Кому подчиняется внутренний аудитор

Создание службы внутреннего контроля и аудита с нуля

Расскажу про личный опыт создания службы внутреннего контроля и аудита с нуля, уверен, что эта тема будет интересна как собственникам бизнеса, которые уже задумывались о создании такой службы, но по каким-то причинам откладывают такое решение, так и внутренним аудиторам, которые могут столкнуться в своей карьере с такими вызовами. Хочу сразу отметить, что в компании, о которой пойдет речь, никогда не было ни функции внутреннего аудита, ни функции контроля. Когда меня пригласили на интервью с акционерами компании и мы начали обсуждать цель создания службы, я понял, что акционерам нужна прежде всего независимая оценка того, что же происходит с их бизнесом на самом деле, насколько достоверны те отчеты – по продажам, исполнению бюджета, инвестициям, – которые им предоставляет операционный менеджмент. Компания на тот момент как раз находилась в стадии роста, и для того, чтобы поддерживать его и не перейти в стадию зрелости, компании был нужен новый импульс – кардинальные изменения как в реструктуризации процессов, так и в привлечении новых инвестиций. Одним из таких импульсов и должна была стать служба внутреннего контроля и аудита (далее СВКиА). Основная задача, стоявшая передо мной, – выстроить в компании функцию внутреннего аудита и систему внутреннего контроля (далее СВК).

Международный Институт внутренних аудиторов (IIA) дает следующее определение внутреннего аудита:

Внутренний аудит является деятельностью по предоставлению независимых и объективных гарантий и консультаций, направленных на совершенствование деятельности организации. Внутренний аудит помогает организации достичь поставленных целей, используя систематизированный и последовательный подход к оценке и повышению эффективности процессов управления рисками, контроля и корпоративного управления.

СOSO IC

Внутренний контроль — это процесс, осуществляемый советом директоров, менеджментом и сотрудниками, направленный на обеспечение разумной уверенности в достижении целей компании, связанных с операционной деятельностью, подготовкой отчетности и соблюдением законодательства и нормативных актов. По сути, была поставлена задача создать в рамках одного подразделения две конфликтующие между собой функции (контроль и аудит). В соответствии с моделью Трех линий [защиты] 1 , разработанной IIA в 2013 году, функция внутреннего контроля находится на второй линии защиты, а функция внутреннего аудита – на третьей, к тому же, в соответствии со Стандартом 1130.А1 Международных профессиональных стандартов внутреннего аудита, внутренние аудиторы должны воздерживаться от проведения оценки тех областей, за которые они раньше несли ответственность, а также предоставления гарантий в той области, за которую они отвечали в течение предшествующего года, поскольку иначе объективность и независимость подвергаются негативному воздействию. Чтобы минимизировать этот конфликт, было принято решение о разделении функции внутри службы на ВА и ВК: внутренние аудиторы не могут учувствовать в осуществлении контрольных процедур, а специалисты по внутреннему контролю не могут проводить аудиторские проверки. По мере зрелости СВК данная функция перейдет во вторую линию защиты. Этот подход был утвержден советом директоров.

Стандарт 1100 – Независимость и объективность

Внутренний аудит должен быть независимым, а внутренние аудиторы должны быть объективными при выполнении своих обязанностей. Примечание: Объективность аудитора считается нарушенной, если аудитор разрабатывает, внедряет, проектирует контрольные процедуры для систем или управляет такими системами.

Первые шаги

На этапе зарождения функции внутреннего аудита важно строго руководствоваться Международными профессиональными стандартами внутреннего аудита и применять лучшие практики в области управления функцией внутреннего аудита, доводить их важность и значимость до акционеров и высшего руководства. Был случай, когда на очередной встрече с высшим руководством мне было предложено взять в подчинение операционную функцию, т.е. подразделение, которое непосредственно занимается операционной деятельностью. И здесь было важно довести до руководства свою принципиальную позицию о том, что если внутренний аудит будет руководить операционной функцией, тогда объективность и независимость внутреннего аудита подвергнутся отрицательному воздействию, а внутренние аудиторы не смогут выполнять свои обязанности объективно и независимо в отношении этого подразделения.

Практическое указание 1130.A2-1: Ответственность внутреннего аудита за другие (неаудиторские) функции

• Проведены установочные встречи с высшим руководством и советом директоров, на которых были сформулированы ожидания от СВКиА и определены задачи и меры поддержки.
• Подготовлены и утверждены советом директоров и генеральным директором основополагающие документы (положение о СВКиА, методика проведения внутренних аудитов).

Стандарт 1000: Цели, полномочия и ответственность

Цели, полномочия и ответственность подразделения внутреннего аудита должны быть определены во внутреннем документе организации (Положение о внутреннем аудите), соответствующем определению внутреннего аудита, Кодексу этики и Стандартам. Руководитель внутреннего аудита должен периодически рассматривать вопрос о необходимости внесения изменений в Положение о внутреннем аудите и представлять Положение на одобрение высшему исполнительному руководству и Совету.

• Для понимания уровня зрелости компании в области внутреннего контроля и управления рисками, а также для формирования перечня бизнес-процессов наиболее подверженных рискам, были проведены интервью со всеми ключевыми владельцами бизнес-процессов. По результатам интервью была сформирована карта корпоративных рисков компании, которая легла в основу формирования риск-ориентированного годового плана аудита; был разработан перечень бизнес-процессов в детализации до 3-х уровней (корпоративный, операционный, транзакционный) как основа для формирования СВК.
• Параллельно была проведена работа по созданию и утверждению организационной структуры службы. Для обоснования и расчета количества сотрудников структуры были использованы инструменты из ранее полученного практического опыта: количество плановых аудитов за год в соотношении времени, затрачиваемого на выполнение одного аудита, а также аналогичный расчет в отношении отработки одного бизнес-процесса специалистом в единицу времени.
• Для усиления позиции и придания уверенности в достижении цели создания СВК, был разработан Устав проекта по созданию СВК, где основными заказчиками выступили акционеры. Устав был согласован с менеджментом и утвержден СЕО; документ был проработан до мелочей: были прописаны все риски, с которыми могла столкнуться команда, и меры их снижения; обозначены все роли, ответственные; формы и правила коммуникации с менеджментом; сроки и контрольные точки по этапам проекта были прописаны в план-графике.
• По истечении 3-х месяцев была разработана и утверждена на совете директоров стратегия создания и развития функции ВК и ВА на краткосрочный (1 год) и долгосрочный (3 года) периоды, утверждено положение о СВКиА, план аудитов на год, структура и бюджет СВКиА, методика проведения внутренних аудитов, устав создания СВК, положение о владельцах бизнес-процессов. Осталось главное – сформировать команду, которая смогла бы достичь поставленной цели.

СOSO IC

Система внутреннего контроля — это комплекс мер, принимаемых руководством компании для своевременного выявления рисков и управления ими.

Команда – основной ресурс для достижения любой цели

Сразу скажу, что на формирование полноценной команды ушло около полугода. Команда формировалась постепенно, не было цели сразу набрать полный штат высококлассных специалистов, поскольку, во-первых, это могло оказаться неоправданной нагрузкой на бизнес (с точки зрения как дополнительных расходов на ФОТ, так и нерационального распределения задач ввиду неготовности менеджмента к резким изменениям, что могло бы привести к скрытому бойкоту создания функций). Во-вторых, что крайне важно, нужно было начать работу небольшим составом, чтобы на первых шагах понять, какие ошибки могут возникнуть на начальной стадии и сколько фактически времени уходит на выполнение одного аудиторского задания или обработку одного процесса; и только после этого определиться с количеством членов команды. В-третьих, специалистов подобного уровня очень трудно найти на рынке по причине узкой специализации.

Подбор команды осуществлялся, как правило, мною лично совместно функцией HR. Были заранее проработаны профили кандидатов с необходимым набором качеств и компетенций, основные – это коммуникабельность, проактивность, клиентоориентированность и настойчивость, компетенции и опыт во внутреннем контроле или аудите, понимание структуры бизнес-процессов и главное – желание создавать что-то новое и совершенствоваться. Кандидатов искали внешних, поскольку нужны были независимая оценка и взгляд со стороны, а с новыми людьми, как правило, приходят и новые идеи.

Итак, в течение полугода с момента утверждения структуры СВКиА команда была полностью сформирована. Здесь важно отметить, что при создании функции ВА и/или СВК, особенно на начальных этапах, необходимо привлекать профессионалов высокого уровня или специалистов с очень хорошим базовым образованием. В нашем случае именно из таких людей и сформировалась команда; если брать в пропорции, то примерно 50/50.

Не буду дальше вдаваться в детали осуществления проекта СВК и становления функции внутреннего аудита (оставлю эту тему для следующей статьи), скажу лишь, что проект по созданию СВК был успешно реализован в течение 1,5 лет и передан в бизнес-подразделения компании, а становление функции внутреннего аудита было реализовано в течение 3 месяцев с момента моего прихода в компанию и до начала первой аудиторской проверки.

Основные трудности, с которыми пришлось столкнуться, и пути решения

В процессе создания СВКиА ожидаемо возникли трудности и проблемы, в основном лежащие в плоскостях организации процесса и недопонимания операционным менеджментом роли внутреннего контроля и аудита в организации. В компании, в которой никогда не было подобных функций, менеджмент реагировал по-разному: те, кто ранее сталкивались с аудитом или контролем, понимали, что эти функции нацелены на помощь акционерам и менеджменту в достижении основных целей компании, и сразу включались в процессы; некоторые же не видели смысла в новом подразделении, думая, что компания хорошо развивалась и без этих функций.

Основные пути решения этих трудностей заключаются в качественном подборе команды внутренних аудиторов и специалистов по внутреннему контролю, высокой частоте коммуникаций на всех уровнях взаимодействия между сотрудниками СВКиА и операционным менеджментом с целью объяснения пользы от совместной работы и демонстрации результатов службы высшему руководству и акционерам.

Трудности

Пути решения

Сложности в формировании команды аудиторов и специалистов по внутреннему контролю в СВКиА

Подбор специалистов с хорошим опытом работы в сфере аудита и контроля и хорошим базовым образованием

Непонимание менеджментом целей и задач СВКиА

Проведение постоянных встреч и тренингов для объяснения пользы внутреннего аудита и контроля

Закрытость менеджмента и сотрудников, недоверие к внутренним аудиторам при первых проверках

Объяснение и демонстрация менеджменту и сотрудникам, что аудиторские проверки нацелены на помощь бизнесу в совершенствовании процессов и улучшении деятельности компании, а не с целью выявления и наказания виновных

Непонимание менеджментом своей роли в управлении контрольными процедурами в своих процессах

Проведение встреч с менеджментом, выпуск статей в корпоративном журнале с разъяснениями управления контрольными процедурами

Непринятие менеджментом изменений, связанных с внедрением СВК

Формирование тона сверху у руководителей всех уровней

Основные факторы успешного создания службы внутреннего контроля и аудита

В заключение хотел бы сказать, что основными факторами для успешного создания функций внутреннего контроля и аудита, на мой взгляд, являются:

1. Наверное, самый важный фактор – желание и поддержка акционеров и высшего руководства на всех этапах создания и развития функций. Здесь многое может зависеть от ваших презентационных навыков, поскольку акционеры и высшее руководство могли ранее не сталкиваться с подобными функциями, и важно убедить их в полезности ВА и ВК для бизнеса.

2. Планирование создания и развития функции в строгом соответствии с Международными профессиональными стандартами внутреннего аудита на 3-хлетний период, детальное – на 1 год.

3. Команда, которая не подведет и достигнет результата.

4. Проактивная, последовательная и настойчивая реализация плана по созданию и развитию функций.

5. Создание атмосферы взаимопонимания и поддержки внутри коллектива, мотивированного на получение результата.

Результатом синергии этих пяти основных факторов стала успешная реализации проекта по созданию службы внутреннего контроля и аудита.

1 В 2020 году Модель Трех линии защиты была переименована в Модель трех линий.

Кому подчиняется внутренний аудитор

Председатель Совета российского Института внутренних аудиторов (ИВА),
член Экспертного совета при ФСФР РФ

Службы внутреннего аудита российских компаний относительно молоды. Но независимо от того, как долго существует в компании внутренний аудит, задачей первостепенной важности, от решения которой во многом будет зависеть эффективность работы внутренних аудиторов, является формирование правильной структуры подчиненности данного подразделения.

О независимости службы внутреннего аудита

Независимость и объективность — качества, отличающие службу внутреннего аудита от других подразделений. Под независимостью понимается организационная независимость, которая в значительной степени определяется уровнем подчиненности службы внутреннего аудита в компании. Объективность подразумевает такое личностное качество внутреннего аудитора, как беспристрастность в оценках и выводах. При этом независимость внутреннего аудита важна не сама по себе, а как первоочередная предпосылка объективности, поскольку степень организационной независимости службы внутреннего аудита оказывает непосредственное влияние на объективность внутренних аудиторов.
Абсолютная независимость внутреннего аудита вряд ли достижима, поскольку внутренние аудиторы являются сотрудниками компании и их профессиональный и карьерный рост зависит от руководства компании. Говоря о независимости, мы имеем в виду создание такой структурной подчиненности, при которой менеджмент компании не будет оказывать непосредственное давление на внутренних аудиторов.
Комитет спонсорских организаций Комиссии Тредвея (COSO) в своих «Концептуальных основах управления рисками организаций» подчеркивает, что «подразделение внутреннего аудита организуется таким образом, чтобы обеспечивалась его объективность в оценке деятельности организации и неограниченный доступ к высшему руководству и аудиторскому комитету совета директоров, а уровень подчинения главного аудитора в рамках организации должен позволять подразделению внутреннего аудита эффективно выполнять свои функции»1.
Выполнению этой задачи в наибольшей степени отвечает функциональное подчинение службы внутреннего аудита совету директоров (комитету по аудиту) компании. «Для того чтобы внутренний аудит мог выполнять свои обязанности, руководитель внутреннего аудита должен быть подотчетен руководителю соответствующего уровня в организации. […] В идеальном случае руководитель внутреннего аудита должен быть в функциональном подчинении у совета директоров (наблюдательного совета) и в административном подчинении у генерального директора организации»2.
Если в компании нет совета директоров или аналогичного органа, службу внутреннего аудита следует подчинить и функционально, и административно высшему исполнительному органу компании.
Как показал недавний опрос крупных российских компаний, проведенный совместно российским Институтом внутренних аудиторов (ИВА) и российским отделением Ассоциации аудита и контроля информационных систем (ISACA) в 2005 г.3 , в последнее время наблюдается заметный рост числа компаний, в которых внутренний аудит функционально подотчетен совету директоров или комитету по аудиту. Около 45% руководителей служб внутреннего аудита (СВА) предприятий, принявших участие в опросе, функционально подчиняются комитету по аудиту или непосредственно совету директоров. Безусловно, следует принимать во внимание специфику предприятий-респондентов: большая часть из них уделяет серьезное внимание внедрению передовых подходов в области корпоративного управления, многие представлены на иностранных и российских фондовых биржах или планируют размещение ценных бумаг на бирже в недалеком будущем.

Кому подчиняться?

Заметим, что вопрос подчиненности руководителя службы внутреннего аудита как способа обеспечения независимости внутреннего аудита является одним из наиболее дискуссионных в практике деятельности как российских, так и иностранных внутренних аудиторов. На вопрос «кому должен подчиняться внутренний аудит, чтобы быть максимально эффективным?» нет универсального ответа. Ответ определяется сочетанием многих факторов, среди которых выделим профессионализм совета директоров и компетентность менеджмента, характер взаимоотношений и степень взаимодействия совета директоров и исполнительных органов компании, уровень развития корпоративной культуры в компании.
Немаловажным является и то, какие задачи решает в компании внутренний аудит. Если его основной задачей является осуществление контрольно-ревизионной деятельности, то логичным представляется подчинение высшему исполнительному руководству компании, поскольку в данном случае служба внутреннего аудита есть инструмент контроля над деятельностью менеджмента со стороны высшего исполнительного руководства.
В случае если внутренний аудит рассматривается как компонент системы корпоративного управления, позволяющий совету директоров (комитету по аудиту) эффективно выполнять свои обязанности, оправданным видится подчинение внутреннего аудита именно совету директоров (комитету по аудиту). Совет директоров (комитета по аудиту) способствует обеспечению максимальной степени независимости внутреннего аудита от менеджмента компании. Со своей стороны внутренний аудит (наряду с внешним аудитором) позволяет совету директоров сохранять достаточную степень независимости от менеджмента в вопросе получения информации о деятельности компании. Очевидно, что эти вопросы взаимосвязаны, поскольку роль объективного источника информации для совета директоров (комитета по аудиту) внутренний аудит сможет выполнять лишь при условии максимальной независимости от исполнительного руководства (включая вопросы назначения на должность, вознаграждения, оценки работы руководителя и сотрудников службы внутреннего аудита и т. п.).
В качестве справочных приведены данные о функциональной подчиненности/подотчетности СВА по результатам ряда исследований, проводившихся среди крупных российских и иностранных компаний частного сектора (см. таблицу).

Функциональная подчиненность/подотчетности СВА в иностранных (исследования NACD и IIA) и российских (исследования ИВА-РИД и ИВА-ISACA) компаниях

Национальная ассоциация корпоративных директоров США (NACD), 2000	Международный Институт внутренних аудиторов(IIA), 2003	ИВА-РИД, 2003	ИВА-ISACA, 2005
Совету директоров (комитету по аудиту)	29%	53%	37%	46%
Генеральному директору	26%	22%	48%	27%
Финансовому директору	38%	19%	15%	19%
Другое	7%	6%	8%

Когда подчинение совету директоров «не работает»?

Является ли подчинение службы внутреннего аудита совету директоров гарантией ее независимости и способствует ли оно максимизации ее полезности для компании?
Многое зависит от роли, состава и профессионального уровня членов совета директоров. Подчинение внутреннего аудита совету директоров оправданно в том случае, если, во-первых, совет директоров является самостоятельным органом, а не номинальным проводником идей и предложений исполнительного руководства организации; во-вторых, в состав совета директоров входят независимые директора; в-третьих, члены совета директоров осознают роль и значение внутреннего аудита в компании.
Однако, как показывает практика российских компаний, даже при выполнении всех этих условий подчинение службы внутреннего аудита совету директоров, к сожалению, не всегда приводит к положительным результатам. Во-первых, в некоторых случаях исполнительное руководство начинает считать внутренних аудиторов «засланными казачками», «глазами и ушами совета директоров» и не склонно выстраивать с ними эффективные рабочие отношения, что многократно усложняет работу внутреннего аудита и, безусловно, не может не сказываться на конечных результатах его деятельности. Во-вторых, есть риск, что, будучи подотчетной совету директоров, а не исполнительному руководству, служба внутреннего аудита начнет играть самодостаточную роль и станет, по сути, «бесконтрольной». Ведь совет директоров (комитет по аудиту) не может осуществлять текущий контроль (мониторинг) действий СВА. И здесь многое будет зависеть от руководителя службы внутреннего аудита компании.

Значимость фигуры руководителя СВА

На сегодняшний день во внутреннем аудите наблюдается дефицит высокопрофессиональных руководящих кадров. При этом, говоря о профессионализме, мы имеем в виду не только профессиональные знания, но и соответствующую «закалку». В случае ее отсутствия есть риск, что руководитель СВА, находясь между «молотом» исполнительного руководства и «наковальней» совета директоров, может прийти к заключению, что благорасположение менеджмента важнее абстрактных выгод от независимости. Следствием этого будет являться потеря фундаментального качества внутреннего аудита — объективности.
Обратным случаем является ситуация, когда служба внутреннего аудита, находясь «под зонтиком» совета директоров, начинает работать в «клубном» режиме, выполняя не самые сложные задания и снимая сливки, т. е. занимаясь вопросами, лежащими на поверхности и не требующими большого объема аналитической работы и порой нелегких обсуждений с менеджментом. При этом желание исполнительного руководства понять, чем занимается СВА и каков результат выполнения поставленных перед ней задач, воспринимаются не иначе, как попытка оказать влияние на деятельность внутренних аудиторов.
Поэтому так важно, чтобы руководитель службы внутреннего аудита являлся фигурой соответствующего калибра и смог завоевать доверие совета директоров и уважение менеджмента компании. Правильный выбор позволит также снять вопрос о текущем контроле за деятельностью СВА. Контроль будет осуществляться на уровне периодических отчетов руководителя СВА перед советом директоров (комитетом по аудиту) и высшим исполнительным руководством, а также в рамках участия руководителя СВА в заседаниях совета директоров (комитета по аудиту).

Учитывать специфику

В вопросе подчиненности службы внутреннего аудита следует также учитывать специфику организации. Так, во многих компаниях с существенной долей государственного участия в состав советов директоров не входят независимые директора. (Представитель государства в совете директоров, по определению, не может считаться независимым директором.) Как признают сами компании, независимые директора могут быть приглашены в советы директоров лишь в случае соответствующего решения Правительства РФ. Но даже если в состав совета директоров избираются независимые директора, их реальное влияние на деятельность совета невелико. В большинстве случаев представители государства в совете директоров голосуют единым блоком в соответствии с директивами, полученными от своих ведомств. Высшее должностное лицо (президент, генеральный директор) может назначаться напрямую главным акционером (государством), что, с одной стороны, повышает ответственность высшего должностного лица перед главным акционером, а с другой — усиливает отстраненность совета директоров от контроля за деятельностью исполнительного руководства. Кроме того, представители государства в советах директоров часто являются высокопоставленными чиновниками федерального или регионального уровней, что может привести к излишней политизированности их позиции.
Перечисленные факторы не способствуют эффективному взаимодействию совета директоров и службы внутреннего аудита в компании с существенной долей государственного участия. В самом неблагоприятном случае внутренний аудит может превратиться в некий инструмент политического воздействия, используемый отдельными членами или советом директоров в целом.
Или, например, представим достаточно распространенную ситуацию, когда владелец компании фактически управляет ею, совмещая функции собственника и менеджера. Если при этом создан совет директоров, он играет чисто консультативную роль. Оптимальной в этом случае представляется подотчетность службы внутреннего аудита владельцу компании, а не совету директоров.

Заключение

Какие выводы можно сделать?
Во-первых, вопрос подчиненности службы внутреннего аудита должен решаться с учетом специфики конкретной компании. Во-вторых, для того чтобы внутренний аудит стал неотъемлемым звеном хорошего корпоративного управления, необходимо, чтобы функционирование самих советов директоров отвечало современным требованиям. В-третьих, советам директоров (комитетам по аудиту) следует со всей тщательностью подходить к вопросу выбора (назначения) руководителя столь значимой для компании службы, как внутренний аудит.
И еще одно наблюдение из практики работы комитетов по аудиту как российских, так и иностранных компаний. Во многих случаях успех их деятельности в итоге оказывается под вопросом по причине того, что в составе комитетов не было людей, обладающих качествами и навыками, абсолютно необходимыми для эффективного выполнения обязанностей члена комитета по аудиту. К ним относятся способность комплексно смотреть на ситуацию, умение и (что крайне важно) желание задавать «неудобные» вопросы и выслушивать разные точки зрения, нацеленность на поиск решений. Именно такие качества и навыки вырабатываются во внутренних аудиторах, не говоря об их практической подготовленности в вопросах финансового учета, внутреннего контроля, анализа рисков. Вот почему внутренний аудит является прекрасной кузницей кадров для советов директоров и комитетов по аудиту, а в их составе все чаще трудятся профессионалы, имеющие за плечами богатый опыт работы внутренними аудиторами.

1. Enterprise Risk Management Integrated Framework, COSO, 2004.
2. Practice Advisories, The Institute of Internal Auditors, 2004.
3. Обзор текущего состояния внутреннего аудита в России. М.: Российский Институт внутренних аудиторов, российский филиал Ассоциации аудита и контроля информационных систем при технической поддержке компании ПрайсвотерхаусКуперс , 2005.

Внутренний аудитор в единственном лице. Особенности организации и развития функции внутреннего аудита

Автор: Наталья Зюскина, внутренний аудитор, член Ассоциации «Институт внутренних аудиторов» 1 Все больше компаний принимает решение о формировании подразделения внутреннего аудита. Кого-то к этому решению приводят возрастающие требования регулятора, кого-то – знания. Институт внутренних аудиторов активно популяризирует возможности и ценность внутреннего аудита для бизнеса. Но не все готовы сразу формировать полноценное подразделение. Причин неготовности может быть много: финансовое положение компании; отсутствие четкого понимания функционала и возможностей внутреннего аудита; неготовность собственника/ акционеров; сопротивление менеджмента. В итоге принимается решение вместо подразделения внутреннего аудита включить в организационно-штатную структуру должность внутреннего аудитора («попробуем, а там будет видно»). Как построить полноценную функцию с нуля в условиях жестких ограничений ресурсов? Возможно ли это? Сложно, но можно. Опыт показывает, что полноценная функция внутреннего аудита в компании формируется в течение 3-х лет. Начиная с 4-го года идет оптимизация и повышение эффективности. Итак, с чего начинать, куда и как двигаться, если вам необходимо создать подразделение численностью в одного работника. Алгоритм действий первого года включает в себя: 1. Определение требований 2. Подбор сотрудника 3. Регламентация деятельности 4. Планирование деятельности и планирование проведения проверок 5. Выполнение планов 6. Отчетность 7. План-фактный анализ результатов 8. Внесение корректировок.

1. Определение требований к функции внутреннего аудита и места внутреннего аудита в структуре компании

• место внутреннего аудита в организационно-штатной структуре;
• «внутренний продукт», который будет создавать внутренний аудитор;
• пользователь/заказчик «внутреннего продукта» (кто и как будет использовать результаты деятельности внутреннего аудитора).

Ошибочно полагать, что все руководители и акционеры достаточно хорошо знают и понимают, что такое внутренний аудит, каким должен быть внутренний продукт и что с этим продуктом потом делать. А если внутренний аудит — это не осознанная потребность бизнеса, а изменение требований регулятора, то в этом случае заказ от бизнеса вообще не определен.

При формировании внутреннего аудита с нуля на первом этапе этим вопросом в компании обычно занимаются главный бухгалтер, заместитель/ директор по экономике и финансам или заместитель/ директор по управлению персоналом. Надо помнить, что все эти работники – люди очень занятые, им некогда глубоко вникать в то, что такое «внутренний аудит», чем он отличается от внешнего. Эти работники привыкли к тому, что это они осуществляют контроль. Очень велик соблазн забрать новый вид контроля под себя, и возникает полное непринятие того, что кто-то может и должен будет проверять и оценивать результат их деятельности.

При определении требований к внутреннему аудиту в целом, определяется требование к профилю должности, требования к кандидату на должность и стоимость услуг внутреннего аудитора.

Формируется бюджет на организацию внутреннего аудита.

На этом этапе закладываются «подводные мины», которые впоследствии будет необходимо убирать внутреннему аудитору.

Наиболее часто встречающиеся проблемы («подводные мины»):

• неверно сформирована штатная структура: внутренний аудитор находится в административном и функциональном подчинении у одного из топ-менеджеров (нарушение принципа независимости);
• неверно определены требования к профилю должности (нарушение принципа профессионализма);
• занижена стоимость услуг внутреннего аудитора: затягивается процесс поиска сотрудника или вакансия закрывается тем, кто подходит по цене (нарушение принципа профессионализма);
• в бюджете учтены только расходы на оплату труда.

Сформировали требования, определили место в структуре компании, настало время подбора нужного сотрудника.

2. Подбор сотрудника

Так кто же он такой – внутренний аудитор в единственном лице?

Профессиональный стандарт «Внутренний аудитор» (Приказ Министерства труда и социальной защиты РФ от 24.06.2015 г. №398н) определяет цель внутреннего аудита и пять основных функций:

А. Проведение внутренней аудиторской проверки и/ или выполнение консультационного проекта в составе группы;

B. Проведение внутренней аудиторской проверки и/ или выполнение консультационного проекта самостоятельно или в составе группы;

C. Методическое сопровождение деятельности службы внутреннего аудита;

D. Руководство выполнением плана работы службы внутреннего аудита;

E. Управление (руководство) службой внутреннего аудита.

Международными профессиональными стандартами внутреннего аудита (МПСВА) определены требования к профессионализму (Стандарт 1210):

Внутренние аудиторы должны обладать знаниями, навыками и другими компетенциями, необходимыми для выполнения своих должностных обязанностей. Для выполнения стоящих перед подразделением внутреннего аудита задач, сотрудники подразделения должны коллективно(!) обладать необходимыми знаниями, навыками и другими компетенциями или получить их.

При подборе работника возможны два варианта развития событий:

1) работника находят на внешнем рынке труда (открывается вакансия);

2) работника находят на внутреннем рынке (работник назначается из числа уже имеющихся: главный бухгалтер, бухгалтер, экономист, ревизор, юрист, работник СБ, пр.).

При подборе работника необходимо помнить, что нужен сотрудник, обладающий «коллективными необходимыми знаниями». Задача: либо найти многофункционального (5 базовых функций) специалиста, либо обучать специалиста в «полевых условиях».

Как определиться с кандидатурой на закрытие вакансии?

Если открыта вакансия и организация ищет нужного работника на внешнем рынке труда, то в этом случае наиболее подходящей кандидатурой будет работник с опытом руководства подразделением внутреннего аудита. При этом обращаю внимание на тот факт, что это не просто освобожденный руководитель, а «играющий тренер». Такой кандидат на замещение вакансии сталкивался с организацией, планированием, контролем, методическим обеспечением, но и не утратил навыка оперативной работы в поле. Правда жизни в том, что такие работники обычно стоят гораздо дороже, чем кандидат просто с опытом работы во внутреннем аудите (разница от стоимости услуг начинается от 50% и выше). И такие работники ищут вакансию именно руководителя подразделения внутреннего аудита.

Плюсы закрытия вакансии внешним работником с опытом работы заключаются в том, что не надо тратить время и деньги на обучение на этапе становления функции. Работник знает, что, как, в какой последовательности надо делать.

Минусы — работник не знает бизнеса (вообще новая отрасль, особенности ведения бизнеса, особенности имеющихся коммуникаций, особенности корпоративной культуры); стоит гораздо дороже, чем заложили в бюджете.

Если на вакансию внутреннего аудитора переводят уже имеющегося работника, то в этом случае наилучшим решением будет работник, который хорошо знает организацию и экономику бизнеса и при этом сталкивался хоть в какой-то мере с учетом (бухгалтерский, управленческий).

Дополнительно на первом этапе для собственного работника будет необходимо сформировать долгосрочную программу обучения, не менее, чем на 2 года. Но здесь компания опять сталкивается с проблемой — нет компетентных сотрудников, которые знают в каком направлении, в какой последовательности и чему обучать новоиспеченного внутреннего аудитора.

В обоих случаях – будет ли вакансия закрыта внешним или внутренним кандидатом – возникнут сложности, связанные с коммуникацией.

Внешнему кандидату надо будет доказать свой профессионализм: тут и проверка на удар, и проверка на выдержку, и проверка на глубину знаний. Только пройдя все эти этапы, внутренний аудитор выходит на уровень партнерства и доверия.

У внутреннего кандидата свои этапы становления и выхода на уровень партнерства и доверия. Работник знает бизнес (по крайней мере, с точки зрения подразделения, в котором ранее работал), но не в полной мере знает и/или понимает логику взаимосвязи сквозных бизнес-процессов. У работника появляются сложности в коммуникациях (психологический барьер при проверке топ-персонала высшего звена работником среднего звена или бывшим рядовым работником). Возможен конфликт интересов в случае, когда вакансия закрыта бывшим топ-руководителем (например, главный бухгалтер назначен на должность внутреннего аудитора).

Кроме профессиональных требований есть еще один нюанс, который необходимо учитывать при подборе работника. И это нюанс – личность кандидата. Чтобы как Федор Конюхов в одиночку плыть через океан, надо быть зрелой и сильной личностью. И зрелость личности не всегда завязана только на возраст.

Наиболее часто встречающиеся проблемы («подводные мины»):

• заложена база для конфликта интересов (работник не вправе в течение 1 года проверять те направления, в которых работал ранее);
• заложена база для конфликта (принцип непредвзятости) при проверке бывшего «своего» структурного подразделения по истечении 1 года;
• обученный работник, соответствующий требованиям рынка, может уйти (и уйдет!) из организации в случае, если его мотивация не будет меняться вместе с уровнем его компетенции и профессиональных навыков (пактически не сталкивалась с ситуацией, когда комитет по аудиту или совет директоров делал запрос на соответствие уровня оплаты внутреннего аудитора уровню рынка труда).

На этапе трудоустройства может возникнуть проблема, связанная с согласованием кандидата на замещение вакансии. Необходимо делать допуск на тот факт, что подразделение, отвечающее за управление персоналом, может об этом просто не знать. До момента подписания трудового договора необходимо ознакомиться с документами, в которых может быть оговорено это условие (Положение о совете директоров, Положение о комитете по аудиту, Положение/ регламент взаимодействия с подразделением внутреннего аудита материнской компании, пр.). Не создайте почву для трудового спора в случае, когда трудовой договор заключен, а кандидатура не согласована или согласована с оговорками!

3. Регламентация деятельности

Базовый набор документов, которые необходимо разработать, утвердить и ввести в действие в течение первого года:

• Положение об организации внутреннего аудита в компании
• Кодекс этики
• должностная инструкция
• базовые стандарты внутреннего аудита (5 базовых стандартов: общие требования и положения; планирование; организация и проведение; отчетность; мониторинг)
• Программа обеспечения и повышения качества (+ Методика оценки качества).

В Положении об организации внутреннего аудита в компании определяются цели, задачи, функции, статус, порядок организации, полномочия, ответственность, лица (работники, подразделения), на которых распространяется действие документа, подчиненность, подотчетность, правила приема и увольнения, правила взаимодействия с генеральным директором, комитетом по аудиту и советом директоров, правила урегулирования спорных (конфликтных) ситуаций.

Есть два момента, которые нужно иметь в виду, регламентируя деятельность. Первое: вполне возможен вариант, когда в организации нет комитета по аудиту и совета директоров. Просто учредитель в единственном лице, он же и генеральный директор, принял решение о необходимости формирования современной системы контроля. Второе: обращаю внимание на то, что положение о подразделении не создается. Все, что определяет этот документ, в нашем случае (аудитор в единственном лице) закладывается в должностную инструкцию.

В случае, если внутренний аудитор в единственном лице принят на работу в дочернее зависимое общество (в компаниях с холдинговой структурой), то необходимо через корпоративного секретаря получить все корпоративные нормативные документы и решения совета директоров (выкопировки из протоколов заседаний в отношении каждого документа), касающиеся внутреннего аудита.

Здесь важно учесть некоторые нюансы.

Документы, в отношении которых принято решение «принять к исполнению», обычно не требуют переработки. Эти документы исполняются.

Документы, в отношении которых принято решение «принять к руководству», требуют переработки и адаптации. Документы адаптируются к условиям ДЗО 2 . Проекты адаптированных документов должны быть согласованы с подразделением внутреннего аудита УК холдинга. При наличии в компании комитета по аудиту и совета директоров,

согласованный проект документа рассматривает комитет по аудиту и утверждает совет директоров.

Не всегда нормативные документы с резолюцией «принять к руководству» возможны к исполнению так, как они этого требуют, так, как написано. Чтобы не организовать «итальянскую забастовку» целесообразно проанализировать, есть ли сложности с исполнением и необходимо ли документ адаптировать под свою компанию (Общество).

По всем вопросам, связанным с исполнением или адаптацией внутренних нормативных документов, внутренний аудитор должен руководствоваться разъяснениями соответствующего структурного подразделения внутреннего аудита в управляющей компании холдинга.

Обращаю внимание, что период становления внутреннего аудита в компаниях холдингового типа может затянуться не на один год. За это время в ДЗО может поменяться не один корпоративный секретарь. Опыт показывает, что, делая запрос корпоративному секретарю, необходимо указать, что реестры протоколов заседания комитета по аудиту и совета директоров нужно просмотреть как за текущий год, так и за 2-3 предшествующих года. Также следует обратиться к секретарю (офис-менеджер, канцелярия) с просьбой поднять переписку с подразделением внутреннего аудита материнской компании.

Кроме базовых документов, регламентирующих деятельность внутреннего аудитора, рекомендую составить программу стажировки. Этот документ не относится к обязательным, установленным требованиями МПСВА или требованиями регулятора в Российской Федерации, но это тот документ, который поможет внутреннему аудитору наиболее быстрым и эффективным образом вникнуть в суть бизнеса, суть взаимосвязи структурных подразделений и бизнес-процессов (учредители и генеральный директор ждут результат от внутреннего аудитора со сроком выполнения «вчера»). Если в компании разработаны и действуют программы адаптации и ввода в должность новых работников, то действовать нужно по установленным правилам. Если такая деловая практика не применяется, то программу стажировки разрабатывает внутренний аудитор самостоятельно.

Программу стажировки рекомендую утвердить приказом генерального директора и обязательно назначить руководителя стажировки. Программа представляет собой письменную форму договоренности между внутренним аудитором и генеральным директором о том, что и как должно быть сделано в период прохождения испытательного срока. При наличии комитета по аудиту стажировку рекомендую проходить под патронажем комитета.

Программа стажировки формируется на 3 месяца. Если внутренний аудитор уже имеет опыт работы, то программа стажировки — это первая программа первой внутренней аудиторской проверки и эту программу он формирует самостоятельно. Если работник не имеет опыта работы во внутреннем аудите, то программа стажировки должна стать введением в профессию.

У сотрудника без опыта работы во внутреннем аудите до прохождения стажировки должно быть организовано и проведено обучение: Внутренний аудит – 2 модуля, Управление рисками – 2 модуля.

4. Планирование

В первый год работы рекомендую внутреннему аудитору осуществлять свою деятельность на основании следующих базовых планов:

• план деятельности
• план проведения внутреннего аудита
• план трудозатрат.

План деятельности включает в себя план проведения внутреннего аудита. В план деятельности также включают мониторинг, методологическое обеспечение деятельности, повышение квалификации (обучение), взаимодействие с комитетом по аудиту и советом директоров (в том числе по вопросам планирования и отчетности), взаимодействие с внешним аудитором и контрольно-ревизионной комиссией (при наличии таковых), взаимодействие в рамках системы управления рисками и внутреннего контроля, СУРиВК; консультирование. План трудозатрат позволяет распределить задачи в соответствии с имеющейся нормой рабочего времени.

Программа стажировки, о которой упоминалось выше, на этапе становления внутреннего аудита с нуля может послужить базой для формирования этих планов.

Тестовое задание по завершении стажировки – создание пакета согласованных и утвержденных документов:

• Модель внутреннего аудита
• План трудозатрат
• План деятельности внутреннего аудитора
• План проведения внутреннего аудита.

Программа стажировки, о которой пойдет речь ниже, протестирована на трех различных компаниях (фуд-ритейл; оптовые продажи бензомоторной техники; DIY-сеть магазинов строительных материалов) и применялась как на этапе становления внутреннего аудита с нуля, так и при адаптации новых сотрудников подразделения внутреннего аудита. Перед началом необходимо приказом утвердить руководителя стажировки.

1-й месяц:

1. Изучение, анализ документов: учредительные документы; Положения о совете директоров и профильных комитетах; организационно-штатная структура; Кодекс деловой этики; корпоративная культура; положения об отделах; учетная политика; Политики (управление рисками, безопасности, антикоррупционная, пр.).

2. Стажировка по 1-2 дня в каждом отделе (с предварительным изучением должностных инструкций).

3. Изучение и анализ: экономика отрасли; нормативно-законодательная база.

4. Изучение и анализ внутренних нормативных документов: регламенты, стандарты, корпоративные стандарты и регламенты (ДЗО).

По завершении этапа руководитель стажировки оценивает результат. У стажера должно быть сформировано понимание системы организации, управления, регулирования и контроля бизнеса.

2-й месяц:

1. Анализ основных бизнес-процессов (на базе стажировки в отделах и изучения регламентов, стандартов).

2. Изучение карты рисков, анализ СУРиВК.

3. Анализ финансовой отчетности, отчетов ревизионной комиссии и внешнего аудитора (за период от 3 до 5 лет).

4. Анализ актов проверок внешних контролеров за период от 3 до 5 лет (ФНС, трудовая комиссия, Роспотребнадзор, МЧС и пр.).

По завершении этапа руководитель стажировки оценивает результат. На этом этапе должен быть сформирован перечень объектов аудита. Проведено ранжирование объектов аудита. Определены владельцы объектов аудита. У стажера имеется четкое понимание о СУРиВК, имеется понимание основных рисков.

3-й месяц:

1. Сформирована модель внутреннего аудита. Проведено ранжирование объектов.

2. Сформирован план деятельности внутреннего аудита.

3. Сформирован план проведения внутреннего аудита.

4. Сформирован план трудозатрат.

Результат стажировки: планы согласованы и утверждены.

Параллельно с изучением бизнеса и формированием планов должны быть разработаны документы, регламентирующие деятельность внутреннего аудита.

При формировании плана проведения внутреннего аудита в первый год работы необходимо сделать упор на те направления, в которых внутренний аудитор обладает необходимым уровнем компетенции (сделать первый срез).

При формировании плана деятельности и плана трудозатрат внутренний аудитор должен учесть обучение по тем направлениям, в которых у него нет необходимых знаний и навыков, но по которым объект аудита при ранжировании признан высокорискованным (тема и направление обучения на полгода-год должны опережать направление проверки).

При формировании плана трудозатрат внутреннему аудитору необходимо выделить время на внеплановые проверки, административно-хозяйственные операции (учет рабочего времени; организация командировок; организация обучения; обучение и аттестация по охране труда; прочие обучения, аттестации, допуски в соответствии с требованиями отрасли и т.д. и т.п.); взаимодействие с аудитором компании при обязательном или инициативном аудите финансовой отчетности; на взаимодействие с контрольно-ревизионной комиссией (при наличии таковой).

При наличии достаточного финансирования часть объектов аудита, которые при ранжировании признаны наиболее рискованными, стоит передать на аутсорсинг (внешний исполнитель), либо сформировать рабочую группу из числа работников компании для проведения аудита.

Для эффективного управления собственным рабочим временем хорошо зарекомендовала себя практика цветовой визуализации плана трудозатрат на календаре (календарь на планируемый год).

5. План-факт анализ

Это еще один инструмент, позволяющий внутреннему аудитору в единственном лице эффективно выполнять возложенные на него функции. По итогам каждого месяца и каждой внутренней аудиторской проверки необходимо проводить анализ причин отклонений.

Все системные причины, на которые внутренний аудитор не может оказывать влияния, должны быть учтены при планировании на второй год работы. Например, при планировании не были учтены планы внешних проверок: бизнес подлежит системному внешнему контролю, и этот контроль проводится в определенные сроки и в определенный период (технические ревизии и технические аудиты в системе менеджмента безопасности движения); компания включена в план проверок МЧС, Прокуратуры, Роспотребнадзора и т.д.

При формировании плана проверок на первый год работы внутренний аудитор обычно не учитывает время отсутствия руководителя объекта аудита (отпуск, обучение, аттестация и пр.), что впоследствии не позволяет своевременно завершить проверку, либо влечет изменение очередности проверок.

Завершая тему, хочу отметить, что выполнение своей функции внутренним аудитором в единственном лице на должном уровне в соответствии с требованиями профессионального стандарта и МПСВА вполне возможно. Да, надо признать, что на внутреннего аудитора в единственном лице приходится гораздо больше нагрузок, больше стресс-факторов. Он один в поле воин. И этот воин должен быть сильным, смелым и коммуникабельным.

1 Ассоциация «Институт внутренних аудиторов» (Ассоциация «ИВА»), зарегистрированная в 2000 г., является профессиональным объединением более чем 4000 внутренних аудиторов, внутренних контролеров и работников других контрольных подразделений российских компаний и организаций. Подробности на сайте www.iia-ru.ru

2 Дочернее и зависимое общество

Организация внутреннего аудита в компании

Подразделение внутреннего аудита может быть централизованным или децентрализованным. Под централизованным подразумевается, что функция и сама служба внутреннего аудита расположена в одном головном офисе и оттуда проверяет обособленные подразделения или компании, входящие в группу компаний и подчиняющиеся головному офису (компании). В данном случае необходимо отметить, что проверка может быть как удаленной, так и фактически проводимой в компании: внутренние аудиторы могут приехать обособленное подразделение или управляемую компанию для проверки.

Децентрализованный подход внутреннего аудита подразумевает, что в группе компаний служба внутреннего аудита расположена в двух и более компаниях.

Внутренний аудит в компаниях можно подразделить на несколько подходов:

• Операционный;
• Бухгалтерский;
• Комплаенс;
• Ревизионный;
• Риск-ориентированный.

Выбор приоритетного и наиболее эффективного для компании подхода основывается на отрасли компании, целях и задачах поставленных перед внутренним аудитом и реальными возможностями компании (малые компании не всегда могут себе позволить сильную службу внутреннего аудита, с высокой трудоемкостью ее деятельности и соответственно высокими затратами на ее деятельность).

Операционный подход больше направлен на анализ бизнес-процессов и систем внутреннего контроля в бизнес-процессах.

Бухгалтерский подход напоминает внешний аудит аудиторских организаций. Проверяется достоверность бухгалтерской (финансовой) отчетности, соответствие показателей, корректность и своевременность уплаты налогов.

Комплаенс подразумевает проверку полноты соблюдения внутренний и внешних правил. К внутренним правилам относятся различные внутренние регламенты, стандарты, организационно-распорядительные документы.

Ревизионный подход сфокусирован на обеспечении сохранности имущества компании. При данном подходе зачастую не анализируются бизнес-процессы, системы внутреннего контроля. Внутренние аудиторы проводят проверку на злоупотребления и халатности со стороны сотрудников компании, объекта, который проверяют.

Риск-ориентированный подход предполагает более широкую проверку процессов компании. Данный подход направлен на дополнение других подходов, нивелирование недостатков других подходов. Например, в компании объем и номенклатура закупаемых товаров и материалов определяется руководителем подразделения производственного цеха. По правилам бухгалтерского и налогового учета, внутренним регламентам нарушений выявлено не было. При использовании риск-ориентированного подхода, очевидно, что в данном случае могут возникнуть риски по злоупотреблению своими полномочиями руководителя подразделения: он может закупать материалы и товары для собственных нужд или в объеме, превышающем реальную потребность компании, что приведет к дополнительным затратам при хранении товаров и материалов.

После выбора «надстроек» (параметров) службы внутреннего аудита необходимо регламентировать ее деятельность. Внутренние регламенты направлены на информирование сотрудников службы внутреннего аудита об возможностях, при проведении внутреннего аудита, и ограничениях. Данные регламенты также важны и для других подразделений и компаний, которые в перспективе будут проверяться внутренними аудиторами.

Важность обусловлена тем, что сотрудники проверяемых подразделений и компаний, должны знать рамки при проведении внутреннего аудита и ограничения, тем самым минимизируя возможность превышения должностных полномочий сотрудниками службы внутреннего аудита.

Зачастую в компаниях применяются следующие регламенты:

• Устав (положение о) системе внутреннего аудита;
• Регламент взаимодействия с другими подразделениями;
• Взаимодействие с комитетом по аудиту (при его наличии);
• Руководство по осуществлению проектов внутреннего аудита.

После разработки и принятия внутренних регламентов система внутреннего аудита в компании готова к работе. Компании остается только выбрать, из существующего трудового состава, сотрудников с наиболее подходящими навыками, знаниями и компетенциями; либо нанять новых специалистов в данной сфере.

Список использованной литературы

1. Крышкин О. Настольная книга по внутреннему аудиту: Риски и бизнес-процессы. — Москва ООО «Альпина Паблишер», 2016- 10 с.
2. Иванов О.Б, Ленник И.А., Балабанова И.И. Разработка и внедрение автоматизированной системы проведения внутреннего аудита и контроля [Электронный ресурс] – URL: https://cyberleninka.ru/
3. Мустафин А.М. Чего ждать рынку аудита в 2020 и 2021 году [Электронный ресурс] – URL: https://www.audit-it.ru/
4. Мустафин А.М. Внутренний аудит основных средств компании [Электронный ресурс] – URL: https://www.audit-it.ru/
5. Кривко И.В. Организация службы внутреннего аудита на предприятии // Бухгалтерский учет в издательстве и полиграфии [Электронный ресурс] – URL: https://cyberleninka.ru/
6. Тахтомысова Д.А. Организация службы внутреннего аудита на предприятии //Актуальные проблемы современного менеджмента. 2015 – 118-122 с. [Электронный ресурс] – URL: https://elibrary.ru/item.asp?id=27504446