Документирование работы внутреннего аудита.

Процесс документирования приводит к созданию рабочей документации. Любое ПВА выигрывает от внедрения оптимальной системы документирования работы в рамках аудиторских проектов. Наличие такой системы имеет ряд следующих существенных плюсов:

– Контроль качества выполнения работы на проекте. Существует две ситуации, когда наличие рабочих документов однозначно позитивно сказывается на повышении качества работы аудиторов. Во-первых, руководителю ПВА, в состав которого входит более шести-семи аудиторов, сложно контролировать ход работы без использования рабочей документации. Во-вторых, руководитель ПВА должен обязательно культивировать документирование, если в проекте участвуют новые сотрудники, возможности которых еще до конца не ясны. Компромиссным вариантом является контроль исполнения работы со стороны более опытных сотрудников. Тем не менее документирование обеспечивает более объективную оценку действий новых сотрудников.

• Тренировка коммуникативных и аналитических навыков. По сути, у многих сотрудников, особенно не участвующих в формировании отчета, нет иной возможности совершенствовать свои коммуникативные (в большей степени) и аналитические навыки, кроме как в процессе составления рабочих документов. Также это позволяет заранее выявлять слабые места в подготовке сотрудников ПВА и своевременно организовывать их обучение.

• Доказательство позиции по результатам аудита. Документирование способствует формированию более целостных и качественных доказательств, так как заставляет аудитора формировать и проверять причинно-следственные связи в ходе работы.

• Соблюдение принципа воспроизведения. Один из фундаментальных принципов методологии внутреннего аудита. Для его соблюдения необходимо обеспечить возможность любому сотруднику ПВА повторить работу другого сотрудника ПВА и прийти к тем же выводам. Без документирования работы сделать это практически невозможно. Объем и прочие характеристики документирования для соблюдения принципа воспроизведения могут определяться индивидуально для каждого объекта аудита и могут быть частью унифицированной методологии. Выбор во многом остается за руководителем ПВА.

• Формирование статистической базы. В данном направлении особых ограничений нет. Однако в первую очередь имеет смысл создавать базу по рискам, выявленным в ходе проектов, особенно тем, разобраться с которыми в ходе проекта не удалось. Это позволяет более осмысленно формировать тематику последующих аудитов как того же объекта, так и сопоставимых объектов аудита. Кроме того, наличие статистической базы определенным образом автоматизирует последующие проекты аудита, в первую очередь за счет устранения необходимости заново устанавливать все причинно-следственные связи. Например, по результатам аудита процесса «Персонал» было установлено, что основная причина текучести на предприятии заключается в низком уровне оплаты труда. При следующем аудите того же или другого процесса на том же предприятии при сохранении того же уровня текучести достаточно убедиться в отсутствии других причин и сохранении того же уровня оплаты труда, чтобы сделать вывод. Кроме того, выявленные причинно-следственные связи можно в первую очередь проверять при аудите сопоставимых объектов. Мощная статистическая база может упростить аудиторский процесс вплоть до аудита, полностью построенного на использовании чек-листа.

• Обеспечение соблюдения принципа преемственности. При отсутствии документирования в случае полного или существенного изменения команды внутреннего аудита большая часть ранее достигнутого утрачивается. Таким образом, с одной стороны, обеспечение принципа преемственности – это задача акционеров (для поддержания тонуса системы внутреннего контроля), с другой стороны – задача менеджмента, для сохранения потенциала института агентов изменений (аудит чаще многих других функций выступает с предложениями об изменениях). Парадокс заключается в том, что те и другие вряд ли представляют себе влияние документирования на обеспечение выполнения данных задач.

Что касается существенных минусов документирования, то по большому счету минус только один – эффективное документирование требует существенных затрат ресурсов. Например, с точки зрения времени документирование работы по аудиту процесса может занять в среднем 60–80 % времени, затраченного на выполнение самой работы. И это не считая времени устранения замечаний в рабочих документах по результатам их просмотра руководителем команды аудиторов.

Также хотелось бы обратить внимание на несколько нюансов, которые могут повысить эффективность и качество документирования.

Нюанс 1. Весьма полезно использовать перекрестные ссылки в рабочих документах. Такие ссылки в большинстве случаев представляют собой пометки, которые позволяют оперативно перемещаться между рабочими документами, имеющими причинно-следственные связи либо использующими взаимосвязанную информацию. Перекрестные ссылки можно проставлять как вручную (если рабочая документация готовится в бумажном виде), так и электронным способом (если рабочая документация готовится с использованием компьютерных программ). Варианты использования перекрестных ссылок весьма разнообразны, например ссылка из описания процесса на матрицу (для указания конкретного риска в конкретном месте процесса), из таблички с описанием теста на пункт отчета (для ускорения поиска деталей расчета, описанного в тесте).

Нюанс 2. Чем больше объем рабочей документации, тем больше потребность в использовании унифицированной терминологии. Логика достаточно проста – чем больше документов, тем больше тратится ресурсов на их обработку. Единообразная терминология ускоряет восприятие информации и улучшает качество восприятия, а значит, позволяет экономить один из ключевых ресурсов – время.

Нюанс 3. При документировании детального тестирования (таблицы в Excel и т. д.) существует два основных подхода (выбор во многом зависит от квалификации и численности команды). Первый заключается в том, что каждый этап работы (каждый тест, каждая выборка и т. д.) аудитора документируется независимо от того, попадет данный материал в отчет или нет. Такой подход целесообразно применять в случае многочисленной команды внутренних аудиторов (более пяти – семи человек) и/или относительно невысокой квалификации участников команды.

При втором подходе документируются только те этапы, по результатам которых высока вероятность получения материалов для отчета. Другими словами, если по результатам теста выясняется, что определенные недостатки приводят к убыткам, то такой тест должен быть задокументирован. При использовании второго подхода аудитор формирует рабочие документы часто по собственному усмотрению, ориентируясь лишь на ценность материала для отчета. Основной принцип – обеспечить достаточность доказательной базы. Такой подход подойдет для скромных по размерам ПВА (не более пяти человек) и/или для команды высокопрофессиональных аудиторов.

Несколько слов об оформлении матриц рисков и контрольных процедур и тестов. В целом какие-либо правила отсутствуют. Особенности оформления определяются как соображениями целесообразности и практичности, так и вкусом и предпочтениями руководителя ПВА и/или руководителя проекта. Как минимум методология оформления матриц и тестов должна способствовать обеспечению доказательности материалов отчета. Полезно придерживаться трех описанных выше нюансов. Например, описывать контрольную процедуру в матрице аналогично описанию на схеме процесса и наоборот (соблюдение принципа унификации). Или, например, в матрице указывается пункт и подпроцесс, где находится риск или контрольная процедура, при этом пункт совпадает с пунктом по схеме (принцип перекрестных ссылок), а название подпроцесса – с названием схемы (принцип унификации). Или еще пример: в столбце матрицы «Тестирование» указывается название и номер теста по соответствующему процессу. Для этой цели в каждом процессе используется определенная нумерация тестов (принцип перекрестных ссылок).

При оформлении тестов как минимум должны указываться следующие реквизиты (см. пример шапки теста в табл. 23):

1) исполнитель – например, зная исполнителя, можно сделать ряд предположений о том, насколько профессионально проведен тест;

2) цель – помогает контролировать ход тестирования. Также позволяет оценить адекватность выводов;

3) размер выборки – дает представление об объективности выводов и возможности экстраполяции результатов на совокупность в целом;

4) программа теста – позволяет сопоставить план работы с фактом;

5) вывод – позволяет оперативно установить результат тестирования без обязательного изучения материалов теста.

_{Таблица 23. Пример оформления детального теста}

Использование вопросников самоконтроля (control checklists).

Вопросники самоконтроля (далее вопросник) представляют собой довольно специфичный инструмент. Однако они используются во многих профессиях намного чаще, чем может показаться. По сути, вопросник представляет собой шпаргалку, в которой отражены наиболее важные моменты планируемого процесса или процедуры. Он полезен как начинающим аудиторам, так и продвинутым аудиторам (например, при контроле полноты и качества работы начинающих аудиторов). Также информация из вопросников может использоваться для унификации результатов проектов внутреннего аудита, а также для формирования статистических данных определенного содержания и в определенном формате. И это далеко не исчерпывающий список вариантов применения вопросников.

Формат и содержание вопросников определяются теми задачами, которые предстоит решить. Рассмотрим вопросник, представленный в табл. 24. Он использовался для повышения квалификации начинающих внутренних аудиторов в области описания и анализа процессов, а точнее этапов процессов. Это достигалось за счет фокусирования внимания на определенных элементах системы внутреннего контроля и процесса. Начинающий аудитор заполнял несколько вопросников по ходу проекта.

_{Таблица 24. Пример вопросника самоконтроля}

Раздел 1 «Статус по ключевым целям контроля в рамках процесса» – здесь необходимо оценить, во-первых, наличие указанных целей на этапе процесса, а во-вторых, достижение этих целей системой внутреннего контроля этапа процесса. Если цель контроля является актуальной и достигается, то ставится отметка в графе «Да». Если она является актуальной, но не достигается, то ставится отметка в графе «Нет». При наличии отметки в графе «Нет» необходимо пояснить в графе «Примечания» причину отсутствия цели. Если цель контроля является неактуальной, то в обеих графах ставятся прочерки. В этом случае также необходимо пояснить причину прочерков.

Раздел 2 «Статус по системе контроля» – в данном разделе используются всего два пункта. Пометка в графе «Да» означает дублирование контрольных процедур и/или адекватное разделение полномочий. Необходимо пояснить, почему разделение полномочий адекватно. Пометка в графе «Нет» означает отсутствие дублирования контрольных процедур и/или адекватного разделения полномочий. Необходимо пояснить, почему дублирование контрольных процедур отсутствует.

Раздел 3 «Статус по эффективности процесса» – наиболее развернутый раздел, состоящий из 12 подпунктов, предназначен для всесторонней оценки фундаментальных параметров этапа процесса. Разберем каждый подпункт.

• Пункт 3.1 «Соблюдение концепции “затраты/выгоды”» в рамках процесса» – соблюдать данную концепцию – значит принимать ключевые решения из соображений экономической целесообразности. Пометка в графе «Да» означает, что решения именно так и принимаются. В этом случае необходимо пояснить на существенных примерах причину такой отметки.

• Пункт 3.2 «Соблюдение концепции Change Control – процесс способен адекватно меняться в ответ на влияние внешних и внутренних факторов» – примером такого механизма является наличие процесса изучения рынка в составе процесса «Продажи» (маркетинговые исследования и т. д.). Изучение рынка способствует многочисленным изменениям в процессе «Продажи» (например, изменение ценовой политики) и в ряде сопутствующих процессов (например, изменение линейки выпускаемой продукции). Пометка в графе «Да» означает, что концепция соблюдается. В этом случае надо пояснить, за счет чего это достигается.

• Пункт 3.3 «Распределение полномочий в процессе соответствует распределению ответственности» – за счет правильного соотношения полномочий и ответственности достигается балансировка процесса. Пометка в графе «Да» означает, что соотношение правильное. В этом случае необходимо на существенных примерах пояснить, что это так.

• Пункт 3.4 «Скорость исполнения этапов процесса адекватна» – в этом случае можно дать как субъективную оценку (исключительно мнение внутреннего аудитора), так и в определенной степени объективную оценку (например, по аналогии с сопоставимыми объектами аудита, на основании мнения экспертов). Разумеется, предпочтение отдается более объективным оценкам. Отметка в графе «Да» означает, что скорость адекватна. В этом случае необходимо пояснить, за счет чего это достигается.

• Пункт 3.5 «Достаточность ресурсов для осуществления процесса» – понятие ресурсов трактуется в расширительном смысле (кроме персонала). Отметка в графе «Да» означает, что ресурсов достаточно. В этом случае необходимо показать, что поступления ресурсов за вычетом оттока ресурсов соответствуют потребности процесса.

• Пункт 3.6 «Достаточность квалифицированного персонала для осуществления процесса» – по аналогии с предыдущим пунктом. Отметка в графе «Да» также требует пояснения.

• Пункт 3.7 «Дублирование этапов процесса» – дублирование приводит к неэффективному расходованию ресурсов. Отмечается как в рамках одного процесса, так в рамках нескольких процессов. Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.8 «Повторы этапов процессов» – также приводит к неэффективному расходованию ресурсов. Отмечается как в рамках одного процесса, так и в рамках нескольких процессов. Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.9 «Неэффективное дробление или укрупнение этапов процесса» – неэффективное дробление приводит к увеличению существенности рисков, связанных с организацией процесса (например, чем длиннее цепочка согласующих лиц, тем дольше проходит согласование). Неэффективное укрупнение этапов процесса увеличивает существенность рисков, связанных с качеством выполнения процесса (например, необходимость переключения с одного вида работ на другие виды работ может приводить к увеличению ошибок). Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.10 «Наличие механизмов самосовершенствования процесса» – к механизмам такого рода относится, например, периодическая переаттестация сотрудников. Отметка в графе «Да» требует перечисления имеющихся в процессе механизмов.

• Пункт 3.11 «Необходимость и возможность автоматизации процесса» – отметка в графе «Нет» требует привести веские доводы отсутствия как необходимости, так и возможности. Бывают ситуации, когда необходимость присутствует, а возможность нет. Такие ситуации также требуют комментариев.

• Пункт 3.12 «Наличие лучших практик» – речь идет об оценке целесообразности тиражирования различных аспектов анализируемого процесса в прочих процессах. У начинающих аудиторов заполнение данного пункта вызывает максимум затруднений, поскольку способность выявления лучших практик напрямую зависит от опыта и кругозора внутреннего аудитора. Отметка в графе «Нет» требует пояснений.

В большинстве случаев (кроме пункта 3.12) наличие отметки в противоположной графе означает, что данный аспект процесса представляет собой фактор риска той или иной степени существенности.