Александр Филатов - Управление рисками, аудит и внутренний контроль

Руководитель внутреннего аудита осуществляет контроль за доступом к документам, относящимся к проверке. Передача любых документов внешней стороне осуществляется в соответствии с установленными в компании процедурами и правилами.

Если в ходе проверки используется конфиденциальная информация (информация, составляющая коммерческую тайну, персональные данные работников и/или иная информация, отнесенная к категории конфиденциальной), участники рабочей группы руководствуются требованиями установленных правил хранения, получения и передачи документов.

Подготовка отчета по результатам проведения проверки

По завершению проверки рабочая группа подготавливает итоговый отчет.

Формат и содержание отчета определяются компанией самостоятельно. Рекомендуется включать в отчет, как минимум, следующие разделы:

– цели проверки – в этот раздел включаются цели, указанные в программе проверки;

– объем и содержание – в этом разделе указываются бизнес-процессы/проекты операции и контрольные процедуры, которые были включены в объем проверки, характер и объем выполненных аудиторских процедур, а также дополнительная информация, определяющая границы проверки (период проверки, области, не попавшие в периметр аудиторской проверки);

– результаты проверки – в этот раздел включаются наблюдения (включая выявленные недостатки), выводы (заключения) и рекомендации.

В отчет может включаться информация об улучшениях, сделанных объектом аудита с момента выполнения предыдущей проверки. Данная информация может быть использована для [лучшего] понимания текущего состояния деятельности объекта аудита и обоснования результатов проведения проверки.

В ходе проверки рабочая группа может подготавливать промежуточные отчеты в целях информирования уполномоченных лиц о фактах, требующих незамедлительных действий (внимания), изменениях объема и содержания проверки, ходе выполнения проверки, если проверка выполняется длительное время. Использование промежуточных отчетов не уменьшает и не отменяет необходимости подготовки и предоставления итогового отчета.

До выпуска итогового отчета, рабочая группа обсуждает с уполномоченными представителями объекта аудита результаты проверки. Подобное обсуждение может осуществляться в процессе проверки, на заключительных (итоговых) совещаниях и/или в форме предоставления проекта итогового отчета на рассмотрение уполномоченным представителям объекта аудита.

В итоговый отчет может включаться мнение уполномоченных представителей объекта аудита о результатах проверки. В случае несогласия представителей объекта аудита с результатами проверки, в отчете документируются причины несогласия.

Итоговый отчет подписывается руководителем рабочей группы (или другим уполномоченным внутренним аудитором). Руководитель внутреннего аудита направляет подписанный итоговый отчет руководителю объекта аудита и тем работникам, руководителям, другим уполномоченным лицам компании, которые могут обеспечить должное рассмотрение результатов проверки и принять корректирующие меры.

Если это предусмотрено положением о внутреннем аудите (или иным нормативным документом, регламентирующим деятельность внутреннего аудита), руководитель внутреннего аудита может направлять отчет другим заинтересованным сторонам. При этом руководитель внутреннего аудита, прежде чем передать итоговый отчет заинтересованным сторонам, должен:

– оценить возможные риски для компании;

– при необходимости проконсультироваться в установленном порядке с исполнительными органами и/или юридическим подразделением;

– контролировать распространение информации, устанавливая ограничения на ее использование.

Если в отчете, после его предоставления кругу заинтересованных лиц, будут выявлены существенные ошибки и упущения, руководитель внутреннего аудита оперативно доводит исправленную информацию до сведения всех лиц, получивших итоговый отчет.

По итогам проверки на основании выявленных недостатков и подготовленных внутренним аудитом рекомендаций руководитель объекта аудита разрабатывает и согласовывает с руководителем проверки план мероприятий по результатам проверки (совокупность действий менеджмента, направленных на совершенствование деятельности компании путем устранения выявленных недостатков, реализации рекомендаций внутреннего аудита и совершенствования системы управления рисками и внутреннего контроля).

План мероприятий утверждается руководителем объекта аудита или иным уполномоченным органом.

Руководитель объекта аудита может принять аргументированное решение не предпринимать действий в отношении какого-либо из выявленных недостатков. В этом случае руководитель объекта аудита должен довести аргументы в пользу решения о непринятии мер до руководителя проверки и руководителя внутреннего аудита.

Руководитель внутреннего аудита рассматривает план мероприятий и аргументы менеджмента (руководителя объекта аудита) о непринятии мер. В случае если, по мнению внутреннего аудита, менеджмент компании принимает недопустимый для компании риск, руководитель внутреннего аудита должен своевременно сообщить об этом исполнительным органам компании, и, при необходимости, совету директоров (комитету по аудиту).

Руководители объектов аудита обеспечивают своевременное и надлежащее выполнение согласованных планов мероприятий, разработанных по результатам проверок.

Мониторинг выполнения плана мероприятий, разработанного по результатам проверки

Руководитель внутреннего аудита разрабатывает систему мониторинга выполнения планов мероприятий, разработанных по результатам проверок, с целью подтверждения адекватности, эффективности и своевременности действий, предпринятых руководителями объектов аудита с целью устранения недостатков, реализации рекомендаций и совершенствования системы внутреннего контроля компании.

Мониторинг выполнения планов мероприятий включает, но не ограничивается следующими процедурами:

– получение и анализ информации, полученной от руководителей объектов аудита о результатах выполнения планов мероприятий;

– проведение последующего мониторинга с целью подтверждения эффективности действий руководителей объектов аудита в части устранения выявленных недостатков и совершенствования СВК;

– подготовка отчетности для единоличного исполнительного органа (или другого лица, в административном подчинении у которого находится внутренний аудит) и совета директоров (комитета по аудиту) о результатах мониторинга выполнения планов мероприятий.