Назначение функции
Внутренний аудит дает совету директоров независимую и объективную оценку того, насколько надежны и эффективны управление рисками, внутренний контроль и корпоративное управление. Это оценка не отдельных операций, а систем.
Отсюда следует важное практическое ограничение. Аудит не отвечает за построение этих систем и не должен в нем участвовать. Как только подразделение начинает разрабатывать процедуры, оно теряет возможность независимо оценивать их через год.
Что обеспечивает независимость
Пять условий, каждое из которых проверяется.
- Функциональная подчиненность совету директоров или комитету по аудиту
- Утверждение плана проверок и бюджета функции советом, а не исполнительным руководством
- Прямой доступ руководителя аудита к председателю комитета по аудиту без посредников
- Порядок назначения и освобождения руководителя аудита с участием совета
- Право доступа к любым документам, системам и сотрудникам компании
Как строится риск-ориентированный план
Годовой цикл, который занимает около месяца.
Определить аудируемую вселенную
Перечень объектов проверки, процессы, подразделения, проекты, системы, юрлица
Оценить объекты по риску
Вход из реестра рисков, результаты прошлых проверок, инциденты, изменения, мнение руководства и совета
Учесть обязательное
Проверки, требуемые регулятором, договорами или решением совета
Соотнести с ресурсом
Реалистичное число проверок исходя из штата и трудоемкости, с резервом на внеплановые
Утвердить и опубликовать
План утверждает комитет по аудиту. Проверяемые подразделения знают о плане заранее
Что делать компании без своего подразделения
Для непубличной компании собственное подразделение внутреннего аудита часто неоправданно по стоимости. Работают три схемы. Первая, передача функции по договору внешнему исполнителю, закон об акционерных обществах это прямо допускает. Вторая, комбинированная, один сотрудник внутри плюс привлечение внешних специалистов под конкретные проверки. Третья, периодическая независимая оценка раз в год или два без постоянной функции.
В любой схеме сохраняются два условия, иначе смысл теряется. Заказчиком выступает совет директоров или собственник, а не генеральный директор. И результат в неизмененном виде доходит до заказчика.
Частые вопросы
Внешний аудитор подтверждает достоверность отчетности для третьих лиц. Внутренний аудит работает для органов управления компании и охватывает любые вопросы, не только отчетность.
Может, и это признанная часть функции. Но консультирование не должно превращаться в разработку процедур, которые аудит потом проверяет.
По доле выполненных рекомендаций, по предотвращенным или выявленным потерям и по тому, обращается ли к аудиту руководство до принятия решений, а не после.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
