Не во всех российских компаниях есть собственные службы внутреннего аудита, но вот в финансовых организациях они есть в силу требований законодательства. Как они работают? Кому подчиняются? Какие задачи перед ними стоят и какие функции осуществляют аудиторы? Тенденции развития служб внутреннего аудита периодически становятся предметом исследований. В частности, Ассоциация «Институт внутренних аудиторов» и компания PwC недавно представили свое исследование о тенденции развития внутреннего аудита в российских организациях финансового сектора за 2020 год1. Каковы его результаты, судите сами.
Исследование показало ряд важных тенденций в развитии практики внутреннего аудита финансовых организаций2.
Уровень подчинения высокий, а поддержка снижается
В настоящий момент многие финансовые организации представляют собой группы компаний, имеющие различные направления деятельности на финансовом рынке. В связи с этим службы внутреннего аудита (СВА) головных организаций, как правило, координируют деятельность внутреннего аудита во всей группе по направлениям, включая обеспечение использования единой методологии — 100%, рассмотрение и согласование аудиторского плана — 90%, рассмотрение отчетов по итогам аудиторских проверок — 90%, а также рассмотрение отчетности для совета директоров (СД)/наблюдательного совета (НС)/комитета по аудиту (КА) — 90%.
Независимость СВА является основой ее функционирования. В финансовых организациях в России внутренний аудит регулируется на законодательном уровне, поэтому ответы по поводу подотчетности СВА оказались вполне ожидаемыми. Подавляющее большинство (88%) респондентов подтвердили, что их СВА функционально подчиняются СД/НС напрямую (79%), либо через комитет по аудиту (9%). Что касается административной подотчетности, подавляющее большинство (97%) респондентов ответили, что их СВА административно подчиняются президенту/генеральному директору/председателю правления организации.
Алексей Сонин, директор Института внутренних аудиторов, отмечает, что в девяти из десяти случаев СВА финансовых организаций функционально подчиняются совету директоров/наблюдательному совету организации, в то время как в нефинансовых организациях доля таких СВА составляет около 70%3. Более высокий процент для финансовых организаций объясняется, по всей видимости, требованиями законодательства и регулятора.
Все СВА готовят отчеты о своей деятельности, но, как показал опрос, делают это с разной периодичностью. Практически половина СВА представляют такой отчет раз в полгода (49%), другая часть — раз в квартал (45%), и только небольшая часть — раз в год (3%) или с иной периодичностью (тоже 3%).
Более половины СВА подтвердили, что в их организациях создан комитет по аудиту.
Говоря о поддержке СВА со стороны функционального руководства (например, в случае конфликтной ситуации между СВА и высшим исполнительным органом организации), большинство (68%) заявили, что их СВА могут рассчитывать на полную (21%) или значительную (47%) поддержку СД/НС/КА. Надо сказать, что доля респондентов, подтверждавших наличие полной или значительной поддержки со стороны функционального руководства, уменьшилась на 11% по сравнению с 2018 г.4 (79%).
Оценка качества работы в половине случаев формализованная
Больше половины опрошенных (52%) сообщили, что функциональное руководство (включая СД/НС/КА) не проводит ежегодную документированную оценку качества работы СВА. При формализованной оценке качества работы СВА используются основные критерии или ключевые показатели эффективности (КПЭ), приведенные на рис. 1.
По мнению Екатерины Макаровой, руководителя СВА АО «СК „СОГАЗ-Мед“», вопрос КПЭ для оценки СВА не является простым. Применяемые КПЭ часто носят оценочный (субъективный) характер и могут повлиять на уровень объективности выводов СВА, например при участии в оценке качества и результатов работы СВА руководителей аудируемых подразделений. Поэтому важен взвешенный подход при разработке КПЭ с формализацией критериев и способов оценки, учитывая зрелость функции внутреннего аудита и уровень коммуникаций с органами управления.
СВА практически не вовлекаются в решение стратегических задач
Успешная реализация стратегии является основным приоритетом для собственников и руководителей любой организации. В рамках реализации стратегии ключевые акционеры организации могут быть консервативны, а могут, наоборот, выбирать высокорискованный подход. Руководители СВА ответили, какие действия они предпринимают в ситуациях, когда акционеры принимают стратегию, связанную с высоким уровнем риска. Многие либо включают аудит стратегии в план, либо подписывают протокол принятия риска. Но при этом достаточно высока доля тех, кто вообще не предпринимает никаких действий (17%) (см. рис. 2).
Безусловно, своевременное обсуждение стратегии развития организации и оценка ее рискованности возможны только в случае привлечения СВА на этапе формирования стратегических инициатив.
Однако, как показали результаты исследования, большинство СВА (67%) не привлекаются для консультаций и оценки рисков при формировании стратегических направлений деятельности их организаций. И только треть (33%) привлекает свои СВА к решению подобных задач, и, как правило, это связано со следующими решениями (в порядке убывания):
-
разработка новых бизнес-процессов;
-
разработка новых продуктов;
-
разработка долгосрочной стратегии предприятия;
-
разработка краткосрочной стратегии организации.
Что влияет на работу СВА в организации
Опрошенные едины в выборе топ-3 факторов, оказывающих наибольшее влияние на работу их СВА, это:
-
недостаточно развитая культура риск-менеджмента в организации — 62%;
-
недостаточная обеспеченность СВА кадровыми ресурсами — 45%;
-
недостаточное понимание функций внутреннего аудита менеджментом и сотрудниками организации — 41%.
Среди прочих факторов, которые существенно влияют на работу СВА, также были отмечены большие временные затраты на получение необходимой информации (34%), недостаточная поддержка со стороны СД/НС/КА (34%) и недостаточное обеспечение финансовыми ресурсами (29%).
Оценка качества своими руками
Качество — один из важнейших аспектов работы внутреннего аудита. Для выстраивания необходимых процессов, обеспечивающих качество работы службы аудита на всех этапах ее деятельности, нужна Программа обеспечения и повышения качества внутреннего аудита (далее — ПОиПК). Тем не менее практически 2/3 респондентов (73%) подтвердили, что в их СВА документально ПОиПК не разработана.
Одним из ключевых элементов ПОиПК является проведение внешними специалистами независимой внешней оценки качества деятельности СВА на соответствие Международным профессиональным стандартам внутреннего аудита (далее — Стандарты) и Кодексу этики. В России, согласно опросу, только 21% СВА проводили такую оценку. Этот показатель остался на уровне 2018 г.
В основном это происходит по следующим причинам:
-
отсутствие поддержки со стороны высшего руководства, СД/НС/КА — 77%;
-
недостаточность ресурсов (денежных, временных, трудовых и т.п.) — 69%;
-
не видят необходимости в проведении внешней оценки — 52%.
Чуть менее половины руководителей СВА планируют проведение внешней оценки в будущем, причем в достаточно отдаленной перспективе: в текущем году (2%), в следующем году (11%), в ближайшие три-пять лет (30%).
Внешнюю оценку проводили преимущественно крупные финансовые организации.
Если проведение внешней оценки требует согласования или поддержки со стороны СД/НС/КА и определенных финансовых ресурсов, то проведение самооценки СВА на соответствие Стандартам может выполняться и по инициативе руководителя СВА с использованием доступных внутренних ресурсов службы. Тем не менее только 45% руководителей СВА подтвердили, что проводят периодическую самооценку. Как правило, на ежегодной основе (53%).
Топ-5 средств, которые используются для текущего мониторинга деятельности СВА в целях обеспечения и повышения качества внутреннего аудита:
-
Оценка результатов работы аудиторов по результатам каждой завершенной проверки — 73%.
-
Регулярные совещания («летучки») руководителя СВА с аудиторской командой по статусу проверок — 73%.
-
Промежуточные встречи руководителя СВА с рабочей группой в ходе аудиторской проверки по итогам завершенных этапов проверки — 58%.
-
Обзор рабочих бумаг и материалов по проверке руководителем СВА/руководителем рабочей группы — 55%.
-
Ведение листов учета рабочего времени (Time sheet) — 29%.
По мнению Игоря Каталицких, начальника Управления аудита головного офиса СВА ПАО «Промсвязьбанк», необходимо использовать все методы в оценке деятельности СВА, поскольку только комплексное применение всех доступных инструментов сможет дать синергетический положительный эффект и самооценка СВА будет носить непрерывный характер для внесения своевременных корректировок. Это должно стать непрерывным процессом по аудиту своей деятельности. СВА как подразделение, осуществляющее постоянные проверки, по результатам которых выносятся рекомендации об улучшении процессов, минимизации рисков, устранению нарушений, должна быть эталонным подразделением по улучшению собственной работы и ее результатов.
Объем функций соответствует Стандартам
Международные профессиональные стандарты внутреннего аудита говорят о том, что внутренний аудит должен проводить оценку и способствовать совершенствованию процессов корпоративного управления, управления рисками и внутреннего контроля в организации. Тем не менее на практике функционал СВА может быть гораздо шире. Однако СВА в основном выполняют функции, соответствующие Стандартам. Это:
-
оценка эффективности СУР (92%);
-
оценка надежности и эффективности СВК (91%);
-
мониторинг процесса управления недостатков СВК (83%);
-
оценка соответствия нормативным требованиям (83%);
-
оценка сохранности активов (81%);
-
оценка эффективности корпоративного управления (78%).
Лишь немногие СВА финансовых организаций:
-
проводят ИТ-аудит (63% — кредитные, 40% — страховые организации);
-
осуществляют непрерывный аудит (43% — кредитные, 30% — страховые организации);
-
оценивают качество управления стратегическими рисками (53% — кредитные, 15% — страховые организации);
-
реализуют консалтинговые проекты (28% — кредитные, 30% — страховые организации).
Но есть и СВА, которые до сих пор осуществляют несвойственные для них функции, в частности:
-
согласование внутренних нормативных документов организации на этапе их подготовки (страховые организации — 35%, прочие организации — 75%);
-
разработку контрольных процедур (страховые организации — 50%, прочие организации — 75%).
Наталия Цангль, руководитель СВА лизинговой компании ПАО «ТрансФин-М», замдиректора Банковского Института НИУ ВШЭ, считает, что это можно объяснить тем, что СВА обладает необходимыми компетенциями, знаниями и опытом для осуществления такого несвойственного функционала. Кроме того, исторически сложилось так, что данные функции в компании были закреплены именно за СВА. Даже после уточнения функционала СВА на законодательном уровне и значительной эволюции практической реализации данной функции как в России, так и на глобальном уровне многие компании предпочли сохранить такой функционал за СВА.
Источники информации для проверок СВА и корректировка планов
Основные источники информации, используемые СВА для подготовки годового плана внутренних аудиторских проверок, представлены на рис. 3.
Стоит отметить, что больше трети опрошенных (33%) отмечают, что в их организациях СВА один раз в полугодие обновляет годовой план работы (в который включаются как аудиторские задания, так и консультационные проекты). Количество служб, обновляющих и корректирующих свои планы с данной периодичностью, удвоилось по сравнению с 2018 г. (16%).
28% респондентов ответили, что годовой план работы обновляется один раз в год, и еще 20% ответили, что годовой план работы СВА не меняется.
При этом почти у каждой пятой СВА (19%) план меняется в течение года многократно и корректируется в соответствии с изменяющимся бизнес-профилем организации.
Исполнение рекомендаций внутреннего аудита мониторят сами СВА
Результативность работы СВА зависит от того, насколько своевременно и качественно руководство организации внедряет рекомендации внутреннего аудита. Помимо мониторинга выполнения рекомендаций внутреннего аудита, который осуществляет сама служба, во многих организациях применяются дополнительные инструменты, призванные простимулировать бизнес-подразделения качественно и в срок отработать полученные рекомендации.
В основном такими инструментами являются: контроль со стороны СД/НС/ КА (75%), контроль со стороны президента/генерального директора/председателя правления (73%), внутренние регламенты по процессу мониторинга рекомендаций (73%).
Любопытно, что 84% респондентов подтвердили, что в их организациях у менеджмента отсутствует КПЭ по выполнению рекомендаций СВА, в то время как у 21% есть зеркальный КПЭ по проценту аудиторских рекомендаций, выполненных менеджментом.
Несмотря на наличие инструментов на уровне организации, призванных обеспечить внедрение рекомендаций внутреннего аудита, непосредственный мониторинг со стороны СВА играет здесь первостепенную роль.
Более половины (63%) опрошенных заявили, что их СВА включают все рекомендации внутреннего аудита в последующий мониторинг, 23% — что осуществляют мониторинг только высоко- и среднерисковых рекомендаций, и оставшиеся 14% — что отслеживают выполнение только высокорисковых рекомендаций.
1 Полный текст исследования доступен на сайте Института внутренних аудиторов: https://iia-ru.ru/inner_auditor/issledovania/.
2 В исследовании приняли участие руководители служб внутреннего аудита из кредитных, страховых компаний и иных финансовых организаций.
3 Исследование текущего состояния и тенденций развития внутреннего аудита в России за 2019 г., проведенное совместно Ассоциацией «Институт внутренних аудиторов» и компанией Deloitte: https://www.iia-ru.ru/inner_auditor/issledovania/.
4 По данным совместного Исследования текущего состояния и тенденций развития внутреннего аудита финансовых организаций в России за 2018 г., проведенного Институтом внутренних аудиторов и КПМГ: https://iia-ru.ru/inner_auditor/issledovania/.