Что такое контрольная процедура

Контрольные процедуры, их назначение и виды.

Контрольные процедуры — совокупность методов и приемов контроля, используемых администрацией и сотрудниками аудируемого лица для достижения указанных целей. К процедурам контроля, принятым руководством аудируемого лица, относятся:

— подотчетность одних работников другим;

— внутренние проверки и сверки данных по вопросам финансово-хозяйственной деятельности;

— сравнение результатов подсчета денежных средств, ценных бумаг и товарно-материальных запасов с бухгалтерскими записями (инвентаризация);

— сравнение данных, полученных из внутренних источников, с данными внешних источников информации;

— проверка аналитических счетов и оборотных ведомостей и арифметической точности записей;

— осуществление контроля прикладных программ и компьютерных информационных систем, в том числе посредством установления контроля изменений компьютерных программ и доступа к файлам данных, права доступа при вводе и выводе информации из системы;

— ограничение доступа к активам и записям;

— сравнение и анализ финансовых результатов с плановыми показателями.

Перечисленные процедуры контроля направлены на предотвращение, выявление и исправление ошибок и искажений информации в системе бухгалтерского учета.

Эффективная организационная структура аудируемого лица предполагает оправданное разделение ответственности и полномочий сотрудников. Данная структура должна по возможности препятствовать попыткам отдельных лиц нарушать требования контроля и обеспечивать разделение несовместимых функций. Функции конкретного сотрудника являются несовместимыми, если их сосредоточение у одного лица может способствовать совершению случайных или умышленных ошибок и нарушений и затруднять обнаружение таких ошибок и нарушений. Обычно подлежат распределению между различными лицами следующие функции:

— непосредственный доступ к активам экономического субъекта;

— разрешение на осуществление операций с активами;

— непосредственное осуществление хозяйственных операций;

— отражение хозяйственных операций в бухгалтерском учете.

Надлежащее функционирование системы внутреннего контроля зависит также от сотрудников, которым поручена соответствующая деятельность. Система отбора, найма, продвижения по службе, обучения и подготовки кадров должна обеспечивать высокую квалификацию и честность соответствующего персонала.

Все хозяйственные операции, отражаемые в системе бухгалтерского учета, должны контролироваться руководством и сотрудниками аудируемого лица по следующим направлениям:

Реальность хозяйственных операций. Поданному направлению применяется процедура контроля для того, чтобы убедиться, что хозяйственная операция, которая не должна быть зарегистрирована, действительно не отражена в журнале хозяйственных операций (например, сверка накладной па отгрузку со счетом-фактурой до того, как продажа будет зарегистрирована в журнале хозяйственных операций, предотвратит запись не подтверждаемой документами продажи

Разрешение (санкционирование). Первичная процедура осуществляется ответственным работником в виде проставления своей подписи на первичном документе. Впоследствии в процессе движения документов, совершения хозяйственных операций и ведения учетных записей другими сотрудниками проверяется, санкционировались ли хозяйственные операции до того, как они были отражены в учетных регистрах, т.е. проверяется наличие подписи ответственного лица на документах. В организации должен быть установлен четкий порядок документирования определенных операций определенным кругом должностных лиц.

Точность (оценка). Применяются процедуры, направленные на проверку правильности исчисления записанных сумм

Классификация. Применяются контрольные процедуры, направленные на проверку правильности отношения сумм на соответствующие счета бухгалтерского учета

Учет. Включает контрольные процедуры, направленные на проверку завершенности в учете хозяйственных операций в соответствии с учетной политикой и действующим учетным законодательством.

Периодизация — направление контроля, связанное с вопросом реальности и полноты отражения учетной информации после даты составления баланса. Аспект периодизации контролируется теми же процедурами, что и реальность, и полнота, в отношении отгрузки продукции, формирования выручки, дебиторской и кредиторской задолженности и других хозяйственных операций.

Представим направления внутреннего контроля хозяйственных операций в общем виде и на конкретном примере — операциях по отгрузке и по продажам.

Источник

Что такое контрольная процедура

IX. Контрольные процедуры организации

9.1. Система внутреннего контроля организации должна обеспечивать выполнение организацией контрольных процедур, направленных на предупреждение или минимизацию рисков, влияющих на достижение целей организации.

9.2. В качестве контрольных процедур организации должны использоваться:

документальное оформление и подтверждение фактов хозяйственной жизни организации;

подтверждение соответствия документов требованиям законодательства Российской Федерации;

санкционирование (авторизация) операций, обеспечивающее подтверждение правомочности их совершения;

сверка данных путем проверки полноты, точности, непротиворечивости и корректности полученной информации;

разграничение полномочий, в том числе посредством исключения совмещения одним лицом функции инициирования, исполнения и контроля совершения хозяйственной операции;

контроль фактического наличия и состояния объектов, в том числе охрана, ограничение доступа, инвентаризация;

надзор, обеспечивающий оценку достижения поставленных целей или показателей;

процедуры, связанные с компьютерной обработкой информации и информационными системами, осуществляющие контроль доступа, целостности данных и внесения изменений в информационные системы;

разграничение доступа должностных лиц организации к блокам учета в информационной системе в целях исключения несанкционированного доступа и возникновения риска искажения бухгалтерской (финансовой), налоговой и иной отчетности.

9.3. Разработка и описание контрольных процедур организации должны осуществляться организацией на основе анализа причин возникновения рисков и оценки их последствий.

9.4. Контрольные процедуры организации должны быть направлены на предотвращение или минимизацию рисков ошибок (искажений) налогового учета и налоговой отчетности организации, рисков несвоевременной и (или) неполной уплаты (перечисления) налогов, сборов и страховых взносов.

9.5. Для разработки организацией контрольных процедур организации должны использоваться следующие документы (информация):

реестр выявленных рисков;

информация об организационной структуре организации;

карта (реестр) бизнес-процессов компании;

организационно-распорядительные документы, содержащие описание бизнес-процессов и операций, выполняемых сотрудниками.

9.6. Организация должна определить порядок документального оформления результатов выполнения контрольных процедур организации.

9.7. Организация должна осуществлять анализ результатов выполнения контрольных процедур организации и оценку эффективности их выполнения.

9.8. Анализ организацией результатов выполнения контрольных процедур организации должен включать:

определение степени предотвращения или минимизации рисков посредством выполнения контрольных процедур организации;

проверку наличия документов, подтверждающих выполнение организацией контрольной процедуры организации и их соответствие порядку выполнения контрольной процедуры организации и виду контроля;

проверку соответствия описания контрольной процедуры организации порядку и способу ее выполнения;

проверку соблюдения принципа распределения полномочий при отражении организацией в учете операций (групп операций) и выполнении контроля в отношении этих операций (групп операций);

определение порядка и способов устранения выявленных ошибок и отклонений;

доведение информации до руководства о результатах выполнения контрольных процедур организации.

Источник

Внутренний контроль

Цель этой статьи состоит в том, чтобы обсудить различные вопросы внутреннего контроля, сделав особый упор на темы пункта I6 программы курса «Введение в финансы и управление бизнесом». Нас, в частности, будут особенно интересовать следующие темы учебного плана:

a) Объяснить внутренний контроль и внутреннюю проверку.
b) Объяснять внутреннего финансового контроля в организации.
c) Описать обязанности руководства по внутреннему финансовому контролю.

Кроме того, в статье мы обсудим роль внутреннего аудита и проверок, проводимых в рамках внутреннего аудита, что охватывается темами I2 e) и f) учебного плана.

Определение и цели внутреннего контроля

Доклад Tернбулла, впервые опубликованный в 1999 году, определил внутренний контроль и сферу его действия следующим образом:

«Политики, процедуры, задачи, поведенческие и прочие аспекты деятельности организации, которые в совокупности:

Объяснение Тернбулла подчеркивает положительную роль, которую внутренний контроль призван играть в организации. Способствовать эффективному функционированию – это способствовать улучшению; и, если внедрить их правильно, то процессы внутреннего контроля несут пользу организации тем, что сравнивают вероятные сценарии с изначальными планами и предлагают способы избежать негативного развития событий.

В то же время Тернбулл признаёт, что идеальной системы внутреннего контроля не существует. Поскольку любая организация работает в динамичной среде, некоторые риски из значительных будут эволюционировать в несущественные, а некоторые из новых возникающих рисков может быть сложно или вообще невозможно предвидеть. Поэтому целью любой системы внутреннего контроля должна быть разумная уверенность в том, что организация всё-таки сможет достигать своих целей.

Задачи внутреннего контроля

Внутренний контроль должен выполнять следующие задачи:

Обеспечение эффективности ведения бизнеса:
В организации должны быть внедрены инструменты контроля, которые могли бы обеспечивать бесперебойную работу её процессов и операций. В совокупности такие инструменты должны снизить риск неэффективной деятельности и свести к минимуму опасность того, что организация не сможет достичь своих целей.

Обеспечение сохранности активов:
Используемые организацией инструменты контроля также должны гарантировать, что её активы используются для надлежащих целей и не подвержены риску воровства или использования не по назначению. Такие инструменты контроля нужно применять равным образом как к материальным, так и к нематериальным активам организации.

Предотвращение и выявление мошенничества и других незаконных действий:
Такие правонарушения могут случаться даже в небольших организациях с простыми организационными структурами, а по мере того, как размер и сложность организации увеличиваются, разнообразие мошеннических практик только растёт. Очевидно, что механизмы контроля должны соответствовать этим вызовам.

Обеспечение полноты и правильности учётной информации:
Организация не в состоянии готовить достоверную финансовую информацию, если ненадёжны её системы первичного учёта. Эти системы должны фиксировать первичные операции так, чтобы все их необходимые характеристики были отражены в финансовой отчётности должным образом.

Обеспечение своевременности подготовки финансовой отчётности:
Своевременная сдача достоверной отчётности – это одна из юридических обязанностей любой организации. Вдобавок, многие организации также должны готовить отдельную отчётность для акционеров. Внутренний контроль необходим и для процессов управленческого учёта, без которых невозможно стратегическое планирование, принятие управленческих решений и мониторинг параметров деятельности организации.

Ответственность за внутренний контроль
Во многих небольших организациях – таких как индивидуальные предприниматели или товарищества без ограничения ответственности – ответственность за внутренний контроль находится в руках самих собственников. Небольшой размер этих организаций, как правило, способствует полной вовлечённости собственников в бизнес, и, даже при наличии наёмных сотрудников собственники всё равно хорошо осведомлены о текущих бизнес-операциях и о состоянии бизнеса в целом.

Необходимость в дополнительных механизмах внутреннего контроля растёт по мере роста организации, который влечёт за собой всё более усиливающуюся специализацию. В этих условиях уследить за тем, что и где происходит в бизнесе, становится всё менее реалистичным.

В компаниях с ограниченной ответственностью за создание и функционирование адекватной системы внутреннего контроля отвечает совет директоров. Директора являются по сути агентами акционеров и, действуя в интересах акционеров, несут перед ними ответственность. Поэтому в определённых случаях директора могут посчитать необходимым создать специализированное функциональное подразделение внутри организации, отвечающее за внутренний контроль. Решение о создании такого подразделения будет зависеть от того, насколько ожидаемые в результате выгоды превысят соответствующие затраты.

Директора должны уделить должное внимание среде контроля. Для того, чтобы внутренний контроль достигал своих целей нужна соответствующая культура, которая позволит механизмам контроля надёжно укорениться по всей организации.

Классификация механизмов внутреннего контроля

Механизмы контроля можно классифицировать по множеству оснований. На схеме ниже приведены пять наиболее часто используемых категорий.

Механизмы внутреннего контроля могут быть:

Обязательными или добровольными:
Обязательные механизмы контроля – это те, которым необходимо следовать вне зависимости от обстоятельств. Как правило, они касаются предотвращения случаев нарушения закона или политик организации, а также минимизации угроз жизни и здоровью. Добровольные же механизмы контроля применяются в зависимости от суждения организации или её менеджеров.

Применяемыми по усмотрению или применяемыми всегда:
В некоторых случаях менеджерам может быть предоставлена возможность выбора – применять ли конкретный механизм контроля – в зависимости от субъективной оценки риска. Если такого права у менеджера нет, то контрольный механизм должен применяться всегда.

Ручными или автоматизированными:
Ручные механизмы контроля применяются конкретными сотрудниками, а автоматизированные заранее запрограммированы в системах организации. Некоторые системы сочетают оба вида. Например, при вынесении решения о возможности отсрочки платежа система может предлагать менеджеру по продажам такие варианты: автоматическое «отклонить» для покупателей с низким кредитным рейтингом, автоматическое «предоставить» для покупателей с высоким кредитным рейтингом, и дать менеджеру сделать выбор самостоятельно, если кредитный рейтинг покупателя средний.

Общими или прикладными:
Эта классификация механизмов контроля относится только к информационным системам. Общие механизмы контроля обеспечивают надёжность данных, которые генерируют системы, и помогают добиться того, чтобы они в целом работали в соответствии с их предназначением. Прикладные – это автоматические механизмы контроля, встроенные в информационные системы и предназначенные обеспечить полную и правильную фиксацию данных от момента ввода до вывода.

Распространённые контрольные процедуры

Физические инструменты контроля:
К таким контрольным инструментам относятся способы ограничения доступа в здания, конкретные офисы или к фабричному оборудованию: турникеты на входе, карты доступа или пароли. Прикрутить оборудование к полу чтобы сделать невозможным его вынос – это тоже из разряда физических инструментов контроля.

Разделение полномочий:
Чтобы снизить риск ошибок и мошенничества, обязанности, связанные с денежной наличностью, часто разделены. Например, если бизнес-процесс компании предусматривает получение наличных денег по почте, то вскрытие конвертов в почтовой комнате и запись прихода будут осуществляться разными сотрудниками.

Разделение полномочий уместно и в других областях бизнеса. Например, должности председателя совета директоров и главного исполнительного директора занимают разные люди. Подразделение внутреннего аудита должно быть полностью отделено от финансового департамента с прямым подчинением либо совету директоров, либо комитету по аудиту.

Управленческие инструменты контроля:
Это инструменты, которые находятся в руках менеджеров. Например – анализ отклонений, с помощью которого менеджер, исполняя свои непосредственные должностные обязанности, определяет причины различий между планом и фактом. Управление результатами деятельности подчинённых – это тоже неотъемлемая часть многих управленческих должностей.

Если двигаться ниже по вертикали управления, то на уровне ежедневных операций регулярно выполняются управленческие процедуры надзора. Механизмы контроля, в целом заложенные в организационную структуру компании и её линии соподчинения, называют организационными процедурами контроля.

Арифметические и учётные инструменты контроля:
Сюда относятся такие контрольные процедуры, как различного рода сверки и оборотно-сальдовые ведомости. Их задача – удостовериться в том, что транзакции записаны и учтены с должной достоверностью.

Процедуры контроля, связанные с управлением персоналом:
Все аспекты управления персоналом пронизаны процедурами контроля. Это и проверка квалификации претендентов, и верификация рекомендаций, и проверка потенциальных сотрудников на предмет криминального прошлого или профессиональная переаттестация уже работающих сотрудников.

Внутренняя проверка

Внутренняя проверка – это такая система организации бухгалтерских процедур в организации, в результате которой ни одна бухгалтерская операция не находится под полным и независимым контролем какого-либо одного лица. Обязанности одного сотрудника должны таким образом дополнять обязанности другого, чтобы, по сути, осуществлять непрерывный аудит бизнес-операций.

Необходимые элементы внутренней проверки такие:

• проверке подвергаются ежедневные операции,
• проверки осуществляются постоянно как часть системы,
• работа одного сотрудника является смежной для работы другого.

Если распределить обязанности между сотрудниками таким образом, то никто по отдельности не получает полного контроля над какой-либо операцией.

Внутренний аудит

Определение и цель внутреннего аудита
Внутренний аудит можно определить как независимое структурное подразделение, созданное внутри организации с целью проверки и оценки её деятельности. Внутренний аудит позволяет руководству компании более эффективно исполнять свои функции. То есть внутренний аудит снабжает руководство анализом, оценками, рекомендациями, советами и в целом информацией об изученных им областях и процессах организации.

Задачи внутреннего аудита

Формальный список задач внутреннего аудита может включать все или несколько пунктов из следующего списка:

Зачем нужен внутренний аудит?

Важность внутреннего аудита была отмечена ещё в докладе Тернбулла. В нём указано, что те публичные компании, в которых по каким-либо причинам нет специального подразделения внутреннего аудита, должны как минимум раз в год рассматривать вопрос о необходимости его создания. Одновременно с этим те публичные компании, в которых подразделения внутреннего аудита уже есть, должны не реже раза в год обращаться к вопросу о его полномочиях, сфере применения и обеспеченности ресурсами.

Согласно докладу Тенрбулла потребность в отдельном подразделении внутреннего аудита зависит от ряда факторов:

Внутренний аудит и внутренний контроль

Внутренний аудит – это внутренняя, но независимая оценочная функция. Хотя сотрудники службы внутреннего аудита и являются, как правило, сотрудниками компании, они должны работать независимо от руководства, чтобы их анализ, суждения и рекомендации оставались как можно более беспристрастными. Глава подразделения внутреннего аудита должен подчиняться напрямую либо совету директоров, либо комитету по аудиту. Некоторые организации заходят настолько далеко, что передают функционал внутреннего аудита внешним профессиональным фирмам.

Внутренняя аудиторская проверка – это оценка системы внутреннего контроля, и, по сути, сама по себе является инструментом управленческого контроля, позволяющая оценить соответствие внутреннего контроля заданным стандартам.

Ключевые риски:
Внутренний аудит проверяет и оценивает состояние системы внутреннего контроля в зависимости от ключевых рисков, затрагивающих организацию. Цель заключается в том, чтобы проверить, насколько имеющиеся инструменты контроля позволят нивелировать риск, если он материализуется. Заключения и рекомендации соответствующих отчётов внутреннего аудита должны помочь руководству критически оценить имеющиеся инструменты контроля и, если нужно, пересмотреть их дизайн.

Финансовая и операционная информация:
Внутренний аудит может проверить эту информацию на предмет её правильности, своевременности и применимости. Специальное тестирование позволяет оценить, насколько информация правильно отражает то, что она должна отражать, и насколько она подходит в качестве основы для принятия решений руководством и прочими заинтересованными сторонами.

Соответствие законодательству и прочим нормам:
В настоящее время всё больше организаций сталкиваются с необходимостью внедрения стандартов соответствия законодательству и иным нормам. Это может быть продиктовано необходимостью соответствовать как требованию закона, так и другим, зачастую внутренним, стандартам. Внутренний аудит помогает оценить, насколько такое соответствие действительно имеет место. В этом отношении фронт работ внутреннего аудита только расширяется по мере того, как организациям приходится соответствовать не только профессиональным или отраслевым стандартам, но и стандартам в области охраны окружающей среды.

Виды внутреннего аудита

В ходе исполнения своих обязанностей внутренние аудиторы могут столкнуться с необходимостью проводить разные виды аудита.

Операционный аудит – это проверка эффективности организационных процессов. Это оценка реальной деятельности компании по сравнению с заранее заданными параметрами.

Системный аудит проверяет, насколько правильной является информация, получаемая из информационных систем организации. Тесты на соответствие проверяют, насколько правильно применяются механизмы контроля. Тесты по существу призваны убедиться в правильности сумм, и их можно использовать для того, чтобы найти в системах ошибки и упущения.

Аудит транзакций или антикоррупционный аудит призван выявить мошенничество или другие незаконные или преступные действия. Однако его сферу можно расширить, включив проверку на непредвзятость, прозрачность и справедливость принимаемых организацией решений – тех областей, которые часто относят к социальному аудиту, который в целом может включать в себя любые аспекты корпоративного управления.

Источник

Как построить в компании систему внутреннего контроля

Вице-президент ABPMP Russia, Директор департамента по оптимизации бизнес-процессов Университета Синергия, Эксперт по процессному управлению и моделированию бизнес-процессов, преподаватель программы Операционная эффективность бизнеса и совершенствование бизнес-процессов

Все ли операционные риски следует контролировать и предотвращать? Как оценить, что контрольные процедуры выполнены должным образом? Разбираемся с Андреем Коптеловым.

Если вам кажется, что у вас все под контролем, вы просто еще не набрали скорость.

Марио Андретти, участник гонок «Формула 1»

Пока гром не грянет, мужик не перекрестится, — эта пословица прекрасно описывает российскую специфику управления операционными рисками. К сожалению, наши компании нередко отличаются слабым уровнем работы с операционными рисками и полным отсутствием системы внутреннего контроля. Исправить данный недостаток можно, применяя к бизнес-процессам компании методологию американского законодательства SOX (Sarbanes-Oxley Act)

Что такое операционный риск

Операционный риск, можно определить как риск прямых или косвенных убытков в результате неверного исполнения бизнес-процессов, неэффективности процедур внутреннего контроля, технологических сбоев, мошенничества, несанкционированных действий персонала или внешнего воздействия.

Ключевой идеей системы управления операционными рисками является определение наиболее вероятных и серьезных в части ущерба рисков и последующее изменение существующих бизнес-процессов с целью недопущения реализации данных рисков или минимизации последствий в случае, если риск все-таки реализовался.

По статистике среднестатистическая компания теряет 5% прибыли только из-за мошенничества, тогда как потери из-за других видов операционных рисков в разы больше. Смысл системы управления операционными рисками хорошо иллюстрирует следующее определение: управление операционными рисками – это возможность не терять значительные деньги по незначительным поводам.

Многие операционные риски отличает от финансовых и кредитных рисков тот факт, что их источник лежит внутри самой организации. А, значит, вероятность реализации операционных рисков может быть снижена за счет устранения причин, их порождающих. Операционные риски в основном приводят к неоправданным потерям. Поэтому, в случае их обнаружения и устранения, компания получает ощутимую выгоду с точки зрения повышения качества внутренних бизнес-процессов и снижения неоправданных потерь.

Формализация операционных рисков

Формализация операционных рисков необходима для превентивного определения тех точек в бизнес-процессах, где с высокой вероятностью может произойти нештатное событие. Однако на практике некоторые российские компании даже в случае многократной реализации операционного риска так и не предпринимают никаких мер для исключения его в будущем.

Тут можно привести известный афоризм, что грабли бывают двух видов: первые чему-то учат, и вторые — мои любимые. Именно поэтому в рамках управления операционными рисками, помимо формализации операционных рисков в специальном реестре или даже в специализированной информационной системе, рекомендуется создавать базу убытков, чтобы заносить в нее случаи реализации рисков в компании, а также понесенный ущерб. Такая практика позволяет анализировать причины рисков и специальными мероприятиями снижать вероятность их реализации в будущем.

Первый шаг — создание реестра операционных рисков, вести который следует поручить экспертам из подразделений компании или внутренним аудиторам. А после того, как ключевые риски собраны, можно начать накапливать статистику по случаям их реализации, чтобы определить первоочередные мероприятия по их предотвращению.

Сложным вопросом в части выявления операционных рисков является доказательство полноты выявленных рисков, и тут наиболее просто использовать отраслевые реестры рисков, которые, как правило, собираются аудиторами. Использование отраслевых реестров операционных рисков позволяет выполнить формализацию операционных рисков в бизнес-процессах на порядок быстрее, чем использование экспертных методов сбора операционных рисков от своих сотрудников и руководителей.

Оценка операционных рисков

Учитывая, что в крупной компании количество операционных рисков может смело перевалить за тысячу, то нужен простой способ их оценки и ранжирования для определения наиболее критичных рисков, с которыми придется бороться в первую очередь.

Управление всеми найденными операционными рисками экономически невыгодно для компании. Проще смириться с убытками, которые вызывают риски с небольшим ущербом и низкой вероятностью реализации, чем проектировать и внедрять мероприятия по их предотвращению. Именно поэтому ключевой задачей оценки операционных рисков является отсечение тех рисков, которые с высокой степенью вероятности не оправдают дальнейших затрат на их предотвращение.

Существует множество подходов к оценке рисков, однако самым простым является экспертное ранжирование рисков по двум критериям: вероятность реализации риска и объем ущерба от случая реализации. Данная оценка производится на основании мнений экспертов, которые анализируют вероятность и ущерб для всех операционных рисков, актуальных для компании.

После того как оценка проведена, можно использовать четыре стратегии управления операционными рисками. Первая, самая применяемая в России, называется «принимать»: риски принимаются к сведению, но действия по их минимизации не планируются. Вторая стратегия — «страховать»: особенно часто эту стратегию используют для маловероятных рисков с серьезным ущербом. Третья стратегия называется «избегать»: в этому случае компания отказывается от рискованных бизнес-процессов, либо сосредоточивает максимальные усилия на оптимизации данных процессов в части снижения ущерба и его вероятности. Четвертая стратегия называется «предотвращать» и требует построения контрольных процедур для минимизации высоко вероятных рисков со средним или малым ущербом.

Построение системы внутреннего контроля

Для недопущения реализации рисков или минимизации последствий используется система внутреннего контроля, в рамках которой не только определяется ответственный за операционный риск, но и создается контрольная процедура, которая внедряется в существующий бизнес-процесс.

Контрольная процедура — это действие, которое помогает удостовериться, что все необходимые меры в отношении предотвращения случаев реализации операционных рисков приняты. При этом, чтобы проверить работоспособности контрольной процедуры, важно также получить свидетельство контроля — документальное подтверждение факта ее исполнения.

Наиболее результативными считаются превентивные контрольные процедуры, которые позволяют минимизировать саму вероятность наступления рискового события. Однако для повышения надежности бизнес-процесса их часто применяют одновременно с детективными процедурами. Например, наряду с процедурой изъятия карточки-пропуска при увольнении сотрудника должна существовать контрольная процедура сверки списка сотрудников, которым закрыт доступ по их карточкам-пропускам, со списком уволенных за определенный период.

Для создания контрольной процедуры в бизнес-процессе нужно ответить на следующие вопросы:

При проектировании контрольной процедуры в обязательном порядке необходимо предусмотреть необходимость создания свидетельств контроля, подтверждающих факт правильного выполнения контрольной процедуры. На практике свидетельством контроля может являться акт сверки, log-файл информационной системы, — все то, что подтвердит факт успешного выполнения контрольной процедуры сотрудником или информационной системой.

При этом нужно учитывать, что ручной контроль требует серьезных трудозатрат, и поэтому автоматизация контрольных процедур является ключевым направлением развития системы внутреннего контроля в последнее время. Чем больше в компании автоматизированных контрольных процедур, результаты выполнения которых видны в log-файлах информационных систем, тем эффективнее и, главное, дешевле, система внутреннего контроля.

Тестирование эффективности системы внутреннего контроля

Чтобы быть уверенным в том, что система внутреннего контроля эффективна, необходимо с определенной периодичностью проверять, как на практике выполняются контрольные процедуры. Данная проверка осуществляется с помощью специализированных тестов, которые состоят из следующих шагов:

Сначала устанавливается наличие регламента, где определяется порядок, правила выполнения данного бизнес-процесса и соответствующих контрольных процедур.

Далее проверяется выполнение на практике требований, описанных в документе, и документируются конкретные примеры выполнения.

По результатам проведенного теста принимается решение об эффективности или неэффективности анализируемых контрольных процедур.

Дополнительной сложностью в тестировании является требование, чтобы тестирование выполнялось сотрудниками, не участвующими в проверяемых бизнес-процессах. Тысяча тестов, которые необходимо выполнить в течение месяца, — это нормальная ситуация для системы внутреннего контроля крупной компании. При этом количество проводимых тестов зависит от количества экземпляров бизнес-процессов, проходящих через проверяемую контрольную процедуру. Таким образом, периодичность проведения тестирования устанавливается в зависимости от критичности операционных рисков и частоты исполнения бизнес-процесса и может варьироваться.

В существующих условиях количество трансакций в деятельности крупной компании достигает сотен тысяч в день, а число операционных рисков превышает несколько сотен. При этом достаточно сложно отследить эффективность выполнения контрольных процедур на ручном уровне, поэтому единственным эффективным путем является максимальная автоматизация как контрольных процедур, так и проверочных тестов.

Почему нужно равняться на методологию SOX

Анализ разных подходов к построению систем внутреннего контроля показал, что максимально жесткой и проработанной в части внедрения является именно методология закона SOX, которая предназначена для минимизации нарушений, связанных с финансовой отчетностью. Только в системе внутреннего контроля, построенной по требованиям SOX, можно обнаружить не только контрольные процедуры и свидетельства контроля, но и специализированные тесты, с помощью которых в регулярном режиме проверяют эффективность работы контрольных процедур.

При этом вся система, помимо внутренних тестов, дополнительно контролируется внешним аудитором. Его задача — выборочно проверять не только качество оценки операционных рисков, но и правильность работы контрольных процедур, существование свидетельств контроля, а также регулярность внутреннего тестирования системы.

И хотя внедрение такого объема контрольных процедур и тестов часто слишком дорого для компании, в тех бизнес-процессах, над которыми нужно установить максимальный контроль, можно использовать методологию SOX в полном объеме.

Источник