Расходы Банка России. Целесообразность, контроль и аудит - [19]

Тестирование контролей включает два этапа: тестирование «дизайна» (на основе одного примера, детального изучения документации); тестирование операционной эффективности (на основе выборки).

Критерии оценки тестирования «дизайна» являются достаточно общими и включают параметры: полноты (Completeness); точности (Accuracy); достоверности (Validity); ограниченного доступа (Restricted Access).

Критерии оценки операционной эффективности формируются на основе тестирования «дизайна» и являются специфичными для каждой процедуры контроля. Как правило, это простые критерии, связанные с:

• наличием авторизации от руководителей;

• соответствием деталей между различными источниками информации, документами;

• объяснения выявленных отклонений;

• интерпретация и принятых решений на основе оптимальных значений/параметров.

Простота критериев позволяет устанавливать простые факты, которые затем могут быть интерпретированы аналитически, однако сами по себе не вызывают достаточных споров и согласований, что заметно упрощает процедуру проверки и взаимоотношения с проверяемыми сотрудниками/руководителями.

На практике, однако, выполнение полной программы аудита не всегда достигается и не является оптимальным использованием ресурсов. Основной акцент направлен на выявление наблюдений/свидетельств, которые затем лягут в основу содержательных выводов, заключений и рекомендаций. Как правило, выполнение полной программы с учетом всей требуемой информации возможно, однако связано с существенными затратами на подготовку и предоставление информации, ожидание данной информации – даже не включая проверку качества данных перед дальнейшим анализом. Таким образом, проведение проверки использует программу аудита и запланированный список тестовых мероприятий в качестве ориентира, который затем существенно корректируется в зависимости от получаемых сведений, оценки рисков и формируемых наблюдений. Действительно, на многие контрольные мероприятия можно получить утверждение руководства о том, что процесс не является оптимальным и эффективным. Подготовка и анализ информации о данной сфере уже имеет меньшую значимость и воспринимается как формальное контрольное мероприятие, которое вряд ли добавит новых сведений к итоговому выводу (тем, не менее, желательно получить хотя бы один пример, демонстрирующий – хотя бы косвенно – данную неэффективность процесса).

Соответственно, по мере выполнения аудита эффективности наступает момент, когда дальнейшее проведение проверки по плану тестовых мероприятий приносит все меньше результатов и наблюдений, и программа аудита постепенно урезается за счет обоснования целесообразности дальнейших контрольных мероприятий.

10. После проведения тестирования контролей и оценки эффективности контролируемости за установленными процессами, можно продолжить проверку и акцентировать внимание на детальном изучении данных. Глубина и характер проведения детального исследования зависят от выявленного риска, достаточности контрольных процедур и их эффективности. Чем меньше итоговая надежность процесса (т. е. выше остаточный риск), тем больше данных можно взять для детальной проверки. Например, в ситуации оплаты счетов, если отсутствует контрольная процедура авторизации счетов, тогда предположительно, данная сфера является неэффективной. Можно сформулировать вывод о том, что система внутреннего контроля должна быть улучшена. В дальнейшем, можно провести детальный анализ (на основе выборки или всех данных) об оплаченных счетах и сделать определенные выводы, в зависимости от целей исследования. Однако вполне возможно, что в ходе такого анализа будет подтверждено, что многие счета на оплату являются вполне действительными, хотя и не были авторизованы. Соответственно, сделать конечный вывод о степени неэффективного использования средств будет затруднительно. С другой стороны, если процесс оплаты счетов включает процесс авторизации, тогда можно полагаться, что процесс функционирует согласно регламенту. Если в таком случае принимается решение (на основе анализа общего риска, достаточности контролей и их эффективности), что аудит необходимо дополнить анализом оплаченных счетов, тогда можно использовать меньшую выборку и полагаться, что остальные транзакции проходят аналогичным способом. Тем не менее, даже в таких ситуациях (при наличии достаточных процедур контроля и их эффективности) можно определить случаи, когда проводятся ошибочные или мошеннические транзакции, что может найти отражение в итоговых выводах, заключениях и рекомендациях. Тем не менее, если выявляются такие ситуации-инциденты, это свидетельствует о том, что существующие контрольные мероприятия не являются достаточными и присутствует недостаток «дизайна» системы контроля (за контрольными мероприятиями). Соответственно, опять можно акцентировать внимание на неэффективности процессов и контролей, а не отдельных выявленных нарушениях. В табл. 7.1, 7.2, 7.3 представлен пример оценки обоснованности расходов по оплаченным счетам.

Таблица 7. 1 – Процесс/цикл: Счета на оплату – этапы 1 и 2

Таблица 7.2 – Содержание этапа анализа операции