторской рабочей документации, подготовку отчета, описывающего характер, объем, содержание и результаты проверки, или оценку и проведение проверок с помощью программного обеспечения для подготовки рабочей документации).

Свидетельства осуществления контроля документируются и хранятся в установленном в компании порядке.

Внутренние аудиторы, проводящие проверку («проверяющие»), могут записывать вопросы (замечания по проверке), возникающие в процессе её проведения. При разборе вопросов (замечаний) по проверке необходимо позаботиться о том, чтобы обеспечить представление в документах, относящихся к проверке, адекватных доказательств существования вопросов (замечаний), возникших в процессе проверки.

Альтернативными способами работы с замечаниями по проверке являются:

– хранение замечаний по проверке в виде перечня вопросов, поднятых проверяющим, действий, предпринятых для их решения, и результатов этих действий;

– удаление замечания по проверке после решения возникших вопросов и замена соответствующими документами, относящимися к заданию, предоставляющими требуемую информацию.

Формирование рабочей документации по проверке

В ходе выполнения проверки участники группы проверки формируют рабочую документацию. Рабочая документация включает все аспекты процесса выполнения проверки – от планирования до предоставления отчета по результатам проверки.

Документирование информации необходимо в целях обоснования выводов и результатов проверки, документального подтверждения достижения целей проверки, подтверждения точности и полноты выполненных работ, обеспечения условий для реализации контроля за качеством работы внутреннего аудита.

Руководитель внутреннего аудита разрабатывает правила хранения, получения и передачи внешним и внутренним заинтересованным сторонам документов, относящихся к проверке, руководствуясь требованиями внутренних организационно-распорядительных документов (в том числе, документов компании, устанавливающих порядок работы с конфиденциальной информацией) и требований законодательства.