Планирование во внутреннем аудите

Читайте предыдущие статьи цикла Института внутренних аудиторов «Введение во внутренний аудит»:

1. Понятие внутреннего аудита и различие между внешним и внутренним аудитом

2. Внутренний аудит: риски и контроли

3. Виды внутреннего аудита

4. Линии защиты компании. Гарта гарантий

5. Стандарты внутреннего аудита и методические документы для внутреннего аудитора

6. Необходимые навыки внутренних аудиторов

Подразделения внутреннего аудита должны соблюдать профессиональные Стандарты деятельности. В стандартах №2000-2060 закреплена необходимость планирования деятельности внутреннего аудита. Данное требование направлено на то, чтобы результаты работы подразделения внутреннего аудита были наиболее эффективны.

Планирование во внутреннем аудите корректно разделить на периоды:

• долгосрочное (3-4 года);

• среднесрочное (1 год);

• оперативное (период аудиторского проекта).

Долгосрочное планирование

Некоторые службы внутреннего аудита на основе имеющейся информации о важности бизнес-процессов компании и результатов оценки рисков формируют так называемую «вселенную аудита» (Audit Universe), которая включает в себя информацию о частоте и периодичности покрытия проектами аудита процессов компании.

Важные или высоко рисковые процессы компании должны требовать большего внимания, чем процессы, в которых последствия реализации рисков незначительны для компании. Так, например, для банка аудит бизнес-процесса выдачи кредитов будет требовать максимально частого внимания внутренних аудиторов, по сравнению с аудитом бизнес-процесса внутрихозяйственных закупок. На основе данных «вселенной аудита» формируется годовой план аудиторских проектов.

Среднесрочное планирование

Годовой план аудиторских проектов – основной инструмент планирования деятельности службы внутреннего аудита. При формировании проекта годового плана проверок используется риск-ориентированный подход и проводятся консультации с менеджментом на предмет включения в план тех или иных областей деятельности (бизнес-процессов, подразделений, отдельных операций). Годовой план формируется на основе долгосрочного плана с учётом:

• текущих изменений в компании;

• изменений во внешнем окружении;

• требований регуляторов;

• произошедшей переоценки рисков;

• карты гарантий (покрытия рисков другими подразделениями компании).

Т.е. не стоит ожидать, что годовой план аудиторских проектов останется неизменным на всём протяжении. От службы внутреннего аудита могут потребоваться некоторые внезапные проекты, которые для компании будут более важны, чем уже включённые в годовой план аудиторских проектов.

Тем не менее, наличие годового плана позволит руководителю службы внутреннего аудита понять распределение ресурсов по проектам, их достаточность для выполнения годового плана. При этом при формировании годового плана следует предусмотреть время на непроектную деятельность (отпуск, обучение и т.п.), а также учитывать компетенцию и квалификацию сотрудников при формировании проектных команд.

В некоторых компаниях служба внутреннего аудита устроена таким образом, что одно из её подразделений занимается только плановыми проектами внутреннего аудита, а другое только внеплановыми (ad-hoc) проектами. Если (по сложившейся в организации практике) внеплановых задач перед службой аудита ставится немного, то достаточно предусмотреть резерв времени в годовом плане для их выполнения.

Оперативное планирование

Непосредственное выполнение аудиторского проекта также должно строиться на основе планов. Руководитель проекта должен на основе временны́х рамок проекта, установленных годовым планом или согласованных с заказчиком ad-hoc проекта, составить его план таким образом, чтобы проект был выполнен в установленные рамки с ожидаемым качеством.

В рамках планирования необходимо предусмотреть достаточное количество времени для каждого этапа проекта (сбор, анализ информации, тестирование, написание отчёта), провести расстановку членов команды по видам работ, а главное контролировать своевременность выполнения поставленных сроков и оперативно реагировать на изменение в проекте.