октябрь
Риск «человеческой» ошибки
(The Human Side of Risk)
Достоверность информации представленной в финансовой отчетности зависит не только от традиционной системы внутреннего контроля, так называемых «жестких» форм контроля – различных политик и процедур, но и от отношения к данным контролям со стороны непосредственных исполнителей и руководства, то есть от так называемых «мягких» контролей, которые включают такие понятия как, честность, доверие, понимание основных ценностей компании и разделение общих убеждений. Нетрудно представить ситуацию, когда система контроля выдает отчет об ошибках, а сотрудник компании интерпретирует отчет по своему, меняя данные, так чтобы они выглядели более «правдоподобно». Компании уделяют внимание созданию и тестированию именно «жестких» контролей, и часто в большем количестве, чем необходимо для обеспечения соответствия требованиям закона Сарбейнса-Оксли, часто забывая о «мягких» контролях.
О том, что уделять достаточное внимание нужно и «мягким» контролям говорится в новом руководстве Комитета по ценным бумагам (SEC) описывающем риск-ориентированный подход к тестированию контролей. В данном руководстве по подготовке отчета по внутреннему контролю, подчеркивается необходимость оценки менеджментом компании степени компетентности персонала, который непосредственно отвечает за выполнение установленных контролей. Автор считает, что для внутреннего аудита данный документ открывает новые возможности продемонстрировать свои знания в области контролей и способствует минимизации риска подготовки недостоверной финансовой отчетности. В статье приводится мнение, что внутренний аудит конечно не должен выставлять оценки персоналу за знания в области контролей, но он должен учитывать компетентность персонала, опыт и возможности конкретного сотрудника эффективно выполнить процедуру контроля.
Выявление схем отмывания доходов полученных нелегальным путем
(Tips for Testing Anti-Money Laundering Programs)
В ходе аудита деятельности финансовых учреждений необходимо уделять повышенное внимание выявлению операций, которые могут быть направлены на легализацию доходов, полученных незаконным путем. В этом аудиторам могут, например, помочь рекомендации ФАТФ (Межправительственной комиссии по борьбе с отмыванием криминальных капиталов) — (Financial Action Task Force on Money Laundering, FATF). ФАТФ является международной межправительственной организацией, которая устанавливает стандарты, разрабатывает и поощряет политику по борьбе с отмыванием денег и финансированием терроризма. ФАТФ приняла рекомендации по борьбе с отмыванием денежных средств в апреле 1990 года. Рекомендации ФАТФ можно найти на сайте http://intermoneycard.ru/index.html?lang=ru&target=d8.html на русском языке. (Примечание ИВА) Автор предлагает вниманию аудиторов перечень основных шагов для разработки и внедрения программы по выявлению нелегальных операций, перечень основных рисков, которые должны находиться под наблюдением руководства компании, а также, предлагает изучить дополнительную информацию на сайте http://www.fatf-gafi.org
Контроли на уровне компании
(Entity-Level Controls)
Внутренние аудиторы нескольких крупных голландских компаний (ABN ABRO, Ahold, KLM, Shell) совместно разработали свод основных принципов для соблюдения требований закона Сарбейнса-Оксли. В результате внутренним аудиторам предлагается на практике использовать разработанный свод из 29 принципов, которые позволяют оценить контроли на уровне компании (entity-level controls). В статье приводится данный перечень принципов, распределенный по пяти компонентам процесса управления рисками предприятия в соответствии с моделью COSO (Комитета спонсорских организаций Комиссии Трэдуэй).
Аудит с человеческим лицом
(A Kinder, Gentler Audit)
Автор предлагает каждому аудитору мысленно поставить себя на место получателей отчета и представить, что к ним пришел аудитор с предложением перестроить отлаженную систему работы, на построение которой он, добросовестный сотрудник, затратил время, и при этом эффективность данной системы ранее не подвергалась сомнению. Как в этом случае должен вести себя аудитор? Каким образом изложить в отчете рекомендации так, чтобы получатели отчета согласились их выполнить? Автор считает, что для этого необходимо соблюдать пять основных принципов: необходимо с уважением относится к сотрудникам компании, не предполагать заранее, что сотрудник выбрал применяемый подход к работе из-за недостаточной компетентности или пренебрежительного отношения, настаивать на включении в отчет только существенных рекомендаций, сохранять позитивный стиль изложения результатов аудита в отчете и помнить, что они также являются сотрудниками компании. Рекомендации в аудиторском отчете должны быть результатом конструктивного диалога между аудиторами и руководством, а также представлять ценность для получателей отчета считает автор.
От хорошего к лучшему
(From Conformance to Performance)
Линда Николс, президент Австралийского Института директоров компаний, считает, что внутренние аудиторы должны не только проверять насколько эффективно система контроля минимизирует существующие риски, но и выступать с предложениями по улучшению операционной деятельности компании. Например, если в компании снижается реализация, внутренние аудиторы могут задать вопрос о том, почему это происходит, пользуются ли спросом продукция компании на рынке и предложить свой путь решения проблемы. Линда отмечает, что существует риск того, что аудиторы в некоторых ситуациях предложат не совсем верное решение. Несмотря на это, аудиторы должны информировать руководство компании о новых возможностях для улучшения операционной деятельности. В статье Линда отвечает на различные вопросы и поясняет, например, насколько аудиторы смогут справиться с данной задачей, как предположительно прореагирует руководство компании, как новый подход повлияет на работу внутренних аудиторов и какие последствия могут быть для компании, если аудиторы будут меньше внимания уделять существующим контролям.
Обеспечение информационной безопасности
(Confronting the Emerging Threat)
Существует ли в компании задокументированная политика информационной безопасности? Прописано ли в данной политике, например, как сотрудники должны обращаться с переносными USB накопителями? В статье поясняется, какие еще вопросы может задать внутренний аудитор, для того чтобы помочь компании сформировать продуманный подход к обеспечению информационной безопасности. Внутренним аудиторам предлагается уделить внимание разъяснению руководству таких вопросов, как необходимость информирования сотрудников о существующей политике безопасности в области защиты информации, необходимость проверять, не было ли за каким-либо сотрудником замечены случаи нарушения политики информационной безопасности на предыдущем месте работы, необходимость мониторинга соблюдения политики и, если необходимо, применения дисциплинарных мер. Таким образом, внутренние аудиторы могут помочь компании разработать многосторонний подход к обеспечению информационной безопасности, считает автор статьи.