Слайд 28.

В ходе сертификации проводится тестирование дизайна (т.е. описания) и операционной эффективности (т.е. выполнения) контрольных процедур, внесенных в базу IC Documentation. Контрольные процедуры представляют собой трехуровневую структуру:

-Контроли корпоративного уровня - контроли, существующие на уровне Группы и уровне предприятий, являющиеся частью общей контрольной среды, и задающие стиль и культуру управления.

-Общие компьютерные контроли направлены на формирование надежной операционной среды и включают контроли над разработкой программного обеспечения, внесением изменений, управлением доступом к программам и данным, обеспечением эксплуатации компьютерных систем.

-Контроли бизнес-процессов - действия, меры и процедуры, направленные на предотвращение/корректировку искажения финансовой отчетности.

Тестирование проводится сотрудниками отдела внутреннего контроля в соответствии с Регламентом внутренней сертификации, утвержденной Управляющим директором ПАО "ЧМК" и по Методике проведения работ по сертификации СВК, утвержденной в ПАО "Мечел".

По итогам тестирования заполняется база IC Testing по каждому контролю (для контролей бизнес-процессов и прикладных компьютерных контролей, общих компьютерных контролей и контролей корпоративного уровня).

На основании заполненных отчетов по контролям формируется сводный отчет о недостатках системы внутреннего контроля, выявленных в ходе внутренней сертификации. Сводный отчет доводится до сведения ключевых руководителей, в чьих подразделениях выявлены недостатки и утверждается Управляющим директором. Руководители подразделений предоставляют план устранения недостатков, выявленных в результате внутренней сертификации в отдел внутреннего контроля.

Сводный отчет в электронном виде направляются в ДВК ОАО "Мечел" для оценки выявленных недостатков на уровне Группы и подготовки сводного отчета по Группе "Мечел".

Слайд 29 – контроль корпоративного уровня.

Слайд 30 – общекомпьютерный контроль.

Слайд 31 – контроль бизнес-процесса.

Слайд 32. Контроли блока «Производство».

Слайд 33. Контроли блока «Управление ТМЦ».

Слайд 34. Несколько слов о базе данных IC Org созданной для целей СВК. Итак, эта база содержит сведения об организационной структуре предприятия.

Документированию в базе подлежат только информация о сотрудниках, являющихся:

• владельцами процессов;

• исполнителями бизнес-процессов;

• исполнителями контрольных процедур;

• сотрудниками, обладающими критическими полномочиями (согласно Положению о разделении критических полномочий);

• сотрудниками, ответственными за тестирование (ОВК)

Слайд 35. При формировании системы внутреннего контроля предприятием обязательно должен учитываться риск мошенничества со стороны персонала предприятия. Он рождается в результате наделения одного и того же сотрудника рядом критических полномочий. Для целей СВК под критическими полномочиями сотрудников понимаются должностные обязанности, которые при одновременном выполнении одним сотрудником в рамках своих обычных полномочий создают условия для возможности совершения и сокрытия злоупотребления, мошенничества или ошибки.

Например: Один сотрудник не может создать заявку на покупку, провести ее в системе, подписать договор и оплатить.

23.12.2014 приказом УДК №776 было введено обновленное Положения о разделении критических полномочий ОАО "ЧМК"

Анализ критических полномочий был создан с целью:

1) минимизации риска возникновения случайных или намеренных ошибок, не выявленных своевременно;

2) противодействия злоупотреблению мошенничеству;

3) повышения эффективности контрольных процедур.

Слайд 36. Для чего нужен анализ критических полномочий.

Слайд 37. Согласно Положения о разделении критических полномочий существуют критические полномочия сотрудников подлежащие разделению.

Для целей анализа разделения критических полномочий выделяют следующие типы функций:

С – сохранность. Данный тип включает в себя функции по обеспечению сохранности активов: инициация выбытия и поступления активов на «ЧМК», а также право распоряжения активами.

Например:

инициация реализации сырья, материалов из цеха покупателю;

формирование ведомости на перечисление денежных средств на счета сотрудников.

А – авторизация. К данному типу относятся функции по авторизации операций в соответствии с действующими политиками и процедурами.

Например:

утверждение табелей рабочего времени;

авторизация реестра платежей.

У – учет. Данный тип включает в себя функции по отражению операций в оперативном, складском, бухгалтерском учетах, а также функции по выполнению операций и расчету данных, необходимых для дальнейшего отражения в бухгалтерском учете.

Например:

отражение в бухгалтерском учете перемещений товаров между складами;

расчет резерва по неиспользованным отпускам.

АД – авторизация доступа. Функции по авторизации доступа в ключевую систему для выполнения тех или иных операций.

Например:

авторизация доступа на создание/изменение карточки сотрудника;

авторизация доступа к операциям с объектами ОС в оперативном/складском учете.

К – контроль. Выполнение контрольных процедур.

Например:

контроль корректности отражения списания товаров;

контроль корректности отражения расчетов по налогу на прибыль.