Настольная книга по внутреннему аудиту. Риски и бизнес-процессы - Олег Крышкин

Цель проекта во многом влияет на процедуры и методологию его проведения, а также во многом определяет содержание будущего отчета. Зная цель проекта и аудиторию отчета, можно более точно спланировать, какие именно процедуры приведут к формированию материала, оптимального для восприятия конкретной аудиторией.

Структурированные отчеты намного лучше воспринимаются, чем отчеты, написанные сплошным текстом и предложениями длиной в полстраницы. Намного проще охватить взглядом и запомнить вещи, когда они аккуратно разложены по полочкам, а не свалены в кучу. Информация отчета, имеющего определенную структуру, легче запоминается. Структурой отчета можно манипулировать, чтобы выпятить один материал и отвести внимание от другого.

Для начала рассмотрим классическую, если так можно сказать, структуру отчета, которая содержит следующие разделы:

• наблюдение;

• причина;

• последствия;

• рекомендации.

Наблюдение. В этом разделе описывается суть того, на что аудитор хочет обратить внимание пользователя отчета. Это может быть недостаток процесса, недостаток системы внутреннего контроля процесса, отсутствие какого-либо элемента процесса, уязвимость перед определенным риском или рисками и т. д. Все зависит от того, какую причинно-следственную цепочку хочет построить аудитор. Раздел «Наблюдение» в этом смысле является ключевым, т. к. от его содержания зависят остальные разделы. Он, в определенном смысле, является серединой причинно-следственной цепочки. Обсудим нюансы построения такой цепочки чуть далее.

Причина. С точки зрения причинно-следственной связи содержание этого раздела как бы предшествует содержанию раздела «Наблюдение». В разделе «Причина» описываются факторы, которые привели к возникновению ситуации, описываемой в разделе «Наблюдение».

Последствия. С точки зрения причинно-следственной связи этот раздел как бы следует за разделом «Наблюдение». Причина приводит нас к текущей ситуации, описываемой в разделе «Наблюдение». Развитие этой ситуации порождает определенные последствия, описываемые в разделе «Последствия». В зависимости от подхода к аудиту в этом разделе могут указываться как предполагаемые, так и реальные последствия.

Рекомендации. Данный раздел должен быть напрямую увязан с разделом «Причины». Выражаясь математически, содержание раздела «Рекомендации» должно равняться содержанию раздела «Причины», но с обратным знаком. Например, если в качестве причины негативной ситуации указывается отсутствие того или иного этапа или элемента процесса, то в разделе «Рекомендации» должно быть указание на необходимость разработки и/или внедрения этого этапа или элемента процесса. Выполнение рекомендаций должно приводить к устранению причин возникновения негативной ситуации, описываемой в разделе «Наблюдение».

Классическую структуру отчета можно дополнить рядом других разделов, например разделом «Риски» перед разделом «Последствия». В нем могут указываться ключевые риски, которые провоцируются текущей ситуацией (раздел «Наблюдение»), а в разделе «Последствия» те риски, которые уже реализовались. Также возможно такое построение разделов отчета, при котором в разделе «Риски» указываются ключевые риски текущей ситуации, а в разделе «Последствия» – либо последствия текущей ситуации и указанных рисков, либо последствия только текущей ситуации, либо последствия только указанных рисков. В любом случае выбор остается за руководителем ПВА. Однако ему необходимо быть уверенным в том, что выбранная структура отчета наилучшим образом отвечает потребностям пользователей отчета. Практика показывает, что для достижения этой цели раздел «Риски» во многих случаях целесообразно опустить, т. к. понятие риска все еще с трудом воспринимается российскими управленцами.

Также можно выделить раздел, посвященный описанию выборки, особенно если она является репрезентативной и объемной. Отдельный раздел фокусирует внимание на выборке и таким образом способствует формированию более точного представления о масштабе и существенности описываемых недостатков.

Полезно предусмотреть в отчете место для комментариев и/или пояснений представителей объекта аудита. Попросту говоря, место, где представители объекта аудита могут высказать мнение о содержании отчета и его оценке внутренним аудитором. Такой раздел может придать отчету дополнительную объективность, продемонстрировать точки согласия и точки расхождения во мнениях, показать, что внутренний аудит стремится к открытому диалогу. Однако крайне важно, чтобы комментарии и/или пояснения сопровождались мнением внутреннего аудитора по поводу их обоснованности и правильности. В отчете последнее слово должно оставаться за аудитором, т. к. это полностью соответствует предназначению отчета.

Во многих отчетах присутствует раздел, посвященный информации общего характера (вводная часть). Его наличие скорее позитивно и может улучшить восприятие отчета. Последнее достигается в первую очередь за счет того, что во вводной части отчета обычно обозначают границы проекта, а также определяют структуру последующего материала, например с помощью оглавления или сводных перечней. Однако нередко ее захламляют бесполезной информацией. Например, всегда умиляет перечисление фамилий и инициалов всех участников команды внутренних аудиторов. Или, например, перечисление регламентов, которые героически были изучены аудиторами. В подавляющем большинстве случаев подобная информация как минимум не оказывает позитивного влияния на восприятие отчета. Полезно включать в общий раздел следующую информацию:

• цель проекта;

• масштаб проекта;

• описание проведенной работы;

• основные выводы (включая оценку существенности выявленных проблем);

• общую оценку системы внутреннего контроля процесса (если проект был посвящен аудиту процесса).

Набор дополнительных разделов не исчерпывается перечисленным выше. Вынесение того или иного материала в отдельный раздел способствует привлечению внимания к нему. Поэтому, если аудитор хочет обратить внимание на тот или иной аспект отчета, он может воспользоваться этим приемом.

Существуют следующие базовые форматы аудиторского отчета (в зависимости от масштаба проекта, аудитории отчета, цели проекта).

Детальная часть. Эта часть отчета содержит информацию и данные, которые аудитор считает нужным включить в отчет, включая любые части рабочей документации. В ней максимально подробным образом описываются причинно-следственные связи, следуя которым читатель должен прийти к выводам, сформулированным аудитором. Хорошей практикой является включение в детальную часть подробной расшифровки всех расчетных показателей. В целом эта часть отчета рассчитана на представителей линейного менеджмента, т. е. на тех людей, которые способны разобраться в приводимых деталях. Рекомендации внутреннего аудитора излагаются максимально детально и полно.