Кто может проводить внутренний аудит; когда надо привлечь стороннего специалиста

Внутренний аудит часто воспринимают как проверку документов и соблюдения установленных процедур. Однако задачи его гораздо шире: оценить, насколько процессы работают в соответствии с заданными требованиями, где возникают риски и какие меры необходимы для их снижения.

Внешний аудит решает другую задачу. Его проводят с привлечением независимой стороны, когда организации требуется оценка, которой должны доверять не только сотрудники компании, но и собственники, партнеры, заказчики или другие заинтересованные стороны.

Поэтому вопрос заключается не только в том, какой аудит провести, но и в том, кому поручить проверку. Внутренний аудит может выполнять штатный специалист, отдельное подразделение или привлеченный консультант. При этом исполнитель должен обладать необходимой компетентностью и не зависеть от результатов собственной работы.

Если аудитор проверяет процесс, за который сам отвечает, или его положение не позволяет получить объективные свидетельства, ценность такой проверки снижается. В этом случае формально проведенный аудит может не дать руководству достоверной картины.

Что представляет собой внутренний аудит

Внутренний аудит — систематическая и объективная оценка процессов, средств контроля и связанных с ними рисков внутри организации.

Объектом проверки может быть практически любое направление деятельности:

• закупки;
• продажи;
• производство;
• складская логистика;
• работа с персоналом;
• информационные системы;
• обслуживание клиентов;
• исполнение договоров;
• и др.

В ходе аудита специалист анализирует документы и записи, беседует с сотрудниками, наблюдает за выполнением операций и сопоставляет полученные свидетельства с установленными критериями. Критериями могут выступать внутренние регламенты, законодательные требования, стандарты, договорные условия, технологическая документация и другие применимые требования.

Результатом становится отчет, в котором фиксируются выявленные факты, несоответствия или слабые места, оцениваются связанные с ними риски и формулируются рекомендации.

Таким образом, внутренний аудит должен давать руководству информацию, пригодную для принятия управленческих решений, а не просто перечень замечаний.

Кто может проводить внутренний аудит

Проверку может выполнять штатный внутренний аудитор или специализированное подразделение. В крупных компаниях служба внутреннего аудита может включать специалистов с разной компетентностью — например, в области финансов, производственных процессов, информационных систем, качества и безопасности.

В небольшой организации отдельную службу создавать не всегда целесообразно, поэтому при отсутствии подходящих специалистов в штате бывает удобнее и выгоднее привлечь внешнего консультанта. Сам факт того, что специалист не является сотрудником компании, не превращает аудит в «внешний» в методологическом смысле. Если организация приглашает его для проверки собственных процессов, сама определяет цель и использует результаты для внутренних нужд, такой специалист фактически выполняет внутренний аудит от имени организации.

Таким образом, решающим является не название должности и не место работы аудитора, а цель проверки, ее заказчик, критерии и обеспеченная объективность.

Какие знания нужны аудитору

Компетентность аудитора должна соответствовать цели и области проверки. Специалисту необходимо понимать проверяемый процесс, уметь работать с документацией, собирать и проверять свидетельства, проводить интервью и формулировать выводы на основании фактов.

При сложных или специализированных проверках одной общей аудиторской подготовки недостаточно. Может потребоваться знание конкретной отрасли, технологии, информационной системы или нормативных требований.

В отчете важно разделять критерий, свидетельство и вывод. Например, фраза «отдел работает плохо» не дает руководству информации для принятия решения. Гораздо полезнее указать, какое нарушение установлено, что фактически обнаружено, какими данными это подтверждается, какой риск возникает и какое действие предлагается.

Почему независимость важнее должности

Внутренний аудитор может быть сотрудником компании или привлеченным специалистом, но в обоих случаях важна его независимость от проверяемой деятельности. Аудитор не должен оценивать собственные решения или процессы, за результаты которых он непосредственно отвечает.

ISO рассматривает объективность и беспристрастность как фундаментальные принципы эффективного аудита. При этом независимость внутреннего аудита не означает, что аудитор должен быть независим от всей организации: важнее отсутствие ответственности за деятельность, которую он проверяет.

Может ли руководитель проверить свой отдел

Руководитель вправе и должен контролировать работу своего подразделения. Однако управленческий контроль и внутренний аудит выполняют разные функции.

В ходе ежедневной работы руководитель отслеживает показатели, соблюдение процедур и выполнение задач. Он может выявлять ошибки и требовать их исправления. Но при проведении аудита необходимо объективно оценить соответствие процесса установленным критериям, включая решения и действия самого руководителя.

Поэтому самопроверка может быть полезна как предварительная мера: она позволяет обнаружить очевидные проблемы до официальной проверки. Но если требуется независимый результат, аудит лучше поручить специалисту, который не несет прямой ответственности за проверяемый процесс.

Для небольшой компании это может быть сотрудник другого направления, собственник или приглашенный консультант. Главное — заранее определить область проверки и исключить конфликт интересов.

Когда достаточно внутреннего аудитора

Собственной проверки обычно достаточно, если руководство хочет оценить процессы, найти причины повторяющихся сбоев, проверить внутренние правила или проконтролировать исправление замечаний.

Она полезна перед изменением структуры, запуском нового направления, внедрением информационной системы, визитом заказчика или независимой оценкой. Аудит заранее выявляет несоответствия, но внутренний отчет не заменяет внешний документ, если его требует договор или установленная процедура.

Когда нужен внешний аудитор

Внешний специалист нужен прежде всего тогда, когда компании требуется независимая оценка со стороны или компетенция, которой нет внутри организации.

К такой проверке обращаются, если необходимо:

• получить объективную оценку спорного процесса;
• исключить влияние внутренних отношений и конфликта интересов;
• проверить подразделение, руководство которого непосредственно связано с предметом аудита;
• провести специализированную проверку при отсутствии соответствующей экспертизы внутри компании;
• подготовить независимое заключение для собственников, партнеров или других заинтересованных сторон.

Особенно полезен внешний специалист в ситуациях, когда проблема затрагивает несколько подразделений и внутреннему сотруднику сложно сохранять необходимую дистанцию. Приглашенный аудитор не связан с ежедневной иерархией компании и может сосредоточиться исключительно на установленных критериях проверки.

Однако сам по себе внешний статус не гарантирует качества аудита. При выборе специалиста необходимо оценивать его компетентность, опыт, методику работы и возможные конфликты интересов.

Как выбрать специалиста

Первый критерий — компетентность в области, которую предстоит проверять. Общей подготовки по аудиту может быть недостаточно, если речь идет о сложном производственном, техническом или информационном процессе. ISO  также связывает компетентность аудитора с конкретной областью и задачами проверки.

Второй критерий — независимость. Внутренний кандидат не должен проверять решения, которые он сам принимал или утверждал. Для внешнего специалиста необходимо проверить возможные финансовые, договорные или личные связи, способные повлиять на объективность выводов.

До начала работы полезно согласовать структуру будущего отчета. Качественный документ должен показывать, на чем основаны выводы: какие критерии применялись, какие свидетельства собраны, какие несоответствия выявлены и какие последствия они могут иметь.

Не менее важен доступ к информации. Аудитор должен иметь возможность самостоятельно формировать выборку и получать необходимые подтверждения, а не работать только с заранее отобранными документами. Одновременно условия проверки должны предусматривать защиту коммерческой, персональной и технической информации.

Как организовать проверку без конфликта

До начала аудита сотрудникам необходимо объяснить его цель и порядок проведения. Если проверка воспринимается как поиск виновных, сотрудники получают стимул скрывать ошибки, а качество аудиторских свидетельств снижается.

На старте определяют область и критерии аудита, сроки, ответственных лиц и порядок взаимодействия. Программа проверки должна учитывать ее цели и риски. ISO 19011 предусматривает риск-ориентированный подход к планированию аудитов и оценке компетентности участников.

Аудитор самостоятельно определяет необходимую выборку и проверяет полученные свидетельства. Предварительные выводы можно обсуждать с представителями проверяемого подразделения, чтобы исправить фактические ошибки или предоставить дополнительные доказательства. Однако обсуждение результатов не должно превращаться в согласование выводов с проверяемой стороной.

После завершения аудита необходимо назначить ответственных за корректирующие действия и определить сроки их выполнения. В дальнейшем проверяют не только факт закрытия замечаний, но и результативность принятых мер: устранена ли причина проблемы и снизился ли соответствующий риск.

Можно ли совместить внутренний и внешний аудит

Внутренний и внешний аудит не конкурируют, а решают разные задачи.

Внутренний аудит позволяет регулярно отслеживать процессы, выявлять проблемы и контролировать выполнение корректирующих мероприятий. Внешний специалист добавляет независимый взгляд и может привлечь специализированную экспертизу, которой нет внутри компании.

На практике эти инструменты можно последовательно использовать в рамках одного цикла. Компания сначала проводит внутреннюю проверку, устраняет выявленные проблемы, а затем при необходимости приглашает внешнего специалиста для независимой оценки.

Такой подход позволяет не подменять один формат другим. Внутренний аудит обеспечивает постоянную обратную связь, а внешний дает дополнительную объективность в тех случаях, когда она необходима.

Перед составлением программы важно разделить задачи двух форматов: внутренний аудит ориентирован на внутреннее управление и совершенствование процессов, внешний — на независимую оценку со стороны. Подробно различия в целях, полномочиях проверяющих и получателях итогового отчета рассмотрены в Руководстве ТопФрейм.

Заключение

Внутренний аудит может проводить штатный специалист, отдельная служба, сотрудник другого подразделения или привлеченный консультант. Определяющим условием является не его должность и не форма занятости, а компетентность и объективность при проверке конкретной деятельности.

Руководитель вправе контролировать собственный отдел, но такой управленческий контроль не обеспечивает той же степени независимости, что аудит, проведенный специалистом, не связанным с проверяемым процессом.

Внешний аудитор необходим, когда компании требуется независимая оценка, специализированная экспертиза или результат, предназначенный для третьей стороны. Он также оправдан при конфликте интересов, спорных ситуациях и проверке процессов, в которых внутренним сотрудникам трудно сохранить необходимую объективность.

Правильный выбор начинается с определения цели. Если задача состоит в регулярном контроле и совершенствовании процессов, основным инструментом может быть внутренний аудит. Если требуется независимая оценка со стороны, привлекают внешнего специалиста. В зрелой системе управления эти два подхода дополняют друг друга.