Внутренний контроль. Часть 8.

“Аудитор – он как будильник. Бесит только в двух случаях – когда звонит, и когда не звонит.” – народная мудрость.

Итак, восьмая серия кина про внутренний контроль. Как же, всё-таки, оценивать контрольную процедуру? Наши любимые стандарты внутреннего аудита и практические рекомендации к ним содержат много чего, хорошего и разного, но по этому вопросу – молчат как убитые. А ведь людям нужно не только про объективность и независимость читать, им надо конкретную работу делать – оценивать конкретные контрольные процедуры. Поэтому, помучившись и поэкспериментировав лет 15 с оценкой контрольных процедур, рассказываю вам свой накопленный опыт. Всё как есть. Конечно, в коротких заметках всех ньюансов не опишешь, но начать понимать проблему и путь решения можно. А дальше, как всегда, есть два варианта: пройти всё самому путём проб и ошибок (побыстрее, чем я, лет пять хватит, ведь направление движения покажу), или купить готовое решение.

А мы тем временем продолжим обсуждать, какими свойствами должна обладать контрольная процедура (она же КП), чтобы быть хорошей, белой и пушистой. Фишка всего этого в том, что мы говорим о свойствах абсолютно любой контрольной процедуры, применяемой где угодно, в каких угодно бизнесах и процессах. Есть же наблюдение: «Знание некоторых принципов освобождает от необходимости знания многих фактов». Точно также, знание основных свойств КП освобождает аудитора и менеджера от броуновского движения при оценке контрольной процедуры. Краткое содержание предыдущих серий: в серии 7 мы рассказали о первом свойстве КП, которое назвали «Достоверность».

Свойство второе: «Доказательность»

Любая контрольная процедура, по сути своей, предназначена для регистрации производимой бизнес операции. На память. Чтобы потом можно было прийти и проверить. Начиная с сборщиков налогов в древнем Египте, которые записывали, у кого сколько чего есть, чтобы потом прийти и собрать налог. И кончая пропускной системой у вас на работе, когда вы прикладываете пропуск с RFID меткой к считывающему устройству. Информация о времени вашего прихода и ухода записывается где-то там, чтобы потом на стол вашему начальнику легла справочка с информацией, какой вы хороший и добросовестный сотрудник. Или наоборот.

Во всех этих случаях результаты контроля сохраняются. На папирусе-пергаменте, бумаге, на диске сервера, в распределённой базе данных, в сети интернета вещей  – неважно. А важно то, что они должны там храниться столько, сколько нужно для того, чтобы потом аудитор или вышестоящий менеджер убедился в том, что контрольная операция была выполнена. То есть доказать факт её исполнения в прошлом.

Вот поэтому и назовём это свойство КП «Доказательность».

И если уж оценивать контрольную процедуру, то обязательно надо убедиться, что она сохраняет результаты операции, и сохраняет хорошо. Вахтер на воротах не только записывает в журнальчик время заезда и выезда машин с территории, но и (к примеру):

– в этом журнальчике все страницы пронумерованы;

– все они прошиты и скреплены печатью;

– сам журнальчик заполняется ровно в тот момент, когда машина приезжает или уезжает;

– сохранность документа обеспечена – например, после окончания смены он проверяется начальником охраны, о чём он делает запись в нём;

– когда все странички кончились, журнальчик торжественно сдаётся в архив, где до него не могут дотянуться ничьи шаловливые ручки, чтобы сдать в макулатуру;

– и так далее.

То же самое – с любой другой информацией о проведении контроля – текстовыми файлами, записями в базе данных, изображениями. Аудитор должен быть натренирован (иметь чек-лист) с вопросами, которые он может задать, чтобы убедиться в сохранении и сохранности записей об операции, их полноте, защите от умышленного уничтожения и так далее.

В общем-то, любого, даже не очень выдающегося ментально аудитора можно за день научить задавать правильные вопросы для оценки свойства «Доказательность» контрольной процедуры. И он расцветёт, проверено!

Так что, успехов и до новых встреч!