Правительство Кыргызстана утвердило стандарты внутреннего аудита в Кыргызской Республике. Стандарты утверждены постановлением правительства КР от 3 июня 2014 года № 296.
В целом текст стандартов соответствует международным стандартам внутреннего аудита, выпущенным Институтом внутренних аудиторов.
Текст стандарта приведен ниже.
Стандарты внутреннего аудита в Кыргызской Республике
1. Общие положения
1. Настоящие Стандарты внутреннего аудита (далее – Стандарты) разработаны в соответствии с Законом Кыргызской Республики «О внутреннем аудите».
2. Стандарты устанавливают единые требования к работе внутренних аудиторов министерств, административных ведомств, иных органов и учреждений исполнительной власти, органов системы государственного социального страхования и пенсионного обеспечения, органов местного самоуправления, их подведомственных организаций и государственных предприятий.
3. Стандарты внутреннего аудита:
1) Стандарт качественных характеристик внутреннего аудита:
1000 – цель, полномочия и ответственность;
1100 – независимость и объективность;
1200 – компетентность и профессиональное отношение к работе;
1300 – программа гарантии и повышения качества внутреннего аудита.
2) Стандарт деятельности внутреннего аудита:
2000 – управление внутренним аудитом;
2100 – сущность внутреннего аудита;
2200 – планирование аудиторского задания;
2300 – выполнение аудиторского задания;
2400 – информирование о результатах;
2500 – наблюдение за действиями, принимаемыми по результатам аудита;
2600 – рассмотрение риска, принятого руководителем объекта.
2. Глоссарий
Автоматизированные методы аудита – любые автоматизированные методы аудита, такие, как общее программное обеспечение, относящееся к аудиту, генераторы тестовых данных, компьютерные программы для аудита, специальные программные приложения для аудита и компьютеризированные аудиторские процедуры.
Адекватный контроль – контроль является адекватным, когда руководитель организует и планирует контроль таким образом, чтобы цели и задачи организации были достигнуты эффективным и экономичным способом.
Аудиторское задание – задание по выполнению внутреннего аудита, обзору самооценки системы контроля, расследованию фактов мошенничества, консалтингу.
Консультационные услуги – деятельность по предоставлению аудируемому лицу услуг в виде советов, рекомендаций, характер и содержание которой согласовываются с аудируемым лицом, нацеленная на оказание помощи и совершенствование процессов корпоративного управления, управления рисками и контроля, исключающая принятие внутренними аудиторами ответственности за управленческие решения.
Международные профессиональные стандарты внутреннего аудита (МПСВА) – международные основы профессиональной практики, концептуальная основа обязательного характера, разработанные Институтом внутреннего аудита, США, Альтамонт, штат Флорида.
Надежная информация – наиболее полная и заслуживающая доверия информация, которую возможно получить, применяя надлежащие аудиторские процедуры.
Независимость – свобода от условий, которые не позволяют подразделению внутреннего аудита беспристрастно выполнять свои обязанности.
Объективность – непредвзятое отношение, позволяющее аудиторам добросовестно выполнять аудиторские задания и не допускать существенных отклонений в вопросе качества работы. Объективность требует, чтобы внутренний аудитор не подчинял свое мнение по вопросам аудита мнению других лиц.
Остаточные риски – риски, остающиеся после предпринятых руководством действий по уменьшению воздействия и вероятности наступления негативных событий, в том числе после осуществления контрольных процедур в отношении рисков.
Периодические проверки – проверки, проводимые для оценки соответствия определению внутреннего аудита, этическим стандартам и стандартам.
Предоставление гарантий – объективный анализ имеющихся аудиторских доказательств в целях предоставления независимой оценки процессов государственного управления, управления рисками и контроля в организации.
Программа аудиторского задания – документ, регламентирующий процедуры аудиторского задания.
Процессы контроля – совокупность способов процедур и действий, являющиеся частью системы контроля и по обеспечению уровня рисков в допустимых пределах, установленных в рамках процесса управления рисками.
Риск – возможность наступления события, которое повлияет на достижение целей. Риски измеряются в терминах вероятности наступления и размера определенных последствий.
Риск-аппетит – уровень риска, принимаемый организацией как приемлемый.
Уместная информация – информация, которая подтверждает наблюдения и рекомендации и соответствует целям задания.
Полезная информация – информация, которая помогает организации достигать своих целей.
Управление рисками – процесс выявления, оценки, управления и контроля возможных событий или ситуаций для обеспечения разумных гарантий достижения организацией своих целей.
3. Стандарт качественных характеристик внутреннего аудита
4. Стандарт качественных характеристик внутреннего аудита включает:
1) 1000 – Цели, полномочия и ответственность
Цели, полномочия и ответственность внутреннего аудита должны быть определены в положении о структурном подразделении по внутреннему аудиту, соответствующем определению внутреннего аудита, этическим стандартам и настоящим Стандартам.
Положение о структурном подразделении по внутреннему аудиту должно соответствовать типовому положению, утвержденному уполномоченным органом в области внутреннего аудита по вопросам методологии внутреннего аудита.
2) 1100 – Независимость и объективность
Внутренний аудит должен быть независимым, а внутренние аудиторы должны быть объективными при выполнении своих обязанностей.
Независимость означает, что внутренний аудитор может осуществлять деятельность (определять объем работ, выполнять аудиторское задание, составлять отчеты) без вмешательства со стороны руководителя объекта внутреннего аудита и других должностных лиц.
Внутренние аудиторы должны гарантировать свою объективность посредством соблюдения требований по планированию аудиторских заданий, сбору и анализу достаточных, уместных и надежных доказательств, на основе которых необходимо делать свои заключения.
Отчеты необходимо составлять на основе всех соответствующих фактов. Внутренний аудитор не должен выборочно подходить к использованию фактов для предоставления несбалансированного заключения.
3) 1200 – Компетентность и профессиональное отношение к работе
Внутренние аудиторы должны выполнять аудиторские задания на должном профессиональном уровне.
Сотрудники службы внутреннего аудита должны обладать необходимыми знаниями и навыками для выполнения должностных обязанностей и стоящих перед подразделением внутреннего аудита задач.
Внутренние аудиторы должны проявлять профессиональное отношение к работе. Профессиональное отношение к работе не означает, что аудитор не имеет права на ошибку.
Внутренние аудиторы должны непрерывно совершенствовать свои знания и навыки, профессионально развиваться.
Внутренние аудиторы должны получать знания для выполнения работы по оценке риска мошенничества, рискам информационных технологий и управлению рисками.
Для достижения профессионализма в работе внутренние аудиторы должны принимать во внимание:
– объем работ, необходимый для достижения целей аудиторского задания;
– вероятность и значение существенных ошибок, мошенничества и несоответствия;
– сложность и существенность вопросов, в отношении которых предоставляются гарантии;
– затраты на предоставление аудиторских гарантий в сравнении с потенциальной выгодой.
В целях обеспечения компетентности и профессионализма руководителю службы внутреннего аудита (далее – РСВА) необходимо:
– составлять и утверждать годовой планы по обучению сотрудников службы внутреннего аудита;
– ставить сотрудникам задачи, в выполнении которых они компетентны.
4) 1300 – Программа гарантии и повышения качества внутреннего аудита (далее – Программа)
РСВА должен разработать и поддерживать Программу, охватывающую все аспекты деятельности внутреннего аудита.
Программа разрабатывается для оценки соответствия функции внутреннего аудита определению внутреннего аудита, настоящим Стандартам, этическим стандартам.
Программа предусматривает оценку эффективности и результативности внутреннего аудита, выявление возможностей для совершенствования деятельности.
Программа утверждается руководителем объекта внутреннего аудита.
Программа должна включать внутренние и внешние оценки.
Внутренние оценки включают:
– текущий мониторинг деятельности внутреннего аудита;
– периодические проверки, проводимые внутренними аудиторами путем самооценки или сотрудниками организации, обладающими достаточными знаниями в области внутреннего аудита.
Внешние оценки проводятся один раз в два года квалифицированным и независимым экспертом или группой экспертов, не являющихся сотрудниками организации.
Квалифицированный внешний эксперт или группа экспертов демонстрируют компетентность в двух областях: профессиональные вопросы внутреннего аудита и проведение внешней оценки.
Подтверждением компетентности служит теоретическая подготовка, опыт работы в организациях аналогичного масштаба и сложности, соответствующих секторах и отраслях экономики.
Независимость эксперта или группы экспертов предполагает отсутствие конфликта интересов.
Независимые эксперты не могут быть работниками или находиться под контролем организации, функцию внутреннего аудита которой они проверяют.
Результаты внутренней и внешней оценки по Программе представляются руководителю объекта аудита.
В случае, если информация о результатах Программы не соответствует определению внутреннего аудита, этическим стандартам и настоящим Стандартам, влияет на общий объем или деятельность службы внутреннего аудита, РСВА должен сообщить о факте несоответствия и его последствиях руководителю объекта внутреннего аудита.
4. Стандарт деятельности внутреннего аудита
5. Стандарт деятельности внутреннего аудита включает:
1) 2000 – Управление внутренним аудитом
РСВА должен эффективно управлять службой внутреннего аудита с целью предоставления объективных и компетентных гарантий по повышению результативности управления рисками и контрольных процедур.
Эффективным считается управление службой внутреннего аудита, когда:
– результаты, достигнутые в ходе работы внутреннего аудита, соответствуют целям и обязанностям, содержащимся в положении о структурном подразделении внутреннего аудита;
– деятельность службы внутреннего аудита соответствует определению внутреннего аудита и настоящим Стандартам;
– лица, работающие в службе внутреннего аудита, демонстрируют соответствие требованиям этических стандартов и настоящих Стандартов.
РСВА составляет риск – ориентированный план, определяющий приоритеты внутреннего аудита с целями организации.
РСВА принимает во внимание концепцию управления рисками, принятую в организации, включая использование определенных руководством уровней риск-аппетита для различных видов деятельности или подразделений организации. Если такой концепции в организации нет, РСВА применяет собственное суждение о рисках, сформированное после консультаций с руководителем объекта внутреннего аудита.
При составлении плана работы службы внутреннего аудита должно учитываться мнение руководителя объекта внутреннего аудита.
РСВА должен оценить предложенные задания по консультированию с точки зрения возможностей улучшения процесса управления рисками и совершенствования деятельности организации при выполнении заданий. Принятые к исполнению задания должны быть включены в план.
РСВА представляет на рассмотрение и утверждение руководителю объекта внутреннего аудита проекты стратегического и годового планов по целям, полномочиям и обязанностям, с указанием ресурсов, необходимых для их выполнения, а также информацию о существенных изменениях планов в течение отчетного периода. РСВА должен сообщать о последствиях ограничений в ресурсах.
РСВА обеспечивает наличие соответствующих и достаточных ресурсов, а также их эффективное использование для выполнения утвержденного плана.
РСВА должен разработать детальную методику планирования, документального оформления доказательств, выборки, оценки и предоставлении отчетности по аудиторским заданиям, с учетом размера, сложности выполняемой работы службой внутреннего аудита.
РСВА должен обмениваться информацией и координировать деятельность с другими внутренними и внешними сторонами, предоставляющими аудиторские гарантии и консультационные услуги. РСВА периодически (ежеквартально и ежегодно) отчитывается перед руководителем объекта внутреннего аудита о целях, полномочиях и обязанностях службы внутреннего аудита, а также о ходе выполнения плана работы.
Отчет должен содержать информацию о существенных рисках, включая риски мошенничества, проблемах корпоративного управления и другие сведения, необходимые руководителю объекта внутреннего аудита.
2) 2100 – Сущность работы внутреннего аудита.
Внутренний аудит должен проводить оценку и способствовать совершенствованию процессов корпоративного управления, управления рисками и контроля, используя систематизированный и последовательный подход.
Внутренний аудит должен определить, соответствует ли система управления информационными технологиями стратегии и целям организации.
Внутренний аудит должен оценивать эффективность управления рисками и способствовать совершенствованию процессов управления ими.
Определение эффективности управления рисками осуществляется внутренним аудитором, по результатам оценки следующих категорий:
– соответствия цели организации ее миссии;
– выявления и оценки существенных рисков;
– мероприятий по реагированию на риски, позволяющих удерживать риски в рамках риск-аппетита организации;
– своевременности фиксирования информации, по рискам, и передачи внутри организации.
Для оценки эффективности управления рисками служба внутреннего аудита может собирать информацию в рамках нескольких заданий. Комплексный анализ таких заданий дает представление о характере и эффективности процессов управления рисками.
Мониторинг процессов управления рисками осуществляется в рамках текущей деятельности и/или с помощью специальных оценок.
Внутренний аудит должен оценивать риски, связанные с корпоративным управлением, операционной деятельностью организации и ее информационными системами, в части:
– достоверности и целостности информации о финансово-хозяйственной деятельности;
– эффективности, результативности деятельности и программ;
– сохранности активов;
– соответствия требованиям нормативных правовых актов и договорных обязательств.
Внутренний аудит должен оценивать возможность совершения мошенничества и то, как организация управляет риском мошенничества.
В ходе выполнения заданий по консультированию внутренние аудиторы должны учитывать риски в соответствии с целями задания.
Помогая руководителю объекта внутреннего аудита в организации или улучшении процессов управления рисками, внутренние аудиторы должны воздерживаться от непосредственного участия в управлении рисками.
Внутренний аудит должен помогать организации в поддержании эффективной системы внутреннего контроля, оценивать ее эффективность и результативность, содействовать постоянному совершенствованию системы.
Внутренние аудиторы должны использовать информацию о рисках, полученную в процессе выполнения задания по консультированию, по оценке управления рисками организации.
3) 2200 – Планирование аудиторского задания
Внутренние аудиторы должны составлять и документировать план выполнения каждого аудиторского задания, включающий цели, объем задания, его сроки и распределение ресурсов.
В ходе планирования аудиторского задания внутренние аудиторы должны учитывать:
– задачи объекта аудиторского задания, а также средства, с помощью которых объект контролирует свою деятельность;
– существенные риски, относящиеся к объекту аудиторского задания, его целям, ресурсам и хозяйственной деятельности, а также методы удержания рисков на приемлемых уровнях;
– адекватность и эффективность процессов управления рисками и контроля объекта аудита в сравнении с соответствующей моделью контроля;
– возможности значительного совершенствования процессов управления рисками и внутреннего контроля.
При планировании аудиторских заданий, пользователями результатов которых будут внешние стороны, внутренние аудиторы должны в письменной форме согласовать цели, содержание, соответствующие обязанности и другие ожидания, включая ограничения на распространение результатов выполнения задания и доступ к аудиторской документации.
Внутренние аудиторы должны согласовать в письменном виде со стороной, получающей консультации цели, содержание задания по консультированию, вопросы ответственности и другое.
Внутренний аудитор должен провести предварительную оценку рисков, относящихся к объекту аудита. Цели аудиторского задания должны соответствовать результатам этой оценки.
Определяя цели аудиторского задания, внутренние аудиторы должны учитывать вероятность существенных ошибок, искажений, мошенничества, несоблюдения процедур и другие риски.
При оценке процедур контроля должны использоваться адекватные критерии оценки. Внутренние аудиторы должны убедиться в том, что руководителем объекта внутреннего аудита установлены адекватные критерии оценки достижения целей и выполнения задач.
Если критерии адекватны, внутренние аудиторы должны руководствоваться ими. В противном случае внутренние аудиторы должны совместно с руководителем объекта внутреннего аудита выработать надлежащие критерии оценки.
Цели заданий по консультированию должны включать рассмотрение процессов корпоративного управления, управления рисками и контроля в оговоренных с клиентом пределах.
Цели заданий по консультированию должны соответствовать ценностям, стратегии и целям организации.
Объем и содержание аудиторского задания должны быть достаточными для достижения целей задания.
В объем и содержание задания должно включаться изучение соответствующих систем, документации, используемого бухгалтерского учета и составления финансовой отчетности, соблюдения нормативных правовых актов, регулирующих деятельность объектов внутреннего аудита, персонала и материальных активов, включая те, что находятся под контролем третьих лиц.
Если в ходе предоставления услуг по предоставлению гарантий возникает возможность оказания консультационных услуг в существенном объеме, следует согласовать с клиентом в письменной форме цели, содержание, соответствующие обязанности и другие вопросы.
Результаты консультационного задания должны быть доведены до сведения аудируемого лица в соответствии со стандартами, относящимися к консультационным услугам.
При выполнении консультационного задания внутренние аудиторы должны убедиться, что его объем и содержание достаточны для достижения согласованных целей. Если внутренние аудиторы в процессе выполнения задания испытывают сомнения в отношении объема и содержания задания, эти сомнения должны быть обсуждены с аудируемым лицом, чтобы решить, продолжать выполнение задания или нет.
Внутренние аудиторы должны определить объем ресурсов, необходимых для достижения целей аудиторского задания, исходя из характера и степени сложности каждого аудиторского задания, ограничений по срокам и доступных ресурсов.
Внутренние аудиторы должны разрабатывать и документировать программы работ, позволяющие достичь цели задания.
В программах должны определяться процедуры сбора, анализа, оценки и документирования информации в процессе выполнения задания. Программа должна быть утверждена до начала ее выполнения. Любые изменения программы должны быть своевременно утверждены.
Программы заданий по консультированию могут различаться по форме и содержанию, в зависимости от характера задания.
4) 2300 – Выполнение задания
Внутренние аудиторы должны собрать, проанализировать, оценить и оформить документально информацию в объеме, достаточном для достижения целей задания.
Внутренние аудиторы должны собрать достаточный объем надежной, уместной и полезной информации для достижения целей задания.
Внутренние аудиторы должны формулировать выводы и представлять результаты задания на основе соответствующего анализа и оценки информации.
Внутренние аудиторы должны документировать соответствующую информацию для обоснования выводов и результатов аудиторского задания.
РСВА должен контролировать доступ к документам, относящимся к заданию.
РСВА должен разработать правила хранения документов, относящихся к заданию, независимо от формы носителя информации. Эти правила должны соответствовать внутренним организационно-распорядительным документам организации и нормам законодательства Кыргызской Республики.
РСВА должен разработать политику получения, хранения и передачи внутренним и внешним сторонам документов, относящихся к аудиторскому заданию по консультированию. Эта политика должна соответствовать внутренним организационно-распорядительным документам организации и нормам законодательства Кыргызской Республики. Перед передачей документов внешней стороне РСВА должен в установленном порядке получить одобрение руководителя объекта внутреннего аудита и/или юридического подразделения организации.
Для достижения поставленных целей, обеспечения качества работы и повышения квалификации сотрудников службы внутреннего аудита необходимо осуществлять соответствующий контроль за выполнением задания.
Требуемая степень контроля будет зависеть от уровня профессионализма и опыта внутренних аудиторов, а также сложности задания. На РСВА возлагается ответственность за осуществление контроля за выполнением задания внутренним аудитором. Также он вправе поручить осуществлять контроль сотрудникам, обладающим достаточным опытом работы по внутреннему аудиту. Надлежащие свидетельства осуществления контроля должны документироваться и храниться.
РСВА наделяет назначенных внутренних аудиторов наблюдательными и обзорными функциями на время отдельных аудиторских заданий в целях обеспечения достижения поставленных целей, качества работы и возможности сотрудникам получить дополнительные навыки.
РСВА должен контролировать доступ к записям аудиторских заданий (аудиторские рабочие документы).
РСВА должен определить требования по хранению записей по результатам выполнения аудиторских заданий.
5) 2400 – Информирование о результатах
Внутренние аудиторы должны сообщать результаты выполнения задания лицам, которые могут обеспечить их должное рассмотрение. Отчеты о результатах должны содержать определение целей, объема и содержания задания, а также соответствующие заключения, рекомендации и планы действий.
В окончательном варианте отчета о результатах задания, при необходимости, должно содержаться мнение и/или заключение внутреннего аудитора. Оформленное мнение или заключение должно учитывать ожидания руководителя объекта внутреннего аудита, Совета и других заинтересованных лиц и опираться на информацию, относящуюся к делу.
Отчет может содержать рейтинги, выводы и иные описания результатов. Такой отчет может быть подготовлен в отношении контроля конкретного процесса, риска или операционного подразделения. Формулировки выводов должны отражать результаты выполнения задания и их значение.
Внутренним аудиторам рекомендуется включать положительные оценки деятельности объекта аудита в отчете по результатам задания.
При направлении результатов задания внешним сторонам отчет должен содержать информацию об ограничениях в их распространении и использовании.
Отчеты о ходе выполнения и результатах заданий по консультированию могут различаться по форме и содержанию в зависимости от характера задания и потребности клиента.
Отчеты должны быть точными, объективными, ясными, краткими, конструктивными, полными и своевременными.
Внутренние аудиторы могут сообщать в отчетах, что их задания «выполнены в соответствии с МПСВА», только в том случае, если это подтверждается результатами программы гарантии и повышения качества внутреннего аудита.
Если в рамках отдельного задания имело место несоответствие определению внутреннего аудита, положениям этических стандартов или настоящих Стандартов, отчет должен содержать следующее:
– принцип или статью этических стандартов или настоящих Стандартов, соответствие которому (которой) не было обеспечено полностью или частично;
– причина(ы) несоответствия;
– влияние несоответствия на выполнение задания и его результаты.
РСВА должен довести результаты задания до сведения соответствующих лиц.
РСВА или назначенное им лицо проверяет и утверждает окончательную отчетность по результатам задания перед ее выпуском и решает, кому и каким образом она представляется.
РСВА доводит результаты задания до сведения лиц, которые могут обеспечить их должное рассмотрение.
Если иное не определено нормативными правовыми актами Кыргызской Республики, РСВА перед передачей результатов сторонним организациям, должен:
– оценить возможные риски для организации;
– проконсультироваться в установленном порядке с руководителем объекта внутреннего аудита и/или юридическим подразделением;
– контролировать распространение информации, устанавливая ограничения на ее использование.
РСВА должен довести до клиентов окончательные результаты задания по консультированию.
Отчет по результатам задания содержит:
– описание объема работ с указанием периода времени, который охватывает задание;
– ограничения объема работ;
– рассмотрение всех смежных проектов, включая те, что связаны с другими поставщиками гарантий;
– методику оценки риска, контроля или другой критерий, положенный в основу заключения;
– изложение итогового мнения, суждения или заключения.
Причины итогового негативного заключения должны быть изложены в тексте заключения.
6) 2500 – Наблюдение за действиями по результатам аудита
РСВА должен разработать и поддерживать систему мониторинга действий руководителя объекта внутреннего аудита, предпринимаемых по результатам задания.
РСВА должен разработать процесс последующего мониторинга, цель которого – убедиться, что предпринятые руководителем объекта внутреннего аудита действия были эффективными или что руководитель объекта внутреннего аудита принял риск, решив не предпринимать никаких действий.
Внутренний аудит должен осуществлять мониторинг результатов задания по консультированию в согласованных с клиентом пределах.
7) 2600 – Рассмотрение риска, принятого руководителем объекта внутреннего аудита
Если, по мнению РСВА, уровень остаточного риска, принятого руководителем объекта внутреннего аудита, не может быть приемлемым для организации, РСВА должен обсудить этот вопрос с руководителем объекта внутреннего аудита. Если проблема, связанная с остаточным риском, по-прежнему осталась нерешенной, РСВА должен передать вопрос на рассмотрение Совету.