О российском стандарте внутреннего аудита

Размещено 26.02.26.

Буду последовательным. Меня в мыслях о Международных стандартах внутреннего аудита (далее – МСВА) беспокоило 8 пунктов, а также набор документов, являющихся «примерами подтверждения соответствия». ПНСТ РУ по ОВА 1.0.076-1.053.23 (а именно так называются рассматриваемые «Руководящие указания по организации внутреннего аудита») априори должны быть «более лучшими», то есть, проанализировав всемирные документы, хорошо было бы ненужное убрать, а хорошее, при необходимости, добавить.

Сравнение МСВА и РУ по беспокоящему перечню.

По указанным мною в критике МСВА пунктам и оценю РУ (дальше буду их так и сокращать) на предмет устранения недостатков.

1. Требования не только к руководителю внутреннего аудита, но и Совету.

С одной стороны, РУ точно также, как и МСВА, устанавливают требования к Совету. Но, если читать внимательно:

• в МСВА есть обязанность руководителя внутреннего аудита регулярно взаимодействовать с Советом. Например, раздел III «Руководство функцией внутреннего аудита» устанавливает, что «руководитель функции внутреннего аудита должен обсудить настоящий раздел с Советом и высшим исполнительным руководством» и вообще, по тексту достаточно много требований «должен»;
• в РУ количество обязательных взаимодействий между внутренним аудитом, Советом и менеджментом минимизировано. Особенно в этой части понравился раздел 5.8 «Осуществление надзора», который устанавливает общие требования к Совету (взаимодействует, оказывает поддержку, информирует о мнении, …) и очень конкретные требования к руководителю внутреннего аудита (предоставление планов, бюджетов, отчетов, информацию об отрицательном воздействии etc.).

В общем, получилось изящно: с одной стороны, требования к Совету сохранились, с другой стороны – для руководителя внутреннего аудита жизнь принципиально упростилась, так как ему предписан ограниченный перечень действий. А уже что будет делать Совет с полученной информацией, прочитает ли он Руководящие указания, будет ли участвовать как-нибудь в жизни внутреннего аудита – руководителю внутреннего аудита, в принципе, всё равно.  Поэтому – зачёт, жить стало принципиально легче.

2. Обязательные тематические требования.

Лично меня беспокоит в этих требованиях неопределенность по количеству и содержанию. В текущем виде МСВА содержит только ссылку на такие требования, а про что они будут и когда возникнут – ни слова. Ситуация похожа на жизнь: на этапе планирования годового плана или проверки учесть можно практически всё, но очень тяжело получать ежемесячно (при выполнении годового плана) или ежедневно (например, от руководителя проверки) новые вводные. Так и здесь: в целом МСВА выполнимы (даже в части рекомендаций, их много, но они конечны), но пугает именно бесконечность потенциальных обязательных к исполнению документов, которые могут возникнуть в любой момент.

РУ, если читать по тексту, безусловно, лучше, во всяком случае, отсылок к каким-либо еще непридуманным требованиям там нет. Однако напрягает статус документа, а именно «Предварительный Национальный Стандарт». Сами понимаете (слышал от одного из чиновников на заре карьеры), «верблюд – это арабский скакун, прошедший все стадии согласования». То есть из того, что текущие РУ разумны, не следует, что окончательный документ сохранит положительные свойства предварительного. Но есть безусловный плюс РУ – их срок действия, указанный на странице 2, а именно с 01.03.26 до 01.03.29.

Итог – стало лучше. Риски изменений сохранились, но вероятность их реализации до 01.03.29 минимальна, а что будет в 2029 году – не сейчас загадывать. В общем, для тех, кому проходить внешнюю оценку в 2026-2028 годах, возник неоспоримый козырь в пользу варианта российского документа.

3. Избыточное участие высшего исполнительного руководства в деятельности внутреннего аудита.

Беспокоило три пункта:

• утверждение Положения о внутреннем аудите (с оговорками, перепечатывать не буду, см. исходный текст). Исправлено, в п. 4.5.1 прямо написано, что положение о внутреннем аудите принимает Совет, а разрабатывает положение – руководитель внутреннего аудита (п. 4.5.4);
• оказывает влияние на требования к квалификации внутреннего аудита. Увы, не ушло, п. 4.2.3 – «Совет совместно с высшим исполнительным руководством определяет квалификацию, которой должен обладать руководитель внутреннего аудита для успешного выполнения возлагаемых на него обязанностей»;
• участвует в определении объема и периодичности проведения внешней оценки качества. Исправлено, п. 6.7.4 РУ.

Итого – 2 из 3 улучшено. Что касается требований к квалификации – неприятно потому, что восприятие менеджмента может быть специфическим. Вот на текущем месте работы потребуют от меня железнодорожное образование, и что делать? А аргумент «как ты будешь проверять то, что не понимаешь» — весОм…

4. Отсутствие дифференциации требований к подразделению внутреннего аудита в зависимости от его масштабов.

Категорический минус. Да, объем РУ меньше, чем МСВА, требований тоже меньше. Но для одного самого себя формализовывать стратегию, писать методику, разрабатывать программу повышения качества и отчитываться о ее исполнении? Как-то так получиться может… 

5. Необходимость разработки целевых параметров для оценки деятельности функции внутреннего аудита.

Увы, фраза перенеслась буквально. Не согласен, см. мысли про КПЭ для внутреннего аудита.

6. Избыточные требования к программе задания.

Таких наблюдений было два:

• обязательное установление критериев для оценки деятельности объектов внутреннего аудита на этапе планирования проверки. Печально, но осталось. Понятно, что это нужно для того, чтобы выйти на обнаружение (несоответствие чего-то чему-то), но я бы менее однозначно требования установил. С другой стороны, определи критерий типа «ненужные расходы» да «недополученные доходы», «риски непрерывности» да «поломки», дело вроде и сделано;
• обязательное утверждение всех изменений в программу. Осталось, но появилось требование для руководителя внутреннего аудита об утверждении изменений в кратчайшие сроки (п. 5.6.1.5).

По этому пункту получились только косметические изменения.

7. Требование об оценке каждого потенциального наблюдения с точки зрения существенности.

Буквальный перенос.

8. Обязательность предоставления рекомендаций (стандарт 15.1) даже в случае, когда они не разрабатывались (допускается стандартом МСВА 14.4).

Описано корректно: если рекомендации или планы мероприятий есть, их нужно включить в отчет, если нет – не нужно. Разумно. Кстати, еще раз перечитав, подумал о том, что, возможно, замечание №8 не совсем корректно: фраза из МСВА «рекомендации и (или) планы мероприятий, если применимо», возможно, относится и к рекомендациям.

С одной стороны, вроде как меньше половины замечаний устранено. С другой стороны – устранены самые существенные проблемы (то, что не от тебя зависит, а именно взаимодействие с Советом и высшим исполнительным руководством), да еще и зафиксировано на три года. Так что в целом разделу – не 4 из 8, а скорее 8 из 10.

Требования к документам.

И ГОСТ, и МСВА в своем названии содержат слово «Стандарты». Но жанр все-таки немного разный: если в ГОСТ минимум комментариев, то большая часть МСВА – рекомендации и примеры подтверждения. Поэтому большое спасибо разработчикам за то, что РУ выглядят все-таки как нормативные требования без дополнительной обвязки. При выборе РУ в качестве основы для внутреннего аудита внешняя оценка будет принципиально проще, так как исключаются все дискуссии на тему причин и факта отсутствия возможных документов по подтверждению соответствия.

Теперь к тому, что беспокоило в части количества документов. Из новых документов МСВА (Положение о подразделении и ПОПК (программа обеспечения и повышения качества), скорее всего, есть у каждого) в РУ их осталось, в общем-то, два:

• методика внутреннего аудита. Исходя из определения не одна, а совокупность документов, но хотя бы есть ссылка на то, что всё во власти руководителя внутреннего аудита (то есть он принимает правила);
• стратегия. Я очень тщательно перечитывал именно этот раздел и пришел к выводу, что с формальной точки зрения утверждение стратегия внутреннего аудита не нужно! Да, есть задача стратегического планирования (п. 5.5). Но в обязанность руководителю внутреннего аудита вменено «осуществлять стратегическое планирование» и «представить стратегию функции внутреннего аудита Совету и исполнительному руководству для обсуждения». Кроме того, указан состав стратегии, необходимость формирования плана для достижения стратегических целей, необходимость обеспечения ресурсами для реализации стратегии. Но нет буквального указания «Стратегия внутреннего аудита утверждается …»! Даже в п. 4.5.4 (в разделе 4.5 «Участники внутреннего аудита и их ответственность).

Возвращаясь к критике МСВА, пропали:

• россыпи методологий. Вроде как понятно было, что речь идет об одной методике внутреннего аудита, да и рекомендации были. Но попробуй докажи по какой-то причине критически настроенному к тебе лично внешнему оценщику, что не должно быть каждой отдельно;
• документально оформленная оценка стратегии, целей, и рисков организации (стандарт 9.4);
• подход к выстраиванию функцией внутреннего аудита отношений и доверия с ключевыми заинтересованными сторонами (стандарт 11.1).

В общем, теперь разрешено написать одну внутреннюю книгу с основными принципами, и при необходимости дополнять ее разделами. Что не может не радовать.

Итоги.

Что в целом понравилось:  

• как я узнал о том, что РУ утверждены, а именно с сайта РБК! Более того, оказалось, что это не первое интервью с Председателем ИВА (в 2024 году почему-то мне не показывали). Безусловно, приятно, как ИА Панорама, опережать события, мы с экспертом сайта такое рекомендовали в 2016 году. Напомнило, что этом году одно из наших предприятий всё-таки стало покупать дизельное топливо не оптом, а на бензоколонке на въезде на 3 рубля дешевле. 6 лет сопротивлялись, но сломались;
• РУ читабельны. Во-первых, сказывается, что писали носители языка. В отличие от переводных МСВА, где переводчики в попытке передать мысль делали его во многих местах непонятным. Во-вторых, его объем. 32 страницы можно осилить без подготовки. В-третьих, нет заумных фраз на несколько строк, которые можно понять только с третьего прочтения;
• РУ не обогащены новыми требованиями. И это безусловный плюс, потому что, например, в рамках дебюрократизации может достигаться прямо противоположный эффект. То есть РУ – выжимка из МСВА. Конечно, добавилась ссылка на Профессиональный Стандарт «Внутренний аудитор», но разработчиков понимаю, а добавлена корректно (можно сказать, обтекаемо).

Что не понравилось:

• вообще нет ссылок на МСВА. С одной стороны, эти ссылки вроде как особо нужны, потому что вроде как свой закон Ома придумываем. Однако в качестве базы явно взяты они;
• несмотря на то, что соответствие МСВА даже не декларируется, много ерунды перешло именно из них (анализ см. выше). То есть вроде как выжимка из МСВА, но можно было бы выжать еще больше.

Подводя итоги:

• пользоваться стандартом удобнее, потому что он меньше, на русском и без рассуждательной обвязки;
• требования ко взаимодействию с Советом и высшим исполнительным руководством принципиально уменьшены;
• зафиксирован на три года;
• макулатуры подразумевается меньше;
• с учетом ситуации в стране стандарты недружественных стран со стороны заинтересованных сторон могут привести к обвинениям в преклонении перед Западом, а ГОСТ – какой ни есть, но родной.

В общем, результат неплохой. Как говориться, почему бы и нет?