Александр Филатов - Управление рисками, аудит и внутренний контроль

– цели проверки – в этот раздел включаются цели, указанные в программе проверки;

– объем и содержание – в этом разделе указываются бизнес-процессы/проекты операции и контрольные процедуры, которые были включены в объем проверки, характер и объем выполненных аудиторских процедур, а также дополнительная информация, определяющая границы проверки (период проверки, области, не попавшие в периметр аудиторской проверки);

– результаты проверки – в этот раздел включаются наблюдения (включая выявленные недостатки), выводы (заключения) и рекомендации.

В отчет может включаться информация об улучшениях, сделанных объектом аудита с момента выполнения предыдущей проверки. Данная информация может быть использована для [лучшего] понимания текущего состояния деятельности объекта аудита и обоснования результатов проведения проверки.

В ходе проверки рабочая группа может подготавливать промежуточные отчеты в целях информирования уполномоченных лиц о фактах, требующих незамедлительных действий (внимания), изменениях объема и содержания проверки, ходе выполнения проверки, если проверка выполняется длительное время. Использование промежуточных отчетов не уменьшает и не отменяет необходимости подготовки и предоставления итогового отчета.

До выпуска итогового отчета, рабочая группа обсуждает с уполномоченными представителями объекта аудита результаты проверки. Подобное обсуждение может осуществляться в процессе проверки, на заключительных (итоговых) совещаниях и/или в форме предоставления проекта итогового отчета на рассмотрение уполномоченным представителям объекта аудита.

В итоговый отчет может включаться мнение уполномоченных представителей объекта аудита о результатах проверки. В случае несогласия представителей объекта аудита с результатами проверки, в отчете документируются причины несогласия.

Итоговый отчет подписывается руководителем рабочей группы (или другим уполномоченным внутренним аудитором). Руководитель внутреннего аудита направляет подписанный итоговый отчет руководителю объекта аудита и тем работникам, руководителям, другим уполномоченным лицам компании, которые могут обеспечить должное рассмотрение результатов проверки и принять корректирующие меры.

Если это предусмотрено положением о внутреннем аудите (или иным нормативным документом, регламентирующим деятельность внутреннего аудита), руководитель внутреннего аудита может направлять отчет другим заинтересованным сторонам. При этом руководитель внутреннего аудита, прежде чем передать итоговый отчет заинтересованным сторонам, должен:

– оценить возможные риски для компании;

– при необходимости проконсультироваться в установленном порядке с исполнительными органами и/или юридическим подразделением;

– контролировать распространение информации, устанавливая ограничения на ее использование.

Если в отчете, после его предоставления кругу заинтересованных лиц, будут выявлены существенные ошибки и упущения, руководитель внутреннего аудита оперативно доводит исправленную информацию до сведения всех лиц, получивших итоговый отчет.

По итогам проверки на основании выявленных недостатков и подготовленных внутренним аудитом рекомендаций руководитель объекта аудита разрабатывает и согласовывает с руководителем проверки план мероприятий по результатам проверки (совокупность действий менеджмента, направленных на совершенствование деятельности компании путем устранения выявленных недостатков, реализации рекомендаций внутреннего аудита и совершенствования системы управления рисками и внутреннего контроля).

План мероприятий утверждается руководителем объекта аудита или иным уполномоченным органом.

Руководитель объекта аудита может принять аргументированное решение не предпринимать действий в отношении какого-либо из выявленных недостатков. В этом случае руководитель объекта аудита должен довести аргументы в пользу решения о непринятии мер до руководителя проверки и руководителя внутреннего аудита.

Руководитель внутреннего аудита рассматривает план мероприятий и аргументы менеджмента (руководителя объекта аудита) о непринятии мер. В случае если, по мнению внутреннего аудита, менеджмент компании принимает недопустимый для компании риск, руководитель внутреннего аудита должен своевременно сообщить об этом исполнительным органам компании, и, при необходимости, совету директоров (комитету по аудиту).