Роман Лукашов - Формирование подразделения внутреннего аудита в российском банке

Внутренние аудиторы, как правило, осуществляют проверки в рамках своих обычных обязанностей либо по распоряжению высшего руководства, совета директоров, руководителя подразделения или дочернего предприятия. Кроме того, при оценке эффективности управления рисками руководство может использовать информацию, полученную от внешних аудиторов. По решению руководства для проведения любых проверок усилия внутренних и внешних аудиторов могут объединяться…

Одним из наилучших источников информации по недостаткам процесса управления рисками является сам процесс управления рисками. Непрерывный мониторинг деятельности организации, включая деятельность руководства и текущий контроль со стороны сотрудников, позволяет получить сведения от лиц, принимающих самое непосредственное участие в деятельности организации. Данные сведения поступают в режиме реального времени и также могут обеспечить оперативное определение недостатков. Такими источниками сведений о недостатках являются периодические проверки процесса управления рисками. Проверки, проводимые руководством, внутренними аудиторами или другими подразделениями, могут выявить области, требующие изменений.

Стороны, которые должны быть уведомлены о недостатках, иногда устанавливают специальные указания относительно того, какая информация должна быть предоставлена. Например, совет директоров или аудиторский комитет могут требовать от руководства или внутреннего или внешнего аудитора информирования только о недостатках, которые отвечают заданному уровню серьезности или важности.

Управление рисками организации осуществляется целым рядом сторон, каждая из которых выполняет важные обязанности. Совет директоров (непосредственно или через свои комитеты), руководство, внутренние аудиторы и прочий персонал – все вносят значительный вклад в управление рисками. Прочие стороны, такие как внешние аудиторы и регулирующие органы, иногда также ассоциируются с управлением рисками и внутренним контролем. В то же время существует различие между лицами, являющимися частью процесса управления рисками организации, и лицами, не являющимися его частью, действия которых, тем не менее, могут оказывать влияние на процесс управления рисками или иным образом содействовать организации в достижении ее целей. При этом прямое или косвенное содействие организации в достижении ее целей не делает соответствующую внешнюю сторону частью процесса управления рисками и не возлагает на нее ответственности за управление рисками организации.

Внутренние аудиторы играют одну из ведущих ролей в деле оценки эффективности управления рисками и в разработке рекомендаций по его оптимизации. Стандарты, установленные Институтом внутренних аудиторов, указывают, что в объем внутреннего аудита должен входить аудит систем управления рисками и систем контроля. Данные функции включают оценку достоверности финансовой отчетности, эффективности деятельности и соблюдения применимого законодательства и нормативных актов. При выполнении своих обязанностей внутренние аудиторы оказывают содействие руководству и совету директоров или аудиторскому комитету путем изучения, оценки, составления отчетов и предоставления рекомендаций по повышению адекватности и эффективности процесса управления рисками организации.

Стандарты Института внутренних аудиторов также определяют роль службы внутреннего аудита, четко указывая на то, что внутренние аудиторы должны быть объективны в отношении проверяемой ими деятельности. Такая объективность должна подтверждаться их положением и полномочиями в рамках организации и подбором кандидатов на должности внутренних аудиторов. Должное положение и полномочия в рамках организации подразумевают: подотчетность лицу, имеющему достаточные полномочия по обеспечению должного охвата аудитом, рассмотрения его результатов и реагирования; выбор и смещение с должности руководителя службы внутреннего аудита только по согласованию с советом директоров или аудиторским комитетом; доступ внутренних аудиторов к совету директоров или аудиторскому комитету и полномочия по отслеживанию устранения недостатков и выполнения рекомендаций.

Члены совета директоров должны по мере необходимости обсуждать с высшим руководством состояние управления рисками в организации и осуществлять соответствующий надзор. Совет директоров также должен создать условия, при которых механизмы управления рисками организации обеспечивают оценку наиболее значимых рисков в привязке к стратегии и к целям организации, включая оценку того, какие действия предпринимает руководство и каким образом оно участвует в мониторинге процесса управления рисками. Совет директоров должен стремиться к получению информации от внутренних аудиторов, внешних аудиторов и прочих сторон.

Менеджеры и прочий персонал должны проанализировать, каким образом они выполняют свои обязанности по управлению рисками в свете данной концепции, и обсудить с вышестоящими свои идеи по совершенствованию процесса управления рисками организации. Внутренние аудиторы должны проанализировать, насколько глубоко они рассматривают процесс управления рисками организации…»

Вот что полагает Банк России относительно подразделения внутреннего аудита.

Внутренний контроль осуществляется в целях обеспечения:

•эффективности и результативности финансово-хозяйственной деятельности при совершении банковских операций и других сделок, эффективности управления активами и пассивами, включая обеспечение сохранности активов, управления банковскими рисками, под которым понимается: выявление, измерение и определение приемлемого уровня банковских рисков, присущих банковской деятельности типичных возможностей понесения кредитной организацией потерь и (или) ухудшения ликвидности вследствие наступления связанных с внутренними и (или) внешними факторами деятельности кредитной организации неблагоприятных событий; постоянное наблюдение за банковскими рисками; принятие мер по поддержанию на не угрожающем финансовой устойчивости кредитной организации и интересам ее кредиторов и вкладчиков уровне банковских рисков;

•достоверности, полноты, объективности и своевременности составления и представления финансовой, бухгалтерской, статистической и иной отчетности (для внешних и внутренних пользователей), а также информационной безопасности (защищенности интересов (целей) кредитной организации в информационной сфере, представляющей собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом отношений).