Внутренний контроль и аудит. Учебное пособие (курс лекций)

регуляторов).

2. Классификация методов внутреннего аудита

Внутренний аудит – это комплекс мероприятий, направленных на оценку эффективности системы внутреннего контроля и управления рисками в организации. Методы внутреннего аудита помогают аудиторам собирать, анализировать и оценивать информацию для формирования объективного заключения о состоянии системы внутреннего контроля и управлении рисками. Условно методы внутреннего аудита разделяют на группы по сфере применения, целевой функции, способу проверки и источникам информации.

Методы внутреннего аудита могут быть классифицированы по сферам применения, что позволяет аудиторам сосредоточиться на конкретных аспектах деятельности организации:

операционный аудит – контроль бизнес-про-

цессов компании: эффективности работы подразделений, выполнения бизнес-планов, смет, политики управления;

финансовый аудит – проверка системы бухгалтерского учёта и достоверности отчётности. Основная цель – оценить эффективность расходования средств компании и выявить риски;

аудит соответствия – проверка соблюдения законов, норм регулирования, отраслевых кодексов, корпоративной политики;

экологический аудит – проверка соблюдения требований по защите окружающей среды;

аудит информационных технологий –

контроль безопасности информационных систем организации и эффективности процессов управления в области

IT.

51

Методы внутреннего аудита могут быть направлены на разные цели, что позволяет аудиторам адаптировать свои подходы к конкретным задачам:

оценка эффективности и надёжности системы управления рисками и внутреннего контроля – подготовка рекомендаций по его совершенствованию;

выявление слабых мест в системе контроля,

которые могут привести к ошибкам или мошенничеству;

анализ больших массивов данных с целью выявления аномалий, тенденций или потенциальных рисков. Например, сравнение текущих финансовых показателей с плановыми или прошлогодними значениями, анализ коэффициентов и индикаторов.

Методы внутреннего аудита могут различаться по способу проверки, что позволяет аудиторам использовать наиболее подходящие инструменты для конкретной ситуации:

анализ документов – изучение и оценка внутренних и внешних документов, связанных с деятельностью организации: финансовых отчётов, политик

ипроцедур, контрактов и соглашений, отчётов о предыдущих аудиторских проверках. Помогает выявить несоответствия и ошибки в документации;

наблюдение – аудитор наблюдает за процессами в реальном времени, чтобы оценить, как фактически выполняются рабочие процессы. Позволяет выявить несоответствия между теоретическими процедурами и их реальным выполнением. Примеры применения: наблюдение за процессом инвентаризации, наблюдение за выполнением производственных операций;

интервью и опросы – проведение бесед и опросов с сотрудниками для получения информации

52

о процессах и системе внутреннего контроля. Можно провести интервью с руководителями для оценки их понимания рисков и ключевых процессов, опросы сотрудников на предмет соблюдения процедур безопасности или стандартов качества;

тестирование контроля – проверка эффектив-

ности систем внутреннего контроля через тестирование конкретных контрольных процедур. Позволяет выявить слабые места в системе контроля, даёт объективную оценку эффективности текущих мер контроля. Примеры тестов: проверка правильности и своевременности утверждения финансовых операций, тестирование процедуры доступа к информационным системам;

аналитические процедуры – применение аналитических инструментов для анализа больших массивов данных с целью выявления аномалий, тенденций или потенциальных рисков.

Методы внутреннего аудита могут различаться по источникам информации, что позволяет аудиторам использовать различные каналы для получения данных:

запрос – обращение к осведомлённым лицам

впределах или за пределами объекта аудита для получения сведений, необходимых для проведения аудиторской проверки;

подтверждение – ответ на запрос информации, содержащейся в регистрах учёта;

методы с использованием компьютера –

компьютеры используются на всех этапах аудиторского задания, начиная с этапа планирования и заканчивая проведением всех необходимых работ и сообщением результатов. Например, глубинный анализ данных (Data Mining), тестирование компьютерных систем.

Единой методики проведения аудита не существует, любая компания может разработать собственную

53

методику, которая будет соответствовать её целям

испецифике деятельности. Выбор методов внутреннего аудита зависит от множества факторов, включая размер

иструктуру организации, её отрасль, уровень рисков

идругие аспекты. Правильный выбор методов внутреннего аудита позволяет повысить эффективность системы внутреннего контроля и управления рисками, что в конечном итоге способствует улучшению финансовых результатов и повышению конкурентоспособности организации.

3. Оценка рисков внутреннего аудита

Оценка рисков во внутреннем аудите – это систематический процесс, направленный на выявление, анализ и оценку рисков, которые могут повлиять на достижение целей организации, эффективность системы внутреннего контроля и управления рисками. Основная цель оценки – определить вероятность возникновения рисков и их возможное влияние на деятельность компании, чтобы разработать меры по их минимизации или управлению.

Процесс оценки рисков обычно включает несколько этапов:

1. Идентификация рисков. На этом этапе выяв-

ляются возможные события, которые могут негативно повлиять на организацию. Источниками информации могут служить отчёты руководства, операционные планы, предыдущие аудиторские проверки, законодательство и другие документы. Если в организации уже есть система управления рисками, внутренний аудитор может опираться на неё, анализируя выявленные события и меры, предпринятые для снижения рисков. Если системы управления рисками нет, аудитору приходится самостоятельно выявлять рискообразующие факторы.

54

2.Анализ рисков. Изучаются причины и источники рисков, их положительные и отрицательные последствия, а также вероятность их наступления. Учитываются существующие средства управления рисками, их эффективность и результативность.

3.Оценивание рисков. Уровень риска, выявленный в ходе анализа, сравнивается с определёнными критериями (например, с приемлемым уровнем риска для организации). Это позволяет решить, требуется ли предпринимать действия для снижения риска.

4.Воздействие на риск. Выбираются и приме-

няются методы модификации рисков (снижение, принятие, передача и т. д.). Это может включать изменение средств управления.

При оценке рисков обычно учитывают несколько критериев воздействия:

финансовое воздействие – денежные послед-

ствия для организации в случае реализации риска;

воздействие на репутацию – влияние на репутацию компании, руководства или даже отрасли;

нормативно-правовое воздействие – риск может привести к штрафам, замораживанию бюджетов или программ;

воздействие на достижение целей – степень влияния риска на выполнение задач и достижение целей организации;

воздействие на людей – потеря ключевых сотрудников или другие кадровые риски.

По каждому критерию аудитор определяет уровень воздействия (например, очень высокий, высокий, средний, низкий), что позволяет унифицировать оценку.

Используются качественные, количественные методы или их сочетание.

55

качественные методы применяются, когда невозможно количественно определить риски или данные для количественной оценки недоступны либо их получение слишком дорого. К ним относятся:

1)мозговой штурм (brainstorming) – коллективная генерация идей с участием экспертов;

2)метод классификатора рисков;

3)интервью и опросы руководства и сотрудников;

4)анализ реестров рисков.

количественные методы требуют бо́льшей точности и используются для сложных видов деятельности. Они могут включать расчёт показателей с использованием весов и рангов факторов риска. Например, риск рассчитывается по формуле, где учитывается вес (ранг важности) каждого фактора и его оценка по шкале (например, от 1 до 10).

Также могут применяться специализированные методики, например:

FMEA (анализ видов и последствий отказов);

FMECA (анализ видов, последствий и критичности отказов);

НАССР (анализ рисков и критические контрольные точки) – в зависимости от отрасли.

Для наглядности результатов оценки рисков часто используют инструменты визуализации:

карты рисков – графическое представление идентифицированных рисков с указанием их вероятности и значимости последствий. Риски могут группироваться по цветам: красные – высокие, жёлтые – средние, зелёные – низкие;

электронные таблицы – в них процессы оце-

ниваются по перечню факторов риска. В столбцах перечисляются факторы, в строках – процессы. Оценки

56

могут проставляться в баллах, цветом или с использованием дополнительных параметров (веса факторов, степень применимости результатов и т. д.).

При оценке рисков учитывают различные факторы, например:

изменения в отрасли или внутри компании (реорганизация, смена руководства, значительные приобретения или отчуждения);

амбициозные цели процессов и связанное

сними давление на сотрудников;

низкая регламентированность процессов или отсутствие управленческого учёта;

изменения в законодательстве или регуляторные требования;

масштабы изменений (например, высокая текучесть кадров может снизить эффективность контроля из-за недостатка опыта у новых сотрудников);

уровень квалификации и опыт руководства. Хорошей практикой считается ежегодная оценка

системы управления рисками функцией внутреннего аудита. Также может проводиться периодическая оценка с привлечением внешних экспертов (например, один раз в три года).

Ответственность за создание и эффективное функционирование системы управления рисками и внутреннего контроля обычно несёт исполнительный орган организации. Совет директоров определяет принципы и подходы к организации такой системы, осуществляет надзор за её работой и утверждает внутренние документы, регулирующие эти процессы.

Цели оценки рисков во внутреннем аудите:

определение эффективности системы внутреннего контроля и управления рисками;

57

выявление возможностей для улучшения системы менеджмента;

оценка способности системы менеджмента достигать целей и реагировать на риски в изменяющейся среде;

обеспечение разумной уверенности в достижении поставленных целей и минимизации рисков.

Результаты оценки используются для разработки корректирующих мероприятий, актуализации норма- тивно-методических подходов и информирования корпоративных органов управления.

Вопросы для самоконтроля:

1.Что понимается под процедурой внутреннего

аудита?

2.Какие процедуры внутреннего аудита вы

знаете?

3.Кто определяет процедуры внутреннего

аудита?

4.Какие возможности автоматизации внутреннего аудита вы можете назвать?

5.Охарактеризуйте методы внутреннего аудита.

6.Приведите примеры применения методов внутреннего аудита, классифицируемых по способам проверки.

7.Приведите примеры применения методов внутреннего аудита, классифицируемых по форме отображения информации.

8.Приведите примеры применения методов внутреннего аудита, классифицируемых по источнику информации.

9.Приведите примеры применения методов внутреннего аудита, классифицируемых по сфере применения.

58

10. Определите, какие виды рисков оцениваются внутренним аудитором.

Тема 6.

ТЕХНОЛОГИЯ ПРОВЕДЕНИЯ ВНУТРЕННЕГО АУДИТА

1.Внутренний аудит в системе внутреннего

контроля

Внутренний аудит – это система контроля за процессами, происходящими на предприятии, направленная на оценку ключевых показателей функционирования, минимизацию издержек и отрицательного влияния на бизнес (рис. 3). В отличие от внешнего аудита, который обычно проводится по завершении отчётного периода и охватывает деятельность предприятия в целом, внутренний аудит позволяет более оперативно и детально контролировать отдельные процессы.

Рисунок 3. – Система внутреннего аудита

59

Основная цель внутреннего аудита – обеспечение систематического наблюдения за всеми значимыми аспектами деятельности компании, чтобы оперативно воздействовать на них и повышать эффективность управления. При этом перечень контролируемых аспектов может определяться самим предприятием, исходя из его масштабов и особенностей.

Некоторые цели внутреннего аудита:

оценка достижения поставленных целей процессов;

оценка эффективности и экономичности операций;

оценка сохранности активов;

оценка достоверности финансовой и управленческой отчётности;

оценка соответствия деятельности действующему законодательству.

Некоторые задачи внутреннего аудита:

мониторинг факторов, влияющих на результаты деятельности компании;

выявление ошибок, недостатков и возможных злоупотреблений;

предупреждение потенциальных рисков.

По результату проведённого аудита формируется итоговое заключение, включающее рекомендации по, например, соответствию бизнес-процессов поставленным целям и задачам, внедрению в процессы отсутствующих контрольных процедур, перераспределению зон ответственности.

Некоторые виды внутреннего аудита:

финансовый – фокусируется на бухгалтерской или управленческой отчётности предприятия. Цели – оценка достоверности ведения учёта, эффектив-

60