Институт внутренних аудиторов

1. Внедрение рекомендаций и консультирование
Измеряется очень просто: у руководителя службы есть сводная таблица рекомендаций со сроками исполнения, ответственными исполнителями, ответственными за мониторинг аудиторами (те которые и проводили проверку), планами мероприятий. Периодически руководитель оценивает степень исполнения рекомендаций (то есть проверяет статус рекомендации в таблице - исполнено/не исполнено). Кроме статуса в таблице содержится информация о том, что конкретно исполнено, то есть можно сравнить и качество исполнения. Эта информация попадает раз в квартал в отчет СД или Комитету по аудиту. На конец года легко можно определить процент реализации рекомендаций, срок исполнения которых истек. Это количественная часть, должна быть и качественная - ведь рекомендации бывают разные, и есть неисполнение со стороны менеджмента (см. комментарий Аннет, очень в тему, мы так стараемся делать через Комитет - вводить исполнение рекомендаций еще и в KPI менеджеров - у нас это увязано с ответственностью менеджеров за управление рисками). Безусловно, при каком-либо сомнении руководителя СВА в данных таблицы может быть проведен follow-up.

2. Соответствие стандартам.
Для аудиторов, кстати, там есть добавка про соблюдение методологии. В основном - это соответствие разработанным регламентирующим документам (так как те разработаны в соответствии со стандартами и оценены внешним консультантом), начиная от устава СВА, включая регламенты взаимодействия, планирования, проведения проверок, отчетности, заканчивая заполнением рабочих документов. Сюда относятся в основном либо выполнение конкретных требований стандартов (например, риск-ориентированное плаинрование - план должен быть составлен на основе карты рисков, существует матрица целей процессов-рисков для определения тем аудитов), либо соблюдение сроков и периодичности (касается отчетности, вопросов взаимодействия с другими службами), либо соблюдения порядка проведения мероприятий (например, согласование результатов аудита с проверяемыми перед выкатыванием наверх).
Всем рекомендую утвердить в регламентирующих документах требования стандартов и best-practise, а затем пытаться соблюдать эти регламенты. Стимулирует.

Оставшееся чуть позже.

с MishS полностью не согласен: СВА приносит системный подход, поэтому и на своем примере надо к этому стремиться. Система оценки для работы СВА должна быть, должна быть утверждена, а оценка проводиться с доведением результатов до Комитета по аудиту. Предлагаемая мной система оценки включает и качественные, и количественные характеристики в каждом показателе. Кроме того, система проста, что я считаю тоже плюсом, потому что простая система может быть прозрачной, а сложная уже вряд ли.

так, давайте вернемся к стандартам нашей с вами работы, а именно к стандартам группы 1300 Программа гарантии и повышения качества внутреннего аудита. Посоветую также ознакомиться с PPF и QAM. Кроме того, Глейм пишет об этих вопросах, иногда более подробно, чем PPF, в 1 и 2 частях.

Практическое руководство 1310-1 Оценка программы качества
1. Руководитель службы внутреннего аудита должен быть ответственнен за внедрение процессов, предназначенных представлять разумную гарантию различным стейкхолдерам в том, что служба внутреннего аудита
- действует в соответствии со своим уставом, который разработан в согласии со Стандартами и Кодексом этики,
- работает effective и efficient,
- воспринимается этими стейкхолдерами как деятельность по повышению стоимости и развитию процессов.
Эти процессы включают надлежащий надзор (supervision), периодические внутренние оценки и текущий мониторинг гарантии качества, периодические внешние оценки.
(Прошу прощения за перевод, как мог).

В общем, ответ на первый вопрос:
Да, CAE обязан и будет ставить неуды пусть хоть и дрожащей рукой, он отвечает за эти процессы, в том числе за внутренние оценки (см. выше). Это стандарты. И это у СAE в KPI - внедрение и поддержание программы гарантии качества (которая, отмечу еще раз, включает и внутренние оценки службы ее руководителем).

Вопрос встречный - кому надо? Например, предложенная мной система показателей не требует таких вот вещей. Количество проверок - это количество выполенных с соблюдением всех установленных и регламентированных процедур мероприятий согласно плану (основанному на оценке рисков, кстати). Качество отчета - это не количество замечаний, а всего лишь две характеристики:
- соблюдение требований по полному и своевременному выполнению процедур согласно аудиторскому заданию, плюс оформление рабочих бумаг,
- возможность повысить стоимость компании или содействовать развитию процессов (это уже к рекомендациям относится).
Высасывание из пальца - это нарушение принципа объективности, и является отрицательной характеристикой работы и нарушением стандартов (стандарты групп 1100 и 1200).

Советую ознакомиться со стандартами групп 2200 Планирование аудиторского задания и 2300 Выполнение аудиторского задания и практическими руководствами на эти темы. На этапе планирования руководитель проверки должен определить (стандарт 2230) необходимые для выполнения цели аудиторского задания ресурсы. Большинство проблем со временем проверки - это неверное планирование или неквалифицированное предварительное обследование (его отсутствие). MishS Вам рекомендую посмотреть на наличие таких именно проблем у себя, так как "зацепиться" - это что-то случайное - "подход крота", а моя служба несет, прежде всего, систематический подход.
Вообще же, ситуации бывают разные, и в случае обнаружения существенных вопросов, аудитор должен сообщать об этом CAE, который решает вопрос об увеличении ресурсов (время, кол-во аудиторов - ну ошиблись при планировании - с кем не бывает) или изменяет цели проверки (но это уже изменение плана, требуется одобрение Комитета). В общем, наша система позволяет аудитору проявить инициативу, и если она была уместна, ему это зачтется (либо как показатель участие в проектах, если это дополнительные внеплановые проверки, либо по стандартным показателям выполнение плана, если изменения внесены в план). Часто в процессе проведения аудиторских процедур появляются, исчезают или изменяются риски, идентифицированные при планировании и предварительном обследовании - у нас это рутинный процесс, который в целом не может катастрофически затянуть проверку.

Предлагаю к голословной критике добавлять альтернативные системы оценки или идеи, как их создать.