Методика внутреннего аудита

Файл в формате Microsoft Word – здесь. 

Методика внутреннего аудита.

Дата обновления – «…» ___________ 202_ года (4.1. Здесь и далее в скобках указана ссылка на Международные Стандарты внутреннего аудита, для соответствия которым в методику включен конкретный пункт).

1. Общие положения.

1.1. Методика внутреннего аудита (далее – Методика) разработана во исполнение Международных Стандартов внутреннего аудита.

1.2. Методика дополняет имеющиеся Положение о Подразделении внутреннего аудита и Регламент проведения проверок.

1.3. Методика обязательна для исполнения сотрудниками Подразделения внутреннего аудита.

1.4. В соответствии с рекомендациями Международных Стандартов внутреннего аудита в скобках приведен номер Стандарта, во исполнение которого в Методику включен конкретный пункт (п. 9.3).

1.5. Актуальная версия Методики размещена на диске ПВА в папке «_Нормативные документы».

2. Термины и сокращения.

2.1. Внутренний аудитор – сотрудник ПВА.

2.2. Заинтересованные стороны – собственники и их назначенные представители, Председатель и члены Совета, высшее руководство, руководители подразделений «второй линии защиты», сотрудники ПВА.

2.3. МСВА – Международные стандарты внутреннего аудита.

2.4. Проверка – аудиторское задание в понимании МСВА и Положения о внутреннем аудите.

2.5. Отчет по итогам проверки — изложение результатов проверки. Может быть в форме отчета, презентации, акта, служебной записки, заключения и пр. Форма отчета определяется руководителем ПВА.

2.6. ПВА – подразделение внутреннего аудита.

2.7. План мероприятий — план мероприятий по изменению деятельности по итогам проверки.

2.8. Руководитель объекта проверки — руководитель / руководители юридических лиц, руководитель структурного подразделения Компании, владелец бизнес-процесса либо сотрудник, ответственный за направление деятельности.

2.9. Руководитель проверки — сотрудник ПВА, ответственный за организацию и проведение проверки, в т.ч. за взаимодействие с руководителем объекта проверки.

2.10. Совет – орган управления, наделенный полномочиями осуществлять руководство и надзор за деятельностью организации в интересах ее собственников.

Планирование деятельности внутреннего аудита.

3. Стратегия внутреннего аудита (9.2).

3.1. Руководитель ПВА организует разработку стратегии внутреннего аудита. Первая стратегия внутреннего аудита разрабатывается и утверждается не позднее, чем через один год после утверждения данной методики.

3.2. В ходе разработки стратегии руководитель ПВА организует сбор информации об ожиданиях заинтересованных сторон. Учет мнений остается на усмотрение руководителя ПВА.

3.3. Обязательный состав стратегии:
3.3.1. Видение.
3.3.2. Стратегические цели.
3.3.3. Целевые параметры (12.2).
3.3.4. Технологические решения (10.3).
3.3.5. План действий по реализации.

3.4. Проект стратегии обсуждается с заинтересованными сторонами.

3.5. Итоговая стратегия выносится на рассмотрение Совета / собственника.

3.6. Стратегию вместе с планом действий по реализации утверждает руководитель ПВА.

3.7. Пересмотр стратегии внутреннего аудита осуществляется не реже одного раза в 5 лет по инициативе собственника, Председателя Совета либо руководителя ПВА. При пересмотре стратегии внутреннего аудита выполняются действия, предусмотренные п. 3.2-3.6 Методики.

3.8. Оценка реализации стратегии проводится ежегодно в отчете ПВА за год.

3.9. Актуальная версия стратегии внутреннего аудита размещена на диске ПВА в папке «_Нормативные документы».

4. Риск-ориентированное планирование деятельности внутреннего аудита (9.4).

4.1. Планирование деятельности внутреннего аудита осуществляется на один год.

4.2. Руководитель ПВА не позднее 30 октября года, предшествующего году планирования:
4.2.1. Проводит опрос заинтересованных сторон о пожеланиях для включения в план работы ПВА на календарный год.
4.2.2. Собирает информацию о действующих стратегиях, текущие и планируемые карты рисков менеджмента, отчеты об исполнении бюджета и проектах бюджета на следующий год, а также предписаниях регуляторов (4.2, 9.1);
4.2.3. Организует формирование реестра рисков (3.4):
4.2.3.1. столбцы реестра: № риска, тип риска, наименование риска, описание риска, вероятность (%), ущерб (млн. руб.), метод расчета ущерба, математическое ожидание на год (млн. руб.), история аудитов, возможные аудиты. Риски ранжируются по математическому ожиданию в порядке убывания (9.4);
4.2.3.2. классификация статусов возможных аудитов:
4.2.3.2.1. аудит невозможен (внешний риск);
4.2.3.2.2. отдельная проверка (возможна отдельная проверка по данному риску);
4.2.3.2.3. плановые проверки (анализ управления риском включается в плановые проверки, например дочерних и зависимых обществ, филиалов и производственных единиц);
4.2.3.2.4. карта гарантий (риск покрывается картой гарантий, 3.1, 7.1, 9.5).
4.2.4. Организует обновление «вселенной аудита», в т.ч. перечня юридических лиц и перечня присущих процессов. На основании «вселенной аудита» формируется:
4.2.4.1. перечень юридических лиц / обособленных подразделений для включения в план проверок исходя из обязательной проверки один раз в три года;
4.2.4.2. перечень возможных процессов для проверки (при наличии установок о регулярных проверках процессов).
4.2.5. Организует обновление информации о сотрудниках ПВА, в т.ч. о пройденном обучении за год и поддержке квалификаций (3.1, 7.2, 10.2, 10.3).
4.2.6. Рассчитывает возможную трудоемкость исходя из текущей штатной численности с учетом отпусков, обучения, статистики больничных листов и прохождения внутренних и внешних оценок качества для включения в план работы ПВА.

4.3. Руководитель ПВА не позднее 15 ноября года, предшествующего году планирования:
4.3.1. Формирует проект плана план работы ПВА исходя из штатной численности сотрудников ПВА. В проект плана работы на усмотрение руководителя ПВА закладываются резервы трудоемкости на внеплановые поручения Совета и руководителя ПВА.
4.3.2. Формирует расширенный план проверок с учетом возможного увеличения штатной численности (при необходимости).
4.3.3. В случае нехватки компетенций для выполнения планов формирует план обучения сотрудников или привлечения внешних подрядчиков (3.1, 10.2).
4.3.4. Формирует два варианта бюджета ПВА (при необходимости): исходя из штатной численности и расширенный вместе с пояснительной запиской;
4.3.5. Направляет два варианта для предварительного рассмотрения Председателю Совета.

4.4. Руководитель ПВА не позднее 15 декабря года, предшествующего году планирования на основании рассмотрения Председателем Совета директоров предварительных планов формирует итоговые план работы и бюджет ПВА и выносит вместе с пояснительной запиской на утверждение Совета. При этом:
4.4.1. в случае отсутствия обратной связи от Председателя Совета на рассмотрение выносится план работы и бюджет исходя из штатной численности;
4.4.2. файлы с ранжированием реестра рисков и описанием «вселенной аудита» представляются на рассмотрение только по запросу Совета.

4.5. Пересмотр плана работы ПВА осуществляется:
4.5.1. при недостатке резервов трудоемкости по внеплановым проверкам в утвержденном плане работы ПВА. В этом случае руководитель ПВА может предложить заменить какую-либо проверку из плана, привлечь внешнего подрядчика либо увеличить штатную численность (с учетом стратегии внутреннего аудита). Окончательное решение принимается Председателем Совета;
4.5.2. при невозможности проведения какой-либо проверки. В этом случае руководитель ПВА получает от менеджмента документальное заверение о невозможности проведения и может инициировать внеплановую проверку взамен запланированной либо методологическую работу. Непроведение данной проверки не учитывается при расчете показателя выполнения плана ПВА.

Организация проверок.

5. Порядок планирования (13.6).

5.1. Руководитель ПВА поддерживает типовые программы проверки. Данные программы проверки размещены на диске ПВА в папке «_Типовые программы проверки».

5.2. Инициирование проверок осуществляется в соответствии с Регламентом проведения проверок.

5.3. Перед формированием информационного запроса руководитель проверки организует предварительный сбор информации из доступных ПВА данных (информационные системы, общие папки на дисках и др.).

5.4. При формировании запроса о предоставлении информации для планирования проверки учитывает необходимость оценки рисков (13.2).

5.5. Источники оценки рисков при планировании проверки (13.2):
5.5.1. Реестр рисков, использовавшийся для формирования плана работы СВА.
5.5.2. Материалы, полученные в ответ на информационный запрос.
5.5.3. Предыдущие отчеты ПВА.
5.5.4. Общее понимание рисков, присущих объекту проверки.
5.5.5. Индикаторы и факты (реализовавшиеся риски), собранные ПВА самостоятельно.

5.6. По итогам оценки рисков руководитель проверки совместно с руководителем ПВА определяют:
5.6.1. цель проведения проверки. Данными целями могут быть оценка достижения стратегических целей, оценка системы внутреннего контроля, оценка эффективности и результативности, оценка соблюдения законодательства / локальных нормативных актов, оценка сохранности активов и др. (13.3);
5.6.2. объем проведения проверки. При определении объема проведения проверки принимается соотношение затрат и потенциальных выгод (4.2, 13.3);
5.6.3. критерии оценки деятельности объекта проверки. Критериями могут быть отсутствие потерь выручки, отсутствие непроизводительных затрат, прозрачность деятельности, наличие цифровых следов и т.п. При наличии критериев, установленных Советом, руководитель проверки обязан использовать их при планировании (13.4);
5.6.4. ресурсы для проведения проверки – состав рабочей группы, продолжительность выезда и состав командируемых (при необходимости), возможность привлечения внешних и внутренних подрядчиков, покупки информации и т.п. (13.5). При этом плановая трудоемкость может отличаться от трудоемкости, предусмотренной планом работы ПВА.

5.7. Руководитель проверки формирует итоговую программу проверки в табличном формате и отправляет ее на согласование руководителю ПВА (13.6). Столбцы таблицы: направление, процесс, цель, риск / индикатор / факт, критерии, программа проверки (задачи, методология), ответственный. При определении ответственного запрещено назначать ответственным за какой-либо пункт программы проверки сотрудника ПВА, который раньше нес ответственность за деятельность, предусмотренную данным пунктом, ранее 12 месяцев после перехода сотрудников в ПВА (2.2).

5.8. Руководитель ПВА утверждает программу проверки.

6. Порядок выполнения (14.1-14.3).

6.1. Взаимодействие с менеджментом осуществляется в соответствии с Регламентом проведения проверок.

6.2. В случае необходимости изменения объема проверки руководитель проверки согласует изменение объема с руководителем ПВА по электронной почте.

6.3. Обязательные требования к внутренним аудиторам при выполнении проверок:
6.3.1. Информировать руководителя проверки (руководитель проверки информирует руководителя ПВА) о фактах несоблюдения МСВА (4.1), в т.ч., но не ограничиваясь:
6.3.1.1. нехватке профессиональных знаний (3.1);
6.3.1.2. отрицательного воздействия на объективность, в т.ч. психологического давления и угрозах со стороны сотрудников объекта аудита (2.3);
6.3.1.3. наличия потенциального конфликта интересов (2.2);
6.3.1.4. потенциального нарушения правил работы с информацией (5.1,5.2);
6.3.1.5. прогнозного невыполнения порученных заданий в установленный срок.

6.4. В ходе выполнения проверок внутренний аудитор:
6.4.1. при сборе информации – оценивает ее уместность, надежность, достаточность. В случае несоответствия полученной информации указанным требованиям принимает меры к получению дополнительной информации (14.1);
6.4.2. на основании полученной информации формирует наблюдения, которые основаны, в том числе, на расхождениях между критериями оценки и наблюдаемым состоянием объекта аудита (14.2). Наблюдения могут не следовать из программы проверки;
6.4.3. при оценке наблюдений – совместно с руководителем проверки оценивает их существенность и необходимость включения в отчет (14.3);
6.4.4. документирует свою деятельность, в т.ч. в обязательном порядке собирает доказательства наблюдений, в удобном для него виде (14.6).

6.5. Руководитель проверки перед формированием отчета:
6.5.1. проверяет с назначенным на раздел проверки внутренним аудитором выполнение программы проверки;
6.5.2. формирует перечень наблюдений и группирует их в соответствии с будущими разделами отчета.

6.6. В случае выявления или возникновения опасения в наличии отрицательного воздействия на независимость руководитель проверки обсуждает дальнейшие действия с руководителем ПВА (7.1).

7. Отчет по итогам проверки (11.3, 14.5, 15.1).

7.1. Форма отчета по итогам проверки определяется исходя из существенности наблюдений совместно руководителем проверки и руководителем СВА.

7.2. Текстовый отчет должен быть выполнен в шаблоне отчета ПВА, остальные материалы (презентации, служебные записки, акты, заключения) – в корпоративном стиле (11.2).

7.3. В отчет по итогам проверки включаются (13.1):
7.3.1. Информация о проверке (основание, цель, другая информация).
7.3.2. Раскрытие информации о фактах, отрицательно воздействующих на объективность (п. 2.3).
7.3.3. Наблюдения по итогам проверки. Наблюдения для наглядности желательно сопровождать графиками, таблицами и фотоматериалами (13.1).
7.3.4. Оценка и последствия наблюдений (14.3).
7.3.5. Суждение внутренних аудиторов об эффективности процессов руководства, управления рисками и (или) внутреннего контроля объекта проверки (14.5).
7.3.6. При необходимости по решению руководителя проверки и / или при большом объеме наблюдений создается раздел с условным названием «Основные выводы» или «Краткое описание результатов».
7.3.7. Рекомендации по итогам проверки. В случае, если руководитель проверки считает нецелесообразным разработку рекомендаций, он указывает это в соответствующем разделе проверки вместе с дальнейшими действиями (например, запрос планов от руководства объекта проверки, 14.4).

7.4. Согласование и рассылка итогового отчета (все версии) осуществляется в соответствии с Регламентом проведения проверок. Дополнительно уведомляются:
7.4.1. при наличии признаков мошенничества – директор по безопасности;
7.4.2. при наличии признаков нарушения этического поведения – уполномоченный по этике;
7.4.3. при наличии признаков нарушений законодательства – директор по юридическим вопросам (1.3).

7.5. Отчет может направляться за пределы организаций только по решению руководителя ПВА (11.3).

7.6. В случае выявления ошибок и упущений по решению руководителя ПВА уточненная версия рассылается первоначальным получателям (11.4).

8. Порядок документирования (14.6).

8.1. Документирование осуществляется как в ходе, так и после проверки.

8.2. Бумажные документы, полученные в ходе проверки, подлежат переводу в электронный вид с последующим уничтожением бумажного носителя.

8.3. Все документы, связанные с проверкой, выгладываются на общий диск ПВА, для каждой проверки создается отдельная папка. По итогам проверки в каждой папке с названием проверки информация размещается следующим образом:
8.3.1. Корень папки – информационный запрос (в формате word и pdf), программа проверки (excel), отчет по итогам проверки (word и pdf — вместе с подписью руководителя ПВА), контроль качества (excel), план мероприятий по итогам проверки. Размещение другой информации в данной папке допускается только руководителем проверки.
8.3.2. Подпапка «Архив» – промежуточные версии программ проверки, отчета по итогам проверки и плана мероприятий.
8.3.3. Подпапка «Взаимодействие с внешними поставщиками услуг» — вся информация по взаимодействию с поставщиками, включая резюме участвующих специалистов, договор, промежуточные отчеты, итоговые отчеты, акты выполненных работ и т.п. (10.2, 13,5).
8.3.4. Подпапка «Получено в ответ на информационный запрос» – информация, разложенная по подпапкам в соответствии с нумерацией запроса.
8.3.5. Подпапка «Получено на месте» – информация, полученная рабочей группой после утверждения программы проверки. Группируется произвольно. В отдельной подпапке выкладываются фото- и видеоматериалы.
8.3.6. Подпапка «Получено ПВА» – информация, полученная рабочей группой в ходе планирования проверки. Группируется произвольно. В отдельных подпапках выкладываются выгрузки из информационных систем, а также материалы коллегиальных органов управления и комитетов.

8.4. Порядок контроля (чек-листы, 12.3):
8.4.1. Руководитель проверки создает отдельный файл на основе программы проверки, добавляя в него столбы «Исполнение», «Контроль» и «Обзор».
8.4.2. Ответственный за выполнение конкретного пункта заполняет столбец «Исполнение» путем краткого описания проведенной работы.
8.4.3. Руководитель проверки определяет в столбце «Контроль»:
8.4.3.1. в случае невключения результатов работы по пункту программы в итоговый отчет описывает краткие причины со ссылками на расположение документов в папках;
8.4.3.2. в случае включения результатов работ по пункту программы в итоговый отчет подтверждает корректность заполнения столбца «Исполнение» путем простановки знака «+», при необходимости оставляя комментарии.
8.4.4. Руководитель ПВА:
8.4.4.1. проводит обзор качества документирования, заполняя столбец «Обзор» по своему усмотрению, включая как выполнение работы, так и качество документирования;
8.4.4.2. дает обратную связь в отношении качества работы на проверке и возможностей улучшения.

9. Мониторинг исполнения рекомендаций (15.2).

9.1. Формирование плана мероприятий и взаимодействие с менеджментом при осуществлении мониторинга осуществляется в соответствии с регламентом проведения проверок.

9.2. Руководитель ПВА организует ведение сводного файла мониторинга исполнения рекомендаций в файле Microsoft Excel, в котором отражаются все рекомендации ПВА и все мероприятия менеджмента из утвержденных планов. Формат файла и необходимая классификация (типы проверок, процессы, важность рекомендации / тип последствия) определяется руководителем ПВА.

9.3. В файле мониторинга отражаются следующие статусы:
9.3.1. Тип мероприятия из утвержденного менеджментом плана («Проектное» / «Процессное»). Второй статус присваивается в случае, если мероприятие не связаны с необходимостью изменения системы управления («усилить контроль», «неукоснительно соблюдать», «обеспечить выполнение», «непрерывно осуществлять», …) либо содержат только начальные этапы по исправлению ситуации («рассмотреть возможность», «направить письмо», «подготовить обращение», «провести совещание», …).
9.3.2. Статус исполнения рекомендации («план не представлен», «отменена», «в работе», «в работе с задержкой», «отчет о выполнении», «проверено ПВА», «мониторинг ПВА»);
9.3.3. Статус актуальности («актуальная» / «архивная»).

9.4. На ежегодной основе в соответствии с данным разделом проводится «Последующий контроль реализации мероприятий по итогам проверок ПВА». В рамках последующего контроля актуализируются статусы исполнения рекомендаций для включения в отчет ПВА по итогам года.

9.5. Статус «архивная» присваивается рекомендациям:
9.5.1. со статусом «Проверено ПВА» – через один год;
9.5.2. со статусом «План не представлен» и «Отменена» – через два года сохранения данного статуса.

Организационные аспекты деятельности внутреннего аудита.

10. Взаимодействие с Советом (8.1).

10.1. Порядок работы с Советом директоров определяет Председатель Совета.

10.2. Документы предоставляются другим членам Совета только при наличии соответствующих требований в Положении о Совете.

10.3. Руководитель ПВА обязан вынести на рассмотрение Совета:
10.3.1. Стратегию ПВА (9.2).
10.3.2. План работы и бюджет ПВА (9.4, 10.1, 10.2).
10.3.3. Порядок и выбор подрядчика для проведения внешней оценки (8.4).
10.3.4. Отчет о работе ПВА (не реже одного раза в год).

11. Требования к документам, выносимым на рассмотрение Совета.

11.1. Состав стратегии определяется данной методикой.

11.2. В отчет о работе ПВА за год в обязательном порядке включаются:
11.2.1.1. Подтверждение организационной независимости вместе с возникшими за год ограничениями в работе ПВА (7.1.).
11.2.1.2. Изменения, потенциально влияющие на компетенцию внутреннего аудита (8.1).
11.2.1.3. Отчет об исполнении плана работы ПВА, включая отчет по последующему контролю (8.1).
11.2.1.4. Отчет об исполнении бюджета ПВА (10.1).
11.2.1.5. Результаты выполнения программы обеспечения и повышения качества (8.1, 8.3, 8.4, 12.1, 12.4).

11.3. Для проведения внешней оценки качества руководитель ПВА выносит на рассмотрение следующие вопросы:
11.3.1. Периодичность проведения.
11.3.2. Возможные подрядчики вместе со стоимостью их услуг.
11.3.3. Порядок проведения оценки (в один или в два этапа).

11.4. Все материалы, выносимые на рассмотрение Совета, хранятся в отдельной папке (8.1) с ограниченным доступом только сотрудникам, указанным руководителем ПВА.

12. Проведение опросов (9.3).

12.1. Опросы заинтересованных сторон могут проводиться по инициативе Председателя Совета либо руководителя ПВА. Периодичность проведения не устанавливается.

12.2. Цель проведения опроса устанавливается инициатором. При проведении опроса могут включаться следующие аспекты деятельности внутреннего аудита:
12.2.1. Честность и смелость внутренних аудиторов (1.1).
12.2.2. Объективность внутренних аудиторов (2.2).
12.2.3. Должная профессиональная осмотрительность (4.2).
12.2.4. Качество отношений и коммуникации с заинтересованными сторонами (11.1).
12.2.5. Качество отчетов (11.2).
12.2.6. Качество коммуникаций в рамках проверок (13.1).
12.2.7. Своевременность проведения проверок и достаточность ресурсов (13.5).

12.3. Проведение опросов возлагается на руководителя ПВА.

12.4. Основным пользователем результатов опроса является инициатор. Порядок распоряжения результатами опроса определяется руководителем ПВА.

Обеспечение качества внутреннего аудита.

13. Программа обеспечения и повышения качества (8.3).

13.1. Руководитель ПВА разрабатывает программу обеспечения и повышения качества внутреннего аудита.

13.2. Состав программы и срок ее действия определяется руководителем ПВА. Программа включает внешние и внутренние оценки (8.3).

13.3. Результаты используются для обеспечения эффективной коммуникации (11.2).

14. Порядок проведения внешней оценки качества (8.4).

14.1. Внешняя оценка качества проводится один раз в пять лет. По требованию Председателя Совета интервал проведения внешней оценки может быть уменьшен.

14.2. При отсутствии решения Совета о выборе исполнителя по проведению внешней оценки Руководитель ПВА должен избегать единоличного выбора исполнителя. При наличии выделенного бюджета необходимо соблюдать действующие закупочные процедуры и вынести рассмотрение вопроса на согласование административного руководителя, которому подчиняется руководитель ПВА. При формировании закупочной документации указываются требования к внешнему оценщику, предусмотренные применимыми Стандартами.

14.3. В качестве плана проведения внешней оценки может использоваться техническое задание исполнителя. В техническое задание добавляется:
14.3.1. обязанность подрядчика сделать заключение об объективности (2.2), компетентности (3.1) и должной профессиональной осмотрительности (4.2) внутренних аудиторов;
14.3.2. обязанность подготовки детального отчета о внешней оценке качества и презентации для Совета (8.4) и обсуждение результатов на заседании Совета.

14.4. По итогам внешней оценки руководитель ПВА:
14.4.1. при выявлении несоответствий формирует план мероприятий по совершенствованию деятельности и выносит его вместе с презентацией для Совета;
14.4.2. при отсутствии несоответствий – учитывает рекомендации в программе обеспечения и повышения качества.

15. Порядок проведения внутренней оценки качества (12.1).

15.1. Внутренняя оценка качества проводится в виде самооценки.

15.2. Периодичность проведения внутренней оценки определяет руководитель ПВА.

15.3. Направления проведения внутренней оценки:
15.3.1. Соответствие Стандартам. Поддерживается файл с перечислением Стандартов, результатами предыдущей и текущей оценки с комментариями в произвольном виде.
15.3.2. Достижение целевых параметров стратегии внутреннего аудита. Поддерживается файл с перечислением параметров стратегии, результатами предыдущей и текущей оценки достижения параметров, в случае отклонения – прогнозные сроки достижения и анализ причин отклонений.
15.3.3. Соблюдение методики. Поддерживается файл с перечислением разделов методики, результатами предыдущей и текущей оценки их соблюдения, в случае отклонения – анализ причин.

15.4. Порядок проведения внутренней оценки:
15.4.1. Руководитель ПВА назначает ответственного за организацию и перечень участников внутренней оценки, а также устанавливает сроки проведения.
15.4.2. Ответственный готовит файлы-анкеты, организует сбор информации от участников и готовит сводный файл. Рабочие документы в электронном виде хранятся в отдельной папке на диске.
15.4.3. Сводный файл обсуждается под руководством руководителя ПВА. При выявлении несоответствий готовится план мероприятий по итогам внутренней оценки, а также корректируется программа обеспечения и повышения качества.

15.5. По итогам проведения оценки готовится справка для Совета и высшего исполнительного руководства. В справке по усмотрению руководителя ПВА могут отражаться результаты самооценки по отдельным направлениям: честность и профессиональная смелость (1.1), компетентность (3.1), должная профессиональная осмотрительность (4.2), использование и защита информации (5.1,5.2), достижение целей стратегии внутреннего аудита (9.2), соблюдение методологии (9.3), соблюдение политики в отношении подготовки рабочей документации и осуществления надзора (14.6).

16. Непрерывное профессиональное развитие (3.2).

16.1. Формирование плана по обучению.
16.1.1. План по обучению формируется ежегодно на этапе планирования затрат на обучение в рамках общего процесса бюджетирования.
16.1.2. При формировании плана должна применяться самооценка компетенций (3.1). Форма самооценки определяется руководителем ПВА (в т.ч. для самого себя).
16.1.3. План по обучению утверждается руководителем ПВА на год одновременно с утверждением плана работы и бюджета ПВА (7.2).

16.2. Руководитель ПВА не реже одного раза в квартал контролирует исполнение плана по обучению.

16.3. Обязательное обучение.
16.3.1. Руководитель ПВА обеспечивает на ежегодной основе для всех сотрудников ПВА обучение по вопросам:
16.3.1.1. этики (1.1);
16.3.1.2. индивидуальной объективности и раскрытия конфликта интересов (2.1-2.3),
16.3.1.3. профессионального скептицизма (4.3);
16.3.1.4. порядку использования и защиты информации (5.1, 5.2);
16.3.1.5. руководству организацией, управлению рисками и внутреннему контролю (9.1);
16.3.1.6. эффективной коммуникации (11.2).
16.3.2. Информация о проведении обучения отражается во внутреннем протоколе по итогам обучения и рассылается по электронной почте (9.3).
16.3.3. При приеме на работу новый сотрудник ознакамливается с предыдущими презентациями обязательного обучения, а также настоящей методикой, под подпись.

Правила работы внутренних аудиторов.

17. Порядок работы с информацией (5.1, 5.2).

17.1. Информация – информация, доступная внутреннему аудитору в цифровом и нецифровом виде, в также устные сведения, включая полученные в ходе официальных или неофициальных обсуждений. Информация может быть получена как при проведении проверок, так и рамках рабочих отношений.

17.2. Исходя из принципа доступности знаний, информация хранится на общих дисках (включая всю информацию о проверках).

17.3. Руководитель ПВА может ограничивать доступ к информации в любом виде: сроки проведения проверок, конкретные проверки, конкретные сотрудники и т.п.

17.4. Обязанности внутренних аудиторов:
17.4.1. Внутренние аудиторы должны уважать право собственности на полученную информацию, используя ее только в профессиональных целях и защищая от несанкционированного доступа или раскрытия как внутри компании, так и за ее пределами.
17.4.2. Каждый внутренний аудитор несет персональную ответственность за надлежащее использование информации и обращение с ней.
17.4.3. При использовании информации внутренние аудиторы должны соблюдать требования соответствующих законодательных и нормативных актов, а также политику и процедуры организации по защите информации (положение по информационной безопасности, положение о коммерческой тайне и т.п.). .

17.5. Прямые запреты на использование информации:
17.5.1. Копирование информации с общих дисков и с персонального компьютера на личные носители.
17.5.2. Передача информации внешним сторонам без согласования руководителя ПВА.
17.5.3. Передача какой-либо негативной информации об опыте проверок за пределами юридического лица (кроме информации, передаваемой в управляющую компанию), за исключением обезличенного опыта внутреннего аудитора.

17.6. При передаче позитивной информации (личных наблюдений) необходимо руководствоваться принципом полезности и не передавать ее сторонним подразделениям для исключения негативного восприятия (зависть и т.п.).

18. Правила поведения внутренних аудиторов.

18.1. Выполнять свою работу честно и с профессиональной смелостью (1.1).

18.2. Быть правдивыми, точными, открытыми и уважительными во всех своих профессиональных отношениях и коммуникациях, даже когда выражают скептицизм или высказывают противоположную точку зрения (1.1).

18.3. Не делать ложные, вводящие в заблуждение или не соответствующие действительности заявления, а также скрывать или умалчивать наблюдения и иную относящуюся к делу информацию (1.1)

18.4. Раскрывать все известные им существенные факты, которые, не будучи раскрыты, могут повлиять на способность организации принимать обоснованные решения (1.1)

18.5. Проявлять профессиональную смелость, сообщая правдивую информацию и предпринимая надлежащие действия, даже когда они сталкиваются с дилеммами и сложными ситуациями (1.2).

18.6. Не вести деятельность или принимать участие в какой-либо деятельности, которая является незаконной либо дискредитирует организацию или профессию внутреннего аудитора или которая может нанести вред организации или ее сотрудникам (1.2).

18.7. Понимать, уважать, отвечать и содействовать правомерным ожиданиям организации в вопросах этики, а также уметь распознавать поведение, идущее вразрез с этими ожиданиями (1.2).

18.8. При обнаружении поведения, отвечающего ожиданиям организации в вопросе этики – сообщить о своих опасениях в соответствии с применяемыми политикой и процедурами (1.2).

18.9. Понимать и соблюдать законодательные и (или) нормативные акты, относящиеся к отрасли и юрисдикциям, в которых организация осуществляет свою деятельность, включая раскрытие информации в соответствии с требованиями (1.3)

18.10. При обнаружении нарушений законодательных или регулятивных норм – сообщать о таких случаях лицам или организациям, которые уполномочены предпринять соответствующие действия, как указано в законодательных и нормативных актах, а также применимых политике и процедурах (1.3).

18.11. Быть объективными, то есть беспристрастными и непредвзятыми при выполнении своих обязанностей, выражении мнения и формировании заключений (2.1).

18.12. Не принимать возможные материальные и нематериальные поощрения со стороны сотрудников объекта проверки и третьих сторон. Исключения: оплата приема пищи (без алкогольных напитков) не более одного раза за проверку, поездки к достопримечательностям в черте города, подарки с корпоративной атрибутикой и т.п., затраты на которые не превышают 3 тыс. руб. на человека (2.2).

18.13. Избегать конфликта интересов. Интересы внутреннего аудитора и интересы других лиц не должны оказывать ненадлежащего влияния на внутренних аудиторов (2.2).

18.14. Проявлять должную осмотрительность (4.2) и профессиональный скептицизм (4.3).

18.15. Соблюдать правила работы с информацией (5.1,5.2).

19. Заключительные положения.

19.1. Методика вступает в силу с момента ее рассылки сотрудникам ПВА.
19.2. Необходимость и сроки актуализации методики определяются руководителем ПВА.
19.3. При актуализации методики руководитель ПВА готовит обзор с изменениями (9.3) и рассылает его всем внутренним аудиторам.

Сложность 1. Обеспечение соответствия методики внутреннего аудита уже имеющимся в подразделении внутреннего аудита документам, в частности регламенту проведения проверок. Российские Руководящие указания по организации внутреннего аудита содержат перечень разделов, которые должны быть в методике. Однако в моем случае 4,5 из 6 разделов уже присутствуют в регламенте. Как быть? Да, есть фраза «Если приведенные вопросы содержатся в положениях нормативных правовых актов, регулирующих осуществление внутреннего аудита, методика может не разрабатываться и не утверждаться». Но порядок документирования, а также наша внутренняя кухня по планированию, в регламент не вошла.

В этой ситуации предлагаю следующее: в методике дается ссылка на существующие документы, а сама методика касается только деятельности, не выходящей за подразделение внутреннего аудита. При этом положение и регламент проведения проверок могут быть уточнены, но не требуют замены «здесь и сейчас».

Сложность 2 (касаемо Международных Стандартов внутреннего аудита). Как уже писал, они не то, что не содержат определение «методология», там непонятно оглавление нужного документа (в этом плане ИВА РФ спасибо, разъяснили).  Подробно я описывал в 2024 году. В итоге – внешние оценщики могут не удовлетвориться одной методикой, апеллируя к тому, что лучшие практики предполагают набор документов. Тем не менее, попытался сделать один документ, так как продолжаю быть сторонником минимального их количества.

Сложность 3 – продолжение сложности 2. Документы, которые могут использоваться в качестве подтверждения соответствия, никак не ранжированы с точки зрения важности, а их объем – велик. Включение в методику их всех, на мой взгляд, не является необходимым (и достаточным для того, чтобы соответствовать стандартам), но попытка сделана. Для удобства дополнил файл Excel с наработками прошлых лет указанием, что именно включено в методику. Остались Стандарты, которые не ложатся в мое понимании соответствия потребностям внешнего оценщика, но вскользь упомянуто. Свод таких стандартов – на отдельном листе.