Как составить отчет по проверке аудит

Отчет по внутреннему аудиту: что входит в документ и как его подготовить

Отчет внутреннего аудитора — это результат аудиторского задания и документ, через который аудитор общается с высшим
руководством. В отчете аудитор суммирует проведенную работу, описывает наблюдения и дает рекомендации, что и как
улучшить в компании. Из статьи вы узнаете:

Что входит в отчет по внутреннему аудиту

Структура и формат отчета внутреннего аудита (пример)

Как подготовить отчет о внутреннем аудите (чек-лист)

Кто и как использует результаты внутреннего аудита 

Что входит в отчет по внутреннему аудиту

Наполнение отчета зависит от круга вопросов и аудиторского задания. Например, отчет может быть о проверке: 

• деятельности подразделений или филиалов;
• работы бухгалтерской службы и внутренних контролей (комплексный анализ эффективности работы
  СВК);
• системы
  бюджетирования — насколько правильно формируют и выполняют бюджеты ЦФО (центры финансовой
  ответственности);
• об исполнительной дисциплине — проверка управляемости процессов на фирме;
• о нанесении ущерба компании — в отчете описывается результат расследования мошеннических действий персонала
  либо чрезвычайных ситуаций.

Обычно проверки проводят, чтобы улучшить контроль, повысить производительность, реже — выявить нарушения либо
махинации. Поэтому не всегда отчет аудитора это отчет об ошибках. Аудитор по результатам проверки описывает, что в
компании работает хорошо, а что неправильно, как это исправить и наладить работу.

Отчет составляет руководитель службы внутреннего аудита, используя информацию от аудиторов и технических экспертов,
которые входили в команду по аудиту. Либо ответственный внутренний аудитор. Он определяет содержание отчета так,
чтобы документ был четким, объективным, полным, конструктивным. Следит, чтобы выводы основывались на достаточных,
достоверных доказательствах (согласно стандарту 2420 «Качество отчетов» Института внутренних аудиторов).

Отчет службы внутреннего аудита — строго конфиденциальный документ. Его получает лично высшее руководство или
менеджер, который напрямую отвечает за проверяемый объект. Отдельно копию отчета может получить партнер, отвечающий
за внешние проверки, или запросить внешний аудитор.

Структура и формат отчета внутреннего аудита

Структура отчета строго не регламентирована, но обычно включает 3 части: вводную, основную часть с наблюдениями и
выводами внутреннего аудитора, и заключительную, куда входят приложения.

Содержание отчета сильно зависит от типа аудиторского задания. Например, для отчета о средствах контроля структура
может быть похожа на отчет руководству от внешнего аудитора. Но содержание будет сильно отличаться, так как
внутренний аудитор занят вопросами экономии, эффективности и результативности.

Стандартного формата отчета не существует. Он может быть в виде презентации, диаграммы, фотоотчета с фактическими
данными, краткой таблицы или текстового документа. В каком именно формате будет отчет, определяет в первую очередь
заказчик аудита. 

Нередко в крупных компаниях отчет презентуют в нескольких вариантах для разных пользователей:

• детальный отчет с подробным описанием наблюдений, критериев и последствий — позволяет перепроверить
  доказательства и отследить логику расчета последствий (вот пример детального отчета по проведенному внутреннему
  аудиту);
• краткая версия — в ней приводятся только факты и результаты расчетов, а также кратко описаны наблюдения и
  рекомендации внутреннего аудитора;
• презентация для топ-менеджмента — содержит расчеты, инфографику, фото, что наглядно иллюстрирует собранные
  данные и выводы аудитора.

Как подготовить отчет о внутреннем аудите

С первого дня выполнения задания аудитор ведет черновой вариант отчета, где описывает полученные данные и первичные
выводы. Так он видит, какие доказательства «ложатся» в отчет, а какие нужно еще добавить. Такая заготовка нужна на
случай, если руководство запросит промежуточные результаты аудита. А также помогает не упустить важные моменты при
подготовке окончательной версии документа. 

Во время подготовки отчета, внутренний аудитор или команда по аудиту проводит несколько закрытых совещаний с
руководством, чтобы обсудить выявленные нарушения, возможные решения проблемы и внести соответствующие корректировки
в отчет. Прежде чем презентовать отчет высшему руководству, команда по аудиту должна единогласно утвердить его
финальную версию. 

Ниже вы найдете чек-лист, по которому можно проверить, все ли моменты соблюдены при подготовке отчета.

Чек-лист по подготовке отчета внутреннего аудитора

Этапы подготовки	Что выполнить и проверить
Этап 0. Подготовительный	Выяснить до написания отчета: позицию топ-менеджмента по отношению к проверяемому объекту — есть ли особое отношение, статус-кво; цель и эффект от отчета — он должен просто информировать или побуждать к решениям? есть ли у компании ресурсы на изменения, чтобы отчет с рекомендациями не стал формальным документом.
Этап 1. Сбор данных	Собрать, описать и проверить данные, полученные в ходе аудита.
Этап 2. Написание первого проекта аудиторского отчета	Включить в документ обзор:  полученных данных; терминов для отражения результатов проверки; рабочих документов, раскрывающих значимые пункты проверки.   Проверить: все ли выявленные отклонения записаны; есть достаточная поддержка выражения аудиторского мнения; сформулированы причины замечаний, экономический эффект и рекомендации.   Обсудить с командой внутреннего аудита, как улучшить тон, содержание и стиль написания отчета.
Этап 3. Обсуждение с руководством результатов аудита	На собрании определить: знало ли руководство о проблеме и какие меры уже предпринимали; есть ли факты или смягчающие обстоятельства, о которых не знали аудиторы; какие есть идеи относительно корректировки условий.   Удостовериться, что руководство знает обо всех ключевых пунктах в отчете.
Этап 4. Подготовка окончательного проекта аудиторского отчета	Проверить: все этапы задания выполнены и аудиторы следовали намеченной программе; в рабочих документах отражены выполненные работы и результаты тестов; заключения подкреплены достаточными и убедительными аудиторскими доказательствами; рекомендации основаны на реальном состоянии дел, а причины подтверждены данными; точки зрения руководства рассмотрены, справедливо заявлены либо адекватно отвергнуты; все предшествующие рекомендации изменений внесены в отчет.   Убедиться, что аудиторы согласны с внесенными изменениями.
Этап 5. Закрытое обсуждение аудиторского отчета с руководством	удостовериться, что руководство ознакомилось с окончательным отчетом и получить согласие по пунктам различий; рассмотреть предложения по улучшению содержания отчета и формулировок; получить текущие планы по дальнейшим действиям руководства.
Этап 6. Финальная версия отчета	заключительный отчет составлен с учетом требований конфиденциальности; проверить отчет на ошибки, ясность, последовательность и соответствие профессиональным стандартам; утвердить финальную версию и презентовать руководству.

В некоторых компаниях, руководитель аудиторской группы готовит и рассылает отчет в течение 10 рабочих дней после
завершения внутреннего аудита. Это еще одна из причин, почему отчет готовят с первых дней проверки. 

И несколько рекомендаций по составлению документа. Нужно помнить, что отчет о внутренней проверке составляют для
руководителя. Поэтому важно:

• мыслить с его позиции, понимать, что он уже знает и что хотел бы узнать об объекте или проблеме;
• писать отчет простым языком без субъективных оценок, чтобы руководитель мог самостоятельно прочесть документ
  и сделать выводы;
• новые понятия вводить по нарастающей, так как руководитель не всегда разбирается в сложной финансовой и
  профессиональной аудиторской терминологии;
• результаты приоритизировать по их важности для компании — будет сразу понятно, каким пунктам уделить
  внимание;
• расчет экономического эффекта делать там, где это уместно (рассчитать именно то, что компания не заработала,
  потеряла или может потерять).

Кто и как использует результаты внутреннего аудита

Аудиторский отчет — важный документ, его хранят в течение 3-х и более лет, затем передают в архив. Рекомендации
аудитора, описанные в отчете, несут обычно рекомендательный характер. Но если речь идет о серьезных нарушениях или
несоответствиях, руководитель проверяемого объекта сообщает высшему руководству, как и когда будут исправлены
нарушения или решена проблема. Он также ведет обязательный план/отчет о корректирующих и предупреждающих
мероприятиях.

Аудиторский отчет помогает руководству принимать важные управленческие решения.  Дает необходимые вводные данные, как
повысить надежность системы бухгалтерского учета и СВК, своевременно устранить ошибки в управлении либо избежать
серьезных финансовых потерь и репутационных рисков. Главный признак, что отчет действительно востребован в компании
— пользователи отчета его очень ждут, а руководство выделяет на аудит дополнительные ресурсы. 

Однако результат работы внутреннего аудитора использует не только руководство и менеджмент. Документ сильно облегчает
работу внешнего аудитора. Порой снижает не только трудоемкость внешней проверки, но и ее стоимость. Так как содержит
важные аспекты, о которых не знает внешний аудитор и которые могут повлиять на его работу. 

В конечном счете, отчет внутреннего аудита отражает все этапы внутренней проверки, сканирует важные бизнес-процессы,
и как результат, высвечивает слабые и сильные стороны бизнеса для дальнейшей корректировки. Также хороший отчет —
это визитная карточка внутреннего аудитора. Он подтверждает высокую квалификацию, мастерство и глубину его
профессионального подхода. 

В своей практике я долго и тщательно искала баланс между полезностью и удобством. В этой статье я поделюсь своим текущим европейским опытом, а также опытом, полученным в ходе работы на международные компании, и расскажу, на какие части можно разделить отчет.

Пользователи аудиторского отчета  

Существуют постоянные пользователи 
аудиторского отчета
 и те, которые меняются в зависимости от объекта проверки. 

Фактически пользователь – это лицо, заинтересованное в результатах аудита, на которое данные результаты могут/будут иметь влияние. Поэтому пользователей аудиторского отчета называют заинтересованными лицами.

Как же определить данное лицо?

Постоянные пользователи – это те, кто в силу своих должностных обязанностей или положения в организации имеет интерес к результатам аудита:

• профильные комитеты совета директоров или иного регулирующего органа;

• собственник(и) компании, инвесторы;

• 
  управляющая компания
  ; 

• генеральный директор или лицо, его представляющее;

• финансовый директор/
  главный бухгалтер
  .

Другие пользователи в зависимости от объекта проверки меняются и определяются при планировании программы аудита. Например, при аудите закупочного процесса такими пользователями могут быть руководитель отдела закупок, его заместитель, директор по закупочной деятельности и т.д. Поэтому для их определения внутреннему аудитору нужно задать следующие вопросы:

• кто ответственен за 
  построение контрольной среды
   по проверяемой деятельности?

• кто принимает решения в рамках 
  операционной деятельности
  ?

Эти 
лица
 и будут являться пользователями аудиторского отчета. 

Составные части аудиторского отчета 

Аудиторский отчет, являясь продуктом аудиторской проверки, должен отражать всю суть выявленных наблюдений. Поэтому важно придерживаться определенной структуры, которую я построила исходя из многолетнего опыта и анализа потребностей различных пользователей. 

Хотелось бы подчеркнуть, что составление отчета – это творческий процесс, и поэтому данная структура может дополняться и видоизменяться со временем или исходя из потребностей организации. 

I. Вводная часть 

1. Наименование проверяемой области – отвечает на вопрос «что?». Например: процесс закупок.

2. Номер аудиторского отчета является обязательным и может быть построен по алгоритму, например, содержать год выпуска, объект аудита, локацию и т.д.

3. Цель аудита – отвечает на вопрос «проверка чего?». Например: проверка адекватности закупочного процесса, проверка соответствия кредитного процесса законодательству.

4. Охват аудита: какие процессы подлежат аудиту.

5. Период аудита: период, охватываемый аудиторской проверкой. 

6. Время проведения аудита.

7. Команда аудита.

8. Выборка: сколько транзакций/операций подлежало аудиту.

9. 
   Пользователи аудиторского отчета
   . 

II. Основная часть 

1. Краткий вывод по проверяемому процессу. Необходим для членов комитета по аудиту, совета директоров и топ-менеджмента. Рекомендуемый объем выводов – не более одной страницы. 

2. Наблюдение. Наблюдение аудитора всегда должно состоять из четырех составляющих: условие, критерии, причина и эффект.

3. Рекомендация. 

4. Рейтинг/уровень риска: низкий, средний, высокий.

5. Сроки исполнения рекомендации.

6. Исполнитель рекомендации. 

7. Приложения и дополнительная информация. 

8. 
   Конфиденциальная часть отчета
   .

Формат отчета 

Формат отчета может варьироваться в зависимости от типа пользователей, степени их заинтересованности, роли в организации и т.д. Например, высшее руководство и совет директоров могут получать информацию в сжатом виде, с подсвечиванием наиболее существенных зон/рисков. Потому что они не располагают временем для изучения объемного документа, но при этом важно обратить их внимание на высокорисковые зоны.

Важно принимать во внимание культуру компании: если используется только формат презентации, то не стоит делать отчет в другом формате. Также важно использовать определенные 
стиль
 и шрифт, графики и диаграммы для лучшего восприятия информации.

При формировании отчета важно выдерживать корпоративный стиль изложения и баланс предоставляемого объема информации, а также видов представления: текст, графики, диаграммы, иллюстрации, таблицы.

Исходя из собственной практики, я придерживаюсь следующей формулы:

• сжатая презентация – для руководства;

• документ формата PPT или Word – для детальных наблюдений;

• инфографика – правило хорошего тона для любого формата.

Аудиторское наблюдение 

Наблюдение аудитора должно быть основано на фактах, которые были выявлены в ходе аудита, и данные факты должны быть адекватными и релевантными, т.е. уместными для того, чтобы читатель смог прийти к тому же выводу, что и аудитор. Также важно излагать факты простым и понятным языком.

Составляющие аудиторского наблюдения:

• условие: основано на фактах, а не на личном суждении;

• критерий: должен быть четким и содержать только релевантную информацию, а также ссылки на применимые нормы;

• написано понятным языком;

• дает возможность читателю прийти к таким же выводам, что и аудитор;

• отвечает на вопрос «Почему это произошло?»;

• содержит описание эффекта: фактического и потенциального, в том числе в денежном выражении.

Рассмотрим их более детально.

Условие

1. Условие – это изложение фактов, выявленных в ходе наблюдения/изучения данных.

2. Для отражения условия в аудиторском отчете важно указать размер выборки, количество и размер выявленных несоответствий/нарушений/отклонений. Так вы сможете дать понять читателю материальность/существенность описанных фактов, частоту возникновений и т.д.

3. При описании условия не отражается личное мнение или профессиональное суждение.

Критерий

1. Критерий – это применимые правила, внутренние нормативные акты и законодательство, регулирующие деятельность, отмеченную в условии.

2. Иными словами, критерий – это разница между тем, что описано в правилах/процедурах/законодательстве, и тем, что по факту происходит.

Причина

1. Это корневая причина, почему произошло условие, которое подкреплено фактами.

2. Корневая причина должна быть выяснена в ходе ответа на вопрос «почему?».

3. Причина – это направление, где должна быть применена рекомендация или корректирующая мера.

Эффект

1. Эффект должен отражать существенность выявленного наблюдения. Например, понесенный материальный ущерб, репутационный урон, простой сервиса в часах, потеря квалифицированного персонала с указанием позиций и количества таких случаев и т.д. 

2. Эффект всегда имеет связь с выявленным условием, то есть выявленный факт, оцифрованный в виде показателей, который может или оказывает влияние на стратегию, операционную деятельность компании, финансы и исполнение законодательства и норм.

3. Может быть фактическим и потенциальным. Зачастую трудно оценить, например, репутационный риск или риск возможной кибератаки, однако в таких случаях оценку можно показать в виде оттока выручки или потери части бизнеса и проч. При этом нельзя переоценивать эффект. 

Пример наблюдения

Условие

Было протестировано 20 транзакций и выявлено, что сотрудник отдела бухгалтерии провел 10 расходных транзакций без оригиналов подтверждающих документов. Сумма этих десяти транзакций составляет 10 млн руб.

Критерий

Учетная политика определяет, что каждая транзакция должна быть проведена с предоставлением подтверждающих документов.

Налоговый кодекс РФ определяет, что расходы, не подтвержденные документально, не могут быть взяты к вычету в целях определения налогооблагаемой базы для налога на прибыль. 

Причина

В рамках проведенных аудиторских процедур было выяснено следующее:

1. Учетная политика компании содержит допущение, что сотрудник имеет право отразить транзакцию 
   на счетах бухгалтерского учета
    без оригиналов подтверждающих документов. Однако до конца отчетного/налогового периода все оригиналы должны быть предоставлены в бухгалтерию для признания расходов к вычету в целях налогового учета. В противном случае расходы не должны быть признаны к вычету. 

2. При этом учетная политика не содержит номеров счетов и их наименований.

3. Внутренний нормативный документ отдела бухгалтерии содержит пункт об обязательной дополнительной выборочной проверке со стороны руководителя по учету кредиторской задолженности.

4. Сотрудник отдела бухгалтерии, который провел вышеуказанные транзакции, находится на испытательном сроке и, согласно отчету отдела кадров, не был ознакомлен с основными внутренними нормативными документами компании.

5. Руководитель по учету кредиторской задолженности не сумел предоставить разумных доказательств проведенного выборочного контроля.

Эффект

Сумма признанных расходов за отчетный период в размере 10 млн руб. должна быть вычтена из расходов в целях определения налогооблагаемой базы по налогу на прибыль. 

В виду того, что срок уплаты налога на прибыль и сдачи единой годовой декларации еще не наступил, то последствия в виде штрафа и неустойки за некорректную сумму оплаченного налога на прибыль не применяются. 

Рекомендация 

Рекомендация является логичным следствием аудиторского наблюдения. Она должна:

1. обращаться к причине, а не к условию или к критерию;

2. объяснять, что должно быть сделано (без определения, что конкретно нужно сделать, так как менеджмент компании не должен быть ограничен рекомендацией аудитора);

3. быть адресована конкретному ответственному лицу, которое будет нести ответственность за внедрение данной рекомендации в указанные сроки; 

4. содержать корректирующее действие по полному устранению риска или снижению до приемлемого его уровня, принятого в компании. Например: произвести дополнительный платеж, внедрить новую политику, провести обучение, заключить договор страхования и т.д.;

5. коррелировать с аудиторским наблюдением и не включать элементы, которые не были отражены в наблюдении;

6. тон и срок аудиторской рекомендации должны соответствовать критичности наблюдения. Например, если наблюдение критическое, то неотложные действия должны быть предприняты незамедлительно. 

Пример рекомендации:

1. Руководителю по учету кредиторской задолженности – обеспечить исполнение требований 
   ВНА
    по проведению выборочного контроля на основе, указанной в учетной политике.

2. Руководителю по учету кредиторской задолженности – обеспечить ознакомление сотрудника со списком политик и процедур, обозначенных ВНА.

3. Главному бухгалтеру – обеспечить внесение изменений в учетную политику компании для более четкого определения случаев признания расходов без оригиналов подтверждающих документов и обозначить номера счетов бухгалтерского учета и их наименования для устранения разночтений со стороны ответственных сотрудников. 

4. Отделу кадров – обеспечить внедрение контроля для выявления случаев неознакомления сотрудников с обязательным списком политик и процедур.

5. Руководителю по учету кредиторской задолженности – обеспечить корректировку транзакций на сумму 10 млн руб. и признание данных расходов, не уменьшающих налогооблагаемую базу по налогу на прибыль. 

Краткий вывод 

Основная цель краткого вывода – предоставить возможность читателю понять суть отчета без погружения в детали. При этом краткий вывод должен иметь ту же структуру и последовательность, что и отчет. Краткий вывод очень полезен для презентации высшему руководству и совету директоров. Его можно сравнить с «презентацией в лифте»: что бы ты смог рассказать о результатах аудита, если бы это пришлось сделать во время поездки в лифте. 

Краткий вывод должен:

• содержать общую оценку отчета;

• быть написан конкретно и не допускать разночтений; 

• экономить время читателя.

Пример краткого вывода:

Контроли проведения бухгалтерских транзакций являются неэффективными. Мы выявили, что контроль за подтверждением бухгалтерских операций со стороны главного бухгалтера является неэффективным. Как результат, транзакции на сумму 10 млн руб. были отражены в финансовой отчетности без подтверждающих документов. 

Тон аудиторского отчета 

Тон – это язык, речевые обороты и иные знаки, которые могут рассказать читателю о существенности выявленных наблюдений или наоборот. 

Тон аудиторского отчета должен соответствовать уровню выявленных наблюдений.

Почувствуйте разницу:

1. Неэффективный контроль за признанием расходов на счетах бухгалтерского учета может быть причиной начисления дополнительного налога на прибыль, а также штрафных санкций со стороны регулирующих органов. 

2. Отсутствие контроля в бухгалтерском процессе с высокой долей вероятности приведет к доначислению налога на прибыль, штрафным санкциям и репутационному риску. 

Первый вывод описывает неэффективность контроля и предположительный негативный эффект, тогда как второй вывод описывает риск как практически реализовавшийся, что не отражает фактическое положение и излагается довольно негативным тоном.

Примеры тона

Обычная тональность: 

• может быть результатом…

• может увеличить риск…

• может привести к…

• некоторые из… 

• большинство…

Тональность, описывающая серьезные наблюдения:

• несоответствующий контроль… 

• слабый контроль…

• неэффективный контроль…

• очень слабый контроль…

• отсутствие…

• неадекватный…

• неоконченный…

• никогда…

• привел к…

• стал результатом…

Рейтинг отчета/оценка риска 

Рейтинг отчета также отражает существенность выявленных наблюдений и должен перекликаться с тоном отчета, рекомендацией и со сроками внедрения корректирующих мер. Ведь если выявленные наблюдения несут в себе существенные риски, корректирующие меры должны быть приняты незамедлительно. Что должно быть показано всем заинтересованным сторонам.

Оценка риска разнится от компании к компании, поскольку зависит от многих факторов, например, сферы деятельности, положения на рынке, риск-аппетита, политики компании в области управления рисками, стратегии и т.д.

Неизменными являются следующие параметры:

РИСК = ВЛИЯНИЕ * ВЕРОЯТНОСТЬ

Влияние = Серьезность

Вероятность = Статистические данные

Как я отмечала ранее, невозможно оцифровать все категории рисков, однако их можно продемонстрировать, используя качественную оценку.

Приведу несколько примеров из моей практики, где я применяю четырехуровневую систему оценки рисков.  

При подготовке аудиторского отчета важно изложить наблюдения в понятных форматах и на понятном языке для разных пользователей, тогда аудиторский отчет принесет пользу организации и поддержит имидж внутреннего аудитора.