Сегодня для большинства крупных международных компаний актуальной задачей является обеспечение соответствия требованиям внешнего законодательства разных стран с помощью системы внутреннего контроля. Наиболее жесткими считаются требования, которые вступили в силу в марте 2005 г. в США с принятием закона Сарбейнса-Оксли.
Данным законом руководству компаний была вменена обязанность подтверждать правильность финансовой отчетности лично, а также свою ответственность за эффективность системы внутреннего контроля и в первую очередь при подготовке финансовой отчетности. Помимо этого для соответствия закону необходимо получить заключение внешнего аудитора об эффективности системы внутреннего контроля компании.
Законодательство подобного рода существует во многих странах, например в Великобритании, Канаде и др. В России также предпринимаются меры в данном направлении. Примером является постановление Федеральной службы по финансовым рынкам от 15.12.04 г. N 04-1245/пз-н «Об утверждении Положения о деятельности по организации торговли на рынке ценных бумаг», предусматривающее наличие в компаниях-эмитентах положения о внутреннем контроле, утвержденного советом директоров. Кроме того, в компании необходимо создать отдельное подразделение, которое должно контролировать выполнение этого положения и докладывать о результатах комитету по аудиту.
В настоящее время сообщества аудиторов, менеджеров, бухгалтеров и ИТ-специалистов активно работают над совершенствованием систем внутреннего контроля. В результате этой работы были созданы следующие документы:
стандарт «Цели контроля при использовании информационных технологий» (COBIT) — (the Information Systems Audit and Control Foundation»s Control Objectives for Information and related Technology) — обеспечивает решение вопросов о соответствии применяемых информационных технологий существующим бизнес-процессам и является основой для создания общих правил надежности и механизма контроля за эффективностью использования информационных систем. COBIT позволяет применять лучшую практику в области управления ИТ, определить «зрелость» ИТ-процессов и адекватный уровень надежности и контроля при использовании информационных технологий. Аудиторам в области ИТ он помогает сформировать мнение об эффективности внутреннего контроля;
документ «Внутренний контроль: интегрированный подход» (COSO) — (the Committee of Sponsoring Organizations of the Treadway Commission»s Internal control — Integrated Framework) — содержит основные принципы организации системы внутреннего контроля в компании и является верхнеуровневым руководством для ее создания и совершенствования;
документ «Контроль и аудит систем» (SAC) — (the Institute of Internal Auditors Research Foundation»s Systems Auditability and Control) — предлагает поддержку внутренним аудиторам в вопросах контроля и аудита информационных систем. В документе дается определение системы внутреннего контроля и описывается ее состав, а также приводятся классификации средств контроля, его цели и риски;
Указание о рассмотрении структуры внутреннего контроля при аудите финансовой отчетности (SAS 55, 78) — (the American Institute of Certified Public Accountants» Consideration of the Internal Control Structure in a Financial Statement Audit) — является руководством для внешних аудиторов в части анализа эффективности системы внутреннего контроля, необходимой для обеспечения корректности финансовой отчетности.
Перечисленные документы включают общие концепции внутреннего контроля, при этом более поздние документы построены на принципах, разработанных в более ранних. В связи с этим они применяются разными группами сотрудников и внешних специалистов. Так, COBIT ориентирован на руководство, ИТ-специалистов и аудиторов в области ИТ, COSO — на топ-менеджмент компании, SAC — на внутренних аудиторов, а SAS 55 и 78 — на внешних аудиторов.
Если говорить о практике использования данных документов, то в большинстве случаев они содержат лишь основные принципы системы внутреннего контроля, что требует уточнений для каждого предприятия и привлечения специалистов с опытом работы в этой области. Однако необходимо отметить, что в основе системы внутреннего контроля заложена система управления операционными рисками. Это методологически упрощает работу по ее созданию и совершенствованию.
На основании требований к системе внутреннего контроля можно определить основные принципы ее построения:
Для определения основных точек контроля внутри компании используется методология управления процессами и рисками. Главный этап — анализ бизнес-процессов и выявление операционных рисков на основании описания процессов и взаимодействия с экспертами.
В любой деятельности присутствуют риски, и задачей сотрудников является управление этими рисками, однако не все могут и хотят этим заниматься. Цель внутреннего контроля при построении системы управления рисками — это внедрение в текущие процессы контрольных процедур, что позволяют минимизировать вероятность наступления риска либо его последствия, т. е. фактически система внутреннего контроля «заставляет» сотрудников управлять рисками. Для обеспечения возможности проверки эффективности существующих и создаваемых контрольных процедур в процессах предусматривается формирование документального подтверждения выполнения всех требований контрольной процедуры. В дальнейшем с помощью тестирования проверяется эффективность выполнения контроля через анализ существующих подтверждений правильности выполнения контрольной процедуры.
Что касается построения системы внутреннего контроля над формированием финансовой отчетности (SOX), то этому процессу можно дать следующее определение — процесс, инициируемый советом директоров, руководством и иными сотрудниками, направленный на получение достаточной степени уверенности относительно достоверности финансовой отчетности в соответствии с общепринятыми принципами ее формирования для внешних пользователей, включая политики и процедуры в следующих областях:
Исходя из данного определения можно сделать вывод, что для создания системы внутреннего контроля в целом для компании необходимо построить процесс, направленный на формирование норм, процедур, приемов и организационных структур, разработанных для обеспечения разумной гарантии того, что бизнес-цели будут достигнуты, а нежелательные события — предотвращены или обнаружены и исправлены (COBIT).
На рисунке представлены основные этапы проекта по внедрению системы внутреннего контроля, направленной на обеспечение достоверности финансовой отчетности.
(Рисунок)
В общем случае внедрение системы внутреннего контроля в компании включает следующие этапы:
Необходимо определить перечень внешних нормативных актов, которым нужно соответствовать, а также требования регулирующих законов, которые должны быть выполнены в данном случае. Далее следует установить критичные области в информационном окружении, бизнес-процессах и инфраструктуре.
Часто для российских представительств западных компаний требования внутреннего контроля «спускаются сверху», где они формируются централизованно на уровне корпорации, что не всегда соответствует реальным бизнес-процессам компании и реалиям российской действительности. В связи с этим задачей данного этапа является определение того, что именно из «спущенного сверху» имеет отношение к реально существующим процессам.
Формализация процессов
Проводится описание существующих процессов компании, критичных с точки зрения системы внутреннего контроля, что дает основу для идентификации рисков. Для решения данной задачи целесообразно двигаться «сверху-вниз», формализуя деятельность с верхнего уровня до уровня рабочих мест, описывая поток работ между исполнителями, а также входящую и исходящую информацию. Такой уровень детализации требуется для дальнейшего анализа рисков в процессах и формирования контрольных процедур. На данном этапе можно использовать инструментальные системы для описания бизнес-процессов: ARIS или, в более простых случаях, VISIO.
Следует определить, насколько существующие процессы в компании рискованны с точки зрения невыполнения требований регулирующих законов. Так, для удовлетворения требований SOX необходимо принимать во внимание все риски, способные привести к умышленному или случайному искажению финансовых данных и соответственно финансовой отчетности, а также к мошенничеству. Если сравнивать общее число критичных рисков и рисков, влияющих на финансовую отчетность, то можно сделать вывод, что риски в области финансовой отчетности составляют, как минимум, четверть от всех операционных рисков компании. Число рисков может превышать тысячу, что обусловливает объем проекта по построению системы внутреннего контроля.
Идентификация рисков проводится на основании анализа детального описания процессов. По его результатам формируется список рисков, привязанных к процессам и функциям, где они были обнаружены. Процедура формирования этого списка на основании только опроса экспертов и без анализа процессов, как правило, не позволяет достичь его полноты. Это приводит к тому, что при внешнем аудите обнаруживается множество неучтенных рисков, и система внутреннего контроля признается неэффективной.
Определяется эффективная стратегия минимизации и предотвращения рисков, при этом оценка рисков позволяет ранжировать их по степени критичности и исключить не опасные для компании риски. Управление всеми рисками экономически невыгодно для компании, поскольку для части рисков проще согласиться с убытками, чем создавать и внедрять контрольную процедуру. В данном случае чаще всего применяется метод качественных оценок, позволяющий ранжировать риски по критериям «вероятность» и «убытки» на основании экспертного мнения. Он используется для составления перечня (с использованием рейтинговых оценок) всех идентифицированных операционных рисков, которые актуальны для системы внутреннего контроля.
В дальнейшем уточнение качественных оценок операционных рисков проводится уже в рамках их количественной (стоимостной) оценки, требующей больших временных затрат. Поэтому ключевой задачей качественной оценки помимо определения значимости рисков является «отсечение» тех рисков, которые с высокой степенью вероятности не оправдают дальнейших затрат на их минимизацию или не влияют на критичную информацию. Метод количественных оценок, основанный на расчете ущерба и вероятности риска, в данном случае сложен в применении.
Разработка контрольных процедур
Деятельность по оптимизации процессов всегда присутствует (скрыто или явно) в любой компании. Но обычно она вызвана внутренними побуждениями: стремлением повысить эффективность работы, снизить трудозатраты, контролировать деятельность. Появление внешних требований, обязательных для выполнения, является с этой точки зрения мощным дополнительным импульсом для развития или расширения данного направления деятельности в компании.
Существуют четыре стратегии управления операционными рисками:
Таким образом, в рассматриваемом случае применимы две последние стратегии, и на их достижение направлены такие виды деятельности, как оптимизация процессов, внедрение контрольных процедур и тестирование.
Наиболее простой способ — оценка рисков с помощью метода качественных оценок и их дальнейшая минимизация.
Целью и критерием успешного совершенствования процессов в части организации системы внутреннего контроля является минимизация обнаруженных операционных рисков путем создания и внедрения в процессы контрольных процедур.
Наиболее результативными считаются превентивные контрольные процедуры, которые позволяют минимизировать саму вероятность наступления рискового события, однако для повышения надежности процесса их часто применяют одновременно с проверочными процедурами. Например, наряду с процедурой удаления карточки-пропуска при увольнении сотрудника должна существовать контрольная процедура сверки списка сотрудников, обладающих карточкой-пропуском, со списком уволенных за определенный период.
Риск можно определить через понятие контрольного действия: недостаток системы контроля существует тогда, когда дизайн или выполнение контроля не позволяют руководству или сотрудникам компании предотвратить или своевременно обнаружить искажение финансовой отчетности в рамках реализации своих повседневных обязанностей.
В зависимости от обнаруженного недостатка необходимо воздействовать либо на процесс, либо на сотрудника, его выполняющего, поэтому для обеспечения оценки эффективности контрольных процедур должны создаваться документальные подтверждения работоспособности каждой контрольной процедуры — так называемые свидетельства контроля.
Чтобы быть уверенным в том, что система внутреннего контроля эффективна, необходимо с определенной периодичностью проверять, насколько хорошо выполняются существующие контрольные процедуры.
Данная проверка осуществляется с помощью набора тестов, которые состоят из нескольких последовательных шагов:
устанавливается наличие основного документа (политики, регламента), где определяются порядок и правила выполнения данного процесса;
проверяется выполнение на практике требований, описанных в основном документе, и документируются конкретные примеры выполнения.
По результатам теста принимается решение об эффективности или неэффективности данной контрольной процедуры. Число тестов зависит от числа процессов, проходящих через проверяемую контрольную процедуру. Периодичность проведения тестирования устанавливается в зависимости от критичности процесса и может варьировать.
Дополнительной сложностью в организации процесса тестирования может быть требование, чтобы тестирование проводилось сотрудниками, не участвующими в проверяемых процессах. Тысяча тестов, которые необходимо выполнить в течение месяца, — это нормальная ситуация для системы внутреннего контроля крупной компании. Понятно, что всем этим многообразием нужно управлять и документировать эту работу. Для данной задачи может быть использован продукт ARIS Audit Manager, который позволяет автоматизировать процедуры тестирования и создания отчетности для внешних аудиторов.
В существующих условиях количество трансакций в деятельности компании достигает сотен тысяч в секунду, а число рисков превышает тысячу, при этом достаточно сложно обеспечить эффективность выполнения контрольных процедур «на ручном уровне», поэтому единственным эффективным путем является автоматизация как процессов, так и контрольных процедур.
В настоящее время существует достаточное количество программных продуктов импортного производства (ERP, DMS и т. д.), обеспечивающих решение этой задачи в части внедрения контрольных процедур в функционал информационных систем. Однако, даже внедрив решение определенного поставщика, можно не получить эффективную систему внутреннего контроля, поскольку для большинства контрольных процедур все еще будут требоваться ручное исполнение и фиксация, что оставляет большой потенциал для совершенствования разработчиками своих ИТ-решений в данной области.
В заключение хочется отметить, что внутренний контроль должен быть регулярным процессом. Как всякий процесс, он требует правильного планирования, выполнения, проведения и совершенствования.
А. КОПТЕЛОВ , директор департамента ИТ консалтинга компании «IDS Scheer Россия и страны СНГ»
Внутренний контроль имеет широкое определение как процесс, осуществляемый органом управления организации или другими сотрудниками, с целью получить информацию относительно выполнения следующих задач:
Эффективность и рациональность деятельности.
Достоверность финансовой отчетности.
Соблюдение законов и нормативных актов.При этом аудитор должен принять во внимание два аспекта: какие именно методы и процедуры предусмотрены на предприятии и применяются ли они на практике.
Система внутреннего контроля включает следующие элементы:
1. контрольная среда;
2. процесс оценки рисков аудируемым лицом;
3. информационная система, в том числе связанная с подготовкой финансовой (бухгалтерской) отчетности;
4. контрольные действия;
5. мониторинг средств контроля.
1.Контрольная среда включает следующие элементы:
а) доведение до всеобщего сведения и поддержание принципа честности и других этических ценностей.
б) профессионализм (компетентность сотрудников).
Профессионализм - это профессиональные знания и навыки, необходимые для выполнения задач, которые определяют суть деятельности конкретного работника.
в) участие собственника или его представителей.
Представители собственника в значительной степени оказывают влияние на сознательность сотрудников аудируемого лица в отношении контроля. Характерными особенностями, которые должны быть присущи представителям собственника, являются: независимость от руководства; их опыт и статус; масштабы их вовлечения в деятельность и надзор за ней; уместность (надлежащий характер) их действий; особенности информации, которую они получают.
г) компетентность и стиль работы руководства.
д) организационная структура.
Аудируемое лицо разрабатывает организационную структуру, соответствующую его потребностям. Надлежащий характер организационной структуры аудируемого лица зависит в том числе от характера и масштабов его деятельности;
е) наделение ответственностью и полномочиями.
Этот элемент предполагает разделение ответственности и полномочий в ходе осуществления деятельности и установление иерархии подотчетности сотрудников, а также охватывает политику в отношении надлежащей деловой практики, знаний и опыта ключевого персонала и предоставляемые для выполнения обязанностей возможности.
ж) кадровая политика и практика.
Кадровая политика и практика в отношении сотрудников подразумевают: набор; адаптацию (инструктаж при приеме на работу); подготовку; обучение; оценку; консультирование; продвижение по службе; вознаграждение сотрудников.
2. Оценка рисков аудируемым лицом представляет собой процесс выявления и, по возможности, устранения рисков хозяйственной деятельности, а также их возможных последствий. Для целей финансовой (бухгалтерской) отчетности важен вопрос, каким образом в процессе оценки рисков аудируемым лицом руководство выявляет риски, имеющие отношение к финансовой (бухгалтерской) отчетности, определяет их значение, оценивает вероятность их возникновения и принимает решение относительно того, как управлять ими.
3. Функционирование информационных систем, связанных с подготовкой финансовой (бухгалтерской) отчетности, обеспечивается: а) техническими средствами; б) программным обеспечением; в) персоналом; г) соответствующими процедурами; д) базами данных.
Большинство информационных систем активно использует компьютерные средства и информационные технологии.
Составной частью информационных систем является система информирования персонала, которая обеспечивает понимание сотрудниками обязанностей и ответственности, связанных с организацией и применением системы внутреннего контроля в отношении финансовой (бухгалтерской) отчетности.
Система информирования обеспечивает понимание персоналом роли своего участия в процессе подготовки финансовой (бухгалтерской) отчетности, того, каким образом его действия в информационной системе связаны с работой других сотрудников, а также понимание способов доведения до руководителей соответствующего уровня информации о каких-либо исключительных ситуациях.
4. Контрольные действия включают политику и процедуры, которые помогают удостовериться, что распоряжения руководства выполняются, например, что необходимые меры предприняты в отношении рисков, которые могут препятствовать достижению целей аудируемого лица. Контрольные действия, осуществляемые вручную или с применением информационных систем, имеют различные цели и применяются на различных организационных и функциональных уровнях.
Обычно контрольные действия, которые могут иметь отношение к целям аудита, могут быть сгруппированы по следующим категориям методов и процедур:
а) проверка выполнения.
б) обработка информации.
в) проверка наличия и состояния объектов.
г) разделение обязанностей.
Наделение разных сотрудников полномочиями санкционирования операций (выдачи разрешения на совершение операции), регистрации операций в учете и хранения активов имеет целью уменьшить возможность совершения и утаивания ошибки или недобросовестных действий в процессе обычного выполнения персоналом своих обязанностей.
5. Мониторинг средств контроля
Важной обязанностью руководства является создание и поддержание системы внутреннего контроля в режиме непрерывной работы. Мониторинг средств контроля включает наблюдение за тем, функционируют ли они и были ли они изменены надлежащим образом в случае необходимости, и может включать такие мероприятия, как наблюдение руководства за тем, своевременно ли подготавливаются выверки расчетов с банками, оценка внутренними аудиторами соответствия действий персонала, занимающегося продажами, политике аудируемого лица в отношении определенных условий договоров с покупателями, осуществление надзора за соответствием действий персонала политике аудируемого лица в области этики или деловой практики.
Разделение системы внутреннего контроля на 5 элементов предоставляет аудиторам удобный подход для анализа того, каким образом различные элементы системы внутреннего контроля аудируемого лица могут влиять на аудит. Такой подход необязательно отражает то, каким образом аудируемое лицо организовало и применяет систему внутреннего контроля. Аудитору важно установить, что конкретные средства контроля эффективно предотвращают или выявляют и устраняют существенные искажения на уровне предпосылок подготовки финансовой (бухгалтерской) отчетности в группах однотипных операций, остатках по счетам бухгалтерского учета или случаях раскрытия информации.
Множество компаний во всем мире страдает от неэффективного использования разного рода ресурсов - людских, финансовых, материальных, от недостатка необходимой для принятия правильных решений информации, непреднамеренного и преднамеренного искажения отчетности, прямого мошенничества со стороны персонала и управляющих. Подобных проблем можно избежать путем создания внутри самих компаний эффективной системы внутреннего контроля. Какова же роль и значимость внутреннего контроля?
Любая деятельность в организации происходит в рамках двух систем. Одна - это операционная (организационная) система, построенная для достижения заданных целей. Другая система - это система контроля, пронизывающая операционную систему. Она состоит, в общем виде, из политики, процедур, правил, инструкций, бюджетов, системы учета и отчетности. Эта система направлена, в конечном итоге, на создание необходимых предпосылок и повышение вероятности того, что компания в целом и менеджеры в частности достигнут поставленных целей.
Внутренний контроль есть процесс, направленный на достижение целей компании, и являющийся результатом действий руководства по планированию, организации, мониторингу деятельности компании в целом и ее отдельных подразделений. Менеджеры компании должны, во-первых, поставить цели и определить задачи компании и отдельных подразделений и построить соответствующую этому структуру организации. И, во-вторых, обеспечить функционирование эффективной системы документирования и отчетности, разделения полномочий, авторизации, мониторинга для достижения поставленных целей и решения стоящих задач.
Внутренний контроль - это контроль изнутри компании, в противоположность внешним видам контроля, таким как законодательное регулирование, контроль со стороны внешних контролирующих организаций и т.п. в данном контексте понятие внутреннего контроля синонимично понятиям управленческого контроля, операционного контроля.
Необходимо также отметить такую важную деталь, что внутренний контроль полезен только в том случае, если направлен на достижение конкретных целей и, прежде чем оценивать результаты контроля, необходимо определить эти цели.
внутренний контроль акт
Система внутреннего контроля организуется руководством предприятия. Это первое и основное отличие внутреннего контроля от прочих видов контроля.
Независимый аудит проводится независимым аудитором, формы, и виды контрольных действий также определяются аудитором (п.9 Временных правил аудиторской деятельности в Российской Федерации и п. Закона “Об аудиторской деятельности”). Ревизия проводится штатным ревизором какого-либо ведомства, формы, и виды контрольных действий также определяются этим ведомством.
Внутренний контроль - это система мер, организованных руководством предприятия и осуществляемых на предприятии с целью наиболее эффективного выполнения всеми работниками своих обязанностей при совершении хозяйственных операций. Внутренний контроль определяет законность этих операций и их экономическую целесообразность для предприятия.
Целями организации системы внутреннего контроля на предприятии являются:
1) осуществление упорядоченной и эффективной деятельности предприятия;
2) обеспечение соблюдения политики руководства каждым работником предприятия;
3) обеспечение сохранности имущества предприятия.
Для достижения вышеперечисленных целей необходимым условием является согласованность системы бухгалтерского учета (более широко - Учета) и системы внутреннего контроля, так как система двойной записи, лежащая в основе любой системы бухгалтерского учета (в том числе автоматизированных систем бухгалтерского учета), определяет порядок регистрации хозяйственных операций и обеспечивает надлежащий контроль.
Для достижения целей организации системы внутреннего контроля необходимо решение отдельных задач. Руководство предприятия обязано обеспечить организацию и поддержание на должном уровне такой системы внутреннею контроля, которая являлась бы достаточной для того, чтобы:
* в бухгалтерскую (финансовую) отчетность было включено все, что должно быть в нее включено, и не включено ничего из того, что не должно быть в нее включено, а то, что включено в отчетность, было бы правильно определено, классифицировано, оценено и зарегистрировано;
* бухгалтерская (финансовая) отчетность давала верное и объективное представление о предприятии в целом;
* компьютерные программы, контролирующие функционирование учетной системы, включающие формирование первичных документов, их анализ и разноску по счетам, не могли быть сфальсифицированы;
* средства предприятия не могли быть незаконно присвоены или неэффективно использованы;
* все отклонения от планов своевременно выявлялись, анализировались, а виновные несли ответственность;
* внутренняя отчетность оперативно передавалась лицам, уполномоченным принимать управленческие решения, для ее оптимального использования. Из перечисленных выше задач руководства предприятия по организации внутреннего контроля видна неразрывная связь системы внутреннего контроля с двумя видами бухгалтерского учета; бухгалтерским финансовым и бухгалтерским управленческим учетом.
Первые три задачи обеспечиваются связью системы внутреннего контроля с системой бухгалтерского финансового учета, а три последние с системой бухгалтерского управленческого учета.
Именно поэтому в дальнейшем мы будем различать две системы:
* систему внутреннего финансового контроля;
* систему внутреннего управленческого контроля.
Как видно из содержания поставленных задач, создание системы внутреннего контроля - это достаточно сложный процесс, а сама система внутреннего контроля - это очень сложный и тонкий организм, неотъемлемыми частями которого являются абсолютно все подразделения предприятия, все сферы его деятельности и деятельность каждого работника-предприятия. Система внутреннего контроля - это своеобразная организация внутри организации (предприятия).
Степень сложности внутреннего контроля должна соответствовать организационной структуре предприятия, численности персонала, разветвленности сети филиалов и подразделений, степени централизации бухгалтерского учета и другим характеристикам предприятия в целом.
Объектами внутреннего контроля являются циклы деятельности организации - циклы снабжения, производства и реализации. Важнейшей функцией внутреннего контроля является обеспечение соблюдения работниками предприятия своих должностных обязанностей,
Методы, используемые при осуществлении внутреннего контроля, весьма разнообразны и включают элементы таких методов, как:
* бухгалтерский финансовый учет (счета и двойная запись, инвентаризация
и документация, балансовое обобщение);
* бухгалтерский управленческий учет (выделение центров ответственности,
нормирование издержек);
* ревизия, контроль, аудит (проверка документов, проверка арифметических расчетов, проверка соблюдения правил учета отдельных хозяйственных операций, инвентаризация, устный опрос персонала, подтверждение и прослеживание);
* теория управления.
Все вышеперечисленные методы интегрируются в единую систему и используются в целях управления предприятием.
В современных условиях в жизнь предприятий постепенно входит новое понятие, называемое “эккаунтингом" (accounting). Это чрезвычайно емкое экономическое понятие, в основе которого лежит счетоводство - ведение бухгалтерского учета в соответствии с общепринятыми нормами. Однако счетоводство - это лишь основополагающий элемент эккаунтинга. Посредством счетоводства создается информационная база, необходимая для управления предприятием.
Профессиональная деятельность, связанная с формированием этой информационной
базы, и называется эккаунтингом.
В это понятие входит работа:
* плановая;
* по составлению отчетности;
* контрольная;
* аналитическая.
Таким образом, контроль является неотъемлемой частью эккаунтинга.
В некоторых случаях акты не только фиксируют установленные факты и события, но и содержат выводы, рекомендации и предложения (акты проверок, обследований, ревизий и т.п.).
Акты отличаются широким разнообразием по своему назначению и содержанию:
· сдачи-приемки (работ, материальных ценностей, документов);
· обследования (состояния техники безопасности, противопожарной безопасности; условий труда; результатов деятельности);
· испытаний (образцов, систем, технологий);
· выделения к уничтожению (материальных ценностей, документов);
· передачи (структурного подразделения из одной организации в другую);
· нарушения установленных правил;
· ревизии, инвентаризации;
· расследования аварий, несчастных случаев;
· ликвидации организации и т.д.
Акты составляются коллегиально (не менее двух составителей). Нередко акты составляются комиссиями, специально создаваемыми, состав которых утверждается распорядительным документом руководителя организации. Акты могут составляться и постоянно действующими комиссиями на регулярной основе.
Главное при составлении акта - установление фактического состояния дел и объективное отражение в акте. Акт составляется на основе черновых записей, которые ведутся во время работы комиссии или группы лиц и содержат фактические данные, количественные показатели и другие сведения.
Собственник любого экономического объекта всегда заботится о качестве организации его хозяйственной деятельности. Любое рентабельное предприятие несет собой потенциальную прибыль для своего владельца. Какой же грамотный предприниматель не будет интересоваться условиями функционирования собственного детища, приносящего ему такие серьезные доходы? Наверное, нужно быть глупцом, чтобы пустить все на самотек и предполагать, что так будет всегда, что работа в организации будет протекать так же планомерно и будет приносить такие же положительные финансовые результаты вечно, не вникая и не вмешиваясь в трудовой процесс своих подчиненных. Именно потому, что каждый бизнесмен в здравом уме и с объективным отношением к управлению своей компанией боится потерять свою прибыль и стать однажды банкротом, им вводится система внутреннего контроля деятельности организации. Что это такое? Что эта система дает? Как она организовывается? И какие цели преследует? Обо всем по порядку.
Образцом любого показательного субъекта хозяйствования является то предприятие, которое бесперебойно осуществляет свою экономическую деятельность и выполняет главное условие своего существования - приносит прибыль, регулярно ее увеличивая. Все усилия и капиталовложения владелец компании всегда направляет только в то, что делает его организацию еще более сильнее и мощнее, расширяя источники отдачи в виде дохода. Конечно же, любой собственник желает, чтобы его фирма функционировала бесперебойно. И он понимает, что для этого нужно предпринимать соответствующие действия. Вот здесь и возникает глобальная потребность в организации системы внутреннего контроля организации. Здесь четко просматривается необходимость формирования внутри предприятия такого аппарата наблюдения и выявления недочетов в процессе хозяйствования, который будет сигнализировать собственнику о любых нарушениях и несоответствиях. Что должен представлять собой подобного рода аппарат?
Система внутреннего контроля в управлении организацией - это совокупность методов слежения, наблюдения, проверки, оценки и анализа всех происходящих на предприятии процедур и процессов хозяйствования, которые имеют непосредственное отношение к результатам экономической деятельности компании в целом. Иными словами, это специальные сотрудники, конкретные методики исследования, перечень аналитического оборудования и соответствующих технологий, которые в совокупности дают тот самый эффект контроллинга, которым хочет быть обеспечен бизнесмен-собственник. Такой контроллинг нужен ему для того, чтобы обезопасить себя от недобросовестных подчиненных или некачественного выполнения ими обязанностей, что в итоге может повлиять на финансовый результат деятельности предприятия в целом. Но каким образом этот процесс организовывается?
Внутреннего контроля в компании - это формирование такой благоприятной почвы для функционирования контролирующих органов во взаимосвязи с их доступом к техническому оборудованию и всей необходимой информации субъекта хозяйствования, которая может обеспечить качественный контроль в наблюдении за работой трудящихся и выполнением ими непосредственных задач в соответствии с их должностными инструкциями. Проще говоря, создание на предприятии аппарата контроллинга предполагает собой выполнение специалистами-аудиторами проверок на всех функциональных участках фирмы.
Грамотный бизнесмен никогда ничего не делает бесцельно, поэтому любое свое действие, нововведение, распоряжение или приказ, отдаваемый через директора, он обдумывает до мелочей и внедряет в хозяйственную деятельность своего предприятия для достижения конкретного результата. Соответственно, так же и с контролирующим аппаратом. Существует четыре основные цели системы в организации, которыми руководствуется любой собственник во избежание появления проблем:
Пытаясь обезопасить себя и плоды функционирования своей компании в виде выручки, ее владелец ставит перед собой конкретные цели. Эти цели успешно реализовываются благодаря эффективной организации системы внутреннего контроля в организации.
Механизм контроллинга на любом предприятии осуществляется посредством иерархической подчиненности контролирующих органов. На каждом участке есть ответственные за проведение наблюдательных и проверочных мероприятий органы. Как выглядит образец системы внутреннего контроля в организации с точки зрения структурно-иерархического подчинения?
Конечно же, многое зависит от формы правления на предприятии. С маленькой фирмой и кадровым штатом в три-четыре человека все понятно, там и контролировать особо нечего, этим занимается непосредственный руководитель. Но в крупных предприятиях все иначе: чем больше компания, тем больше соответствующих мероприятий внутреннего контроля должно распространяться по ее структурным отделам. К примеру, организация внутреннего контроля в корпоративных системах осуществляется в разрезе нескольких структурных блоков:
Исходя из блочного структурирования органов контроля в компании, можно сделать вывод о том, что в корпоративных формах правления предусмотрено два направления: это отдельные структурные органы внутри предприятия и начальники отделов, которые ведут наблюдение за своими подчиненными. Зачастую именно так и происходит организация системы внутреннего контроля на предприятии.
Немного иначе выглядит структура надзора финансовых учреждений. Система внутреннего контроля кредитной организации предусматривает шесть основных источников распространения соответствующих мероприятий на определенных уровнях иерархии:
Классификация разновидностей внутреннего надзора довольно многогранна ввиду большого количества признаков подразделения. Так, создание системы внутреннего контроля организации предусматривает несколько разветвлений по главным направлениям.
По порядку осуществления:
По форме предоставления:
По временному признаку:
По полноте охвата:
Помимо перечисленных видов надзора, ревизионные процедуры, производимые на предприятии, могут проявляться в осуществлении различных методологических подходов к проверке. Поэтому организация системы внутреннего контроля на предприятии предполагает применение набора трех основных методических направлений.
Общеметодические приемы:
Приемы документального контроля:
Приемы фактического контроля:
Организация системы внутреннего надзора в организации любой формы собственности предусматривает выполнение соответствующими органами конкретных функций. Ведь каждая контроллинговая операция предполагает достижение определенного результата. Глобальным результатом должна стать бесперебойная работа предприятия с регулярным и стабильным объемом дохода. А достичь его представляется возможным только при выполнении совокупности стратегических функций. Вот некоторые из них:
Переходя от общего к частному, можно выделить текущие функции системы внутреннего контроля бухгалтерского учета в организации, как основополагающие информационные данные для проведения качественного внутреннего инспектирования на предприятии:
Как и любая другая хозяйственная или процессуальная процедура, проведение контролирующих мероприятия предусматривает поэтапную очередность выполнения конкретных задач. Вот какими основными этапами организации системы внутреннего контроля характеризуется подобного рода процессия:
Анализ системы внутреннего контроля в организации имеет немаловажное значение в поддержании качества и корректности проведения внутреннего аудита на предприятии. Почему он так важен в системе современного предпринимательства? Потому что анализ и оценка системы внутреннего контроля организации являются толчком для разработки рекомендаций по его совершенствованию и модернизации хозяйственного процесса в целом. Не только сама по себе проверка процессуальных операций экономической деятельности предприятия важна, но и уровень эффективности ее проведения может повлиять на процветание и рентабельное функционирование фирмы как таковой.
Анализ системы внутреннего организации осуществляется соответствующими органами централизованной подчиненности компании по следующим направлениям:
Понятие анализа неразрывно связывают с понятием оценки. В обширном понимании этот термин предполагает установление абсолютной или относительной ценности исследуемого объекта, предмета, явления. В плане экономического подтекста оценка системы внутреннего контроля организации подразумевает сопоставление с нормой проведенных ревизорами в ходе проверки действий, а также рассмотрение качества составленных ими мероприятий, направленных на выявление несоответствий, неточностей, ошибок в процессе хозяйственной деятельности. Попросту говоря, это проверка качества работы самих проверяющих.
Совокупность двух смежных понятий - оценки и анализа - предопределяет необходимость проведения дополнительных мероприятий после проверки. Ведь по итогам анализа системы внутреннего контроля бухгалтерского учета в организации оценивается необходимость ужесточения, к примеру, трудового регламента касательно оформления и хранения документооборота, или же принимаются решения о более тщательных и более частых инвентаризациях основных средств предприятия, поскольку в этой части бухучета зачастую встречаются несоответствия с предыдущими показателями, и так далее. И это касается не только конкретно бухгалтерии предприятия. То есть, иными словами, оценка результатов, полученных в ходе проверки, дает возможность судить о необходимости совершенствования системы внутреннего контроля организации или, наоборот, сделать выводы о ее качественном функционировании на данном конкретном этапе. Оценивая приобретенные в ходе проверки итоговые показатели, можно также оценить работу самих контролирующих органов, исходя из глубины и содержательности их доклада по окончании контрольных мероприятий.
При всем при этом не стоит забывать, что применяемая организацией система внутреннего контроля должна соответствовать установленным нормам и регламенту. Причем осуществляться данное соответствие должно как на уровне предприятия, так в плане соблюдения действующего законодательства. Федеральной налоговой службой предусмотрено следование всех существующих организаций как субъектов хозяйствования приказу от 16 июня 2017 года «Об утверждении Требований к организации системы внутреннего контроля». Вот что эти требования собой представляют:
Исходя из требований к организации системы внутреннего контроля, можно сделать выводы о серьезной доле значения, которая отведена именно рискам - существующим возможным угрозам, которые являются неотъемлемым элементом потенциальных страхов предпринимателей.
Модель внутреннего контроля, ориентированного на риск, - это модель, которая позволяет анализировать угрозы предприятия, обусловленные необходимостью овладения достоверной информацией об активах и обязательствах данного экономического субъекта. Ориентирование на риски в организации системы внутреннего контроля подразумевает цель руководства компании получать разумную степень уверенности в том, что компания будет достигать поставленных целей наиболее эффективным образом. И в этом ключе главное предназначение контроля - это обеспечение своевременного выявления и анализа рисков надежности бухгалтерской отчетности, соответствия деятельности сотрудников регламенту и предусмотренным учетной политикой предприятия нормам регламентирования рабочего трудового процесса, а также выполнение финансово-хозяйственных планов, эффективное использование ресурсов, правдивость финансовой и управленческой информации. Поэтому главным щитом для осуществляющего хозяйственную деятельность субъекта предпринимательства в борьбе с угрозами и рисками, мешающими ему функционировать в нормальных условиях, является качественно построенный и правильно организованный контроль.
Эффективность управленческих решений во многом зависит от достоверности бухгалтерской и управленческой отчетности. Искажение данных в отчетности может быть связано с ошибками обработки первичных документов, неверно выстроенными бизнес-процессами компании, недобросовестным поведением персонала. Внедрение системы внутреннего контроля позволит обеспечить надежность финансовой информации, а также снизить риски принятия ошибочных решений.
В этой статье вы узнаете:
Построение системы внутреннего контроля (СВК) предполагает определение наиболее существенных рисков (которые могут повлечь за собой финансовые потери), разработку контрольных процедур, а также создание системы тестирования эффективности контрольных процедур.
Личный опыт
Вера Трошина , заместитель генерального директора по экономике, коммерции и финансам ОАО «Азовский морской порт»
Система внутреннего контроля необходима как самостоятельным юридическим лицам, так и группам предприятий с централизованным управлением. Несмотря на то что в зарубежной практике СВК получила широкое распространение, немногие финансовые директора и первые лица российских предприятий осознают ее необходимость. Это объясняется тем, что эффект от внедрения процедур внутреннего контроля не всегда может быть получен мгновенно и поддается количественной оценке.
Для нашей компании решение использовать СВК было продиктовано необходимостью внедрения системы менеджмента качества (ISO 9000/2001). Первые результаты применения процедур внутреннего контроля были получены в области материально-технического снабжения, затраты на которое равны десяткам миллионов рублей (вторая наибольшая статья расходов бюджета компании). В итоге экономия составила порядка 5–8%.Игорь Миронов , руководитель отдела внутреннего аудита компании SABMiller (ООО «ТрансМарк» и ООО «Калужская пивоваренная компания»)
Компания SABMiller внедряет документирование внутреннего контроля в рамках требований акта Sarbanes-Oxley (см. об этом законе справку. – Примеч. редакции).
Проект по сертификации СВК на соответствие положениям акта Sarbanes-Oxley в нашей компании рассчитан на период более двух лет и находится примерно на середине своего пути. Сейчас идет описание ключевых бизнес-процессов, идентификация рисков и документирование внутреннего контроля. На последующих стадиях будет проверяться эффективность контроля.
При организации СВК я бы посоветовал сфокусироваться на предупредительном (preventive control), а не последующем (detective control) контроле в компании. Затраты на предупредительный контроль в полной мере окупаются предотвращенными потерями.Михаил Подлазов , финансовый менеджер компании «Балтик Бевериджиз Холдинг АБ» (Санкт-Петербург)
Система внутреннего контроля необходима компании в первую очередь для управления эффективностью работы подразделений. Она должна решать в компании пять основных задач:
- обеспечение надежности и достоверности информации;
- защита активов и собственности;
- эффективное использование ресурсов предприятия;
- обеспечение соответствия выполняемых работ политикам, процедурам и регламентам компании;
- помощь менеджерам в достижении целей и задач компании.
Условно процесс внедрения системы внутреннего контроля включает четыре основных этапа:
- определение направлений контроля;
- описание бизнес-процессов;
- анализ и контроль рисков;
- тестирование качества СВК. Остановимся подробнее на перечисленных этапах внедрения системы внутреннего контроля, а также проблемах, с которыми компания может столкнуться в ходе этой работы.
Внедрение системы внутреннего контроля следует начать с определения подразделений и направлений деятельности, для которых будут разрабатываться контрольные процедуры. Введение контрольных процедур во всех подразделениях и направлениях деятельности приведет к тому, что на реализацию подобного проекта потребуются значительные затраты, большая часть которых не окупится. К примеру, на производственном предприятии не имеет смысла внедрять методы контроля для отдела кадров. Как правило, СВК используется в отделах сбыта, снабжения, на производстве, в бухгалтерии и казначействе, то есть в тех структурных единицах, которые напрямую связаны с формированием отчетности, управлением денежными и товарно-материальными потоками в компании. Аналогично решается вопрос для группы компаний. Состав направлений деятельности предприятия, для которых будут внедрены контрольные процедуры, определяется экспертным путем. В качестве экспертов могут выступать руководители подразделений или генеральный директор компании, то есть те специалисты, которые обладают опытом и знанием бизнес-процессов, в большей степени подверженных различным рискам.
Личный опыт
Сергей Качалов , финансовый контролер компании «Аптека 36,6»
Система внутреннего контроля будет неполноценной, если не охватывает деятельность всех сотрудников компании независимо от выполняемых ими работ. Это позволяет управлять максимальным количеством рисков, которым подвержена деятельность компании.
После того как определены границы системы внутреннего контроля, составляется календарный план-график работ и формируется рабочая группа по разработке методов контроля. В ее состав можно порекомендовать включить внутреннего аудитора и специалиста по анализу и идентификации рисков, а также привлекать в качестве экспертов руководителей тех функциональных подразделений, для которых создаются процедуры контроля.
Для того чтобы выстроить эффективную СВК, нет необходимости описывать все бизнес-процессы подразделений, которые были отобраны для внедрения процедур внутреннего контроля. В такой ситуации СВК будет неоправданно громоздкой и неуправляемой. Для ограничения состава бизнес-процессов следует определить существенные счета. Таковыми являются счета бухгалтерского или управленческого учета, искажение информации по которым может ввести в заблуждение менеджмент компании или потенциальных инвесторов. Кроме того, это могут быть счета бухгалтерского учета, оборот за период по которым составляет более 10% по отношению к выручке компании. Для определения существенности счетов также могут использоваться экспертные оценки. К примеру, деятельность компании зависит от используемых ею патентов и лицензий, стоимость которых не превышает 5% валюты баланса. Тем не менее счета учета патентов и лицензий будут классифицированы как существенные, так как от эффективности контроля за этими активами будут зависеть результаты работы предприятия.
Следующим шагом в процессе построения системы внутреннего контроля должно стать описание бизнес-процессов, связанных с отражением информации на существенных счетах. Следует отметить, что описание бизнес-процессов должно быть максимально детальным и учитывать движение отдельных документов внутри компании 2
Личный опыт
Наталия Старцева , вице-президент по финансам компании «Гамма Менеджмент Групп» (Калининград)
Основной проблемой, с которой мы столкнулись при организации СВК в компании, было отсутствие или не очень внятное содержание внутренних стандартов и регламентов. Первой задачей работников службы внутреннего контроля стала разработка системы внутрифирменных стандартов. После утверждения таких стандартов, как положение о документообороте, положение о системе бюджетирования, учетная политика (отдельно для бухгалтерского и управленческого учета), регламент представления периодической финансовой отчетности совету директоров, положение о внутреннем аудите компании, – «правила игры» стали всем понятны, а служба внутреннего контроля получила реальный инструмент для организации своей работы.
Матричная система управления и прямая подотчетность службы внутреннего контроля совету директоров позволяют иметь оперативную и объективную информацию о соответствии деятельности компании действующим регламентам и корректировать действия менеджеров в случае их нарушения.
Основная задача, которая должна быть решена в ходе описания бизнес-процессов, - наглядное представление всех работ, выполняемых сотрудниками подразделений, для того чтобы в дальнейшем на основании этих данных определить участки, связанные с риском возникновения недостоверной информации или существенных финансовых потерь.
Бизнес-процессы компании анализируются на предмет существования рисков, которые могут привести к значительным финансовым потерям для компании 3 .
Личный опыт
Михаил Подлазов
Следует отметить, что внимание нужно уделять только тем рискам, которые действительно могут привести к существенным финансовым потерям, либо исказить финансовую или управленческую отчетность. В моей практике был случай, когда внутренний аудитор настаивал на том, что хранение запасных частей на одном из складов связано с риском их утери из-за щелей в полу складского помещения. В ходе анализа данного риска выяснилось, что пол на складе покрыт кафельной плиткой, а под щелями подразумевались отверстия на стыке плитки. Очевидно, что единственные потери, которые может понести компания из-за выявленных «дефектов» пола, – утрата одной-двух гаек стоимостью несколько копеек. Разумеется, никаких процедур для контроля за данным риском внедрено не было.
Наиболее точно идентифицировать риски, связанные с теми или иными бизнес-процессами, можно путем анализа накопленной компанией информации о негативных событиях (ошибки в отчетности, кражи, порча товаро-материальных ценностей и т. д.), периодичности их возникновения и размере причиненного ущерба.
Однако подобная ситуация может существовать лишь в компаниях, внедривших систему менеджмента качества. У предприятия, которое до момента внедрения системы внутреннего контроля не осуществляло систематизированное управление рисками, подобные статистические данные, как правило, отсутствуют. В такой ситуации идентификация рисков может быть полностью возложена на экспертов - руководителей подразделений. К примеру, главный бухгалтер, длительное время проработавший в компании, всегда может довольно точно предсказать, где могла быть допущена ошибка, если не сходятся статьи актива и пассива. От экспертов также потребуется оценить периодичность возникновения неблагоприятных событий и вероятный ущерб. На этапе внедрения СВК экспертные оценки существующих рисков могут обладать большой погрешностью. Однако в будущем, внедрив систему внутреннего контроля и накопив достаточное количество данных о возникших ошибках в работе подразделений, состав рисков и их существенность могут быть оценены с высокой точностью.
Для наиболее существенных рисков, связанных с серьезными финансовыми потерями, разрабатываются контрольные процедуры 4 .
Как правило, внедрение контрольных процедур предполагает создание дополнительных уровней согласования. К примеру, для того чтобы бухгалтер осуществил платеж по заявке производственного подразделения, необходимо завизировать ее у финансового директора. Контрольные процедуры могут заключаться также в распределении ответственности. Для процесса закупок контроль будет сводиться к тому, что заказчиком выступает производственное подразделение компании и оно же контролирует качество приобретенных материалов; поиск поставщика и работу по договорам поставки осуществляет отдел снабжения, а процесс оплаты контролируется финансовым директором.
Личный опыт
Сергей Пустовалов , финансовый директор ЗАО «Бриджтаун Фудс» (Москва)
В качестве примера внутреннего контроля можно привести формирование актов сверки с дебиторами. Казалось бы, простой и понятный инструмент, но далеко не у всех предприятий формируются акты сверки со всеми своими контрагентами. Отсутствие таких актов может привести к следующей ситуации. Предположим, у компании-дебитора есть встречные требования к предприятию, например оплачен аванс в счет будущей поставки. Если в ближайшем будущем компания-дебитор обанкротится и будет образована ликвидационная комиссия, то отсудить полученный аванс без актов сверки будет крайне сложно. А доказать, что этот аванс должен быть зачтен в счет погашения ранее возникшей дебиторской задолженности, практически невозможно.Михаил Подлазов
Эффективность создаваемых процедур контроля будет зависеть от выполнения следующих факторов:
- четко определена и понятна ответственность должностных лиц за выполнение контрольных процедур;
- разграничен доступ к информации или действию;
- все транзакции авторизуются в соответствии с принятыми регламентами;
- существует документально оформленное описание процедур контроля;
- задачи контроля, исполнения и принятия решений распределены между сотрудниками.
Важно отметить, что для исполнения созданных процедур контроля необходимо их документальное оформление. Описание контрольной процедуры должно содержать следующие основные положения: цели контроля; последовательность действий; периодичность проведения контроля; ответственный за контроль сотрудник; документ, в котором отражен факт осуществления контроля (к примеру, лист согласований).
Личный опыт
Игорь Миронов
Оценка наиболее существенных рисков проводится в нашей компании ежегодно. Условный фрагмент сводного отчета об имеющихся рисках, созданных контрольных процедурах и планируемых аудиторских проверках представлен в таблице на с. 16.
Эффективная система внутреннего контроля предполагает тестирование контрольных процедур и оценку их качества.
Тестирование системы контроля проводится по двум направлениям:
- соблюдение разработанных регламентов контрольных процедур;
- появление ошибок в отчетности, которые не были предотвращены системой контроля.
Соблюдение разработанных регламентов оценивается путем выборочной проверки документов, в которых должен быть отражен факт контроля. К примеру, по ряду платежных поручений проверяется наличие правильно оформленных и подписанных листов согласования.
Появление ошибок в отчетности выявляется в ходе аудита отчетности и первичной документации.
Личный опыт
Игорь Миронов
После того как проведен аудит существующих контрольных процедур, формируется аудиторский отчет, который содержит следующие разделы: аудиторские замечания; потенциальные риски; рейтинг риска (высокий, средний, низкий); рекомендации аудиторов; планируемые действия менеджмента; дата устранения замечания; ответственное лицо. В первую очередь отчет обсуждается с менеджерами подразделений, к которым есть замечания. Крайне важно получить от них ответ: согласны ли они с высказанными комментариями и в какие сроки будут предприняты меры для устранения недостатков. Только после этого отчет представляется совету директоров и аудиторскому комитету компании.
Таблица Оценка рисков
| Бизнес-процесс | Основные риски | Вероятность реализации риска и степень воздействия на бизнес до внедрения СВК | Контроль за рисками | Вероятность реализации риска и степень воздействия на бизнес после внедрения СВК | Запросы менеджмента на проведение аудита | Дата последнего аудита |
| Продажи | ||||||
|
Отгрузки продукции |
Отгрузки по некорректным накладным |
Разделение обязанностей по подготовке товарных документов и контролю за отгрузкой. Продажи подтверждены договорными отношениями |
Проведение аудита ежегодно |
I кв. 2005 г. |
||
|
Предоставление скидок |
Предоставление скидок, необусловленных политикой по скидкам |
Процедура контроля за предоставлением скидок разработана и соблюдается. Менеджмент регулярно проверяет ее выполнение |
Аудит по требованию коммерческого директора |
- | ||
|
Управление складом готовой продукции |
Затоваривание или недостаток товара |
Планирование продаж и производства (закупок). Анализ и прогноз |
Ежегодный аудит |
IV кв. 2004 г. |
||
|
Производство |
||||||
|
Закупка сырья и материалов |
Некачественное или дорогое сырье |
Тендер для поставщиков. Мониторинг цен на рынке. Контроль качества |
Аудит по требованию директора по снабжению |
|||
Надо отметить, что в течение первого полугодия с момента внедрения системы необходимо ежемесячное тестирование процедур контроля. Это позволит исключить ошибки, допущенные при разработке. В дальнейшем тестирование системы внутреннего контроля может проводиться раз в полгода.
Личный опыт
Михаил Подлазов
Систему аудитов необходимо выстраивать исходя из существенности контролируемых рисков. В нашей практике работы все подразделения компании были поделены на три группы в зависимости от размеров и объемов денежных потоков. Для первой категории аудит контрольных процедур и собственно процессов проводится раз в год, для второй категории – раз в два года, для третьей – раз в три – пять лет.
По результатам тестирования должен составляться отчет о его результатах, который также включает рекомендации по устранению выявленных недостатков контрольных процедур.
Обеспечить строгое выполнение разработанных контрольных процедур можно путем внедрения информационных систем. К примеру информационная система может обеспечивать электронный документооборот и блокировать платежи, которые не были авторизованы, или не позволять сформировать документы, необходимые для отгрузки продукции покупателю, если он исчерпал свой кредитный лимит.
Существует также программное обеспечение, позволяющее тестировать созданные контрольные процедуры, к примеру Aris Audit Manager; есть отдельные модули в Axapta, SAP, Oracle.
Личный опыт
Игорь Миронов
В своей практике мы используем программу Team Mate, разработанную компанией Pricewater-houseCoopers. Эта система позволяет автоматизировать аудиторскую деятельность на всех этапах: от планирования аудита и проведения аудиторских тестов до формирования отчетов по аудиту и последующего контроля действий менеджмента.
В заключение следует отметить, что эффективная работа системы внутреннего контроля во многом будет зависеть от подразделения, тестирующего созданные процедуры. Как правило, эти задачи возлагаются на службу внутреннего аудита. Для того чтобы результаты тестирования были объективными, это подразделение должно напрямую подчиняться собственникам бизнеса, то есть на его работу не должны влиять решения топ-менеджмента компании.
Интервью с внутренним аудитором представительства компании Moscow Cablecom Петром Скуридиным
- Чем вызвана необходимость внедрения системы внутреннего контроля в компаниях?
- Сама идея построения систем внутреннего контроля не нова для бизнес-сообщества - основные подходы были разработаны COSO 5 еще 15-20 лет назад. Сейчас она получила большое распространение в связи с принятием в США закона Сарбейнса-Оксли, который предусматривает ответственность первых лиц компании. К примеру если выяснится, что отчетность компании была преднамеренно искажена, то ее руководителю грозит штраф до 5 млн долл. США или заключение до 20 лет.
Акции нашей управляющей компании котируются на американской бирже. Первоначально отчет руководства об уровне системы внутреннего контроля требовалось предоставить по состоянию на 31 декабря 2005 года. Однако Комиссия по ценным бумагам США приняла решение
Об отсрочке вступления в силу требований статьи 404 закона Сарбейнса-Оксли для отдельных типов компаний до 31 декабря 2006 года.
Петр, для чего необходимо описание бизнес-процессов предприятия при создании системы внутреннего контроля?
- Основная задача описания бизнес-процессов - точно определить действия в рамках бизнес-процессов, при выполнении которых существуют риски. Следует отметить, что в одном бизнес-процессе, как правило, задействовано несколько подразделений. Если бы мы пытались выявлять риски, к примеру, основываясь на организационной структуре компании, то не учли бы множество рисков, связанных со всевозможными конфликтами подразделений, а значит, система внутреннего контроля была бы неэффективной. У нас в компании бизнес-процессы описываются без использования специализированного программного обеспечения в Visio (см. рисунок 1).
Рисунок 1. Пример описания бизнес-процессов
Но наглядного представления бизнес-процесса недостаточно. Необходимо детальное описание процесса, чтобы исключить неточности в его интерпретации, а также согласовать это описание «как есть» с владельцем процесса и оформить пошаговое подтверждение. Например, к приведенному на рисунке 2 бизнес-процессу осуществления выплат подшиваются кассовый план, заявка на оплату, счет на оплату, платежное поручение, выписка из банка и прочие документы, которые дают возможность проследить, как одна транзакция проходит через различные учетные системы и отражается в документах. С помощью ссылок пошаговое подтверждение связывается с описанием процесса, что позволяет проиллюстрировать практически любой шаг процесса.
Рисунок 2 . Описание бизнес-процесса «Выплаты денежных средств с расчетных счетов»
- После того как бизнес-процессы описаны, как выявить присущие им риски?
- К сожалению, анализ и выявление рисков - это всегда экспертные оценки. Библиотеки рисков ведут компании «большой четверки», но даже у них не всегда можно найти достаточно детальные решения. Дело в том, что риски работы любого предприятия связаны с отраслевой спецификой. Однажды я совершенно случайно приобрел в книжном магазине Великого Новгорода книгу Сотниковой Л.В. «Аудиторская проверка кассовых операций», в которой были описаны примеры контрольных процедур и признаки недостатков системы контроля, на основании которых можно идентифицировать риски при выплате денежных средств. Процесс выплаты денежных средств имеет много общих этапов для компаний, работающих в разных отраслях, но этот пример скорее исключение. Поэтому риски выявляются и описываются на основе опыта аудиторских проверок. Опытным можно считать аудитора, который проработал в одной отрасли более трех лет.
Для каждого риска определяется существенный счет, данные которого могут быть искажены в результате наступления рискового события. Как правило, разные компании используют различные методики определения существенности счетов финансовой отчетности. Например, существенными могут признаваться счета, обороты или сальдовые остатки по которым превышают 5% от прибыли до вычета налога на прибыль, дивидендов и процентов по кредитам. Еще один критерий существенности счета - ликвидность учтенных на счете активов и пассивов. Скажем, денежные средства обладают высокой ликвидностью, следовательно, связаны с высокими рисками их потери. Поэтому счета учета денежных средств всегда можно рассматривать как существенные. Также необходимо анализировать действующие контрольные процедуры (см. таблицу).
Таблица Описание рисков и действующих контрольных процедур
| Риск <1> | |||
|
Оплата незаказанных товаров и услуг |
2. Оплата незаказанных товаров и услуг (изменение требования) |
3. Несанкционированный доступ в систему «Банк-клиент» |
4. Бухгалтер не проводит операцию по списанию задолженности или проводит в неточной сумме |
| Описание риска | |||
|
Исполнитель создаст требование на оплату товаров и услуг, не заказанных компанией, для личных целей |
Требование на оплату будет изменено после утверждения, что может привести к закупке, не заказанной компанией |
Сотрудник, имеющий право доступа в помещение казначейства, создаст платежное поручение на оплату товаров и услуг, не заказанных компанией, для личных целей |
Бухгалтер не проведет или проведет в неточной сумме операцию по списанию кредиторской задолженности |
| Наименование шага бизнес-процесса | |||
|
Создание требования на оплату и передача документов в бухгалтерию |
Создание платежного поручения |
Проводка Дт XX Кт 51.XX |
|
| Существенность риска | |||
| Детальное описание контрольных процедур, цели, частота проведения контроля | |||
|
Согласование требования на оплату. Цель контроля: не допустить потери активов. Описание контрольной процедуры: как только создано требование, оно становится доступным для просмотра. Требование проверяют: начальник отдела, начальник управления, бюджетный контролер. Требование попадает на следующий уровень согласования, только если оно согласовано на всех предыдущих уровнях. Частота контроля: для каждого требования. Входящие документы: требование на оплату |
- | Утверждение платежного поручения. Цель контроля: не допустить потери активов. Описание контрольной процедуры: как только создано платежное поручение, оно становится доступным для утверждения в распределенной системе «Банк-клиент». Требование утверждают должностные лица, имеющие право подписи платежных поручений. При утверждении последним должностным лицом платежное поручение автоматически отправляется в банк. Частота контроля: для каждого требования. Входящие документы: шаблон платежного поручения с реквизитами платежа | Сверка взаиморасчетов. Цель контроля: точное отражение состояния расчетов. Описание контрольной процедуры: бухгалтер производит сверку с контрагентом на ежеквартальной основе. Частота контроля: ежеквартально. Входящие документы: проводки, первичные документы |
| Свидетельство реализации контроля (документ/файл) < | |||
| Подпись требования каждым сотрудником, который производит согласование | - | Отметка об утверждении платежного поручения в системе «Банк-клиент» | Акт сверки взаиморасчетов, квартальный анализ сверки с дебиторами/кредиторами |
| Контроль покрывает риск | |||
| - | Да | Да | |
| Эффективность выбранной контрольной процедуры | |||
| - | |||
| Существенный счет | |||
|
Денежные средства |
Кредиторская задолженность |
||
|
Контрольная процедура неэффективна, так как выбор контрагентов сделан только на основании крупных балансов дебиторов/кредиторов и не учитывает крупные обороты. Доработать инструкцию по процедуре сверки с контрагентами |
|||
|
<1> Номера соответствуют номеру риска на схеме бизнес-процесса. - Примеч. редакции. |
|||
- Входит ли в ваши задачи разработка контрольных процедур?
- Не всегда, наш отдел дает рекомендации по устранению существующих недостатков, а методология и внедрение контрольных процедур относятся, как правило, к полномочиям руководителей функциональных подразделений. Однако бывают ситуации, когда мы формируем рекомендации по улучшению системы контроля и содействуем их внедрению.
Наш традиционный вопрос: что можно посоветовать компаниям, которые только начинают внедрять систему внутреннего контроля?
- Описание бизнес-процессов в форме создания письменных положений, процедур и инструкций, определяющих порядок выполнения процесса, - это отправная точка для любой компании при создании системы внутреннего контроля. Только после описания финансовых, а также основных процессов закупки, производства и сбыта на примере производственной компании можно приступать к выявлению рисков.
Беседовал Александр Афанасьев
1 Текст стандарта, а также основные сведения о деятельности Международной федерации бухгалтеров (International Federation of Accountants – IFAC) можно найти на сайте www.ifac.org. – Примеч. редакции.
2 Подробнее см. интервью «Как описать и оптимизировать бизнес-процессы» («Финансовый директор», 2003, № 7–8, с. 30). - Примеч. редакции.
3 Об анализе бизнес-процессов с целью выявления рисков см. статью «Обеспечение непрерывности бизнеса» («Финансовый директор», 2003, № 9, с. 26). - Примеч. редакции.
4 Об управлении рисками компании см. статью «Построение корпоративной системы управления рисками» («Финансовый директор», 2005, № 2, с. 27). - Примеч. редакции
5 The Committee of Sponsoring Organizations of the Treadway Commission (подробнее см. www.coso.org) – некоммерческая организация, учрежденная с целью разработки рекомендаций, позволяющих улучшить качество финансовой отчетности за счет создания процедур внутреннего контроля и совершенствования корпоративного управления. – Примеч. редакции.
