Приложение к приказу Министерства финансов Кыргызской Республики от «02» октября 2024г. № 7-П

 

РУКОВОДСТВО

по внутреннему аудиту

 

1. Настоящее Руководство по внутреннему аудиту (далее - Руководство) определяет цели и процедуры проведения внутреннего аудита, а также представляет концептуальный и практический материал и формы, которые аудиторы должны заполнять в процессе планирования и проведения аудитов.

2. Руководство разработано в соответствии с Законом Кыргызской Республики «О внутреннем аудите» и представляет собой рекомендуемую методологию в области внутреннего аудита в целях применения внутренними аудиторами государственных органов и учреждений.

3. Службы внутреннего аудита объектов аудита должны разработать и утвердить методологию с учетом отраслевой специфики на основании настоящего Руководства.

4. Внутренний аудит - это функция, осуществляющая обзор, анализ, мониторинг и оценку адекватности и эффективности системы внутреннего контроля. Ответственность за внутренний контроль возложено на руководство.

5. Под внутренним контролем понимается распределение ответственности и других контрольных функций, которые руководство приняло для того, чтобы обеспечить достижение целей, соблюдение законодательства и достижение эффективности.

6. Задача внутреннего аудита заключается в выражении мнения о надежности и применении средств внутреннего контроля.

7. Служба внутреннего аудита создается руководством для обзора, анализа и оценки системы внутреннего контроля, а также предоставляет отчеты о функционировании системы и рекомендаций по ее улучшению. Исходя из вышеизложенного, внутренний аудит не несет ответственность за функционирование средств контроля и не должен описываться как средство контроля. Ролью внутреннего аудита является содействие руководству объекта внутреннего аудита в соблюдении и совершенствовании системы внутреннего контроля.

8. Работа службы внутреннего аудита включает обзор, анализ и оценку операционных, финансовых и управленческих систем. Внутренний аудитор, должен рассмотреть какие меры разработало и внедрило руководство, и учесть те средства контроля, которые могут потребоваться для достижения целей руководства. Также работа внутреннего аудитора заключается в том, чтобы протестировать хозяйственные операции, где это необходимо, чтобы удостовериться, что эти операции соответствуют требованиям системы внутреннего контроля. Внутренний аудитор должен выявить недостатки в разработанной системе внутреннего контроля и проанализировать причины недостатков, а также составить рекомендации по их улучшению.

9. В своей работе внутренние аудиторы должны придерживаться профессиональных стандартов по внутреннему аудиту. Стандарты разделяются на три вида: стандарты качественных характеристик, стандарты деятельности и этические стандарты.

10. Внешний и внутренний аудит имеют отличительные особенности. Несмотря на то, что два вида аудита применяют схожие методики и занимаются схожими видами деятельности - оценкой, тестированием и отчетностью, их отчетность и цели различаются. Во избежание ненужного дублирования, внешний аудитор может полагаться на работу внутреннего аудитора, то есть использовать полученные им результаты для получения доказательства для его собственной проверки. Тот факт, что это не вызывает проблем, обусловлен четким пониманием того, что они выполняют различные функции с различными видами ответственности по предоставлению отчетности.

11. Руководство является всесторонним справочником к обязательным стандартам и рекомендуемой методологии. Теоретический материал глав 2 и 3 представляет собой учебник по внутреннему аудиту. Руководство - это полный справочник для аудитора по концепции и практике.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

РАЗДЕЛ I. ЗАКОНОДАТЕЛЬНЫЕ РАМКИ, СТАНДАРТЫ,

ПОНЯТИЕ АУДИТА И ВЫБОРКА

 

Глава 1. Законодательные рамки и стандарты внутреннего аудита

 

Законодательные рамки

12. Вопросы создания внутреннего аудита в государственных органах и учреждениях регулируются в соответствии с законодательством Кыргызской Республики.

13. Законодательство о внутреннем аудите определяет цели, сферу действия, обязанности, а также определяет ключевые принципы, лежащие в основе внутреннего аудита, и обязанности:

- Кабинета Министров Кыргызской Республики;

- Руководителей государственных органов и учреждений;

- Уполномоченного государственного органа в области внутреннего аудита, у которого имеются отдельные обязанности в отношении внутреннего аудита;

- Внутренних аудиторов – лиц, осуществляющих внутренний аудит.

Стандарты внутреннего аудита

14. «Стандарты внутреннего аудита», принимаемые Кабинетом Министров Кыргызской Республики, предписывают обязательные требования для внутренних аудиторов. Эти стандарты основаны на стандартах Международного института внутренних аудиторов (далее - МИВА).

15 Стандарты детально излагают обязанности:

- Уполномоченного государственного органа, в области внутреннего аудита;

- Руководителей служб внутреннего аудита (далее - РСВА) - должностных лиц в организации, ответственных за руководство деятельностью по внутреннему аудиту службы внутреннего аудита;

- Внутренних аудиторов - лиц, осуществляющих внутренний аудит.

16. Внутренний аудит создается в объектах внутреннего аудита, в государственных органах и учреждениях (далее - организациях) по решению Кабинета Министров Кыргызской Республики.

17. Типовое положение о службе внутреннего аудита и содержание полномочий СВА объекта внутреннего аудита приводится в Приложении 1.А к настоящему Руководству.

 

 

 

 

 

 

 

 

Приложение 1.А

 

Типовое положение о службе внутреннего

аудита объекта внутреннего аудита

 

I. Общие положения

 

1. Настоящее Положение о службе внутреннего аудита (далее - Положение) разработано в соответствии с нормативными правовыми актами Кыргызской Республики, решениями руководителя объекта внутреннего аудита.

2. Служба внутреннего аудита (далее «СВА») является структурным подразделением объекта внутреннего аудита и в пределах своей компетенции осуществляет деятельность по внутреннему аудиту.

3. СВА организует свою деятельность на основе и во исполнение нормативных правовых актов Кыргызской Республики, решений руководителя объекта внутреннего аудита, а также настоящего Положения.

4. СВА призвана способствовать повышению эффективности внутреннего контроля и управления рисками в объекте внутреннего аудита.

5. СВА проводит внутренние аудиторские проверки и выполняет другие аудиторские задания в подразделениях объекта внутреннего аудита.

6. СВА является структурным подразделением объекта внутреннего аудита.

7. В своей деятельности СВА руководствуется принципами независимости, объективности, компетентности и профессионального отношения к работе, а также стандартами деятельности внутренних аудиторов, соответствующим Международным профессиональным стандартам внутреннего аудита и Кодекса этики Института внутренних аудиторов.

8. Руководитель объекта внутреннего аудита ответственен за создание комплексной и эффективной системы внутреннего контроля, определяет минимальные требования к созданию системы внутреннего контроля в объектах внутреннего аудита, а также ответственен за систематическое улучшение и мониторинг системы внутреннего контроля для достижения:

- достоверности и целостности финансовой и управленческой информации;

- результативности, экономичности и эффективности деятельности объекта внутреннего аудита;

- сохранности активов;

- соблюдения законов, нормативных правовых актов и договоров.

9. СВА и его руководитель подчинены и подотчетны только руководителю объекта внутреннего аудита и должны быть независимы от других структурных подразделений данного объекта внутреннего аудита в планировании своей работы, выполнении внутреннего аудита и подготовке отчетов по внутреннему аудиту.

 

II. Цели СВА

 

10. Основной целью СВА является совершенствование и развитие системы внутреннего контроля в объекте внутреннего аудита, для которого он осуществляет внутренний аудит.

 

III. Функции СВА

 

11. СВА проводит оценку эффективности системы внутреннего контроля объекта внутреннего аудита, и вырабатывает соответствующие рекомендации по результатам оценки. Оценка проводится по следующим направлениям:

- эффективность и результативность финансово-хозяйственной деятельности;

- сохранность активов;

- достоверность отчетности (внешней и внутренней);

- соответствие деятельности нормам законодательства, внутренним организационно-распорядительным документам и стандартам.

12. СВА проводит оценку эффективности системы управления рисками объекта внутреннего аудита и вырабатывает соответствующие рекомендации по результатам оценки.

13. СВА проводит оценку безопасности и эффективности информационных систем объекта внутреннего аудита (ИТ-аудиты).

14. СВА консультирует менеджмент объекта внутреннего аудита в разработке планов мероприятий (корректирующих действий) по результатам проведенных аудитов, а также осуществляет контроль выполнения планов мероприятий.

15. СВА консультирует менеджмент объекта внутреннего аудита по вопросам, входящим в компетенцию СВА, как это определено в настоящем Положении (в том числе по вопросам организации системы внутреннего контроля и системы управления рисками).

16. СВА выполняет по запросу руководителя объекта внутреннего аудита и по согласованию с Советом по внутреннему аудиту специальные проекты, в том числе участвует в расследовании злоупотреблений и нарушений. При этом, на СВА не должна возлагаться ответственность за расследование подобных случаев.

17. СВА выполняет другие задания и участвует в других проектах по поручению Совета по внутреннему аудиту.

18. СВА оказывает содействие руководителю государственного органа в совершенствовании системы внутреннего контроля посредством исполнения следующих основных задач:

- обзора и оценки системы внутреннего контроля объекта внутреннего аудита и предоставления руководителю объекта внутреннего аудита отчетов и рекомендаций по улучшению ее деятельности;

- разработки в соответствии с проведенной оценкой рисков и предоставление для утверждения руководителю объекта внутреннего аудита стратегических, долгосрочных и годовых планов развития, а также планов профессионального обучения внутренних аудиторов;

- подготовки аудиторских отчетов по каждому проведенному внутреннему аудиту и согласование их с руководителем объекта внутреннего аудита;

- предоставления отчета по внутреннему аудиту и рекомендаций руководителю объекта внутреннего аудита.

19. СВА предоставляет консультативную помощь в создании системы внутреннего контроля объекта внутреннего аудита и разрабатывает стратегические, долгосрочные и годовые планы своей деятельности, включая планы профессионального обучения внутренних аудиторов.

 

IV. Основные права и обязанности СВА

 

20. Служба внутреннего аудита имеет следующие основные права и обязанности:

- разрабатывать долгосрочные и годовые планы проведения внутреннего аудита с учетом мнения руководителя объекта внутреннего аудита;

- составлять систематические отчеты по мониторингу для руководителя объекта внутреннего аудита;

- ежегодно отчитываться руководителю объекта внутреннего аудита о проделанной работе по плану:

- оценивать эффективность системы внутреннего контроля и ее соответствия целям объекта внутреннего аудита;

- оценивать достоверность и достаточность финансовой, бухгалтерской, управленческой и другой информации;

- оценивать соответствие деятельности структурных подразделений объекта внутреннего аудита нормативным правовым актам, указанным функциям и утвержденным планам деятельности данных структурных подразделений;

- оценивать эффективность и соответствие требованиям по использованию ресурсов, достаточного контроля за использованием ресурсов и защиты от потерь;

- представлять отчет о результатах внутреннего аудита;

- вносить рекомендации, необходимые для улучшения работы объекта внутреннего аудита;

- координировать деятельность служб внутреннего аудита в подведомственных организациях объекта внутреннего аудита;

- предоставлять консультативную и методологическую помощь службам внутреннего аудита в подведомственных организациях в соответствии со Стандартами внутреннего аудита и рекомендуемой методологией;

- не разглашать информацию, относящуюся к государственной или иной охраняемой законом тайне.

21. Руководитель службы внутреннего аудита:

- несет установленную законодательством Кыргызской Республики ответственность за организацию работы службы внутреннего аудита и выполнение возложенных на нее задач;

- определяет процедуры внутреннего аудита в соответствии с утвержденными Стандартами внутреннего аудита и рекомендуемой методологией по внутреннему аудиту;

- проводит мониторинг качества внутреннего аудита;

- предоставляет руководителю объекта внутреннего аудита годовой отчет о деятельности службы внутреннего аудита, включая оценку системы внутреннего контроля;

- информирует руководителя о любых выявленных фактах, связанных с противозаконной деятельностью в объекте внутреннего аудита.

22. Права и обязанности внутреннего аудитора СВА:

- при проведении внутреннего аудита должен соблюдать Стандарты внутреннего аудита и рекомендуемую методологию внутреннего аудита, а также иные требования законодательства Кыргызской Республики;

- получать и проверять всю необходимую документацию (в том числе в электронном формате) и пояснения, необходимые для проведения внутреннего аудита;

- получать от сотрудников объекта внутреннего аудита копии всех необходимых документов, относящихся к внутреннему аудиту.

 

Глава 2. Основные понятия аудита

 

§1. Цели аудита

 

18. Главной целью работы служб внутреннего аудита является оценка стабильности и применения бухгалтерского, финансового и операционного средств контроля таким образом, чтобы обеспечивать независимую, объективную гарантию функционирования этих средств контроля, предоставляя рекомендации по усовершенствованию аудируемого объекта в рамках проводимого внутреннего аудита.

19. Аудитор должен проводить независимую оценку работы финансовых, управленческих и операционных систем наряду с бухгалтерскими документами и другими записями, согласно принятым Стандартам внутреннего аудита.

20. Определение целей аудита зависит от типа изучаемой системы. Таким образом, необходимо рассмотреть цели аудита с точки зрения:

- общей системы управления;

- управленческих систем, основанных на результатах деятельности;

- операционных систем;

- систем внутреннего контроля:

- финансовых операций;

- управления собственностью.

Общая система управления.

21. Относится к системе управления для обеспечения «Добросовестного управления» в организации (например, процессы принятия общих решений и консультирования):

 

                                       

Управленческие системы, основанные на результатах деятельности.

22. Относятся к управленческим системам по подготовке и разработке важной финансовой информации и информации по деятельности (например, система бюджетирования):

 

Операционные системы.

23. К операционным системам управления относятся управление человеческими ресурсами и процедуры закупок, а также в целом к любому виду обзора стоимостного результата:

 

 

Системы внутреннего контроля – финансовые операции и управление собственностью.

Системы финансовых операций.

24. Система внутреннего финансового контроля организации включает:

 

 

Системы управления собственностью.

25. Стандарты требуют, чтобы аудиторы проверяли средства контроля по учету и управлению собственностью. Данные цели охватывают две категории, относящиеся к ведению учета и к системам.

Цели, относящиеся к ведению учета (например, бухгалтерского и других.)

26. Цели, относящиеся к ведению учета, разработаны для случаев применения принципа начисления в системе бухгалтерского учета и подготовки балансовых отчетов, как в коммерческом, так и в государственном секторе. Тем не менее, они могут быть также равным образом применены к отражению активов, включая подведение баланса наличных денежных средств.

Цели, относящиеся к управлению собственностью.

27. Подробные инструкции по управлению собственностью предписывают меры, которые необходимо предпринять. Аудитор должен получить понимание этих мер, и посредством тестирования подтвердить выполнение этих инструкций.

 

 

§2. Существенность и аудиторский риск

 

28. Нет такой системы внутреннего контроля, которая может сама по себе гарантировать полноту и точность учетных записей, а также гарантировать стопроцентную защиту бухгалтерского учета от человеческих ошибок, либо мошенничества.

29. Финансовые записи должны быть абсолютно точными, однако они редко бывают таковыми. Поэтому допускается определенная степень неточности в операционной деятельности и в разработанной системе внутреннего контроля, если затраты на создание альтернативной системы контроля очень высоки. Эта допустимое отклонение известно как «существенность» и лежит в основе финансовой отчетности, а также процесса внешнего и внутреннего аудита.

30. Существенность - это концепция, которая отражает значимость финансовой стоимости (для финансовых отчетов) или достижения результатов, или соответствия правилам системы. Таким образом, существенность определяется, как существенность по стоимости и существенность по сущности. Для внешнего аудитора целью является выражение мнения о финансовой отчетности. Поэтому, здесь существенность по стоимости является ключевой концепцией. При этом, обязанности внутреннего аудитора намного шире и относятся не только к точности и надежности финансовых записей, но также и к уместности, надежности и точности информации, производимой операционными системами.

31. Понятие «существенности» четко определено в контексте внешнего аудита. Согласно данному понятию, информация считается существенной, если ее нераскрытие, искажение, включение, либо упущение, вероятнее всего, исказит общую картину представленных финансовых документов объекта аудита своим предполагаемым пользователям. В данном контексте, искажение относится к информации, которая была некорректно представлена независимо от причины. Данное допустимое отклонение или значение существенности, которым аудитор должен оперировать в своей работе, основано на понимании аудитором целей, для которых предназначена отчетность.

32. Концепция существенности для служб внутреннего аудита не является настолько важной, как для служб внешнего аудита, у которых иные роли, обязанности и цели, по-прежнему необходимо помнить, что независимо от типа аудита, будь он внешним или внутренним, в работе должна использоваться единая концепция аудита.

33. Многие вопросы и операции, которые не имеют большого значения для внешнего аудита, являются важными для руководства, а значит и для внутреннего аудита. Таким образом, внутренний аудит будет рассматривать финансовые системы и операции, предоставляя рекомендации руководству по устранению недостатков в системах, которые внешний аудит, со своей стороны, сочтет незначительными и нефундаментальными.

34. Причина, по которой внутренний аудит должен принимать во внимание понятие «существенность» заключается не в том, что операции определенного типа, либо стоимости не являются важными, а в том, что внутренний аудит должен использовать объективный способ по распределению своих ограниченных ресурсов на изучение вопросов, а также ограниченных управленческих ресурсов на внедрение рекомендаций. Таким образом, важно, чтобы работа службы внутреннего аудита была основана на двух фундаментальных принципах: существенность и аудиторский риск.

35. Таким образом, предлагается считать информацию «существенной» в рамках внутреннего аудита, если:

«Отсутствие, ненадлежащая разработка либо неэффективная реализация системы внутреннего контроля и/или системы управления могут привести к неприемлемому риску того, что финансовая или операционная системы не достигнут своих целей».

36. Оценка причин, приводящих к недопустимому уровню риска деятельности, а значит и оценка существенности, в большей степени, основана на суждении и опыте аудитора, стандартах и взглядах руководителя объекта аудита. Глава 5 рассматривает риски в контексте стратегического планирования.

37. Внутренний аудитор должен также помнить, что информация может быть существенной по двум параметрам:

а) Существенность по стоимости - величина упущения или некорректное отражение бухгалтерской информации, в свете указанных обстоятельств делает вероятным то, что суждение соответствующего сотрудника, опирающегося на информацию, может измениться или на него повлияет упущение или некорректное отражение информации;

б) Существенность по сущности - относится к нефинансовой значимости, такой как достижение или не достижение (стратегически и операционно) целей очень важной системы для организации в целом или для области, подлежащей изучению.

Таким образом, отдельно взятые операции, либо системы бухгалтерского учета могут быть признаны существенными для организации по причине своей высокой финансовой стоимости и уровень ресурсов, направленных на оценку таких систем, должен отражать их финансовую стоимость.

 

38. Другие системы могут быть либо несущественными по стоимости, либо вообще не иметь стоимости, но являться существенными для операционной деятельности организации. Таким образом, важно иметь некий подход не только для определения, какие системы и операции являются существенными, а какие нет, но и для направления ресурсов на более фундаментальные и существенные системы, с наиболее высоким уровнем риска при их выполнении с тем, чтобы более частая работа внутреннего аудита была направлена на их анализ и улучшение.

Аудиторский риск

39. Ни один аудитор не может быть абсолютно уверен в обнаружении всех ошибок, упущений, недочетов любого характера. Заключение о состоянии учета, системы или целого ряда хозяйственных операций основано на суждении по полученным доказательствам. Суждение, так как оно выносится людьми, может быть ошибочным. Аудиторское доказательство редко является полностью неопровержимым. Таким образом, руководство, пользующееся услугами внутреннего аудита, не ожидает от внутреннего аудитора полной гарантии правильности оценки всех операций. При этом, аудиторское заключение предоставит высокую степень гарантии приемлемой правильности оценки тех областей, которые охватил проведенный аудит.

40. При определении понятий: существенность и аудиторский риск, необходимо знать, что существенность относится к значимости (финансовой, либо другой) недостатка в системе, ошибки, либо потери в целом для системы. При этом, аудиторский риск относится к уровню уверенности в том, что не была дана неправильная оценка системе, имеющее значительную ошибку, либо потерь в операциях, которые были проведены и проконтролированы системой.

41. Случаи, когда такое может произойти, могут быть следующими:

а) имеет место ошибка или потеря;

б) внутренний контроль не способен предотвратить, либо обнаружить их;

в) аудиторские процедуры не способны обнаружить их.

42. Таким образом, риск пропуска значительной ошибки, либо потери (аудиторский риск) может состоять из трех компонентов:

а) неотъемлемый риск - это подверженность деятельности организации существенным искажениям и ошибкам;

б) риск средств контроля - риск того, что существенные искажения, не будут вовремя предотвращены или обнаружены и исправлены системой внутреннего контроля;

в) риск необнаружения - риск того, что ошибки, либо потери не будут обнаружены посредством аудиторских процедур.

Определение рисков

Неотъемлемый риск

43. Неотъемлемый риск зависит от сущности рассматриваемого вопроса и его восприимчивости к манипуляциям или ошибке. Факторы, подлежащие рассмотрению, при оценке неотъемлемого риска включают:

а) характеристики рассматриваемой системы;

б) данные по ошибке в системе;

в) мотив для манипуляции со стороны руководства.

К примеру, неупакованные строительные материалы больше подвержены краже, повреждению, либо утере по сравнению с физически маркированными и застрахованными товарами, не имеющими альтернативного использования.

44. Кроме того, при комплексном анализе дохода, либо денежного пособия вероятность обнаружения опечатки более вероятна, чем при простом анализе. Суждение аудитора о подверженности деятельности организации ошибкам или потерям будет зависеть от обстоятельств и предыдущего опыта аудитора в подобных ситуациях.

Риск контроля

45. Риск контроля зависит от силы средств внутреннего контроля аудируемой организации. Риск контроля относится к конкретным операциям или потоку операций, напрямую зависящих от того, существуют ли эффективные средства контроля, предотвращающие или обнаруживающие ошибки и потери.

46. Аудиторы должны осознавать, что существуют определенные практические ограничения, в рамках которых руководство выберет создание и применение контроля. Заинтересованность руководства относится не только к эффективности операционной деятельности, но также и к точности финансовых документов, таким образом, система внутреннего контроля в целом будет разработана с учетом соответствующих издержек и выгод. Кроме того, не имеет значения, как хорошо разработана система, эффективность функционирования контроля зависит от самих сотрудников объекта. В результате, всегда существует возможность неэффективности, опечатки или предумышленной фальсификации. Поэтому, даже относительно сильная система снизит риск контроля, но вряд ли сможет полностью его исключить.

Риск необнаружения

47. Риск необнаружения зависит от сущности и уровня полученного аудиторского доказательства, но что наиболее важно, так это насколько хорошо было оценено доказательство. Аудитор редко рассматривает все операции, и использование техники тестирования означает, что существует определенный риск того, что аудитор может не обнаружить ошибки, недосмотры, и потери. Кроме того, оценка доказательства аудитором может допустить ошибочное заключение.

Планирование аудита на основе риска.

48. План внутреннего аудита должен принимать по внимание следующее:

а) общий уровень финансовой существенности для аудита;

б) фундаментальные финансовые, управленческие и операционные системы организации;

в) разработка циклического и основанного на риске плана для периодической обзорной проверки всех фундаментальных и нефундаментальных систем;

г) подверженность ошибкам различных типов систем;

д) частоту появления ошибок, которую, аудитор считает приемлемой для ответственного руководителя/контролера;

е) уровень, при котором аудитор сможет положиться на систему внутреннего контроля при оценке риска средств контроля;

ж) необходимый объем тестирования;

з) сбор соответствующих доказательств в форме выборки операций, либо других доказательств, которые являются основой для аудиторского заключения.

 

§3. Аудиторские доказательства и техники аудиторского тестирования

 

49. Доказательство, доступное аудитору, обычно состоит из письменных документов, наблюдений за событиями и устных утверждений. Такое доказательство получают посредством нескольких методов: сбор информации, обследование, проверка, запрос, подсчет, интерпретация, оценка и анализ.

50. Основными источниками доказательства обычно являются бухгалтерские и другие записи, на основе которых руководство принимает решения. В случаях, когда аудитор не может быть полностью уверен в данных документах, то он может получить независимое свидетельство от аудируемой организации из внешних источников, таких как поставщики, дебиторы и банки в виде банковской выписки по счету. Каждая из категорий аудиторского доказательства обеспечивает различное «качество» доказательства.

а) доказательство, составленное аудитором, является более надежным, по сравнению с доказательствами, представляемым аудируемым объектом;

б) доказательство, полученное из внешних источников, является более надежным, по сравнению с доказательством, предоставленным аудируемым объектом;

в) доказательство в документально оформленном виде является более надежным, по сравнению с устным подтверждением.

51. Как только, у аудитора появляются сомнения в отношении полученного доказательства, необходимо провести дополнительные тесты, или подтверждающие тесты. В первом случае, возможно, достаточно будет просто увеличить размер выборки, а во втором, необходимо будет искать подтверждающие факты из совершенно других источников, чтобы подтвердить полученную информацию.

52. Все документальные доказательства, полученные в ходе аудиторской проверки, должны храниться в аудиторских папках. Это описано более подробно в данном руководстве в Главе 7 «Аудиторские папки и рабочие документы».

Техника аудиторского тестирования.

53. Различные процедуры, которые могут быть использованы аудиторами при разработке программ аудита, приведены ниже.

Обследование.

54. Анализируя или изучая записи, документы или имущество, техника обследования записей и документов предоставляет доказательства различной степени надежности в зависимости от их сущности и источника. Обследование имущественного состояния предоставляет аудитору надежные доказательства в отношении их существования, но не обязательно относительно их принадлежности, стоимости, либо ценности.

Наблюдение.

55. Рассмотрение операции или процедуры, выполняемой другими, с целью определения способа выполнения. Наблюдение предоставляет надежное доказательство, способа выполнения непосредственно в момент наблюдения, но не в другое время, например, наблюдение за проведением сотрудниками инвентаризации запасов, как выполнения части плана по ежегодной инвентаризации. В этом примере, единственный способ, когда аудитор может убедиться, что сотрудники наблюдают за процедурами инвентаризации – это пронаблюдать за тем, как они выполняют наблюдение.

Запрос.

56. Поиск соответствующей информации от компетентных людей изнутри, или извне учреждения, формально/неформально, устно/письменно. Уровень надежности доказательной базы (полученной информации), который аудитор прилагает к доказательствам, полученным таким образом, зависит от мнения аудитора о компетентности, опыте, независимости и честности респондента.

Подсчет.

57. Проверка арифметической точности бухгалтерских записей, или выполнение независимых расчетов.

Процедуры аналитического обзора.

58. Данные процедуры включают рассмотрение важных соотношений, тенденций и других статистических данных, изучение любых необычных и неожиданных отклонений. Сравнения, которые могут быть сделаны, будут зависеть от сущности, доступности и существенности имеющихся данных. Необычные, неожиданные отклонения, а также ожидаемые отклонения, которые не случились в действительности, должны быть изучены. Полученные объяснения должны быть проверены и оценены аудитором для того, чтобы определить соответствуют ли они его пониманию вопроса и его общих знаний о данном вопросе.

59. Сущность этих процедур и способ составления документации будут зависеть от обстоятельств каждого отдельного аудита.

Уместность аудиторского доказательства.

60. Уместное аудиторское доказательство - то, которое напрямую связано с целями аудита. Данные вопросы были обсуждены в предыдущем разделе и подлежат анализу следующим образом:

а) в отношении активов: установить наличие, полноту, право собственности или владения, оценка стоимости и раскрытие баланса;

б) в отношении финансовых операций: установить полноту, наступление события, измеримость, закономерность и раскрытие операций;

в) для управленческих систем: установить экономность, продуктивность и эффективность систем;

г) для добросовестного управления: установить открытость, целостность, а также подотчетность и ответственность деятельности организаций.

61. В отношении собственности организации необходимо обеспечить не только надлежащее управление активами в плане доступа к ним и их использования, но и ответственность ответственного сотрудника за поддержание активов в надлежащем состоянии.

62. Доказательства, устанавливающие, и подтверждающие полноту, наличие и другие, призваны соответствовать поставленной цели, тем самым могут также выступить как доказательства, относящиеся к существу дела. К примеру, доказательство, полученное посредством физического обследования актива, подтверждает существование этого актива; а доказательство, полученное посредством проверки счетов-фактур, подтверждает сумму, метод расчета и на какой балансовый счет данный актив был отнесен.

63. Если аудитор полагается на работу средств внутреннего контроля или общую систему управления, то ему понадобится установить такие средства контроля, которые будут функционировать, гарантируя надлежащее выполнение операционной деятельности. Для этого, аудитор собирает доказательства относительно надлежащего функционирования средств контроля посредством проведения тестирования средств контроля, либо анализа общей системы управления. Такие доказательства не устанавливают существование, либо полноту, но помогают аудитору оценить риск потери по причине слабости средств контроля.

Надежность аудиторского доказательства.

64. Для обеспечения надежности аудитор должен быть уверен в истинности доказательств. Это зависит от источника доказательства и обстоятельств, в которых получено доказательство. В отношении доказательств обычно справедливым является следующее:

а) Доказательства, полученные аудитором, посредством личного физического обследования, наблюдения, перерасчетов, либо повторного выполнения процесса являются более надежными, по сравнению с доказательствами, полученными от других;

б) Доказательства, полученные независимо от аудируемого объекта, являются более надежными, по сравнению с доказательствами, полученными от этой же организации;

в) Доказательства, полученные посредством анализа документов объекта, предоставленных извне, обычно являются более надежными, по сравнению с доказательствами, полученными из внутренних документов (например, правильно заполненный запрос на расходы);

г) Доказательства, полученные из внутренних документов объекта аудита, подготовленных независимо от объекта аудита (например, надлежащим образом оформленные/предоставленные счета от поставщиков для осуществления расходов) - являются более надежными в отличие от доказательств, полученных из документов, подготовленных внутри объекта и относящихся к той же операции;

д) Соответствие управленческих или финансовых отчетов и взаимосвязи между периодами являются источником аудиторского доказательства. В исключительных случаях, раскрытые руководством или в финансовых отчетах, часто используются как источник доказательства об ошибке. Этот тип доказательства должен рассматриваться, как косвенный и должен быть дополнен, или подтвержден другими аудиторскими запросами;

е) Утверждения, представленные сотрудниками аудируемого объекта, должны рассматриваться как наименее надежные из всех возможных видов источников. Они могут быть надежны, если:

- получены от доверенного сотрудника;

- получены от сотрудника с объективным взглядом на вопрос;

- доказательство может быть подтверждено другими сотрудниками;

- доказательство является документальным, а не устным.

65. Аудитору понадобится использовать свое суждение при оценке надежности доказательства. Основной минус использования ненадежного доказательства это то, что аудиторское заключение и, соответственно, аудиторский отчет будут некорректными. По этой причине, аудитор должен с надлежащей аккуратностью относиться к принятию этих доказательств.

66. Сравнительная надежность этих типов доказательства приведена ниже.

 

Аудиторское доказательство - надежность

 

 

 

Достаточность аудиторского доказательства.

67. Термин «достаточность доказательства» относится к ряду индивидуальных аспектов полученного доказательства, то есть число финансово-хозяйственных операций, изученных по конкретному признаку. Например, в случае рассмотрения счетов-фактур, он относится к количеству изученных счетов-фактур или величине стоимости этих счетов-фактур в соотношении с уже обработанными данными данной системой. Обычно, чем больше размер выборки, тем больше уверенности должно быть у аудитора касательно правильности аудиторского заключения, при этом, руководство не может ожидать 100% точности, либо результативности, так как, учитывая реально имеющиеся аудиторские ресурсы, это было бы неразумно. Таким образом, аудиторы служб внутреннего аудита должны стремиться к получению разумной степени гарантии и основываться в своих оценках на статистической выборке, насколько это возможно.

68. Данная политика применяет принципы, основанные на статистической теории, определяющие возможность получения аудитором весомых доказательств о правильности аудиторского заключения посредством проверки только небольшой части данных, на которых основано само заключение.

69. Один последний вопрос, который необходимо рассмотреть, в большой степени относится к заключениям и результатам, которые могут быть у аудитора. Для разъяснения рассматриваются следующие два случая:

- Когда аудитор не находит ошибок, либо обнаруживает небольшое их количество (низкий процент).

- Когда аудитор обнаруживает ошибки, либо потери (большой процент).

Низкий процент ошибок

70. Когда аудитор обнаруживает низкий уровень ошибок, либо потерь, необходимо протестировать все операции, попавшие в выборку. По завершении тестирования будет получен приемлемый уровень гарантии правильности заключения о низком уровне ошибок (с условием того, что аудитор принял меры для обеспечения того, что выборка достаточно репрезентативна по совокупности в целом).

Высокий процент ошибок

71. Когда аудитор обнаруживает высокий процент ошибок, или потерь, то ему необязательно продолжать тестирование этой выборки. В таких случаях аудитору необходимо соответствующее подтверждение того, что процент ошибок значительно высок, чтобы незамедлительно привлечь к нему внимание руководства.

72. После этого аудитору необходимо достаточное доказательство для составления отчета руководству о сущности и масштабах недостатков в контроле, а также для предоставления корректировок.

73. В дополнение, аудитору необходимо рассмотреть вопрос о том, подтверждает ли доказательство, что недостаток является причиной потерь для организации. В таких случаях аудитору понадобится провести дополнительное тестирование, направленное на недостатки контроля или конкретные совокупности операций, которые оказались ошибочными, для подтверждения того, что является ли данная ошибка преднамеренной, либо она является следствием халатности.

74. Аудитор может также проводить тесты для оценки размера ущерба любой потери в восстановительных целях, или чтобы руководство поддерживало политику восстановления ущерба.

 

§4. Компетентность, надлежащее планирование, контроль и анализ

 

75. Одной из основных причин предоставления ошибочного аудиторского заключения является недостаток знаний. Аудитор, которому не хватает знаний в теории аудита или соответствующих знаний об объекте аудита, может не обнаружить ошибки, либо нанесенного ущерба при их наличии. Таким образом, важно, чтобы аудиторы были хорошо обучены и были компетентны в работе с проблемами каждого отдельного аудируемого объекта.

§5. Независимость

 

76. Концепция независимости требует, чтобы аудитор был независим от любого влияния, интереса, либо родственных связей, которые могут повлиять на профессиональное суждение или объективность. Независимость - это мышление, основанное на честности.

 

§6. Профессиональное отношение к работе

 

77. При работе компетентного аудитора ожидается, что профессиональное отношение к работе будет выражаться в применении уровня навыков и знаний, соответствующих выполняемым обязанностям.

78. Аудитор должен быть предельно внимательным, чтобы не допустить ошибок при оценке доказательств. Кроме того, аудитор должен быть уверен, что не пропустил вызывающие подозрение обстоятельства. При этом аудитор должен помнить о риске существования нарушения норм или нанесения другого ущерба, то есть необходимо более тщательно подходить к проверке аудиторского доказательства.

79. Таким образом, аудитор должен быть бдительным и всегда обращать внимание на неординарные вещи. Как только внутренний аудитор замечает что-то подозрительное, он должен искать подтверждение своим сомнениям, пока не придет к обоснованному заключению.

 

§7. Обязанность аудитора по обнаружению ошибок и мошенничества

 

80. Обязанность по предотвращению и обнаружению ошибок и мошенничества лежит на руководстве аудируемой организации. Они могут получить определенную уверенность в выполнении этой обязанности посредством создания адекватной системы внутреннего контроля. Аудитор должен гарантировать, что учреждения всегда составляют отчетность о случаях мошенничества и нанесенного ущерба соответствующим органам.

81. Внутренний аудитор обязан помнить о потенциальной возможности таких случаев, как недостатки контроля, которые могут повлечь мошенничество в будущем. Поэтому аудиторы должны планировать аудит таким образом, чтобы можно было обнаружить такие недостатки.

 

§8. Аудиторские техники в контексте применения автоматизированных информационных систем.

 

82. Применение автоматизированных информационных систем принесло аудиторам не только многочисленные выгоды, но и новые риски и сложности.

Преимущества, появившиеся в результате использования автоматизированных систем, дает возможность проверять и контролировать работу, выполняемую в удаленных пунктах:

- возможность получения доступа к данным одновременно из разных мест;

- возможность автоматизировать многие типовые работы и задачи (в частности, вычисления), в результате чего сокращается количество требуемых работников и возникает возможность уделять больше времени и усилий более нужным заданиям;

- увеличение скорости обработки и проверки данных, что позволяет сократить время на выполнение аудиторского задания.

83. Автоматизированные информационные системы используются на всех этапах аудиторского задания, начиная с этапа планирования аудиторского задания и заканчивая окончательным обзором работ и сообщением результатов выполнения задания. Что касается определенного специфического, хотя и менее очевидного, влияния компьютерных технологий на процесс аудита, то можно выделить следующее:

- сохранение и доступ к постоянным файлам и записям осуществляются намного быстрее, даже методом удаленного доступа. Риск утраты файлов значительно сокращен;

- документы и материалы, которые понадобятся для тестов на следующий год, могут быть просто скопированы. Отсутствует необходимость и в переработке компьютерных программ, которые используются из года в год: имеющиеся программы работают с новыми данными;

- электронным способом легче и быстрее осуществлять поиск конкретных слов или величин;

- существует программное обеспечение (ПО), которое может в течение всего года осуществлять мониторинг операций и немедленно предоставлять отчет обо всех необычных или непредусмотренных случаях. Это осуществляется с помощью встроенных аудиторских модулей;

- автоматизированные информационные системы используются в процессе формирования выборки, чтобы сделать сам процесс выборки более точным.

84. Вопросы, связанные с использованием автоматизированных информационных систем при проведении аудиторских заданий, можно разбить на три составляющие: средства и процедуры контроля входных данных, обработки данных и выходных данных. Автоматизированная информационная система должна иметь достаточные средства контроля, чтобы гарантировать, что только утвержденные фактические данные поступают в систему, и что система обрабатывает эти данные надлежащим образом.

85. Существуют различные способы, с помощью которых аудитор может осуществлять тестирование работы автоматизированной информационной системы по обработке данных в целом (а не отдельную операцию). Внутренний аудитор проводит тесты, чтобы удостовериться, что автоматизированная информационная система корректно проводит вычисления и обрабатывает информацию, введенную в систему.

В этой связи, существуют различные методы, из которых три основных метода проверки способа обработки транзакций компьютером включают:

- метод тестовых данных;

- метод использования интегрированного средства тестирования (ИСТ);

- метод моделирования параллельных процессов.

Метод тестовых данных

86. Метод тестовых данных используется для проверки и подтверждения точности обработки программ и любых внесенных в программы изменений.

87. Тестовые данные – это вводные данные, подготовленные аудитором, которые содержат как достоверные, так и недостоверные данные, и которые вводятся в компьютерную систему клиента.

88. Также, тестовые данные могут быть или реальными, или фиктивными. Вводные данные обрабатываются вручную, чтобы установить, как должны выглядеть выходные данные. Аудитор тестирует обработку этих данных на компьютере клиента, но под своим собственным контролем. Затем, для оценки точности, аудитор обрабатывает тестовые данные электронным способом и сравнивает результаты ручной обработки с результатами электронной обработки.

89. Потенциальные проблемы, которые могут возникать у аудитора в связи с использованием этого метода, перечисляются ниже:

- аудитор должен убедиться, что тестовые данные не попадут в реальную систему;

- аудитор должен убедиться, что тестовые данные включают все типы ситуаций, которые должны быть протестированы;

- аудитор должен добиться подтверждения, что программа, в которой проверяются тестовые данные, является программой, которая действительно используется для обработки данных.

90. При помощи тестовых данных можно проверять только используемые программы. Для проверки и подтверждения целостности входных и выходных данных требуется проведение других тестов. Также, тестовые данные не могут, как правило, смоделировать все возможные параметры и режимы работы, которые может иметь компьютерная программа при фактическом использовании. Кроме того, тестовые данные можно протестировать только на специальной программе и в специальное время. А так как тестовые данные необходимо обрабатывать отдельно от других данных, то аудитор не может быть абсолютно уверен, что тестируемая программа является той же программой, которая используется при фактически осуществляемой обработке данных.

Метод использования интегрированного средства тестирования (ИСТ):

91. Метод ИСТ - тестирования используется в аудите больших автоматизированных информационных систем, которые выполняют обработку данных в реальном (масштабе) времени.

92. Метод использования интегрированного средства тестирования (ИСТ-метод) также основывается на использовании тестовых данных.

93. При использовании ИСТ - метода создаются проверяемые объекты учета, которые в действительности не существуют, такие как сотрудники, внешние стороны. В данном случае аудитор создает условные объекты проверки, которые реально включаются в мастер-файлы системы. Эти тестовые данные объекта обрабатываются в компьютерной системе  параллельно с его собственными реальными данными. Транзакции обрабатываются относительно основной картотеки текущего учета объекта, в которой содержатся как реальные учетные записи, так и фиктивные.

94. Основное различие между методом тестовых данных и использованием интегрированного средства тестирования – ИСТ – в том, что тестовые данные ИСТ обрабатываются вместе с реальными данными. Никто, кроме аудитора, не знает, что обрабатываемые данные включают и эти фиктивные проводки по фиктивной учетной документации. В этом случае аудитор может быть уверен в том, что тестируемые программы являются реальными программами, которые обрабатывают реальные данные компании.

95. Необходимо тщательное планирование этой процедуры тестирования, чтобы данные из ИСТ - процедуры не смешались с реальными данными и не исказили реальные данные. Трудность использования ИСТ - тестирования состоит в том, что фиктивные транзакции должны быть как-то исключены из нормальных выходных данных системы. Это можно сделать вручную, или путем соответствующего проектирования и модификации приложения. В обоих случаях фиктивные транзакции должны идентифицироваться при помощи специальных кодов для выделения их из реальных данных.

96. Если планирование выполнено тщательно, затраты по использованию ИСТ – метода будут минимальными, поскольку в этом случае не требуется какой-то специальной обработки данных и не будет прерывания в обычной работе компьютера. Затраты нужны на первоначальную разработку ИСТ – средства – как на разработку самого приложения, так и на его последующие модификации. Но после осуществления первоначальных затрат, последующие текущие расходы будут небольшими.

Метод моделирования параллельных процессов:

97. Метод моделирования параллельных процессов – это метод аудиторской проверки, использующий реальные данные объекта аудита, а не фиктивные данные аудитора, но они обрабатываются с помощью тестовой (контрольной) или аудиторской программы.

98. Результаты, полученные при моделировании параллельного процесса, и результаты реальной обработки данных сравниваются между собой. Метод моделирования параллельных процессов является дорогостоящей и требующей времени процедурой. Поскольку моделирование параллельных процессов выполняется при помощи тестовых программ, то его можно выполнять на компьютере, который не используется для реальной обработки данных. Тем не менее, аудитор должен удостовериться, что система, которая использовалась объектом аудита для получения своих результатов, сопоставляемых затем с данными при моделировании параллельных процессов, является системой, которая постоянно используется объектом аудита в своей деятельности.

Методы аудита с использованием компьютеров (КМА).

99. Компьютеризированные (автоматизированные) методы аудита (КМА) – это программное обеспечение, которое основывается на системах или на операциях, и предназначается для автоматического извлечения и анализа данных. КМА применяются на всех этапах проведения аудита – от планирования аудиторских заданий до передачи отчетности по результатам задания.

100. Наиболее распространенные – это следующие четыре типа КМА.

1) Универсальное аудиторское программное обеспечение. Эти программы выполняют автоматические функции и полезны при тестировании, как средств контроля, так и сальдо счетов. Выполняемые ими процедуры включают:

- доступ к информации, хранящейся в компьютерах;

- определение конкретных элементов данных, которые должны быть подвергнуты тестированию (т.е. элементов данных, соответствующих определенным критериям);

- проведение повторных вычислений и пересчета элементов данных;

- формирование выборок из полей данных;

- подтверждение наличия и непротиворечивости данных.

2) Служебные программы. Эти программы выполняют повседневные функции, как, например, сортировка и объединение данных, а также похожие функции типа поддержки электронных таблиц (Excel и прочее) и автоматической обработки рабочих документов:

- электронные таблицы считаются одним из наиболее полезных инструментов в арсенале аудитора.

- автоматическая обработка рабочих документов – это пакеты программ, помогающие аудиторам проводить аудит более эффективно и организовано.

3) Прикладное программное обеспечение для отслеживания и отображения (картографирования) данных. Эти программы призваны контролировать прохождение информации через систему, начиная с ввода данных и заканчивая выходом данных из системы.

4) Программное обеспечение экспертной системы. Эти программы основаны на экспертных знаниях и логике, а также помогают аудиторам в процессах принятия решений и оценки рисков.

Программы КМА выполняют следующие функции:

- распределение данных по срокам возникновения (как, например, счетов дебиторов);

- идентификация дублированной информации;

- экспорт данных в другие программы;

- извлечение данных, предназначенных для стороннего анализа;

- выявление разрывов в информации (например, пропущенных чисел в документе);

- объединение и слияние информации из двух различных файлов или программ;

- отбор элементов данных для тестирования их в выборках;

- сортировка информации по разным полям данных;

- стратификация величин по более мелким группам в зависимости от значений отдельных элементов данных;

- суммирование данных;

- суммирование полей данных с целью получения итоговых значений (и выполнение других математических вычислений).

101. Существуют и другие методы аудита с использованием автоматизированных информационных технологий:

1) встроенные аудиторские процедуры:

- Встроенное средство сбора аудиторских данных является одним из видов встроенной аудиторской подпрограммы. Оно использует специально запрограммированные модули, которые встраиваются в виде макрокоманды в код регулярной программы. Встроенная подпрограмма отбирает и записывает данные в процессе их обработки для обычных производственных целей, а аудитор затем анализирует и оценивает эти данные.

- Транзакции отбираются встроенной аудиторской подпрограммой в соответствии с установленными аудитором параметрами по ограничениям и приемлемости. Транзакции, нарушающие эти параметры, записываются в файл как исключения. В качестве альтернативы, транзакции можно выбирать по случайной схеме. Если транзакции выбираются по случайной схеме, то цель будет заключаться в создании статистической выборки транзакций для аудита.

- Подход, используемый для отбора транзакций, нарушивших установленные аудитором параметры, называется системой контроля файла аудиторского обзора. Подход, используемый для отбора транзакций по случайной схеме, называется файлом проверки аудиторской выборки.

- Проще и легче разработать встраиваемые аудиторские подпрограммы одновременно с разработкой основной рабочей программы, чем добавлять их к рабочей программе впоследствии.

- Встроенные аудиторские процедуры позволяют осуществлять постоянный мониторинг. Будучи встроенными в компьютерную программу, они отслеживают каждую операцию, которая соответствует заданным аудитором критериям.

2) сохранение записей и моментальная копия:

- В программе может соединяться множество разных шагов по обработке данных, и поэтому аудиторский след по одной транзакции может существовать в нескольких файлах. Сохранение записей подразумевает изменение программы для тегирования специальных транзакций и сохранения всех шагов их обработки как дополнительных записей, что позволит восстановить аудиторский след из одного файла для этих транзакций. Такие транзакции могут отбираться по случайной схеме, либо выбираться в качестве исключений для редактирования тестов.

- При использовании техники моментальной копии транзакция «фотографируется» в процессе её обработки. Код управляющей программы вводится в приложение, чтобы распечатывать содержание выбранной области памяти при вводе кода моментальной копии. Моментальная копия используется как метод отладки программы. В качестве инструмента аудита, код моментальной копии можно использовать только для транзакций, превышающих предварительно установленные ограничения.

- Методы расширения учетной записи и моментальной копии очень похожи. Разница состоит в том, что при методе моментальной копии создается распечатанный аудиторский след, в то время как при методе расширения учетной записи данные моментальной копии включаются в файл расширения учетной записи, а не распечатываются на бумаге.

3) картографирование (отображение) данных:

- Отображение (картографирование) данных в памяти подразумевает использование специального программного приложения для мониторинга (отслеживания) выполнения программы. Эта программа подсчитывает, сколько раз каждый оператор/команда программы выполнялись управляющей программой. Сначала эта методика использовалась для проектирования и тестирования программы, но теперь аудиторы стали использовать ее для определения того, выполняются ли операторы/команды программы. Картографирование (памяти) помогает установить, управляет ли программное приложение операторами/командами, которые появляются в списке исходного языка программы, выполненной фактически, когда программа нормально функционирует, и не блокировалась. Оно также может разместить коды неработающей программы и пометить флажками коды, которые, возможно, используются мошеннически.

- Отображение (картографирование) данных может использоваться с программой, обрабатывающей тестовые данные. Устройство вывода картографической программы может указывать на то, существует ли в программе неиспользованный код. Все неиспользованные коды изучаются, и оценивается цель неиспользованных кодов, чтобы решить, стоит ли оставлять их в программе или нужно удалить.

4) тегирование и отслеживание данных;

- При использовании процедуры тегирования и отслеживания данных, специальные транзакции, когда они вводятся в компьютерную систему (сопровождаются тегами), сначала идентифицируются, а затем их прохождение через систему отслеживается вплоть до выхода из системы. Это позволяет аудитору убедиться, что все процедуры, предусмотренные для специальных транзакций, были к ним применены.

- Отслеживание данных дает детальный аудиторский след по всем командам, которые выполняет программа. Одиночный след может произвести тысячи выходных (выводимых) записей, поэтому аудитор должен принять меры к тому, чтобы ограничить по возможности количество транзакций, которые сопровождаются тегами для дальнейшего отслеживания. Отслеживание данных может также использоваться для подтверждения того, что средства внутреннего контроля в приложении выполняются всякий раз при обработке данных – как реальных, так и тестовых. След может также выявить группы невыполненного кода программы.

5) контролируемая повторная обработка данных:

- Аудитор получает от клиента проверенную копию программы обработки данных, которую клиент аудита использует в своей деятельности, а затем использует эту программу для повторного прогона информации и транзакций через проверенную программу. Результаты этого теста сравниваются с фактическими результатами обработки данных клиентом, отраженных в учете.

Использование электронных таблиц

102. Электронные таблицы можно разделить на две категории: электронные таблицы для (математического) моделирования и электронные таблицы для операционных систем. При использовании для моделирования, например, моделирования (оценки) слияния или поглощения, электронные таблицы могут работать как комплексные калькуляторы для прогнозирования любого количества сценариев. Используемые в операционных системах, электронные таблицы могут выполнять две функции – содержать и обрабатывать транзакционные (оперативные) данные. Типичное использование электронных таблиц в операционных системах включает ведение и текущее обслуживание отраслевых списков, таких как списки товарных запасов, основных средств, конфиденциальной информации о клиентах и т.д.

103. В связи с широким применением электронных таблиц учреждениями и организациями, в частности, в их деятельности, внутренние аудиторы должны быть квалифицированными экспертами в части составления электронных таблиц и поддержания их в рабочем состоянии, а также знать, где могут быть слабые места. Кроме того, аудиторы должны уделять особое внимание использованию и точности данных, а именно тому, что с течением времени данные могут искажаться, приводя тем самым к череде ошибок.

104. Почти универсальное использование электронных таблиц имеет при этом и губительные последствия: риски использования электронных таблиц являются такими же распространенными, как и сами электронные таблицы. Внутренние аудиторы должны быть наблюдательными в отношении различного рода рисков, связанных с использованием электронных таблиц.

105. Существует пять ключевых рисков, связанных с использованием электронных таблиц:

1) Риск 1: Неквалифицированные пользователи;

- Хотя электронные таблицы и являются широко используемым инструментом, не каждый сотрудник в организации имеет надлежащую подготовку или квалификацию по их использованию. В результате, важная для организации информация может обрабатываться на электронных таблицах, которые недостаточно или неправильно разработаны; и без надлежащего контроля эти проблемы могут накапливаться с течением времени. Поэтому внутренние аудиторы должны быть не менее, а даже более подготовленными в отношении использования электронных таблиц, чем сотрудники тех организаций, которые они проверяют. Например, аудиторы должны уметь распознавать ошибки при компоновании разных электронных таблиц, а также обнаруживать таблицы с неправильными формулами.

- Кроме того, поскольку программы табличных вычислений постоянно обновляются и усовершенствуются, внутренние аудиторы должны постоянно проходить обучение в области последних нововведений по усовершенствованию электронных таблиц. Есть многочисленные, легкодоступные пособия, способные помочь внутренним аудиторам быть в курсе современных тенденций развития электронных таблиц. Кроме бесплатных интернет-курсов обучения по использованию электронных таблиц. Существует также целый ряд других компьютерных программ для проверки работы электронных таблиц, которые могут быть целесообразными для аудиторов.

2) Риск 2: Отсутствие четких принципов подготовки электронных таблиц;

- Если принципы и методические указания в отношении подготовки электронных таблиц являются недостаточными, неполными или трудными для понимания, то в этом случае существует высокий риск того, что ошибки станут обычным делом в отчетах по внутреннему контролю. Более того, поскольку программы табличных вычислений постоянно обновляются, то наверняка даже очень хорошо прописанные принципы и политики могут устаревать. Поэтому стилевое форматирование, информационное наполнение и ответственность за подготовку электронных таблиц должны оформляться документально в форме принципов и процедур организации и пересматриваться каждый раз, когда выходит или приобретается новая версия программы табличных вычислений.

3) Риск 3: Ввод данных и повторное использование;

а) В результате повторного использования старых электронных таблиц, а также после многочисленных повторов вырезания и вставки информации, небольших дополнений и переформатирования таблиц, вероятно, что данные могут быть искажены, тем самым искажается целостность электронной таблицы.

б) Для снижения риска повторного использования внутренние аудиторы должны выполнять перечисленные ниже действия:

- хранить данные ввода отдельно от действующей электронной таблицы, используемой для вычислений;

- использовать проверку с помощью контрольных сумм (то есть значения или числа, вычисленного по определенному алгоритму для проверки правильности передачи данных) для предотвращения ошибок в формулах, суммирующих колонки данных, числа или денежные величины;

- использовать программные средства самопроверки, такие как случайные данные или контрольная сумма пакета, для проверки того, что результаты использования формулы являются правильными;

- использовать автоматическое средство, не позволяющее ошибкам попадать в электронную таблицу;

- проверять и подтверждать, что шаблоны электронных таблиц не изменились автоматически, используя защиту с помощью паролей.

4) Риск 4: Ошибки в электронных таблицах;

- В настоящее время в современных электронных таблицах содержатся существенные ошибки. Некоторые ошибки являются результатом недоработок, существуют случаи, когда ошибки в электронные таблицы вводятся преднамеренно, чтобы обеспечить навсегда возможность совершения мошенничества.

- Внутренние аудиторы должны быть бдительными в отношении любой возможности существования намеренно недостоверных электронных таблиц. Электронные таблицы могут разрабатываться с защищенным доступом изнутри (в самом документе), а также извне (касательно их хранения). Например, заблокированные ячейки в электронной таблице могут защищать формулы от подделки. «Физический» доступ к электронным таблицам может быть ограничен только для персонала, имеющего разрешение, исходя из принципа служебной необходимости. Также, хранение электронных таблиц на сервере с ограниченным доступом может защитить информацию от несанкционированного доступа.

5) Риск 5: Потеря данных;

- Ненадлежащее или не полностью выполненное резервное копирование данных подвергает данные тому, что они могут быть безвозвратно потеряны. Резервное копирование всех файлов должно выполняться на регулярной основе и многократно, чтобы не допустить их утраты или искажения. Функция автосохранения, встроенная в программу табличных вычислений, является надежным средством предотвращения от случайной потери данных в случае ошибок или сбоев системы. Кроме того, компания может вести дополнительные протоколы (и иметь резервное оборудование или оборудование для восстановления данных за пределами внутрифирменной информационной системы) для усиления защиты документов.

 

 

 

Глава 3. Добросовестное управление и внутренний контроль

 

106. В целях надлежащей оценки системы внутреннего контроля, аудитор должен уметь отчетливо представлять типы и средства внутреннего контроля, которые обычно присутствуют в каждой отдельной ситуации. Для этого, аудиторы должны знать общие принципы добросовестного управления и внутреннего контроля. Необходимо понимать существующие средства контроля и их цели - организовать процессы так, чтобы события происходили определенным образом или выявлялось отсутствие этих средств контроля, а также важность общей среды контроля. Важный момент заключается в понимании того, что руководство несет ответственность за внедрение адекватных систем, которые состоят из соответствующих разработанных средств контроля. Кроме того, необходимо, чтобы аудиторы понимали и могли применить концепции данной главы к аудиту систем, подробно описанному в Главе 10 «Планирование и проведение аудита».

 

§1. Определения

 

Среда контроля

107. Общая среда контроля в государственном секторе включает в себя:

- общую систему управления;

- системы управления, основанные на результатах деятельности;

- системы внутреннего контроля;

- контроль финансово-хозяйственных операций.

Вышеназванное может быть проиллюстрировано в иерархическом порядке: средства контроля «высокого уровня» (устанавливаются раз в несколько лет высшим руководством организации) и далее средства контроля более низкого уровня, выполняемые операционным персоналом каждого министерства, ведомства или агентства на ежедневной основе.

Управление.

108. «Управление - это средства, которые помогают направлять и контролировать организацию».

Основными принципами добросовестного управления являются:

- Открытость - все заинтересованные стороны могут ознакомиться с процессом принятия решений и деятельностью организации в целом, ее руководстве и служащих, а также в том, что организация предоставляет только достоверную, полную и важную информацию;

- Честность - в деятельности организации должны присутствовать честность и объективность, а также наличие высоких стандартов разумности и неподкупности в системе управления государственными фондами и ресурсами, в процессе принятия решений внутри организации, а также качестве финансовой информации;

- Подотчетность и ответственность - организация и ее сотрудники несут ответственность за принимаемые решения и действия, касающиеся управления государственными средствами, а также всех аспектов результатов работы. Более того, деятельность организации подлежит соответствующей внешней проверке.

109. Данные принципы отражены в четырех измерениях управления организациями, относящимися к государственному сектору.

 

Таблица 3.1

 

Четыре измерения управления в государственном секторе

 

Системы.

110. Руководителю организации необходимо обеспечить условия эффективной работы организации для достижения поставленных перед ней задач. В этих целях многие организации разрабатывают некие системы. Системы представляют собой процедуры и действия, посредством которых хозяйственные операции и события, касающиеся бухгалтерского учета, отражаются и документируются. Системы также предоставляют сведения о результатах работы организации:

- Системы добросовестного управления поставлены так, чтобы гарантировать направление работы организации и контроля в ней, основанного на открытости, честности, подотчетности и ответственности;

- Системы менеджмента направлены на обеспечение выполнения операций и предоставление услуг экономично, эффективно и продуктивно;

- Учетная и финансовая системы занимаются документированием операций и предоставлением финансовых сведений.

Средства внутреннего контроля.

111. Руководству необходимо убедиться в том, что существующие системы успешно реализуются, следовательно, являются средствами контроля в процессе работы с целью предупреждения и раскрытия ошибок. Средство контроля может быть определено в зависимости от того, эффективно оно или нет в рамках рассматриваемого процесса. Действие, способствующее процессу, а значит, делающее свой вклад в результат, или необходимое для поддержания документооборота, не рассматривается как средство контроля. Зачастую средства контроля выступают обособленно, так как система может обходиться и без них, при этом, так как они встроены в систему, и, следовательно, являются ее неотъемлемой частью, часто их сложно определить.

112. В качестве пояснения процедуры можно разделить на два типа:

а) Процедуры процесса - направлены на обработку операций и другой информации через систему и;

б) Процедуры контроля, которые направлены на обеспечение:

- выполнения процедур процесса упорядоченным и эффективным образом;

- соблюдения требований положений и руководства;

- сохранения активов организации и;

- соблюдения полноты и точности записей.

113. Средства контроля являются дополнением к процедурам процесса. При этом отсутствие средства контроля не обязательно должно приводить к возникновению неточной информации, производимой системой. Однако при отсутствии средств контроля существует вероятность того, что система не обнаружит ошибку и, тем самым, выдаст ложную информацию.

114. Следующее определение внутреннего контроля можно сформулировать для служб внутреннего аудита:

Система внутреннего контроля является общей системой средств контроля: бухгалтерского, финансового, административного, надзорного и управленческого, установленной руководством организации с целью выполнения своей деятельности в последовательном и эффективном порядке, для повышения операционной эффективности, сохранения ее активов и обеспечения максимальной полноты и точности документооборота.

115. Необходимо отметить следующие основные особенности внутреннего контроля, вытекающие из вышеупомянутого определения:

- необходимо наличие надлежащих процедур санкционирования на каждом этапе до момента вступления в силу договорных обязательств;

- необходимо правильное оформление всех операций, полностью подтвержденных созданием или сохранением сопроводительных документов;

- необходимо наличие четко установленных процедур для обеспечения надлежащей сохранности имущества организации;

- необходимо применение соответствующих средств надзорного и управленческого контроля для того, чтобы политика и процедуры организации были соблюдены и эффективно реализованы.

 

§2. Ответственность за контроль

 

116. Руководство несет ответственность за создание и поддержание соответствующих адекватных и эффективных средств контроля в организации, чтобы при оптимальном использовании ресурсов установленные цели могли быть достигнуты. Роль внутреннего аудита состоит в помощи руководству посредством предоставления оценки структуры и функционирования средств внутреннего контроля и рекомендаций по их улучшению, но это не освобождает руководство от выполнения своих обязанностей. Частью системы контроля является существование службы внутреннего аудита.

Обязанности внутреннего аудита.

117. Функция «Внутренний аудит» и ее обязанность в целом сводится к обзору, оценке и подготовке отчета о:

- надежности, адекватности и применения внутреннего контроля;

- степени, в которой организационный контроль обеспечивает достижение целей, способствует производственной эффективности и защищает интересы и собственность организации;

- степени соответствия политике, планам и процедурам данной организации;

- достоверности и надежности финансовой и другой управленческой информации, используемой организацией.

118. Обязанности Службы внутреннего аудита, определенные в Законе Кыргызской Республики «О внутреннем аудите», изложены в Главе 1 настоящего руководства «Законодательные рамки и стандарты внутреннего аудита».

119. Руководство ответственно решать, в каком объеме применять систему внутреннего контроля, которая соответствует нуждам организации. При выборе средств контроля необходимо сопоставить сумму расходов на поддержание операционного контроля и рисков возникновения значительных потерь, если контролем пренебрегли. В небольших организациях, руководитель может быть лично задействован в ежедневной работе и наблюдать за процессом, что обеспечит достоверность документации и позволит осуществлять должное руководство без образования более строгой системы контроля, присущей крупным организациям.

 

§3. Виды средств внутреннего контроля

 

Средство организационного контроля.

120. В каждой организации должен быть разработан регламент, включающий в себя описание и распределение должностных обязанностей, и определяющий порядок отчетности для всех аспектов деятельности организации, включая средства контроля. Передача прав и ответственности должна быть четко определена.

121. Для того чтобы структура организации способствовала достаточному уровню внутреннего контроля, должны быть соблюдены следующие принципы:

- принятие на работу и обучение квалифицированного персонала;

- адекватное разделение функциональных обязанностей, таких как бухгалтерский учет и материальная ответственность;

- распределение обязанностей в рамках ведения учета;

- должным образом определены функциональные обязанности для всех сотрудников.

Средство контроля на соответствие систем.

122. Средство контроля относится к внедрению новых систем или модификацию существующих. Целями этого средства контроля являются обеспечение официального утверждения модификаций; внедрение соответствующих планов по преодолению переходного периода от одной системы к другой; обеспечение выработки новой или модифицированной системой требуемого результата. Аудитору следует обратить внимание на осуществление любых крупных корректировок или обновлений систем и затем принять решение об уровне вовлечения аудита в разработку новой системы и сопутствующих регламентов.

Разделение функциональных обязанностей.

123. Одним из основных средств контроля является разделение тех обязанностей или должностных функций, которые, если их не разделить, выполняются одним сотрудником и тогда он один оформляет и осуществляет всю операцию полностью. Разделение же функциональных обязанностей снижает риск возникновения намеренного искажения или ошибки и увеличивает уровень контроля. Функции, которые необходимо разделить, включают функции санкционирования, выполнения, хранения, регистрации, а также, в случае существования автоматизированной системы учета, функции разработки системы и ведения ежедневных операций.

Физическое средство контроля.

124. Средство контроля затрагивает в большей степени хранение активов и содержит комплекс процедур и защитных мер, разработанных с целью обеспечения доступа, к активам только уполномоченного персонала. Это средство контроля наиболее важно в случаях с ценными, движимыми, подлежащими обмену или необходимыми активами.

125. Руководство несет ответственность за сохранность активов организации. Средство контроля в этой категории является важным для аудитора в достижении целей наступления событий и их физического наличия. Ограничение доступа к активам является предупредительной мерой контроля в данной категории. Например, закрытые на замок магазины или хранение в сейфах наличности и легко конвертируемых предметов, таких как, ценные бумаги.

126. Проведение периодической инвентаризации направлено на выявление ошибок и недостатков в деятельности организации. Применимость этого средства контроля зависит от разделения защитных и регистрационных функций.

Средство контроля «санкционирование и разрешение».

127. Все операции должны требовать санкционирования или разрешения соответствующего ответственного лица. Границы санкционирования должны быть четко установлены. Это средство контроля включает в себя общее или специальное санкционирование.

Общее санкционирование.

128. Для осуществления отдельных видов расходов, таких как гранты или схемы дотаций, возможно, потребуется официальное санкционирование или же руководство может давать официальное разрешение на приобретение капитальных активов определенной стоимости. Это санкционирование общего характера и оно может повлиять на среду контроля в целом.

Специальное санкционирование (или разрешение).

129. Функциональные обязанности руководителей включают в себя необходимость подотчетности и ответственности за осуществляемые расходы и операции. В этих случаях расходы не могут быть понесены, и действия не могут быть осуществлены без санкционирования руководителем. В некоторых случаях, разрешение на осуществление операций, имеющих большую стоимость, может потребоваться на уровне Министерства финансов Кыргызской Республики или, в исключительных случаях, на уровне самого Жогорку Кенеша Кыргызской Республики.

Средство контроля – «заверение».

130. Заверение документов ответственным лицом, которое изучает и проверяет их перед тем, как осуществляются любые последующие действия, обычно касается индивидуальных операций. Примером этого может служить получение и проверка счетов-фактур перед осуществлением самой оплаты. Разрешение на осуществление выплаты должно быть заверено подписью ответственного руководителя на счете-фактуре. Это общепринятая методика, гарантирующая, что все процедуры проверки были осуществлены до того, как они занесены в бухгалтерскую книгу.

Арифметическое и учетное средство контроля.

131. Это средство контроля в рамках функции учета, которое обеспечивает, что все операции, которые подлежат учету и осуществлению, были санкционированы, что все они включены, правильно зарегистрированы и проведены. Это средство контроля включает в себя арифметическую проверку записей, итоговых значений, сверку, проверку контрольных счетов и пробного баланса, а также сбор и обработку документации.

132. Существует четыре техники средства контроля, которые непосредственно касаются завершенности и правильности осуществляемых операций. По характеру они могут быть профилактическими или выявляющими уже совершенные ошибки и существующие недостатки, и большинство систем включают комбинацию этих двух типов. Ниже перечислены четыре техники средства контроля:

- Проверка последовательности: Предварительная нумерация документов устанавливает контроль над документами во время их обработки; последующая проверка последовательности нумерации заполненных документов обеспечит полноту учетных записей на тех участках, где осуществляется проверка.

- Сопоставление: Сравнение одного пакета документов или бухгалтерских записей с другими для выявления ошибок и упущений. Например, сравнение счетов-фактур с записями по заказанным и фактически полученным товарам, могут выявить ошибки в этих счетах-фактурах: когда товары были получены, но не заказаны или товары заказаны, но не получены. Также это включает в себя сопоставление итоговых значений, например, фактических результатов и предполагаемых поступлений и расходов.

- Проверка итогов: Обеспечение сравнения первоначальных итоговых данных комплекта документов и записей с итоговыми данными, полученными в результате процесса проверки. Итоговые значения должен проверять человек, не участвующий в самом процессе получения итогов. Степень контроля будет зависеть от того, как извлекаются итоговые данные.

- Перепроверка: Контроль осуществляется следующим образом: когда операция сначала выполнена одним сотрудником и затем еще раз независимо выполнена кем-нибудь еще, кто впоследствии сравнивает свой результат с первоначальным. Эта техника обычно используется при проверке вычислений. На практике, аудитор будет часто встречаться с тем, что руководство выполняет перепроверку результатов на выборочной основе, что является частью их надзорных функций.

Средство контроля над персоналом.

133. Должны существовать процедуры, гарантирующие, что функциональные обязанности сотрудников соответствуют их потенциальным возможностям. Надлежащее функционирование любой системы неизбежно зависит от компетентности и работоспособности сотрудников, действующих в ней. При разработке любой системы контроля учитываются такие важные критерии как профессионализм, метод отбора и обучение персонала, также как и личные этические характеристики вовлеченных сотрудников.

Средство контроля «надзор».

134. Каждая система внутреннего контроля должна включать в себя отслеживание ежедневных операций и их последующую регистрацию ответственными должностными лицами. Эффективная система надзора получится в результате вовлечения руководства в контроль над деятельностью организации путем проверки финансовой отчетности, анализа отклонений бюджета и так далее, и путем мониторинга эффективности внутреннего контроля.

Средство контроля «руководство».

135. Это средство контроля осуществляется руководителями за пределами ежедневных операций системы. Оно включает в себя комплексный контроль производственного процесса, осуществляемый руководством, проверку правильности ведения управленческого учета и его сопоставление с бюджетами, функцию внутреннего аудита и любые другие специальные процедуры проверки.

 

§4. Цели внутреннего контроля

 

136. Цель или функцию средств внутреннего контроля можно разделить на три основные категории:

1) Направляющее средство контроля: это средство контроля разработано для установления контроля над процессами отчетности и управления. Такое средство контроля, как правило, имеет документарный вид (например: руководство по политике и процедурам, стандарты выполняемых операций, подробное описание должностных обязанностей и использование стандартных простых и понятных форм бланков), или предполагает специальные процедуры, подробное описание должностных обязанностей и использование стандартных простых и понятных форм бланков;

2) Профилактическое средство контроля имеет три основных вида:

- Организационный контроль, такой как разделение обязанностей, контроль с двух сторон и физический контроль над активами;

- Ведение бухгалтерских записей и учет активов;

- Контроль над документами, такой как предварительная нумерация документов, группирование и проверка с помощью контрольных сумм.

3) Выявляющее средство контроля: вид средства контроля, разработанный для выявления ошибок и нарушений норм в отчетах, если они имели место. Как правило, такое средство контроля очень важно для аудитора, так как позволяет обеспечить документарное подтверждение того, что контроль был осуществлен надлежащим образом. Например, проведение выявляющего средства контроля требует подготовки отчета о выявленных нарушениях.

§5. Среда контроля

 

137. Термин «среда контроля» может пониматься как «факторы, которые оказывают важное влияние на выбор и эффективность процедур и методов, выбранных для осуществления контроля в организации». Аудитор должен уметь различать удовлетворительную и неблагоприятную среду.

138. Среда контроля заключает в себе два элемента: «осознание контроля» и «общие механизмы контроля». Несмотря на то, что осознание контроля неосязаемо, его можно описать, как важность, которую организация придает внутренним процедурам контроля. Это в большей степени неосязаемо, но отношение руководства к строгому контролю должно служить инструментом для предотвращения попыток уклониться от контроля.

139. Для того, чтобы выполнить поставленные задачи, организация стремится управлять делами эффективно, с минимальными затратами, соблюдать наилучшее соотношение между ценой и качеством услуг, предоставляемых «для» и «от» имени налогоплательщиков или других заинтересованных сторон. Если руководство способствовало развитию должного осознания контроля, экономически эффективная система внутреннего контроля должна помочь преодолеть негативное давление и не допустить неподчинение контролю или уклонение от него.

140. Одним из измеримых показателей того, насколько руководство привержено эффективному осуществлению контроля, является реакция руководства на получение отзывов от внутренних и независимых аудиторов, а также других источников, о том, что в системе внутреннего контроля существуют серьезные изъяны или что некоторые сотрудники уклоняются от контроля. Своевременные указания от руководства относительно принятия исправительных мер подтверждают приверженность руководства и, таким образом, усиливают осознание контроля в организации. Если нарушитель получает взыскание за содеянное, это позволяет укрепить дисциплину.

141. Для оказания желаемого влияния осознания контроля, должны быть общие механизмы контроля, которые заставят систему работать.

142. Общие механизмы контроля относятся ко всем формам применения бухгалтерского учета и обеспечивают дисциплину, необходимую для эффективной работы отдельных средств контроля. Сюда относятся:

- организационная структура;

- политика и процедуры создания, изменения и информирования о политике и процедурах;

- бюджетный контроль и финансовые отчеты;

- общий контроль ИТ/ИС;

- честность и профессионализм персонала;

- нормы поведения.

143. Наличие надлежащей среды контроля не гарантирует эффективной работы системы контроля. Однако, ее отсутствие, подрывает эффективность контроля в целом и, соответственно, снижает уровень надежности данных, выдаваемых системами учета.

 

§6. Ограничения эффективности средств внутреннего контроля

 

144. Необходимо помнить о том, что средства внутреннего контроля могут и не носить безличный характер. Большинство операций и проверок, из которых состоят средства контроля, осуществляются людьми. Ошибки, относящиеся к человеческому фактору, встречаются довольно часто: происходят ошибки в оценках или трактовках, возникает недопонимание, безответственность, усталость, невнимательность. Все эти факторы могут препятствовать эффективному осуществлению контроля. Возможно, что в случае наличия контроля и четких процедур, если они не применяются должным образом (согласно регламенту), тогда лицо, применяющее средство контроля, и в целом, контроль во всей системе, потерпит неудачу.

145. Свое влияние на неудовлетворительные средства контроля может оказать и руководство. Средства внутреннего контроля, зависящие от разделения обязанностей, могут быть проигнорированы посредством тайного сговора. Руководитель может оставить за собой право отменить установленные средства контроля. Лицо, санкционированное на проведение финансово-хозяйственных операций, в свою очередь, может злоупотребить этими полномочиями. Руководство может нанять людей, не обладающих соответствующей компетенцией или знаниями, чтобы осуществлять контроль должным образом. Поэтому важно помнить, что ни одна система контроля, даже самая продуманная, не может гарантировать 100% эффективности управления процессом, а также полноту и точность записей.

 

§7. Использование внутреннего контроля аудитором

 

146. Изучая систему, аудитор стремится прийти к заключению, которое может уверить руководство в действенности системы, а также выработать рекомендации по ее совершенствованию. При выполнении своих обязанностей аудиторы должны придерживаться подхода, при котором они:

- определяют каждую систему в рамках организации;

- определяют общую цель каждой системы;

- определяют необходимые цели контроля для каждой системы с целью достижения общих задач;

- определяют основные средства внутреннего контроля в каждой системе с целью достижения целей контроля;

- оценивают установленные средства контроля, определяют слабые места системы и вырабатывают рекомендации по совершенствованию процедур, где это необходимо;

- убеждаются, что предусмотренные системы контроля функционируют должным образом и работают для достижения целей организации;

- сообщают о возможностях совершенствования работы систем, об их сильных и слабых сторонах, значительных потерях, ошибках или других отклонениях от установленных стандартов.

147. Кроме того, если аудитор считает, что система является надежной и риск значительных потерь минимален, то ему не нужно проводить аудиторское тестирование недостатков. Если, по мнению аудитора, система не обладает достаточным уровнем контроля для предотвращения риска, то, необходимо провести тестирование по существу, чтобы предоставить разумную уверенность руководству в том, что на практике система работает надлежащим образом.

 

Глава 4. Выборка и Тестирование

 

148. В ходе проведения аудита для того, чтобы сделать правильные выводы, необходимо охватить все операции. Однако из-за ограниченности ресурсов и времени аудитор должен использовать выборку, тестируя ограниченное количество операций, обеспечивая при этом мнение о всей проверяемой совокупности и, в конечном итоге, повышая степень уверенности в выводах и аудиторских доказательствах.

Таким образом, выборка - это аудиторская процедура, распространяемая в отношении определенного количества операций, при этом обеспечивающая мнение о всей проверяемой совокупности.

149. При разработке тестов по проверке средств контроля важно обеспечить тестирование непосредственно процедур контроля, а не процедур процесса (см. Приложение А, Глава 10 «Планирование и проведение аудита систем»). Помимо этого также необходимо учитывать то, что средство контроля (в том виде, в котором оно было создано) - это наилучший способ достижения соответствующих целей (регулярность, полнота и так далее.), в ином случае, нет необходимости в его тестировании. Если, согласно аудиторскому заключению, система внутреннего контроля является слабой, то тестирование этого средства контроля не имеет значительного смысла. Может быть проведено тестирование на определение недостатков, (то есть тестирование, направленное непосредственно на слабые средства контроля), при этом, данный метод тестирования может не обнаружить недостатки в контроле. Такая проверка потребует более масштабного охвата, чтобы обеспечить необходимую уверенность в том, что ошибки системы были обнаружены.

150. Существуют многочисленные и довольно сложные способы определения, какой степенью надежности наделить внутренний контроль и каким тестом по существу. Внутренний аудитор не выражает мнение о финансовых отчетах, он концентрируется на адекватности системы внутреннего контроля и на том, как ее улучшить.

151. Аудитор должен удостовериться в том, что результаты представляют всю совокупность, особенно в плане количества ошибок; кроме того, необходимо разделить их по категории стоимости, особенно в случаях проведения специальных расследований по фактам злоупотреблений. Но если было обнаружено большое количество ошибок, то возможно понадобится разделить их по категории стоимости, особенно, если проводится специальное расследование о злоупотреблении, либо руководство не желает признавать недостатки контроля, определенные внутренними аудиторами. Внутренний аудит акцентируется не на оценке стоимости допущенной в операции ошибки, а на их количестве в процентном соотношении.

Тестирование.

152. Всякий раз, когда работа по аудиту выполняется посредством применения выборки, а не тестированием всей совокупности, необходимо рассмотреть интерпретацию результатов. Результаты тестов по относительно небольшим выборкам будут использованы:

- в качестве основы для сообщения руководству заключений обо всей системе и группах операций;

- в качестве основы для заключений внутреннего аудитора об общей эффективности систем бухгалтерского учета, финансовой и операционной систем;

- для принятия руководством дальнейших мер по предотвращению, либо расследованию.

153. Необходимо чтобы выводы и рекомендации, сделанные на основе рассмотренной выборки, отражали характеристики всей совокупности. В идеале, используемые методы определения выборки должны обеспечивать 95% уверенности в том, что заключение аудитора, сделанное на основе тестирования выборки, отражает характеристики всей совокупности в целом.

154. Метод интерпретации результатов рассмотрения выборки, в основном, зависит от двух факторов:

- использованного типа аудиторского тестирования;

- типа выборки и метода отбора.

Типы аудиторских тестов. Сквозной/подтверждающий тест.

155. Первый и самый легкий метод тестирования - это сквозное тестирование. Обнаружение ошибок при сквозном тестировании свидетельствует, что аудитор не понял надлежащим образом, как работает система - как в теории, так и на практике. Обычно это означает, что система контроля в действительности не работает, таким образом, как она была разработана, либо оформлена документально. Значит, аудитор должен пересмотреть полученные им данные, чтобы лучше понять работу и документы операционной деятельности системы.

156. Обнаружение ошибки при сквозном тесте свидетельствует, что запланированное средство контроля, либо процесс для данной конкретной операции не был выполнен. Аудитор должен отметить, что это является ошибкой и включить данный вопрос в будущую выборку. Кроме того, он должен провести дополнительное сквозное тестирование других наименований, чтобы подтвердить правильность функционирования системы.

Тесты средств контроля/расширенные тесты средств контроля.

157. Тесты средств контроля разработаны для оценки практической эффективности функционирования имеющейся системы внутреннего контроля. Они обеспечивают подтверждение эффективности данного средства контроля в сокращении существенных рисков организации, таких как возможность физической потери ресурсов. Контроль является профилактической мерой. Отсутствие, либо несоответствующее функционирование средства контроля не означает наличие потерь, но подразумевает, что любого рода ошибка, может быть не обнаружена и не исправлена. Это увеличивает риск возникновения ошибки, а также делает организацию более уязвимой по отношению к мошенничеству и коррупции. Внутренний аудит концентрирует внимание на средствах контроля, а не на тестировании операций, так как контроль является профилактической мерой, которая способна предотвращать ущерб, в то время как техника тестирования операций определяет нанесенный ущерб после их фактического происшествия.

158. Таким образом, при оценке полученных результатов тестов контроля, важно подчеркнуть, что наличие недостатков ведет к увеличению потенциального риска, а также, что тестирование контроля обычно не определяет наличие самого ущерба. Там где контроль слабый, аудитору необходимо дополнительно провести тестирование контроля по существу, которое может представить доказательства по размеру ущерба, понесенного организацией, вследствие слабого контроля.

159. Когда применяются расширенные тесты средств контроля, то они должны рассматриваться, как и тесты средств контроля, и могут применять их к подгруппе первоначальной совокупности.

Тест по существу/тест на наличие недостатков.

160. Тесты по существу отдельно взятых операций могут подтвердить правильность функционирования определенной группы операций. Они могут быть использованы как косвенный способ определения того, удовлетворительно ли на практике работают средства контроля. Однако, обнаружение ошибок предоставляет подтверждение того, что система контроля не сработала эффективно. Таким образом, тестирование по существу может подтвердить, что система не работает надлежащим образом, но вряд ли предоставит существенное подтверждение того, что система контроля функционирует эффективно.

161. Выводы тестов по существу должны включать пояснение того, что они не обеспечивают абсолютную гарантию функционирования системы внутреннего контроля. Однако, в отличие от тестирования средств контроля, такое тестирование может предоставить примерный размер понесенного ущерба по всей совокупности, основанной на уровне полученных ошибок в проверяемой выборке.

162. При использовании тестирования на наличие недостатков, их следует использовать, как и тесты по существу, но применять к конкретной подгруппе первоначальной выборки, показывающей эти недостатки, например, все платежи, обрабатываемые конкретным индивидуальным лицом.

Руководство по размерам выборки.

163. Рекомендуемые процедуры по определению аудиторской выборки, относящихся к пяти различным типам аудиторских тестов, представлены ниже.

А - Сквозные/подтверждающие тесты.

164. Аудиторам при использовании подхода аудита систем, следует начинать с проведения сквозного теста по 1-3 наименованиям, в зависимости от сложности системы.

165. Сквозной тест - это процесс, принятый как часть аудита систем. Типичные для системы операции прослеживаются через всю систему и цель сквозного теста - помочь аудитору понять, как эти процессы выполняются на практике. Цель сквозных тестов - подтвердить правильность понимания функционирования системы аудитором, что те данные, которые он собрал, соответствуют действительности.

В - Тесты средств контроля.

166. Рекомендации по определению размера выборки для проведения тестирования средств контроля будут зависеть от классификации системы на стадии предварительной оценки рисков контроля. Если средство контроля определено как сильное, размер выборки может быть небольшим. Если средство контроля оценивается как слабое, то необходимо проводить тесты на наличие недостатков. Смотрите таблицу в конце главы.

167. Там, где тестирование относится к контролю, выполняемому ежемесячно, например, сверка банковских выписок, аудиторам следует изучить подтверждения за два месяца и получить доказательства того, что процесс происходил и в течение остальных десяти месяцев финансового года. Там, где тестирование относится к контролю, выполняемому еженедельно, например, проверка проводок за неделю, аудиторам следует изучить доказательства за пять недель и получить подтверждение того, что процесс осуществлялся и в течение оставшихся 47 недель финансового года.

С - Расширенные тесты средств контроля.

168. Если первоначальная выборка средств контроля показывает невысокий уровень ошибок (1 или 2 ошибки), то у аудитора может возникнуть неуверенность в том, что такой уровень ошибок отражает всю совокупность, или является результатом неверной выборки. Для написания достоверного аудиторского заключения рекомендуется, чтобы аудитор расширил тест средств контроля с целью поиска дополнительных доказательств. Масштаб этого расширения зависит от профессиональной оценки аудитора, но он не должен быть больше размера первоначальной выборки. При обнаружении значительных ошибок при дополнительном тестировании, аудитор может прекратить тестирование и написать аудиторское заключение о том, что системы работают неэффективно.

D – Тесты по существу.

169. Тестирование по существу обычно не должно использоваться внутренним аудитом. Однако, там где контроль отсутствует или это является зоной повышенного риска, применение тестирования средств контроля не даст полную уверенность. В таких случаях аудитору потребуется обдумать размер необходимой выборки и период, которые необходимо охватить.

Е – Тесты на наличие недостатков.

170. Там, где тесты контроля, либо тесты по существу выдают высокий уровень ошибок в определенном типе или группе операций, аудитор должен провести тестирование на наличие недостатков, используя именно данную под-совокупность. Тесты должны концентрироваться на типе обнаруженных ошибок и охватить достаточное количество в выборке, чтобы:

- Подготовить отчет о:

- неспособности средства контроля выполнять свои управленческие функции;

- неспособности следовать поставленным инструкциям.

- Помочь аудитору в:

- изучении причин высокого уровня ошибок;

- проведении расследования для обнаружения нарушения норм;

- представлении рекомендаций по устранению выявленных недостатков.

171. Целью таких тестов является концентрация на уже известных недостатках системы или совокупностях с предполагаемым высоким уровнем ошибок. Ниже приведены два примера с предлагаемыми ответами.

172. Средство контроля (проверка) не внедрено:

- определите ответственного человека за конкретный вид контроля (проверку);

- для статистического заключения изучите 80 операций методом случайного отбора (если совокупность велика, а если совокупность мала, то уменьшите количество);

- либо отберите операции, о которых известно, что они находятся в зоне риска, (подобно методике выборочного отбора) и тщательно их изучите.

173. Операции, относящиеся к конкретному поставщику:

- определите поставщика;

- для статистического заключения изучите 100 операций методом случайного отбора и оцените результаты;

- либо выберите операции, о которых известно, что они находятся в зоне риска, и тщательно изучите их.

174. Некоторые ключевые факторы, которые необходимо рассмотреть при определении выборки для средств контроля.

175. Репрезентативность - в целом определяет выборку для тестирования на предмет конкретных показателей, которые могут существовать во всей совокупности (используя статистический метод). Внутренние аудиторы должны знать, что используемая выборка, является представительной для всего ряда операций, формирующих совокупность, которую необходимо протестировать; например, все счета-фактуры, оплаченные в течение года.

176. Случайность - необходимо стремиться к тому, чтобы используемая выборка не склонялась в сторону определенного вида операций, а также, чтобы используемая выборка не стала непредставительной. Существует ряд техник, которые могут помочь. Но какую бы технику ни выбрал аудитор, он может работать только в рамках доступных данных, поэтому там, где важные данные отсутствуют, это может ограничить масштаб работы аудитора (особенно его возможности для тестирования) и, таким образом, возможность для выражения мнения по области аудита.

177. Два вышеупомянутых параметра являются примерами статистической выборки. Но существует альтернативный подход - выборка на основе профессионального суждения. Данный подход может быть полезен:

- Если аудитор желает проиллюстрировать недостатки контроля и концентрируется на выделении всех возможных случаев, то есть, он не желает, чтобы результат был случайным.

- Если статистическая выборка потребует слишком много времени, либо расходов.

Практические аспекты выборки.

178. Действительность такова, что статистическая выборка совокупности операций любых размеров требует выборку значительных масштабов, не менее 100 единиц совокупности (даже если минимальный размер статистической выборки составляет 30). Таким образом, вполне вероятно, что внутренний аудитор будет использовать выборки, основанные на профессиональном суждении.

Снижение необъективности в выборке.

179. Для сокращения уровня необъективности в выборке аудитор должен применять следующие принципы в данном подходе:

- необходимо делать выборку из всего проверяемого периода - не стоит выбирать все операции только из одного периода.

- каждая отдельная операция выбирается случайно:

- существует ряд способов в зависимости от того, как организованы процессы. Например, можно выбрать каждую 25-ю операцию, но вместо того, чтобы просто начать с №25, необходимо начинать с любого случайного числа (например, взятого из первых двух чисел номера сомовой банкноты);

- если документы находятся в нескольких сейфах, необходимо убедится, что выборка охватывает их все.

Размер выборки.

180. Определить, какой размер выборки является правильным - не просто. Статистическая выборка требует решения относительно уровня достоверности, а также разумной оценки размера совокупности. В практических целях выборки размером более 100 операций (единиц), скорее всего, окажутся слишком затратными с точки зрения времени; выборки менее 30 операций (единиц) не будут являться представительными. Таким образом, практическое правило заключается в том, что если совокупность операций составляет более 500 операций (единиц), размеры выборки должны быть от 30 до 50 операций (единиц). Если совокупность менее 500 и более 50, выборка должна быть от 30 до 10. Для совокупности операций численностью менее 50 выборка должна включать 10%, либо не более 25%. Так, совокупность 24 может иметь выборку максимальным размером 6 операций (условных единиц), с учетом того, что 10 является минимальным числом и не превышает 25%.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

РАЗДЕЛ II. ПЛАНИРОВАНИЕ И УПРАВЛЕНИЕ

 

Глава 5. Оценка потребностей в аудите и стратегическое планирование

 

181. Основная задача руководителя службы внутреннего аудита, заключается в оценке потребностей в аудите объектов, за которые он несет ответственность. Стандарты требуют, чтобы руководитель службы внутреннего аудита подготовил планы, основанные на концепции риска и охватывающие несколько лет.

182. При рассмотрении организации или организаций, для которых служба внутреннего аудита проводит внутренний аудит, основные вопросы, которые желательно рассмотреть руководителю службы внутреннего аудита, следующие:

- Каковы цели и задачи организации?

- Какие ресурсы получены и потрачены - экономическая классификация расходов, на которые были потрачены ресурсы?

- Какие существуют финансовые и операционные системы?

- Как организована организация, какова ее структура в рамках структуры руководства и территориального месторасположения?

- Какие внутренние документы и регламенты о подотчетности обеспечивают достижение целей в структуре?

- Какие законы и прочие нормативно-правовые акты регулируют деятельность организации?

183. При анализе вышеуказанного очевидно, что концепции, объясненные в Главе 1, особенно полезны при рассмотрении того, что аудитор может ожидать от каждой организации относительно управления и финансовых систем.

184. Для ответа на этот вопрос необходимо собрать соответствующую информацию, структурировать ее, записать ее и оценить.

Оценка планирования аудита и процессов мониторинга

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

  

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Обзор ключевых пунктов

 

Обзор ключевых пунктов

Ответственность руководителя службы внутреннего аудита.

185. Руководитель службы внутреннего аудита ответственен за обеспечение того, чтобы общие потребности организации во внутреннем аудите были удовлетворены. Задачи, связанные с выявлением потребностей в аудите, могут выполняться сотрудниками внутреннего аудита, но общая ответственность за направление и формулирование заключений лежит на руководителе службы внутреннего аудита.

 

 

Таблица 5.1

 

Установление уровня охвата внутреннего аудита

 

 

Оценка потребностей в аудите

186. Чтобы оценить потребности в аудите (ОПА) следует подготовить данные для оценки объема внутренней работы, которые необходимо провести для ежегодного отчета. Потребности в аудите должны определяться без учета таких ограничивающих факторов как фактически имеющееся время и ресурсы. Оценка выполняется по всем аудиторским рискам, с которыми сталкивается организация при достижении своих стратегических целей. На основе потребностей в аудите руководителю необходимо определить уровень потенциальных рисков, которые могут привести к убыткам. ОПА поможет оценить влияние какого-либо решения, которое необходимо сделать относительно охвата или ресурсов аудита.

187. Процесс оценки потребностей включает:

1) Определение всех сфер деятельности в рамках системы и ее компонента. Руководитель службы внутреннего аудита должен предоставить детализацию всех имеющихся систем, даже в том случае, если они не были рекомендованы к рассмотрению в рамках аудиторского плана, таким образом, руководитель будет располагать большей информацией, на базе которой он сможет составить определенные выводы о том, как провести оценку потребностей.

2) Определение способов группировки систем в аудиторских целях.

3) Получение видения высшего руководства относительно определенных сфер деятельности и определенных факторов, рассматриваемых как область повышенного риска.

4) Анализ степени уязвимости каждой сферы деятельности.

5) Определение срока завершения аудита всех систем, включая периодичность аудитов.

6) Составление сметы необходимых ресурсов для достижения установленных потребностей.

188. Область действия служб внутреннего аудита не включает поставщиков товаров и услуг, которые относятся к негосударственному сектору, например, канцелярских товаров и коммунальных услуг. Однако, при этом могут быть затронуты учреждения, получающие полное или частичное финансирование от министерства/бюджетной организации, и которое относится к государственному сектору. Подобные решения относительно области охвата внутренним аудитом требуют четкого определения и решения со стороны высшего руководства. Более того, руководству необходимо согласовать или проинструктировать такие внешние подведомственные министерству организации о том, что внутренние аудиторы имеют полномочия по проведению внутреннего аудита, что включает и доступ к документации, и оказание сотрудничества уполномоченными на это сотрудниками, с предоставлением необходимой информации. Руководитель службы внутреннего аудита должен определить объем работы своего отдела с согласия высшего руководства и определить соответствующие полномочия по проведению работы службы внутреннего аудита в подведомственных организациях своего министерства.

 

§1. Определение всех сфер деятельности в рамках системы и системных компонентов

 

Определение систем

189. Первым этапом в разработке оценки потребностей и стратегического планирования является определение и классификация всех существующих систем, функционирующих внутри организации. В целом, системы делятся на две категории: управленческие и финансовые. Полный перечень и рекомендованная классификация систем дана в приложении 5А.

Необходимая информация при составлении оценки потребностей в аудите.

190. Необходимый подход к данному вопросу в целом состоит из сопоставления информации между структурными подразделениями - министерствами, территориальными подразделениями, которые обладают четкой структурой и ответственным за нее руководителем. Однако, возможно применение подхода тематического планирования путем использования существующей финансовой системы. При утверждении данного подхода важно знать руководителя, на имя которого будут составляться отчеты. Например, при проверке начислений заработной платы и физической численности работников, получателем этого отчета, вероятнее всего, будет прямое руководство, ответственное за работу сотрудников, занимающихся начислением заработной платы, а также руководитель, ответственный за систему расчетов по заработной плате.

191. Кроме того, необходимо собрать информацию по структуре министерства (организационная диаграмма) и территориальному местоположению. Информация должна собираться так, чтобы помочь в составлении общей картины финансовой деятельности министерства, разбитой на компоненты - организационные или тематические, например, платежная ведомость, погашение кредиторской задолженности и так далее, с вероятностью, что финансовая деятельность будет изучена шире, чем выделение ее в одну из областей аудита. Под областью аудита подразумевается разбивка сферы деятельности по системам, которые могут различаться по своему типу, организационные или связанные с расходными либо учетными счетами.

192. Более целесообразно получаемую информацию вносить в сводную таблицу формата Ехсеl или документ Word (с примерами можно ознакомиться в приложениях А и B к данной главе) с последующим периодическим обновлением.

1) Текущие расходы:

- анализ по подразделениям организации;

- анализ в рамках экономической классификации.

2) Текущие доходы:

- анализ по подразделениям организации;

- анализ в рамках экономической классификации.

3) Основные средства:

- анализ по подразделениям организации;

- анализ в рамках экономической классификации.

4) Оборотные средства и материально-производственные запасы:

- анализ по подразделениям организации;

- анализ в рамках экономической классификации.

5) Организационная структура, включая штатное расписание и численность, должны анализироваться по подразделениям организации.

193. При этом необходимо сопоставить планы, цели программы, соответствующие положения и другие документы, которые отражают или предписывают то, какие цели должны достигаться различными административными подразделениями. Данные документы должны быть тщательно изучены для определения ключевых вопросов, касающихся ОПА. В особенности, они могут быть полезными при определении сферы деятельности, которые необходимо проверить в рамках подразделения, а также предоставляют материал по определению целей тематического аудита. Например, если для реализации задач требуется сбор определенной информации, то аудитору необходимо сделать обзор системы для раскрытия тем по данной информации для аудиторского анализа.

 

§2. Определение способов группировки систем в аудиторских целях

 

194. Руководитель службы внутреннего аудита (или аудитор) выстраивает полное представление того, куда поступают доходы, и как понесены расходы, цель (программа) и вид экономической классификации. Цели выполнения задач должны быть четко определены. Аудитору необходимо определить рамки проведения аудита, область охвата, которую он может изложить. Основной упор необходимо делать на финансовую, а не на административную деятельность. Области аудита могут быть:

- организационными - подразделение, деятельность которого, главным образом, вовлечена в разные виды расходов в силу специфики выполняемых функций;

- тематическими, по всей организации, например, предполагаемая проверка заработной платы и окладов, но затрагивающая рамки организационной деятельности;

- тематическими, но ограниченными в рамках одной организации.

Области аудита.

195. Ключевыми признаками, определяющими, что рассматриваемая сфера деятельности действительно является сферой для аудита - это определение того, действительно ли данная сфера деятельности формирует системы, которые подлежат контролю, выполнению законов/положений и административному надзору, для чего предположительно требуется один руководитель, который может улучшить результаты работы либо приведет работу в соответствие с требованиями контроля.

196. Решения о том, как сгруппировать проверяемые области, должны быть сформулированы в краткой информации по области охвата и показателям уровня доходов и расходов, касающихся данной сферы. Эта информация также может быть включена в сводную таблицу формата Ехсеl или Word (с примерами можно ознакомиться в приложениях А и B к данной главе).

197. Примером типовой классификации областей аудита, основанной на финансовых операциях (в сравнении с организационными или административными подразделениями/отделами) являются:

- штатное расписание - утверждение должностей, функциональных обязанностей, квалификации, найма на работу, оплаты труда, специальные должностные надбавки;

- заказ и оплата за товары и услуги путем заказа товаров и услуг у утвержденного поставщика, с использованием тендерной процедуры, при необходимости, получение товаров и услуг, утверждение количества, качества и цены при оплате;

- отчисления на социальное пособие;

- отчисления в другие правительственные органы;

- тендер на проекты капитального вложения;

- сбор доходов;

- инвентаризационные проверки.

198. Другие сферы могут включать:

- Информацию по бюджету и финансовому управлению, которая предполагает точность и полноту бухгалтерской информации, обновляемой и проверяемой на постоянной основе; качество финансовой информации, содержащейся в отчетах;

- контроль по соблюдению контрактов по капиталовложениям;

- управление имуществом;

- система на основе результатов работы;

- автоматизация - включает и обработку данных, и работу системы, с дальнейшим ее развитием.

 

 

 

§3. Опрос мнения высшего руководства относительно определенных сфер деятельности или определенных факторов, предполагающих наличие повышенных рисков

 

199. Ввиду недостаточности необходимых ресурсов для проведения аудитов, с практической точки зрения не рекомендуется ежегодно проводить полный охват каждой области при проведении аудитов. Более того, нет необходимости проводить аудит по каждой системе ежегодно даже с учетом рисков, жесткости контроля и суммы денежных средств, которые могут быть несущественными. Таким образом, для руководителя службы внутреннего аудита необходимо сформировать видение рисков, относящихся к тому, что высшее руководство подразумевает под областью рисков. Данный процесс может быть осуществлен в результате запроса руководителя службы внутреннего аудита высшему руководству по классификации рисков на основе 5-балльной системы классификации, где «1» - область с невысоким уровнем риска либо его отсутствие, а «5» - область повышенного уровня риска. (Риск - это относительное понятие, поэтому крайне не рекомендуется оценивать все как высокие риски). Данная информация помогает составить шкалу рисков, как будет объяснено ниже.

 

§4. Оценка уязвимых сторон каждой области работы

 

200. Для выполнения задач руководство вносит планы, как финансовые, так и по выполнению работы - определяя сотрудников ответственных за реализацию этих планов. Во избежание вероятности/риска того, что планы могут быть не выполнены, руководство вносит ряд средств контроля, известных как системы контроля. Основными характеристиками системы контроля в государственном секторе являются:

- определение рисков (в случае, если запланированные результаты не были достигнуты);

- разработка систем внутреннего контроля и процедур для предотвращения предполагаемого риска;

- формирование процедур проведения внутреннего аудита с той целью, чтобы системы внутреннего контроля предотвращали выявленные риски, и выявляли риски, которые не были охвачены либо неадекватно рассмотрены, посредством существующих систем и процедур.

201. Понятие риска включает следующие элементы:

- злоупотребление, включая финансовый ущерб или потерю человеческих и технических ресурсов, включая внешнюю помощь;

- невыполнение бюджета или других решений согласно установленной политике в надлежащей и эффективной форме;

- мошенничество и ошибки;

- неудовлетворительное ведение бухгалтерского учета;

- неспособность предоставлять своевременную и корректную информацию по управлению финансам и ресурсами.

202. В целях аудиторского планирования желательно использовать концепцию риска как метод определения периодичности проведения работы службой внутреннего аудита по всем областям аудита. Система рисков включает три уровня: высокий, средний и низкий. Двумя способами можно определить то, к какой шкале отнести те или иные риски:

- суждение - складывается в результате имеющегося опыта и обсуждения с аудиторским составом и высшим руководством;

- вычисление риска - складывается путем отнесения к различным аспектам системы различных шкал, путем отражения их относительной важности. Данный процесс может быть относительно простым или относительно сложным/комплексным.

 

Таблица 5.2

 

Ключевые элементы индексов риска

 

203. Относительно упрощенный подход был предложен на основе взаимосвязей между любой сферой аудиторской деятельности.

 

 

§5. Определение периодов проведения аудита всей системы и периодичность такого аудита

 

204. Так как невозможно проводить аудит каждой области аудита каждый год из-за отсутствия необходимого объема ресурсов (ежегодный аудит некоторых сфер деятельности не будет оправдан из-за соотношения стоимости с уровнем уверенности, которую ожидает руководство), аудитору необходимо определить временной цикл осуществления полного аудита. Обычно этот период охватывает от 3 до 5 лет.

205. Стратегический план должен охватывать 3-летний период. На этой основе и с учетом факторов риска из предыдущей части, предлагается следующая частота/периодичность проведения аудита:

 

 

Таблица 5.3

Периодичность проведения аудитов

 

 

206. Для определения периодичности проведения аудита необходимо определить тип аудита, который будет проводиться. В целях планирования используется три типа аудита: финансовый аудит, операционный и управленческий аудит.

Таблица 5.4

 

Типы аудитов и выводы по ним

 

 

207. Обычный цикл финансового аудита определяется фактором риска, который отражается выше в таблице 5.3.

 

 

 

§6. Оценка необходимых ресурсов, соответствующих потребностям

аудита

 

208. Эта задача состоит из двух частей: оценка ресурсов, необходимых для проведения одного определенного аудита; суммирование итогового количества аудитов, проводимых в течение года в составе одного цикла, в котором установлен график периодичности, как пояснялось выше, чтобы получить относительно равномерное распределение дней проведения аудита в году.

- Оценка ресурсов, необходимых для проведения каждого отдельного аудита, зависит от требований к квалификации сотрудников для выполнения конкретного аудита. (При использовании нового подхода данная задача может выглядеть проблематичной, в таком случае наиболее простым практическим подходом является тщательное рассмотрение этапов, включенных в аудит, и определение временных сроков). При проведении частичного аудита допускается выполнение 75% полных аудитов;

- Учет итогов по проведенным аудитам за год в течение одного цикла, установленных согласно графику, удобнее будет вести путем подготовки сводной таблицы, как указано на примере Приложения 5D. Относительно равномерное распределение достигается путем повторного процесса корректировки.

209. Оценка потребностей в аудите (ОПА), составленная без учета фактически имеющихся ресурсов, в форме сводной электронной таблицы, должна сопровождаться пояснениями, подытоживающая:

- общее число и квалификацию сотрудников, предусмотренных согласно ОПА на каждый год 5-летнего плана;

- основные предположения о рисках и уровне охвата, представленных обоснованным образом, например, процент расходов за прошлый год, или процент проверенных подразделений. Кроме того, возможно составить описание, отметив в нем результаты финансового аудита и процент времени (указать дни), выделенного на проведение каждого аудита на 5-летний период;

- расхождения между необходимыми ресурсами ОПА и фактически имеющимися согласно действующему и утвержденному штатному расписанию (включая все должности), указанному в днях с разбивкой по квалификации и по годам на 5-летний период. (Вопрос оценки фактически имеющихся аудиторских дней на базе действующего кадрового состава определяется ниже);

- последствия нехватки ресурсов согласно принятому плану в полном объеме означают, что некоторые плановые аудиты не будут проведены (на основе решения руководителя службы внутреннего аудита об отсрочке или не выполнении);

- любые необходимые требования по обучению сотрудников службы внутреннего аудита, которые могут понадобиться для развития у них необходимых навыков.

210. Согласно этому документу министру/руководителю объекта необходимо будет согласовать с руководителем службы внутреннего аудита, что должно быть сделано для приведения в соответствие необходимых и имеющихся ресурсов. Возможные меры:

- увеличение ресурсов;

- изменение состава аудиторов в зависимости от уровня, с целью увеличения количества сотрудников с более высокой квалификацией, и сокращения количества сотрудников с низкой квалификацией, если не было достигнуто соответствия между надлежащей и фактически имеющейся кадровой структурой (этот подход требует более долгосрочного решения);

- сделать акцент на проведение определенного типа аудита, к примеру, финансового, а не аудита результатов деятельности;

- решение о принятии отдельных административных мер для улучшения средства контроля в этой области. Например, если были выявлены проблемы в определенной области, тогда необходимо рекомендовать руководству составить план устранения недостатков;

- решение принять риск и выполнить аудит с ограниченным охватом или отказаться от проведения аудита.

211. Не существует определенных правил принятия решения, кроме учета того, что главным фактором планирования является риск. По результатам обсуждений (которые могут быть повторными для устранения разногласий во мнениях и нахождения возможных путей решения, для составления плана) возникает потребность в подготовке стратегического плана.

Подготовка стратегического плана.

212. Трехлетний стратегический план представляет собой результат обсуждений и должен быть реальным и достижимым. Формат плана отражен в приложениях 5F и 5G. План должен включать:

- План укомплектования кадров по дням, квалификации, типам аудита, а также с определением сроков занятости сотрудников по видам деятельности, например, на обучение, административные вопросы и так далее.

- График аудитов по типам административных подразделений, указанный в днях.

План укомплектования кадров согласно доступным ресурсам.

213. План фактически имеющихся ресурсов строится путем определения времени, предназначенного для каждого сотрудника согласно следующей модели (главным образом по квалификации). Разработка плана основана на подсчете дней в году, за исключением выходных и праздничных дней. Согласно законодательству, в Кыргызской Республики 10 официальных праздников. ((52 x 5) - 10) = 250

 

 

 

Приложение 5А

 

Финансовая и управленческая системы

(*) NB Вопросы управления активами, материальными запасами, транспортом и основным капиталом могут быть отнесены к ведомственному аудиту.

 

 

 

Приложение 5В

 

Информация об организации и классификации областей аудита

 

 

 

Приложение 5С

 

Анализ областей аудита, типы аудита, риски,

периодичность проведения аудита и вклад персонала

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Приложение 5D

 

Оценка необходимости аудита – 20хx – 20уy гг.

 

 

 

Приложение 5Е

 

Оценка необходимости аудита – 20хx – 20уy гг.

 

 

 

Таблица 5.5

 

Временной график для младших аудиторов

 

 

214. Данный график требует внесения поправок для отражения различных функциональных обязанностей по штатной структуре в зависимости от квалификации. Более квалифицированный сотрудник, будет больше расходовать времени на управленческие и административные вопросы (подготовка отчетов по стратегическому годовому плану и отчетов по мониторингу).

 

Таблица 5.6

 

Определение понятий по классификации времени

 

 

График аудитов, по типу проводимых в административных подразделениях, в днях.

215. Окончательная стадия составления стратегического плана заключается в подготовке графика аудитов, отражающая:

- аудит по типу и названию;

- распределение по годам согласно 3-летнему плану (некоторые могут проводиться ежегодно или более одного раза в цикл);

- другие прямые временные затраты (специальные расследования, консультации и предоставление информации);

- косвенное время по категориям: управление и администрирование, обучение, отпускные и больничные.

216. Подготовка сводного анализа отражена в приложении 5F.

217. Стратегический план также должен отражать другие цели деятельности службы внутреннего аудита, включающей такие вопросы как обучение и развитие технической базы (например, внедрение программного обеспечения по учету времени, результатов деятельности).

 

Приложение 5F

 

Годовой план 20хх – Стратегический план

 

 

 

Приложение 5G

 

Резюме стратегического плана – 20хх – 20хх

(Удалить аудиты без ресурсов из АКБ)

Резюме оценки

 

 

Таблица 5.7

 

Содержание стратегического плана

 

 

Глава 6. Годовое планирование

 

218. Годовой план (операционный план) должен быть составлен на один год (заканчиваясь 31 декабря) и разработан на основе стратегического плана и ежегодной оценки риска руководителем службы внутреннего аудита. В нем отражаются аудиты, подлежащие проведению в течение года с указанием: типа аудита, области охвата каждого отдельного аудита. Также включается состав сотрудников для проведения каждого аудита и квартал, в котором планируется начать аудит.

219. Проект плана должен быть составлен руководителем службы внутреннего аудита для утверждения вышестоящим руководителем министерства, ответственным за работу внутреннего аудита к 30 ноября текущего года. Любые последующие дополнения подлежат утверждению руководителем объекта аудита.

220. Содержание годового плана берется из стратегического плана. Кроме того, требуется небольшой объем дополнительной работы, помимо распределенной поквартально работы и нагрузки сотрудников по конкретным аудитам. Актуальным является вопрос определения количества дней, необходимых для завершения аудитов, начатых в предыдущем году, а также включения отдельным разделом «Начатые аудиты - время для завершения».

 

Сводный анализ

 

 

Анализ аудита - начатые и незавершенные в течение года.

221. Хотя в плане указывается квартал, в котором следует начать аудит, а также время, необходимое для его проведения, вероятно, на конец года будет некоторое количество начатых и незавершенных в текущем периоде аудитов. В связи с этим, в план следует включить оценку приблизительного количества аудитов и дней, необходимых для их завершения. При этом, не следует делать допущения на начатые или перенесенные с прошлых периодов аудитов, так как количество дней и аудитов, скорее всего, будет одинаковым каждый год. Необходимо объяснить принятый подход, а также учесть влияние начатой и незавершенной (перенесенной) работы на общее выполнение, при проведении квартального и годового мониторинга.

 

 

Подробный график.

222. Данные годовых аудитов устанавливаются в планах (графиках), которые должны включать детали по конкретным аудитам, указывая участвующих сотрудников и квартал, на который они запланированы. Формат подробного графика представлен в таблице формата Ехсеl Приложения 6А.

223. Формат резюме представлен в таблице формата Ехсеl Приложения 6В.

График аудитов и распределение времени по периодам.

224. Разумеется, невозможно начать и завершить все аудиты течение одного квартала, так как некоторые аудиты будут еще продолжаться в конце квартала либо до конца года. Однако, с целью контроля и оценки продвижения выполнения работы, необходимо наличие плана, определяющего время начала аудитов. Количество текущих аудитов (включая, не начатые, но запланированные на этот период) и дни на их выполнение требуют анализа и представления комментариев в поквартальных и годовых отчетах. Они также должны учитываться при составлении плана и графика аудитов на следующий год. Процесс мониторинга описан в Главе 8 «Квартальный и годовой мониторинг».

225. Также есть вероятность неравномерного распределения времени в течение года. Например, возможно, что в 4 квартале будет предусмотрено больше времени на планирование и администрирование в связи с подготовкой ОПА, стратегического и годового планов. Решение данного вопроса, находится в компетенции руководителя службы внутреннего аудита.

Индивидуальный график времени работы сотрудников.

226. Каждый сотрудник должен иметь индивидуальный график по использованию своего времени в соответствии с инструкциями, приведенными в Главе 5.

227. Сотрудники должны быть проинструктированы относительно того, как следует использовать время и каким образом должен вестись индивидуальный учет использованного времени, как часть процесса мониторинга (см. главу 8).

Комментарии к графикам времени.

228. Проект годового плана в дополнение к подробным графикам, упомянутым выше, должен включать следующее:

- описание стратегии аудита относительно оценки систем, которые охватываются ежегодно (при наличии таковых), а также подход к периодическим аудитам;

- описание процедур запроса на проведение аудитов в течение года, включающих консультирование по вопросам проводимого аудита (см. Главу 5), например отдельный аудит, в составе другого запланированного аудита, либо не включенный в силу каких-либо причин.

- информация о том, насколько эффективно и как используется время на повышение квалификации.

- пояснения по распределению времени каждой категории сотрудников.

- Сведения о невозможности проведения какой-либо формы аудита по причине нехватки ресурсов (например, отсутствие необходимого количества сотрудников, утвержденного штатным расписанием), а также как принимаются решения относительно выбора тех аудиторских проверок, которые не будут осуществляться.

229. Цель комментариев заключается в том, чтобы помочь ответственному лицу в объекте внутреннего аудита оценить план на соответствие требованиям. График, не дает достаточного пояснения причин, по которым составлен план.

 

Приложение 6А

 

Годовой план 20zz - Квартальный анализ

 

 

 

Приложение 6В

 

Резюме годового плана 20zz - Ежеквартальный анализ

 

 

 

 

 

 

Утверждение плана.

230. Лицо, ответственное за функционирование внутреннего аудита в объекте внутреннего аудита, должно официально утвердить план. Данное утверждение должно быть получено до 1 января планируемого года.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 7. Рабочие аудиторские документы и папки

 

Цель рабочих аудиторских документов.

231. Основными целями рабочих документов являются обеспечение:

- документирования доказательств, полученных в процессе аудита;

- документирования полученных данных и выводов аудиторской группы;

- информационной базы, доступной для использования аудиторскими группами.

232. Аудитор должен готовить и вести рабочие аудиторские документы, форма и содержание которых должны быть разработаны в соответствии с настоящим руководством и внутренними положениями или инструкциями. Информация в рабочих документах - это доказательства, полученные для подтверждения выводов аудитора и объема работы, проделанной аудиторской группой. Рабочие документы должны содержать информацию по следующим аспектам процесса аудита:

- принятые процедуры по планированию;

- понимание систем бухгалтерского учета и управления, и проведение оценки внутреннего контроля в этих системах;

- запись фактического выполнения процедур по проведению аудита, краткое изложение всех выявленных существенных вопросов и сделанных выводов;

- запись о выполнении руководителями процедуры проверки;

- краткое изложение основных рекомендаций, разработанных для руководства аудируемой организации;

- копию аудиторского заключения; и

- план последующих действий.

Ни одно утверждение не должно быть включено ни в один отчет по аудиту, если оно не подтверждено конкретными данными, содержащимися в рабочих документах.

Структура аудиторских папок.

233. Аудитор разделяет информацию, которая должна содержаться в папке, по разным типам, например, информация, постоянной актуальности, то есть, используемая из года в год; и информация, связанная с текущим аудитом. Их называют постоянными и рабочими папками, соответственно.

Постоянная аудиторская папка.

234. Постоянная аудиторская папка содержит необходимую соответствующую информацию за предыдущие периоды, в которой содержатся данные об аудируемом объекте и все вопросы длительного характера, которые будут уместны при последующих аудитах этой организации. Таким образом, данная папка должна содержать всю информацию относительно сферы работы организации, ее деятельности, ее общих систем управления, систем внутреннего контроля и бухгалтерского учета, руководств и организационных структур, правил и процедур и так далее. Эти документы и записи должны храниться в логическом порядке (рекомендуется создать разделы в папке), а их обновление должно происходить по мере необходимости при каждом аудите.

235. Необходимо производить периодический обзор каждого раздела постоянной аудиторской папки, и если будет получена дополнительная или измененная информация в процессе аудита, то старая информация должна быть заменена. Устаревшая информация будет храниться в специальном разделе постоянной папки в течение 2-3 лет, после чего она будет удалена с одобрения руководителя службы внутреннего аудита.

236. Постоянная папка, в основном, содержит:

- информацию об оценке потребностей: описание организации, организационной структуры, список руководства с описанием должностей, краткое описание их должностных обязанностей и образцы подписей;

- записи по системам, вопросники по системе внутреннего контроля, схемы последовательности процессов (если имеются), детали тестов на соответствие (если проводились), и результаты оценок контроля (например, недостатки или сбои во внутреннем контроле);

- информация об управленческой и финансовой политике;

- указания со стороны министерств, записи внутренних правил и процедур, важные управленческие отчеты и так далее;

- копии важных контрактов и соглашении.

 

Содержание постоянных аудиторских папок