Как тестировать эффективность контролей

Два вопроса и два теста

Первый вопрос, способна ли процедура в принципе предотвратить или выявить ошибку, если она выполняется как описано. Это тест дизайна. Он проводится за столом, чтением описания процесса и одним-двумя примерами.

Второй вопрос, выполняется ли она фактически, всегда ли и правильно ли. Это тест операционной эффективности. Он требует выборки за период и проверки следов выполнения. Контроль с хорошим дизайном и нулевым выполнением не работает, как и контроль, который выполняется идеально, но не способен поймать ошибку.

Ориентиры по объему выборки

Практика внутреннего аудита, ориентир для нефинансового сектора.

Частота выполнения контроля	Число операций за год	Разумный объем выборки
Ежедневный	свыше 250	25 наблюдений
Еженедельный	около 52	10 наблюдений
Ежемесячный	12	3-5 наблюдений
Ежеквартальный	4	2 наблюдения
Годовой	1	1, проверяется целиком
Автоматический	любое	1 наблюдение плюс проверка настроек и прав доступа

Для автоматического контроля важнее не число случаев, а проверка того, что настройка не менялась и что нет обходных путей.

Порядок проведения теста

Зафиксировать описание

Что именно должно происходить, кто выполняет, на основании чего, какой след остается

Определить период и выборку

Период не менее квартала, выборка случайная, а не по удобству. Отдельно берутся операции с высоким риском

Собрать доказательства

Записи в системе, подписи, журналы, скриншоты настроек. Устные подтверждения доказательством не являются

Оценить отклонения

Каждое отклонение классифицируется, разовый сбой или системная проблема. Один пропуск из двадцати пяти это сигнал, а не случайность

Сформулировать вывод и рекомендацию

Вывод по дизайну и по выполнению отдельно. Рекомендация должна быть выполнимой и иметь адресата

Частые ошибки тестирования

Выборка формируется исполнителем процесса, а не проверяющим
Проверяются только успешные операции, тогда как показательны отклонения
Тест дизайна пропускается, и хорошо выполняемый бесполезный контроль признается эффективным
Не проверяются права доступа и возможность обхода автоматического контроля
Результат оформляется как список нарушений без вывода о работоспособности процедуры

Коротко о главном

Кто должен тестировать контроли

Первая линия проводит самооценку, вторая линия выборочно перепроверяет, третья независимо тестирует ключевые контроли. Все три уровня полезны и не заменяют друг друга.

Как часто тестировать

Ключевые контроли не реже раза в год, критичные для отчетности и безопасности чаще. Контроль, который не тестировался два года, считается непроверенным.

Что делать с неработающим контролем

Не ужесточать его немедленно. Сначала понять причину, чаще всего это невыполнимость процедуры или отсутствие ресурса, а не недисциплинированность.

Оставьте заявку, ответим в течение рабочего дня

Расскажем о ближайших датах, предложим формат под ваш состав участников и назовем порядок бюджета.

Предпочитаете почту — напишите на info@risk-place.ru. Адрес: Москва, улица Скаковая, 32с2.

Тестирование контролей