66
исключения нужды проверки работы внутренних аудиторов, рекомендуется
применять метод FMEA для изучения возможных нарушений, какие могут
появиться при проведении внутреннего аудита также их последствий.
Данный метод повышает качество разработки процессов, выявляя слабые
места в процессе, устанавливая причины их появления, оценивая последствия
и риск организации.
Задачи, которые решаются при FMEA анализе:
- установление слабых сторон процесса внутреннего аудита и варианты
их преодоления;
- выявление информаций о риске разных процессов;
- уменьшение и улучшение качества работы внутренних аудиторов;
Структура функциональных нарушений процесса внутреннего аудита с
выделением цепочки нарушений главной функции представлена в таблице.
Таблица 14.
FMEA анализ внутреннего аудита
Возможные
последстви
я (FE)
Возмож
ная
ошибка
(F)
Возможны
е
причины
(FU)
Меры по
обнаружен
ию
Меры по
предупрежд
ению
Внутренний
аудит
операционн
ого риска:
не
обеспечивае
тся
функционир
ование
внутреннего
аудита
операционн
ым рисков в
банке
9
В ходе
внутренн
его
аудита
выявлен
ы не все
ошибки
Недостаток
внутренни
х
процессов
анализ
сведений,
предоставл
яемые
подразделе
ниями при
самооценке
по
операционн
ым рискам
3
всесторонняя
регламентаци
я бизнес-
процессов и
процедур
3
81
67
Недостаток
функциони
ровании
информаци
онных
систем
ежедневны
й анализ
данных о
реализован
ных
событиях
операционн
ого риска и
понесенном
ущербе
4
комплекс
мер,
направленны
х на
обеспечение
информацион
ной
безопасности
,
непрерывност
и
автоматизиро
ванных
систем
3
108
Ошибка
аудитора;
Недостаток
квалифика
ции
сотрудника
Визуальны
й
контроль.
4
Повышение
квалификаци
и
5
180
– коэффициент, который оценивает тяжесть последствий;
– коэффициент, который оценивает вероятность возникновения последствий;
– коэффициент, который оценивает вероятность необнаружения последствий
или причины, которые могут вызвать последствия.
Приоритетный коэффициент риска
–определяется для каждого вида
последствий, возможности обнаружения и причины возникновения и
считается конечным показателем риска. Приоритетный коэффициент риска
высчитывается по формуле:
Данная формула помогает определить те причины, характеризующие
наибольшее значение приоритетного риска. Чем выше приоритетный
коэффициент риска, тем необходимее его снижать и уделять данному риску
большое внимание. Как правило значение
≥ 100 и больше говорит об
опасном риске. Если данный коэффициент превышен, необходимо принять
корректирующие действия.
В ходе проведения предложенного FMEA-анализа процесса
внутреннего аудита ПАО Сбербанк, обнаружены вероятные нарушения
68
процесса, причины возникновения. В процессе заполнения таблицы 14
установлены высокие
(81,108,180), что говорит о необходимости
квалификации сотрудников, постоянного мониторинга качества
автоматизированных процессов и регламентация процессов.
В целях развития внутреннего аудита в ПАО Сбербанк также
предложена работа, которая включает в себя постоянное автоматизирование
методов контроля, использование технологии таких, как искусственный
интеллект, роботизация процессов, большие данные, удаленный
автоматизированный Мониторинг за деятельностью подразделения.
Служба внутреннего аудита на постоянной основе удаленно следить
по всем территориальным банкам по перечню обязательных индикаторов,
которые предложены в таблицах ниже. По результату Мониторинга
формируется план, где указываются подразделения, подлежащие к
обязательной проверке службой внутреннего аудита. Операции, которые не
подлежат постоянному мониторингу, подлежат к группе индикаторов
наибольшего уровня риска. Аудитор оформляет в сводную карту итоги
мониторинга. Подразделения, имеющие высокий риск в сводной карте
подлежат обязательному внутреннему аудиту службой внутреннего аудита
ПАО Сбербанк.
Таблица 15.
Сводная карта мониторинга подразделении
Индикатор мониторинга
Наименование подразделений
Итого по
индикатор
ам
Подразд
еление 1
Подразд
еление 2
И т.д.
Контроль лимитов остатков
средств кассы
Превышение лимитов
денежной наличности на
рабочем месте
69
И т.д.
Итого по подразделению:
После заполнения сводной карты мониторинга в графе “Итого по
подразделению” проводится оценка системы внутреннего контроля
подразделения и решают какое подразделения подлежит обязательному
аудиту. (зеленый цвет- приемлемый уровень риска, желтый – средний
уровень риска, красный-высокий уровень риска).
3.2 Планирование внутреннего аудита с применением
международных и внутренних стандартов организации
В системе нормативного регулирования аудиторской деятельности
важную роль играют внутренние стандарты, которые приняты и утверждены
ПАО Сбербанк, которые регламентируют и детализируют общие условия к
проведению и оформлению внутреннего аудита.
Порядок проведения внутренних аудитов в ПАО Сбербанк:
1) Планирование внутреннего аудита. В этот этап входит:
– назначить руководителя аудита;
– уточнить состав группы аудиторов и их обязанностей;
– разработать план внутреннего аудита, содержащего цели, объем и
критерии (приложение 2)
33
;
– проверить выполнение результативности корректирующих действий
(коррекции) предыдущих аудитов службы контроля и дополнить
разрабатываемый план аудита по итогам данной проверки;
– согласовать план аудита, состав группы и сроки проведения аудита с
руководителем проверяемого подразделения;
33
Приложение 2. Форма плана внутреннего аудита.
70
– утвердить представителем руководства по качеству плана аудита не
позднее чем за 5 дней до проведения проверки;
– обеспечить аудиторов необходимой документацией и формами:
«План внутреннего аудита» (приложение 2); «Контрольный перечень
вопросов по аудиту» (приложение 3)
34
и «Протокол о несоответствии»
(приложение 4);
35
– анализ документации внутренними аудиторами.
Рисунок 8. Порядок проведения внутреннего аудита
2) Проведение аудита. Внутренний аудит Банка проводится по
следующему этапу:
–Провести вступительное совещание.
34
Приложение 3. Форма контрольного перечня вопросов по внутреннему аудиту.
35
Приложение 4. Форма протокола о несоответствии.
71
–Сбор и проверка информации: о наличии и доступности всех
документов, которые обязательны для деятельности данного подразделения
или процесса; о соответствии деятельности подразделения требованиям,
которые установлены в документации службы контроля.
3) Проверка компетентности персонала. На данном этапе в формах
«Контрольный перечень вопросов по аудиту подразделения» и «Протокол о
несоответствии» регистрируются свидетельства внутреннего аудита.
4) Подготовка внутренними аудиторами заключения по итогам аудита
подразделения, которое заносится в «Отчет по внутреннему аудиту»
(приложение 5).
36
При формулировании заключения аудита констатируется,
достигнуты ли цели аудита службы контроля в соответствии с его планом.
5)Проведение заключительного совещания, где доводятся
свидетельства и заключение по итогам аудита до руководителей
проверяемых подразделений. Свидетельства аудита должны содержать как
достигнутые (положительные) результаты, так и несоответствия.
Подготовка, установление и рассылка отчета по внутреннему аудиту
подразделения.
В отчет внутреннего аудита должно входить (приложение 5):
– цель аудита;
– объем аудита, сюда входят сроки и область аудита;
– информация о руководителе, а также о составе аудиторской группы;
– критерии аудита;
– свидетельства аудита;
– заключения по результатам аудита;
– рекомендации по улучшению;
– лист рассылки отчета по внутреннему аудиту.
36
Приложение 5. Форма отчета о внутреннем аудите системы качества.
72
После проведения внутреннего аудита в течение одной недели
руководитель аудиторской группы отправляет руководству по качеству отчет
для анализа и утверждения.
Руководители проверяемых подразделений, после получения отчета
по качеству «Отчет по внутреннему аудиту», по выявленным
несоответствиям должны организовать действия в соответствии с
стандартами “Система качества. Управление несоответствиями. Единый
порядок управления несоответствиями” и “Система качества.
Корректирующие и предупреждающие действия. Порядок применения
корректирующих и предупреждающих действий”.
Стадии внутреннего аудита.
1) Аудит адекватности. Проверка документации аудируемого
подразделения проводится согласно программе и плану аудита.
Документация аудируемого подразделения должна соответствовать
стандартам ПАО Сбербанк:
− Внутрибанковская система качества деятельности. Требования к
структуре и содержанию;
− Руководство по качеству. Описание системы качества;
− Управление документами системы качества. Единый порядок
управления документами системы качества;
− Управление записями по качеству. Единый порядок управления
записями по качеству.
Проверка документов при аудите адекватности проводится по
следующим позициям:
– внешний вид документов;
– комплектность и полнота документов;
– наличие всех подписей, их расшифровок, дат и должностей
разработчиков, проверяющих, которые согласуют и утверждают документ;
73
– соответствие на установленные требования по обозначению,
наименованию, структурному построению документа;
– использование точных и однозначных терминов и определений;
– обеспечение прослеживания информации;
– описание процесса с достаточной детализацией, соответствующее
компетентности персонала, который выполняет процесс;
Аудитор заносит выявленные несоответствия в документах и заносит
их в протокол о несоответствии (приложение 4).
Аудитор по итогам внутреннего аудита адекватности при
необходимости корректирует план проведения аудита соответствия.
2) Аудит соответствия. При данном аудите определяется степень
фактического выполнения сотрудниками требований, которые установлены в
документации.
Выявленные несоответствия аудитор заносит в протокол о
несоответствии (приложение 4).
Управление записями при проведении аудита.
Ежегодная программа проведения внутренних аудитов содержит
перечень планируемых аудитов с указанием сроков их проведения.
Программа разрабатывается на год. Планирование проходит так, чтобы
каждое подразделение было проверено в течение года больше одного раза.
Программа оформляется в соответствии с приложением 1 и
рассылается в подразделения, запланированные для аудита.
Руководитель службы внутреннего аудита на основе программы
проведения внутренних аудитов (приложение 1)
37
составляет план
проведения внутреннего аудита.
Выявленные в результате аудита несоответствия регистрируются в
протоколах о несоответствии (приложение 4). Там же руководитель
37
Приложение 1. Форма программы внутренних аудитов.
74
подразделения записывают предлагаемые корректирующие или
предупреждающие действия.
Главный аудитор по окончании аудита составляет отчет (приложение
5), содержащий точные, полные, понятные всем сведения по проведенному
аудиту. Данный отчет считается одной из записей по качеству и нужен для
оценки службы контроля и принятия решений об её улучшении. Копии
отчета отправляет руководителям подразделений, которые прошли аудит.
Оригиналы плана и программы аудита, протоколов о несоответствиях,
отчета об аудите под руководством начальника архивируются и в течение
трех лет. Полномочия, обязанности и ответственность внутренних аудиторов
Персонал, ответственный за проведение аудитов и осуществляющий
их, обязан пройти специализированную подготовку и иметь квалификацию
внутреннего аудитора.
Общие требования к внутренним аудиторам определяются
требованиями ГОСТ Р 58490-2019
38
:
– наличие высшего образования и опыта работы в соответствующей
сфере не менее 3 лет;
– наличие специальной подготовки по проведению аудитов и
сертификата (удостоверения) внутреннего аудитора;
– знание нормативных документов ПАО Сбербанк, в том числе
требования;
– реалистичность и объективность, умение аналитически и гибко
мыслить, целеустремленность;
– умение устанавливать личные контакты, уравновешенность,
коммуникабельность, умение владеть собой.
38
ГОСТ Р 58490-2019 СИСТЕМЫ МЕНЕДЖМЕНТА КАЧЕСТВА. ПОРЯДОК СЕРТИФИКАЦИИ ПРОИЗВОДСТВ С
УЧЕТОМ ТРЕБОВАНИЙ ГОСТ Р ИСО 9001-2015
75
Внутренние аудиторы должны сохранять конфиденциальность
информации. Внутренний аудитор несет ответственность в части
выполняемой работы за достоверность и объективность информации по
аудиту.
Таблица 16.
Шаги проведения внутреннего аудита
Начальник аудиторской группы разрабатывает, согласовывает у руководства
внутреннего аудита программу аудитов. Программу утверждает директор
управления службы внутреннего аудиты.
Факторы, которые учитываются при разработке внутреннего аудита:
− требования заинтересованных сторон;
− претензии и рекламации на подразделение;
− указания руководства и предложения подразделений.
Руководитель группы аудиторов на основании программы аудитов начинает
подготовку плана внутреннего аудита подразделения, согласовав с
представителем проверяемого подразделения и его утверждение у
представителя руководства по качеству.
Перед началом внутреннего аудита подразделения руководитель аудиторской
группы проводит вводное совещание с аудиторами, руководителями и
другими представителями проверяемого подразделения.
Руководитель аудиторской группы дает информацию присутствующим о плане
и программе аудита СК.
Аудиторы проводят сбор и проверку информации согласно с программой,
целями и задачами аудита.
Результаты работы фиксируются в форме контрольного перечня вопросов
по аудиту СК (приложение 3). Выявленные несоответствия фиксируются в
протоколах о несоответствиях (приложение 4).
По результату внутреннего аудита руководитель группы аудиторов готовит
отчет по результатам аудита. Во время подготовки отчета используются
материалы аудиторов, такие как протоколы о несоответствии, контрольный
перечень вопросов по аудиту, предложения аудиторов в отчет и др.
После окончания внутреннего аудита и составления отчета проходит
итоговое совещание группы аудиторов, где доводятся до руководителей
проверяемого подразделения результаты внутреннего аудита.
Руководитель группы аудиторов устраивает обсуждение результатов
аудита, утверждение, рассылку и хранение отчета об аудите
(приложение 5).