Азиз Бакаев, старший аудитор «АШАН Ритейл Россия»

Ирина Долгушева, директор по внутреннему аудиту «АШАН Ритейл Россия»

После завершения этапа планирования (см. статью «Планирование аудиторских заданий», авторы: Азиз Бакаев, Ирина Долгушева) аудиторы переходят к этапу выполнения задания. На этом этапе они собирают, анализируют информацию, формулируют доказательства, разрабатывают рекомендации и выполняют прочие существенные процедуры для достижения целей и задач аудиторского задания.

Этап выполнения аудиторских заданий регулируется Стандартами^[1] и кратко представлен на рисунке:

Сбор, анализ и оценка информации является одним из основных этапов аудиторских процедур. На данном этапе аудиторы используют различные методы, такие как: проведение интервью с участниками бизнес-процесса, изучение документов, анализ данных, наблюдение и подтверждение третьими лицами, чтобы получить необходимые доказательства для выражения мнения в Аудиторском отчете. В силу ограниченных ресурсов важно, чтобы аудиторы сфокусировались на информации, которая непосредственно относится к целям и задачам задания, но одновременно необходимо убедиться, что полученная информация достаточна для формирования доказательств. Также аудиторы должны применить свой профессиональный скептицизм для оценки надежности получаемой информации.

Хорошей практикой является периодическое проведение встреч с командой подразделения внутреннего аудита для проверки прогресса выполнения задания и его соответствия программе аудита. Это обеспечит уверенность в том, что все ранее поставленные цели и задачи в работе будут достигнуты в рамках задания.

При подготовке интервью необходимо, как минимум, определиться с перечнем лиц, с которыми предстоит встретиться, определить тему и задачи, собрать предварительную информацию и подготовить перечень вопросов. Для структурирования вопросов рекомендуется разработать шаблон «Протокол интервью», в котором будут отражены участники, темы и список вопросов по схеме Кто, Что, Где, Как, Почему, Когда. В ходе проведения интервью важно установить доверительные отношения с собеседником(-ами).

Каждый аудитор знает стандартные правила проведения интервью, в т.ч.:

·         открытые вопросы работают лучше, чем закрытые (с ответом «да/нет»),

·         лучше задавать вопросы, начиная с более легких,

·         поддерживать позитивный и оптимистичный тон беседы,

·         не задавать вопросы, на которые аудиторы уже должны знать ответы.

Но бывают случаи, когда нужно «нарушать правила», и в определенных ситуациях соблюдение этих правил может принести больше вреда, чем пользы. Например, пропуск вопросов, на которые мы уже знаем ответы из-за опасения показаться плохо информированными по теме аудита может повысить риски упущения аудитом некоторых подводных камней и нюансов, а задавая больше вопросов, аудитор может способствовать дополнительному взаимному обучению и обмену идеями, поможет выстроить взаимопонимание и доверие между участниками. Каждое интервью уникально, и готовиться к нему необходимо тщательно, чтобы как можно больше расположить к себе аудируемых.

Также хотелось бы отметить 5 фраз которые следует избегать в ходе проведения интервью[2] Несмотря на то, что в статье говорится о стартовом собрании, по нашему мнению, эти советы применимы и к проведению интервью:

●     Мы здесь, чтобы вам помочь

●     Мы проводим этот аудит, потому что ваша область оказалась в топе при оценке рисков

●     Наша цель – оценить общую эффективность вашего направления

●     Мы проинформируем вас о результатах по завершении аудита

●     Сегодня нам нечего вам сказать. Мы просто хотели знать, есть ли у вас какие-либо вопросы.

Целью изучения документов является сбор доказательств путём их анализа. В зависимости от того, что аудитор пытается найти, результатом изучения документов может быть подтверждение наличия документа, подтверждение юридического значения документа, подтверждение правильности передачи документа, поиск конкретной информации, подтверждающей полноту документа, подтверждение того, что документ регулярно обновляется и прочее. В любом случае, цели и методы проверки документов должны быть утверждены заранее, на этапе планирования, и закреплены в программе проверки.

В рамках наблюдения аудитор должен быть осторожен, чтобы не нарушить нормальную работу проверяемых объектов и не вмешиваться в процесс. Чаще всего, наблюдение состоит в посещении помещений, связанных с деятельностью объекта аудита, с целью оценки их состояния или хода выполнения определенных задач. По сути, данный метод получения доказательств является надежным, однако имеет свои недостатки: например, что полученные доказательства ограничены временем наблюдения, а в присутствии наблюдателя поведение людей может измениться. В рамках подготовки к процессу наблюдения необходимо выбрать процессы или помещения, а также договориться о встрече с заинтересованным(и) лицом(-ами). Если внутренний аудитор выберет для наблюдения такое место, в котором он не будет мешать операционному персоналу, то его присутствие не будет привлекать внимания и будет меньше искажать поведение наблюдаемых им людей. Замечания, относящиеся к состоянию помещений, можно подкреплять фотоснимками.

Тестирование может проводиться на полной совокупности (данных, документов), но, как правило, аудиторы прибегают к выборке из-за объема данных и ограниченности доступных ресурсов. Существуют различные методы выборки, например, случайная, систематическая, монетарная и т.п. Выбор того или иного метода зависит от обстоятельств, но главное, чтобы объем выборки обеспечил достаточную уверенность аудитора в том, что выводы, сделанные на основе анализа выборочных данных, будут применимы для всего объема данных (генеральной совокупности), из которого произведена выборка, т.е. выборка должна быть репрезентативной.

Во время работы аудитор выполняет различные тесты, чтобы получить доказательства для выводов, сделанных в каждом пункте аудиторского отчета, и для него важно документировать проведенные критические аудиторские тесты. Рабочие документы должны фиксировать полученную информацию, анализ и проведенное тестирование средств контроля и существенных деталей тестов, выполненных на всех этапах работы аудитора, для подтверждения выводов аудита. В качестве инструмента для отражения процедуры тестирования рекомендуется использовать шаблоны рабочих бумаг аудитора (см. методическое пособие «Рабочие документы по тестированию»[3]). В рабочем документе важно описать генеральную совокупность, обоснование выборки для тестирования и результаты. При этом оформление должно быть максимально ясным и понятным, чтобы другое здравомыслящее, информированное и компетентное лицо пришло к тем же выводам, что и внутренний аудитор, повторив работу.

Сегодня ведется много обсуждений и исследований на такие темы как искусственный интеллект (AI), роботизированная автоматизация процессов (RPA), анализ больших данных (Big data), глубинный анализ процессов (PM) и об их использовании внутренними аудиторами. Применение данных инструментов позволяет проводить тестирование на всей совокупности данных, облегчить и ускорить рутинную работу аудиторов и т.д. Но несмотря на все преимущества, аудиторам необходимо быть крайне осторожным и всегда учитывать присущие риски. Примерами рисков могут быть ошибки и предубеждения, заложенные в технологии ИИ, а также взломы, нарушения конфиденциальности, потери данных, атака киберпреступниками и сбой систем.

Для оценки результатов аудиторских тестов аудитор может использовать, например, следующие приемы:

●     сравнение фактической схемы бизнес-процесса («как есть») с идеальной («как должно быть»);

●     бенчмаркинг и сравнение с передовыми методами на рынке для улучшения системы контроля;

●     оценка соответствия содержания и качества реализации реальных контрольных процедур требованиям внутренних нормативных документов;

●     анализ существующих контрольных процедур, характерных для аудируемого процесса, оценка качества их выполнения и результативности.

Результаты работы должны быть зафиксированы в рабочих документах аудитора. В этих документах нужно отразить не только результаты, но и рекомендации, разработанные совместно с менеджментом, по построению или оптимизации действующей системы внутреннего контроля анализируемого процесса. При оценке системы внутреннего контроля и разработке рекомендаций необходимо учитывать стоимость отдельных контрольных процедур и расходы на разработку и поддержание всей системы внутреннего контроля в целом. Обоснование рекомендаций по созданию или оптимизации существующей системы внутреннего контроля должно основываться на анализе соотношения выгод и затрат.

Хорошей практикой считается проведение заключительного собрания. Оно позволяет аудиторам ответить на вопросы руководителей проверяемого объекта и согласовать с ними окончательные формулировки всех замечаний, сделанных в ходе аудита. На собрании необходимо проговорить, как минимум, факты, коренные причины и предлагаемые рекомендации и немаловажно отметить положительные моменты, установленные в ходе аудита. Кроме этого, необходимо озвучить сроки предоставления отчетов и рассказать о последующем процессе отслеживания планов действий командой аудита.

После проведения всех необходимых аудиторских процедур и формирования мнения о надежности системы внутреннего контроля изучаемого бизнес-процесса аудитор обобщает полученные результаты и составляет аудиторский отчет. В данном отчете, как минимум, должны быть отражены краткие выводы по результатам проверки, выявленные нарушения/ недостатки, риски/ факторы риска, первопричины недостатков, а также рекомендации по устранению выявленных нарушений. Что же касается стиля и структуры, то отчет должен быть простым и точным – предложения должны быть короткими, но содержательными, должен соблюдаться логический порядок – от наиболее важных вопросов к наименее важным. Более детально с методологией написания «Детального аудиторского отчета» и «Заключения для топ-менеджмента» и доведения его до заинтересованных пользователей можно ознакомиться в документе «Отчетность по результатам аудита. Опыт «АШАН Ритейл Россия»[4] .

До направления отчетов заинтересованным пользователям они, как правило, согласовываются с руководителем СВА.

Важно подчеркнуть, что предоставление финальной версии аудиторского отчета заинтересованным пользователям является лишь промежуточным этапом. Только последующая совместная работа СВА и менеджмента компании может гарантировать корректное создание и внедрение надежной СВК бизнес-процессов, которая обеспечит разумную уверенность в достижении стратегических целей компании.

^[1] Здесь и далее под Стандартами подразумеваются Международные стандарты внутреннего аудита (МСВА), вступающие в действие с 09.01.2025.

[2] Источник: статья Ричарда Чемберса “Five Things Not to Say When You’re Starting an Internal Audit”. https://www.richardchambers.com/five-things-not-to-say-when-youre-starting-an-internal-audit/

[3] Авторы: Азиз Бакаев, Алена Руденко, Ирина Долгушева. Сайт ИВА -> Личный кабинет -> Знания и опыт (Россия)

[4] Авторы: Алена Руденко, Ирина Долгушева. Сайт ИВА -> Личный кабинет -> Знания и опыт (Россия)