Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

• Установка 2. Если руководитель ПВА полагает, что вопросы стратегии функции внутреннего аудита не стоят его внимания, ему необходимо избавиться от этого заблуждения. Абстрактная стратегия лучше, чем отсутствие стратегии, четкая стратегия лучше, чем абстрактная. Абстрактная стратегия обманчива – если все складывается хорошо, то она облегчает интерпретацию результатов деятельности ПВА, а вот если нет, то абстрактная стратегия усугубляет негативные последствия. Например, одна из стратегических установок звучит как «усилить контроль на предприятии». Руководитель ПВА разрабатывает план, команда ПВА проводит работу, выдает рекомендации по доработке существующих контрольных процедур и внедрению новых. Однако при обсуждении результатов может выясниться, что деятельность ПВА предполагалось оценивать по количеству компромата на нерадивых сотрудников. ПВА попадает в некрасивое положение, которое может подогреваться недовольством аудируемых и прочими прелестями незрелой корпоративной культуры, повсеместно встречающейся в российских компаниях. Таким образом, мы подходим к третьей установке.

• Установка 3. При подготовке стратегии руководитель ПВА должен принять во внимание множество факторов. Некоторые из них очевидны, некоторые весьма специфичны. Одними из специфичных факторов являются уровень развития корпоративной культуры, уровень развития корпоративного управления и уровень развития функции управления у менеджмента компании. Ключевой элемент корпоративной культуры – это система коммуникации в компании. Хорошая корпоративная культура означает, что на ваши звонки и электронную почту отвечают, назначенные встречи по большей части проходят в назначенное время, запросы доходят до адресатов с первого раза и т. п. Также хорошая корпоративная культура предполагает определенную толерантность к чужим ошибкам. Это не означает безнаказанности. Это означает возможность получить в случае просчета как минимум шанс объясниться. Сама по себе корпоративная культура складывается из множества мелочей, но ее влияние на динамику работы аудитора существенно. Среди российских компаний нечасто встретишь целенаправленное стремление к формированию здоровой корпоративной культуры. Если компания, в которой вы работаете, не входит в узкий круг этих исключений, то вам необходимо сделать стратегию более консервативной в части как сроков, так и объема и содержания работ. Особенности системы корпоративного управления предприятием оказывают труднопрогнозируемое влияние на работу внутреннего аудита. На практике встречается ряд вариантов построения такой системы – от ситуаций, когда владелец компании является одновременно ее генеральным директором и решает широкий круг оперативных вопросов, до ситуаций, когда транснациональные корпорации организуют многослойную систему управления с минимальными шансами встретить не только акционера компании, но и кого-либо из топ-менеджеров, не говоря о генеральном директоре или президенте. Каждый из вариантов требует отдельного осмысления и по-своему влияет на нюансы стратегии внутреннего аудита. Для обозначения общих взаимосвязей скажу следующее. Чем более громоздкой является система корпоративного управления предприятием, тем меньше самостоятельности у руководителя ПВА при разработке стратегии. Крупные компании требуют дополнительных согласований, порой не вполне логичных, более длительного времени для принятия решения, возможны языковые и прочие межнациональные препятствия, возможно навязывание стратегических установок из управляющей компании, возможно поверхностное восприятие информации. В российских условиях приведенные недостатки усугубляются вмешательством крупных акционеров в оперативное управление компанией, часто неоднозначными отношениями между топ-менеджментом и крупными акционерами, широким распространением неформальной коммуникации при решении оперативных вопросов и широким использованием административного ресурса. У российских компаний аллергия на системность, и это добавляет сложностей при продвижении своего стратегического видения. Идти напролом против этого феномена и его последствий бесполезно. Но как внутренний аудитор вы просто обязаны направить максимум усилий на исправление ситуации. В конце концов, российская модель корпоративного управления приносит экономике нашей страны больше вреда, чем пользы, и провоцирует многие злоупотребления, начиная от мошенничества и заканчивая техногенными катастрофами. Уровень развития управленческой экспертизы руководства вашей компании также потребует корректировки стратегии внутреннего аудита, если и не по сути, то как минимум по форме. Под управленческой экспертизой понимается способность руководства компании эффективно осуществлять пять функций менеджмента – планировать, организовывать, направлять, координировать и контролировать. Кроме того, это эффективное использование современных технологий менеджмента – процессное управление, методы организации производства (бережливое производство, кружки качества, шесть сигм и прочие), методы оценки исполнения (например, система КПЭ), управление по целям и т. д. Уровень развития управленческой экспертизы практически напрямую коррелирует с уровнем развития системы корпоративного управления предприятием. Поэтому, если вашей компании присущи элементы слаборазвитого корпоративного управления, в большинстве ситуаций это означает, что на управленческую экспертизу тоже рассчитывать не стоит. Наиболее существенным образом уровень развития управленческой экспертизы влияет на процесс формирования и распределения ресурсов. Причина в следующих ключевых моментах. Низкий уровень подготовки менеджмента потребует увеличения времени на выполнение запросов данных для целей внутреннего аудита. Низкий уровень подготовки провоцирует сомнения, сомнения рождают подозрительность, подозрительность ведет к поиску подвоха, что в свою очередь заставляет людей перепроверять предоставляемую информацию, предоставлять намеренно неполные или ошибочные данные, поступать неэтично в целом (не отвечать на запрос, «врубать дурака», переводить стрелки и т. д.), решать вопросы только в ходе неформальной коммуникации и прочее в том же духе. Больше времени будет уходить на разъяснения деталей запросов, проекта отчета, предлагаемых рекомендаций и прочих нюансов процесса проведения внутреннего аудита. Больше времени будет уходить на сбор доказательств, т. к. сами доказательства должны быть более существенными как по величине возможного ущерба, так и по категории (например, вместо устных объяснений потребуется объяснительная в письменном виде). В целом низкий уровень управленческих навыков менеджмента создает повышенный уровень сопротивления в процессе проведения внутреннего аудита и потому требует более тщательного подхода к планированию и осуществлению действий. Все это приводит к уменьшению размера отчета и упрощению его содержания, в том числе рекомендаций. На практике большинство проектов внутреннего аудита проходит именно в таких условиях. Таковы последствия большого количества случайных людей в составе менеджмента российских предприятий. Случайных как с точки зрения квалификации, так и с точки зрения мотивации.

• Установка 4. В настоящий момент существует следующая закономерность – без внешней поддержки сфера деятельности функции внутреннего аудита со временем сужается. Под внешней поддержкой подразумевается так называемый tone at the top (буквально: «тон сверху») или, другими словами, поддержка со стороны акционеров, совета директоров, аудиторского комитета, исполнительного органа компании или ключевых топ-менеджеров. Возможно, я разочарую некоторых излишне романтически настроенных аудиторов, но естественным, по крайней мере для российских компаний, является постепенное подавление функции внутреннего аудита. Порой это происходит не совсем осознанно, рефлекторно. Давление на внутренний аудит в компании оказывается со стороны большинства функциональных подразделений, даже тех, которым еще не посчастливилось по роду своей деятельности пересечься с внутренним аудитом, например в рамках планового проекта. Все это имеет несколько следствий. Во-первых, руководитель ПВА должен постоянно помнить о ползучем прессинге и реагировать до того, как потенциальная угроза станет реальностью. Ползучий прессинг в отношении внутреннего аудита встречается во всех компаниях. Обычно в компаниях, более продвинутых с точки зрения управленческих технологий, этот процесс идет более утонченно, что создает дополнительную сложность для руководителя ПВА по сравнению с менее продвинутыми компаниями. Во-вторых, с момента своего появления в компании ПВА должно претендовать на максимально возможное количество компетенций, на максимально возможную сферу деятельности. На практике я встречался с ситуациями, когда ПВА компании настолько сильно увлекалось одним из направлений, в частности аудитом бухгалтерского и налогового учета, что в дальнейшем требовались колоссальные усилия для получения возможности проводить аудиты бизнес-процессов. Ограничения такого рода крайне негативно влияют на работу ПВА. Скорее всего, руководителю ПВА не удастся с ходу получить достаточно ресурсов для работы по всем направлениям. Однако он должен при каждом удобном случае подчеркивать потенциал внутреннего аудита. Необходимо отражать любые попытки ограничить сферу деятельности ПВА, как минимум в процессе разработки и принятия положения о подразделении или устава ПВА. И, наконец, в-третьих, руководитель ПВА должен тратить много времени на «светскую» коммуникацию, т. е. не связанную напрямую с работой. Необходимо использовать любую возможность для высказывания позиции внутреннего аудита, побуждения к действию. Если ему предоставили право участвовать в заседаниях правления компании или одного или нескольких управляющих комитетов, не нужно отмалчиваться. Внутренний аудит как управленческая технология имеет позитивную направленность, т. е. направленность на создание пресловутой добавленной стоимости. Поэтому предложения в данном контексте как минимум хорошо звучат. От руководителя ПВА зависит, насколько такие предложения будут иметь практическую ценность. Обсуждайте операционные вопросы с соответствующими менеджерами при личных встречах. Это не праздное любопытство – внутренний аудит в той или иной степени ответственен за мониторинг рисков, в том числе рисков, возникающих вследствие принятия управленческих решений. Такого рода встречи также удовлетворят недостаток информации о целях, задачах и возможностях внутреннего аудита у сотрудников компании.

• Установка 5. Внутренний аудит представляет собой систему и, как любая система, имеет жизненный цикл. Основные этапы жизненного цикла функции внутреннего аудита на предприятии – становление, развитие, выход на проектную мощность и трансформация. Для каждого из них нужна своя стратегия и целевые ориентиры. При точной настройке стратегии конкретного этапа необходимо учитывать ряд других факторов – уровень развития управленческой экспертизы менеджмента, время до выхода на проектную мощность (время на «раскачку»), особенности бизнеса и структуры компании, ресурсы самого ПВА и прочее. Рассмотрим оптимальный вариант построения стратегии по каждому из этапов жизненного цикла ПВА.

Становление. Данный этап актуален для компаний, которые только приступили к созданию подразделения внутреннего аудита в своей структуре. На этапе становления у функции внутреннего аудита по большому счету есть два основных варианта стратегии. Выбор конкретного варианта зависит как от позиции руководства ПВА, так и от позиции руководства и/или владельцев компании. Во многом данная позиция определяется готовностью ждать, ждать до момента достижения внутренним аудитом, выражаясь спортивными терминами, пика формы. Готовность ждать в свою очередь проистекает из множества обстоятельств, например сложившейся динамики бизнес-процессов в компании, условий среды, в которой действует компания, особенностей отрасли и рынка, в рамках которых работает компания, в конце концов, субъективных предпочтений. Например, компании с низким уровнем бюрократии и, как следствие, динамичными бизнес-процессами, действующие в высококонкурентной среде, на рынке с относительно доступной стоимостью входа, с высокой вероятностью будут ожидать от внутреннего аудита сопоставимо быстрого выхода на проектную мощность с минимумом раскачки. Типичным примером являются компании розничной торговли. И наоборот, компании, обладающие многослойной организационной структурой и размеренными бизнес-процессами, являющиеся монополистами или занимающие доминирующее положение на рынке, вход на который связан с существенными капитальными затратами и разовыми издержками, при прочих равных вряд ли будут настаивать на чрезмерной прыти в становлении ПВА. Типичным примером являются крупнейшие окологосударственные российские компании. Таким образом, первый вариант стратегии характеризуется ожиданием быстрых результатов от ПВА и потому подталкивает к формированию стратегии quick wins (буквально: «быстрые победы»). Второй вариант стратегии дает функции внутреннего аудита ценный ресурс – время, что при определенном раскладе может предоставить внутреннему аудиту шанс дать более полезные результаты для компании. Чаще всего данный вариант единственно возможен в том случае, если подразделение формируется с нуля, отсутствуют подготовленные аудиторы и руководство ПВА малоопытно. Каждый из вариантов имеет свои плюсы и минусы. Каждый из вариантов встречается на практике. Например, мне довелось поработать и с тем, и с другим. При выборе одного из двух вариантов главное – иметь как можно более точное представление об ожиданиях руководства и/или владельцев компании.

Развитие. Данный период длится до того момента, когда польза от ПВА начинает устойчиво перекрывать затраты, связанные с его функционированием. Речь идет как о материальной компоненте такой оценки, так и нематериальной вплоть до человеческих эмоций. Я был свидетелем ситуаций, когда негативное отношение руководства компании к внутреннему аудиту приводило к застреванию функции внутреннего аудита на этапе развития. Существование самой функции в рамках компании поддерживалось вялой протекцией со стороны ключевых акционеров. Но такова реальность, и к ней надо быть готовым. Как будут развиваться события на этой стадии, зависит от стратегии, выбранной на этапе становления. В случае стратегии «быстрых побед» мы получаем возможность довольно быстро пройти стадию развития. Однако это возможно только в случае, если на этапе становления ПВА получило достаточно сильный человеческий ресурс, попросту говоря, хорошо подготовленных аудиторов. Такое происходит обычно, когда руководство ПВА подтягивает свою команду с предыдущих мест работы при условии, что эта команда способна дать результаты, которые оценит текущее руководство. Стратегию «быстрые победы» довольно сложно реализовать на практике без наличия как минимум одного-двух сильных внутренних аудиторов. Таким образом, если мы выбрали данную стратегию и имеем требуемый ресурс для ее реализации, то при отсутствии существенных ошибок в процессе деятельности и при сохранении ресурса переход из стадии становления в стадию развития происходит довольно быстро, примерно в течение шести – девяти месяцев. Если обстоятельства или осознанное решение привело нас к выбору второго базового варианта стратегии становления, то на переход в стадию развития в большинстве случаев потребуется не меньше года.

Выход на проектную мощность. При успешном прохождении стадии развития ПВА переходит в относительно благоприятный этап последовательного наращивания позитивных результатов работы. Относительная благоприятность данного этапа заключается в ряде обстоятельств. Во-первых, к этому моменту ПВА должно уже освоиться в компании, обрести понимание локальных причинно-следственных связей, пройти личностную притирку. Во-вторых, если ПВА добралось до данной стадии, это означает, что в большинстве случаев результаты работы ПВА соответствуют ожиданиям и запросам руководства компании и/или акционеров. Отдельный вопрос – являются ли такие результаты полезными для самой компании, поскольку в некоторых компаниях, например, импотентность ПВА даже поощряется, чаще всего негласно. Оптимальный вариант действий на данном этапе заключается в развитии и закреплении достигнутого успеха. На предыдущих этапах ПВА получает представление о наиболее критичных для компании рисках. Это позволяет более прицельно планировать проекты внутреннего аудита. Быстрые победы, достигнутые на относительно небольших выборках данных, можно развить за счет увеличения выборки и масштабов проектов. Появляется возможность последовательно улучшать качество имеющихся у ПВА ресурсов, например за счет организации регулярного обучения сотрудников. Появляется возможность совершенствовать процессы самого ПВА, например за счет внедрения программ по управлению процессов внутреннего аудита. Несмотря на множество позитивных моментов, сопровождающих данный этап, необходимо помнить, что цена ошибки если и снижается по сравнению с предыдущими этапами, то ненамного. Это обстоятельство усугубляется еще и тем, что к моменту достижения стадии выхода на проектную мощность у ПВА с высокой вероятностью появляются первые враги. Любая ошибка ПВА рассматривается ими как возможность подгадить. Также если ПВА добралось до данной стадии, а врагов вокруг не наблюдается, то не исключено, что ПВА ценят в компании за красивые глазки и пустую голову.

Трансформация. Как говорится, все рано или поздно заканчивается. Однако не стоит в этом видеть только негативную сторону. В силу своей специфики внутренний аудит по сравнению с большинством других функций компании должен быть менее всего подвержен пассивному самолюбованию. Внутренний аудит всегда должен искать пути увеличения своей полезности для деятельности компании. Переход в стадию трансформации может быть вызван как внутренними (по отношению к ПВА), так и внешними причинами. Последние обычно более разнообразны. Например, смена акционеров или руководства компании, выход на IPO, слияние или поглощение, изменение риск-аппетита, форс-мажорные обстоятельства. Внутренние причины на фоне внешних относительно малочисленны. С точки зрения развития ПВА нас должно интересовать только одно – готовность и способность ПВА выйти на новый качественный уровень деятельности. Например, если на протяжении нескольких лет ПВА занималось только оценкой систем внутреннего контроля, то переход к осуществлению консалтинговых проектов потребует от ПВА существенного преобразования деятельности, т. е. перехода в стадию трансформации. Лучше не заниматься самообманом и принять аксиому – любое ПВА рано или поздно доберется до этой стадии. Правильные ПВА стремятся осознанно перейти в нее, т. к. поиск лучшего применения своих возможностей – это всегда правильная стратегия. В конце концов, внутренний аудит является сервисной функцией и должен прилагать усилия по созданию заинтересованности в своих услугах.

Глава 6.

Общая структура и основные этапы проекта внутреннего аудита

ПВА может участвовать в различных проектах. Сама деятельность ПВА является, по сути, проектной. Все многообразие данных проектов можно свести к пяти основным категориям, а именно:

1) аудит системы внутреннего контроля бизнес-процессов (включая аудит эффективности построения бизнес-процессов);

2) консалтинговые проекты;

3) выявление и расследование фактов мошенничества и иного несанкционированного распоряжения имуществом компании;

4) аудит финансовой отчетности;

5) аудит соблюдения требований законодательства и внутренних регламентирующих документов.

Правильный аудит в основном занимается проектами, относящимися к первым трем категориям с большим уклоном в сторону первых двух. К консалтинговым обычно относятся проекты, в которых достижение цели не связано с необходимостью осуществления полного спектра аудиторских процедур. К ним относятся, например, проекты по:

• созданию регламентов, форм отчетности, процедур, процессов;

• осуществлению процедуры дью дилидженс[9];

• оптимизации бизнес-процессов;

• реорганизации юридических лиц, включая продажу, слияния и поглощения;

• оценке стоимости имущества компании.

С точки зрения аудиторских процедур наиболее насыщенными являются проекты по аудиту системы внутреннего контроля бизнес-процессов (включая аудит эффективности построения бизнес-процессов). Остальные категории проектов выполняются с применением лишь отдельных аудиторских процедур. Например, при аудите финансовой отчетности не составляются описания процессов, не проводится сквозное тестирование, не формируются матрицы рисков, ограниченно используются аналитические процедуры и детальное тестирование. По этой причине мы рассмотрим структуру и содержание основных этапов аудиторского процесса при выполнении проектов первой категории. Также хотелось бы обратить внимание на формулировку проектов первой категории. Большинство аудиторов являются специалистами в первую очередь в области внутреннего контроля. Способность команды внутренних аудиторов оценивать эффективность построения бизнес-процессов во многом зависит от ее опыта и ряда других навыков и знаний. Однако система внутреннего контроля бизнес-процесса и структура и содержание данного бизнес-процесса очень тесно взаимосвязаны. Поэтому для повышения ценности своей работы каждый внутренний аудитор должен стремиться стать экспертом не только по системе внутреннего контроля процессов, но и по нюансам организации и построения ключевых бизнес-процессов.

Общая структура и основные этапы процесса управления проектами внутреннего аудита представлены на рис. 5. Данная структура и основные этапы процесса наиболее типичны для холдинговых компаний с централизованной функцией внутреннего аудита. Разумеется, в разных компаниях этот процесс может иметь вариации. Тем не менее в большинстве компаний, в которых есть ПВА, процесс управления проектами внутреннего аудита в целом имеет указанную структуру и содержание.

Основными участниками процесса являются:

• подразделение внутреннего аудита – напрямую заинтересовано в результатах процесса, поэтому в большинстве случаев должно выступать основным исполнителем, координатором и организатором;

• аудиторский комитет/генеральный директор – во многих случаях ПВА подчиняется либо аудиторскому комитету, либо генеральному директору, которые осуществляют общее руководство (что в том числе подразумевает необходимость согласования с ними, так скажем, крупных моментов);

• руководство ключевых бизнес-процессов – в большинстве случаев это топ-менеджмент, возглавляющий определенную функцию в компании и подчиняющийся единому исполнительному органу компании (например, генеральному директору). Типичным примером являются руководители ключевых подразделений (например, заместитель генерального директора по производству или заместитель генерального директора по экономике и финансам) управляющей компании холдинга. Потенциально такие руководители обладают максимумом информации по направлениям своей деятельности в целом по холдингу (функциональные руководители отдельных предприятий, входящих в холдинг, в большинстве случаев имеют отрывочное представление о факторах риска в деятельности других предприятий холдинга);

• руководство объектов аудита – в классическом варианте это топ-менеджмент отдельного предприятия (входящего в состав группы). Намного реже в качестве руководства объекта аудита выступает руководство одного из ключевых процессов независимо от того, в каком юридическом лице данный процесс начинается и/или заканчивается. Последний вариант формирования объекта аудита встречается значительно реже первого варианта по той причине, что возможности ПВА по проведению аудита разных юридических лиц несопоставимы. Например, во многих холдинговых структурах управляющая компания в той или иной степени неприкасаема для аудита. Практически всегда это неправильно, т. к. многие проблемы контроля и криво организованных бизнес-процессов растут именно из головной компании;

• дирекция по управлению рисками – наименование говорит само за себя. Однако основная задача такого рода подразделений заключается в построении процесса управления рисками. Результаты данной работы в чистом виде не всегда пригодны для формирования карты рисков. По этой причине в большинстве случаев дирекция по управлению рисками является просто одним из участников процесса выявления и оценки рисков.

Рис. 5. Общая структура и основные этапы процесса управления проектами внутреннего аудита

Рассмотрим бегло содержание этапов процесса.

Идентификация и оценка рисков. Содержание данного процесса описано в главе «Формирование риск-ориентированного подхода к проведению проектов внутреннего аудита». Идентификация и оценка рисков может осуществляться как в рамках упрощенного, так и продвинутого метода риск-ориентированного аудита. Участие руководства ключевых бизнес-процессов в этом процессе обязательно. Руководство объектов аудита может принимать участие в процессе в зависимости от ситуации – основными препятствиями являются ограниченность ресурсов ПВА и жесткие временные рамки, а также целесообразность привлечения руководства потенциальных объектов аудита к процессу формирования карты рисков (учитывая, например, его стремление скрывать проблемы).

Построение карты рисков. Согласование карты рисков. Карта рисков должна соответствовать ряду требований. Ключевое требование заключается в обеспечении максимальной пригодности такой карты для формирования плана и программ аудита. Разумеется, сама карта должна представлять исчерпывающую и объективную картину наиболее существенных рисков компании. Содержание этого процесса также описано в главе «Формирование риск-ориентированного подхода к проведению проектов внутреннего аудита».

Что касается согласования карты рисков, то здесь есть один нюанс. Если руководство ключевых бизнес-процессов и/или руководство объекта аудита не принимало участия в идентификации и оценке рисков, то процесс согласования в лучшем случае пойдет со скрипом, а часто может просто саботироваться. Согласование призвано способствовать как максимально полной и объективной оценке рисков компании, так и формированию заинтересованности в поиске и выработке способов управления выявленными рисками. Согласование может показаться способом манипуляции, однако такое восприятие ошибочно – это объективно полезная и позитивная процедура.

Формирование плана на год. Согласование плана на год. ПВА должно формировать план проектов на год с учетом ряда нюансов.

Нюанс 1. План должен быть по силам для ПВА с точки зрения ресурсоемкости, требований к компетенции и наличия административной поддержки. Все эти составляющие осуществимости плана зависят от разнообразных факторов.

Ресурсоемкость в первую очередь соотносится со способностью конкретного аудитора или команды аудиторов выполнить определенную работу за определенное время с достижением необходимого качества. Повышение профессионального уровня аудиторов, увеличение их количества, поддержание высокой мотивации, уменьшение количества и снижение сложности проектов и многое другое способствуют повышению ресурсоемкости плана. Обратные тенденции способствуют снижению ресурсоемкости плана. Руководитель ПВА не должен забывать, что людям для того, чтобы хорошо работать, необходимо хорошо отдыхать. План не должен заставлять прыгать выше головы в течение слишком длительного времени.

Команда аудиторов должна быть способна выполнить план при текущем уровне знаний, опыта и навыков. Если руководитель ПВА формирует проект аудита, для исполнения которого уровень компетенции его команды недостаточен, он должен позаботиться о привлечении необходимой компетенции со стороны.

Отсутствие административной поддержки является серьезным препятствием на пути выполнения плана аудита. Чем ниже уровень корпоративной культуры и чем выше уровень бюрократии и политизированности в компании, тем большее значение имеет обеспечение достаточной административной поддержки для успешного выполнения плана аудита. Все это попахивает крысиными бегами, однако такова российская действительность.

Нюанс 2. План должен учитывать пожелания как непосредственного руководства ПВА (например, аудиторского комитета), так и пожелания генерального директора, руководства ключевых бизнес-процессов, а также, порой, руководства потенциальных объектов аудита. Пожелания учитываются отнюдь не из вежливости, а для обеспечения взаимовыгодного сотрудничества ради процветания компании. Разумеется, пожелания могут быть нацелены на сдерживание особо прытких ПВА. Однако нередко их учет приносит немалую пользу. Управление данным нюансом во многом зависит от способностей руководителя ПВА. При этом стоит помнить, что необоснованный отказ от учета пожелания может осложнить работу ПВА в будущем.

Нюанс 3. План должен предусматривать резерв времени. Год – довольно продолжительный период. В течение года может произойти множество событий как способствующих исполнению плана, так и препятствующих его исполнению. К последним относятся временное отсутствие сотрудников ПВА по различным причинам, организационные накладки, отсутствие ключевых сотрудников объекта аудита, затягивание выполнения проектов и т. д.

Кроме того, довольно часто резерв времени создается под точечные проекты, возникающие в оперативном порядке. ПВА важно оказывать максимальную поддержку бизнесу. Обычно резерв составляет 10–15 % от времени всех плановых проектов.

Нюанс 4. План должен иметь достаточную детализацию. Как минимум он должен представлять собой план-график с указанием начальной и конечной дат каждого проекта и общей продолжительности проекта. При наличии нескольких команд внутренних аудиторов в составе ПВА необходимо распределить проекты между ними. При более детальном планировании каждый проект разбивается на ключевые этапы, которые расставляются в хронологической и процессной последовательности.

Нюанс 5. План должен иметь несколько вариантов. Это объясняется несколькими причинами. Во-первых, стороны, согласующие план, должны иметь несколько вариантов для выбора наилучшего с их точки зрения. Формируя несколько версий плана, руководитель ПВА предоставляет такую возможность. Во-вторых, различные сочетания ресурсов, имеющихся в распоряжении ПВА, могут предоставлять разные возможности проведения проектов. Чаще всего ПВА не хватает ресурсов для проведения всех проектов, результаты которых могли бы принести существенную пользу компании. Многие проекты приходится откладывать, а некоторые могут вообще не состояться. Поэтому руководитель ПВА должен постоянно напоминать своему руководству и руководству компании, что теряет компания, ограничивая ресурсы ПВА. Составление нескольких вариантов плана (с различными сочетаниями ресурсы/результаты) – один из способов напоминания. Однако основная цель – не напомнить об упущенных возможностях, а заинтересовать в максимальном использовании функционала внутреннего аудита. В-третьих, план дает руководителю ПВА некоторые возможности по манипулированию как своим руководством, так и руководством компании. Ведь всегда можно сделать один вариант более привлекательным, чем остальные. Самое главное – пользоваться этим, когда необходимость в целесообразной манипуляции действительно существует.

Процедура согласования плана проектов внутреннего аудита может иметь свои особенности в разных компаниях. Однако в целом она довольно типична – представление плана и сопутствующих материалов, рассмотрение их согласующей стороной, презентация и обсуждение плана на итоговой встрече (например, на одном из заседаний аудиторского комитета в четвертом квартале), вынесение окончательного решения (например, протокол заседания аудиторского комитета). В некоторых компаниях утвержденный план проектов внутреннего аудита может приниматься в виде отдельного распорядительного документа за подписью руководителя компании (например, приказ за подписью генерального директора). Нелишним будет известить руководство объектов аудита о деталях принятого плана, имеющих отношение к данным объектам аудита.

Планирование проекта. Формирование запроса информации. Исполнение запроса/интервью. В большинстве случаев процедура планирования проекта стартует именно с формирования запроса информации у объекта аудита, особенно если этот объект впервые попал в план. Содержание запроса полностью зависит от целей проекта. Запрос направляется руководству объекта аудита в виде официального письма. Так как основанием для исполнения запроса является начало проекта, имеет смысл описать в нем его основные параметры (сроки, участники команды аудиторов, ключевые требования к объекту аудита и т. д.).

В ряде случаев на этапе планирования проводятся встречи с руководством ключевых бизнес-процессов. Они могут преследовать различные цели, например:

• получить общую информацию по текущему статусу объекта аудита;

• узнать ожидания и пожелания руководства ключевых бизнес-процессов;

• представить общую информацию о проекте.

На этапе планирования происходит уточнение тех целей и задач, которые были сформированы при годовом планировании. Не исключено, что картина рисков для объекта аудита изменится с момента утверждения и согласования годового плана аудита. Поэтому, если план аудита формировался на основе оценки рисков, такую оценку необходимо уточнить. Для этого могут проводиться те же самые процедуры, что и на этапе годового планирования, но точечно (только в отношении конкретного объекта аудита и конкретных факторов риска). В некоторых случаях улучшение управления определенными рисками приводит к тому, что объект аудита перестанет представлять интерес для целей внутреннего аудита. В такой ситуации стоит исключить этот объект из плана и заняться другим объектом аудита.

При использовании риск-ориентированного метода аудита на этапе планирования составляется матрица рисков и контрольных процедур.

Более подробно процесс планирования проекта внутреннего аудита проанализирован в главе 7.

Проведение организационной встречи. Такого рода встреча проводится на территории объекта аудита. Она преследует несколько основных целей:

• представить общую информацию о проекте (цели, сроки, действующие лица, задачи, используемые процедуры, порядок согласования и обсуждения результатов и т. д.);

• ответить на вопросы по проекту;

• представить участников команды аудиторов;

• познакомиться с ключевыми сотрудниками объекта аудита;

• задать общий тон проекта;

• прочувствовать атмосферу объекта аудита.

Более подробно процесс проведения организационной встречи проанализирован в главе 9.

Составление описания процесса. Проведение сквозного тестирования. Обе процедуры являются ключевыми для большинства проектов внутреннего аудита при условии, что ПВА практикует аудит бизнес-процессов и системы внутреннего контроля. Если ПВА отдает предпочтение другому подходу (бухгалтерскому, ревизионному, комплаенс), то необходимость в составлении описания процессов и последующем сквозном тестировании в основном отсутствует.

При составлении описания процесса используются методологии, комбинирующие графическое и словесное описание. Ключевое преимущество графического представления заключается в его наглядности – картинки всегда воспринимаются легче, чем словесный поток. При необходимости описание процесса можно включить в финальный отчет.

Обеспечить достоверность описания процесса практически невозможно без сквозного тестирования. В целом чем меньше ПВА знакомо с объектом аудита, тем больше ресурсов необходимо для описания процесса и сквозного тестирования.

Более подробно процесс составления описания процесса и проведения сквозного тестирования проанализирован в главе 9.

Уточнение матрицы рисков. Если на этапе планирования проекта составлялась матрица рисков и контрольных процедур, ее необходимо уточнить после завершения описания процесса и сквозного тестирования. Такая последовательность имеет свою логику – после составления описания и сквозного тестирования значительно проясняется общая картина объекта аудита. Суть пересмотра матрицы рисков и контрольных процедур заключается в уточнении перечня рисков (факторов рисков) и оценок их существенности, а также в уточнении перечня существующих контрольных процедур и оценки их адекватности (эффективности). Результаты уточнения могут серьезно повлиять на выбор тематики для детального тестирования и проведения аналитических процедур.

Более подробно процесс уточнения матрицы рисков и контрольных процедур проанализирован в главе 9.

Проведение аналитических процедур. Сфера применения таких процедур может быть весьма обширной. Правильный и опытный аудитор умеет пользоваться этим инструментом. Аналитические процедуры используются как на этапе осуществления проекта, так и на этапе планирования. С их помощью можно нащупать потенциально интересные темы для последующего детального тестирования. Они позволяют получить дополнительные подтверждения правильности аудиторских выводов и оценить последствия имеющихся недостатков.

Более подробно процесс осуществления аналитических процедур проанализирован в главе 8.

Планирование детального тестирования. Формирование выборок. Проведение детального тестирования. В целом вся работа при осуществлении проекта внутреннего аудита выполняется с использованием различного рода выборок. Однако формирование выборок приходится в основном на этап детального тестирования. Во многих случаях детальное тестирование невозможно без предварительного планирования. Это связано с тем, что процесс детального тестирования часто сопряжен со сложностями (например, отсутствием систематизированных данных, отсутствием документальных следов осуществления тех или иных операций, сложными методами получения данных).

По ходу проекта цикл «план – выборка – тестирование» может повторяться неоднократно даже в отношении одной конкретной темы тестирования.

Более подробно процесс формирования выборок, а также процессы планирования и детального тестирования проанализированы в главе 9.

Формирование проектов отчета и плана мероприятий. Обсуждение проектов отчета и плана мероприятий. Понятно, что проект отчета формирует ПВА. Что касается плана исправительных мероприятий, то он должен быть результатом совместных усилий аудиторов и сотрудников (владельцев) объекта аудита. Однако в российских экономических реалиях довольно часто эти сотрудники ведут себя пассивно или, что хуже, пытаются саботировать процесс формирования плана мероприятий (например, предлагая заведомо неэффективные или поверхностные мероприятия). ПВА, однако, всегда должно формировать свою позицию в отношении подхода к нивелированию того или иного недостатка.

В большинстве ситуаций результаты работы команды внутренних аудиторов, оформленные в виде проекта отчета, имеет смысл сначала обсудить с сотрудниками (владельцами) объекта аудита и только потом представлять другим пользователям. Количество таких обсуждений, конечно, не ограничено, однако лучше не затягивать процесс.

Более подробно процессы формирования и обсуждения проекта отчета и плана мероприятий проанализированы в главе 11.

Формирование финального отчета и плана мероприятий. Презентация результатов проекта. После того как обсуждение с сотрудниками (владельцами) объекта аудита завершено, а необходимые корректировки и комментарии внесены, отчет готов для представления прочим пользователям. К ним относятся как минимум руководство ключевых бизнес-процессов, генеральный директор, аудиторский комитет.

Более подробно процессы формирования и представления финального отчета и плана мероприятий проанализированы в главе 11.

Исполнение плана мероприятий. Мониторинг. План мероприятий направляется сотрудникам (руководству, владельцам) объекта аудита для исполнения. ПВА должно проводить оценку степени и качества исполнения до момента его завершения. В силу различных обстоятельств (например, улучшений с момента завершения аудита) не исключено формирование второй, третьей и последующих версий плана.

Более подробно процессы проведения мониторинга исполнения плана мероприятий проанализированы в главе 12.

Глава 7.

Планирование проекта

Базовые принципы