Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

Пункт 4 – эти данные можно получить и самостоятельно, особенно когда есть доступ, например, к данным бухгалтерского учета уже на этапе планирования проекта. Однако такой доступ есть не всегда. Кроме того, в бухучете данные в требуемом разрезе могут отсутствовать и поэтому нуждаться в дополнительной обработке. Факт невыполнения того или иного пункта запроса позволяет скорректировать план проекта, заранее продумать план действий на случай отсутствия информации.

Пункт 5 – данный пункт является продолжением пункта 3, запрашивается более детализированная информация. Разумеется, при наличии в запросе взаимосвязанных пунктов невыполнение одного из них влечет невыполнение и других. Запрос детализированной информации позволяет проводить более точечное планирование.

Пункт 6 – довольно специфичный пункт, тем не менее наличие такого рода запасов может быть дополнительным фактором ряда рисков, например риска недостаточной сохранности активов на хранении у сторонней организации.

Пункт 7 – важный пункт, указанная информация помогает составить представление об особенностях осуществления одной из ключевых контрольных процедур в рассматриваемом процессе.

Пункт 8 – полезный пункт, наличие такого рода отчетов и, что самое главное, достойное содержание таких отчетов указывает на несколько обстоятельств. Во-первых, становится понятным, какая номенклатура ТМЦ наиболее уязвима. Во-вторых, очерчивается сфера деятельности службы безопасности. В-третьих, проясняется также то, что по каким-то причинам не попало в поле зрения службы безопасности. Отсутствие таких отчетов может означать либо отсутствие такой работы, либо недостаточность запроса и необходимость иного подхода к получению информации.

Пункт 9 – процедура управления МОЛ также является частью рассматриваемого процесса. Информацию по МОЛ необходимо рассматривать в контексте прочей информации по запросу. Например, если мест хранения (МХ) больше, чем численность МОЛ, и МХ разбросаны территориально, то можно предположить, что какие-то МХ обходятся без МОЛ. Так или иначе, информация по данному пункту помогает уточнить оценку рисков процесса.

Пункт 10 – на этапе планирования важна не столько точная информация об остатках, сколько понимание, оперирует ли предприятие такого рода категориями. Неснижаемые остатки являются важным элементом системы внутреннего контроля процесса.

Пункт 11 – как и в случае с инвентаризациями, наличие или отсутствие критериев защищенности влияет на обеспечение сохранности активов. Таким образом, в данном пункте речь идет об одном из ключевых элементов системы внутреннего контроля процесса.

Пункт 12 – по аналогии с п. 10. Первоначально более интересен факт наличия или отсутствия такого рода нормативов. Как и неснижаемые остатки, нормативы естественной убыли являются важным элементом системы внутреннего контроля процесса.

Пункт 13 – по аналогии с п. 10. Важен сам факт наличия или отсутствия.

Пункт 14 – по аналогии с п. 10. Кроме того, в дальнейшем пригодится при изучении операций получения и выдачи.

Пункт 15 – является продолжением п. 9. Кроме того, как и в п. 10, наличие такого реестра и списка является плюсом для предприятия – указывает на наличие регламентации процесса.

Пункт 16 – по содержанию данного реестра можно оценить наличие и существенность рисков, присущих процессу реализации активов предприятия на сторону.

Пункт 17 – является продолжением п. 9 и п. 15. Начиная с данного пункта появляется пометка о том, что его исполнение переносится на период осуществления работ по проекту. Однако предприятие должно быть готово оперативно представить обозначенную информацию.

Пункт 18 – аналогичен по срочности п. 17. Данная информация позволяет оценить напряженность взаимоотношений между МОЛ и руководством предприятия и может указывать на ряд дополнительных рисков (например, предъявление претензий сотрудникам при отсутствии оснований, попытки повесить на сотрудников недостачи, образовавшиеся не их вине).

Как видно из рассмотренного примера, информацию по запросу можно разделить на три крупных блока:

Блок 1 – информация, необходимая для выявления и оценки факторов риска и рисков процесса;

Блок 2 – информация, необходимая для первоначального ознакомления с деятельностью предприятия;

Блок 3 – информация, необходимая для общей оценки состояния системы контроля процесса.

Правильным является такой запрос, который позволяет получить информацию, необходимую для проведения вышеуказанных мероприятий. В завершение еще раз обращу внимание на необходимость особо тщательного формирования первоначального запроса. Мало пользы от запроса, исполнение которого руководство объекта аудита просто игнорирует. Кроме того, это создает прецедент, чреватый негативными последствиями для команды внутренних аудиторов на проекте (например, игнорирование или затягивание исполнения дальнейших запросов).

Формирование матриц рисков и контрольных процедур