Турбулентные времена: как непрерывный аудит помогает решать актуальные задачи

Автор: Людмила Диордиева, CIA¹, директор по внутреннему аудиту ООО «Интер РАО – Управление электрогенерацией», член Ассоциации «Институт внутренних аудиторов»²

Нам выпала доля работать в периоды, характеризующиеся существенными и довольно частыми изменениями экономической и политической ситуации в стране и мире. Для нашей деятельности это явилось триггером, который позволит использовать потенциал внутреннего аудита для более оперативного и гибкого реагирования на меняющиеся реалии, обеспечивая тем самым разумную уверенность высшего менеджмента и совета директоров в достижении целей компании.

Новая действительность вызвала мощный импульс для пересмотра ориентиров и формирования амбициозных вызовов компании. Так, для энергетического сектора экономики актуален вопрос сохранения надежности работы оборудования, в том числе иностранного производства, в условиях ограничений в его приобретении и сервисном обслуживании из-за торговых и экономических санкций «недружественных стран». В результате компании ставят перед собой смелые цели:

• поиск новых (альтернативных) надежных поставщиков оборудования и организаций, осуществляющих его сервисное обслуживание внутри страны;

• создание совместных предприятий по производству и сервисному обслуживанию оборудования для обеспечения импортонезависимости;

• пересмотр подходов к ремонту и обслуживанию оборудования;

• повышение эффективности отечественного оборудования;

• вывод из эксплуатации (консервация) эффективного оборудования, сервисное обслуживание которого сопровождается существенными трудностями (ограничения, санкции);

• оптимизация затрат в условиях высокой инфляции и роста цен на промышленные товары.

Служба внутреннего аудита, работая в одном ритме с бизнесом с учетом новых реалий, пересматривает приоритетность своих задач, использует имеющиеся инструменты аудита. Если раньше большое значение имели оценка системы внутреннего контроля (и ее повышение), комплаенс, сохранность активов, оценка уровня эффективности и результативности деятельности компании, то в настоящее время такое значение приобретают:

1. Оценка рисков, в том числе достижения целей компании, при принятии управленческих решений.

Например, пересмотр подходов к ремонту оборудования формирует существенные риски снижения его готовности к несению нагрузки (снижается надежность оборудования). Служба внутреннего аудита обладает профессиональными компетенциями для анализа новых подходов компании, оценки возможных рисков, формирования предложений по корректировке/ дополнению подходов. Своевременное информирование менеджмента о рисках и полезных рекомендациях позволит принести пользу компании в достижении ее целей.

2. Рациональное использование денежных средств компании.

В условиях возможного снижения доходности компаний, инфляции, роста цен на промышленные товары, пересмотра подходов к ремонту и обслуживанию оборудования актуален вопрос оптимизации расходов, в том числе посредством пересмотра ремонтных, эксплуатационных, инвестиционных и инновационных программ компаний. Также служба внутреннего аудита, обладая достаточными профессиональными компетенциями, может оказать поддержку менеджменту в пересмотре указанных программ на различных этапах их реализации: планирование, формирование заявки на закупку, проведение закупочной процедуры (этап технической экспертизы), выбор победителя закупочной процедуры, заключение договора с контрагентом, исполнение мероприятия.

3. Сохранность активов.

В условиях существенных изменений внешней среды компании меняется и ее внутренняя среда, происходит это зачастую посредством ослабления системы внутреннего контроля. Данное обстоятельство формирует предпосылки для злоупотреблений со стороны работников и менеджмента компаний, рисков мошенничества. Служба внутреннего аудита должна с большей периодичностью анализировать изменения контрольной среды, в том числе изменения внутренних нормативных документов компании, оценивать риски, пересматривать систему индикаторов (исключать и/или дополнять), выявлять в последующем риски мошенничества, рекомендовать компенсирующие контрольные процедуры для поддержки бизнеса в целях сохранности активов.

Справочно: Система индикаторов внутреннего аудита формируется на основании оценки рисков (компании, процесса, направления деятельности, контрольной процедуры, проекта и т.д.), профессионального суждения и опыта работы внутреннего аудитора и позволяет автоматически в режиме реального времени формировать предварительную аудиторскую выборку по заданным критериям для проведения дальнейших аудиторских процедур.

4. Консультационная деятельность, инициатором которой является менеджмент компании, использующий широкий спектр профессиональных компетенций службы внутреннего аудита.

Одним из полезных инструментов, позволяющих реализовать оперативное реагирование на изменчивость внутренней и внешней среды компании, является непрерывный аудит бизнес-процессов компании. С его помощью возможно повысить полезность функции внутреннего аудита для компании за счет:

• выбора актуальных для бизнеса объектов проверок (направлений деятельности, процессов, процедур, общества в целом) по результатам предварительного обследования и использования системы индикаторов внутреннего аудита;

• оптимального и эффективного распределения ресурсов службы внутреннего аудита;

• своевременного информирования менеджмента компании, ответственного за функционирование объектов проверки о выявленных рисках, недостатках, фактах мошенничества.

Основную часть плана работы службы внутреннего аудита нашей компании на 2022 год составляют проверки в рамках непрерывного аудита основных бизнес-процессов компании: закупочная деятельность, ремонтная деятельность, инвестиционная деятельность, эксплуатация оборудования (в том числе учет и отчетность технико-экономических показателей работы оборудования), транспортное обеспечение компании.

Переход на данный вид проверок стал возможен благодаря автоматизации процессов в компании, накопленному опыту внутреннего аудита в части определения системы индикаторов для их последующей автоматизации, доступу к большинству внутренних и внешних информационных потоков.

Например, в 2022 году служба внутреннего аудита внедрила непрерывный аудит ремонтной деятельности благодаря введению в опытно-промышленную эксплуатацию автоматизированной информационной системы ТОРО. Сотрудники внутреннего аудита, подключенные к системе на правах чтения, в режиме реального времени осуществляют мониторинг выполнения параметров ремонтной программы:

• плановый и фактический объемы работ на предмет их соответствия утвержденным в компании требованиям. В ходе мониторинга аудиторы выявляют факты недостаточного обоснования необходимости выполнения работ и актирования работ, необходимость выполнения которых не подтверждается данными отчетно-исполнительной документации, а также риски мошенничества;

• соблюдение сроков проведения ремонта, подготовительных процедур (наличие договоров подряда и договоров на поставку оборудования, запасных частей, МТР; соответствие численного и квалификационного состава рабочих подрядной организации ремонтной документации, наличие у подрядной организации необходимой оснастки и прочее). В случае невыполнения работ в установленные сроки сотрудники службы проводят дополнительные процедуры по выявлению недостатков/ нарушений процесса, которые привели к его сбою.

В ходе непрерывного мониторинга и аудита также оценивается эффективность ИТ-контролей АИС ТОРО, возможность их обхода и причины отключения.

По результатам непрерывного аудита формируется заключение с выявленными недостатками, которое оперативно направляется руководителям, ответственным за функционирование ремонтной деятельности. Менеджмент компании в последующем вносит корректировки в процесс (при необходимости).

В условиях санкций на ИТ-продукты и, как следствие, отсутствия возможности использовать автоматизированные информационные системы для мониторинга процесса и выявления аномальных отклонений, не исключается возможность временного перехода и на традиционные методы аудита.

На сегодняшний день, активно используя инструментарий внутреннего аудита, мы готовы к новым вызовам и оперативно реагируем на изменения внешней и внутренней среды компании, принося пользу компании, в том числе посредством оценки управленческих решений через призму разумной осмотрительности, добропорядочности и обоснованности.

По каким критериям выбрать бизнес-процесс для непрерывного аудита?

Критерии выбора:

Уровень регулирования и регламентации бизнес-процесса: средний/ низкий.

Частота и существенность изменений нормативно-правовых актов и внутренних нормативных документов: высокая.

Уровень автоматизации бизнес-процессов компании: высокий. Программные продукты должны содержать актуальную, достаточную, достоверную, полную информацию.

Уровень влияния бизнес-процесса на функционирование основных и вспомогательных бизнес-процессов: высокий.

Уровень контроля за функционированием бизнес-процесса: средний/ низкий.

Недостаточный контроль со стороны менеджмента компании за функционированием бизнес-процесса и его подпроцессов, в том числе из-за недостаточности численности и квалификации персонала.

Этапы внедрения и проведения непрерывного аудита/ Периодичность

1. Оценка функционирования бизнес-процесса, в ходе которой определяются:

• негативная динамика показателей бизнес-процесса;

• необъяснимые (аномальные) отклонения от плановых/ стратегических показателей;

• оценка достижимости плановых и стратегических показателей, их соответствие целям бизнес-процесса;

• области для аудита: процессы, контрольные процедуры, активы и прочее.

Ежемесячно.

2. Определение системы индикаторов (СИ) и последующая полная или частичная автоматизация.

• СИ формируется на основании оценки рисков процесса и его составляющих, профессионального суждения и опыта работы внутреннего аудитора;

• автоматизация СИ зависит от уровня автоматизации процесса/ компании;

• автоматизация осуществляется посредством разработки программного модуля аудиторами, осуществляющими ИТ-аудит, исходные данные для которого выгружаются из АИС.

В зависимости от изменений в процессах, внешней среде.

3. Мониторинг индикаторов по выбранным критериям.

Онлайн.

4. Формирование аудиторской выборки, определение и проведение аудиторских процедур.

В зависимости от результатов мониторинга индикаторов.

5. Информирование заинтересованных лиц компании о результатах непрерывного аудита.

В зависимости от существенности выявленных нарушений/ недостатков.