Внутренний контроль и аудит. Представление результатов внутреннего аудита. Аудиторские отчеты Возглавил службу внутреннего аудита контроля банка союз

Уже никто не оспаривает несомненную пользу . Правильно проведенный контроль внутри компании позволяет устранить ошибки и недочеты, повысить эффективность деятельности и дисциплинировать сотрудников. Эта форма деятельности организации, как и многие другие, требует документальной работы.

Понятие отчета по внутреннему аудиту

Отчет по ВА - это один из обязательных документов контроля, отражающий данные по результатам внутренней проверки. Изложенная в нем информация должна отражать данные контроля, его результаты и конкретные предложения. Этот документ является важным звеном в процессе устранения недостатков и нарушений, а также в анализе эффективности рабочих процессов.

При проверки узкой части рабочих процессов компании отчет может быть довольно скромный. Особенно если в результате аудита не было обнаружено серьезных недостатков. Глобальный аудит имеет более крупную форму отчета, но и этот документ является основным бланком проведенного контроля.

Данное видео расскажет об отчете по внутреннему аудиту:

Его предназначение

Простое составление отчета ВА с указанием выявленных недочетов лишь отмечает ошибки. Такой отчет не обладает полной информацией и не может считаться полезным документом. Грамотно составленный отчет решает значительно больше задач, чем простое информирование.

Правильный отчет решает следующие задачи:

  • Раскрывает и описывает необходимые данные.
  • Фиксирует предложения и рекомендации для исправления.
  • Указывает смягчающие обстоятельства и излагает план корректирующих мероприятий.

На основании различных аудиторских отчетов допустимо исправление ошибок или окончательное утверждение стратегии компании.

Этот документ по сути является подтверждением правильности организации работы и корректного курса предприятия.

Форма и правила составления


Главными критериями правил составления отчета служат качественно изложенные сведения. Правильный отчет по внутреннему аудиту должен соответствовать 7 требованиям по корректности донесения информации. Сообщения в отчеты должны быть:

  1. Ясными.
  2. Точными.
  3. Краткими.
  4. Полными.
  5. Объективными.
  6. Конструктивными.
  7. Своевременными.

На основании этих правил должна базироваться и форма отчета по внутреннему аудиту. Несмотря на то, что отчет по ВА является официальным документом организации, единой формы его составления не существует. Каждая компания в праве использовать удобный формат изложения информации в зависимости от объема отчета и целей его составления.

Ниже будет рассмотрена форма отчета по результатам внутреннего аудита СМК.

Данное видео содержит еще больше полезной информации об отчете по внутреннему аудиту:

При составлении отчета необходимо понимать, что данный документ касается не всех областей деятельности организации, а только в сфере рассматриваемых вопросов. Поэтому вне зависимости от выбранной формы документа, в нем должны отражаться 3 главных части:

  1. Вводная.
  2. Аналитическая.
  3. Итоговая.

В вводной части аудиторского отчета указываются данные предприятия и информация об объекте контроля. Также приводятся сведения о сроках проверки и выносятся основные вопросы, подвергшиеся аудиту. Аналитическая часть документа подразумевает включение всех выявленных недостатков и нюансов, а также должна содержать указания на плюсы, определенные в результате контроля. Итоговая часть содержит выводы и рекомендации.

Пример заполнения отчета о результатах осуществления внутреннего финансового аудита

Отчет о результатах осуществления внутреннего финансового аудита — 1

Отчет о результатах осуществления внутреннего финансового аудита — 2

Отчет о результатах осуществления внутреннего финансового аудита — 3

Отчет о результатах осуществления внутреннего финансового аудита — 4

Отчет о результатах осуществления внутреннего финансового аудита — 5

Отчет о результатах осуществления внутреннего финансового аудита — 6

Отчет по внутреннему аудиту обязательный документ. Без его составления вся деятельность ВА практически утрачивает смысл. Форма его составления произвольная, а содержание должно быть предельно лаконичным и полным. Составить отчет по узкой сфере проверки довольно просто, а умение корректно формировать данные по всей деятельности компании приходит с опытом.

Как уже отмечалось, в банке должны быть сформированы и действовать органы специализированного (профессионального) контроля. Такими органами могут быть прежде всего:

  • служба внутреннего контроля;
  • служба внутреннего аудита;
  • комитет по внутреннему контролю и аудиту.

Служба внутреннего контроля

Служба внутреннего контроля (далее – СВК) банка создается конкретно в целях мониторинга за процессом функционирования системы внутреннего контроля в банке, выявления и анализа проблем, связанных с ее функционированием, обеспечения соблюдения всеми сотрудниками организации при выполнении своих служебных обязанностей требований законодательства, а также обеспечения контроля за минимизацией банковских рисков, в том числе рисков, связанных с конфликтами интересов, возникающими в процессе жизнедеятельности банка.

Основной функцией СВК в банке, если сказать в общем плане, должна стать функция создания, отладки и поддержания всех механизмов внутреннего контроля в банке на необходимом уровне. При этом функции СВК нецелесообразно сводить только к методической работе (формирование требований к системе внутреннего контроля), однако они и не должны подменять функции других органов внутреннего контроля в банке.

При этом СВК должна обеспечивать контроль за:

  • выполнением сотрудниками банка требований законодательства и нормативных актов регулирующих органов;
  • адекватным определением во внутренних документах и соблюдением процедур и полномочий при осуществлении любых операций, при принятии любых решений, затрагивающих интересы банка, его собственников и клиентов;
  • выполнением процедур эффективного управления банком своими рисками;
  • сохранностью активов и адекватным отражением проводимых операций в бухгалтерском и управленческом учете банка;
  • эффективным функционированием всех звеньев системы внутреннего контроля банка.

Для эффективной работы СВК банка необходимо обеспечить особый статус ее сотрудников (контролеров). Контролер должен иметь безусловную возможность доступа ко всей бухгалтерской и прочей документации, к электронным базам данных и к данным на бумаге. При этом режим доступа к информации должен быть таким, чтобы исключалась возможность корректировки данных контролером.

Контролер должен быть независим от деятельности, которую он проверяет. Недопустима зависимость контролера от проверяемой деятельности, обусловленная тем, что он ранее работал в проверяемом подразделении. Недопустимо также наличие менее очевидных связей: работа в настоящее время или в прошлом в проверяемом подразделении родственников, возможность пользоваться какими-либо услугами проверяемого подразделения и др.

Контролер не должен административно зависеть также от исполнительных органов банка. Это очень важный принцип, несоблюдение которого приводит к созданию недееспособной СВК.

Контролер должен обладать полномочиями приостанавливать операции (сделки) банка в случае обнаружения в них грубых нарушений, которые могут привести к убыткам или дополнительным рискам для банка. Это право должно быть зафиксировано в Положении о СВК и внутрибанковских должностных инструкциях.

При проведении административно-правового, управленческого, организационно-управленческого и финансового контроля необходимо постоянно обращать должное внимание на выполнение следующих принципов.

  • 1. Деятельность каждого участка банка должна контролироваться путем применения следующих, в частности, стандартных методов:
    • метод "четырех глаз", означающий, что любую значимую операцию проводят два сотрудника банка, один из которых является контролером;
    • нумерации документов, предполагающей, что отчетные документы брошюруются и нумеруются по порядку;
    • ограничения доступа посторонних лиц к документам и ценностям;
    • периодической сверки вычислений, полученных независимым путем.
  • 2. Каждая проведенная операция должна оставлять "аудиторский след", что предполагает документальное подтверждение такого факта, т.е. фиксирование в первичных документах, бухгалтерских документах, в проводках, в описательных документах и т.д.
  • 3. Контролер должен иметь возможность влиять на ход операции. Инструктивно должно быть закреплено право контролера при известных рисковых обстоятельствах приостанавливать проведение операции (сделки), при этом должны быть четко регламентированы эти самые обстоятельства – условия, наличие которых дает контролеру право и (или) даже обязывает его распорядиться о приостановлении соответствующей операции.
  • 4. Для каждой операции должен быть определен порядок ее санкционирования, т.е. следует указывать полномочия конкретных ответственных лиц, которые могут давать разрешение (согласие, распоряжение, указание, приказ) на выполнение операций (группы взаимосвязанных операций).

Аналитический контроль, как уже отмечалось, предполагает выявление отклонений фактических параметров прежде всего финансовой деятельности банка от должных (ожидаемых) и выяснение их причин. Для этого используются финансово-экономические показатели, различные коэффициенты, методики их расчета, а также требуемые (нормативные, плановые) значения указанных показателей и коэффициентов. При этом особые сотрудники банка должны вести регулярный мониторинг значений и динамики данных показателей и коэффициентов и в случае их отклонения от должных значений немедленно сообщать об этом руководителям банка, включая коллегиальные органы управления, имеющие право по своему положению в организации принимать управленческие решения, которые должны будут "ввести" значения таких показателей в необходимые рамки.

СВК обязана выборочно проверять соблюдение указанных должных показателей, имея в виду прежде всего наиболее значимые для банка финансово-экономические показатели (например, правильность начисления резервов под те или иные рисковые активы), а также вести регулярный контрольный мониторинг за тем, как в подразделениях поставлен и ведется аналитический контроль.

Каждый сотрудник СВК в процессе своей работы периодически оказывается в "оппозиции" к сотрудникам проверяемых подразделений. Это неизбежное обстоятельство несет в себе зародыш конфликта, который может вылиться в неприязнь и отторжение коллективом банка сотрудников контролирующих подразделений, что может сильно затруднить проведение контрольных мероприятий и снизить эффективность системы внутреннего контроля в целом. Чтобы этого не произошло, необходимо создание в коллективе банка климата, объединяющего всех, в том числе сотрудников контролирующих служб, вокруг единой цели (целей).

Отдельной функцией СВК является участие в согласовании внутрибанковских нормативных актов и процедур. Данная работа представляет собой фактически предварительный контроль, поскольку в ходе ее определяются, с одной стороны, алгоритмы действий работников, с другой – алгоритмы функционирования контрольных механизмов, призванных предупредить нарушения указанных правил действий работников.

СВК, участвуя в согласовании проектов внутрибанковских нормативных актов и процедур, должна изучать наличие и достаточность этих контрольных механизмов, а затем соответствие описанных в проектах действий работников банка требованиям нормативных актов, т.е. тем самым выполнять уже упомянутые функции (проверять на соответствие и контролировать наличие должного контроля). Понятно, что все согласуемые документы должны проверяться на соответствие нормам законов, правовых актов Банка России, а также международных актов.

Служба внутреннего аудита

Важную роль в системе внутреннего контроля банка может и должен занимать аудит. Аудит банков (внешний) имеет ряд особенностей, которые требуют наличия специализированных аудиторских организаций. Дело в том, что при аудиторских проверках банков и других КО должны рассматриваться самые различные стороны экономической деятельности как самих банков (НКО), так и их клиентов. Это налагает на банковских аудиторов особую ответственность, требует от них особой квалифицированности, объективности и соответственно достоверности конечных выводов.

Практика аудиторских обследований банков показывает, что важным условием успешной деятельности аудиторов является взаимная заинтересованность как проверяемого банка, так и проверяющих лиц в обеспечении достоверности учета и отчетности, в выявлении и устранении причин, мешающих банку достичь более высоких результатов деятельности. Аудитор – лицо, обладающее специальными знаниями, ему должны быть присущи не только высокий профессионализм, но и такие качества, как объективность и честность, умение соблюдать коммерческую тайну, доброжелательность и лояльность по отношению к проверяемым и ряд других черт.

Аудиторы вправе, в частности:

  • проверять все бухгалтерские, денежные и другие первичные документы, наличие денег, материальных ценностей и ценных бумаг в кассе, хранилище, у подотчетных лиц, регистры бухгалтерского учета, отчетность, сметы и другие документы по денежным, расчетным (платежным), кредитным и иным операциям банка;
  • знакомиться с приказами, распоряжениями правления банка и его председателя, протоколами заседаний совета и правления банка;
  • требовать предоставления всех необходимых документов, а также справок, расчетов, копий отдельных документов для приобщения к акту;
  • получать устные или письменные объяснения по вопросам, возникающим в ходе проведения аудита;
  • осматривать кассовые помещения, кладовые и другие служебные помещения, места и условия хранения ценностей в целях выяснения соответствия их необходимым требованиям.

Что касается обязанностей аудиторов, то они определяются на основе поставленных перед ними задач (в рамках норм законодательства). Основная их обязанность заключается в том, чтобы при выявлении фактов неправильного ведения банковских операций, нарушений установленного порядка бухгалтерского учета, злоупотреблений и т.д. точно определить размер причиненного банку или государству (бюджету) ущерба, выяснить причины вскрытых нарушений, должностных или ответственных лиц, виновных в данных нарушениях. В связи с этим аудитор несет ответственность также за неправильное освещение действительного состояния дел в обследуемом банке, преднамеренное искажение фактов или сокрытие выявленных нарушений или ошибок, допускаемых работниками.

В принципе то же самое относится и к деятельности внутренних аудиторов, хотя их основная задача – в ходе проверок выявлять моменты несоответствия реальной деятельности организации требованиям законодательных и нормативных актов, а также контроль за ходом исправления указанного рода несоответствий. Определенные функции внутренних аудиторов выполняют и ревизорские группы при бухгалтериях крупных банков, подчиненные главному бухгалтеру или финансовому директору, однако функции внутренних аудиторов шире.

Некоторые функции внутреннего аудита называются хозяйственным аудитом. Хозяйственный аудит заключается в систематическом анализе хозяйственной деятельности КО и проводится для определенных целей. Обычно он преследует три цели:

  • оценка эффективного управления;
  • выявление возможностей улучшения хозяйственной деятельности;
  • выработка рекомендаций, касающихся улучшения рыночной деятельности или дальнейших действий в более широком плане.

Внутренний аудит банка – это, по сути, аудит системы внутреннего контроля банка и в этом качестве являет собой часть самой системы внутреннего контроля. Функция аудита системы внутреннего контроля должна быть подотчетна высшему руководству банка в лице совета. Для этого совет (или специальный комитет в его составе) следует своевременно информировать о выявленных недостатках в данной системе и представлять на его рассмотрение рекомендации по совершенствованию ее работы.

Комитет по контролю и аудиту

Для регулярного мониторинга факторов и значений рисков внутри банка целесообразно в рамках корпоративного управления создать комитет по внутреннему контролю и аудиту . Создание такого комитета делает возможным детальное и регулярное рассмотрение и обсуждение проблем, связанных с внутренним контролем и аудитом, и позволяет уделить им необходимое внимание. При этом рекомендуется включать в состав комитета наряду с сотрудниками банка, отвечающими за ключевые направления бизнеса, не работающих в банке специалистов, хорошо разбирающихся в вопросах финансовой отчетности и внутреннего контроля.

Общим результатом функционирования системы внутреннего контроля банка должна являться рациональная организация непрерывного и постоянного контроля его собственно банковской и административно-хозяйственной деятельности, имея в виду разные ее уровни – от рабочего места отдельного сотрудника и от производства отдельного продукта (оказания отдельной услуги) до итоговых параметров деятельности организации в целом.

Контрольные службы: варианты организационного построения

Место, роль и функции контролирующих подразделений банка должны быть определены: в концепции организации внутреннего контроля в банке; в положениях о данных подразделениях; во внутренних регламентирующих документах банка, в которых наряду с описанием порядков работы и взаимодействия между соисполнителями в необходимых случаях указывается порядок контроля за данным направлением работы.

В частности, СВК в банке структурно может быть организована двумя способами. В первом случае она может включать в свой состав подразделения внутреннего контроля, внутреннего аудита, подразделение, занимающееся управлением рисками, а также ряд других аналитических и контролирующих подразделений банка. В этом случае фактически речь идет о многофункциональном департаменте, который должен охватывать различные аспекты деятельности всей организации.

Во втором случае СВК может быть создана как отдельное структурное подразделение в составе банка, взаимодействующее с другими контролирующими подразделениями. При таком варианте СВК должна быть наделена соответствующими полномочиями и правами.

Целесообразно, как это формально и имеет место в большей части российских банков, объединение двух подсистем – контроля и аудита – в единую систему и единую организационную структуру внутреннего контроля, но при условии четкого разделения обязанностей между ними. При таком подходе функции организации и осуществления собственно контроля должны быть поручены подсистеме контроля (СВК в узком понимании этого органа), а оценку ее качества на постоянной основе могла бы вести подсистема внутреннего аудита (далее – СВА). Главная задача СВА при этом – оценка качества (эффективности) системы внутреннего контроля. Для этого данная служба должна быть организована таким образом, чтобы ограничить ее влияние на создание системы внутреннего контроля лишь оценкой ее качества.

Выбор варианта структурной организации зависит в первую очередь от особенностей банка, наличия в нем соответствующих ресурсов, сложившейся практики его деятельности. Однако в обоих случаях цели, функции и методы работы СВК должны быть в главных чертах идентичными и не должны нарушать технологического уклада банка.

Руководитель Службы внутреннего аудита АО «Самрук‑Энерго»

Руководит Службой с 2012 года. Член международного Института внутренних аудиторов (IIA). Владеет международным сертификатом внутреннего аудитора CIA, Дипломом Международного Института Аудита и Менеджмента IFA (DipIFA), международным сертификатом САР ЕССБА.

В условиях современной экономической ситуации, когда и внешняя, и внутренняя среда Компании сталкиваются с рисками самого широкого спектра, мы осознаем важность роли внутреннего аудита в достижении стратегических целей Компании. Сегодня внутренний аудит Компании является действенным инструментом, предназначенным для выявления возможностей повышения эффективности деятельности Компании.

Наша Команда внутренних аудиторов состоит из квалифицированных опытных специалистов.

Деятельность Службы внутреннего аудита построена на Международных основах профессиональной практики внутреннего аудита и признана соответствующей Международным профессиональным стандартам внутреннего аудита.

Применяя свои навыки и знания, мы привносим пользу Компании путем предоставления независимых и объективных гарантий и консультаций, направленных на совершенствование систем управления рисками, внутреннего контроля и корпоративного управления в Компании и ее ДЗО.

Служба функционально подотчетна Совету директоров Компании, административно – Правлению Компании. Курирование деятельности Службы осуществляется Комитетом по аудиту. Руководитель и работники Службы назначаются Советом директоров.

В 2016 г. численность Службы составляла 7 человек.

Внутренние аудиторы на постоянной основе осуществляют непрерывное профессиональное развитие. Так, работники Службы владеют международным сертификатом внутреннего аудитора CIA, дипломами Международного института аудита и менеджмента IFA (DipIFA), международным сертификатом САР ЕССБА, дипломами института финансовых менеджеров Великобритании (DipPIA и DiPCPIA).

Основными функциями Службы внутреннего аудита являются:

  • Оценка рисков, адекватности и эффективности внутреннего контроля над рисками в сфере корпоративного управления, операционной (производственной и финансовой) деятельности Компании и ее ДЗО, а также их информационных систем;
  • Проведение в установленном порядке оценки (диагностики) системы корпоративного управления в Компании и ее ДЗО, включая оценку внедрения и соблюдения принятых принципов корпоративного управления, соответствующих этических стандартов и ценностей в Компании и ее ДЗО;
  • Проверка соблюдения требований законодательства Республики Казахстан, международных соглашений, внутренних документов Компании и его ДЗО, а также выполнения указаний уполномоченных и надзорных органов, решений органов Компании и ее ДЗО, а также оценка систем, созданных в целях соблюдения этих требований;
  • Оценка адекватности мер, применяемых подразделениями Компании и ее ДЗО для обеспечения достижения поставленных перед ними целей в рамках стратегических целей Компании и ее ДЗО.

Годовые риск-ориентированные аудиторские планы рассматриваются и утверждаются Советом директоров Компании.

Все запланированные аудиторские задания выполнены в полном объеме.

При осуществлении своих функций Служба подтвердила Совету директоров свою независимость от влияния каких-либо лиц.

КПД Службы и ее руководителя устанавливаются с учетом стратегических целей Компании. Советом директоров Компании деятельность Службы оценена как «эффективная».

Работа с почтой доверия Компании

Служба является уполномоченным органом по рассмотрению, мониторингу и контролю за рассмотрением обращений, поступивших на почту доверия Компании. За 2016 г. поступило и рассмотрено 45 обращений.

Аудиторская компания, претендующая на право проведения аудита Сбербанка, выбирается по итогам проведения открытого конкурса. Конкурсная документация по проведению открытого конкурса по выбору аудитора утверждается конкурсной комиссией Сбербанка по закупке товаров, выполнению работ, оказанию услуг и публикуется на официальном сайте Банка. Аудиторская организация, выбранная по итогам открытого конкурса, согласовывается Правлением, Комитетом Наблюдательного совета по аудиту, Наблюдательным советом и выносится на утверждение годовому общему собранию акционеров.

Годовым общим собранием акционеров Сбербанка, состоявшимся 24 мая 2019 года, аудитором Банка на 2019 год и 1 квартал 2020 года утверждена аудиторская организация АО «ПрайсвотерхаусКуперс Аудит».

Ревизионная комиссия

Согласно пункту 1 статьи 85 Федерального закона «Об акционерных обществах» в публичном обществе Ревизионная комиссия может не создаваться, если ее наличие не предусмотрено уставом публичного общества.

Годовым общим собранием акционеров Сбербанка 24 мая 2019 года принято решение об утверждении Устава Банка в новой редакции, которым не предусмотрено образование в Банке Ревизионной комиссии. В этой связи, начиная с 2019 года, Ревизионная комиссия в Сбербанке не избирается.

Служба внутреннего аудита

На Службу внутреннего аудита возлагаются функции проверки и оценки эффективности системы внутреннего контроля, систем управления рисками, систем информационной безопасности, достоверности бухгалтерского учета и отчетности, и ряд других контрольных функций, включающих функции контроля за соблюдением процедур внутреннего контроля за финансово-хозяйственной деятельностью.

Служба внутреннего контроля

На Службу внутреннего контроля возлагаются функции по обеспечению соответствия деятельности Сбербанка законодательству, регулированию и лучшим практикам, а также по созданию и применению эффективных методов и механизмов управления риском возникновения у банка убытков из-за несоблюдения законодательства, внутренних документов банка, стандартов саморегулируемых организаций и/или применения санкций и/или иных мер воздействия со стороны надзорных органов.

Служба управления рисками (Блок «Риски»)

В целях управления рисками в Банке функционирует Блок «Риски», представляющий собой совокупность структурных подразделений банка, а также комитетов, основной функцией которых является управление рисками.

Эта статья была написана для специализированного журнала несколько лет назад, однако издание неожиданно закрылось. Текст был скорректирован в соответствии с новыми формулировками международных профессиональных стандартов внутреннего аудита. Предполагается, что он и сегодня не потерял своей актуальности и практического значения относительно вопросов представления результатов внутреннего аудита.

Представление результатов аудита, а проще говоря, написание аудиторского отчета, зачастую превращается в настоящее испытание для внутренних аудиторов. Требования к изложению материала, форматам отчетов, перечню их получателей индивидуальны для каждой компании. Компания сама принимает решение, каким должен быть отчет ее службы внутреннего аудита. Для одной компании в аудиторском отчете достаточно одним предложением указать, что нарушен такой-то внутренний регламент, и виновный будет уволен с работы. Для другой – необходима обоснованная аргументация того, что именно в результате выявленных недостатков контроля компания теряет прибыль, активы, не выполняет планы и т.д.

Итак, исходные данные: две крупные нефтяные компании – публичная американская (назовем ее WorldWideOil, сокращенно WWO) и российская (будем называть ее PetrolUnion, или PU). Обе ведут свою деятельность по всему миру, обе стремятся к росту капитализации и расширению деятельности. Ценные бумаги американской компании котируются на Нью-Йоркской фондовой бирже (NYSE), акции российской – на Лондонской (LSE). В обеих компаниях примерно равные по численности службы внутреннего аудита. Служба внутреннего аудита PU образована в 2002 г. Внутренний аудит WWO значительно старше, однако в том же 2002 г. в результате крупных слияний, которые провела компания WWO, ее служба внутреннего аудита претерпела существенные изменения и фактически была создана заново.

Отчетность о деятельности внутреннего аудита

Международные профессиональные стандарты внутреннего аудита. Стандарт 2060 «Отчетность перед высшим исполнительным руководством и Советом»

Руководитель внутреннего аудита должен периодически отчитываться перед высшим исполнительным руководством и советом о целях, полномочиях и обязанностях внутреннего аудита, а также о ходе выполнения плана работы. Отчет должен также содержать информацию о существенных рисках и проблемах контроля, включая риски мошенничества, проблемах корпоративного управления, другие сведения, необходимые высшему исполнительному руководству и Совету .

В идеале считается, что у службы внутреннего аудита должна быть двойная подотчетность: функциональная – совету директоров, точнее, его аудиторскому комитету, и административная – руководителю организации или другому руководителю (финансовому директору, контролеру…), обладающему соответствующим уровнем полномочий для того, чтобы обеспечить повседневную деятельность службы внутреннего аудита. Принято полагать, что подотчетность аудиторскому комитету совета директоров обеспечивает независимость службы внутреннего аудита.

В рассматриваемых компаниях дела обстоят следующим образом.

Административная подотчетность:

WWO: Генеральный аудитор (так называется руководитель службы внутреннего аудита) подотчетен первому вице-президенту по финансам (CFO). То есть все вопросы, касающиеся повседневной деятельности службы внутреннего аудита, решаются через CFO.

PU: Вице-президент (руководитель службы внутреннего аудита) подчинен и подотчетен непосредственно президенту компании.

Функциональная подотчетность:

По этой линии подотчетности службы внутреннего аудита обеих компаний периодически отчитываются перед своими аудиторскими комитетами. Кроме этого, руководитель службы внутреннего аудита PU ежеквартально отчитывается о результатах работы правлению компании.

Обе компании стараются следовать требованиям стандарта 2060. В PU периодичность отчетов аудиторскому комитету не установлена, носит произвольный характер, полностью зависит от плана работы комитета, где указано количество и сроки рассмотрения вопросов, касающихся внутреннего аудита. Специальная типовая форма отчета не разработана. Отчеты содержат общую информацию о характере выявленных недостатков, включая существенные риски и проблемы контроля, а также информацию о количестве проведенных проверок.

Генеральный аудитор WWO в течение года отчитывается перед аудиторским комитетом регулярно: 5-6 раз в течение года представляются отчеты о ходе выполнения годового плана (в виде схемы – status report) и один раз – отчет о работе службы внутреннего аудита за год (в виде доклада).

Отчет о работе службы внутреннего аудита за год содержит информацию:

  • о стратегии и целях в области работы с персоналом службы внутреннего аудита;
  • квалификации персонала;
  • результатах оценки качества внутреннего аудита;
  • бюджете внутреннего аудита;
  • выполнении службой внутреннего аудита ключевых показателей деятельности и метрик;
  • процессе годового планирования аудита;
  • выполнении плана аудита текущего года;
  • обновлении стратегии внутреннего аудита;
  • обосновании плана на следующий год.

Отчеты о ходе выполнении годового плана аудита представляются по форме, установленной службой внутреннего аудита и согласованной с аудиторским комитетом. Они содержат информацию:

  • о проведенных аудитах;
  • об оценке внутреннего контроля;
  • о планах менеджмента по устранению недостатков, а также о ходе выполнения этих планов.

Схематично это выглядит следующим образом:

Статус предусматривает три состояния: выполнено, выполняется, дата выполнения просрочена. В отчете эти состояния отражаются цветами «светофора», соответственно: зелеными, желтыми и красными точками.

Информация для отчетов о ходе выполнения годового плана аудита собирается из отчетов по результатам выполнения конкретных аудиторских заданий. Информация показывается объективная, но при этом «дозируется». Что это значит? Это означает, что не следует ставить в неловкое положение всех участников процесса, включая членов совета директоров; информация о недостатках не раздувается до размера «вселенской катастрофы» (как, например, любит делать современное российское телевидение), негатив не нагнетается. Все по-деловому: обнаружено то-то, планируем сделать для улучшения то-то, уже сделано то-то или не сделано то-то.

Можно вспомнить случай, как однажды руководителю службы внутреннего аудита PetrolUnion подчиненные подготовили отчет аудиторскому комитету по форме, в которой обычно делается доклад на заседании правления: хлесткие фразы о творящихся безобразиях, предрекание последствий гипертрофированных размеров – словом, картина настоящего Апокалипсиса.

Не обойтись без пояснения.

Одно дело информацию в таком виде доводить до членов правления (исполнительного органа компании), которые обязаны адекватно реагировать на сигналы внутреннего аудита, и поэтому, «чем страшнее будет повесть, тем спокойней аудиторская совесть», и другое – до членов аудиторского комитета, которые призваны осуществлять надзорные, но никак не административные функции.

Отчетность по результатам проверки: форма, содержание, сроки, получатели

Группа стандартов 2400-2440 «Информирование о результатах».

Внутренние аудиторы должны сообщать результаты выполненных заданий.

Сообщения о результатах должны содержать определения целей, объема и содержания задания, а также соответствующие заключения, рекомендации и планы действий.

Сообщения должны быть точными, ясными, объективными, ясными, конструктивными, краткими и своевременными.

Руководитель внутреннего аудита должен довести результаты задания до сведения соответствующих сторон.

Типовая форма аудиторского отчета компании WWO менялась на определенных этапах развития функции внутреннего аудита. Сейчас она определена корпоративным регламентом внутреннего аудита и аудиторский отчет выглядит следующим образом:

Рис. 1. Аудиторский отчет нефтегазодобывающей дочерней компании WorldWideOil

Фактически, отчет представляет собой заключение внутреннего аудита WWO о состоянии системы внутреннего контроля тех областей деятельности предприятия или структурного подразделения, которые подверглись проверке. Выводы излагаются кратко.

Непосредственно аудиторский отчет занимает, как правило, одну страницу. В состав аудиторского отчета в обязательном порядке включаются три приложения:

А. Оценка контроля в каждой области особого внимания (см. рис. 2);
В. Перечень недостатков контроля, выявленных в результате аудита;
С. Описание недостатков контроля и план действий менеджмента по их устранению (см. рис. 3).

Рис. 2. Приложение А к аудиторскому отчету нефтегазодобывающей дочерней компании WWO

Пояснение к рис. 2 (приложение А). Внутренний аудит WWO применяет четыре оценки контроля: положительные – эффективный, надежный; отрицательные – нуждающийся в улучшении, слабый. Для каждой оценки определены соответствующие критерии. Например, оценке «надежный» соответствует уровень контроля, которым может быть обеспечена защита от материальных потерь, искажений и ошибок, несоответствия политикам компании. При этом контролю может быть присвоена высшая положительная оценка, даже если аудиторским тестированием в нем выявлены определенные недостатки, но только при условии, что эти изъяны не приводят к искажению отчетности и не нарушают безопасности используемых информационных систем.

Как «слабый» оценивается контроль, недостатки которого существенны: важные контрольные процедуры игнорируются, не выполняются или вообще не определены менеджментом объекты аудита, что приводит к высоким рискам финансовых потерь, утечке конфиденциальной информации, неисполнению политик компании.

Приложение B фактически представляет собой содержание приложения С, т.е. в нем просто по порядку перечисляются все выявленные недостатки контроля.

Рис. 3. Приложение С к аудиторскому отчету нефтегазодобывающей дочерней компании WWO.

Приложение С. При изложении недостатков контроля внутренние аудиторы руководствуются регламентом Внутреннего аудита WWO, в соответствии с которым описание «слабых мест» должно быть кратким и точным (как правило, 2-3 предложения на каждый пример). Несущественные замечания в отчет не включаются. Обязательно указывается, какие контрольные процедуры должны осуществляться, к каким рискам приводят выявленные недочеты, какие конкретно стандарты внутреннего контроля WWO и положения других локальных нормативных актов компании не исполнены. Проект аудиторского отчета готовит руководитель аудиторской (рабочей) группы (Lead Auditor, Auditor In-Charge). Срок – к последнему дню проверки «в поле», к проведению заключительной конференции с объектом аудита. Проект отчета направляется руководству объекта аудита для окончательного согласования и включения в приложение С Плана действий менеджмента по устранению недостатков (Action Plan), в котором менеджеры излагают мероприятия для исправления ситуации. Эта часть аудиторского отчета также должна быть четко сформулирована. В ней указываются ответственные лица за исполнение и сроки устранения недостатков. Выполнение Плана контролируется службой внутреннего аудита, в том числе в ходе последующих проверок.

В связи с тем что информация о мероприятиях по устранению недостатков согласована с менеджментом объекта аудита и включена в аудиторский отчет, никакие распорядительные документы по результатам аудита (приказы, указания, в том числе корпоративного уровня) не издаются.

Срок подготовки окончательного варианта аудиторского отчета в WWO – один из показателей (метрик) оценки работы службы внутреннего аудита. Цель – 14 дней, фактически же окончательные варианты отчетов готовы в среднем через десять дней после завершения проверки!

Аудиторский отчет может формироваться с использованием специальной компьютерной программы (например, TeamMate), которая позволяет автоматически группировать замечания аудиторов в форму аудиторского отчета. Но на практике формулировки замечаний, их состав во многом определяет менеджер внутреннего аудита по направлению деятельности компании, основываясь на результатах совещаний и мнении всех участников аудиторской группы. Замечания, не попавшие в отчет, вносятся в меморандум обсуждения аудита, который также рассматривается на заключительной конференции с менеджерами объекта проверки. Все недостатки, отмеченные как в аудиторском отчете, так и в меморандуме, подлежат безусловному устранению.

Регламентом внутреннего аудита WWO определен перечень получателей аудиторских отчетов. Таковыми являются:

  • менеджеры внутреннего аудита (по направлению деятельности);
  • генеральный аудитор;
  • первый вице-президент по финансам (CFO);
  • вице-президент по контроллингу/главный бухгалтер;
  • исполнительный вице-президент по направлению деятельности;
  • внешний аудитор.

По решению руководителя аудиторской группы в рассылку могут быть включены также менеджеры всех уровней, включая вице-президентов и исполнительных вице-президентов с соответствующими функциональными обязанностями (финансы, информационные технологии, материально-техническое обеспечение и т.д.).

Первому руководителю WWO направляются отчеты только тех аудитов, по результатам которых контроль оценен как «слабый»! Перед этим они в обязательном порядке рассматриваются генеральным аудитором.

В остальных случаях ответственность за качество отчета лежит на менеджерах службы внутреннего аудита.

PU: В PU так же, как и в WWO, разработаны регламенты внутреннего аудита. Это и корпоративные стандарты внутреннего аудита, и стандарты (на уровне методик) проведения проверок по направлениям деятельности (бизнес-сегментам), в которых содержатся в том числе и требования к формированию аудиторского отчета. Так, например, согласно корпоративному стандарту изложение результатов аудиторского задания должно включать наблюдения, выводы (мнение), рекомендации и план действий. Наблюдения должны представлять факты, имеющие отношение к аудиторскому заданию. Наблюдения, необходимые для пояснения (предупреждения неверного понимания) выводов и рекомендаций внутренних аудиторов, должны быть включены в окончательное представление результатов аудиторского задания.

Аудиторские отчеты PU очень объемны, имеют массу приложений, по существу документируют ход выполнения аудиторского задания. Их и читать-то нелегко, а уж писать!..

Сложность заключается еще и в том, что служба внутреннего аудита PU включает в отчет рекомендации по устранению недостатков, в том числе и топ-менеджерам компании. Эти рекомендации оформляются распорядительными документами (приказами, указаниями), которые требуют прохождения процедуры согласования внутри компании и оказывают существенное влияние на продолжительность процесса подготовки окончательного отчета.

Понятны и требования, предъявляемые руководителем службы внутреннего аудита PU к качеству аудиторских отчетов: читать их будет президент! По сути, каждый отчет – «лицо» службы. (Очень ответственно.)

В условиях, когда любая служба внутреннего аудита объективно не может на все 100% быть укомплектована высококвалифицированными специалистами, качество аудиторского отчета попадает в прямую зависимость от количества времени, затраченного на его написание. Говорить о 10 днях на отчет не приходится! Порой процесс затягивается на несколько месяцев, и теряется одно из главных качеств аудиторского отчета – его своевременность.

Однако стоит ли кивать на PetrolUnion, когда подобное положение еще совсем недавно было свойственно службам внутреннего аудита очень крупных международных компаний.

Направляются все аудиторские отчеты президенту компании, так как руководитель службы внутреннего аудита подчинен и подотчетен непосредственно ему. После рассмотрения президент принимает решение о рассылке аудиторского отчета, т.е. определяет круг лиц, которым сообщаются результаты аудиторского задания.

Какой вариант представления отчета лучше? Решать придется самостоятельно. Статистика же такова: имея приблизительно равное количество объектов в аудиторской базе (свыше 500 у каждой компании), служба внутреннего аудита WorldWideOil проводит около 120 аудиторских проверок в год, внутреннего аудита PetrolUnion – чуть больше тридцати. И срок подготовки окончательного варианта аудиторского отчета, конечно, не единственный, но очень важный фактор для объяснения такой разницы. Казалось бы, вывод очевиден – срочно менять порядок представления результатов аудита, упростить структуру отчета и не направлять его первому лицу компании (или направлять только в исключительных случаях). Но здесь стоит задуматься об одном щепетильном моменте.

Представим себе работу внутреннего аудита в условиях более или менее отлаженной работы системы внутреннего контроля, риск-менеджмента, корпоративного управления. Это когда замечания в аудиторском отчете могут звучать примерно так: «не представлено подтверждения того, что сверка счетов за март проводилась в установленном порядке». На самом деле для системы внутреннего контроля это серьезное нарушение, и менеджеры разного уровня это прекрасно понимают. И к виновному будут приняты самые строгие меры. Но это же… момент рабочий. С такими замечаниями на самый верх идти неудобно. И что получается? Работа отлажена лучше некуда, но это не оценивается по достоинству, так как встречи с высшим руководством крайне редки, и, как говорится, со временем происходит « выпадение из обоймы». Поэтому парадокс: чем лучше результаты работы, чем четче работает весь механизм, тем уязвимее со временем позиция, а это и потеря авторитета, и далеко идущие выводы.

Порой, по-видимому, так и происходит на самом деле. Правда, это не касается вышеназванных компаний.

И в завершение. Теоретически процессы формирования и представления результатов выполненного аудиторского задания в компаниях PetrolUnion и WorldWideOil не имеют принципиальных различий, так как внутренний аудит и в той и в другой компании соответствует Международным профессиональным стандартам. Практически же эти различия существенны. Причина кроется в разных задачах, стоящих перед службами внутреннего аудита на сегодняшнем этапе развития компаний.

Первостепенная задача внутреннего аудита компании PetrolUnion – создание современной системы корпоративного управления посредством рекомендаций (в том числе топ-менеджменту), разрабатываемых по результатам аудиторских проверок, и систематического контроля их исполнения.

В WorldWideOil ситуация следующая. Развитию корпоративного управления компании, формализации процессов риск-менеджмента, внутреннего контроля поспособствовала внешняя среда (и в первую очередь – рынок ценных бумаг). Каким образом? Прежде всего, наличием соответствующего законодательства. Внутренний аудит сегодня, в основном, осуществляет проверку соответствия контрольных действий менеджеров и исполнителей принятым регламентам, что вполне соответствует требованиям Закона Сарбейнса-Оксли. В таких условиях проще стандартизировать и аудиторский процесс, и процесс представления результатов аудита. Рекомендаций по результатам проверки внутренний аудит WWO не дает. Соответствие Международному стандарту 2130 достигается путем оказания дочерним предприятиям и структурным подразделениям консультационных услуг, т.е. проведения анализа с целью выработки рекомендаций. Однако количество таких проектов в год очень незначительно, и вот уже сами аудиторы WorldWideOil жалуются на снижение эффективности, на невозможность в связи с нехваткой времени больше внимания уделять выявлению новых рисков и подготовке рекомендаций, направленных на повышение эффективности компании.

Очевидно, единого рецепта нет, но есть главный принцип: не останавливаться на достигнутом, постоянно стремиться к совершенствованию и улучшению методов и процессов.