Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

• Участие сотрудников объекта аудита в инвентаризации – часто имеет смысл обратить внимание на действия сотрудников объекта аудита, когда они пытаются продуктивно участвовать в процедуре. В этом случае аудитор параллельно с инвентаризацией проводит еще и наблюдение. Сотрудники объекта аудита нередко плодят ляпы при проведении инвентаризаций.

• Протокол результатов инвентаризации – по результатам инвентаризации полезно составлять протокол за подписью участников процедуры. В большинстве случаев аудиторы участвуют в выборочных инвентаризациях, проводимых по их собственной инициативе. В инвентаризациях такого рода не обойтись без участия представителей объекта аудита. Именно их подписи и должны подтверждать результаты инвентаризации, иначе они могут быть оспорены, и аудитору будет чрезвычайно сложно отстоять свою позицию.

• Техническое состояние и параметры объекта – в процессе инвентаризации необходимо обращать внимание как на параметры инвентаризируемых объектов, так и на их техническое состояние. Разумеется, аудитор не всегда может точно определить, является ли конкретный объект именно тем, за который его выдают (например, многие из вас знают, что такое цильпебс?). Необходимо прилагать максимум усилий для нивелирования недостатка знаний, например путем привлечения независимых экспертов, использования фотосъемки, проведения предварительной подготовки, формирования доступной для понимания выборки. Что касается технических параметров инвентаризируемых объектов, то крайне важно по мере возможности проводить их оценку в процессе инвентаризации. Даже элементарная визуальная оценка технического состояния инвентаризируемых объектов во многих случаях может дать результат, т. е. указать на существование рисков и недостатков процессов и системы внутреннего контроля.

• Техническое состояние средств обеспечения сохранности – инвентаризация – это повод не только убедиться в наличии и надлежащем техническом состоянии имущества компании, но и оценить состояние средств обеспечения сохранности имущества. В первую очередь речь идет о средствах физической защиты от несанкционированного использования (заборы, сигнализация, замки и т. д.) и средствах, обеспечивающих сохранение полезных физических свойств имущества (складские помещения, холодильники, пожарная сигнализация и т. д.). Например, один раз при проведении инвентаризации была обнаружена протечка крыши склада, при этом вода потихоньку подбиралась к электрическому щиту. Таким образом, инвентаризация сама по себе оказалась полезной для предприятия.

Также хотелось бы обратить внимание аудиторов на целесообразность использования фото– и видеотехники. Визуальное свидетельство является самым убедительным доказательством. В современных условиях хорошее качество съемки стоит весьма недорого. Существует несколько ситуаций, в которых аудитор извлечет максимум пользы от использования фото– и видеотехники.

• Использование фотоаппаратов вместо сканеров – во многих случаях использование фотоаппарата взамен сканера дает существенную экономию как времени, так и трудозатрат. Бывают ситуации, когда сканером пользоваться вообще невозможно (например, при необходимости запечатлеть документ, находящийся в плотно прошнурованной папке).

• Посещение производственных объектов – такого рода посещения могут преследовать различные цели. Например, довольно часто аудиторы посещают объекты предприятия, чтобы увидеть вживую, как они функционируют. В такой ситуации есть смысл провести съемку как просто для коллекции или информации, так и для профессиональных целей (например, съемка объектов или ситуаций, представляющих угрозу для здоровья сотрудников предприятия, – отсутствие средств индивидуальной защиты на работниках предприятия в процессе их работы и т. п.).

• Проведение аудита ряда специфичных процессов – существуют процессы, при аудите которых использование фото– и видеосъемки является едва ли не обязательным условием успешного проекта. К ним в первую очередь относятся: 1) управление запасами (включая организацию складского хозяйства); 2) управление активами; 3) ремонт и техническое обслуживание; 4) инвестиции. В ходе аудита по тематике этих процессов необходимо так или иначе анализировать информацию о наличии и техническом состоянии объектов имущества. Наличие одного-единственного снимка может избавить от необходимости многословных рассуждений. Например, в соответствии с данными учета запечатленная на рис. 8 единица техники находилась на момент съемки в рабочем состоянии и активно использовалась в производственной деятельности предприятия.

Рис. 8. Пример использования фотоаппарата при проведении инвентаризации

Формирование выборки

Процедура выборки является неотъемлемым этапом проекта внутреннего аудита. Она подробно описана в различных источниках, посвященных теме аудита. Однако во многом такие описания носят академичный характер. Предлагаю заострить внимание на тех нюансах, с которыми практик внутреннего аудита обязательно сталкивается в реальной жизни.

Нюанс 1. Многие красивые пируэты из теории проведения выборок весьма затруднительно использовать на практике. Например, для случайного отбора теория предписывает использовать генератор случайных чисел или таблицы случайных чисел. Однако найти такие данные, к которым можно применить данный метод отбора, очень сложно, поскольку на практике редко встречаются достаточно однородные генеральные совокупности.

Нюанс 2. Очень часто формирование выборки требует существенных затрат ресурсов, ключевым из которых является время. Особенно это актуально, когда аудитору требуется выборка данных в таком аналитическом разрезе, который отсутствует в учете предприятия. Например, аудитор анализирует деятельность автотранспортного предприятия и ему для оценки обоснованности величины затрат на единицу техники нужны данные по затратам в разбивке по каждой единице техники и в разрезе статей затрат. В большинстве случаев такого рода затраты собираются и учитываются котловым методом. По этой причине, чтобы провести тест, аудитору придется сначала собрать данные в требуемом аналитическом формате.

При выборе между необходимостью сформировать требуемую выборку и вписаться в лимиты ресурсов проекта у аудитора нет иного выхода, кроме как положиться на свое суждение. Ключевым критерием оценки в данном случае является сопоставимость объема затрат и уровня существенности предполагаемого результата анализа выборки.

Нюанс 3. Среди руководства российских компаний встречаются персонажи, которые весьма саркастично воспринимают выводы аудитора по результатам анализа выборки на том основании, что это анализ всего лишь выборки, а не всей совокупности. Особенно это касается руководителей, страдающих комплексом неполноценности, а также имеющих грешок-другой в отношении активов компании. В любом случае, какой бы статистически продвинутый метод ни использовал аудитор, всегда найдется тот, кто поставит под вопрос его адекватность. К таким поворотам необходимо быть готовым.

Нюанс 4. Чем проще сформирована выборка, тем проще окружающим поверить в то, что она является представительной. Нужно руководствоваться уровнем профессионального и личностного развития конкретных персоналий объекта аудита и пользователей аудиторского отчета. Также существует определенная категория руководителей, которых раздражает излишне научный подход к деятельности предприятия.

Нюанс 5. Многие склонны путать понятия «репрезентативность» и «ошибка выборки». Аудитор должен понимать, что репрезентативная выборка не обязательно большая. Точнее сказать, репрезентативная выборка имеет те же ключевые качественные параметры, что и генеральная совокупность. В свою очередь величина ошибки выборки должна определять степень легитимности экстраполяции. Однако величина ошибки выборки носит очень часто умозрительный характер. Это означает, что большинству значение ошибки выборки ни о чем не говорит (это много или это мало?). Поэтому, если аудитор хочет поступить хитро в определенных случаях, лучше сделать упор на том, почему выборка репрезентативна, и опустить подробности про ошибку выборки.

Нюанс 6. Как известно, результаты, полученные по итогам анализа выборки, можно отождествить не только с выборкой, но и с генеральной совокупностью. Это происходит в результате экстраполяции. По классическим канонам для обеспечения легитимности экстраполяции необходимо, чтобы выборка была репрезентативной. Кроме того, ошибка выборки не должна превышать некоего предельного значения. Однако ввиду того, что далеко не все руководители российских предприятий разбираются в статистике хотя бы на базовом уровне, нередко возникают претензии к легитимности экстраполяции, даже если все сделано в полном соответствии с теорией. Часто речь идет не о том, правильно ли применена экстраполяция, а о том, считают ли ее правильной руководители объекта аудита и пользователи аудиторского отчета.

В любом случае использование экстраполяции как минимум повышает интерес к результатам работы команды внутренних аудиторов. Одно дело, когда речь идет, допустим, об отклонении в 5 руб., другое дело, когда в результате экстраполяции отклонение превращается в 5 млн руб.

Еще один существенный плюс использования экстраполяции – возможность оценки масштаба обнаруженной проблемы, а значит, более оперативного решения, что делать с проблемой. Побочным положительным эффектом является то, что экстраполяция может обеспечить сопоставимость данных по различным объектам аудита.

В целом можно сформулировать простое правило – экстраполяцию однозначно стоит применять, если основная цель – это вызов эмоций руководителей объекта аудита и пользователей аудиторского отчета. Для стимулирования конструктивных действий экстраполяцию следует применять осмотрительно.

Нюанс 7. Довольно часто аудитор вынужден работать с ограниченной выборкой. В таких случаях выборки с формальной точки зрения ставят под сомнение легитимность экстраполяции. Данное обстоятельство чрезвычайно будоражит руководителей объекта аудита. Особо неблагодарных и порой весьма гнусных начинает переполнять радость, и они готовы взахлеб рассуждать об ущербности как аудиторов, так и используемых ими методик. Все аудиторы рано или поздно оказываются в подобной ситуации. Однако правильные аудиторы, честно и профессионально выполняющие свою работу, должны помнить правило – «один факт – случайность, два – преднамеренность, три – тенденция». Во многих случаях даже выводы на основе анализа малых выборок доказывают свою жизнеспособность на практике, особенно со временем, когда фактов становится больше.

Нюанс 8. Возможно, с точки зрения человеческого восприятия статистическая (случайная) выборка выглядит более объективно, чем нестатистическая. Однако не стоит забывать маленький нюанс – один из вариантов случайной выборки может соответствовать варианту нестатистической выборки.

Как бы то ни было, во многих случаях использование нестатистической выборки приводит к более весомым результатам, чем использование случайной выборки. В первую очередь это связано с улучшением результата в пересчете на единицу затраченных ресурсов, чаще всего времени. Единственным существенным препятствием в использовании нестатистической выборки является степень развития аудиторского суждения, а также просто профессионального чутья. Малоопытные аудиторы получат немного дополнительной пользы от использования данного метода. Одним из следствий этого является необходимость участия опытных аудиторов в процедуре определения выборки или, как минимум, проверки, сформированной выборки, даже если ее анализ будет проводиться менее опытным аудитором. Это намного полезнее, чем переделывать работу.

Нюанс 9. При запросе аудитор должен стремиться максимально точно определять параметры выборки. Например, лучше запросить данные «…за январь, июль и декабрь … года», чем данные «…за три месяца … года». Абсолютно недопустимо предоставлять сотрудникам объекта аудита право делать выборку. Однако, если есть возможность использовать сотрудников объекта аудита для «причесывания» выборки (например, изменения формата данных, чтобы упростить анализ), надо незамедлительно этим воспользоваться.

Нюанс 10. В течение проекта внутреннего аудита аудиторы выполняют как минимум несколько выборок. Нередко как минимум часть выборок нельзя сделать без участия сотрудников объекта аудита. Учитывая это, необходимо помнить о трех простых правилах взаимодействия с сотрудниками объекта аудита при формировании выборки.

• Правило 1. Если выборка в той или иной части готовилась силами сотрудников объекта аудита, то необходимо проверить ее полноту и правильность. Проверку лучше выполнить до завершения формирования выборки. Наиболее простой способ проверки состоит в том, чтобы с помощью сотрудников объекта аудита проследить процесс формирования выборки. Существуют и альтернативные варианты, например использование аналитических процедур или проведение сверок с взаимосвязанными данными.

• Правило 2. Сотрудники объекта аудита могут тянуть время. Это часто случается по одной из двух причин – либо сотрудники испытывают какие-либо затруднения в процессе подготовки выборки, либо все это латентный саботаж. В первом случае необходимо оказать содействие – дать дополнительные пояснения, подумать, как изменить выборку для упрощения ее подготовки, самостоятельно найти способ проведения выборки и обучить сотрудников объекта аудита и т. д. Во втором случае необходимо воспользоваться третьим правилом.

• Правило 3. В случае намеренного затягивания процесса выборки или прямого отказа от проведения выборки необходимо оценить ситуацию, чтобы выяснить, нет ли в этом вины команды внутреннего аудита. Если команда действовала в полном соответствии с профессиональными канонами, остается только применить правило японского эскалатора. Его суть заключается в последовательном применении уважения и напряжения. Руководитель команды внутреннего аудита сначала самостоятельно пытается решить проблему начиная с того уровня менеджмента, на котором она возникла. При этом он вежливо разъясняет возможные варианты развития событий, включая обращение за помощью к следующему уровню руководства объекта аудита. Основная цель данной процедуры – показать бессмысленность сопротивления. И так по цепочке, при необходимости вплоть до высшего руководства объекта аудита. Если действия руководителя проектной команды не увенчались успехом, он должен сообщить о затруднениях руководителю ПВА. У руководителя ПВА есть три варианта действий – санкционировать отказ от проведения конкретной выборки, самому применить правило японского эскалатора, начиная с уровня высшего руководства объекта аудита и заканчивая аудиторским комитетом, прервать текущий проект до решения вопроса или прекратить его полностью. Два последних варианта нежелательны, т. к. создают негативный прецедент.

Детальное тестирование

В данном разделе рассматривается процесс детального тестирования в том виде и с той начинкой, которые практикуются при проведении процессного аудита. Разумеется, во многих случаях подходы и методики, изложенные в этом разделе, можно применить и к иным проектам внутреннего аудита, в ходе которых проводится детальное тестирование.

Детальное тестирование является ключевым процессом в проекте внутреннего аудита, так как именно по его результатам формируется и кристаллизуется материал для отчета по проекту. При выполнении детального тестирования аудитор использует разнообразный набор процедур и методик – сверки, расчеты, преобразование данных, пересчет, установление взаимосвязи (корреляции и т. д.) и прочее. Высшим пилотажем для внутреннего аудитора является гармоничное и продуктивное совмещение аналитических процедур с детальным тестированием.

При проведении детального тестирования полезно следовать двум фундаментальным принципам.

Принцип 1. Принцип гипотезы – каждый детальный тест должен быть направлен на проверку определенного предположения или части такого предположения, сформулированного до начала выполнения теста. Попросту говоря, глупо приступать к работе, если нет хотя бы приблизительного представления о том, что должно получиться на выходе. С каждым этапом проекта такое представление должно качественно улучшаться и уточняться. К началу детального тестирования у команды внутренних аудиторов должен быть перечень гипотез, который они хотят проверить во время детального тестирования. В классическом варианте имеющиеся гипотезы заносятся в матрицу рисков и контрольных процедур, которая уточняется перед началом детального тестирования. В самой матрице гипотезы обычно называются рисками.

Принцип 2. Принцип разведки – необходимо применять тактику прощупывания потенциально перспективных тем для детального тестирования. Как известно, подавляющее большинство проектов внутреннего аудита проходит в условиях нехватки ресурсов для получения всей требуемой информации и проведения всего спектра процедур по всем потенциально интересным направлениям (рискам). Аудитору приходится постоянно делать выбор, исходя из соотношения ресурсов и приоритета направлений (рисков). Чтобы сделать выбор максимально эффективно, необходимо проводить разведку. В этом смысле проекты внутреннего аудита напоминают некоторые компьютерные игры, в частности те, где используется такой элемент, как «туман войны[12]. В них, чтобы приоткрыть содержание участка игровой карты, покрытого туманом (затемненного), достаточно провести разведку, используя хотя бы одного из персонажей, т. е. не обязательно задействовать все возможности. Также и при выполнении проекта внутреннего аудита не обязательно проводить полномасштабное детальное тестирование, чтобы убедиться в отсутствии существенных угроз и недостатков в выбранном направлении (риске). Для оценки серьезности проблемы, т. е. определения ее приоритета, достаточно выполнить только процедуры, позволяющие выполнить такую оценку. Например, при проведении аудита процесса управления активами аудитор обнаружил, что при списании отслуживших срок объектов основных средств отсутствует их отражение в управленческом и бухгалтерском учете как ТМЦ, пригодных к дальнейшему использованию, так и металлолома. Для оценки серьезности проблемы достаточно оценить объем таких списаний в разрезе номенклатуры и количества по данным учета (сформировать соответствующий отчет). Если большая часть списанных объектов основных средств не является сложными с конструкционной точки зрения (например, простые машины и механизмы), то с высокой вероятностью снимается вопрос оприходования ТМЦ, пригодных к дальнейшему использованию (приходовать особо нечего). Если большая часть списанных объектов основных средств состоит в основном не из металла, то, судя по всему, снимается вопрос отсутствия оприходования металлолома. Для закрепления данных выводов можно также оценить сохранение выявленных трендов в будущем, например на основании интервью с сотрудниками объекта аудита. Описанная в примере ситуация демонстрирует применение принципа разведки на практике.

Глобально существует два основных подхода к проведению детального тестирования – классический подход и продвинутый подход.

Классический подход

При использовании данного подхода аудитору необходимо в первую очередь задокументировать систему внутреннего контроля объекта аудита. Затем выявленные контрольные процедуры ранжируются по степени существенности. Под существенностью обычно понимается способность контрольной процедуры влиять на риски, связанные с объектом аудита, хотя возможны и иные варианты. После этого в зависимости от ресурсов команды внутренних аудиторов оценивается дизайн всех или части выявленных контрольных процедур. Оценка дизайна может называться также оценкой адекватности контрольных процедур. Под адекватностью контроля понимается его способность способствовать достижению целей процесса или этапа процесса максимально эффективным образом, как с операционной, так и с экономической точки зрения, в том числе за счет эффективного воздействия на риски процесса или его этапа.

После того как оценка адекватности контрольных процедур проведена, принимается решение о тестирования их эффективности. При этом тестирование проводится только в отношении контрольных процедур, которые признаны адекватными. Если контроль признается неадекватным, то считается, что детальное тестирование закончено и можно приступать к формированию отчета. При тестировании эффективности контроля оценивается, насколько контрольная процедура работает в соответствии со своим дизайном. Для тестирования формируется относительно небольшая выборка – максимум 20–30 операций при условии, что контроль осуществляется на ежедневной основе. Если контроль осуществляется реже (раз в неделю, месяц и т. д.), то объем выборки еще меньше. По результатам тестирования делается вывод об эффективности контроля. Он считается эффективным, если контрольные процедуры с отклонениями составляют не более 5–10 % от выборки. К слову сказать, параметры выборки ничем не регулируются, в качестве ориентира используются параметры, рекомендуемые, например, компаниями Большой четверки. ПВА может использовать свои параметры, главное, чтобы результаты тестирования конструктивно воспринимались как руководством объекта аудита, так и пользователями отчета.

Классический подход довольно распространен в зарубежной практике внутреннего аудита. Существует много методических материалов, посвященных именно этому подходу к детальному тестированию, включая целые программы аудита. В общем его можно охарактеризовать как тестирование, направленное больше в ширину, чем в глубину. Как водится, у него есть как минусы, так и плюсы.

Плюсы классического подхода к детальному тестированию:

1. Требует меньше ресурсов и более низкой квалификации команды. Это одно из ключевых преимуществ. Относительная простота подхода обеспечивает его успешное освоение аудиторами начального уровня. Простота достигается, в том числе, за счет использования четких установок – контроль неадекватен, значит, дальше не тестируем, контроль адекватен – тестируем. Также ограничением выступает описание тестируемого процесса, если, конечно, именно этот процесс является объектом аудита – рассматриваются в основном контрольные процедуры, отраженные на схеме процесса.

2. Можно обеспечить сопоставимость результатов по различным объектам аудита. Наличие упомянутых четких установок обеспечивает унификацию подхода при тестировании различных процессов. Унификация приводит к сопоставимости. Сопоставимость результатов особенно полезна, когда аудиту подвергаются несколько однотипных объектов аудита, – можно как минимум выбрать лучший вариант системы внутреннего контроля и распространить дизайн на все однотипные объекты аудита.

Минусы классического подхода к детальному тестированию:

1. Под эффективностью контроля понимается, как часто и правильно срабатывает контрольная процедура, а не соблюдение принципа «затраты/выгоды». Сама методология тестирования в классическом подходе накладывает определенные ограничения на полезность подхода. К числу наиболее существенных ограничений относится отсутствие нацеленности на анализ эффективности с точки зрения экономического эффекта. В ряде случаев, хотя дизайн контроля признается адекватным, а сам контроль эффективным, имеются возможности увеличения эффекта контроля или снижения стоимости его администрирования, но в силу особенностей рассматриваемого подхода данные аспекты целенаправленно не анализируются.

2. Часто упускается из виду истинная причинно-следственная связь, что приводит к повторению ошибок. Классический подход во многом является поверхностным. Например, команда внутренних аудиторов в ходе аудита процесса «Управление запасами» проводит детальное тестирование в соответствии с классическим подходом. Аудиторы обнаруживают, что отсутствует инвентаризация при передаче ТМЦ от одного МОЛ к другому МОЛ. Они называют эту ситуацию основной причиной расхождений между фактическими и учетными данными о запасах ТМЦ. В определенной степени это может быть так. Однако даже если данная процедура будет внедрена, то в большинстве случаев это практически никак не повлияет на расхождения между фактическими данными о запасах ТМЦ и данными бухгалтерского и/или складского учета. Особенно если процедура инвентаризации проводится формально (что встречается довольно часто), а также отсутствуют надлежащие условия для хранения имущества (требование Трудового кодекса). В результате расхождения не устраняются. В приведенном примере продемонстрирован принцип работы в рамках классического подхода – использование коротких цепочек формальных причинно-следственных связей.

3. Классический подход во многом умозрителен – необходимость того или иного контроля может быть неочевидной, рассуждения о возможных рисках могут показаться руководителям объекта аудита и/или пользователям аудиторского отчета академичными. Подход не предполагает целенаправленного поиска последствий отсутствия тех или иных контрольных процедур или поиска последствий использования неадекватных контрольных процедур. Если контроль неадекватен, то дальнейшее тестирование не проводится. Это может приводить к ситуациям, когда большинство предлагаемых аудиторами рекомендаций приобретают в лучшем случае косметический характер. Например, часто аудиторы рекомендуют создавать регламенты процессов и процедур. Однако во многих случаях наличие регламента не обеспечивает автоматического исправления выявленного недостатка. Вместе с тем создание регламента может потребовать существенных затрат ресурсов, по крайней мере труда и времени, что не так уж мало. На этом фоне раздражение ответственных сотрудников объекта аудита оправданно.

4. Бывает трудно применить на практике, т. к. на российских предприятиях выполнение контроля часто не документируется. В этой ситуации аудиторы попадают в ловушку – для оценки контроля нужно, чтобы он оставил след, а если следов нет, то контроль оценить невозможно и при этом нельзя признать его однозначное отсутствие. Следствием являются многочисленные рекомендации по документированию контрольных процедур, что вызывает возражения, споры и прочий негатив со стороны руководства объекта аудита. Во многих случаях такая позиция руководства объекта аудита оправданна. Во-первых, наличие задокументированных контрольных процедур необходимо в первую очередь для оценки системы внутреннего контроля и не всегда оказывает значительное влияние на повышение ее адекватности и эффективности. В-вторых, документирование требует дополнительных ресурсов, а до большинства российских управленцев со скрипом доходит понимание целесообразности такого рода расходов.

Продвинутый подход

Данный подход в полной мере может использоваться только внутренними аудиторами, имеющими существенный опыт процессного аудита. В его основе лежит ключевой навык правильного внутреннего аудитора – способность к импровизации. При детальном тестировании с использованием продвинутого подхода в большинстве случаев осуществляется несколько базовых процедур:

1. Выявление недостатков системы внутреннего контроля (отсутствие контрольных процедур или их серьезные дефекты). Данная процедура предваряет детальное тестирование и является частью описания процесса. По результатам описания процесса аудитор должен быть способен определить большую часть так называемых «узких» мест процесса с точки зрения как системы внутреннего контроля, так и структуры и содержания бизнес-процесса.

2. Оценка последствий недостатков системы внутреннего контроля посредством выявления реализовавшихся рисков. Отсутствие или наличие дефекта контроля далеко не всегда означает, что это однозначно ведет к какому-либо существенному негативу для предприятия. Для этого необходимо наличие связи между недостатками и их последствиями. В этой ситуации наличие существенного опыта у внутреннего аудитора значительно экономит ресурсы проекта – опытный аудитор знает, где и что искать. Например, малоопытный аудитор вряд ли увидит связь между отсутствием инвентарных номеров и отсутствием расхождений между данными учета и фактическими данными по результатам инвентаризаций. Однако опытный аудитор знает, что в данном случае высока вероятность формального проведения инвентаризации, так как во многих случаях инвентарный номер – это единственная связь между физическим объектом и данными учета по объекту.

3. Выявление реализовавшихся рисков. Практически всегда обнаруживаются реализовавшиеся риски, которые сложно с ходу соотнести с тем или иным недостатком системы внутреннего контроля или структуры и содержания процесса. Например, большинство тендерных процедур в процессе закупок на предприятиях слабо противодействуют такому явлению, как демпинг. Процедура тендера может быть спроектирована вполне адекватно, и только выявление последствий фактов демпинга (например, требование подрядчика оплатить дополнительные работы в связи с «увеличением объема работ вследствие более сложных геологических условий») может указать на необходимость доработки. Демпингующая компания очень часто провоцирует два ключевых риска – либо неисполнение обязательств полностью или частично, либо запрос на дополнительное финансирование. Однако, даже если аудитор установит факты реализации любого из рисков, он вряд ли с ходу сможет определить, вследствие чего риск реализовался. Выявление реализовавшихся рисков представляет собой обратную связь с точки зрения имеющегося у аудитора представления о процессе на момент проведения детального тестирования. Наличие таких фактов показывает в том числе, что аудитор упустил определенные нюансы при описании процесса.

4. Установление полной цепочки причинно-следственных связей – от недостатка системы внутреннего контроля или процесса к реализовавшемуся риску и наоборот. По сути, в данном случае речь идет о более детальной проработке ситуаций, рассмотренных в п. 2 и 3. Она особенно требуется для формирования максимально адекватных рекомендаций, поскольку довольно часто метод устранения выявленного недостатка не так очевиден, как кажется на первый взгляд. Возвратимся к примеру, описанному выше. Демпинг может осуществляться как осознанно, так и неосознанно. В последнем случае такое нередко происходит по причине недоработки проектной документации (например, занижены объемы работ), если мы ведем речь о строительных проектах. Аудитор с ходу может порекомендовать улучшить качество подготовки проектной документации за счет, например, проведения большего объема предварительных работ или за счет увеличения количества времени на подготовку проектной документации. Однако такое решение может не оказать никакого эффекта на статистику демпинга, например вследствие естественной погрешности предварительных работ или отсутствия возможности выделить дополнительное время на подготовку проектной документации из-за срочности проекта. В подобных случаях необходимо более детальное представление о причинно-следственных связях.

5. Определение оптимального порядка действий для управления анализируемым риском. На этапе детального тестирования аудитор должен получить достаточный объем информации, чтобы сформировать оптимальные рекомендации. При этом целесообразно сопоставлять стоимость внедрения и функционирования контроля со стоимостью последствий реализовавшегося риска с учетом вероятности повторения его реализации. Это означает, что аудитору следует избегать создания контроля ради контроля. Каждая новая контрольная процедура или изменение существующей контрольной процедуры должны создавать положительный экономический эффект. Очень важно, чтобы аудитор разрабатывал рекомендации параллельно с проведением детального тестирования. Таким образом, проще спланировать проведение дополнительных работ, направленных на уточнение рекомендаций. Когда аудитор приступает к написанию финального отчета, проводить дополнительные работы уже поздно.

Исходя из вышесказанного, следует отметить, что в целом продвинутый подход – это тестирование больше в глубину, чем в ширину. Также в отличие от классического подхода здесь намного реже наблюдается линейная последовательность аудиторских процедур. Разумеется, продвинутый подход, так же как и классический, имеет плюсы и минусы.

Плюсы продвинутого подхода к детальному тестированию:

1. Анализируются причинно-следственные связи. В результате получаются более точные и полезные рекомендации, нацеленные на первопричины риска. Аудитор, однако, не должен забывать, что для поиска первопричин необходимо больше ресурсов, в первую очередь времени, чем просто на выявление недостатков.

2. Нацеленность на расчет экономического эффекта, что придает больше значимости выводам по результатам проекта внутреннего аудита. На расчет экономического эффекта также необходимы дополнительные ресурсы. Однако это часто нивелируется повышенным интересом к результатам работы ПВА со стороны высшего руководства и акционеров.

3. Выводы являются более доказательными, т. к. чаще основываются на рисках, которые уже реализовались. Это особенно важно при работе с российскими управленцами, особенно старой закалки, которые придерживаются принципа «если что-то нельзя пощупать, то этого не существует». Однако это не означает, что продвинутый подход ограничивается только реализовавшимися рисками. Технически продвинутый подход также направлен на выявление рисков, существенных как с точки зрения силы воздействия, так и с точки зрения вероятности.

Минусы продвинутого подхода к детальному тестированию:

1. Требует более значительных затрат ресурсов и более высокой квалификации команды. Как уже говорилось, продвинутый подход приносит больше результатов, когда его используют опытные аудиторы. Они способны форсировать промежуточные этапы анализа и могут быстро переключаться между различными причинно-следственными цепочками, а также выстраивать новые и достраивать цепочки в условиях ограниченной информации.

2. Ряд процессов (подпроцессов) могут целиком выпадать из тестирования в результате концентрации на крупнейших рисках. По этой причине аудит двух сопоставимых объектов аудита может проходить совершенно по-разному, теряется сопоставимость результатов аудита. То же самое происходит в случае аудита одного и того же объекта, проведенного в разное время. Однако во многом это, как ни странно, дело вкуса.

На практике редко встречаются ситуации, когда ПВА используют только один подход. Все-таки большинство ПВА являются экспертами как минимум в отдельных вопросах тематики своих проектов, например в области бухгалтерского и/или налогового учета. В этом случае команда внутренних аудиторов на проекте естественным образом склоняется к использованию продвинутого подхода к детальному тестированию. Если знания о нюансах аудируемого процесса стремятся к нулю, внутренние аудиторы склонны использовать классический подход. Так или иначе, чем ниже профессиональный уровень сотрудников ПВА, тем меньше у них возможностей сделать осознанный выбор между классическим и продвинутым подходом.

Также хотелось бы продемонстрировать разницу между двумя подходами на примере двух вариантов отчета (см. табл. 19). За основу взят стандартный формат пункта отчета – наблюдение (суть недостатка), последствия (к чему приводит недостаток), причина (что способствует недостатку), рекомендации (что нужно сделать для управления недостатком). Пример предполагает, что обнаружена негативная ситуация в ходе аудита процесса «Закупки» – подрядчики выбираются на произвольной основе без проведения конкурсного отбора путем тендера.

_{Таблица 19. Сопоставление содержания отчета при использовании разных подходов к тестированию}

Сначала рассмотрим результаты применения классического подхода к детальному тестированию.

После составления описания процесса аудиторы с высокой вероятностью обнаружат, что процедуры конкурсного отбора отсутствуют. В этой ситуации, исходя из методологии классического подхода, дальнейшее детальное тестирование не проводится, т. к. очевиден недостаток – отсутствие процедуры тендера. Поэтому в разделе «Наблюдение» аудитор ставит описание недостатка как отсутствие ключевой контрольной процедуры. Дополнительное детальное тестирование (например, чтобы уточнить последствия) не проводится, поскольку не проводится основное детальное тестирование. По этой причине в разделе «Последствия» приводится описание не фактических, а теоретических последствий, хотя и весьма вероятных. При формировании раздела «Причина» у аудитора возникают проблемы, т. к. ему необходимо установить причину исходя из проведенной работы, а это только описание процесса (дополнительное детальное тестирование опять не проводится, поскольку нет основного детального тестирования). Один из наиболее распространенных вариантов выхода из такой ситуации состоит в указании на отсутствие регламента, посвященного процессу «Закупки» и процедуре конкурсного отбора. Отсутствие или наличие регламента можно установить и на основе описания процесса. Если аудитор следует правильной методологии, то раздел «Рекомендации» заполняется автоматически – математически говоря, рекомендация равна причине с обратным знаком. Так как детальное тестирование не проводилось, аудитор не знает о фактах реализации рисков, связанных с отсутствием конкурсного отбора подрядчиков.

При использовании методологии продвинутого подхода детальное тестирование проводится как для формирования раздела «Наблюдение», так и для формирования разделов «Последствия» и «Причина». Отсутствие процедур конкурсного отбора подрядчиков уже не является основанием для прекращения работы, а наоборот, служит отправной точкой для ее начала. С помощью детального тестирования аудитор выясняет, наблюдались ли факты реализации рисков, связанных с отсутствием указанных процедур. После выявления таких фактов он проводит экономическую оценку реализовавшихся рисков и формирует содержание раздела «Наблюдения». Затем на основании экстраполяции или прямого пересчета (например, по аналогичным случаям на подходе) аудитор готовит информацию для раздела «Последствия». Чтобы установить первопричину выявленных недостатков, аудитору может потребоваться дополнительное детальное тестирование, в том числе для исключения основных теоретически возможных причин. Например, в рассматриваемом случае причиной выбора подрядчиков, предложивших более высокую цену при прочих равных условиях, могли быть арифметические или методологические ошибки проектной документации или срочная потребность в определенных работах или услугах. В качестве основной причины выступает отсутствие контрольной процедуры. Раздел «Рекомендации» заполняется автоматически – внедрить контрольную процедуру (в такие-то сроки и т. д.).

Как видно из вышеуказанных примеров, использование двух подходов приводит к формированию во многом различающихся отчетов. В целом отчет, сформированный с использованием классического подхода, имеет структуру, приведенную в табл. 20, а отчет, сформированный с использованием продвинутого подхода, – в табл. 21. Следует обратить внимание на один существенный нюанс. При использовании классического подхода довольно часто в качестве наблюдения указывается недостаток определенной контрольной процедуры, вплоть до отсутствия контроля как такового. Однако с точки зрения многих российских руководителей недостатки контрольных процедур или их полное отсутствие не являются очевидным негативом или фактором того или иного риска. По этой причине материалы, полученные с использованием продвинутого подхода, вызывают повышенный интерес у руководителей по сравнению с материалами, полученными с использованием классического подхода.

_{Таблица 20. Структура и суть содержания отчета (классический подход)}

_{Таблица 21. Структура и суть содержания отчета (продвинутый подход)}

По завершении детального тестирования формируется окончательный вариант матрицы рисков и контрольных процедур как итог процесса обновления матрицы в течение всего проекта. Обратите внимание на различия в структуре матрицы, сформированной с использованием разных подходов к детальному тестированию (см. табл. 22).

_{Таблица 22. Различия содержания матрицы при использовании различных подходов}

Приоритеты доказательств

Тема достаточности доказательств характеризуется рядом неоднозначных моментов. При сборе и формировании доказательной базы аудитору необходимо иметь представление о следующих нюансах:

1. Бесспорность доказательств. Очень часто на бесспорность оказывают влияние психологические факторы. В этом смысле, как ни странно, бесспорность доказательств весьма субъективна. Один из наиболее типичных случаев подобной ситуации связан с конкретной выборкой, использовавшейся для проведения детального тестирования и формирования последующих выводов. Для одних руководителей нескольких случаев негатива уже достаточно, чтобы прочувствовать серьезность происходящего. Другие, фигурально выражаясь, замечают пожар только тогда, когда горит уже весь дом. При формировании доказательной базы аудитору необходимо руководствоваться не только общепринятой профессиональной методологией, но и восприятием результатов данной методологии руководством объекта аудита и пользователями отчета.

2. Сопоставимость существенности доказательств и доказываемой позиции. По общему правилу чем короче причинно-следственная цепочка, тем более очевидной является взаимосвязь событий. Например, некоторые аудиторы наивно полагают, что существенные огрехи процесса лечатся написанием регламента процесса. Однако на практике это почти всегда не так. Даже между уже написанным регламентом и его влиянием на устранение недостатков лежит огромная пропасть времени и событий. Или еще один типичный пример, когда необоснованность цены закупки ТМЦ доказывается альтернативными данными по ценам на эту ТМЦ из Интернета. В большинстве случаев данный подход к формированию доказательной базы по ценам неприменим. Условия формирования опротестованных цен понятны, а условия формирования цен из Интернета нет.

3. Качество бьет количество. По общему правилу одно прямое доказательство всегда лучше множества косвенных. Например, фотография изношенного объекта основных средств намного лучше говорит о его состоянии и полезности для производственного процесса, чем данные бухучета о сроке ввода данного ОС в эксплуатацию и статистика по проведенным ремонтам.

Также существует ряд качественных характеристик доказательств, которые оказывают влияние на их существенность:

1. Визуальные, письменные и устные доказательства. Данные виды доказательств выстроены в порядке убывания их существенности. Устные доказательства наименее полезны. Исключение может составить аудиозапись устного свидетельства, однако такой инструмент недоступен подавляющему количеству ПВА.

2. Внешние и внутренние источники доказательств. По общему правилу внешние источники более убедительны при их достаточной независимости по отношению к объекту аудита. Кроме того, внешний источник должен восприниматься как надежный сотрудниками объекта аудита и пользователями аудиторского отчета.

3. Доказательства, сформированные самим и не самим аудитором. В большинстве случаев доказательства, сформированные самим аудитором, намного надежнее. Однако надежность доказательств «со стороны» можно увеличить. Во-первых, можно провести дополнительные проверки (например, пересчет или сверку с другими источниками). Во-вторых, получить уверенность в том, что при формировании доказательств использовалась строго определенная методология. В-третьих, инспектировать процесс подготовки доказательств.