Контроль и аудит

Формальные определения этих функций во всех источниках похожи, и запомнить их несложно. Ломается система обычно не на определениях, а на подчиненности.

Если внутренний аудит подчинен генеральному директору административно и функционально, он не может дать независимую оценку работы этого же генерального директора. Совет директоров получает отфильтрованную картину и узнает о проблемах последним. Именно поэтому во всех рекомендациях, от статьи 87.1 до кодекса корпоративного управления, повторяется одно и то же требование, функциональная подчиненность внутреннего аудита совету директоров и утверждение им плана проверок.

Без раздувания штата.

• Управление рисками и внутренний контроль допустимо объединить в одном подразделении, это распространенная практика
• Внутренний аудит отделяется всегда, даже если это один человек или внешний исполнитель по договору
• План проверок внутреннего аудита утверждает совет директоров или комитет по аудиту, а не генеральный директор
• Отчеты внутреннего аудита направляются совету, копия исполнительному руководству, а не наоборот
• Риск-функция передает аудиту реестр рисков как вход для риск-ориентированного планирования проверок, но не согласует план

Разделение не означает изоляции. Реестр рисков это лучший источник для планирования проверок, аудит идет туда, где риски выше. Результаты проверок это лучший источник для проверки качества оценок, если аудит регулярно находит проблемы там, где реестр показывал зеленую зону, значит оценки завышены оптимизмом.

Рабочая практика, ежеквартальный обмен между функциями. Риски отдают профиль и изменения, аудит отдает наблюдения по фактическому состоянию контролей. Обе функции от этого выигрывают, а совет директоров получает согласованную картину вместо двух разных.