Мониторинг выполнения мероприятий по устранению нарушений и рисков в системе внутреннего контроля (практика ОАО «Российские железные дороги»)

АУДИТ, КОНТРОЛЬ, УПРАВЛЕНИЕ РИСКАМИ

УДК 657.6

Мониторинг выполнения мероприятий по устранению нарушений и рисков в системе внутреннего контроля

В статье рассматривается практика ОАО «РЖД» по созданию эффективной системы организации и проведения мониторинга выполнения мероприятий по устранению нарушений, недостатков и рисков, а также совершенствованию системы внутреннего контроля на основе внедрения системы внутрикорпоративных стандартов.

Ключевые слова: аудит, контроль, мониторинг, план мероприятий, нарушения, недостатки, риски, система внутренне- О Б Иванов

го контроля (СВК), стандарты, устранение нарушений.

В основе функционирования внутреннего контроля и аудита компании лежит организация работы по построению системы, кторая обеспечивает: заслон неэффективному использованию финансовых, материальных и иных ресурсов; своевременное выявление нарушений, недостатков и рисков, их оперативное устранение и мобилизацию на этой основе внутрихозяйственных резервов. И здесь важно подчеркнуть, что главное в деятельности службы внутреннего контроля и аудита — не выявить нарушения или определить риски, а обеспечить их устранение и исключить условия для их повторяемости. Устойчивого результата можно добиться только при условии, что эта работа будет строиться на системной основе.

Следует отметить, что практика эффективной организации такой работы создана в ОАО «Российские железные дороги». В компании внедрен стандарт «Организация и проведение мониторинга выполнения мероприятий по устранению нарушений, недостатков и совершенствованию системы внутреннего контроля». Он разработан с учётом требований нормативных документов Российской Федерации, лучшей зарубежной и отечественной практики, международных стандартов внутреннего аудита и внутрикорпоративных нормативных документов ОАО «РЖД».

Стандарт регламентирует процедуру мониторинга выполнения мероприятий по устранению нарушений,

© Иванов О.Б., 2014

97

Устранение нарушений и рисков в системе внутреннего контроля

недостатков и совершенствованию системы внутреннего контроля (СВК) подразделениями внутреннего аудита компании и ее дочерних и зависимых обществ.

Действие настоящего Стандарта распространяется на все подразделения аппарата управления ОАО «РЖД», его филиалы и другие структурные подразделения, негосударственные учреждения и в установленном порядке на его дочерние и зависимые общества.

Мониторинг выполнения планов мероприятий по устранению нарушений, недостатков и рисков представляет собой непрерывный процесс оценки подразделением внутреннего аудита адекватности, эффективности и своевременности действий, предпринятых руководителями объектов внутреннего аудита и контроля, по устранению нарушений, недостатков и рисков, выявленных в ходе проведенных ранее проверок.

Процесс мониторинга должен осуществляться непрерывно до полного устранения нарушений и минимизации рисков, а также устранения причин их возникновения и условий для их повторяемости. При этом процесс мониторинга включает:

— получение информации от руководителей объектов внутреннего аудита и контроля о состоянии выполнения планов мероприятий по устранению нарушений, недостатков и рисков (в том числе первичной документации, подтверждающей выполнение указанных мероприятий);

— анализ и проверку документации, подтверждающей выполнение мероприятий;

— планирование и проведение контрольных (последующих) проверок результатов выполнения мероприятий;

— формирование отчета по результатам мониторинга.

Руководители объектов внутреннего аудита и контроля в установленные сроки после подписания отчета по результатам проверки проводят совещания по рассмотрению результатов проверки, на которых определяют причины допущенных нарушений, виновных должностных лиц, а также разрабатывают планы мероприятий по устранению нарушений, недостатков и рисков, меры по недопущению их впредь; определяют меры, направленные на совершенствование системы внутреннего контроля в подразделении.

При этом устанавливается порядок, при котором руководители проверяемых подразделений и дочерних обществ несут ответственность за обеспечение своевременного и надлежащего выполнения плана мероприятий по устранению выявленных проверкой нарушений, недостатков и мер по минимизации рисков.

Курирующие вице-президенты и руководители причастных подразделений аппарата управления компании осуществляют текущий контроль за полнотой и своевременностью выполнения планов мероприятий руководителями объектов внутреннего контроля и аудита, в том числе:

98

Устранение нарушений и рисков в системе внутреннего контроля

— принимают меры по обеспечению мероприятий по совершенствованию системы внутреннего контроля в подведомственных подразделениях;

— контролируют работу по выполнению планов мероприятий в структурных подразделениях с оказанием консультационной помощи руководителям объектов внутреннего аудита в пределах своей компетенции и полномочий;

— привлекают к ответственности руководителей объектов внутреннего аудита, допустивших нарушения и не принявших своевременных мер по их устранению.

Периодически или согласно запросам подразделения внутреннего аудита руководители объектов внутреннего аудита и контроля предоставляют работникам подразделения внутреннего аудита информацию о состоянии выполнения планов мероприятий и документы, подтверждающие фактическое выполнение мероприятий.

Работники подразделения внутреннего аудита при необходимости запрашивают дополнительную информацию о состоянии выполнения плана мероприятий (включая подтверждающую документацию) от подразделений компании и в установленном порядке от ее дочерних и зависимых обществ.

Для агрегации информации по состоянию выполнения планов мероприятий работники подразделения внутреннего аудита формируют документ, который именуется «Статус о выполнении мероприятий по устранению нарушений, недостатков и совершенствованию системы внутреннего контроля» (таблица 1). Данный статус обновляется в непрерывном режиме при разработке новых планов мероприятий по итогам проверок, при изменении состояния выполнения планов мероприятий, при изменении сроков мероприятий или смене работников, ответственных за их выполнение.

Статус о выполнении мероприятий содержит:

— список мероприятий по совершенствованию системы внутреннего контроля, включая мероприятия по возмещению потерь;

— список работников компании или ее дочерних и зависимых обществ, ответственных за выполнение мероприятий;

— сроки исполнения мероприятий;

— информацию о состоянии выполнения мероприятий.

Результаты выполнения мероприятий по совершенствованию системы внутреннего контроля также подлежат проверке подразделением внутреннего аудита. Проверка результатов выполнения мероприятий осуществляться посредством анализа и проверки документации, подтверждающей факт или состояние выполнения мероприятий.

На основе статуса о выполнении мероприятий и результатов проверок выполнения планов мероприятий работники подразделения внутреннего аудита периодически формируют сводный отчет по результатам мониторинга в разрезе каждой проверки и направляют его руководителю подразделения

99

Таблица 1

О

° Статус о выполнении мероприятий по устранению нарушений, недостатков, рисков и совершенствованию системы

внутреннего контроля

Недостаток, нарушение, риск Уровенв значимости недостатка Мероприятие Срок мониторинга состояния выполнения мероприятия Ответственный работник объекта внутреннего аудита и контроля Работник подразделения внутреннего аудита, ответственный за мониторинг Состояние выполнения мероприятия (по данным ответственных работников объекта внутреннего аудита и контроля) Комментарии

дается описание недостатка, нарушения, риска в соответствии с внутрикор-поративнв1м стандартом «Проведение внутренних аудиторских проверок подразделением внутреннего аудита и контроля» 1. высокий, 2. средний, 3. низкий Ранжирование недостатков осуществляется в соответствии со стандартом «Проведение внутренних аудиторских проверок подразделением внутреннего аудита и контроля» описание мероприятия План мероприятий по устранению нарушений, недостатков, рисков и совершенствованию системы внутреннего контроля составляется в соответствии со стандартом «Подготовка отчета по резулв-татам проведения внутренней аудиторской проверки подразделением внутреннего аудита и контроля» периодичноств устанавливается в соответствии с Положением о внутреннем аудите в ОАО «РЖД»; Положением о системе внутреннего контроля в ОАО «РЖД»; решением руководителей подразделений внутреннего аудита и контроля ФИО и должности работника объекта внутреннего аудита и контроля (объекта проверки) ответственного за выполнение мероприятия ФИО и должности работника подразделения внутреннего аудита, ответственного за мониторинг 1. мероприятие выполнено; 2. мероприятие выполнено частично; 3. мероприятие не выполнено; 4. мероприятие в процессе выполнения если мероприятие не выполнено / выполнено частично указывается причина и предполагаемый срок, к которому мероприятие должно бытв выполнено, а также определяется лицо виновное в невыполнении мероприятия в срок или в неполном объеме

Устранение нарушений и рисков в системе внутреннего контроля

Устранение нарушений и рисков в системе внутреннего контроля

внутреннего аудита, который принимает решение о направлении информации президенту компании, курирующим вице-президентам. Кроме того, информация о результатах выполнения плана и о фактах невыполнения мероприятий, направленных на устранение наиболее значимых недостатков, нарушений, возмещению потерь, минимизации рисков направляется причастным руководителям подразделений компании и дочерних обществ для принятия мер.

Руководитель объекта внутреннего аудита и контроля в десятидневный срок со дня подписания отчета по результатам проверки проводит совещание по разбору выявленных нарушений и рисков, определению причин нарушений, виновных, а также рассматривает проект плана мероприятий по устранению нарушений и совершенствованию системы внутреннего контроля.

Для каждого выявленного в ходе проверки недостатка или нарушения руководитель объекта внутреннего аудита и контроля:

— разрабатывает мероприятия, направленные на его устранение;

— определяет сумму потерь, которая должна быть возмещена (если реализация рисков и нарушения привели к потерям);

— определяет срок выполнения мероприятия;

— назначает работников, ответственных за выполнение каждого из мероприятий.

Особо выделяются мероприятия по совершенствованию СВК, к которым относятся:

— внедрение новых и совершенствование существующих контрольных процедур (включая разработку нормативных документов);

— возмещение возникших вследствие нарушений и реализации рисков потерь;

— корректировка бизнес-процесса;

— совершенствование системы управления подразделением, изменение и дополнение положений и должностных инструкций;

— изменение структуры подразделения.

При разработке проекта плана мероприятий по совершенствованию СВК руководитель объекта внутреннего аудита и контроля должен учитывать следующие факторы:

— требуемые финансовые, временные, трудовые и иные ресурсы; при этом стоимость ресурсов, необходимых для выполнения мероприятия, не должна превышать размер возможного ущерба от реализации риска;

— снижение рисков — разработанные мероприятия и контрольные процедуры должны быть направлены на устранение недостатков СВК, в том числе на исключение повторяемости нарушений и реализации рисков;

— последовательность выполнения мероприятий — порядок выполнения мероприятий должен учитывать уровень значимости недостатков

101

Устранение нарушений и рисков в системе внутреннего контроля

и нарушений, на которые направлены разрабатываемые мероприятия, а также взаимозависимость мероприятий;

— влияние на прочие риски — предлагаемые мероприятия не должны снижать эффективность управления прочими рисками объекта внутреннего аудита и контроля, а также рисками смежных бизнес-процессов;

— возможность возмещения потерь — мероприятия должны предусматривать возможность полного или частичного возмещения потерь по выявленным нарушениям и реализовавшимся рискам;

— привлечение к ответственности в установленном порядке лиц, допустивших нарушения.

Руководитель объекта внутреннего аудита и контроля документирует проект плана мероприятий по совершенствованию СВК по установленной форме (таблица 2), подписывает и направляет его руководителю проверки на рассмотрение, который в недельный срок после его получения анализирует проект на предмет адекватности предлагаемых мероприятий и степени снижения рисков по результатам устранения недостатков по следующим параметрам:

1) позволит ли мероприятие после его выполнения обеспечить полное и своевременное устранение выявленных нарушений, недостатков и последствий реализации рисков;

2) позволит ли выполнение плана мероприятий по совершенствованию СВК снизить риски объекта внутреннего аудита и контроля до приемлемого уровня;

3) позволит ли мероприятие после его выполнения наиболее полно возместить потери от нарушений и реализовавшихся рисков;

4) достаточность предлагаемых мероприятий — является ли набор предлагаемых мероприятий полным и исчерпывающим для обеспечения эффективности СВК объекта внутреннего аудита и контроля и устранения всех выявленных нарушений, недостатков и рисков;

5) соответствует ли порядок устранения недостатков и нарушений определенному уровню значимости;

6) учитывает ли порядок выполнения мероприятий их взаимозависимость;

7) приемлемы ли сроки и последовательность реализации мероприятий для эффективного устранения недостатков и нарушений.

По результатам анализа руководитель проверки дает комментарии и предложения к плану мероприятий и направляет их руководителю объекта внутреннего аудита и контроля, после чего тот в свою очередь рассматривает их (при необходимости согласовывает с курирующим вицепрезидентом) и утверждает. После этого руководитель объекта внутреннего аудита и контроля обязан:

— незамедлительно уведомить ответственных работников своего подразделения об их обязанностях и ответственности в рамках реализации

102

План мероприятий по устранению нарушений, недостатков, рисков и совершенствованию

системы внутреннего контроля

Таблица 2

№ п/п Недостаток, нарушение, риск Стоимостная оценка, тыс.руб. (если применимо) Уровенв значимости недостатка/ нарушена, риска Мероприятие Срок выполнения мероприятия Затраты на выполнение мероприятий, тыс. руб. (если применимо) Должностное лицо, ответственное за выполнение мероприятия Примечание

1 2 3 4 5 6 7 8 9

описание недостатка, нарушения, риска в соответствии со стандартом «Проведение внутренних аудиторских проверок подразделением внутреннего аудита и контроля» 1. ВЫСОКИЙ, 2. средний, 3. низкий Ранжирование недостатков осуществляется в соответствии со стандартом «Проведение внутренних аудиторских проверок подразделением внутреннего аудита и контроля» описание мероприятия указывается срок выполнения мероприятия согласно плану мероприятий по устранению нарушений, недостатков и совершенствованию СВК ФИО и должности работника объекта внутреннего аудита и контроля, ответственного за выполнение мероприятий

О

Устранение нарушений и рисков в системе внутреннего контроля

Устранение нарушений и рисков в системе внутреннего контроля

плана мероприятий по устранению нарушений, недостатков, минимизации рисков и совершенствованию СВК;

— обеспечить своевременное и надлежащее выполнение утвержденного плана;

— своевременно в текущем режиме уведомлять подразделение внутреннего аудита об исполнении мероприятий.

Руководители причастных подразделений аппарата управления компании осуществляют контроль за полнотой и своевременностью выполнения планов мероприятий руководителями объектов проверки, в том числе:

— принимают меры по обеспечению выполнения разработанных мероприятий;

— контролируют работу по выполнению планов мероприятий в структурных единицах и подразделениях, а также дочерних и зависимых обществах;

— привлекают к ответственности руководителей объектов внутреннего аудита и контроля, не принявших своевременных мер по устранению выявленных недостатков, нарушений и внедрению мероприятий по совершенствованию системы внутреннего контроля.

Руководители объектов внутреннего аудита и контроля периодически отчитываются в подразделение внутреннего аудита о состоянии выполнения плана мероприятий. Информация должна содержать следующие сведения:

а) «мероприятие выполнено» — для данных мероприятий руководитель объекта внутреннего аудита и контроля:

1) предоставляет документацию, подтверждающую факт выполнения мероприятия;

2) указывает дату выполнения мероприятий;

б) «мероприятие выполнено частично» (выполнены отдельные пункты мероприятия) — для данных мероприятий руководитель объекта внутреннего аудита и контроля:

1) предоставляет документацию, подтверждающую факт частичного выполнения мероприятия;

2) указывает причины, по которым мероприятие не выполнено в установленный срок и в полном объеме;

3) указывает планируемые сроки выполнения мероприятия;

в) «мероприятие в процессе выполнения» — для данных мероприятий руководитель объекта внутреннего аудита и контроля подтверждает, что их выполнение осуществляется в установленные сроки;

г) «мероприятие не выполнено» — для данных мероприятий руководитель объекта внутреннего аудита и контроля указывает:

1) причины, по которым мероприятие не выполнено в установленные сроки или выполнено не полностью;

2) планируемые сроки выполнения мероприятия (если мероприятие планируется выполнить в дальнейшем);

104

Устранение нарушений и рисков в системе внутреннего контроля

3) определяет должностных лиц, виновных в срыве мероприятий.

По поручению президента компании или решению директора по внутреннему контролю и аудиту для мероприятий, направленных на устранение недостатков с высоким уровнем значимости, может быть установлен особый контроль и обеспечен мониторинг состояния их выполнения. В данном случае:

— работники подразделения внутреннего аудита согласно установленным срокам и периодичности отчетности запрашивают информацию о состоянии выполнения мероприятий и подтверждающую документацию у руководителя объекта внутреннего аудита и контроля в установленном порядке;

— руководитель объекта внутреннего аудита и контроля, после получения соответствующего запроса, незамедлительно предоставляет информацию о состоянии выполнения мероприятий в подразделение внутреннего аудита.

Ответственные сотрудники подразделения внутреннего аудита контролируют сроки, качество, достоверность и полноту предоставления руководителем объекта внутреннего аудита и контроля информации о выполнении плана мероприятий, проверяют подтверждающую документацию, анализируют причины срывов исполнения мероприятий плана.

При планировании проверок результатов выполнения мероприятий учитывается время, необходимое на анализ подтверждающей документации; определяется порядок проведения контрольных проверок.

Руководители проверок при разработке аудиторских процедур учитывают:

— уровень значимости недостатков, нарушений, рисков, на устранение которых направлены мероприятия;

— специфику мероприятий;

— последовательность выполнения мероприятий;

— состояние выполнения мероприятий по информации, полученной от руководителей объектов внутреннего аудита и контроля и подтвержденной первичными документами.

В соответствии с действующими в ОАО «РЖД» внутрикорпоративными стандартами аудиторские процедуры должны содержать порядок оценки эффективности управления рисками объекта внутреннего аудита и контроля после внедрения мероприятий (для рисков, по которым в рамках внутренних аудиторских проверок был сформулирован вывод о неэффективности их управления). Блок-схема определения эффективности выполнения утвержденного плана мероприятий в соответствии со стандартом «Организация и проведение мониторинга выполнения мероприятий по устранению нарушений, недостатков и совершенствованию системы внутреннего контроля» приведена на рисунке 1.

105

Устранение нарушений и рисков в системе внутреннего контроля

Рисунок 1. Порядок определения эффективности выполнения мероприятий по устранению нарушений, недостатков, рисков и совершенствованию системы внутреннего контроля в ОАО «РЖД»

На основе отчетов по результатам контрольных проверок и результатов анализа подтверждающей документации работники подразделения внутреннего аудита формулируют выводы относительно:

1) факта устранения недостатка или нарушения:

— устранено;

— не устранено (с указанием причины);

2) своевременности выполнения мероприятия:

— выполнено в установленные сроки;

— выполнено с задержкой сроков (с указанием причины задержки);

3) эффективности выполнения мероприятия (по решению руководителя подразделения внутреннего аудита):

— мероприятие эффективно;

106

Устранение нарушений и рисков в системе внутреннего контроля

— мероприятие неэффективно.

На основе статуса о выполнении мероприятий и отчетов по результатам контрольных проверок и анализа подтверждающей документации работниками подразделения внутреннего аудита составляется сводный отчет по результатам мониторинга.

Информация с выводами об эффективности системы внутреннего контроля и управления рисками объекта проверки направляется президенту компании, курирующим вице-президентам и руководителям, в подведомственности которых находятся проверяемые подразделения, дочерние и зависимые общества.

Результаты мониторинга мероприятий по устранению нарушений и рисков используются при планировании аудитов и внутреннего контроля в других подразделениях и дочерних обществах компании.

Таким образом, создание механизма организации и проведения непрерывного мониторинга нарушений, недостатков и рисков является действенным рычагом повышения эффективности системы внутреннего контроля, фактором искоренения и упреждения нарушений, снижения рисков, мобилизации внутрихозяйственных резервов компании.

Литература

1. Иванов О.Б. Принципы построения риск-ориентированной системы внутреннего контроля и аудита в крупной компании, корпорации, холдинге // Аудиторские ведомости. 2013. № 8. С. 18—35.

2. Иванова С.В. О влиянии внешних условий и специфике принятия решений в отечественной системе образования // Ценности и смыслы. 2012. № 2. С. 4-17.

3. Национальный стандарт Российской Федерации ГОСТ Р ИСО 90002008 «Системы менеджмента качества. Основные положения и словарь», утвержденный приказом Ростехрегулирования от 18 декабря 2008 года № 470-ст. Режим доступа: www.consultant.ru (дата обращения: 4 ноября 2014 года).

4. Соколов Б.Н., Русакова А.С. Внутренний аудит и контроль бизнеспроцессов: организация, методики, практика. М.: Изд. СГУ, 2013. 433 С.

5. Стандарты и руководства Международной организации высших органов финансового контроля (ИНТОСАИ). Режим доступа: http://www. iktosai.org/ (дата обращения: 4 ноября 2014 года).

6. The Institute of Internal Auditors. The Professional Practices Framework. The Institute of Internal Auditors Research Foundation, 2005.

7. Committee of Sponsoring Organizations. Enterprise Risk Management — Integrated Framework. COSO, 2004.

8. The Institute of Internal Auditors. The Professional Practices Framework. The Institute of Internal Auditors Research Foundation, 2005.

107

Устранение нарушений и рисков в системе внутреннего контроля

References

1. Ivanov O.B. The principles of risk oriented internal controls and audits in big companies, corporations and holdings. Auditorskie vedomosti [Audit Jour-nal].2013, no. 8, pp. 4—17 (in Russian).

2. Ivanova S.V. On the influence of external conditions and specificity of decision-making in the national education system. Tsennosti I smysly [Values and meanings], 2012, no. 2 pp. 4—17 (in Russian).

3. National Standard of the Russian Federation GOST R ISO 9000-2008

4. "Quality Management Systems. Fundamentals and vocabulary", approved by Order Rostechregulirovanie of 18 December 2008 — 470. Available at: www. consultant (accessed 4 November 2014) (in Russian).

5. Standards and guidelines of the International Organization of Supreme Audit Audit Institutions (INTOSAI). Available at: http://www.iktosai.org/ (accessed 4 November 2014) (in Russian).

6. Sokolov B.N., Rusakova A.S. Internal auditing and control of business processes: the organization, methods, practice. Moscow: SGU Publishing, 2013 (in Russian).

7. Committee of Sponsoring Organizations. Enterprise Risk Management — Integrated Framework. COSO, 2004.

8. The Institute of Internal Auditors. The Professional Practices Framework. The Institute of Internal Auditors Research Foundation, 2005.

108