Построение и функции внутреннего аудита в хозяйствующих субъектах определяются их собственниками. Наиболее часто они создают структурное подразделение, подчиненное функционально Комитету по аудиту при Совете директоров, и оперативно Высшим органам исполнительной власти хозяйствующего субъекта. В последнее время этот процесс ускорился, в связи с требованиями растущих финансовых рынков и ужесточением конкурентной среды.
Анализ международной практики организации внутреннего аудита показывает, что службы внутреннего аудита (далее по тексту – СВА) и их сотрудники в своей профессиональной деятельности обычно руководствуются внутренними документами, разработанными в соответствии с международными требованиями, изложенными в Кодексе профессиональной этики внутреннего аудитора, разработанном Институтом внутренних аудиторов США, и созданными там же стандартами. Прокомментируем содержание этих основополагающих регламентов.
Целью Кодекса является поддержание и распространение высоких этических стандартов профессии внутреннего аудитора. Указанный документ очень важен для этой профессии, поскольку в ее основу положено общественное доверие к представляемым внутренними аудиторами гарантиям качества выполненных проверок. Он распространяется на физических лиц, оказывающих услуги внутреннего аудита, и представляет принципы деятельности внутреннего аудита и правила поведения, описывающие поведение, ожидаемое от внутренних аудиторов.
Кодекс включает в себя два основных компонента:
- принципы, относящиеся к профессии и практике внутреннего аудита;
- правила поведения, которые определяют нормы поведения внутренних аудиторов, помогают им интерпретировать и применять профессиональные принципы на практике.
Следует помнить, что тот факт, что конкретный случай не упомянут в правилах поведения, не исключает того, что он может быть не приемлем для внутреннего аудитора в конкретных условиях.
В соответствии с Кодексом внутренние аудиторы обязаны соблюдать следующие основные принципы и раскрывающие их правила поведения.
1. Независимость является фундаментальным принципом, на котором базируется профессия внутреннего аудитора. Под независимостью понимается организационная независимость от объекта проверки, характеризуемая в значительной степени уровнем подчиненности СВА.
2. Честность.
Честность внутреннего аудитора является фундаментом, на котором основывается доверие к его мнению. Поэтому аудиторы:
- 1.1. должны быть честны, добросовестны и ответственны при выполнении работы;
- 1.2. должны работать в рамках действующих нормативно-правовых актов;
- 1.3. не должны участвовать в акциях или действиях, дискредитирующих профессию внутреннего аудитора, СВА или хозяйствующего субъекта;
- 1.4. должны уважать юридически и этически оправданные цели деятельности хозяйствующего субъекта и вносить вклад в их достижение.
3. Объективность.
Объективность – это индивидуальное качество внутреннего аудитора.
Объективность состоит в том, что внутренний аудитор беспристрастен в своих выводах и оценках. Он обязан проводить взвешенную оценку всех относящихся к проверке обстоятельств, а в своих суждениях не быть подверженным влиянию собственных интересов и интересов третьих лиц.
Он не должен участвовать в деятельности, которая может повлиять на его объективность, не может принимать существенные, должен излагать в материалах все известные ему существенные факты, отсутствие которых может исказить информацию.
4. Конфиденциальность.
Внутренние аудиторы уважительно относятся к конфиденциальности полученной информации.
Внутренний аудитор не разглашает информацию, полученную при проведении проверок или оказания консультационных услуг, без соответствующих на то полномочий. Он не должен использовать конфиденциальную информацию в личных интересах или любым другим образом.
В целях обеспечения соблюдения этого принципа руководитель СВА должен разработать правила хранения и передачи рабочей документации и завершающих документов по результатам профессиональной деятельности, контролировать их исполнение.
5. Профессиональная компетентность.
Поскольку внутренние аудиторы в профессиональной деятельности применяют свои знания, навыки и опыт, они должны:
- участвовать только в тех заданиях, для выполнения которых обладают достаточными профессиональными знаниями, навыками и опытом;
- оказывать услуги только в соответствии с Кодексом профессиональной этики внутреннего аудитора;
- непрерывно повышать свое профессиональное мастерство.
Профессиональная деятельность внутреннего аудита регулируется внутренними стандартами, которые должны соответствовать основным требованиям международных стандартов, суть которых состоит в следующем.
Международные стандарты внутреннего аудита призваны обеспечить единое понимание его результатов. Они описывают внутренний аудита как процесс, определяют основные требования к его подготовке, к проведению и формированию завершающих документов, к системе подготовки и повышения квалификации внутренних аудиторов.
Международные стандарты внутреннего аудита имеют следующие цели:
- Установить основные принципы практики внутреннего аудита.
- Определить нормативную базу, лежащую в основе всего спектра услуг в области внутреннего аудита.
- Создать основу для оценки эффективности деятельности СВА.
- Способствовать совершенствованию работы СВА.
Следует подчеркнуть - международные стандарты следует воспринимать как общие указания или как отправную точку для разработки внутренних стандартов деятельности СВА, которые определяют единые требования к проведению аудиторских проверок, оформлению результатов проверок и консультационных услуг, к порядку подготовки заключительных документов, к подготовке, переподготовке и повышению квалификации внутренних аудиторов в каждом хозяйствующем субъекте.
Все внутренние стандарты деятельности внутренних аудиторов по классификации Института внутренних аудиторов подразделяются на три группы:
- стандарты качественных характеристик;
- стандарты деятельности;
- стандарты практического применения.
Стандарты качественных характеристик и стандарты деятельности имеют для СВА основополагающий характер. Они рассматривают характеристики сторон, занимающихся внутренним аудитом, его сущность и критерии оценки деятельности СВА; разрабатываются в едином варианте. Они дают, например, понятие разумной гарантии при внутреннем аудите, определяют требования к взаимодействию руководства и специалистов объекта проверки и внутренних аудиторов, компетенции штатного персонала СВА, к методикам подготовки и проведения проверки.
Стандарты практического применения имеют локальный характер. Они регламентируют порядок проведения отдельных видов аудиторских работ. Они, например, определяют требования к документированию хода и результатов внутреннего аудита, надзор над его качеством, доступ к информационным ресурсам, разделению контрольных функций, к структуре и содержанию заключительного отчета, к организации последующего контроля над устранением выявленных недостатков.
Рассмотрим основные требования стандартов качественных характеристик и стандартов деятельности (группы стандартов 1000 и 2000).
Группа стандартов качественных характеристик 1000 «Цели, полномочия и обязанности», определяет эти параметры работы внутренних аудиторов, а также характер представляемых ими услуг. В частности, подчеркивается, что они, должны регламентироваться Уставом или Положением, утвержденным представителем собственника.
Стандарт 1100 «Независимость и объективность», требует, чтобы функция «Внутренний аудит», выполняемая СВА, была независима, а внутренние аудиторы объективны при выполнении профессиональных функций. В целях реализации этих требований руководитель СВА должен быть подотчетен собственнику и / или руководителю хозяйствующего субъекта соответствующего уровня. Особо подчеркнуто, что вмешательство третьих лиц в процесс определения объема внутреннего аудита, проведения работы и представления отчетности о результатах недопустимо.
Соблюдение этих требований позволяет внутренним аудиторам быть беспристрастными и непредвзятыми в своей работе, а также избегать конфликта интересов с объектом проверки. Они, например, должны воздерживаться от проведения проверки на тех объектах, за работу с которыми несли ответственность в течение предшествующего года до перехода в СВА.
Если же, несмотря на принимаемые меры, независимость внутреннего аудитора, направленного на проверку или консультирование, подвергается давлению или может восприниматься третьими лицами как подвергающаяся отрицательному воздействию, то внутренний аудитор информацию об этом факте должен сообщить своим руководителям для принятия соответствующих мер.
Стандарт требует, чтобы деятельность СВА по фактору независимости должна оценивалась стороной, не имеющей отношения к выполнению аудиторских функций. Это могут быть как сотрудники хозяйствующего субъекта, так и внешние аудиторы и консультанты.
Стандарт 1200 «Компетентность и профессиональное выполнение работ» определяет, что внутренние аудиторы должны быть достаточно компетентны, чтобы осуществлять проверки на должном профессиональном уровне, для чего им следует обладать знаниями и навыками, необходимыми для качественного выполнения своих профессиональных обязанностей.
Стандарт допускает, что помощь внутренним аудиторам в выполнении этого требования может оказывать СВА, когда она обладает достаточными коллективными знаниями и навыками. Если этого нет, то руководитель СВА может обращаться за консультациями и разъяснениями к третьей стороне. Если и это невозможно, то целесообразно отказаться от проведения проверки или осуществления консультации.
Стандарт также подчеркивает, что внутренние аудиторы для достижения должного уровня компетенции должны обладать достаточными знаниями, позволяющими выявлять при проведении проверок признаки мошенничества, а также оценивать основные риски и методы их внутреннего контроля в области информационных технологий. В то же время стандарт не предполагает, что внутренние аудиторы должны обладать в указанных специфичных областях высокопрофессиональными знаниями. Их должно хватить для квалифицированной постановки задач на проверку перед экспертами или внутренними контролерами.
Требование профессионализма при проведении проверок в соответствии с указанным стандартом не означает отсутствия у внутреннего аудитора права на ошибку, поскольку качественное проведение им контрольных процедур не гарантирует выявление всех существенных рисков.
Профессиональное отношение к работе внутреннего аудитора проявляется на этапах определения:
- объема работы необходимого для достижения целей аудиторского задания;
- уровня риска объектов контроля, в отношении которых проводится внутренний аудит;
- оценки уровня надежности СВК объекта контроля;
- вероятности наличия существенных ошибок и искажений, несоблюдения объектом контроля нормативной правовой базы;
- выявления уровня затрат на представление аудиторских гарантий в сравнении с эффективностью потенциальных выводов.
Уровень профессионализма внутреннего аудитора характеризуется, в частности, применением им компьютеризованных методов внутреннего аудита, а также других современных методов анализа получаемой при проверках информации.
В основе профессионализма находится система непрерывного повышения квалификации внутренних аудиторов, которая должна отражаться в планах работы СВА.
Стандарт 1300 «Программа обеспечения и повышения качества внутреннего аудита» посвящен организации системы внутреннего контроля деятельности СВА и ее сотрудников. Он требует, чтобы руководитель СВА разработал и осуществил программу повышения качества проверок, в рамках которой охватываются все этапы внутреннего аудита и на постоянной основе отслеживается его эффективность.
Эта программа должна включать проведение периодических внутренних и внешних проверок качества внутреннего аудита и процесс текущего внутреннего мониторинга на предмет соответствия внутреннего аудита стандартам и Кодексу этики.
Внутренние проверки, как это предусмотрено стандартом, включают в себя:
- текущий анализ результатов проверок и деятельности СВА, проводимый ее руководителями или по их заданию;
- периодический анализ, проводимый сотрудниками СВА путем самооценки или другими сотрудниками хозяйствующего субъекта, обладающими необходимыми знаниями практики внутреннего аудита и стандартов.
Внешние оценки проводятся в соответствии с рассматриваемым стандартом, как минимум, раз в 5 лет квалифицированным и независимым аналитиком или группой аналитиков, не являющихся сотрудниками хозяйствующего субъекта.
В случае, если проведенные проверки качества внутреннего аудита подтверждают его осуществление в соответствии со стандартами, то допустимы письменные утверждения внутренних аудиторов в отчетных документах, что их деятельность «выполняется в соответствии с Международными профессиональными стандартами внутреннего аудита». При частичном не выполнении этих стандартов и Кодекса этики, когда это повлияло на объем проведенной работы или ее качество, информация об этом факте должна доводиться СВА до сведения руководства хозяйствующего субъекта.
Группа стандартов деятельности 2000 «Управление функцией «Внутренний аудит» определяет, что руководитель СВА или другое назначенное в установленном порядке лицо должен обеспечивать максимальную полезность внутреннего аудита в хозяйствующем субъекте.
Начинается эта работа с планирования. Оно осуществляется на основании проведенного анализа рисков объектов проверки, оценка которых должна осуществляться не реже одного раза в год. Проекты планов работы СВА формируются с учетом предложений Совета директоров хозяйствующего субъекта (другого аналогичного органа) и его высшего руководства. В плановые документы включаются также задания по консультированию, если по оценке руководителя СВА имеется потенциальная выгода по улучшению процесса управления рисками и деятельности хозяйствующего субъекта.
Поскольку одна из основных задач руководителя СВА – обеспечить наличие и эффективное использование трудовых и финансовых ресурсов, то в процессе рассмотрения планов он должен сообщить письменно или устно утверждающим инстанциям о возможных последствиях от ограничения требуемых ресурсов.
Проекты планов работы СВА, включающие в себя сведения о необходимом объеме ресурсов для их выполнения, а также информацию о существенных изменениях плана в отчетном периоде, представляются для рассмотрения и утверждения Совету директоров и (или) высшему руководству хозяйствующего субъекта.
Международные стандарты внутреннего аудита этой группы вменяют в обязанность руководителю СВА или другому назначенному лицу разработать политику и создать процедуры по эффективному управлению СВА и функцией внутренний аудит в целом по хозяйствующему субъекту. Руководитель СВА или функции внутренний аудит должен с целью минимизации двойной работы обеспечивать координацию деятельности всех внутренних и внешних сторон, осуществляющих по заданиям хозяйствующего субъекта контрольные и консультационные функции, а также докладывать о проделанной работе Совету директоров и высшему руководству хозяйствующего субъекта. Его систематические отчеты должны содержать информацию о полномочиях и обязанностях СВА, а также о ходе выполнения плана работы, о существенных рисках, проблемах контроля и корпоративного управления, другие важные для управления сведения.
Стандарт 2100 «Сущность работы внутреннего аудита» посвящена использованию систематизированного и последовательного подхода при оценке СВА или функцией внутренний аудит СВК и процессов управления рисками.
В области управления рисками этот стандарт подчеркивает, что оценивать риски следует в следующих направлениях:
- достоверность и полнота информации о хозяйственной деятельности;
- эффективность и результативность финансово-хозяйственной деятельности;
- сохранность активов;
- соблюдение законов, нормативных актов и договорных обязательств;
- результативность деятельности СВК;
- корпоративное управление.
Стандарт предусматривает проведение оценки деятельности СВК, в процессе оценки которой выявляется наличие у этой системы четко сформулированных оперативных и долгосрочных целей, а также задач на их соответствие целям и задачам хозяйствующего субъекта в целом.
Необходимым условием указанной работы является наличие адекватных критериев, позволяющих определить, выполняются ли СВК поставленные перед ней цели. Такими целями могут, например, быть:
- продвижение этических стандартов и ценностей в рамках хозяйствующего субъекта, оценка структуры, уровня внедрения и эффективности мероприятий и программ, относящихся к вопросам этики;
- содействие совершенствованию управления деятельностью хозяйствующего субъекта;
- эффективное обеспечение информацией по вопросам рисков и СВК соответствующих служб хозяйствующего субъекта;
- выявление неиспользованных резервов повышения эффективности работы.
Стандарт 2200 «Планирование аудиторского задания» определяет, что внутренние аудиторы обязаны разрабатывать и документально оформлять план работы, включающий цели, объем, сроки и распределение ресурсов, для каждой проверки.
Рассматриваемый международный стандарт регламентирует требования к процессу формирования цели аудиторского задания, которая должна соотноситься с результатами проведенной внутренним аудитором оценки рисков, относящихся к объекту внутреннего аудита. Аналогичные требования должны соблюдаться при формировании задания по консультированию. Объем внутреннего аудита должен быть достаточен для достижения поставленных целей.
Этот документ предусматривает, что в ходе планирования необходимо рассмотреть:
- цели деятельности объекта проверки, а также используемые им средства контроля над их достижением;
- существенные риски, относящиеся к объекту проверки, а также методы их удержания в допустимых границах;
- адекватность и результативность СВК и управления рисками объекта проверки.
Следует подчеркнуть, что если пользователями результатов проверки будут внешние стороны относительно объекта аудиторского задания, то с ними необходимо подписать письменное соглашение о ее целях, объеме, соответствующих обязанностях и других особенностях, в том числе ограничениях на распространение результатов этого задания и доступа к рабочей документации внутреннего аудитора. Определенную осторожность следует проявлять также и при проведении консультирования. В этом случае целесообразно согласовывать с заказчиками цели, объем задания, вопросы ответственности и их другие ожидания.
Цели, объем и ресурсы для выполнения аудиторского задания составляют основу плана проведения внутреннего аудита. На базе этого документа разрабатывается программа аудиторского задания, которая оформляется документально. В ней устанавливаются процедуры сбора, анализа, оценки и документирования информации при выполнении аудиторского задания. Она утверждается в соответствии с установленным у хозяйствующего субъекта порядком. Любые изменения программы должны своевременно утверждаться. Программы консультирования по форме и содержанию носят индивидуальный характер и определяются характером задания.
Стандарт 2300 «Исполнение аудиторского задания» дает общий алгоритм процесса организации и проведения проверки. В соответствии с ним внутренние аудиторы должны:
- собрать, проанализировать, оценить и оформить документально информацию в объеме достаточном для достижения целей аудиторского задания.
- провести анализ этой информации, сформулировать выводы и представить результаты выполнения аудиторского задания.
- документально оформить информацию, необходимую для обоснования выводов и результатов аудиторского задания, сформировать аудиторский файл.
Конкретные обязанности возложены этим стандартом на руководителя СВА.
- Во-первых, руководителю СВА следует разработать политику сбора и хранения документов, относящихся к аудиторскому заданию, а также их передачи внутренним и внешним сторонам. Она должна согласовываться с внутренними предписаниями хозяйствующего субъекта и нормами действующего законодательства.
- Во-вторых, руководитель СВА обязан разработать правила хранения документов, относящихся к аудиторскому заданию. Оно должны согласовываться с внутренними предписаниями хозяйствующего субъекта и нормами действующего законодательства.
- В-третьих, он должен контролировать доступ к документам, относящимся к аудиторскому заданию. Внешней стороне они могут передаваться только с одобрения высшего руководства или юридической службы хозяйствующего субъекта.
- В - четвертых, руководитель СВА обязан организовать внутренний контроль над качеством выполнения аудиторского задания.
Стандарт 2400 «Представление отчетности о результатах» требует от внутренних аудиторов представлять в обязательном порядке отчет по итогам выполнения аудиторского задания. К этому документу предъявляются следующие требования:
- окончательный отчет должен, если это необходимо, содержать итоговое мнение и /или заключение внутреннего аудитора;
- если результаты деятельности объекта внутреннего аудита удовлетворительны, то внутренним аудиторам следует отразить это в аудиторском отчете;
- при представлении результатов аудиторского задания внешним сторонам отчет должен содержать указания об ограничениях в распространении и использовании результатов;
- окончательный отчет должен быть объективным, ясным, сжатым, конструктивным, полным и своевременным.
Отчеты о ходе выполнения заданий по консультированию могут отличаться по форме и содержанию в соответствии с пожеланиями заказчика.
Стандарт подчеркивает, что, если в окончательном варианте отчета выявлена существенная ошибка, то руководитель СВА или проверки должен довести исправленную информацию до всех лиц, получивших первоначальный вариант отчета.
В случае, если при выполнении аудиторского задания выявлено несоблюдение требований стандартов, то в отчет включаются следующие сведения:
- наименование стандарта или стандартов, которые были нарушены;
- причину или причины нарушения;
- влияние выявленного факта на выполнение аудиторского задания.
Составленный отчет по результатам проверки руководитель СВА или внутреннего аудита должен в минимальные сроки довести до сведения сторон, которые могут обеспечить, чтобы результаты были рассмотрены с должным вниманием.
Перед представлением отчета внешним сторонам, если иное не предусмотрено законодательством и нормативной базой, необходимо:
- оценить потенциальный риск для объекта внутреннего аудита;
- проконсультироваться в соответствии с обстоятельствами с руководством объекта внутреннего аудита или его юридической службой;
- контролировать распространение результатов путем наложения ограничений на их использование.
По результатам выполнения заданий по консультированию также формируется отчет, который должен быть представлен заказчику. Если в ходе выполнения этой работы будут обнаружены проблемы в области управления рисками, контроля или корпоративного управления, то при их существенности они должны быть доведены до сведения Совета директоров или высшего руководства хозяйствующего субъекта.
Завершается любая проверка последующим контролем над устранением выявленных недостатков и работой менеджмента хозяйствующего субъекта в этом направлении. Систему такого контроля должен установить руководитель СВА. Она должна позволять убедиться в том, что менеджмент предпринял эффективные шаги по выполнению рекомендаций или этой проблемой занялось высшее руководство хозяйствующего субъекта. Если по мнению руководителя СВА, высшее исполнительное руководство приняло на себя риск, который может оказаться неприемлемым для хозяйствующего субъекта, то он должен обсудить с ним этот вопрос. При отсутствии взаимопонимания вопрос следует передать для решения Совету директоров хозяйствующего субъекта.
Для повышения практической значимости стандартов внутреннего аудита в хозяйствующем субъекте необходимо, как показывает опыт, соблюдать при их разработке следующие системные требования:
- целесообразность;
- преемственность и непротиворечивость (каждый последующий разрабатываемый стандарт должен опираться на предыдущий, соответствовать действующим нормативным документам и быть связан с другими, уже действующими стандартами);
- логическая стройность (четкость формулировок и ясность изложения);
- полнота и детализация (полнота охвата всех значимых вопросов изучаемого объекта);
- единство терминологической базы.
Как показала практика, в дополнение к стандартам внутреннего аудита целесообразно разрабатывать приложения, а также методики проверок различных объектов, рабочие таблицы, шаблоны документов и т.д., которые позволят обеспечить комплексный подход к проверкам. Приложения, например, могут содержать следующие разделы;
- алгоритм применения стандарта внутреннего аудита;
- описание технологий выполнения каждого этапа работы;
- перечень вопросников и аудиторских процедур;
- таблицы, схемы, рабочие документы с цифровыми примерами по использованию методик и аудиторских процедур;
- систематизированный перечень используемых при проверке нормативных документов.