Настольная книга по внутреннему аудиту. Риски и бизнес-процессы - Олег Крышкин

• Дата исполнения. Здесь указывается дата завершения всех действий, направленных на выполнение мероприятия. Необходимо иметь в виду, что в ряде случаев результат этих действий не обязательно проявится сразу. Он может проявиться спустя какое-то время, и это необходимо учитывать при планировании мониторинга.

• Ответственный. В данном разделе указывается сотрудник объекта аудита, который отвечает за исполнение мероприятия в установленный срок и достижение определенного эффекта в результате выполнения этого мероприятия.

• Свидетельство исполнения. В данном разделе оговаривается, каким образом ответственный исполнитель будет подтверждать исполнение мероприятия. Если нельзя выделить однозначное свидетельство, то исполнение мероприятия должно подтверждаться в ходе мониторинга с использованием соответствующих аудиторских процедур.

В определенных ситуациях имеет смысл включать в состав плана мероприятий другие разделы. Например, в моей практике встречались планы мероприятий, в составе которых был еще раздел «Приоритетность». Он предназначался для того, чтобы руководство объекта аудита могло эффективно распределять ресурсы на выполнение план мероприятий. Однако шести основных разделов чаще всего достаточно.

Что касается формата плана мероприятий, то наиболее подходящим является табличный формат.

Определение ответственных за выполнение мероприятия. При выборе ответственных необходимо придерживаться ключевого принципа – ответственный за выполнение мероприятия должен обладать необходимыми полномочиями и возможностями. Под возможностями в первую очередь подразумеваются технические (экспертные) возможности. Также на роль ответственного необходимо выбирать такого сотрудника объекта аудита, который максимально заинтересован, исходя из своих целей и задач, в выполнении мероприятия. Уточнение «исходя из своих целей и задач» весьма важно, так как оно показывает, что персональный интерес к решению проблемы и прилив энтузиазма ответственный сотрудник испытывать не обязан. Выбор ответственного определяется его местом и ролью в процессе, а не субъективными ощущениями и соображениями.

Также не стоит увлекаться назначением в качестве ответственного за выполнение мероприятия руководителя объекта аудита, особенно генерального директора. В большинстве случаев это противоречит ключевому принципу выбора ответственного – генеральный директор обладает максимальными административными возможностями, но вряд ли он всегда будет иметь максимальные технические (экспертные) возможности.

Определение даты выполнения мероприятия. В большинстве случаев план мероприятия не требует срочного выполнения. Кроме того, большая часть мероприятий возлагает дополнительную нагрузку на сотрудников, которая нечасто компенсируется, в первую очередь материально. По этой причине, предлагая очень оптимистичную дату, аудитор оказывает давление на сотрудников объекта аудита, что приводит к излишнему негативу. В определении даты выполнения мероприятия уместно пойти на максимальные уступки.

Согласование плана. Существует два основных варианта инициирования процедуры согласования плана мероприятий.

• Внутренний аудит самостоятельно формирует исходный план. Такой подход целесообразно применять в большинстве российских компаний, особенно если план в компании видят впервые. Логика здесь проста – в большинстве случаев мероприятия скорее будут вычеркиваться, чем добавляться. По этой причине внутреннему аудиту проще составить план мероприятий самостоятельно, т. к. в этом случае он будет максимально расширенным. Затем план мероприятий по версии внутреннего аудита направляется руководству объекта аудита на рассмотрение, после которого руководство возвращает план мероприятий с корректировками. Такая перепасовка может продолжаться какое-то время, особенно если план мероприятий касается сложных проблем.

• Руководство объекта аудита самостоятельно формирует исходный план. Этот вариант полностью соответствует международным стандартам внутреннего аудита. В соответствии с ними менеджмент объекта аудита несет ответственность за управление рисками, поэтому он и должен определять необходимый объем и масштаб изменений (исправлений). Однако в российских условиях при таком подходе план мероприятий может не появиться никогда. Только в компаниях с высоким уровнем корпоративной культуры и продвинутым менеджментом возможна подготовка исходного плана мероприятий руководством объекта аудита. В остальном все аналогично первому варианту – также возможны перепасовки, и чем сложнее проблемы, тем их больше.

Нередко обсуждение плана мероприятий приводит к необходимости дополнительных уточнений и анализа. Таким образом, аудитор должен быть готов к тому, что проект не всегда заканчивается после написания финального отчета. При наличии существенных расхождений внутренний аудит должен приложить максимум усилий для доказательства большей полезности своей позиции. В моей практике бывали случаи, когда план мероприятий согласовывался в два-три месяца и при этом проводилось дополнительное уточняющее тестирование. Кроме того, обсуждения могут выходить за рамки объекта аудита, особенно в случае, как говорится, непримиримых разногласий по плану. В такой ситуации требуется привлечение третьей стороны в качестве третейского судьи. Обычно в этой роли выступают вышестоящие пользователи отчета внутреннего аудита, вплоть до совета директоров.

При согласовании необходимо придерживаться принципа – чем существеннее объем и значимость изменений, тем выше уровень согласующего, хотя в большинстве случаев это будет руководитель юридического лица, в состав которого входит объект аудита. Также важно официально зафиксировать факт согласования либо путем визирования документа, либо путем выполнения соответствующих процедур в системе электронного документооборота. Наличие формализованного согласования служит однозначным основанием для дальнейших действий (мониторинг, наложение взысканий за невыполнение и т. д.).