17-18 апреля 2023 года в Москве состоялась XV Национальная конференция Ассоциации "Институт внутренних аудиторов" "Внутренний аудит в России". Мероприятие собрало около 270 представителей профессии. Участники обсудили актуальные профессиональные темы, а также роль и новые задачи внутреннего аудита в изменившихся условиях. Портал "ПравоТЭК" выступил информационным партнером конференции.
ВНУТРЕННИЙ АУДИТ И КОНСАЛТИНГ
Создание ценности для бизнеса особенно важно сейчас, когда время меняет правила и скорость воздействия рисков все увеличивается, а ожидания заказчиков возрастают: фокус на существенное ускорение процессов, концентрация внимания аудита на областях стратегического риска в режиме реального времени. И одно из важных направлений — это консалтинг. Наталия Плотникова, заместитель директора по внутреннему контролю и аудиту — директор департамента внутреннего аудита Госкорпорации "Росатом", рассказала об опыте СВКиА "Росатома". Практика показала, что для принесения пользы с помощью консалтинга, необходимо сформулировать интегрированный ответ сразу по нескольким направлениям: (1) концентрация внимания на областях стратегического риска; (2) использование инструментов углубленной аналитики/ цифровизации; (3) оперативная подготовка рекомендаций (до 1 недели); (3) составление действенных и кратких отчетов; (4) продвижение возможностей внутреннего аудита в организации; (5) настройка внутренних процессов для обеспечения консультирования. Эту деятельность стоит начать с трех шагов: (1) формирование отношений с клиентами, построенных на принципах "клиентоцентричности": внимание и вовлеченность в оказании помощи в интересующей заказчика зоне не только в ходе аудитов, а в постоянном реагировании на его запросы; (2) обеспечение оперативного доступа к информации, определении способа получения и анализа данных для подготовки требуемых клиенту рекомендаций; (3) определение порядка и внедрения консалтинга в свою деятельность в качестве технологии, для чего необходимо определить правила проведения, выделить временные ресурсы, выработать систему развития компетенций и сформировать систему сбора и оценки результатов консалтинга.
Продолжила тему Ирина Долгушева, директор по внутреннему аудиту "Ашан". Она отметила, что консультационные задания предназначены не для оценки прошлых событий, а для улучшения будущего; и по мере разработки новых процессов, правил и процедур лучше всего встраивать в них механизмы контроля с самого начала и обеспечивать упреждающее решение вопросов, требующих улучшения. Консультационная деятельность, которую может осуществлять СВА, ограничивается потребностями организации и ресурсами СВА, до тех пор, пока это не наносит ущерба независимости СВА или объективности внутренних аудиторов. Консультационная деятельность СВА в "Ашане", как правило, идет по 2-м направлениям: (1) формулирование экспертного мнения по тому или иному вопросу; (2) проведение обучения для сотрудников других подразделений (специальные тренинги или тематические презентации).
Тему экспертности внутренних аудиторов развил Вадим Желтухин, начальник управления внутреннего аудита АК "АЛРОСА" (ПАО), рассказывая об опыте компании в создании стратегии развития внутреннего аудита, которая встроена в корпоративные процессы АЛРОСА: меняется фокус корпоративной среды — меняется вектор развития внутреннего аудита для соответствия запросам компании. Подход к формированию стратегии предусматривает трехлетнюю цикличность. При каждом цикле пересмотра стратегии используются различные инструменты: оценка ключевых вех стратегических целей компании, результаты внешней оценки, проведение самодиагностики, анкетирование и проведение интервью заинтересованных сторон, сбор лучших практик, анализ слабых/ сильных сторон и угроз/ возможностей. В частности, Вадим Желтухин раскрыл видение функции внутреннего аудита компании на следующие три года — повышение ценности через экспертность, оперативность и прозрачность. А интеграция стратегических показателей и мероприятий в текущие планы (квартальные, годовые) дает возможность подвести промежуточные результаты и, при необходимости, скорректировать процесс.
АВТОМАТИЗАЦИЯ, ПРИМЕНЕНИЕ ИНСТРУМЕНТОВ ОБРАБОТКИ И АНАЛИЗА ДАННЫХ ВО ВНУТРЕННЕМ АУДИТЕ; АУДИТ ИТ И ИБ
В рамках Круглого стола "Автоматизация внутреннего аудита" Игорь Кожуров, первый заместитель директора департамента внутреннего аудита ПАО "Аэрофлот", подробно рассмотрел вопрос автоматизации внутреннего аудита, разделив его на две части: (1) автоматизация деятельности, (2) автоматизация аудиторских процедур. Как отметил докладчик, под автоматизацией деятельности подразумевается внедрение систем класса GRC в части непосредственного обеспечения работы подразделений внутреннего аудита. Здесь речь идет о следующих аспектах: автоматизации документооборота; ведение вселенной аудита, формирование матрицы рисков и контролей; расчет и планирование временных затрат, контроль использования и оценка производительности аудиторских ресурсов; актуализация модели аудита, формирование карты гарантий, программа оценки и повышения качества (оценки, план развития, карта компетенций); формирование предварительных итогов для внутренней оценки; интеграция с подсистемами контроля процессов и управления рисками, если они есть. Удачная реализация перечисленных аспектов даст возможность существенно повысить эффективность деятельности СВА за счет оптимизации использования ресурсов. Однако, предложение систем класса GRC на рынке никогда не было чрезмерным, а сейчас, с уходом иностранных разработчиков, стало достаточно скудным. Это при том, что систем, с достаточной эффективностью покрывающих все указанные процессы, не было в принципе. Учитывая непростые условия в современной экономике, аудиторские подразделения могут столкнуться с проблемами, связанными как с импортозамещением иностранного ПО, так и с ограничениями бюджетного характера при развитии решений отечественных разработчиков. Как следствие, предполагается, что в краткосрочной перспективе развитие этого направления во внутреннем аудите будет ограничено.
В части же развития автоматизации аудиторских процедур, по мнению Игоря Кожурова, открыто широкое поле деятельности по использованию различных инструментов: это такие направления как непрерывный аудит, процесс-майнинг, визуализация данных, Agile-методология, использование Python, SQL и многие другие. Здесь есть масса возможностей, но и существуют определенные подводные камни. Например, автоматизированная аудиторская процедура нередко превращается в автоматический контроль, и становится логичным передать ее в управление менеджменту, который должен быть к этому готов, что на практике происходит не всегда. Также, как минимум, в ближайшей перспектива внутренний аудит может столкнуться с бюджетными ограничениями при реализации своих проектов из-за экономических проблем. Таким образом, в части автоматизации у внутреннего аудита по-прежнему есть хорошие перспективы для развития, но их реализация может находится под достаточно серьезным давлением.
Продолжая тему использования Python, сотрудники ПАО "ФосАгро" Анна Бобылева, внутренний аудитор и python-разработчик, и Александр Володин, начальник управления дирекции по внутреннему аудиту, поделились своим опытом. Python может успешно использоваться в текущих аудиторских задачах, особенно если речь идёт об анализе сотен тысяч строк данных, с которыми привычный Excel может не справиться. Python может как обрабатывать готовые файлы (выгруженные отчеты из информационных систем или результаты выполнения SQL-запросов), так и подключаться напрямую к базам данных. Например, Python можно использовать для анализа системы электронного документооборота с целью проверки соблюдения маршрутов согласований, регламентных сроков согласований и подписаний. В таких системах, как правило, достаточно большой объем данных со сложной структурой, а готовых отчетов, которые можно было бы использовать для целей аудита, скорее всего, нет, а их разработка силами технических служб может занять чрезмерно много времени. В таких ситуациях Python позволяет обойти ограничения Excel, обработать весь массив данных и сделать выводы по всему процессу, а не по выборке. Еще одним преимуществом использования Python является то, что весь алгоритм и вся логика расчётов сохраняются и при необходимости в будущем несложно будет воспроизвести эти расчеты.
Раскрывая вопрос обработки всего массива данных, Мария Зубова, старший менеджер VK Tech, рассказала, как платформа процессной аналитики VK Process Mining помогает внутренним аудиторам анализировать большие объемы данных и перейти от точечных проверок к непрерывному анализу бизнес-процессов: (1) платформа обрабатывает большие объемы данных, подсвечивает проблемные места и зоны для улучшения, что экономит ресурсы, позволяет расширить скоуп проверки и дает возможность провести аудит 100% совокупности; (2) помогает минимизировать человеческий фактор и воссоздает процессы, основываясь не на словах респондентов, а на логах действий пользователя, цифровых следах, которые есть в системе; (3) если данные о процессах оцифрованы, платформа соберет их из любых систем и обработает в удобном формате; аудиторам не нужно тратить время на то, чтобы разобраться в специфике работы новой системы.
Галина Дельвиг, директор дирекции внутреннего аудита, контроля и управления рисками ПАО "Газпром нефть", также поделилась успешными результатами использования инструментов процесс-майнинга — глубинного анализа всех процессов. Получив практический опыт применения инструментов процесс-майнинга на базе наиболее функциональных зарубежных ИТ-решений, в компании решили создать собственный продукт, учитывающий специфику процессов нефтегазовой отрасли и полностью оптимизированный для решения задач компании. Так появился Promine — собственная разработка ПАО "Газпром нефть", соответствующая всем глобальным трендам платформ процесс-майнинга. С помощью Promine можно в т.ч. решить следующие задачи: автоматически сформировать точную копию процесса; построить "процесс как есть", детализируя его до уровня отдельных операций; выявить все отклонения от эталонного маршрута процесса, который описан в НМД; находить и устанавливать закономерности и причины возникновения отклонений; отслеживать возникновение рисков по специальным встроенным ключевым индикаторам; отслеживать и превентивно реагировать на индикаторы мошенничества; организовывать быстрый доступ к ключевой аналитической информации с помощью встроенного модуля дашбордов.
Тему автоматизации процессов дополнили представители компании "Дататех" (ГК "Иннотех") Иван Восканьянц, заместитель директора департамента перспективных проектов, и Варвара Солодилова, руководитель группы аналитики. ПО само по себе не решает проблемы, с которыми сталкивается организация в части обеспечения эффективного взаимодействия внутренних аудиторов с остальными сотрудниками компании. К основным сложностям, с которыми сталкиваются организации, можно отнести: недостаточно высокий уровень риск-культуры, отсутствие выстроенных процессов по самооценке рисков; отсутствие закрепленных владельцев рисков и КП; отсутствие единой точки входа и централизации информации; отсутствие диалога и инструментов оперативного взаимодействия между бизнесом, риск-менеджерами, СВК, СВА. Решение этих проблем весьма очевидно: создание единой точки контроля и управления существенными процессами компании, выполнения работ по внедрению и развитию СВА. Централизованное хранилище информации СВА, информации о рисках и процессах обеспечивает полноту и корректность информации о процессах, рисках и контрольных процедурах, что позволяет эффективнее управлять уровнем неопределённости и принимать более качественные управленческие решения. Использование технологий, автоматизация процесса внедрения рекомендаций может помочь ускорить и упростить процесс, а также уменьшить вероятность ошибок.
В завершение вопросов ИТ Роман Малей, главный специалист управления внутреннего аудита ПАО "Юнипро", в рамках Круглого стола "Аудиты ИТ/ИС" сделал акцент на ИТ-аудитах в проекции требований законодательства. В числе множества защищаемых объектов в сфере ИТ, таких как персональные данные, коммерческая, служебная и иные виды тайн, государственные регуляторы обращают пристальное внимание на безопасность критической информационной инфраструктуры РФ (далее — КИИ). Нормативно-правовые акты подробно описывают требования и необходимые меры по выстраиванию системы обеспечения безопасности объектов КИИ, градированных по категориям значимости, силами субъекта КИИ. Дополнительно публикуются Указы и Постановления, расширяющие полномочия и ответственность в сфере обеспечения информационной безопасности в целом. От правильности составления Перечня объектов КИИ, их категорирования, выделения необходимых сил, средств и реализации мероприятий зависит устойчивость и защищенность критических процессов. Докладчик подчеркнул, что эффективная работа в данном направлении минимизирует как операционные и финансовые, так и регуляторные и репутационные риски.
Участники конференции уверены, что в современных условиях внутренний аудит должен работать совместно с бизнесом, быть гибким и быстрым, остро реагировать на внешние изменения и потребности руководства компании. Скорость, гибкость, качество и технологичность — необходимые характеристики современной успешной службы внутреннего аудита.
Следующая Национальная конференция Института внутренних аудиторов состоится весной 2024 года в Москве.
