Положение о контроле

Проверенная последовательность разделов.

• Общие положения, назначение документа, область действия, основания разработки, термины
• Цели и задачи системы внутреннего контроля
• Принципы организации, в том числе разделение полномочий и разумная достаточность
• Элементы системы, среда, оценка рисков, процедуры, информация, мониторинг
• Распределение ответственности, совет директоров, исполнительное руководство, владельцы процессов, подразделение контроля
• Порядок разработки и утверждения контрольных процедур
• Порядок мониторинга и самооценки, периодичность и формы
• Порядок выявления и устранения недостатков, сроки, эскалация
• Отчетность, кому, что и с какой периодичностью
• Заключительные положения, пересмотр, ответственность за актуализацию

• Положение переписано из чужого документа вместе с чужой оргструктурой и чужими должностями
• Термины расходятся с политикой управления рисками, одно и то же называется по-разному
• Обязанности возложены на подразделения, а не на должности, спросить не с кого
• Нет ни одного срока, поэтому невозможно установить нарушение
• Документ на сорок страниц, из которых тридцать пять это теория внутреннего контроля
• Не указан порядок пересмотра, и через три года положение описывает несуществующую компанию

Два документа обязаны быть согласованы, потому что описывают одну конструкцию с разных сторон. Практически это означает три требования. Единый глоссарий, один термин с одним значением в обоих документах. Непротиворечивое распределение ролей, в частности одинаковое понимание трех линий защиты. И явная ссылка, положение о контроле указывает, что контрольные процедуры проектируются исходя из рисков, выявленных в порядке, установленном политикой управления рисками.

Если компания начинает с нуля, писать их стоит одновременно и одним автором. Разработка порознь с последующим согласованием занимает больше времени и почти всегда оставляет расхождения.