Олег Крышкин - Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

• Название: Настольная книга по внутреннему аудиту. Риски и бизнес-процессы
• Автор: Олег Крышкин
• Жанр: Управление, подбор персонала
• Год: 2013
• ISBN: 978-5-9614-3157-5

Внутренний аудит обладает огромным потенциалом: он учит задумываться о построении систем, эффективном сочетании бизнес-процессов и внутренних контрольных процедур. У внутреннего аудитора есть возможность объективно разобраться в нюансах всех процессов компании и дать их владельцам рекомендации по оптимизации. Эта фундаментальная книга о том, что и как внутренний аудитор должен делать, чтобы помочь компании в достижении ее целей. Она имеет практическую направленность, дает ответы на многие повседневные вопросы внутреннего аудитора и предлагает ряд оригинальных решений сложных ситуаций, которые возникают в его работе. Автор раскрывает секреты профессии внутреннего аудитора, подробно описывает детали проведения аудита бизнес-процессов, основанного на оценке рисков. Книга в первую очередь адресована практикующим внутренним аудиторам небанковской сферы.

---

Пункт 6 – полезный пункт, позволяет спланировать проект более тщательно с учетом отсутствия ключевых сотрудников.

Пункт 7 – вряд ли вызывает сомнения в целесообразности.

Пункт 8 – позволяет оценить состояние бухгалтерского учета и достоверность данных бухгалтерского учета, которые являются одним из немногих гарантированных источников систематизированных данных о хозяйственной деятельности предприятия.

Пункт 9 – позволяет оценить динамику ключевых показателей деятельности предприятия, сформировать целостное представление об этой деятельности. Также из бизнес-плана можно почерпнуть информацию о потенциальных рисках, связанных как с бизнес-процессами, так и в целом с бизнес-средой и деятельностью предприятия. Все это помогает точнее спланировать проект внутреннего аудита.

Пункт 10 – в целом польза как в предыдущем пункте, но производственная программа дает больше возможностей по проведению аналитических процедур, т. к. содержит более детальную информацию.

Разумеется, приведенный запрос общей информации может быть дополнен другими пунктами. Главное, чтобы при этом выполнялось ключевое требование – сбалансированность и полезность запроса. Тем не менее приведенный пример способен существенно помочь команде аудиторов успешно выполнить проект.

Таблица 9. Пример запроса информации для целей аудита процесса «Управление запасами»

Комментарии к табл. 9 «Пример запроса информации для целей аудита процесса “Управление запасами”».

Пункт 1 – внутренние нормативные документы могут дать базовое представление о процессе. Единственным существенным недостатком такого рода документов, особенно в России, во многих случаях является отсутствие актуальности. По этой причине их не стоит воспринимать очень сильно близко к сердцу до тех пор, пока не будет задокументирован процесс.

Пункт 2 – на основании учетной политики можно выявить некоторые риски. Также она помогает более качественно воспринимать и интерпретировать данные бухгалтерского учета.

Пункт 3 – информация о территориальной привязке активов позволяет спланировать географию проекта. Например, если предприятие находится в одном месте, а его складские мощности в другом, то в расчетах важно учитывать организационные моменты, связанные с посещением данных мощностей.

Пункт 4 – эти данные можно получить и самостоятельно, особенно когда есть доступ, например, к данным бухгалтерского учета уже на этапе планирования проекта. Однако такой доступ есть не всегда. Кроме того, в бухучете данные в требуемом разрезе могут отсутствовать и поэтому нуждаться в дополнительной обработке. Факт невыполнения того или иного пункта запроса позволяет скорректировать план проекта, заранее продумать план действий на случай отсутствия информации.

Пункт 5 – данный пункт является продолжением пункта 3, запрашивается более детализированная информация. Разумеется, при наличии в запросе взаимосвязанных пунктов невыполнение одного из них влечет невыполнение и других. Запрос детализированной информации позволяет проводить более точечное планирование.

Пункт 6 – довольно специфичный пункт, тем не менее наличие такого рода запасов может быть дополнительным фактором ряда рисков, например риска недостаточной сохранности активов на хранении у сторонней организации.

Пункт 7 – важный пункт, указанная информация помогает составить представление об особенностях осуществления одной из ключевых контрольных процедур в рассматриваемом процессе.

Пункт 8 – полезный пункт, наличие такого рода отчетов и, что самое главное, достойное содержание таких отчетов указывает на несколько обстоятельств. Во-первых, становится понятным, какая номенклатура ТМЦ наиболее уязвима. Во-вторых, очерчивается сфера деятельности службы безопасности. В-третьих, проясняется также то, что по каким-то причинам не попало в поле зрения службы безопасности. Отсутствие таких отчетов может означать либо отсутствие такой работы, либо недостаточность запроса и необходимость иного подхода к получению информации.

Пункт 9 – процедура управления МОЛ также является частью рассматриваемого процесса. Информацию по МОЛ необходимо рассматривать в контексте прочей информации по запросу. Например, если мест хранения (МХ) больше, чем численность МОЛ, и МХ разбросаны территориально, то можно предположить, что какие-то МХ обходятся без МОЛ. Так или иначе, информация по данному пункту помогает уточнить оценку рисков процесса.

Пункт 10 – на этапе планирования важна не столько точная информация об остатках, сколько понимание, оперирует ли предприятие такого рода категориями. Неснижаемые остатки являются важным элементом системы внутреннего контроля процесса.

Пункт 11 – как и в случае с инвентаризациями, наличие или отсутствие критериев защищенности влияет на обеспечение сохранности активов. Таким образом, в данном пункте речь идет об одном из ключевых элементов системы внутреннего контроля процесса.

Пункт 12 – по аналогии с п. 10. Первоначально более интересен факт наличия или отсутствия такого рода нормативов. Как и неснижаемые остатки, нормативы естественной убыли являются важным элементом системы внутреннего контроля процесса.

Пункт 13 – по аналогии с п. 10. Важен сам факт наличия или отсутствия.

Пункт 14 – по аналогии с п. 10. Кроме того, в дальнейшем пригодится при изучении операций получения и выдачи.

Пункт 15 – является продолжением п. 9. Кроме того, как и в п. 10, наличие такого реестра и списка является плюсом для предприятия – указывает на наличие регламентации процесса.

Пункт 16 – по содержанию данного реестра можно оценить наличие и существенность рисков, присущих процессу реализации активов предприятия на сторону.

Пункт 17 – является продолжением п. 9 и п. 15. Начиная с данного пункта появляется пометка о том, что его исполнение переносится на период осуществления работ по проекту. Однако предприятие должно быть готово оперативно представить обозначенную информацию.

Пункт 18 – аналогичен по срочности п. 17. Данная информация позволяет оценить напряженность взаимоотношений между МОЛ и руководством предприятия и может указывать на ряд дополнительных рисков (например, предъявление претензий сотрудникам при отсутствии оснований, попытки повесить на сотрудников недостачи, образовавшиеся не их вине).

Как видно из рассмотренного примера, информацию по запросу можно разделить на три крупных блока:

Блок 1 – информация, необходимая для выявления и оценки факторов риска и рисков процесса;

Блок 2 – информация, необходимая для первоначального ознакомления с деятельностью предприятия;

Блок 3 – информация, необходимая для общей оценки состояния системы контроля процесса.

Правильным является такой запрос, который позволяет получить информацию, необходимую для проведения вышеуказанных мероприятий. В завершение еще раз обращу внимание на необходимость особо тщательного формирования первоначального запроса. Мало пользы от запроса, исполнение которого руководство объекта аудита просто игнорирует. Кроме того, это создает прецедент, чреватый негативными последствиями для команды внутренних аудиторов на проекте (например, игнорирование или затягивание исполнения дальнейших запросов).

Формирование матриц рисков и контрольных процедур

Ключевой целью формирования матрицы является соотнесение рисков, влияющих на деятельность объекта аудита, с системой внутреннего контроля бизнес-процессов этого объекта. В результате выявляются провалы в системе внутреннего контроля объекта аудита. Они возникают тогда, когда система внутреннего контроля упускает из виду конкретные риски. В таком случае возможны три ситуации:

1. В системе внутреннего контроля отсутствуют контрольные процедуры, направленные на оптимальное нивелирование параметров конкретного риска, например, выбор поставщика без проведения тендера приводит во многих ситуациях к выбору неоптимального поставщика.

2. Контроль воздействует на риск, однако оптимального нивелирования не достигается, например, процедура тендера вроде есть, но пул участников формируется дирекцией по закупкам, при этом база поставщиков не ведется. В этом случае также довольно часто выбирается неоптимальный поставщик.

3. Контроль способен оптимально нивелировать параметры риска, однако в силу различных причин этого не происходит, например, процедура тендера идеальна по своей структуре и содержанию. Однако для ее ускорения могут форсироваться те или иные этапы (например, сокращаться сроки приема коммерческих предложений без извещения всех потенциальных поставщиков), что в конечном итоге приводит к выбору неоптимального поставщика.