Два вопроса и два теста
Первый вопрос, способна ли процедура в принципе предотвратить или выявить ошибку, если она выполняется как описано. Это тест дизайна. Он проводится за столом, чтением описания процесса и одним-двумя примерами.
Второй вопрос, выполняется ли она фактически, всегда ли и правильно ли. Это тест операционной эффективности. Он требует выборки за период и проверки следов выполнения. Контроль с хорошим дизайном и нулевым выполнением не работает, как и контроль, который выполняется идеально, но не способен поймать ошибку.
Ориентиры по объему выборки
Практика внутреннего аудита, ориентир для нефинансового сектора.
| Частота выполнения контроля | Число операций за год | Разумный объем выборки |
|---|---|---|
| Ежедневный | свыше 250 | 25 наблюдений |
| Еженедельный | около 52 | 10 наблюдений |
| Ежемесячный | 12 | 3-5 наблюдений |
| Ежеквартальный | 4 | 2 наблюдения |
| Годовой | 1 | 1, проверяется целиком |
| Автоматический | любое | 1 наблюдение плюс проверка настроек и прав доступа |
Для автоматического контроля важнее не число случаев, а проверка того, что настройка не менялась и что нет обходных путей.
Порядок проведения теста
Зафиксировать описание
Что именно должно происходить, кто выполняет, на основании чего, какой след остается
Определить период и выборку
Период не менее квартала, выборка случайная, а не по удобству. Отдельно берутся операции с высоким риском
Собрать доказательства
Записи в системе, подписи, журналы, скриншоты настроек. Устные подтверждения доказательством не являются
Оценить отклонения
Каждое отклонение классифицируется, разовый сбой или системная проблема. Один пропуск из двадцати пяти это сигнал, а не случайность
Сформулировать вывод и рекомендацию
Вывод по дизайну и по выполнению отдельно. Рекомендация должна быть выполнимой и иметь адресата
Частые ошибки тестирования
- Выборка формируется исполнителем процесса, а не проверяющим
- Проверяются только успешные операции, тогда как показательны отклонения
- Тест дизайна пропускается, и хорошо выполняемый бесполезный контроль признается эффективным
- Не проверяются права доступа и возможность обхода автоматического контроля
- Результат оформляется как список нарушений без вывода о работоспособности процедуры
Частые вопросы
Первая линия проводит самооценку, вторая линия выборочно перепроверяет, третья независимо тестирует ключевые контроли. Все три уровня полезны и не заменяют друг друга.
Ключевые контроли не реже раза в год, критичные для отчетности и безопасности чаще. Контроль, который не тестировался два года, считается непроверенным.
Не ужесточать его немедленно. Сначала понять причину, чаще всего это невыполнимость процедуры или отсутствие ресурса, а не недисциплинированность.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
