Динамика изменений внутреннего аудита

В опросе этого года приняли участие руководители  служб внутреннего аудита  российских компаний нефинансового сектора различных отраслей экономики. Они ответили на вопросы, касающиеся качественных характеристик подразделений внутреннего аудита, управления персоналом и ресурсного обеспечения, операционной деятельности, использования информационных технологий и средств анализа данных. Результаты опроса были сопоставлены с данными аналогичного исследования за 2021 год, чтобы оценить динамику изменений в профессии за последние несколько лет. 

Информация об организаторах исследования

Ассоциация «Институт внутренних аудиторов» (Ассоциация «ИВА»), зарегистрированная в 2000 г., является профессиональным объединением внутренних аудиторов, внутренних контролеров и работников других контрольных подразделений российских компаний и организаций. ИВА имеет региональные центры в Екатеринбурге, Казани, Краснодаре, Красноярске, Нижнем Новгороде, Новосибирске, Перми, Самаре, Санкт-Петербурге, Тюмени и Хабаровске. Членство в ИВА дает возможность получить необходимые знания о внутреннем аудите, установить контакты с коллегами по профессии и повысить свой профессиональный статус. Подробности на сайте  www.iia-ru.ru.

Компания «Технологии Доверия» ( www.tedo.ru) предоставляет аудиторские и консультационные услуги компаниям разных отраслей. В офисах «Технологий Доверия» в Москве, Санкт-Петербурге, Екатеринбурге, Казани, Новосибирске, Ростове-на-Дону, Краснодаре, Воронеже, Владикавказе и Нижнем Новгороде работают 3 000 специалистов. 

Они помогают клиентам выстраивать и укреплять доверие к бизнесу благодаря своему опыту и качеству оказываемых услуг. Подробности на сайте  www.tedo.ru.

подробнее

Анна Давыдова, партнер, руководитель практики оказания услуг в области внутреннего аудита компании «Технологии Доверия», отмечает, что профессия внутреннего аудитора сегодня сталкивается с многочисленными вызовами, связанными как с внешними факторами, так и с растущими ожиданиями заинтересованных сторон: «Руководители внутреннего аудита сейчас решают ряд сложных задач, затрагивающих ключевые аспекты деятельности внутреннего аудита. В исследовании мы проанализировали тенденции развития внутреннего аудита и уверены, что они могут помочь руководителям СВА взглянуть на работу своих служб под иным углом и обновить план их развития, чтобы оставаться востребованными и приносить пользу, которую от них ожидают заинтересованные стороны».

При этом Алексей Сонин, директор Ассоциации «Институт внутренних аудиторов», считает, что в условиях, когда мир и события меняются с калейдоскопической быстротой, перед внутренним аудитом открыты возможности начать делать многие вещи по-другому. Это относится к широкому спектру вопросов: взаимодействие с заинтересованными сторонами, методология работы, освоение информационных технологий и т.д. И самое главное, по мнению Алексея Сонина, это изменение мышления внутренних аудиторов, их нацеленность не только на сохранение существующей стоимости и  обеспечение соответствия , но и на создание  новой стоимости  для своих организаций.

Полный текст исследования доступен на сайте Института внутренних аудиторов.       

Направления, в которых внутренний аудит принес наибольшую пользу для своих организаций в 2022-2023 годах

По мнению респондентов, деятельность СВА в период с 2022 по 2023 год принесла наибольшую пользу в следующих направлениях: повышение эффективности системы внутреннего контроля (47%), совершенствование/реинжиниринг бизнес-процессов (34%), сокращение затрат (12%).

По мнению Валерии Лукиной, начальника управления по внутреннему контролю и аудиту АО «АВТОВАЗ», в связи с множественными внешними вызовами функция внутреннего аудита в настоящее время находится в поиске нового баланса между ожиданиями собственников и высшего руководства и возможностями функции в контексте стандартов внутреннего аудита: «Мы находимся в ситуации постоянных изменений – решений, процессов, информационных систем. Поэтому классические аудиты с целью совершенствования бизнес-процессов сейчас занимают лишь часть работы аудиторов. Запросы бизнеса к внутреннему аудиту становятся максимально конкретными, растет доля консультационных аудиторских заданий, появляются нетипичные задачи. Руководителей интересуют вопросы обеспечения непрерывности, повышения прозрачности функций на фоне постоянных изменений».  

Основные заказчики (пользователи) результатов работы СВА

Основными заказчиками (пользователями) результатов работы СВА являются высшее исполнительное руководство (94%), совет директоров/комитет по аудиту (65%) и акционеры/собственники (43%), линейное (операционное) руководство (42%), служба безопасности (12%). 

Павел Нагорнов, директор по внутреннему аудиту ПАО «ФосАгро», отмечает, что у каждой из перечисленных категорий заказчиков, как правило,  свои ожидания от СВА, цель руководителя СВА понимать их, не работать по одинаковому для всех шаблону: что для одних результат, то для других – бесполезная информация. Например, для комитета важны гарантии, а для линейного руководства – конкретные кейсы для разбирательства. 

Показатели оценки эффективности деятельности СВА

Согласно результатам опроса, наиболее часто используемый показатель оценки эффективности деятельности СВА – степень фактического выполнения плана аудиторских заданий (85%). По сравнению с 2021 годом нет существенных изменений, за исключением использования показателя «Соблюдение регламента выпуска отчетов по результатам аудиторских заданий», частота использования которого выросла почти в два раза. 

Валерия Лукина, начальник управления по внутреннему контролю и аудиту АО «АВТОВАЗ», поделилась опытом компании: «Мы продолжаем использовать такой показатель, как степень фактического выполнения плана аудиторских заданий, с оговоркой о возможном изменении заданий в течение года. При всех его недостатках это достаточно понятный критерий работы команды. В текущем году одним из показателей оценки СВА было получение независимой оценки квалификации сотрудниками, а также показатели, характеризующие передачу знаний новым членам команды и степень их интеграции. Результаты опроса высшего исполнительного руководства и аудируемых подразделений – хороший показатель работы СВА, но я полагаю, что он корректно работает при высоком уровне зрелости СВК, то есть при совпадении ожиданий руководителей от работы СВА с задачами и функционалом внутренних аудиторов». 

Николай Шумилов, начальник управления внутреннего аудита группы компаний «Мангазея»: «Что касается нашей компании, я представляю совету директоров экономическую оценку пользы от нашей деятельности в дополнение к основному годовому отчету. Для менеджмента оцифровка в денежной форме результатов работы – привычный и наглядный измеритель, позволяющий визуально представить эффект, демонстрирующий пользу от деятельности подразделения». Николай также отметил очень важный аспект, о котором почти не упоминается в профессиональной среде: «Вместе с тем следует понимать самим и донести до СД, что развитие и взросление контрольной среды со временем неизбежно приведет к снижению расчетных показателей экономической эффективности за счет выявленных, исправленных и усовершенствованных элементов контроля и процессов. В данной ситуации падение экономического эффекта будет свидетельствовать не о снижении эффективности внутреннего аудита, а, наоборот, о повышении его уровня. По сути, получается, что конечная цель внутреннего аудита – это снижение до минимума экономического эффекта от проверок того или иного бизнес-процесса, когда в проверяемых процессах уже исчерпаны резервы для улучшений и достигнуты лучшие результаты. Оценка экономической эффективности внутреннего аудита важна скорее на период становления и расширения функции внутреннего аудита в компании».

По мнению Дмитрия Шахова, руководителя по рискам и внутреннему контролю ООО «АШАН», хотя активно используются такие количественные показатели, как «удельный вес исполненных рекомендаций», «процент выполнения плана аудиторских заданий», необходимо применять и качественные показатели для оценки эффективности СВА. Для этого можно, например, сделать оценку изменения размера рисков после «закрытия» рекомендаций СВА, проанализировать, не было ли случаев, когда после уже завершенной проверки СВА контролирующими органами или внешними аудиторами были выявлены существенные нарушения, относящиеся к теме проверки СВА. В отличие от коммерческих подразделений, в которых эффективность напрямую связана, например, с объемом продаж, оценка эффективности СВА только по количественным показателям не будет объективной, поскольку формальное выполнение плана проверок и «закрытия» рекомендаций не приведет к повышению качества системы внутреннего контроля.

Василий Чесалов, менеджер по управлению рисками, управление по внутреннему контролю и аудиту, АО «АВТОВАЗ», высказал неожиданное предложение: «Международными профессиональными стандартами внутреннего аудита (МПСВА) оценка эффективности и результативности СВА предусмотрена в Программе обеспечения и повышения качества внутреннего аудита. Возможно, имеет смысл отказаться от краткосрочных (годовых) показателей оценки эффективности СВА, а вместо этого использовать результаты упомянутой программы. Достоинства такого подхода: (1) стимулирование соответствия деятельности СВА целям и стратегии компании; (2) стимулирование развития СВА и ее соответствия стандартам; (3) сглаживание краткосрочных проблем (например, в период кризиса) и более взвешенная оценка пользы СВА для бизнеса. Конечно, этот подход подразумевает довольно длительную работу руководителя СВА в конкретной компании, ведь внешнюю оценку в рамках Программы обеспечения и повышения качества рекомендуется проводить раз в пять лет».

Новые области, включенные в план аудитов в 2022-2023 гг.

Респонденты отметили следующие новые области, включенные в план аудитов на 2022-2023 гг.:

• аудит внедрения новых информационных систем и программного обеспечения (32%);

• аудит цепочек поставок и контрагентов (28%);

• аудит ИБ, в т.ч. кибербезопасности; аудит персональных данных – по 23% каждый;

• аудит устойчивого развития, аудит непрерывности бизнеса, аудит качества данных – по 22% каждый;

• аудит стратегии/стратегических инициатив (20%);

• интегрированные аудиты (совместные аудиты ИТ и бизнес-процессов) (14%);

• аудит областей, связанных с геополитической обстановкой, в т.ч. соответствие санкционному законодательству (11%);

• аудит нематериальных активов, в т.ч. цифровых (8%);

• аудит мобильных устройств и приложений (5%);

• аудит облачных технологий (3%);

• аудит социальных медиа; аудит роботизированных процессов (RPA) – по 2% каждый.

По словам Валерии Лукиной, начальника управления по внутреннему контролю и аудиту АО «АВТОВАЗ», отмеченные новые области проверок коррелируют с современными новыми вызовами и шоками: «Так, согласно отчету Федерации европейских ассоциаций риск-менеджеров (FERMA) за 2022 год, видение ключевых рисков меняется в зависимости от горизонта их рассмотрения. Сейчас ключевыми рисками являются риски кибербезопасности, нарушения дистрибуции и цепочек поставок, геополитические, неопределенности экономического роста и чрезмерной регуляции. Второй и третий риски в данном списке новые и связаны с понятными причинами. При этом в перспективе 10 лет европейские риск-менеджеры ключевыми видят риски, связанные с изменением климата и природными катастрофами, а также риски изменения потребительского поведения».

Василий Чесалов, менеджер по управлению рисками, управление по внутреннему контролю и аудиту, АО «АВТОВАЗ», добавляет: «Кроме очевидных «цифровых» тем в планах аудитов, важным новшеством является появление областей, связанных со стратегией и долгосрочной устойчивостью. Серия кризисов научила бизнес обращать внимание на устойчивость цепочек поставок и дистрибуции, баланс краткосрочных и долгосрочных целей, готовность к своевременным инвестициям. Эти аудиты необходимо дополнять такими темами, как управление персоналом, разработка продукта, управление рисками».

Частота обновления годового плана

49% респондентов обновляют годовой план проверок по мере необходимости и в соответствии с изменяющимися рисками, что подтверждает важность оперативного реагирования на меняющиеся риски при планировании деятельности СВА. Четверть опрошенных СВА обновляют план аудитов один раз в полугодие, 11% – один раз в год, 9% – один раз в квартал. У 6% респондентов план вообще не пересматривается в течение года. 

Рассказывая об опыте компании, Валерия Лукина, начальник управления по внутреннему контролю и аудиту АО «АВТОВАЗ», уточнила, что в ситуации постоянных изменений они продолжают использовать годовое планирование аудиторских проверок, но с оговоркой о возможном изменении плана для оперативного реагирования на вновь возникшие риски и/или срочные и актуальные запросы. В 2023 году более трети тем плана были отменены в связи с потерей актуальности, их заменили внеплановые задания. 

Айк Карамян, директор внутреннего аудита, ПАО «Вымпелком» («Билайн»), отмечает, что для поддержания релевантности функции критически важно соблюдать гибкость годового плана ВА, особенно в условиях высоких темпов изменений на конкурентных рынках и необходимости бизнеса приспосабливаться и преодолевать растущие вызовы, обусловленные внешними факторами.

Доля внеплановых аудиторских проверок в общем объеме годового плана за последние два года

Большинство опрошенных (39%) заявили, что доля внеплановых аудиторских проверок в общем объеме годового плана СВА за последние два года составила 15-30%. 35% респондентов ответили, что доля внеплановых аудиторских проверок за последние два года составила менее 15%. 26% всех респондентов сообщили, что доля внеплановых аудиторских проверок составила свыше 30% в общем объеме годового плана за 2022 и 2023 годы.

Основные причины проведения внеплановых аудиторских проверок

Большинство опрошенных (55%) сообщили, что основной причиной проведения внеплановых аудиторских проверок стала инициатива высшего руководящего лица (президента/генерального директора/председателя правления), 11% – получение СВА дополнительной информации о рисковых областях от других подразделений компании, еще 11% – выявление рисковых областей по результатам текущего анализа СВА, 8% – инициатива коллегиального органа (совета директоров/наблюдательного совета/комитета по аудиту), еще 8% – наблюдения аудиторов в ходе плановых проверок (необходимость проведения другой проверки).

Среди прочих причин (8%) также были отмечены запросы топ-менеджмента и прочих заинтересованных сторон, обращения на горячую линию.

Дмитрий Шахов, руководитель по рискам и внутреннему контролю ООО «АШАН», считает, что такое распределение причин внеплановых проверок может свидетельствовать о том, что нередко оборотной стороной независимости СВА является изолированность. Другими словами, СВА не имеет полного и оперативного доступа к информации о происходящих в компании инцидентах и рисках. При этом такая информация доводится до сведения руководства, которое и принимает решение о внеплановых проверках. В случае если в компании организован постоянный доступ СВА, например, к базе инцидентов, у внутреннего аудита будет больше возможностей для проактивной позиции и самостоятельного инициирования внеплановых проверок, оперативной подготовки предложений для внесения изменений в план работы. 

Павел Нагорнов, директор по внутреннему аудиту ПАО «ФосАгро», отмечает, что частота внеплановых проверок – а они часто носят консультационный характер – зависит во многом от степени доверия к СВА, а это, в свою очередь, зависит во многом от уровня профессионализма сотрудников, уровня осведомленности о происходящем в компании.

Распределение областей риска в планах аудитов

Как и в 2021 году, основную долю времени в планах аудита на 2023 год СВА уделяли операционным (30%), стратегическим (18%) и финансовым (14%) рискам. Распределение областей риска в планах аудитов на 2023 и 2024 гг. примерно одинаковое. 

Дмитрий Шахов, руководитель по рискам и внутреннему контролю ООО «АШАН», считает такое распределение абсолютно предсказуемым, поскольку для реализации проверок в области операционного риска необходимо глубокое знание внутренних процессов компании, что всегда являлось сильной стороной СВА. Необходимость специальных знаний в области рисков ИБ, санкционных рисков приводит к тому, что компании предпочитают обращаться к внешним консультантам по таким вопросам. Финансовые же риски могут быть исследованы в рамках обязательного внешнего аудита. 

Ключевые факторы, влияющие на деятельность СВА

Ключевыми факторами, которые влияют на деятельность СВА, респонденты называют недостаточный уровень зрелости системы корпоративного управления, управления рисками и внутреннего контроля (52%), большие затраты времени на получение необходимой информации (46%) и недостаточную обеспеченность кадровыми ресурсами (43%), недостаточный бюджет (обеспеченность финансовыми ресурсами) (25%), недостаточную степень сотрудничества со стороны аудируемых подразделений (25%), недостаточную степень технической оснащенности подразделения ВА (в т.ч. специализированным программным обеспечением) (22%). Недостаточные полномочия сотрудников СВА назвали существенным фактором лишь 5% респондентов.

Дмитрий Шахов, руководитель по рискам и внутреннему контролю ООО «АШАН», полагает, что причиной высокого удельного веса низкого уровня зрелости корпоративного управления в компаниях нефинансового сектора является отсутствие законодательно установленных требований (за исключением публичных компаний) к такой системе. Руководство таких компаний зачастую недооценивает ценности создания эффективной системы корпоративного управления, полагая, что она не поможет повышению стоимости компании. В таких компаниях СВА может взять на себя лидирующую функцию по разъяснению руководству компании преимуществ правильно выстроенной системы корпоративного управления и предложить методику оценки ее эффективности. 

Владимир Серкин, руководитель департамента внутреннего аудита, ПАО «Вымпелком» («Билайн»), уверен, что службы внутреннего аудита могут (и должны) самостоятельно управлять большинством негативных факторов (в т.ч. внешних): например, существенно ускорить процесс получения информации можно через системную эскалацию задержек или через выделение специального сотрудника, который будет напрямую получать данные из ИТ-систем; а нежелание сотрудничать необходимо изменять через постоянную и последовательную демонстрацию таких качеств, как объективность, компетентность, заинтересованность в пользе для бизнеса, а не наказанием конкретных менеджеров.

Николай Шумилов, начальник управления внутреннего аудита группы компаний «Мангазея», поделился своей практикой: «Как и большинство руководителей ВА, испытывая недостаток в профессиональных кадрах, я стал искать альтернативы и нашел их в максимально возможной (исходя из специфики отрасли) автоматизации процесса получения информации о проверяемых процессах и в повышении прикладных навыков своих сотрудников».

Бюджет СВА и перспективы

Основную составляющую бюджета затрат СВА на 2023 год составляют затраты на персонал.

59% респондентов ожидают, что бюджет вырастет (31% – менее чем на 10%; 28% – более чем на 10%). 31% респондентов не ожидают изменений в бюджете, сокращения бюджета ожидают 6% респондентов (3% – сократится более чем на 10%; 3% – сократится менее чем на 10%).

66% респондентов не ожидают, что в 2024 году численность СВА увеличится, 27% ожидают увеличения численности персонала, 5% ожидают сокращения численности, 2% затруднились ответить.

Нагорнов Павел, директор по внутреннему аудиту ПАО «ФосАгро», отмечает, что персонал – главный актив внутреннего аудита. С учетом текущей ситуации на рынке персонала, когда, по многим оценкам, отмечается дефицит профессионалов во многих сферах, ожидать, что затраты на персонал снизятся, не стоит. «Кроме расходов на персонал в бюджеты СВА обычно закладываются расходы на командировки и обучение персонала, могут включаться в случае необходимости расходы на привлечение внешних экспертов и внедрение специализированных ИТ-решений, - уточняет П.Нагорнов. - Что касается командировок, то после пандемии их у всех стало меньше, поскольку проведение интервью и совещаний зачастую ушло в онлайн, но совсем отказаться от поездок невозможно и не нужно, поскольку, не увидев объект аудита вживую, сложно качественно изучить бизнес-процесс. Расходы на обучение зависят от того, насколько СВА и компания в целом идут в ногу со временем: новые технологии требуют новых знаний, это очевидно».

Алексей Сонин, директор Ассоциации «Институт внутренних аудиторов», уверен, что в эпоху перемен внутренний аудит должен не только трансформироваться сам, но и показывать пример другим в вопросе расширения кругозора, использования нестандартных подходов, освоения новых технологий. «Будущее в руках тех, кто готовится к нему сегодня, и будущее внутреннего аудита – в наших с вами руках, – говорит Алексей Сонин. – Внутренний аудитор нового времени – это человек неравнодушный, жаждущий перемен к лучшему, критически, но конструктивно мыслящий, умеющий быть убедительным, с хорошими аналитическими способностями, владеющий соответствующими навыками использования современных ИТ и решений». 

Статья предоставлена Ассоциацией «Институт внутренних аудиторов»