Глава 9. Осуществление проекта.

Встреча с представителями объекта аудита перед началом работ.

Такая встреча проводится на территории объекта аудита. Она преследует несколько целей, а именно:

• представить общую информацию о проекте (цели, сроки, действующие лица, задачи, используемые процедуры, порядок согласования и обсуждения результатов и т. д.);

• ответить на вопросы по проекту;

• представить участников команды аудиторов;

• познакомиться с ключевыми сотрудниками объекта аудита;

• задать общий тон проекта;

• прочувствовать атмосферу объекта аудита.

В соответствии со стандартной практикой внутреннего аудита в самом начале проекта проводится встреча команды аудиторов с руководством объекта аудита или руководством юридического лица, которое включает в себя объект аудита. Чаще встречается второй вариант. Как правило, если подразделение внутреннего аудита обладает существенным административным ресурсом в виде поддержки, как со стороны аудиторского комитета, так и со стороны топ-менеджмента компании, то процедура встречи проходит в соответствии с лучшей практикой внутреннего аудита.

Когда предстоящий проект является первым проектом для юридического лица, обычно организуется встреча с руководством объекта аудита. Также большая часть аудиторских проектов, особенно неконсалтинговых, открывается встречей с руководством объекта аудита. Наряду с политическими причинами есть элементарная необходимость лично разъяснить интересующие моменты предстоящего проекта, получить первую обратную связь на цель аудита, получить первое представление об условиях, в которых придется работать. Как и во многих ситуациях, с которыми сталкивается внутренний аудитор в процессе своей работы, данный этап проекта имеет ряд нюансов.

Вариант 1. Вы назначили встречу, и она с высокой вероятностью состоится в назначенное время, в назначенном месте и с участием обозначенных лиц, включая высшее руководство объекта аудита. Данный вариант является наиболее целесообразным, возможно не с точки зрения руководства объекта, но однозначно с точки зрения внутреннего аудита. У вас есть возможность пояснить цель, содержание и масштаб проекта, обозначить позицию по ключевым вопросам (например, необходимость перенесения отпуска для сотрудников объекта аудита на период после проекта) и часто тут же решить эти вопросы, создать требуемое впечатление о команде внутренних аудиторов, обсудить спорные моменты и ответить на вопросы руководства. Довольно часто такие встречи дают понять, чего стоит ожидать от руководства и сотрудников аудируемого объекта. Также сам факт встречи и качество принятых во время ее решений обозначает статус подразделения внутреннего аудита в глазах руководства объекта аудита. Отношение генерального директора (или иного высшего исполнительного органа) к внутреннему аудиту с высокой вероятностью транслируется на его подчиненных. Поэтому установление конструктивного контакта с генеральным директором облегчает работу по проекту в дальнейшем.

Вариант 2. Вы назначили встречу, и она с высокой вероятностью состоится в назначенное время, в назначенном месте, но без участия ряда обозначенных лиц, в частности одного или нескольких представителей высшего руководства объекта аудита. Данную ситуацию можно трактовать по-разному. В большинстве случаев это означает, что либо высшее руководство пытается оказать некоторое давление на внутренний аудит, либо предстоящий проект не входит в число приоритетных и важных событий высшего руководства в настоящий момент. Так или иначе, появляется повод задуматься. Тушеваться нет смысла, необходимо просто продолжать делать свое дело. Нередко отношение высшего руководства к проекту меняется по мере его развития, особенно когда команде внутренних аудиторов удается получить существенные результаты и они не в пользу высшего руководства.

Вариант 3. Вы назначили встречу, и она с высокой вероятностью состоится в назначенное время, в назначенном месте, но без участия обозначенных лиц. Вместо тех сотрудников, которых обозначили вы, во встрече участвуют другие сотрудники объекта аудита, порой не только не представляющие топ-менеджмент, но и не имеющие отношения к тематике проекта внутреннего аудита. Это серьезная ситуация. Иногда такое происходит вследствие накладок, что лишний раз указывает на проблемы во внутрикорпоративной коммуникации аудируемого объекта аудита. Однако в большинстве случаев это делается намеренно. В целом необходимо приложить максимум усилий, чтобы встреча состоялась до начала активных действий по проекту. Имеет смысл задействовать административные ресурсы в случае, если не удается получить комментарии по ситуации от высшего руководства объекта аудита самостоятельно. Использование административного ресурса нужно не для устрашения, а для наведения мостов, установления канала конструктивной коммуникации между командой внутреннего аудита и высшим руководством аудируемого объекта.

Вариант 4. Вы назначили встречу, однако высшее руководство или иные приглашенные на встречу лица уклоняются от участия в ней. Данная ситуация является наихудшей разновидностью варианта 3. Последовательность действий аналогична. В большинстве случаев это означает, что проект будет проходить в тяжелых условиях и вам необходимо внести корректировки в план проекта. Основная часть корректировок связана с графиком проекта, требованиям к существенности доказательств, составом команды аудиторов. В данном случае действует простое правило – если проект тяжелый, то требуются больше времени на выполнение процедур, более простая тематика аудита, более существенные доказательства (например, наблюдения должны подкрепляться фото– и видеоматериалами, устные пояснения надо дублировать в объяснительных с подписью соответствующих лиц), более высокая квалификация членов команды внутреннего аудита. Также необходимо обсудить ситуацию с пользователями результатов проекта и подкорректировать их ожидания.

Проведение интервью.

Под интервью понимается устный опрос владельца процесса или иного лица, предположительно осведомленного по тематике, интересующей аудитора (далее оппонент). Почему используется формулировка «предположительно осведомленный»? Да потому что нередки ситуации, когда нужная информация получается только после одного или нескольких последующих интервью. Иногда аудитор может ошибиться с выбором осведомленного лица. Однако чаще осведомленные лица оказываются на практике не слишком хорошо осведомленными.

Интервью является одним из базовых методов получения информации по тематике аудита. Во время интервью высок риск саботажа со стороны оппонента. Нередки ситуации, когда аудитора, особенно малоопытного, попросту «парят», включая в интервью дезинформацию. Поэтому важно в ходе интервью продемонстрировать свою осведомленность или, в крайнем случае, предпринять действия по снижению вероятности дезинформации. К ним относятся:

• многозначительное молчание – это не означает, что в процессе интервью вам следует молчать. Необходимо воздерживаться от обсуждения деталей и споров, т. к. при ограниченной осведомленности у вас может быстро исчерпаться запас аргументов;

• следование процедуре – перед началом интервью вы делаете упор на том, что по тем или иным причинам (например, ваше начальство настаивает на лимите по времени) вы действуете строго по плану без отклонений, по принципу вопрос – ответ;

• доминирование – возможно, вы и не являетесь экспертом в особенностях самого бизнес-процесса, однако вы эксперт в области внутреннего контроля. В большинстве случаев одной из ключевых целей интервью является выяснение особенностей системы внутреннего контроля бизнес-процесса. При попытке запутать вас рассказами про тонкости процесса необходимо встречными вопросами возвращать интервью к обсуждению системы внутреннего контроля. Пусть данная тема будет той основой, на которую наращивается дополнительная информация;

• упор на неотвратимости – имеется в виду необходимость периодически подчеркивать важность корректного освещения фактов. Стоит неоднократно намекнуть на то, что в обоюдных интересах оперативно разобраться с поставленными вопросами, а иначе процедура будет повторена столько раз, сколько потребуется;

• личное обаяние/эмпатия – это относится к ситуации, когда противоположная сторона испытывает симпатию к внутреннему аудитору и поэтому помогает ему провести процедуру максимально эффективно. Безусловно, в ряде случаев такой эффект может быть вызван манипуляцией со стороны аудитора. Однако нередки ситуации, когда все происходит на бессознательном уровне. Эмоции и чувства проявляются каждую минуту нашей жизни.

Однако самым надежным вариантом минимизации дезинформации всегда остается ваш опыт и осведомленность о нюансах темы интервью.

Информация, полученная в ходе интервью, имеет низкую степень доказательности, т. е. может быть легко опровергнута оппонентом в дальнейшем. Для увеличения ее доказательности используется ряд методов:

• составление по окончании интервью протокола с кратким содержанием интервью и отправка данного протокола электронной почтой на согласование оппоненту;

• составление по окончании интервью протокола с кратким содержанием интервью и представление данного протокола в письменном виде на подпись оппоненту;

• ведение записи интервью с использованием, например, диктофона.

Степень доказательности увеличивается от первого к третьему методу. Очень важно, чтобы при использовании первого и второго методов аудитор обладал хорошими навыками делового письма. Иначе в дальнейшем любая косноязычная фраза может быть истолкована двояко и ценность протокола как доказательства значительно снизится.

Использование данных методов часто ограничено. В принципе первый метод является хорошей практикой и должен периодически использоваться. К тому же он дисциплинирует противоположную сторону, что слегка повышает эффективность аудиторского процесса в целом.

При использовании второго метода есть риск нарушить принцип снайпера. По сути, разницы между первым и вторым вариантом нет. Однако в настоящий момент в России более трепетно относятся к своей подписи, особенно когда она сопровождается расшифровкой. Поэтому во втором случае вероятность встретить отказ выше, чем в первом.

Третий метод потенциально может избавить аудитора от определенного объема ненужной работы, а также повысить эффективность работы. Имея запись, всегда можно уточнить подзабытые моменты, проанализировать свои ошибки и подкорректировать навык проведения интервью. Однако использование такого метода сильно ограничено. Я пользовался данным методом лишь однажды, и при этом тематика аудита была нейтральной. Конечно, никто не может запретить использовать диктофон втихаря, без оповещения других участников интервью. Однако в этом случае нужно все тщательно просчитать, и эффект от полученной таким образом информации должен значительно превышать возможные последствия разглашения метода ее получения и дальнейшего использования. Более распространено использование диктофона в ситуациях, когда информация используется с однозначно благими целями для всех участников интервью, например в консалтинговых проектах.

Интервью как метод получения информации и тестирования наиболее часто используется в следующих ситуациях:

• Описание процесса. Немногие российские предприятия имеют письменные описания ключевых бизнес-процессов, которые являются целостными и регулярно обновляются. Под целостным я имею в виду такое описание, которое дает представление о том, как процесс достигает своей цели, как работает система контроля и как происходит управление изменениями. Описание процесса, которое регулярно обновляется, отражает результаты всех существенных изменений процесса на текущий момент. Еще меньше предприятий пользуются при описании бизнес-процессов графическими методами представления. В таких условиях интервью является основным методом получения информации о текущем состоянии бизнес-процесса. Более детальная методика проведения интервью с целью документирования бизнес-процесса представлена в разделе «Описание процесса – диаграммы и текстовая часть. Правила составления диаграмм».

• Общая информация по процессу/объекту аудита. Часть людей обладает системным мышлением. Для них важно собрать максимум информации об исследуемом объекте, чтобы было комфортно анализировать объект в дальнейшем. Под системным мышлением я понимаю простые вещи – есть люди, которым важно целостное представление об объекте, им важно видеть четкие рамки, где все начинается и где все заканчивается. Примером использования интервью с целью получения общей информации по процессу/объекту аудита является, фривольно говоря, экскурсия на производство. В таких ситуациях вас сопровождает человек, сведущий в производственном процессе, вы обозреваете процесс производства, слушаете рассказ, задаете вопросы. Такие экскурсии весьма полезны и в дальнейшем позволяют лучше воспринимать поступающую информацию. Они как бы задают некий скелет восприятия.

• Предварительная информация для целей планирования детального тестирования. Использование интервью в качестве вспомогательного метода определения тематики детального тестирования часто целесообразно, несмотря на ограничения, в основном связанные с изначально низкой достоверностью полученной информации. Нюанс в следующем – довольно часто в процессе аудита в поле зрения аудитора попадает информация, которая указывает на потенциально интересную тему для дальнейшего исследования. Вероятность этого увеличивается по ходу проекта, т. к., зная больше об объекте аудита, аудитор обращает внимание на большее количество деталей. Нередко такая информация носит фрагментарный характер, т. е. раскрывает содержание темы с одной из сторон. Однако ресурсы аудитора ограничены. С одной стороны, по мере выполнения проекта у него появляется и фокусируется представление о направлениях для дальнейшего детального тестирования. С другой стороны, новая информация может привести потенциально к более существенным результатам проекта. В этом случае интервью является компромиссным вариантом получения дополнительной информации для принятия решения, поскольку позволяет быстро получить необходимые уточнения. Периодически после такого интервью аудитор решается изменить план детального тестирования, и это в дальнейшем оправдывается. Разумеется, интервью не дает исчерпывающей информации, и рассматривать тему нужно в свете всех данных, полученных в ходе проекта.

В большинстве случаев вы не сможете получить всю требуемую информацию только по результатам одного интервью. В среднем для описания процесса требуется провести два-три интервью (базовое, уточняющее, окончательное). Однако нередко не спасают даже неоднократные интервью. Ситуации, когда существенные блоки информации, способные повлиять на результат аудита, всплывают не вовремя (например, на этапе обсуждения проекта отчета), не так уж редки. Информация является ключевым рабочим материалом аудитора, и нужно прилагать максимум усилий как для ее добычи, так и для обеспечения требуемого качества. Есть несколько способов повышения эффективности интервью как метода получения информации и тестирования.

Планирование и постановка цели. Любое интервью требует хотя бы минимальной подготовки. Вы должны сформировать предварительный перечень вопросов. Аудитор, который не знает, что спросить, провоцирует негативное отношение к себе и другим участникам команды. В некоторых случаях лучше задать глупый вопрос по теме, чем просто молчать, либо позволить собеседнику рассказывать, насколько лучше было во времена Советского Союза или как он отлично провел время вчера на рыбалке. Вы должны учесть личностные особенности собеседника. Иногда, например, полезно направить аудитора женского пола на интервью с представителем мужского пола. Вы должны учесть обстановку, в которой будет проходить интервью. Например, если вы пригласите человека в помещение, где находятся еще и другие аудиторы, то это может спровоцировать замкнутость.

В начале интервью необходимо озвучить его цель. Вы должны обозначить рамки обсуждаемого материала. Если этого не сделать, то интервью превращается в беседу. По мере скатывания к беседе вам будет все труднее и труднее удерживать разговор в заданной тематике. Высока вероятность, что к концу интервью вы далеко уйдете не только от изначальной темы, но и получите много бесполезной информации. Необходимо соблюдать принцип прицельного любопытства.

Контроль темы интервью. Даже если вы озвучили цель интервью своему собеседнику, вам все равно придется приложить максимум усилий, чтобы удержать разговор в заданном русле. На практике очень часто люди отступают от основной темы и вдаются в излишние детали. Если представить интервью как трехмерный объект, то, ставя цель, обозначая тематику, вы определяете только одно измерение. Размах отклонений вправо, влево и вглубь необходимо определять уже в процессе интервью. Это невозможно сделать на начальном этапе, т. к. вы заранее в полной мере не знаете, что услышите. Контроль тематики интервью можно выделить в отдельный навык, и ему придется специально учиться, ведь вы имеете дело с живыми людьми во всем их многообразии. Во время интервью необходимо добиваться расположения собеседника, поскольку от этого зависят как достоверность информации, так и ее количество. Поэтому грубый контроль хода интервью быстро приводит к тому, что собеседник либо замыкается, либо просто не знает, что говорить. Если позволить интервьюируемому говорить все, что вздумается, это приведет к низкому КПД интервью для аудитора. Таким образом, контроль тематики интервью превращается в искусство вести беседу в заданном направлении. Базовыми приемами контроля являются наводящие вопросы (двигают интервью вперед), корректирующие вопросы (устраняют отклонения от темы), таранные вопросы (также устраняют отклонения и углубление в детали, но являются более мощными и неожиданными), форсирующие вопросы (переводят тему на следующий этап, если вы затоптались на месте). Также существенно помогают и другие личностные качества, такие как чувство юмора, обаяние, эрудированность, проницательность, интуиция, смекалка. Значительную помощь оказывает предварительная подготовка к интервью и наличие вспомогательных инструментов.

Использование вспомогательных инструментов. Существуют разного рода инструменты, повышающие КПД интервью. Особенно данный инструментарий полезен для начинающих аудиторов. Некоторые приемы, впрочем, полезны аудиторам любой квалификации. Например, если я самостоятельно анализирую процесс, то перед началом интервью высылаю предполагаемую схему и укрупненное описание процесса собеседнику. В дальнейшем мы уже обсуждаем предметно данные материалы, при необходимости углубляясь в детали, уточняя содержание и структуру. Базовый набор вспомогательных инструментов следующий – таблица процесса с пустыми графами для заполнения во время интервью, вопросники, описание процесса (либо диаграмма, либо текстовое описание, либо набор ключевых подпроцессов и функций, либо комбинация вариантов), матрица рисков процесса. Немного подробнее о каждом из инструментов.

• Таблица процесса с пустыми графами – таблица с набором столбцов для внесения информации по определенным этапам процесса (см. табл. 16).

_{Таблица 16. Пример таблицы для заполнения в ходе интервью}

В приведенном примере процесс разбивается на несколько этапов, количество и содержание которых уточняются в процессе интервью. По каждому процессу указывается содержание этапа (что делается), цель этапа (что предполагается достичь), контрольные процедуры (как контролируются действия внутри этапа), владелец (кто отвечает за операции и результаты), результат (что получается на выходе). Подобные таблицы содержат как подсказки для вопросов аудитора, так и помогают структурировать интервью и придать ему нужное направление.

• Вопросники – набор заранее заготовленных вопросов, которые аудитор задает в процессе интервью. Данный инструмент больше подходит для интервью, не связанных с описанием процесса. Вопросники хороши для уточнения имеющейся информации. Например, в ходе аудита у вас накапливаются вопросы по интересующей тематике, которые вы оптом выясняете в ходе интервью. Такой подход предпочтителен, т. к. постоянный контакт с представителями объекта аудита часто не только невозможен, но и еще противопоказан. Людей не стоит понапрасну отвлекать от работы.

• Описание процесса – существует высокая вероятность того, что один и тот же правильно построенный процесс в разных компаниях будет в целом одинаковым по составу и структуре. Поэтому с определенного момента в своем профессиональном развитии аудитор способен сформировать описание процесса, примерно соответствующее фактическому процессу, без посторонней помощи. Описание может использоваться как этим аудитором, так и его менее опытными коллегами для проведения уточняющего интервью по описываемому процессу. Такое описание можно даже выслать по электронной почте заранее для того, чтобы у собеседника было время более системно представить комментарии. Заранее подготовленное описание удерживает разговор в требуемом русле и экономит время аудитора. Однако оно имеет существенный недостаток, который необходимо научиться преодолевать, – как и с любым заранее подготовленным материалом, вы можете что-то упустить, а собеседник может намеренно или ненамеренно быстро согласиться с тем, что представленное описание полностью соответствует действительности. В первом случае универсального рецепта не существует, и качество проведения интервью в существенной степени зависит от опыта аудитора. Во втором случае имеет смысл не ограничиваться устными увещеваниями, а время от времени просить продемонстрировать то, что собеседник описывает. Например, если при описании процесса «Закупки» собеседник заявляет, что по итогам заседания тендерного комитета составляется протокол, вам надо попросить показать какой-нибудь из последних протоколов. Такой контроль процесса представления достоверной информации довольно прост в исполнении и весьма эффективен. Плюс вы совмещаете интервью с проведением сквозного тестирования.

• Матрица рисков процесса – так же как и вопросники, больше подходит для уточнения информации по процессу. Она помогает структурировать процесс интервью, однако, как и заранее подготовленные описания процесса, может способствовать тому, что какие-то из существенных рисков будут упущены. Поэтому требуются сверки с дополнительными источниками информации. В отличие от заранее подготовленного описания процесса матрица рисков может быть намного обширнее, хотя ключевые риски процессов от предприятия к предприятию во многом схожи. Работа с матрицей рисков требует привлечения более квалифицированного внутреннего аудитора, чем работа с заранее подготовленным описанием процесса. По сравнению с процессами риски – категория более сложная и неоднозначная. Существенным преимуществом матрицы рисков является ее изначальная нацеленность на систему внутреннего контроля процесса.

• Разведка. Суть данного метода заключается в построении многоканального интервью. В базовом варианте у каждого интервью должна быть исходная тема. Однако если для собеседника в большинстве случаев такая тема является единственной, то для аудитора она может быть одной из нескольких тем, в отношении которых аудитор хочет получить информацию. По сути, данный подход является в значительной степени манипулятивным, однако в ряде ситуаций он единственно верный и применимый. Технически интервью строится так, чтобы в центральную тему интервью с подходящей плотностью вкраплялись вопросы по другим тематикам. Такого рода подход к проведению интервью может быть как запланированным, так и просто выработанным практикой. В первом случае вы завуалированно вытягиваете интересующие сведения. Во втором случае вы просто придерживаетесь принципа разведки – не только двигаетесь в определенном направлении, но и прощупываете попутно прилегающую местность. Вообще стоит поработать над тем, чтобы такая манера проведения интервью вошла в привычку. Контролируемо отклоняясь по ходу интервью от основной темы с обязательным применением принципа прицельного любопытства, можно получить попутную информацию (меньше необходимости организовывать дополнительные интервью) и выйти на потенциально интересную тему для дальнейшего исследования.

• Вербовка. Этот термин носит отчасти шуточный характер. В данном пункте объединены действия аудитора по формированию конструктивных и позитивных отношений с собеседником. Результата можно добиться разными способами, и аудитор должен знать, какие из них ему под силу. Основная прикладная цель заключается в получении максимального количества положительных реакций, когда в обычной ситуации больше вероятность отрицательной реакции. Например, если аудитор запрашивает информацию в таком виде, в каком у собеседника она отсутствует, и необходимо приложить усилия для придания информации требуемой структуры, то вероятность получения отказа возрастает. Однако если данная просьба прозвучит в момент достижения определенного уровня позитива в процессе интервью, то вероятность положительного ответа становится более высокой. Данный способ также можно отнести к манипуляции, однако эффект от налаженного взаимодействия аудитора и представителей объекта аудита оправдывает его использование. В то же время многим людям свойственно стремиться выстраивать позитивные отношения на подсознательном уровне, в том числе за счет неосознанного использования манипулятивных по сути методик.

• Оперативное документирование. Результаты интервью лучше всего документировать непосредственно после его завершения. Человек в среднем помнит 10–15 % информации, полученной неделю назад. Также в пользу такого подхода говорит необходимость оперативной оценки полноты полученной информации. Чем быстрее мы выясним, чего не хватает, тем быстрее сможем организовать дополнительные интервью.

• Одна голова хорошо, две лучше. В ряде ситуаций имеет смысл привлечь напарника к участию в интервью. Во-первых, когда один аудитор спрашивает, у второго есть время записать. Во-вторых, личный пример является наилучшим способом обучения малоопытных аудиторов. Однако не стоит забывать, что участие двух аудиторов потенциально удваивает как преимущества правильно поставленного интервью, так и недостатки низкокачественного интервью. Поэтому аудиторы должны контролировать друг друга. Имеет смысл договориться о невербальных сигналах, чтобы в процессе интервью указывать друг другу на упущения.

Описание модели операционной деятельности как в целом, так и в рамках процесса.

Классический процессный аудит начинается с описания того процесса, который является объектом аудита. Однако описание процесса само по себе имеет специализированный характер. Вместе с тем каждый процесс обладает набором, так скажем, тактико-технических характеристик, для которых на схеме процесса часто просто нет места. Большинство таких характеристик носят общий характер. Тем не менее наличие представления о них улучшает понимание процесса и приводит к формированию более качественных рекомендаций по улучшению процесса и системы внутреннего контроля. Информация о характеристиках процесса может быть передана посредством формирования модели операционной деятельности[11] в рамках анализируемого процесса. Рассмотрим целесообразность использования описания модели операционной деятельности на примере (рис. 7). В качестве примера дано описание модели операционной деятельности в рамках процесса «Управление денежными средствами» (займы, расчетные счета, наличные, денежные аналоги). Это описание указывает на наличие следующих тактико-технических характеристик процесса:

1) процесс охватывает три группы участников – управляющую компанию (далее УК), заводы (управляемые компании) и сторонние организации;

2) основные денежные потоки идут либо через УК, либо с разрешения УК – УК самостоятельно осуществляет закупку основного сырья, получает плату за готовую продукцию от покупателей, согласует реестры платежей управляемых компаний;

3) существует система определения приоритета платежей (налоги, з/п и кредиты оплачиваются в первую очередь);

4) управляемые компании получают лишь часть денег за реализованную готовую продукцию;

5) существует сложный механизм координации действий УК и управляемых компаний.

^{Рис. 7. Пример описания модели операционной деятельности}

На основании модели операционной деятельности можно получить не только представление об общей структуре и содержании процесса, но и о потенциальных рисках процесса и точках, в которых происходит взаимодействие анализируемого процесса с другими процессами. В нашем примере по модели операционной деятельности видно, что процесс «Управление денежными средствами» взаимодействует как минимум с процессами «Закупки» и «Продажи». Кроме того, аудитор может предположить наличие следующих рисков:

1) несвоевременное погашение обязательств управляемых компаний;

2) затянутое согласование реестра платежей;

3) поверхностное согласование реестра платежей;

4) несвоевременные закупки сырья и материалов;

5) непропорциональная (относительно основного сырья и материалов) закупка вспомогательных материалов и т. д.

Составлять описание модели операционной деятельности имеет смысл в тех случаях, когда аудиторы впервые имеют дело с объектом аудита.

Описание процесса – диаграммы и текстовая часть. Правила составления диаграмм.

Целесообразность использования той или иной методологии описания и анализа бизнес-процессов зависит от того, с какой целью эти бизнес-процессы описываются и анализируются. С точки зрения внутреннего аудита бизнес-процессы описываются в первую очередь для документирования привязки системы внутреннего контроля к тому или иному этапу бизнес-процесса. Таким образом, описание бизнес-процессов имеет прикладной характер. Как вариант можно составить описание системы внутреннего контроля без описания соответствующего бизнес-процесса. Однако существенным минусом такого подхода является отсутствие целостности и снижение информативности. Кроме того, любая процедура контроля в отрыве от этапа бизнес-процесса бесполезна, так как контроль должен быть с чем-то связан и на что-то направлен.

Существует несколько методологий документирования бизнес-процессов – IDF0, BPWin, ARIS и т. д. На практике в большинстве случаев вполне достаточно стандартных возможностей одного из приложений Microsoft Office – Microsoft Visio.

В табл. 17 приведены основные значки (блоки схемы), с помощью которых можно составить графическое описание (диаграмму) практически любого бизнес-процесса.

_{Таблица 17. Основные элементы диаграммы}

Поле диаграммы разбивается на горизонтальные блоки по числу ключевых участников бизнес-процесса (пример в главе 6). Универсального правила компоновки диаграммы не существует, поэтому последовательность этапов, состав и последовательность участников бизнес-процесса определяется аудитором на основании программы аудита, цели диаграммы и здравого смысла. На практике, если на диаграмме формата А3 появляется более семи участников и более 60 элементов, то или вы начали мельчить, или бизнес-процесс слишком крупный для используемой степени детализации, и его необходимо разбить как минимум на два бизнес-процесса поменьше.

Подробно остановимся на ключевых принципах описания процессов.

Подход. Существует два основных подхода к описанию процессов – графический и смешанный (графика плюс текст). Выбор подхода зависит от цели аудита. Для аудита системы внутреннего контроля можно ограничиться графическим подходом. Для аудита бизнес-процесса, по результатам которого процесс может быть основательно перестроен, необходимо использовать как графику, так и текстовые описания и пояснения. На практике я использовал оба подхода.

Суть графического подхода заключается в использовании графических элементов, которые обозначают части процесса. Каждый графический элемент имеет краткое описание, ограничиваемое его размером. Иногда для отдельных частей процесса добавляется более подробное описание, которое размещается на свободном месте основной схемы процесса. Умение составить описание процесса только с использованием графики без потери качества приходит с практикой. К некоторым аудиторам оно не приходит никогда. Основное преимущество использования исключительно графики заключается в ее лаконичности и наглядности. Разумеется, если вы составляете описание процесса в графике, то наглядность и лаконичность появляются не автоматически. Умение придавать схемам эти свойства также приходит к аудитору не сразу.

Суть смешанного подхода заключается в том, что помимо графической схемы процесса вы формируете текстовую часть, поясняющую отдельные или все графические элементы. Пример формата такого описания приведен в табл. 18. Это один из многих вариантов формата текстовой части. Ее содержание во многом зависит от цели описания процесса. Как уже было сказано выше, описание процесса только в графике часто бывает достаточно, когда процесс рассматривается с целью определения адекватности и эффективности системы внутреннего контроля. Однако если аудитор еще не набил руку, то ему не избежать составления текстового описания процесса. Кроме того, составления текстовой части можно требовать с целью дополнительного контроля работы внутреннего аудитора, что имеет смысл в крупных ПВА. Также наличие текстовой части лучше обеспечивает соблюдение принципа воспроизведения и облегчает работу других аудиторов с процессом в дальнейшем хотя бы потому, что текстовая часть содержит больше информации.

_{Таблица 18. Пример формата текстового описания процесса}

Границы процесса. По данной теме вряд ли когда-нибудь сложится единое мнение у разных аудиторов. Определение границы процессов зависит от ряда факторов, и в первую очередь от понимания аудитором нюансов процессного управления. Например, процесс осуществления платежей можно рассматривать как отдельно, например в рамках процесса «Управление денежными средствами», так и в рамках процесса «Закупки» или, как иногда говорят, процесса «Расходное контрактование». Чем больше сотрудников компании используют понятия процессного подхода к управлению, тем больше вариантов дробления деятельности предприятия на отдельные процессы и тем больше вариантов названий этих процессов. Например, процесс «Продажи» может называться «Доходное контрактование» или «Ценообразование и реализация готовой продукции». В такой ситуации на первое место выходит право первенства. То есть если по данной теме отсутствует готовое решение, то мы имеем полное право разработать его самостоятельно и, по мере возможностей и способностей, навязать окружающим.

В любом случае перед началом описания необходимо четко определить границы описываемого процесса. Это крайне необходимо для устранения лишней работы. Во-первых, два аудитора, описывающие последовательные процессы, могут два раза выполнить одну и ту же работу, дважды описать один и тот же участок процесса. Во-вторых, чем более четко поставлена задача, тем более четко она исполняется, меньше места для домысла и ситуаций «давай сделаем на всякий случай». Для упрощения и облегчения работы по систематизации ориентируйтесь на основную цель процесса и используйте принцип разграничения обязанностей. Например, если вы определите цель процесса «Закупки» как «приобрести требуемые ТМЦ на оптимальных условиях и доставить в место использования, обеспечив максимальную сохранность», то процесс «Внешняя логистика» войдет в состав процесса «Закупки» в части доставки материалов и сырья. Также не стоит забывать о том, что границы процессов необходимо определять как бы в двумерном пространстве. Ряд основных процессов следуют последовательно друг за другом. Но кроме основных есть процессы, имеющие отчасти сервисный или вспомогательный характер, например процесс «Техническое обслуживание и ремонт» (разумеется, если у вас не предприятие, оказывающее услуги по техобслуживанию и ремонту). Таким образом, вам необходимо определить точки перехода между последовательными процессами, а также между процессами, время от времени взаимодействующими с основной цепочкой последовательных процессов, и, соответственно, этими последовательными процессами. Например, уже упомянутый процесс «Техническое обслуживание и ремонт» может иметь точки перехода как с процессом «Внешняя логистика» (если, например, при доставке грузов собственным транспортом он ломается, мы сами ремонтируем), так и с процессом «Основное производство». При этом процесс «Внешняя логистика» как предшествует процессу «Основное производство» (доставка материалов собственными силами), так и следует за ним (доставка готовой продукции собственными силами, например до точки перехода права собственности на нее). В своей практике для точек перехода я использую отдельный значок на схемах процессов (см. табл. 17).

Целостность и презентабельность. Соблюдению данных принципов я придаю особое значение, хотя и остальные не менее важны. Сделать описание целостным означает ответить на вопросы «откуда?» и «куда?». Описывая процесс, вы должны указать точку возникновения процесса и точку перехода из описываемого процесса в следующий процесс, а также точки перехода в любые другие процессы, с которыми описываемый процесс взаимодействует. Таким образом, вы показываете описываемый процесс во взаимодействии с другими процессами, действующими в рамках системы процессов, например в рамках предприятия. Многие процессы, если их рассматривать в двумерном пространстве, стабильно имеют две основные точки перехода (точка входа в процесс и точка выхода из него при последовательном расположении процессов), а также несколько дополнительных точек перехода в тех местах, где рассматриваемый процесс взаимодействует с другими процессами в ходе исполнения.

Принцип презентабельности требует внимания к большему количеству нюансов по сравнению с принципом целостности. Во-первых, описание процесса воспринимается намного лучше, если процесс описывается в хронологической последовательности. Это достигается, например, расположением этапов процесса относительно друг друга. Так, если процесс описывается графически и горизонтально слева направо, то из этого следует, что этап, находящийся правее, выполняется в реальности позднее по времени. Во-вторых, необходимо придать описанию процесса оптимальную детализацию. На практике мне довелось встречаться с крайними проявлениями, мягко говоря, неоптимальной детализации. Например, однажды одна из моих подчиненных умудрилась составить описание процесса «Внешняя логистика» (логистика при реализации готовой продукции) на 22 листах (шрифт 11 пт, одинарный межстрочный интервал), не считая схемы на трех листах формата А3 с огромным количеством значков. При этом задача заключалась в оценке системы внутреннего контроля процесса «Внешняя логистика» в условиях экспортных поставок от завода в РФ до конечного потребителя при использовании пары-тройки посреднических компаний и пары пунктов перевалки. По плану на описание процесса отводилась одна неделя (она потратила три и все равно не успела закончить описание). Справедливости ради отмечу, что в ситуацию стоило бы вмешаться пораньше, однако мне было интересно посмотреть, что получится. В описании содержалось огромное количество информации совершенно не проясняющей ситуацию с системой внутреннего контроля процесса, например подробные описания процедуры формирования ряда первичных документов. Это плавно подводит нас к третьему важному моменту при соблюдении принципа презентабельности – обеспечение однозадачности описания. Приведенный выше пример указывает на то, что задача по описанию процесса является не совсем удачным поводом для серийного отстрела зайцев одиночными выстрелами. Цель описания процесса во многом определяет, какая информация должна быть добыта, а какая конвертирована в описание процесса. Если перед аудитором стоит задача описать процесс с упором на систему внутреннего контроля, то каждый элемент описания должен способствовать достижению именно этой, и никакой другой цели. Невозможно составить описание процесса, которое пригодно для анализа различных аспектов деятельности предприятия. В-четвертых, на презентабельность описания процесса влияет техника исполнения (подачи). Описание процесса по мере его изучения должно отвечать на вопросы пользователя о построении и функционировании описываемого процесса. Именно техника исполнения описания формирует окончательно ответы на вопросы «что?», «как?», «когда?», «кто?» и «где?». Например, если при описании процесса ограничиться только сплошным текстом, то многие детали без должного акцентирования не будут просто восприняты не то что с первого, но и со второго-третьего прочтения. Конвертирование такого материала в таблицу с распределением ключевой информации по процессу по отдельным графам значительно облегчает восприятие материала.

Глубина описания процесса. В классическом понимании на среднем предприятии можно выделить 15–20 ключевых процессов. Каждый из них состоит из нескольких подпроцессов, которые в свою очередь дробятся на еще более мелкие подподпроцессы. Поэтому если предприятие представить в виде модели, состоящей из процессов, то модель будет трехмерной. В большинстве случаев можно выделить четыре-пять уровней процессов, начиная от ключевых и заканчивая точечными. Точечные процессы состоят из технологических операций, которые либо сами по себе не дробятся на более мелкие элементы, либо этого не имеет смысла делать. Под технологической операцией понимаются не только производственные технологические операции, но и любые другие операции в рамках любого процесса. Например, операция нажатия кнопки может встречаться как в процессе «Производство», так и в процессе «Формирование финансовой отчетности». Глубина описания процесса также во многом зависит от его цели. Например, при оценке системы внутреннего контроля я бы не погружался в процесс глубже третьего уровня. Если процесс «Продажи» принадлежит к первому уровню, то процесс «Анализ проекта договора» – к третьему (он входит в процесс «Разработка (подготовка) проекта договора»). А вот если, например, аудитор принимает участие в проекте по разработке и внедрению ИТ-системы, то большинство процессов должны описываться вплоть до отдельных операций. Вообще любой проект, имеющий целью работу с самим процессом, например оптимизацию, требует более глубокого погружения в процесс, чем проект по оценке системы внутреннего контроля.

Продолжительность описания процесса. Опять же все зависит от постановки задачи, а также от уровня аудитора и условий работы. В среднем в проектах оценки системы внутреннего контроля достаточно одной недели для описания процесса первого уровня до глубины третьего уровня. При этом описание процесса должно выполняться аудитором со стажем не менее года, а владельцы процесса плюс-минус своевременно представляют необходимую информацию. Не стоит поручать описание процесса малоопытным аудиторам без тщательного надзора за их деятельностью, особенно если процесс описывается впервые. Вообще навык описания процессов сложно приобрести по частям, как, например, в случае с детальными тестами. Детальный тест состоит из отдельных блоков, которые можно осваивать по отдельности. Например, сначала можно научиться делать выборку, затем обрабатывать данные, затем интерпретировать результаты, затем самостоятельно составлять детальные тесты. При описании процесса необходимо оперативно реагировать на поступающую информацию, при этом существует множество вариантов содержания, формы и достоверности данной информации, и на каждый нюанс нужно реагировать правильно. Поэтому малоопытные аудиторы должны первое время работать в команде с более опытными коллегами.

Далее представлена подборка практических наработок для решения локальных ситуаций.

• Если процесс разбивается на несколько подпроцессов, у которых более одного владельца, то аудитору следует самостоятельно определить очередность описания. Для ускорения процесса работу нужно стоить таким образом, чтобы в случае простоя по какому-либо подпроцессу аудитор мог переключиться на другой подпроцесс. Простои неизбежны, и немалое влияние на их количество оказывают организационные факторы (болезнь нужного сотрудника, график работы интервьюируемого, необходимость в дополнительном времени для подборки документов и т. д.). Поэтому аудитору имеет смысл выстраивать работу как бы в двух параллельных направлениях.

– Базовая схема начала проведения интервью с сотрудником подразделения, являющегося владельцем процесса, при составлении описания следующая:

– озвучить цели интервью;

– получить картину основных функций подразделения;

– узнать мнение руководителя подразделения об основных факторах и рисках, сказывающихся на эффективности деятельности;

– уточнить перечень нормативной документации по процессу (хотя данная информация должна запрашиваться аудитором в самом начале проекта и изучаться до интервью, нередко о части нормативных документов становится известно во время интервью);

– обрисовать подход к описанию процесса, например «нам интересен весь процесс …, от момента получения подразделением исходной информации или документа по … до момента … (завершающего действия или составления документа)»;

– уточнить состав отчетности, которая готовится в подразделении на системной основе, и получателей такой отчетности.

• В процессе интервью, целью которого является получение информации для описания процесса с упором на систему внутреннего контроля, по каждому этапу процесса необходимо понять:

– какова цель этапа процесса, кто является владельцем этапа процесса;

– с чего начинается этап или при каких условиях инициируется осуществление этапа: например, если этап запускается с момента получения определенной информации, то следует выяснить, от кого поступает эта информация, какова частота ее поступления, каково ее содержание (общее), каким образом контролируется количество и качество данной информации на входе в рассматриваемый этап процесса;

– какие операции осуществляются в рамках процесса: например, если этап запускается с момента получения определенной информации, необходимо выяснить, какие действия осуществляются подразделением с поступившей информацией (каким образом она преобразуется, куда включаются преобразованные данные и т. д.). Имеет смысл смоделировать какую-либо ситуацию (например, «вы получаете заявку на оплату, что с ней делаете дальше (проверяете, регистрируете и т. д.)»);

– каким образом оценивается степень достижения цели этапа процесса, как владелец этапа процесса понимает, что цель этапа достигнута;

– каким образом обеспечивается надлежащее исполнение операции в рамках этапа – в данном случае мы напрямую расспрашиваем о существующей системе внутреннего контроля. Вопросы по внутреннему контролю этапа процесса лучше задавать после получения информации по базовым вопросам, указанным выше.

• Хорошим подходом при проведении интервью с целью получения информации для описания процесса с упором на систему внутреннего контроля является следующая практика – если выясняется, что в конкретном месте (этапе процесса) отсутствует контроль, то следует тут же выяснить, имеется ли компенсирующий контроль в другом месте. При этом необходимо немного проговорить данную ситуацию, выяснить позицию владельца этапа процесса, т. е. описать ему возможные последствия и вероятность бесконтрольных действий и посмотреть на его реакцию. Это обеспечивает соблюдение принципа разведки и получение начальной информации по реакции владельца процесса и его позиции по потенциальной проблеме.

• Когда вы определяете границы процесса, основным источником информации является в первую очередь владелец этого процесса. Также кроме владельца рассматриваемого процесса существуют владельцы взаимодействующих процессов. Нередки ситуации, когда имеет смысл получить дополнительные подтверждения границ процесса путем коротких тематических интервью с владельцами взаимодействующих процессов. Бывает, что мнения владельцев основного рассматриваемого процесса и взаимодействующих процессов расходятся. А аудитору важно иметь достоверную информацию о границах процесса, например для того, чтобы определить ответственных за исполнение плана исправительных мероприятий.

• При описании процесса со сложной структурой – большим количеством владельцев этапов процесса – эффективность интервью значительно повышается, если оно проводится в формате очной ставки. Если вы столкнулись именно с таким процессом, очень высока вероятность снижения КПД вашей деятельности. Основными деструктивными факторами являются организационные моменты (нужно назначить большое количество встреч с людьми, находящимися в разных местах), необходимость независимой во времени стыковки разных мнений, повышенный объем аудиторской работы. Эти трудности можно отчасти избежать, если проводить интервью с расширенным составом участников, например владельцев нескольких последовательных этапов процесса.

• При составлении рабочих документов, посвященных описанию процесса, лучше использовать принцип матрешки. То есть если вы составили графическое описание процесса из нескольких диаграмм в формате Microsoft Visio, то лучше держать все диаграммы в одном файле на разных закладках, а не в разных файлах на одной закладке. Это относится и к ситуациям, когда описывался процесс более чем на одном уровне. В процессе аудита накапливается множество файлов, и лучше, если вы будете оптимизировать их количество.

• В большинстве ситуаций при описании процесса используется нумерация. Нумеруются этапы процесса, рабочие документы, ссылки, пункты отчета. Если вы используете различные виды ссылок, а также увязываете как этапы одного процесса, так и процессы между собой, без нумерации, скорее всего, не обойтись. Если вы ведете нумерацию, следите за ее системностью, взаимоувязкой и последовательностью. Отчасти это вопрос формата, например использования целых или дробных номеров для обозначения этапов процесса. Отчасти это вопрос обмена информацией внутри команды аудиторов, например при необходимости сделать ссылку на этап процесса, описываемого другим аудитором. Отчасти это вопрос системы рабочих документов. Существуют программные продукты, которые облегчают использование нумерации, например в части перекрестных ссылок. Несмотря на кажущуюся банальность нумерации как инструмента, она имеет огромное значение для понимания и восприятия аудиторской работы.

• Если вы составляете графическое описание процесса, то на схемах не должно быть так называемых тупиковых элементов. Под ними понимаются элементы схемы, которые лишены либо входа, либо выхода, либо того и другого одновременно. На практике 99,9 % процессов имеют как вход, так и выход. С фундаментальной точки зрения это следует из того, что предприятие, по сути, является системой открытого типа. Если вход или выход этапа процесса находится в другом процессе, используется специальный значок. Такие значки как раз и представляют собой точки перехода, упомянутые выше.

• Следите за тем, что на схемах отсутствовало закольцовывание элементов. Имеются в виду ситуации, когда с определенного этапа процесса делается переход на предыдущий этап, но при этом сохраняется один вариант развития событий. Таким образом, если воспринимать схему буквально, получается круг, не позволяющий продвинуться дальше по процессу.

• Нумерация элементов схемы должна совпадать с нумерацией текстового описания.

• При составлении описания процесса с целью оценки системы внутреннего контроля контрольные процедуры лучше указывать как на схеме, так и в описании, при этом необходимо использовать дифференциацию. Для схем лучше подходит цветовая дифференциация. Например, адекватный или эффективный контроль обозначается белым кружком в углу этапа процесса, неадекватный или неэффективный контроль – черным. Необходимо раскрывать механизм контроля как минимум в текстовом описании, например, ограничиваться формулировкой «контроль правильности» или «проверка правильности» недопустимо. Это связано в первую очередь с необходимостью обеспечить контроль качества описания процесса и последующей работы, которая будет базироваться на описании. Например, если рассмотреть процесс формирования заявки в процессе «Закупки», то начинающий аудитор может назвать контролем правильности подпись заявки у вышестоящего функционального руководителя. Однако, по сути, данное действие не всегда автоматически означает проведение контроля правильности составления заявки или указанной в заявке номенклатуры.

• Как уже говорилось, при составлении схем необходимо придерживаться хронологической последовательности этапов процесса. Однако есть еще такой параметр, как периодичность и временные рамки этапа процесса. Многие процессы состоят из подпроцессов или этапов, имеющих различную периодичность и различные временные рамки. Например, при описании процесса «Бюджетирование» есть процесс формирования и пересмотра годового бюджета, а может быть процесс формирования и пересмотра ежеквартального или ежемесячного бюджета. Наверное, можно гордиться тем, что все эти процессы уместились на одной схеме и в одном текстовом описании, однако лучше этого не делать. Возьмите за правило описывать процессы с разными временными параметрами на разных схемах.

• В большинстве случаев нет смысла детализировать участников процесса дальше, чем структурные подразделения, особенно на схемах. Например, если по процессу контрактодержатель (куратор договора) передает согласно схеме расчетные документы в бухгалтерию (счет, счет-фактуру, акт выполненных работ), то нет смысла отражать на схеме бухгалтера по расчетам с поставщиками в качестве отдельного владельца процесса. Достаточно просто указать в качестве владельца процесса бухгалтерию целиком, а в текстовом описании уточнить.

• Как уже говорилось, необходимо следить за тем, чтобы схема не была перегруженной излишними деталями. Существует хороший контрольный механизм для этого. При формировании схемы процесса необходимо постоянно оценивать ее оптимальность для выполнения поставленной задачи. Если вы можете убрать со схемы какой-либо из элементов и при этом схема полностью сохранит полезность для выполнения стоящей перед вами задачи, то данный элемент не нужен. В сочетании со стремлением описать процесс в достаточной степени (с точки зрения поставленной задачи) только с помощью схемы, данный метод обеспечивает оптимизацию числа элементов на схеме. Дальше уже дело вкуса.

• Иногда аудиторы, особенно начинающие, забывают, что описание основывается на соответствующем процессе, а не на функционале ключевого подразделения – владельца процесса. Поэтому в описание включается много излишней информации. Этот недостаток устраняется только одним способом – более частыми проверками статуса и содержания проведенной работы.

• Совсем точечная рекомендация – если вы для увязки элементов схемы используете стрелки, старайтесь избегать их совпадения, т. е. объединения стрелок в одну линию. Восприятие и чтение такой схемы усложняется. В то же время не забывайте об этом приеме, если вдруг понадобится усложнить схему.

• И последняя точечная рекомендация, касающаяся сокращений и аббревиатур. Если вы составляете описание процесса, состоящее из графической и текстовой части, то по возможности перенесите все сокращения и аббревиатуры в текстовую часть. Хорошей практикой является формирование в начале описания перечня использованных сокращений. Если позволяет место, то можно часть перечня сокращений вынести на схему, но только в части тех сокращений, которые используются непосредственно на схеме.

Сквозное тестирование (walk-through testing).

В буквальном переводе с английского термин walk-through testing означает «тестирование путем прохождения сквозь». Суть такого тестирования заключается в том, что аудитор пытается найти достаточно подтверждений тому, что структура и содержание описанной системы соответствует ее структуре и содержанию на практике.

Чаще всего термин «сквозное тестирование» встречается в сочетании с термином «описание процесса». Хотя данный вид тестирования может с одинаковым успехом использоваться применительно к любой системе. Когда ваш автомобиль проходит технический осмотр на станции техобслуживания, он также подвергается в определенном смысле сквозному тестированию. Ведь для выполнения своей задачи автомобиль должен обладать определенным набором структурных элементов, расположенных в определенной последовательности и взаимодействующих друг с другом определенным образом. Механик, проверяя наличие структурных элементов конструкции автомобиля, их внешний вид и расположение, действует как аудитор. Единственная разница состоит в том, что в большинстве ситуаций он имеет представление о том, с чем ему предстоит работать. Аудитору же перед проведением сквозного тестирования приходится сначала выяснять нюансы системы.

Будем рассматривать в дальнейшем данный вид тестирования применительно к описанию процесса, поскольку чаще всего именно такое сочетание встречается на практике.

Как уже говорилось в разделах, посвященных методике проведения интервью и методологии описания процессов, в процессе описания процесса аудитору нередко приходится получать информацию из различных источников. Достоверность такой информации также часто бывает различной. В редких случаях достоверность источника не требует дополнительного подтверждения. В таких ситуациях источник информации содержит встроенную систему контроля достоверности. Типичным примером являются электронные системы хранения и обработки данных, особенно системы, контролируемые третьей стороной (по отношению к объекту аудита и аудитору). К таким системам относятся, например, базы данных по законодательству («Консультант Плюс» и прочие). Обращаясь к такой базе данных, вы не проверяете ее содержание на соответствие первоисточнику, которым, в большинстве случаев, являются печатные издания. Однако в ряде ситуаций аудитору необходимо сначала убедиться в наличии системы контроля достоверности в самой электронной системе прежде, чем отказаться от сквозного тестирования.

Так или иначе, собрав по кусочкам описание процесса, не стоит торопиться и использовать его в дальнейшей работе, особенно для далекоидущих выводов. Судя по практике, если описанный процесс хотя бы на 50 % совпадает с реальным положением вещей, это уже неплохой результат.

С технической точки зрения идеальный вариант сквозного тестирования выглядит следующим образом. Вы составили описание процесса. Такой процесс имеет изначально один ключевой вход и один ключевой выход. Вы берете одну-две-три единицы входа в процесс и прослеживаете трансформацию этих единиц в соответствующее количество единиц выхода при прохождении через описанный процесс. Таким образом, вы убеждаетесь, что взятые на входе единицы соответствовали тем, которые были указаны в описании, с ними были произведены все действия, указанные в описании, и то, что получилось практически на выходе, в существенной степени соответствует тому, что должно было получиться. Однако, как это часто бывает, на практике все выглядит иначе.

Подробно остановимся на ключевых принципах проведения сквозного тестирования процесса.

Достаточность доказательств. Нередко при сквозном тестировании того или иного этапа процесса аудитор не может напрямую убедиться в том, что заявленное в описании действие (или иное содержание этапа процесса) совершается на практике. Под термином «убедиться напрямую» подразумевается способ, обеспечивающий максимальную доказательность. Довольно часто таким способом является визуальное подтверждение в момент исполнения тестируемого этапа процесса. Как ни странно, но это удается не всегда. Например, вы вряд ли сможете быть свидетелем мыслительной деятельности, поскольку подсоединение регистрирующих электродов к определенным участкам мозга и расшифровка сигналов требуют знаний в области нейробиологии. Поэтому, чтобы подтвердить выполнение многих процессов, включая мыслительные, аудитору приходится пользоваться не прямыми, а косвенными доказательствами. Например, если при загрузке в электронную систему данных вы не можете наблюдать процесс расчета и преобразования, у вас, тем не менее, есть возможность убедиться в том, что результат с высокой вероятностью получен именно в ходе тех операций, которые должны были произойти. Все, что вам как аудитору нужно, – так это произвести перерасчет и сравнить свои данные с данными системы. Косвенные методы получения доказательств реального осуществления этапа процесса можно сгруппировать следующим образом:

• Естественная неизбежность – в ряде случаев само построение процесса не позволяет избежать исполнения того или иного этапа процесса. Наиболее простым примером является непрерывный производственный процесс, в который невозможно технически вмешаться без остановки процесса в целом. Так, при производстве многих химических веществ используются установки, в которые подаются исходные компоненты, а на выходе получается готовый продукт (производство удобрений, кислот, цемента и т. д.). В такой установке происходит целый ряд последовательных технологических операций, но вы не имеете возможность наблюдать их. Однако само устройство установки исключает какие-либо иные операции, кроме как предусмотренные технологическим процессом.

• Использование тестовых составляющих входа – в данном случае вы также не имеете возможность наблюдать за ходом процесса. Однако вы можете самостоятельно сформировать вход в процесс (полностью или частично) и, позволив этапу процесса осуществиться, оценить на основании выхода, были ли предполагаемые действия на самом деле осуществлены. Наиболее распространенным примером является использование уличных платежных терминалов или использование ИТ-систем и приложений. Например, при тестировании запрета на ручной ввод контрагента в бухгалтерской программе (в обход справочника) вы можете попытаться либо ввести наименование контрагента в соответствующую графу первичного документа, либо добавить самостоятельно нового контрагента в справочник. В обоих случаях вы предлагаете системе совершить процесс, выполнение которого, как было заявлено, невозможно, и оцениваете, насколько реальность соответствует первоначальному описанию.

• Отсутствие негативных побочных эффектов (аварий, жалоб, брака и прочего) – существуют ситуации, когда вы не имеете возможности использовать составляющие входа для целей тестирования или процесс не является неделимым по естественным причинам, но вы все равно не можете наблюдать выполнение этапа процесса. Здесь идет речь о многочисленной группе этапов процессов, которые вроде бы осуществляются, но не оставляют практически никаких следов своего выполнения. К ней всегда относятся процессы, которые целиком осуществляются с использованием звука или в результате которых производится звук. Например, процесс оповещения пассажиров в аэропорту – к диктору или оператору поступают данные о статусе рейса, он озвучивает эти данные через систему вещания аэропорта, пассажиры реагируют соответствующим образом. Отсутствие жалоб пассажиров на несвоевременное оповещение с высокой вероятностью указывает на то, что процесс оповещения происходил и происходит как положено. В описанной ситуации вы не полагаетесь на неделимость процесса и не используете тестовые составляющие входа, а оцениваете наличие негативных побочных эффектов, которые с высокой вероятностью могут появиться в результате неисполнения этапа процесса. Возможно, вы спросите, почему бы не зафиксировать исполнение этапа процесса прямым способом, т. е. прослушиванием сообщений в аэропорту. Может быть, в определенных ситуациях это и является лучшим подходом. Однако в большинстве случаев при сквозном тестировании вы имеете дело с прошлыми событиями и действиями, воспроизведение которых в настоящий момент либо невозможно, либо нецелесообразно (например, заставить предприятие в середине года воспроизвести для вас в деталях процедуру формирования годового бюджета). Кроме того, то, что в настоящий момент вы лично засвидетельствовали осуществление тестируемого этапа процесса, еще не означает, что данный этап осуществляется именно в данном месте процесса и именно данным образом. В конце концов, это могут сделать специально для вас. В ряде ситуаций косвенные подтверждения весомее прямых доказательств, а также могут быть получены с более приемлемым соотношением «затраты/выгоды».

• Наличие нейтральных побочных эффектов (отходы и побочные продукты) – в целом данный подход к сквозному тестированию также практичен. Как говорится, можно не видеть огня, но сделать правильные выводы по дыму и искрам. Процессов, которые генерируют при исполнении отходы и побочные продукты, в нашей жизни немало. Например, если финансовый контролер утверждает, что процедура согласования бюджета с дочерними предприятиями осуществляется, но сам ход и результаты данного процесса не фиксируются в отдельном протоколе, это не повод для аудитора поставить под вопрос само существование этапа согласования бюджета на практике. Аудитор может воспользоваться отходами и побочными продуктами данного процесса, которыми могут быть, например, переписка участников, наличие папки с набором файлов с последовательными датами создания, содержащих различные бюджеты, должностные инструкции для позиции «финансовый контролер», документы, обосновывающие показатели конечного бюджета. Самое главное в таких ситуациях правильно выбрать побочный эффект процесса, что в немалой степени зависит от опыта аудитора и является еще одним аргументом в пользу плотного наблюдения со стороны опытных аудиторов за начинающими вплоть до непосредственного участия в процессе описания процесса и его сквозного тестирования.

Последовательное и фрагментарное подтверждение (обрывы в процессе). На практике аудитор редко проводит сквозное тестирование всех этапов процесса. Конечно, в ряде ситуаций причиной является халатное отношение аудитора к работе, но мы такие случаи не рассматриваем. Речь идет о тех ситуациях, когда по тем или иным причинам полное сквозное тестирование невозможно или нецелесообразно. Отказ от него не является нарушением ключевых канонов внутреннего аудита. Однако отказ от сквозного тестирования вообще может привести к существенным негативным последствиям, и хорошо, если дело ограничится просто увеличением объема аудиторской работы. На возможность полного сквозного тестирования этапов процесса влияют следующие факторы (при условии, что описание процесса составлено оптимальным образом для выполнения поставленной задачи):

• Поставленная задача – многое при выборе подхода к проведению сквозного тестирования зависит от тематики проекта. В настоящее время чаще всего аудиторы принимают участие в проектах по оценке системы внутреннего контроля процессов. Стандартный подход к ним не предусматривает сквозного тестирования ряда этапов процессов по той причине, что в этом нет смысла. Во многих процессах имеются участки, которые минимально влияют на достижение процессом его целей и потому не интересны для аудитора с точки зрения наличия или необходимости формирования существенных контрольных процедур. Кроме того, никто не отменял эффекта компенсирующих контрольных процедур. Грубо говоря, в проектах по оценке системы внутреннего контроля процессов аудитор меньше уделяет внимания тем этапам, которые находятся между этапами с существенными контрольными процедурами. То есть, например, если аудитор проводит аудит процесса «Закупки», то, получив достаточное подтверждение существования процедуры тендера, он должен убедиться, что с победителем тендера заключается договор, условия которого соответствуют условиям, зафиксированным по итогам тендера в качестве победных. Намного меньшее значение имеет тестирование этапов процесса между этими контрольными процедурами, а ведь между ними располагается целый процесс «Согласование договора», начиная от формирования проекта договора и заканчивая подписанием окончательной версии (более подробно аудит процесса «Закупки» рассмотрен в соответствующей главе). Однако, если аудитор участвует в проекте оптимизации бизнес-процесса, сквозное тестирование приобретает более существенное значение, так как даже незначительные на первый взгляд операции могут иметь несопоставимо больший потенциал дополнительной эффективности. Один из самых простых и ярких невыдуманных примеров мелких операций, имеющих большой потенциал для оптимизации процесса, – это, мягко говоря, неадекватное использование ИТ-систем – пересчет массива цифровых данных из таблицы Microsoft Excel на калькуляторе.

• Ограниченность ресурсов – в первую очередь количество и качество человеческих ресурсов, а также время и технические возможности. Разумеется, любой руководитель проекта аудита чувствует разницу между работой опытного и начинающего аудитора. Начинающий аудитор требует внимания и дополнительного времени, т. к. редко выполняет работу качественно с первого раза. Он склонен впадать в крайности и делает то слишком мало работы, то много ненужного. Чувство меры приходит с практикой. Также процессы бывают довольно объемными с точки зрения структуры и количества этапов, и полное сквозное тестирование силами одного аудитора может потребовать слишком много времени, исходя из ситуации на момент его проведения. Нормальной практикой следует считать привлечение к сквозному тестированию наряду с автором описания процесса еще одного или двух аудиторов. Некоторые процессы сложны с точки зрения понимания происходящего в них. У аудитора не всегда есть соответствующая подготовка. Например, для проведения сквозного тестирования процесса «Производство» требуются знания специфики аудируемого производственного процесса. Время всегда было, есть и будет ценным и ограниченным ресурсом аудитора, т. к. одной из ключевых целей аудиторских проектов является не только выполнение работы, но и осуществление ее в сроки, установленные планом проекта. Технические сложности в основном связаны с ограничениями использования ИТ-систем. Например, если на предприятии используется сложная управленческая система типа Oracle или SAP, то аудитору необходимо не только получить доступ к этой системе, но и разобраться в нюансах ее работы.

• Соображения целесообразности – в силу ограниченности ресурсов при проведении проектов внутреннего аудита соблюдение принципа «затраты/выгоды» во многом оправдывает себя. Когда речь идет об ограниченности ресурсов, чаще всего подразумевается не их отсутствие, а, если так можно выразиться, ограниченность достаточности ресурсов. При годовом планировании и планировании проекта вы рассчитываете срок проекта на основании исходных данных о его составляющих, включая доступные ресурсы. Чем амбициознее годовой план, тем выше требования к качеству управления проектами. Чем меньше резервов в вашем распоряжении, тем больше зависимость от качества управления проектами. Качественное управление проектами подразумевает выбор оптимального соотношения «затраты/выгоды» при одновременном достижении разумной уверенности в результатах проектов. Поэтому, когда аудитор проводит сквозное тестирование процесса, он должен зафиксировать момент достижения разумной уверенности. После этого продолжение сквозного тестирования противоречит принципу «затраты/выгоды». Разумная уверенность имеет только две формы – она либо есть, либо ее нет. Например, при проведении проектов по оценке системы внутреннего контроля процессов в большинстве ситуаций аудитор достигает разумной уверенности в достижении целей процесса после тестирования ключевых контрольных процедур. Тестирование более мелких и точечных контрольных процедур чаще всего приводит лишь к подтверждению полученного вывода. Однако в некоторых случаях такое тестирование все же нужно проводить. Принятие правильного решения в данной ситуации, как и во многих других, зависит от опытности и квалификации команды внутренних аудиторов.

• Степень совершенства процесса – в моем понимании совершенный процесс, наряду с множеством прочих характеристик, имеет механизмы саморегулирования и генерирует, обрабатывает и хранит достаточно информации для обеспечения их работы. Саморегулирование в принципе невозможно только на основании оценки работы системы в текущий момент, необходимо использовать как ранее полученные данные, так и значения параметров, которыми система должна обладать в будущем. Иными словами, процесс, находящийся на пути к совершенству, постоянно накапливает, анализирует и хранит данные о себе самом в процессе функционирования. Именно эти свойства чаще всего отсутствуют в процессах многих российских компаний. Большинство ключевых процессов в российских компаниях управляются на основании, дипломатично выражаясь, экспертных оценок. Даже если аудитору посчастливится набрести на процесс, в ходе которого осуществляется работа с определенными данными, в большинстве ситуаций этот позитивный фактор омрачается проблемами достоверности данных и качества их обработки. Это означает, что аудитор часто сталкивается с необходимостью выбора – либо оценивать процесс в режиме онлайн (т. е. присутствуя при исполнении процесса), либо не оценивать его вообще. Как я уже упоминал, возможности оценки процесса в режиме онлайн весьма ограниченны. Цикл многих ключевых процессов более одной недели. Сквозное тестирование ключевого процесса, например в ходе проекта по оценке системы внутреннего контроля процессов, в большинстве случаев должно занимать не более двух-трех дней. Так, при оценке процесса «Закупки» аудитор начинает тестирование процесса с этапа «Формирование заявок». Однако если такие заявки формируются один раз в месяц, при их составлении используется «экспертная оценка», их формат произволен и заявки не сохраняются, то тестирование данного этапа процесса становится практически невыполнимым. Особенно если аудитор приступил к аудиту этого этапа в межсезонье (т. е. в период между последней и следующей заявкой). Ситуации, подобные описанной, к сожалению, встречаются сплошь и рядом.

• Степень контроля процесса – существует определенная корреляция между степенью совершенства процесса и адекватностью и эффективностью его системы внутреннего контроля. Однако на практике такая корреляция не перерастает в правило. По аналогии с хорошо организованным процессом оптимальная система внутреннего контроля процесса так или иначе генерирует следы осуществления контроля и накапливает статистику по отклонениям. Однако в большинстве случаев при аудите российских предприятий аудитор сталкивается с отсутствием очевидных следов осуществления контроля процесса. В российской экономике, к сожалению, для целей контроля широко используется метод указательного пальца. Это означает, что недостаток контроля процесса не будет обнаружен и исправлен до тех пор, пока вышестоящее руководство не обратит на него внимания (частенько случайно) и не укажет на необходимость его устранения. Поэтому, проводя сквозное тестирование, аудитор должен быть готов к определенным трудностям. На практике довольно часто возникают ситуации, когда наличие контроля этапа процесса неочевидно, однако аудитору не стоит торопиться с вынесением окончательного приговора. Необходимо удостовериться в отсутствии как очевидных контрольных процедур, так и неочевидных, поскольку это напрямую влияет и на содержание отчета, и на точность, полезность и практичность рекомендаций. В определенных ситуациях можно отказаться от тестирования с пристрастием какой-то контрольной процедуры, если имеются компенсирующие контрольные процедуры.

Обратное тестирование (когда невозможно идти от начала процесса к его завершению). Стандартный способ проведения сквозного тестирования известен – выбирается один или несколько входов в процесс и прослеживается трансформация этих входов при осуществлении этапов процесса вплоть до получения конечного выхода. Однако в ряде случаев у аудитора отсутствует возможность проведения сквозного тестирования от начальных этапов процесса к завершающим этапам процесса. В этой ситуации аудитор должен помнить о возможности проведения сквозного тестирования в обратном направлении, от завершающих этапов к начальным. Невозможно систематизировать все ситуации, в которых целесообразно обратное тестирование. Значительная их часть связана с отсутствием сопоставимости входов и выходов последовательно расположенных этапов процесса. Например, возвращаясь к этапу «Формирование заявки» процесса «Закупки», аудитор видит, как потребность (в виде обоснованного требования работников подразделения) преобразуется в заявку на закупку. Аудитор может выбрать одну или несколько заявок для дальнейшего тестирования. Для простоты предположим, что закупка осуществляется в рамках уже заключенного долгосрочного договора. За этапом «Формирование заявки» следует, например, этап «Формирование заказа», владельцем которого является отдел поставок. Однако отдел поставок может осложнить работу внутреннего аудитора, если он формирует укрупненные заказы без следов обработки заявки, особенно когда закупаемая номенклатура не является уникальной. Таким образом, из содержания этапа «Формирование заказа» не совсем понятно, была ли обработана выбранная заявка/заявки. Однако при отсутствии связи заявка – заказ весьма часто имеется связь заказ – поставка. Поэтому аудитор может сделать выборку поставок и попробовать проследить исполнение процесса в обратном направлении, от поставки к заявке. Например, это можно сделать, если отдел поставок оповещает подразделение о поступивших по его инициативе ТМЦ.

Параллельное выполнение описания процесса и сквозного тестирования. Опытные аудиторы должны стремиться совмещать составление описания процесса и его сквозное тестирование. В целом это является хорошей практикой и позволяет экономить ресурсы проекта. Кроме того, наличие такого умения у аудитора является основанием для профессиональной гордости. Основная сложность совмещения двух процедур заключается в необходимости навыка правильного и быстрого принятия решений при возникновении нестандартных ситуаций, в большинстве своем связанных с нестандартной структурой и наполнением этапов процесса. Если аудитор, например, сталкивается с тем, что выход из предыдущего этапа процесса нельзя однозначно соотнести с выходом из последующего этапа, ему необходимо оперативно определить, является ли данная ситуация поводом для более тщательного анализа, отказа от тестирования последующего этапа процесса, обратного тестирования или для изменения параметров исходной выборки. Все это звучит несколько абстрактно, но в целом описывает алгоритм принятия аудиторского решения. И такие решения принимаются именно во время проведения интервью без дополнительных размышлений.

Далее по традиции приведу варианты решений некоторых точечных ситуаций, наработанные практикой.

• Все протестированные в ходе сквозного теста файлы и документы должны быть откопированы (сфотографированы, отсканированы) и сохраняться у аудитора. Такие документы являются рабочей документацией по проекту и нередко используются в дебатах по недостаткам и рекомендациям с представителями объекта аудита и вышестоящим руководством. В аудите, как в шахматах, ходы надо записывать.

• Хорошей практикой является графическое представление результатов сквозного тестирования. По каждому процессу получается как минимум две схемы – одна схема с описанием процесса, вторая схема с результатами сквозного тестирования. Возможен вариант совмещения схем. В этом случае различия между описанным (регламентированным) вариантом процесса и фактическим вариантом процесса показываются графически: если по результатам сквозного теста этап процесса не удалось подтвердить, то его на схеме выделяют, например серой заливкой.

• Сквозное тестирование является, в том числе, инструментом сбора информации о рисках процессов объекта аудита. Все наблюдения (недостатки), выявленные в ходе описания и сквозного теста, должны фиксироваться, например в форме наблюдений в файле со сквозным тестом, либо в матрице рисков, либо в ином документе. Также имеет смысл выявленные достоинства процесса и связанных с ним контрольных процедур фиксировать в форме наблюдений в файле со сквозным тестом либо в отдельном документе, посвященном лучшей практике, встреченной в проекте.

• Еще одним вариантом выхода из ситуации, когда невозможно осуществить последовательное тестирование процесса от начала до конца только на основании выборки изначального входа в процесс, является блочное тестирование. В данном случае делают выборку изначального входа в процесс и начинают сквозное тестирование. Как уже говорилось, на каком-то этапе процесса прерывается однозначная связь между выходом из предыдущего этапа и выходом из последующего. В этом случае аудитор просто завершает работу с первой выборкой и делает новую выборку из выхода этапа процесса, на котором произошло прерывание. Таким образом, аудитор проводит сквозное тестирование по блокам этапов аудируемого процесса. В ряде случаев такой вариант тестирования может быть единственно возможным.

Визуальные обследования (наблюдения и инвентаризации), использование фото– и видеотехники.

Визуальные обследования являются одним из видов тестирования. Обычно этот вид тестирования выделяется в отдельную категорию по той причине, что основным результатом тестирования является факт созерцания объекта. Существуют две основные процедуры проведения визуального обследования – наблюдение и инвентаризация.

Наблюдения являются основной процедурой для того, чтобы убедиться в структуре и содержании процесса, т. е. в существовании процесса. Во многих случаях аудиторы имеют дело с результатами завершившихся процессов. На их основе они выносят суждения. Наблюдение за осуществлением процесса часто помогает выяснить множество нюансов, недоступных для восприятия иным образом. Например, как-то раз в ответ на запрос сотрудник объекта аудита пожаловался, что его выполнение займет много времени. Запрос касался обработки данных в программе Excel и формирования таблицы с результатами. При выяснении причин такого пессимизма выяснилось, что сотрудник обладает чрезвычайно посредственными навыками работы в Excel. Так, вместо того, чтобы копировать формулу сразу во все требующиеся ячейки, он копировал ее в каждую ячейку по отдельности. Это выяснилось именно при наблюдении за тем, как сотрудник пользуется программой. К сожалению, аудиторы нечасто используют данный вид тестирования, хотя его результаты могут быть весьма полезны при формировании рекомендаций. Например, возвращаясь к вышеупомянутому случаю, в числе прочего было также рекомендовано провести обучение сотрудников объекта аудита работе с программой Excel.

Инвентаризация является одной из ключевых базовых процедур тестирования во внутреннем аудите. Нет смысла останавливаться на деталях ее проведения, т. к. этому посвящено множество материалов. Из общедоступных источников следует выделить «Методические рекомендации по получению аудиторских доказательств в конкретном случае (инвентаризация)» (одобрены Советом по аудиторской деятельности при Минфине России, протокол № 41 от 22 декабря 2005 г.). Данные рекомендации, что называется, заточены под профессиональные задачи внутреннего аудита. Однако хотелось бы обратить внимание на ряд нюансов проведения процедуры инвентаризации.

• «От факта к учету и от учета к факту» – процедура инвентаризации является классическим примером реализации данного принципа на практике. Во многих случаях проблема не в том, что не удается обнаружить номенклатурную позицию, отраженную в учете. Аудитора больше должно настораживать наличие номенклатурных позиций, не отраженных в учете. Это может свидетельствовать как о технических проблемах в процессе, так и о мошенничестве, например сером производстве или несанкционированной продаже активов компании на сторону.

• Участие сотрудников объекта аудита в инвентаризации – часто имеет смысл обратить внимание на действия сотрудников объекта аудита, когда они пытаются продуктивно участвовать в процедуре. В этом случае аудитор параллельно с инвентаризацией проводит еще и наблюдение. Сотрудники объекта аудита нередко плодят ляпы при проведении инвентаризаций.

• Протокол результатов инвентаризации – по результатам инвентаризации полезно составлять протокол за подписью участников процедуры. В большинстве случаев аудиторы участвуют в выборочных инвентаризациях, проводимых по их собственной инициативе. В инвентаризациях такого рода не обойтись без участия представителей объекта аудита. Именно их подписи и должны подтверждать результаты инвентаризации, иначе они могут быть оспорены, и аудитору будет чрезвычайно сложно отстоять свою позицию.

• Техническое состояние и параметры объекта – в процессе инвентаризации необходимо обращать внимание как на параметры инвентаризируемых объектов, так и на их техническое состояние. Разумеется, аудитор не всегда может точно определить, является ли конкретный объект именно тем, за который его выдают (например, многие из вас знают, что такое цильпебс?). Необходимо прилагать максимум усилий для нивелирования недостатка знаний, например путем привлечения независимых экспертов, использования фотосъемки, проведения предварительной подготовки, формирования доступной для понимания выборки. Что касается технических параметров инвентаризируемых объектов, то крайне важно по мере возможности проводить их оценку в процессе инвентаризации. Даже элементарная визуальная оценка технического состояния инвентаризируемых объектов во многих случаях может дать результат, т. е. указать на существование рисков и недостатков процессов и системы внутреннего контроля.

• Техническое состояние средств обеспечения сохранности – инвентаризация – это повод не только убедиться в наличии и надлежащем техническом состоянии имущества компании, но и оценить состояние средств обеспечения сохранности имущества. В первую очередь речь идет о средствах физической защиты от несанкционированного использования (заборы, сигнализация, замки и т. д.) и средствах, обеспечивающих сохранение полезных физических свойств имущества (складские помещения, холодильники, пожарная сигнализация и т. д.). Например, один раз при проведении инвентаризации была обнаружена протечка крыши склада, при этом вода потихоньку подбиралась к электрическому щиту. Таким образом, инвентаризация сама по себе оказалась полезной для предприятия.

Также хотелось бы обратить внимание аудиторов на целесообразность использования фото– и видеотехники. Визуальное свидетельство является самым убедительным доказательством. В современных условиях хорошее качество съемки стоит весьма недорого. Существует несколько ситуаций, в которых аудитор извлечет максимум пользы от использования фото– и видеотехники.

• Использование фотоаппаратов вместо сканеров – во многих случаях использование фотоаппарата взамен сканера дает существенную экономию как времени, так и трудозатрат. Бывают ситуации, когда сканером пользоваться вообще невозможно (например, при необходимости запечатлеть документ, находящийся в плотно прошнурованной папке).

• Посещение производственных объектов – такого рода посещения могут преследовать различные цели. Например, довольно часто аудиторы посещают объекты предприятия, чтобы увидеть вживую, как они функционируют. В такой ситуации есть смысл провести съемку как просто для коллекции или информации, так и для профессиональных целей (например, съемка объектов или ситуаций, представляющих угрозу для здоровья сотрудников предприятия, – отсутствие средств индивидуальной защиты на работниках предприятия в процессе их работы и т. п.).

• Проведение аудита ряда специфичных процессов – существуют процессы, при аудите которых использование фото– и видеосъемки является едва ли не обязательным условием успешного проекта. К ним в первую очередь относятся: 1) управление запасами (включая организацию складского хозяйства); 2) управление активами; 3) ремонт и техническое обслуживание; 4) инвестиции. В ходе аудита по тематике этих процессов необходимо так или иначе анализировать информацию о наличии и техническом состоянии объектов имущества. Наличие одного-единственного снимка может избавить от необходимости многословных рассуждений. Например, в соответствии с данными учета запечатленная на рис. 8 единица техники находилась на момент съемки в рабочем состоянии и активно использовалась в производственной деятельности предприятия.

^{Рис. 8. Пример использования фотоаппарата при проведении инвентаризации}

Формирование выборки.

Процедура выборки является неотъемлемым этапом проекта внутреннего аудита. Она подробно описана в различных источниках, посвященных теме аудита. Однако во многом такие описания носят академичный характер. Предлагаю заострить внимание на тех нюансах, с которыми практик внутреннего аудита обязательно сталкивается в реальной жизни.

Нюанс 1. Многие красивые пируэты из теории проведения выборок весьма затруднительно использовать на практике. Например, для случайного отбора теория предписывает использовать генератор случайных чисел или таблицы случайных чисел. Однако найти такие данные, к которым можно применить данный метод отбора, очень сложно, поскольку на практике редко встречаются достаточно однородные генеральные совокупности.

Нюанс 2. Очень часто формирование выборки требует существенных затрат ресурсов, ключевым из которых является время. Особенно это актуально, когда аудитору требуется выборка данных в таком аналитическом разрезе, который отсутствует в учете предприятия. Например, аудитор анализирует деятельность автотранспортного предприятия и ему для оценки обоснованности величины затрат на единицу техники нужны данные по затратам в разбивке по каждой единице техники и в разрезе статей затрат. В большинстве случаев такого рода затраты собираются и учитываются котловым методом. По этой причине, чтобы провести тест, аудитору придется сначала собрать данные в требуемом аналитическом формате.

При выборе между необходимостью сформировать требуемую выборку и вписаться в лимиты ресурсов проекта у аудитора нет иного выхода, кроме как положиться на свое суждение. Ключевым критерием оценки в данном случае является сопоставимость объема затрат и уровня существенности предполагаемого результата анализа выборки.

Нюанс 3. Среди руководства российских компаний встречаются персонажи, которые весьма саркастично воспринимают выводы аудитора по результатам анализа выборки на том основании, что это анализ всего лишь выборки, а не всей совокупности. Особенно это касается руководителей, страдающих комплексом неполноценности, а также имеющих грешок-другой в отношении активов компании. В любом случае, какой бы статистически продвинутый метод ни использовал аудитор, всегда найдется тот, кто поставит под вопрос его адекватность. К таким поворотам необходимо быть готовым.

Нюанс 4. Чем проще сформирована выборка, тем проще окружающим поверить в то, что она является представительной. Нужно руководствоваться уровнем профессионального и личностного развития конкретных персоналий объекта аудита и пользователей аудиторского отчета. Также существует определенная категория руководителей, которых раздражает излишне научный подход к деятельности предприятия.

Нюанс 5. Многие склонны путать понятия «репрезентативность» и «ошибка выборки». Аудитор должен понимать, что репрезентативная выборка не обязательно большая. Точнее сказать, репрезентативная выборка имеет те же ключевые качественные параметры, что и генеральная совокупность. В свою очередь величина ошибки выборки должна определять степень легитимности экстраполяции. Однако величина ошибки выборки носит очень часто умозрительный характер. Это означает, что большинству значение ошибки выборки ни о чем не говорит (это много или это мало?). Поэтому, если аудитор хочет поступить хитро в определенных случаях, лучше сделать упор на том, почему выборка репрезентативна, и опустить подробности про ошибку выборки.

Нюанс 6. Как известно, результаты, полученные по итогам анализа выборки, можно отождествить не только с выборкой, но и с генеральной совокупностью. Это происходит в результате экстраполяции. По классическим канонам для обеспечения легитимности экстраполяции необходимо, чтобы выборка была репрезентативной. Кроме того, ошибка выборки не должна превышать некоего предельного значения. Однако ввиду того, что далеко не все руководители российских предприятий разбираются в статистике хотя бы на базовом уровне, нередко возникают претензии к легитимности экстраполяции, даже если все сделано в полном соответствии с теорией. Часто речь идет не о том, правильно ли применена экстраполяция, а о том, считают ли ее правильной руководители объекта аудита и пользователи аудиторского отчета.

В любом случае использование экстраполяции как минимум повышает интерес к результатам работы команды внутренних аудиторов. Одно дело, когда речь идет, допустим, об отклонении в 5 руб., другое дело, когда в результате экстраполяции отклонение превращается в 5 млн руб.

Еще один существенный плюс использования экстраполяции – возможность оценки масштаба обнаруженной проблемы, а значит, более оперативного решения, что делать с проблемой. Побочным положительным эффектом является то, что экстраполяция может обеспечить сопоставимость данных по различным объектам аудита.

В целом можно сформулировать простое правило – экстраполяцию однозначно стоит применять, если основная цель – это вызов эмоций руководителей объекта аудита и пользователей аудиторского отчета. Для стимулирования конструктивных действий экстраполяцию следует применять осмотрительно.

Нюанс 7. Довольно часто аудитор вынужден работать с ограниченной выборкой. В таких случаях выборки с формальной точки зрения ставят под сомнение легитимность экстраполяции. Данное обстоятельство чрезвычайно будоражит руководителей объекта аудита. Особо неблагодарных и порой весьма гнусных начинает переполнять радость, и они готовы взахлеб рассуждать об ущербности как аудиторов, так и используемых ими методик. Все аудиторы рано или поздно оказываются в подобной ситуации. Однако правильные аудиторы, честно и профессионально выполняющие свою работу, должны помнить правило – «один факт – случайность, два – преднамеренность, три – тенденция». Во многих случаях даже выводы на основе анализа малых выборок доказывают свою жизнеспособность на практике, особенно со временем, когда фактов становится больше.

Нюанс 8. Возможно, с точки зрения человеческого восприятия статистическая (случайная) выборка выглядит более объективно, чем нестатистическая. Однако не стоит забывать маленький нюанс – один из вариантов случайной выборки может соответствовать варианту нестатистической выборки.

Как бы то ни было, во многих случаях использование нестатистической выборки приводит к более весомым результатам, чем использование случайной выборки. В первую очередь это связано с улучшением результата в пересчете на единицу затраченных ресурсов, чаще всего времени. Единственным существенным препятствием в использовании нестатистической выборки является степень развития аудиторского суждения, а также просто профессионального чутья. Малоопытные аудиторы получат немного дополнительной пользы от использования данного метода. Одним из следствий этого является необходимость участия опытных аудиторов в процедуре определения выборки или, как минимум, проверки, сформированной выборки, даже если ее анализ будет проводиться менее опытным аудитором. Это намного полезнее, чем переделывать работу.

Нюанс 9. При запросе аудитор должен стремиться максимально точно определять параметры выборки. Например, лучше запросить данные «…за январь, июль и декабрь … года», чем данные «…за три месяца … года». Абсолютно недопустимо предоставлять сотрудникам объекта аудита право делать выборку. Однако, если есть возможность использовать сотрудников объекта аудита для «причесывания» выборки (например, изменения формата данных, чтобы упростить анализ), надо незамедлительно этим воспользоваться.

Нюанс 10. В течение проекта внутреннего аудита аудиторы выполняют как минимум несколько выборок. Нередко как минимум часть выборок нельзя сделать без участия сотрудников объекта аудита. Учитывая это, необходимо помнить о трех простых правилах взаимодействия с сотрудниками объекта аудита при формировании выборки.

• Правило 1. Если выборка в той или иной части готовилась силами сотрудников объекта аудита, то необходимо проверить ее полноту и правильность. Проверку лучше выполнить до завершения формирования выборки. Наиболее простой способ проверки состоит в том, чтобы с помощью сотрудников объекта аудита проследить процесс формирования выборки. Существуют и альтернативные варианты, например использование аналитических процедур или проведение сверок с взаимосвязанными данными.

• Правило 2. Сотрудники объекта аудита могут тянуть время. Это часто случается по одной из двух причин – либо сотрудники испытывают какие-либо затруднения в процессе подготовки выборки, либо все это латентный саботаж. В первом случае необходимо оказать содействие – дать дополнительные пояснения, подумать, как изменить выборку для упрощения ее подготовки, самостоятельно найти способ проведения выборки и обучить сотрудников объекта аудита и т. д. Во втором случае необходимо воспользоваться третьим правилом.

• Правило 3. В случае намеренного затягивания процесса выборки или прямого отказа от проведения выборки необходимо оценить ситуацию, чтобы выяснить, нет ли в этом вины команды внутреннего аудита. Если команда действовала в полном соответствии с профессиональными канонами, остается только применить правило японского эскалатора. Его суть заключается в последовательном применении уважения и напряжения. Руководитель команды внутреннего аудита сначала самостоятельно пытается решить проблему начиная с того уровня менеджмента, на котором она возникла. При этом он вежливо разъясняет возможные варианты развития событий, включая обращение за помощью к следующему уровню руководства объекта аудита. Основная цель данной процедуры – показать бессмысленность сопротивления. И так по цепочке, при необходимости вплоть до высшего руководства объекта аудита. Если действия руководителя проектной команды не увенчались успехом, он должен сообщить о затруднениях руководителю ПВА. У руководителя ПВА есть три варианта действий – санкционировать отказ от проведения конкретной выборки, самому применить правило японского эскалатора, начиная с уровня высшего руководства объекта аудита и заканчивая аудиторским комитетом, прервать текущий проект до решения вопроса или прекратить его полностью. Два последних варианта нежелательны, т. к. создают негативный прецедент.

Детальное тестирование.

В данном разделе рассматривается процесс детального тестирования в том виде и с той начинкой, которые практикуются при проведении процессного аудита. Разумеется, во многих случаях подходы и методики, изложенные в этом разделе, можно применить и к иным проектам внутреннего аудита, в ходе которых проводится детальное тестирование.

Детальное тестирование является ключевым процессом в проекте внутреннего аудита, так как именно по его результатам формируется и кристаллизуется материал для отчета по проекту. При выполнении детального тестирования аудитор использует разнообразный набор процедур и методик – сверки, расчеты, преобразование данных, пересчет, установление взаимосвязи (корреляции и т. д.) и прочее. Высшим пилотажем для внутреннего аудитора является гармоничное и продуктивное совмещение аналитических процедур с детальным тестированием.

При проведении детального тестирования полезно следовать двум фундаментальным принципам.

Принцип 1. Принцип гипотезы – каждый детальный тест должен быть направлен на проверку определенного предположения или части такого предположения, сформулированного до начала выполнения теста. Попросту говоря, глупо приступать к работе, если нет хотя бы приблизительного представления о том, что должно получиться на выходе. С каждым этапом проекта такое представление должно качественно улучшаться и уточняться. К началу детального тестирования у команды внутренних аудиторов должен быть перечень гипотез, который они хотят проверить во время детального тестирования. В классическом варианте имеющиеся гипотезы заносятся в матрицу рисков и контрольных процедур, которая уточняется перед началом детального тестирования. В самой матрице гипотезы обычно называются рисками.

Принцип 2. Принцип разведки – необходимо применять тактику прощупывания потенциально перспективных тем для детального тестирования. Как известно, подавляющее большинство проектов внутреннего аудита проходит в условиях нехватки ресурсов для получения всей требуемой информации и проведения всего спектра процедур по всем потенциально интересным направлениям (рискам). Аудитору приходится постоянно делать выбор, исходя из соотношения ресурсов и приоритета направлений (рисков). Чтобы сделать выбор максимально эффективно, необходимо проводить разведку. В этом смысле проекты внутреннего аудита напоминают некоторые компьютерные игры, в частности те, где используется такой элемент, как «туман войны[12]. В них, чтобы приоткрыть содержание участка игровой карты, покрытого туманом (затемненного), достаточно провести разведку, используя хотя бы одного из персонажей, т. е. не обязательно задействовать все возможности. Также и при выполнении проекта внутреннего аудита не обязательно проводить полномасштабное детальное тестирование, чтобы убедиться в отсутствии существенных угроз и недостатков в выбранном направлении (риске). Для оценки серьезности проблемы, т. е. определения ее приоритета, достаточно выполнить только процедуры, позволяющие выполнить такую оценку. Например, при проведении аудита процесса управления активами аудитор обнаружил, что при списании отслуживших срок объектов основных средств отсутствует их отражение в управленческом и бухгалтерском учете как ТМЦ, пригодных к дальнейшему использованию, так и металлолома. Для оценки серьезности проблемы достаточно оценить объем таких списаний в разрезе номенклатуры и количества по данным учета (сформировать соответствующий отчет). Если большая часть списанных объектов основных средств не является сложными с конструкционной точки зрения (например, простые машины и механизмы), то с высокой вероятностью снимается вопрос оприходования ТМЦ, пригодных к дальнейшему использованию (приходовать особо нечего). Если большая часть списанных объектов основных средств состоит в основном не из металла, то, судя по всему, снимается вопрос отсутствия оприходования металлолома. Для закрепления данных выводов можно также оценить сохранение выявленных трендов в будущем, например на основании интервью с сотрудниками объекта аудита. Описанная в примере ситуация демонстрирует применение принципа разведки на практике.

Глобально существует два основных подхода к проведению детального тестирования – классический подход и продвинутый подход.

Классический подход.

При использовании данного подхода аудитору необходимо в первую очередь задокументировать систему внутреннего контроля объекта аудита. Затем выявленные контрольные процедуры ранжируются по степени существенности. Под существенностью обычно понимается способность контрольной процедуры влиять на риски, связанные с объектом аудита, хотя возможны и иные варианты. После этого в зависимости от ресурсов команды внутренних аудиторов оценивается дизайн всех или части выявленных контрольных процедур. Оценка дизайна может называться также оценкой адекватности контрольных процедур. Под адекватностью контроля понимается его способность способствовать достижению целей процесса или этапа процесса максимально эффективным образом, как с операционной, так и с экономической точки зрения, в том числе за счет эффективного воздействия на риски процесса или его этапа.

После того как оценка адекватности контрольных процедур проведена, принимается решение о тестирования их эффективности. При этом тестирование проводится только в отношении контрольных процедур, которые признаны адекватными. Если контроль признается неадекватным, то считается, что детальное тестирование закончено и можно приступать к формированию отчета. При тестировании эффективности контроля оценивается, насколько контрольная процедура работает в соответствии со своим дизайном. Для тестирования формируется относительно небольшая выборка – максимум 20–30 операций при условии, что контроль осуществляется на ежедневной основе. Если контроль осуществляется реже (раз в неделю, месяц и т. д.), то объем выборки еще меньше. По результатам тестирования делается вывод об эффективности контроля. Он считается эффективным, если контрольные процедуры с отклонениями составляют не более 5–10 % от выборки. К слову сказать, параметры выборки ничем не регулируются, в качестве ориентира используются параметры, рекомендуемые, например, компаниями Большой четверки. ПВА может использовать свои параметры, главное, чтобы результаты тестирования конструктивно воспринимались как руководством объекта аудита, так и пользователями отчета.

Классический подход довольно распространен в зарубежной практике внутреннего аудита. Существует много методических материалов, посвященных именно этому подходу к детальному тестированию, включая целые программы аудита. В общем его можно охарактеризовать как тестирование, направленное больше в ширину, чем в глубину. Как водится, у него есть как минусы, так и плюсы.

Плюсы классического подхода к детальному тестированию:

1. Требует меньше ресурсов и более низкой квалификации команды. Это одно из ключевых преимуществ. Относительная простота подхода обеспечивает его успешное освоение аудиторами начального уровня. Простота достигается, в том числе, за счет использования четких установок – контроль неадекватен, значит, дальше не тестируем, контроль адекватен – тестируем. Также ограничением выступает описание тестируемого процесса, если, конечно, именно этот процесс является объектом аудита – рассматриваются в основном контрольные процедуры, отраженные на схеме процесса.

2. Можно обеспечить сопоставимость результатов по различным объектам аудита. Наличие упомянутых четких установок обеспечивает унификацию подхода при тестировании различных процессов. Унификация приводит к сопоставимости. Сопоставимость результатов особенно полезна, когда аудиту подвергаются несколько однотипных объектов аудита, – можно как минимум выбрать лучший вариант системы внутреннего контроля и распространить дизайн на все однотипные объекты аудита.

Минусы классического подхода к детальному тестированию:

1. Под эффективностью контроля понимается, как часто и правильно срабатывает контрольная процедура, а не соблюдение принципа «затраты/выгоды». Сама методология тестирования в классическом подходе накладывает определенные ограничения на полезность подхода. К числу наиболее существенных ограничений относится отсутствие нацеленности на анализ эффективности с точки зрения экономического эффекта. В ряде случаев, хотя дизайн контроля признается адекватным, а сам контроль эффективным, имеются возможности увеличения эффекта контроля или снижения стоимости его администрирования, но в силу особенностей рассматриваемого подхода данные аспекты целенаправленно не анализируются.

2. Часто упускается из виду истинная причинно-следственная связь, что приводит к повторению ошибок. Классический подход во многом является поверхностным. Например, команда внутренних аудиторов в ходе аудита процесса «Управление запасами» проводит детальное тестирование в соответствии с классическим подходом. Аудиторы обнаруживают, что отсутствует инвентаризация при передаче ТМЦ от одного МОЛ к другому МОЛ. Они называют эту ситуацию основной причиной расхождений между фактическими и учетными данными о запасах ТМЦ. В определенной степени это может быть так. Однако даже если данная процедура будет внедрена, то в большинстве случаев это практически никак не повлияет на расхождения между фактическими данными о запасах ТМЦ и данными бухгалтерского и/или складского учета. Особенно если процедура инвентаризации проводится формально (что встречается довольно часто), а также отсутствуют надлежащие условия для хранения имущества (требование Трудового кодекса). В результате расхождения не устраняются. В приведенном примере продемонстрирован принцип работы в рамках классического подхода – использование коротких цепочек формальных причинно-следственных связей.

3. Классический подход во многом умозрителен – необходимость того или иного контроля может быть неочевидной, рассуждения о возможных рисках могут показаться руководителям объекта аудита и/или пользователям аудиторского отчета академичными. Подход не предполагает целенаправленного поиска последствий отсутствия тех или иных контрольных процедур или поиска последствий использования неадекватных контрольных процедур. Если контроль неадекватен, то дальнейшее тестирование не проводится. Это может приводить к ситуациям, когда большинство предлагаемых аудиторами рекомендаций приобретают в лучшем случае косметический характер. Например, часто аудиторы рекомендуют создавать регламенты процессов и процедур. Однако во многих случаях наличие регламента не обеспечивает автоматического исправления выявленного недостатка. Вместе с тем создание регламента может потребовать существенных затрат ресурсов, по крайней мере труда и времени, что не так уж мало. На этом фоне раздражение ответственных сотрудников объекта аудита оправданно.

4. Бывает трудно применить на практике, т. к. на российских предприятиях выполнение контроля часто не документируется. В этой ситуации аудиторы попадают в ловушку – для оценки контроля нужно, чтобы он оставил след, а если следов нет, то контроль оценить невозможно и при этом нельзя признать его однозначное отсутствие. Следствием являются многочисленные рекомендации по документированию контрольных процедур, что вызывает возражения, споры и прочий негатив со стороны руководства объекта аудита. Во многих случаях такая позиция руководства объекта аудита оправданна. Во-первых, наличие задокументированных контрольных процедур необходимо в первую очередь для оценки системы внутреннего контроля и не всегда оказывает значительное влияние на повышение ее адекватности и эффективности. В-вторых, документирование требует дополнительных ресурсов, а до большинства российских управленцев со скрипом доходит понимание целесообразности такого рода расходов.

Продвинутый подход.

Данный подход в полной мере может использоваться только внутренними аудиторами, имеющими существенный опыт процессного аудита. В его основе лежит ключевой навык правильного внутреннего аудитора – способность к импровизации. При детальном тестировании с использованием продвинутого подхода в большинстве случаев осуществляется несколько базовых процедур:

1. Выявление недостатков системы внутреннего контроля (отсутствие контрольных процедур или их серьезные дефекты). Данная процедура предваряет детальное тестирование и является частью описания процесса. По результатам описания процесса аудитор должен быть способен определить большую часть так называемых «узких» мест процесса с точки зрения как системы внутреннего контроля, так и структуры и содержания бизнес-процесса.

2. Оценка последствий недостатков системы внутреннего контроля посредством выявления реализовавшихся рисков. Отсутствие или наличие дефекта контроля далеко не всегда означает, что это однозначно ведет к какому-либо существенному негативу для предприятия. Для этого необходимо наличие связи между недостатками и их последствиями. В этой ситуации наличие существенного опыта у внутреннего аудитора значительно экономит ресурсы проекта – опытный аудитор знает, где и что искать. Например, малоопытный аудитор вряд ли увидит связь между отсутствием инвентарных номеров и отсутствием расхождений между данными учета и фактическими данными по результатам инвентаризаций. Однако опытный аудитор знает, что в данном случае высока вероятность формального проведения инвентаризации, так как во многих случаях инвентарный номер – это единственная связь между физическим объектом и данными учета по объекту.

3. Выявление реализовавшихся рисков. Практически всегда обнаруживаются реализовавшиеся риски, которые сложно с ходу соотнести с тем или иным недостатком системы внутреннего контроля или структуры и содержания процесса. Например, большинство тендерных процедур в процессе закупок на предприятиях слабо противодействуют такому явлению, как демпинг. Процедура тендера может быть спроектирована вполне адекватно, и только выявление последствий фактов демпинга (например, требование подрядчика оплатить дополнительные работы в связи с «увеличением объема работ вследствие более сложных геологических условий») может указать на необходимость доработки. Демпингующая компания очень часто провоцирует два ключевых риска – либо неисполнение обязательств полностью или частично, либо запрос на дополнительное финансирование. Однако, даже если аудитор установит факты реализации любого из рисков, он вряд ли с ходу сможет определить, вследствие чего риск реализовался. Выявление реализовавшихся рисков представляет собой обратную связь с точки зрения имеющегося у аудитора представления о процессе на момент проведения детального тестирования. Наличие таких фактов показывает в том числе, что аудитор упустил определенные нюансы при описании процесса.

4. Установление полной цепочки причинно-следственных связей – от недостатка системы внутреннего контроля или процесса к реализовавшемуся риску и наоборот. По сути, в данном случае речь идет о более детальной проработке ситуаций, рассмотренных в п. 2 и 3. Она особенно требуется для формирования максимально адекватных рекомендаций, поскольку довольно часто метод устранения выявленного недостатка не так очевиден, как кажется на первый взгляд. Возвратимся к примеру, описанному выше. Демпинг может осуществляться как осознанно, так и неосознанно. В последнем случае такое нередко происходит по причине недоработки проектной документации (например, занижены объемы работ), если мы ведем речь о строительных проектах. Аудитор с ходу может порекомендовать улучшить качество подготовки проектной документации за счет, например, проведения большего объема предварительных работ или за счет увеличения количества времени на подготовку проектной документации. Однако такое решение может не оказать никакого эффекта на статистику демпинга, например вследствие естественной погрешности предварительных работ или отсутствия возможности выделить дополнительное время на подготовку проектной документации из-за срочности проекта. В подобных случаях необходимо более детальное представление о причинно-следственных связях.

5. Определение оптимального порядка действий для управления анализируемым риском. На этапе детального тестирования аудитор должен получить достаточный объем информации, чтобы сформировать оптимальные рекомендации. При этом целесообразно сопоставлять стоимость внедрения и функционирования контроля со стоимостью последствий реализовавшегося риска с учетом вероятности повторения его реализации. Это означает, что аудитору следует избегать создания контроля ради контроля. Каждая новая контрольная процедура или изменение существующей контрольной процедуры должны создавать положительный экономический эффект. Очень важно, чтобы аудитор разрабатывал рекомендации параллельно с проведением детального тестирования. Таким образом, проще спланировать проведение дополнительных работ, направленных на уточнение рекомендаций. Когда аудитор приступает к написанию финального отчета, проводить дополнительные работы уже поздно.

Исходя из вышесказанного, следует отметить, что в целом продвинутый подход – это тестирование больше в глубину, чем в ширину. Также в отличие от классического подхода здесь намного реже наблюдается линейная последовательность аудиторских процедур. Разумеется, продвинутый подход, так же как и классический, имеет плюсы и минусы.

Плюсы продвинутого подхода к детальному тестированию:

1. Анализируются причинно-следственные связи. В результате получаются более точные и полезные рекомендации, нацеленные на первопричины риска. Аудитор, однако, не должен забывать, что для поиска первопричин необходимо больше ресурсов, в первую очередь времени, чем просто на выявление недостатков.

2. Нацеленность на расчет экономического эффекта, что придает больше значимости выводам по результатам проекта внутреннего аудита. На расчет экономического эффекта также необходимы дополнительные ресурсы. Однако это часто нивелируется повышенным интересом к результатам работы ПВА со стороны высшего руководства и акционеров.

3. Выводы являются более доказательными, т. к. чаще основываются на рисках, которые уже реализовались. Это особенно важно при работе с российскими управленцами, особенно старой закалки, которые придерживаются принципа «если что-то нельзя пощупать, то этого не существует». Однако это не означает, что продвинутый подход ограничивается только реализовавшимися рисками. Технически продвинутый подход также направлен на выявление рисков, существенных как с точки зрения силы воздействия, так и с точки зрения вероятности.

Минусы продвинутого подхода к детальному тестированию:

1. Требует более значительных затрат ресурсов и более высокой квалификации команды. Как уже говорилось, продвинутый подход приносит больше результатов, когда его используют опытные аудиторы. Они способны форсировать промежуточные этапы анализа и могут быстро переключаться между различными причинно-следственными цепочками, а также выстраивать новые и достраивать цепочки в условиях ограниченной информации.

2. Ряд процессов (подпроцессов) могут целиком выпадать из тестирования в результате концентрации на крупнейших рисках. По этой причине аудит двух сопоставимых объектов аудита может проходить совершенно по-разному, теряется сопоставимость результатов аудита. То же самое происходит в случае аудита одного и того же объекта, проведенного в разное время. Однако во многом это, как ни странно, дело вкуса.

На практике редко встречаются ситуации, когда ПВА используют только один подход. Все-таки большинство ПВА являются экспертами как минимум в отдельных вопросах тематики своих проектов, например в области бухгалтерского и/или налогового учета. В этом случае команда внутренних аудиторов на проекте естественным образом склоняется к использованию продвинутого подхода к детальному тестированию. Если знания о нюансах аудируемого процесса стремятся к нулю, внутренние аудиторы склонны использовать классический подход. Так или иначе, чем ниже профессиональный уровень сотрудников ПВА, тем меньше у них возможностей сделать осознанный выбор между классическим и продвинутым подходом.

Также хотелось бы продемонстрировать разницу между двумя подходами на примере двух вариантов отчета (см. табл. 19). За основу взят стандартный формат пункта отчета – наблюдение (суть недостатка), последствия (к чему приводит недостаток), причина (что способствует недостатку), рекомендации (что нужно сделать для управления недостатком). Пример предполагает, что обнаружена негативная ситуация в ходе аудита процесса «Закупки» – подрядчики выбираются на произвольной основе без проведения конкурсного отбора путем тендера.

_{Таблица 19. Сопоставление содержания отчета при использовании разных подходов к тестированию}

Сначала рассмотрим результаты применения классического подхода к детальному тестированию.

После составления описания процесса аудиторы с высокой вероятностью обнаружат, что процедуры конкурсного отбора отсутствуют. В этой ситуации, исходя из методологии классического подхода, дальнейшее детальное тестирование не проводится, т. к. очевиден недостаток – отсутствие процедуры тендера. Поэтому в разделе «Наблюдение» аудитор ставит описание недостатка как отсутствие ключевой контрольной процедуры. Дополнительное детальное тестирование (например, чтобы уточнить последствия) не проводится, поскольку не проводится основное детальное тестирование. По этой причине в разделе «Последствия» приводится описание не фактических, а теоретических последствий, хотя и весьма вероятных. При формировании раздела «Причина» у аудитора возникают проблемы, т. к. ему необходимо установить причину исходя из проведенной работы, а это только описание процесса (дополнительное детальное тестирование опять не проводится, поскольку нет основного детального тестирования). Один из наиболее распространенных вариантов выхода из такой ситуации состоит в указании на отсутствие регламента, посвященного процессу «Закупки» и процедуре конкурсного отбора. Отсутствие или наличие регламента можно установить и на основе описания процесса. Если аудитор следует правильной методологии, то раздел «Рекомендации» заполняется автоматически – математически говоря, рекомендация равна причине с обратным знаком. Так как детальное тестирование не проводилось, аудитор не знает о фактах реализации рисков, связанных с отсутствием конкурсного отбора подрядчиков.

При использовании методологии продвинутого подхода детальное тестирование проводится как для формирования раздела «Наблюдение», так и для формирования разделов «Последствия» и «Причина». Отсутствие процедур конкурсного отбора подрядчиков уже не является основанием для прекращения работы, а наоборот, служит отправной точкой для ее начала. С помощью детального тестирования аудитор выясняет, наблюдались ли факты реализации рисков, связанных с отсутствием указанных процедур. После выявления таких фактов он проводит экономическую оценку реализовавшихся рисков и формирует содержание раздела «Наблюдения». Затем на основании экстраполяции или прямого пересчета (например, по аналогичным случаям на подходе) аудитор готовит информацию для раздела «Последствия». Чтобы установить первопричину выявленных недостатков, аудитору может потребоваться дополнительное детальное тестирование, в том числе для исключения основных теоретически возможных причин. Например, в рассматриваемом случае причиной выбора подрядчиков, предложивших более высокую цену при прочих равных условиях, могли быть арифметические или методологические ошибки проектной документации или срочная потребность в определенных работах или услугах. В качестве основной причины выступает отсутствие контрольной процедуры. Раздел «Рекомендации» заполняется автоматически – внедрить контрольную процедуру (в такие-то сроки и т. д.).

Как видно из вышеуказанных примеров, использование двух подходов приводит к формированию во многом различающихся отчетов. В целом отчет, сформированный с использованием классического подхода, имеет структуру, приведенную в табл. 20, а отчет, сформированный с использованием продвинутого подхода, – в табл. 21. Следует обратить внимание на один существенный нюанс. При использовании классического подхода довольно часто в качестве наблюдения указывается недостаток определенной контрольной процедуры, вплоть до отсутствия контроля как такового. Однако с точки зрения многих российских руководителей недостатки контрольных процедур или их полное отсутствие не являются очевидным негативом или фактором того или иного риска. По этой причине материалы, полученные с использованием продвинутого подхода, вызывают повышенный интерес у руководителей по сравнению с материалами, полученными с использованием классического подхода.

_{Таблица 20. Структура и суть содержания отчета (классический подход)}

_{Таблица 21. Структура и суть содержания отчета (продвинутый подход)}

По завершении детального тестирования формируется окончательный вариант матрицы рисков и контрольных процедур как итог процесса обновления матрицы в течение всего проекта. Обратите внимание на различия в структуре матрицы, сформированной с использованием разных подходов к детальному тестированию (см. табл. 22).

_{Таблица 22. Различия содержания матрицы при использовании различных подходов}

Приоритеты доказательств.

Тема достаточности доказательств характеризуется рядом неоднозначных моментов. При сборе и формировании доказательной базы аудитору необходимо иметь представление о следующих нюансах:

1. Бесспорность доказательств. Очень часто на бесспорность оказывают влияние психологические факторы. В этом смысле, как ни странно, бесспорность доказательств весьма субъективна. Один из наиболее типичных случаев подобной ситуации связан с конкретной выборкой, использовавшейся для проведения детального тестирования и формирования последующих выводов. Для одних руководителей нескольких случаев негатива уже достаточно, чтобы прочувствовать серьезность происходящего. Другие, фигурально выражаясь, замечают пожар только тогда, когда горит уже весь дом. При формировании доказательной базы аудитору необходимо руководствоваться не только общепринятой профессиональной методологией, но и восприятием результатов данной методологии руководством объекта аудита и пользователями отчета.

2. Сопоставимость существенности доказательств и доказываемой позиции. По общему правилу чем короче причинно-следственная цепочка, тем более очевидной является взаимосвязь событий. Например, некоторые аудиторы наивно полагают, что существенные огрехи процесса лечатся написанием регламента процесса. Однако на практике это почти всегда не так. Даже между уже написанным регламентом и его влиянием на устранение недостатков лежит огромная пропасть времени и событий. Или еще один типичный пример, когда необоснованность цены закупки ТМЦ доказывается альтернативными данными по ценам на эту ТМЦ из Интернета. В большинстве случаев данный подход к формированию доказательной базы по ценам неприменим. Условия формирования опротестованных цен понятны, а условия формирования цен из Интернета нет.

3. Качество бьет количество. По общему правилу одно прямое доказательство всегда лучше множества косвенных. Например, фотография изношенного объекта основных средств намного лучше говорит о его состоянии и полезности для производственного процесса, чем данные бухучета о сроке ввода данного ОС в эксплуатацию и статистика по проведенным ремонтам.

Также существует ряд качественных характеристик доказательств, которые оказывают влияние на их существенность:

1. Визуальные, письменные и устные доказательства. Данные виды доказательств выстроены в порядке убывания их существенности. Устные доказательства наименее полезны. Исключение может составить аудиозапись устного свидетельства, однако такой инструмент недоступен подавляющему количеству ПВА.

2. Внешние и внутренние источники доказательств. По общему правилу внешние источники более убедительны при их достаточной независимости по отношению к объекту аудита. Кроме того, внешний источник должен восприниматься как надежный сотрудниками объекта аудита и пользователями аудиторского отчета.

3. Доказательства, сформированные самим и не самим аудитором. В большинстве случаев доказательства, сформированные самим аудитором, намного надежнее. Однако надежность доказательств «со стороны» можно увеличить. Во-первых, можно провести дополнительные проверки (например, пересчет или сверку с другими источниками). Во-вторых, получить уверенность в том, что при формировании доказательств использовалась строго определенная методология. В-третьих, инспектировать процесс подготовки доказательств.

4. Доказательства, полученные из действующих ИТ-систем и из бумажных хранилищ. В целом данные из ИТ-систем более достоверны, чем данные из «бумажных» систем. В первую очередь это связано с наличием большего количества контрольных процедур в ИТ-системе. Кроме того, данные из ИТ-систем обычно сложнее изменить. В случае изменения в ИТ-системе часто остаются следы, позволяющие отследить его хронологию и суть. Также существует практика принятия решения о доверии ИТ-системе после специального тестирования, в основном направленного на оценку надежности ее системы внутреннего контроля.

5. Доказательства из систем, контролируемых и не контролируемых сторонними организациями (субъектами). Если есть сторонний субъект, заинтересованный в обеспечении достоверности и надежности данных, то такие данные, без сомнения, весьма надежны. Классическим примером являются данные государственных структур, осуществляющих регистрацию, например сделок с недвижимостью или таможенных процедур.

6. Оригинал и копия. Как ни странно, в целом особых различий нет. Просто психологически копия часто воспринимается как менее достоверная по сравнению с оригиналом.

7. Доказательства, имеющие только подпись и имеющие подпись и фразу, написанную рукой подписавшего. Это момент весьма специфичный. Однако если дело дойдет до определения личности составителя или подписанта документа с помощью графологической экспертизы, то второй вариант позволит это сделать. По одной только подписи невозможно установить личность ее автора.

Документирование работы внутреннего аудита.

Процесс документирования приводит к созданию рабочей документации. Любое ПВА выигрывает от внедрения оптимальной системы документирования работы в рамках аудиторских проектов. Наличие такой системы имеет ряд следующих существенных плюсов:

– Контроль качества выполнения работы на проекте. Существует две ситуации, когда наличие рабочих документов однозначно позитивно сказывается на повышении качества работы аудиторов. Во-первых, руководителю ПВА, в состав которого входит более шести-семи аудиторов, сложно контролировать ход работы без использования рабочей документации. Во-вторых, руководитель ПВА должен обязательно культивировать документирование, если в проекте участвуют новые сотрудники, возможности которых еще до конца не ясны. Компромиссным вариантом является контроль исполнения работы со стороны более опытных сотрудников. Тем не менее документирование обеспечивает более объективную оценку действий новых сотрудников.

• Тренировка коммуникативных и аналитических навыков. По сути, у многих сотрудников, особенно не участвующих в формировании отчета, нет иной возможности совершенствовать свои коммуникативные (в большей степени) и аналитические навыки, кроме как в процессе составления рабочих документов. Также это позволяет заранее выявлять слабые места в подготовке сотрудников ПВА и своевременно организовывать их обучение.

• Доказательство позиции по результатам аудита. Документирование способствует формированию более целостных и качественных доказательств, так как заставляет аудитора формировать и проверять причинно-следственные связи в ходе работы.

• Соблюдение принципа воспроизведения. Один из фундаментальных принципов методологии внутреннего аудита. Для его соблюдения необходимо обеспечить возможность любому сотруднику ПВА повторить работу другого сотрудника ПВА и прийти к тем же выводам. Без документирования работы сделать это практически невозможно. Объем и прочие характеристики документирования для соблюдения принципа воспроизведения могут определяться индивидуально для каждого объекта аудита и могут быть частью унифицированной методологии. Выбор во многом остается за руководителем ПВА.

• Формирование статистической базы. В данном направлении особых ограничений нет. Однако в первую очередь имеет смысл создавать базу по рискам, выявленным в ходе проектов, особенно тем, разобраться с которыми в ходе проекта не удалось. Это позволяет более осмысленно формировать тематику последующих аудитов как того же объекта, так и сопоставимых объектов аудита. Кроме того, наличие статистической базы определенным образом автоматизирует последующие проекты аудита, в первую очередь за счет устранения необходимости заново устанавливать все причинно-следственные связи. Например, по результатам аудита процесса «Персонал» было установлено, что основная причина текучести на предприятии заключается в низком уровне оплаты труда. При следующем аудите того же или другого процесса на том же предприятии при сохранении того же уровня текучести достаточно убедиться в отсутствии других причин и сохранении того же уровня оплаты труда, чтобы сделать вывод. Кроме того, выявленные причинно-следственные связи можно в первую очередь проверять при аудите сопоставимых объектов. Мощная статистическая база может упростить аудиторский процесс вплоть до аудита, полностью построенного на использовании чек-листа.

• Обеспечение соблюдения принципа преемственности. При отсутствии документирования в случае полного или существенного изменения команды внутреннего аудита большая часть ранее достигнутого утрачивается. Таким образом, с одной стороны, обеспечение принципа преемственности – это задача акционеров (для поддержания тонуса системы внутреннего контроля), с другой стороны – задача менеджмента, для сохранения потенциала института агентов изменений (аудит чаще многих других функций выступает с предложениями об изменениях). Парадокс заключается в том, что те и другие вряд ли представляют себе влияние документирования на обеспечение выполнения данных задач.

Что касается существенных минусов документирования, то по большому счету минус только один – эффективное документирование требует существенных затрат ресурсов. Например, с точки зрения времени документирование работы по аудиту процесса может занять в среднем 60–80 % времени, затраченного на выполнение самой работы. И это не считая времени устранения замечаний в рабочих документах по результатам их просмотра руководителем команды аудиторов.

Также хотелось бы обратить внимание на несколько нюансов, которые могут повысить эффективность и качество документирования.

Нюанс 1. Весьма полезно использовать перекрестные ссылки в рабочих документах. Такие ссылки в большинстве случаев представляют собой пометки, которые позволяют оперативно перемещаться между рабочими документами, имеющими причинно-следственные связи либо использующими взаимосвязанную информацию. Перекрестные ссылки можно проставлять как вручную (если рабочая документация готовится в бумажном виде), так и электронным способом (если рабочая документация готовится с использованием компьютерных программ). Варианты использования перекрестных ссылок весьма разнообразны, например ссылка из описания процесса на матрицу (для указания конкретного риска в конкретном месте процесса), из таблички с описанием теста на пункт отчета (для ускорения поиска деталей расчета, описанного в тесте).

Нюанс 2. Чем больше объем рабочей документации, тем больше потребность в использовании унифицированной терминологии. Логика достаточно проста – чем больше документов, тем больше тратится ресурсов на их обработку. Единообразная терминология ускоряет восприятие информации и улучшает качество восприятия, а значит, позволяет экономить один из ключевых ресурсов – время.

Нюанс 3. При документировании детального тестирования (таблицы в Excel и т. д.) существует два основных подхода (выбор во многом зависит от квалификации и численности команды). Первый заключается в том, что каждый этап работы (каждый тест, каждая выборка и т. д.) аудитора документируется независимо от того, попадет данный материал в отчет или нет. Такой подход целесообразно применять в случае многочисленной команды внутренних аудиторов (более пяти – семи человек) и/или относительно невысокой квалификации участников команды.

При втором подходе документируются только те этапы, по результатам которых высока вероятность получения материалов для отчета. Другими словами, если по результатам теста выясняется, что определенные недостатки приводят к убыткам, то такой тест должен быть задокументирован. При использовании второго подхода аудитор формирует рабочие документы часто по собственному усмотрению, ориентируясь лишь на ценность материала для отчета. Основной принцип – обеспечить достаточность доказательной базы. Такой подход подойдет для скромных по размерам ПВА (не более пяти человек) и/или для команды высокопрофессиональных аудиторов.

Несколько слов об оформлении матриц рисков и контрольных процедур и тестов. В целом какие-либо правила отсутствуют. Особенности оформления определяются как соображениями целесообразности и практичности, так и вкусом и предпочтениями руководителя ПВА и/или руководителя проекта. Как минимум методология оформления матриц и тестов должна способствовать обеспечению доказательности материалов отчета. Полезно придерживаться трех описанных выше нюансов. Например, описывать контрольную процедуру в матрице аналогично описанию на схеме процесса и наоборот (соблюдение принципа унификации). Или, например, в матрице указывается пункт и подпроцесс, где находится риск или контрольная процедура, при этом пункт совпадает с пунктом по схеме (принцип перекрестных ссылок), а название подпроцесса – с названием схемы (принцип унификации). Или еще пример: в столбце матрицы «Тестирование» указывается название и номер теста по соответствующему процессу. Для этой цели в каждом процессе используется определенная нумерация тестов (принцип перекрестных ссылок).

При оформлении тестов как минимум должны указываться следующие реквизиты (см. пример шапки теста в табл. 23):

1) исполнитель – например, зная исполнителя, можно сделать ряд предположений о том, насколько профессионально проведен тест;

2) цель – помогает контролировать ход тестирования. Также позволяет оценить адекватность выводов;

3) размер выборки – дает представление об объективности выводов и возможности экстраполяции результатов на совокупность в целом;

4) программа теста – позволяет сопоставить план работы с фактом;

5) вывод – позволяет оперативно установить результат тестирования без обязательного изучения материалов теста.

_{Таблица 23. Пример оформления детального теста}

Использование вопросников самоконтроля (control checklists).

Вопросники самоконтроля (далее вопросник) представляют собой довольно специфичный инструмент. Однако они используются во многих профессиях намного чаще, чем может показаться. По сути, вопросник представляет собой шпаргалку, в которой отражены наиболее важные моменты планируемого процесса или процедуры. Он полезен как начинающим аудиторам, так и продвинутым аудиторам (например, при контроле полноты и качества работы начинающих аудиторов). Также информация из вопросников может использоваться для унификации результатов проектов внутреннего аудита, а также для формирования статистических данных определенного содержания и в определенном формате. И это далеко не исчерпывающий список вариантов применения вопросников.

Формат и содержание вопросников определяются теми задачами, которые предстоит решить. Рассмотрим вопросник, представленный в табл. 24. Он использовался для повышения квалификации начинающих внутренних аудиторов в области описания и анализа процессов, а точнее этапов процессов. Это достигалось за счет фокусирования внимания на определенных элементах системы внутреннего контроля и процесса. Начинающий аудитор заполнял несколько вопросников по ходу проекта.

_{Таблица 24. Пример вопросника самоконтроля}

Раздел 1 «Статус по ключевым целям контроля в рамках процесса» – здесь необходимо оценить, во-первых, наличие указанных целей на этапе процесса, а во-вторых, достижение этих целей системой внутреннего контроля этапа процесса. Если цель контроля является актуальной и достигается, то ставится отметка в графе «Да». Если она является актуальной, но не достигается, то ставится отметка в графе «Нет». При наличии отметки в графе «Нет» необходимо пояснить в графе «Примечания» причину отсутствия цели. Если цель контроля является неактуальной, то в обеих графах ставятся прочерки. В этом случае также необходимо пояснить причину прочерков.

Раздел 2 «Статус по системе контроля» – в данном разделе используются всего два пункта. Пометка в графе «Да» означает дублирование контрольных процедур и/или адекватное разделение полномочий. Необходимо пояснить, почему разделение полномочий адекватно. Пометка в графе «Нет» означает отсутствие дублирования контрольных процедур и/или адекватного разделения полномочий. Необходимо пояснить, почему дублирование контрольных процедур отсутствует.

Раздел 3 «Статус по эффективности процесса» – наиболее развернутый раздел, состоящий из 12 подпунктов, предназначен для всесторонней оценки фундаментальных параметров этапа процесса. Разберем каждый подпункт.

• Пункт 3.1 «Соблюдение концепции “затраты/выгоды”» в рамках процесса» – соблюдать данную концепцию – значит принимать ключевые решения из соображений экономической целесообразности. Пометка в графе «Да» означает, что решения именно так и принимаются. В этом случае необходимо пояснить на существенных примерах причину такой отметки.

• Пункт 3.2 «Соблюдение концепции Change Control – процесс способен адекватно меняться в ответ на влияние внешних и внутренних факторов» – примером такого механизма является наличие процесса изучения рынка в составе процесса «Продажи» (маркетинговые исследования и т. д.). Изучение рынка способствует многочисленным изменениям в процессе «Продажи» (например, изменение ценовой политики) и в ряде сопутствующих процессов (например, изменение линейки выпускаемой продукции). Пометка в графе «Да» означает, что концепция соблюдается. В этом случае надо пояснить, за счет чего это достигается.

• Пункт 3.3 «Распределение полномочий в процессе соответствует распределению ответственности» – за счет правильного соотношения полномочий и ответственности достигается балансировка процесса. Пометка в графе «Да» означает, что соотношение правильное. В этом случае необходимо на существенных примерах пояснить, что это так.

• Пункт 3.4 «Скорость исполнения этапов процесса адекватна» – в этом случае можно дать как субъективную оценку (исключительно мнение внутреннего аудитора), так и в определенной степени объективную оценку (например, по аналогии с сопоставимыми объектами аудита, на основании мнения экспертов). Разумеется, предпочтение отдается более объективным оценкам. Отметка в графе «Да» означает, что скорость адекватна. В этом случае необходимо пояснить, за счет чего это достигается.

• Пункт 3.5 «Достаточность ресурсов для осуществления процесса» – понятие ресурсов трактуется в расширительном смысле (кроме персонала). Отметка в графе «Да» означает, что ресурсов достаточно. В этом случае необходимо показать, что поступления ресурсов за вычетом оттока ресурсов соответствуют потребности процесса.

• Пункт 3.6 «Достаточность квалифицированного персонала для осуществления процесса» – по аналогии с предыдущим пунктом. Отметка в графе «Да» также требует пояснения.

• Пункт 3.7 «Дублирование этапов процесса» – дублирование приводит к неэффективному расходованию ресурсов. Отмечается как в рамках одного процесса, так в рамках нескольких процессов. Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.8 «Повторы этапов процессов» – также приводит к неэффективному расходованию ресурсов. Отмечается как в рамках одного процесса, так и в рамках нескольких процессов. Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.9 «Неэффективное дробление или укрупнение этапов процесса» – неэффективное дробление приводит к увеличению существенности рисков, связанных с организацией процесса (например, чем длиннее цепочка согласующих лиц, тем дольше проходит согласование). Неэффективное укрупнение этапов процесса увеличивает существенность рисков, связанных с качеством выполнения процесса (например, необходимость переключения с одного вида работ на другие виды работ может приводить к увеличению ошибок). Отметку в графе «Нет» необходимо прокомментировать.

• Пункт 3.10 «Наличие механизмов самосовершенствования процесса» – к механизмам такого рода относится, например, периодическая переаттестация сотрудников. Отметка в графе «Да» требует перечисления имеющихся в процессе механизмов.

• Пункт 3.11 «Необходимость и возможность автоматизации процесса» – отметка в графе «Нет» требует привести веские доводы отсутствия как необходимости, так и возможности. Бывают ситуации, когда необходимость присутствует, а возможность нет. Такие ситуации также требуют комментариев.

• Пункт 3.12 «Наличие лучших практик» – речь идет об оценке целесообразности тиражирования различных аспектов анализируемого процесса в прочих процессах. У начинающих аудиторов заполнение данного пункта вызывает максимум затруднений, поскольку способность выявления лучших практик напрямую зависит от опыта и кругозора внутреннего аудитора. Отметка в графе «Нет» требует пояснений.

В большинстве случаев (кроме пункта 3.12) наличие отметки в противоположной графе означает, что данный аспект процесса представляет собой фактор риска той или иной степени существенности.

Фундаментальные ошибки.

В завершение главы хотелось бы подробнее остановиться на двух ключевых ошибках, которые допускают руководители ПВА при проведении проектов, – отсутствие процесса додавливания и отсутствие разведки.

Отсутствие процесса додавливания во внутреннем аудите. Во внутреннем аудите правило Парето работает очень хорошо. Очень часто 80 % времени уходит на выполнение 20 % работы, причем для выполнения этой части работы требуются дополнительные усилия. Зачастую они направлены на преодоление различных факторов психологического (например, сопротивление переменам), эмоционального (например, антипатия), административного (например, слабая поддержка руководства) и политического (например, руководитель объекта аудита родственник генерального директора или акционера) характера. Необходимость додавливать появляется практически с самого начала проекта, например:

• до начала проекта – что касается запросов, то, если что-то запрашивается, необходимо обеспечивать исполнение, иначе будет складываться мнение, что аудиторы запрашивают все на всякий случай и предоставление всего не обязательно;

• во время проекта – при проведении тестирования необходимо учесть все существенные обстоятельства и детали, иначе есть риск, что при обсуждении результатов проверяемая сторона представит новые данные, которые поставят под сомнение результаты аудита;

• после завершения проекта – наиболее важно додавить внедрение результатов аудита, любое послабление в данном вопросе, особенно вынесенное на широкую публику, имеет фатально негативные последствия для ПВА.

Внутренний аудитор по роду своей деятельности создает угрозу статус-кво. Это неизбежно вызывает противодействие. Аудитору приходится не только выполнять свою работу, но и искать способы нивелирования противодействия. По этой причине руководитель ПВА должен стараться избегать поводов для возникновения дополнительного противодействия, не связанного напрямую с деятельностью ПВА (например, придерживаться распорядка рабочего дня, хотя работа внутреннего аудитора имеет проектный характер, т. е. не требует постоянного пребывания на рабочем месте и фиксированного начала рабочего дня). Также для дозирования нагрузки, связанной с противодействием, руководитель ПВА должен придерживаться правила «один на один». Это означает, что в любой момент не стоит пребывать в серьезном конфликте более чем с одним владельцем ключевого процесса.

Отсутствие разведки. Важность разведки уже упоминалась в разделе, посвященном нюансам детального тестирования. Однако значение разведывательных действий в работе ПВА намного выше. Во многом по причинам, изложенным в предыдущем абзаце, каждое мало-мальски значимое действие ПВА должно предваряться эффективными разведывательными мероприятиями, например:

• до начала проекта – необходимо выяснить позицию менеджмента в отношении ключевых рисков объекта аудита;

• во время проекта – при обнаружении серьезного недостатка спрогнозировать возможную реакцию (например, могут потребоваться дополнительные данные, вплоть до личных предпочтений) владельцев объекта аудита и пользователей отчета, чтобы лучше подготовиться к доказыванию своей позиции;

• по завершении проекта – необходимо определить наилучший подход к презентации результатов, в том числе исходя из личных предпочтений руководства объекта аудита и пользователей результатов аудита.

Большую помощь в поиске оптимального варианта действий в вышеописанных ситуациях могут оказать небольшие и/или не самые важные проекты. Они позволяют обкатать различные подходы и посмотреть на реакцию окружающих. Также полезно придерживаться принципа разумной дозировки. Это означает, что если сложно заранее представить последствия определенного сочетания фактов и обстоятельств, то лучше использовать минимальные дозы того и другого для получения и оценки реальных последствий. Например, если команда внутренних аудиторов впервые взаимодействует с сотрудниками объекта аудита, то объем запросов информации необходимо свести к минимуму, чтобы оценить динамику их исполнения при минимальном уровне. При отсутствии негативной реакции можно наращивать объем запросов, стараясь нивелировать возникающее противодействие по мере необходимости. Разумеется, такой подход будет практиковаться только теми ПВА, которым не хватает авторитета.

Важность процесса разведки напрямую зависит от таких факторов, как уровень развития корпоративного управления, толерантность руководства к ошибкам и уровень развития менеджмента.