Внутренний аудит (Internal Audit)

Внутренний аудит (Internal Audit) — независимая, объективная функция обеспечения гарантий и консультирования, спроектированная для повышения ценности и улучшения операций организации через систематическую, дисциплинированную оценку и совершенствование управления, управления рисками и внутреннего контроля, — по определению Института внутренних аудиторов (IIA), ключевого профессионального органа стандартизации дисциплины.

Происхождение и исследовательская база

Институт внутренних аудиторов (IIA), основанный в США в 1941 году, разработал и поддерживает международные профессиональные стандарты внутреннего аудита, в том числе модель «трёх линий» (Three Lines Model), впервые представленную в 2013 году как «три линии защиты» (Three Lines of Defense) и обновлённую в 2020 году. Модель определяет три различные роли в управлении рисками организации: первая линия — операционное руководство, непосредственно управляющее рисками в ходе повседневной деятельности; вторая линия — функции управления рисками и комплаенса, обеспечивающие экспертизу, мониторинг и поддержку первой линии; третья линия — внутренний аудит, независимая функция, дающая объективную гарантию эффективности управления, рисков и внутреннего контроля всей организации, включая первую и вторую линии.

Задокументированный реальный кейс, ставший эталоном значения структурной независимости внутреннего аудита: в 2002 году вице-президент по внутреннему аудиту WorldCom Синтия Купер обнаружила, что компания замаскировала операционные расходы под капитальные вложения, превратив реальный убыток в 662 миллиона долларов в отчётную прибыль в 2,4 миллиарда долларов — итоговая сумма фальсификации отчётности составила 3,8 миллиарда долларов. Когда финансовый директор Скотт Салливан оказывал на Купер прямое давление, а председатель аудиторского комитета первоначально советовал ей не настаивать на объяснениях и просто дождаться звонка от Салливана, Купер вместе с коллегой Глин Смит напрямую вышла на аудиторский комитет совета директоров компании, минуя операционное руководство, — именно эта структурная возможность отчитаться перед советом директоров, а не перед проверяемым менеджментом, позволила довести находки до конца. 20 июня 2002 года команда Купер представила итоговые результаты совету директоров, после чего Салливану дали выходные на объяснения, а затем попросили уйти в отставку. Это прямая иллюстрация принципа «прямая подотчётность высшему руководящему органу — необходимое условие объективности внутреннего аудита»: если бы функция внутреннего аудита WorldCom отчитывалась перед тем же финансовым директором, чья работа проверялась, у Купер физически не было бы канала довести находки до тех, кто мог принять решение. WorldCom объявила банкротство 21 июля 2002 года — на тот момент крупнейшее в истории США, с активами свыше 100 миллиардов долларов, — а Синтия Купер вместе с двумя другими женщинами, обнаружившими корпоративные злоупотребления в том же году (Шерон Уоткинс из Enron и Колин Роули из ФБР), была признана журналом Time «Человеком года — 2002» под общим заголовком «Разоблачители» (The Whistleblowers), что закрепило кейс WorldCom в общественном сознании как символ значения структурной независимости внутреннего контроля, а не только специализированный пример из корпоративного управления.

Ключевое условие эффективности внутреннего аудита — независимость от менеджмента: обеспечивается через прямую подотчётность высшему руководящему органу (совету директоров или аудиторскому комитету, а не операционному менеджменту), беспрепятственный доступ к людям, ресурсам и данным, необходимым для работы, и свободу от предвзятости или постороннего влияния. Подотчётность высшему органу — это не просто строка в оргструктуре: высший орган утверждает план и бюджет внутреннего аудита и сам решает, кого назначить руководителем аудита и когда его снять. Однако IIA явно уточняет, что независимость не означает изоляцию — необходимо регулярное взаимодействие внутреннего аудита с менеджментом, чтобы работа аудита оставалась релевантной и соответствовала стратегическим и операционным потребностям организации.

Ключевое различие функций внутреннего аудита: обеспечение гарантий (assurance) — объективная оценка эффективности существующих процессов управления, рисков и контроля; и консультирование (consulting) — рекомендательная помощь менеджменту в улучшении процессов без принятия на себя управленческой ответственности за их работу. Смешение этих двух ролей — например, когда внутренний аудит фактически проектирует контрольные процедуры, которые затем сам же и проверяет — подрывает объективность и независимость аудиторской функции.

Ключевые идеи и принципы

1. Принцип: независимость от операционного менеджмента — необходимое условие объективности внутреннего аудита.

   Прямая подотчётность высшему руководящему органу, а не операционному менеджменту, чья работа проверяется, — структурная гарантия того, что находки и рекомендации аудита не искажаются страхом перед менеджментом, чьи процессы оцениваются.

2. Принцип: три линии модели чётко разграничивают роли, избегая дублирования и пробелов ответственности.

   Операционное руководство (первая линия) отвечает за непосредственное управление рисками в повседневной работе, функции риск-менеджмента и комплаенса (вторая линия) — за экспертную поддержку и мониторинг, внутренний аудит (третья линия) — за независимую оценку всей системы в целом, включая работу первых двух линий.

3. Принцип: независимость не означает изоляцию от менеджмента.

   Внутренний аудит должен поддерживать регулярное взаимодействие с менеджментом для понимания реальных операционных и стратегических приоритетов организации — полная изоляция от менеджмента приводит к нерелевантным, оторванным от реальных потребностей рекомендациям.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: подчиняют функцию внутреннего аудита операционному менеджменту вместо высшего руководящего органа.

   Внутренний аудит формально существует, но отчитывается перед тем же менеджментом, чью работу должен объективно оценивать, что подрывает структурную независимость и объективность его находок.

   Как избежать

   обеспечивать прямую подотчётность функции внутреннего аудита совету директоров или аудиторскому комитету, а не операционному менеджменту.

2. Ошибка 2: смешивают роли обеспечения гарантий и консультирования без явного разграничения.

   Внутренний аудит одновременно проектирует контрольные процедуры для менеджмента и затем сам же проверяет их эффективность, теряя объективность оценки собственной ранее данной рекомендации.

   Как избежать

   явно разграничивать роль обеспечения гарантий и роль консультирования, избегая ситуаций, когда аудит проверяет процедуры, которые сам же спроектировал.

3. Ошибка 3: изолируют внутренний аудит от регулярного взаимодействия с менеджментом.

   Стремление к независимости доводится до крайности — внутренний аудит работает в отрыве от реальных операционных приоритетов организации, что приводит к формально корректным, но практически нерелевантным рекомендациям.

   Как избежать

   поддерживать регулярное содержательное взаимодействие с менеджментом для понимания реальных приоритетов, сохраняя при этом структурную независимость в отчётности.

4. Ошибка 4: полагаются только на формальную структуру подотчётности, не проверяя реальную готовность аудитора идти против давления менеджмента.

   Формально верная структура подотчётности совету директоров не гарантирует результата сама по себе — в кейсе WorldCom решающим фактором стала личная готовность Синтии Купер и её команды продолжать расследование вопреки прямому давлению финансового директора и первоначальному совету председателя аудиторского комитета не настаивать.

   Как избежать

   Оценивать не только формальную структуру подотчётности, но и реальную культуру организации — поощряется ли фактическое доведение неудобных находок до совета директоров, а не просто формальное наличие такой возможности на бумаге.

5. Ошибка 5: аудиторский комитет пассивно принимает первоначальные объяснения менеджмента, не требуя независимой проверки.

   В кейсе WorldCom председатель аудиторского комитета изначально советовал Купер просто дождаться объяснений от Салливана — пассивная позиция комитета, склонного поверить на слово проверяемому менеджменту, могла свести на нет всю структурную независимость аудита, если бы Купер не настояла на дальнейшем расследовании.

   Как избежать

   Обучать аудиторский комитет и совет директоров активно требовать независимой проверки находок внутреннего аудита, а не принимать объяснения проверяемого менеджмента без верификации.

План внедрения

1. Неделя 1: определить структуру подотчётности функции внутреннего аудита

   Обеспечить прямую подотчётность внутреннего аудита совету директоров или аудиторскому комитету.

2. Неделя 2: разграничить роли операционного руководства, риск-менеджмента и внутреннего аудита

   Явно определить зоны ответственности каждой из трёх линий в системе управления рисками организации.

3. Неделя 3: разработать план аудиторских проверок с чётким разграничением обеспечения гарантий и консультирования

   Спланировать программу проверок, избегая смешения ролей аудита процедур, которые он сам спроектировал.

4. Неделя 4: наладить регулярное взаимодействие внутреннего аудита с менеджментом

   Обеспечить регулярный содержательный диалог для понимания актуальных операционных и стратегических приоритетов организации.

   Далее: мониторинг новых категорий риска — дополнять внутренний аудит проактивным риск-менеджментом для выявления принципиально новых угроз, ещё не покрытых существующими контрольными процедурами.

Как реализовать этот план с помощью фрейма «Внутренний аудит (IIA, модель трёх линий)» в OrgDevTools

Фрейм собирает четырёхнедельный план в одну модель. Вы отмечаете, кому подотчётен аудит, раскладываете ключевые риски по трём линиям и вносите задания и рекомендации. Пробелы фрейм находит сам и подводит итоги. Это бесплатный тренажёр: на нём удобно проверить схему до того, как выносить её на комитет по аудиту.

Книги по теме

The Institute of Internal Auditors — «International Professional Practices Framework (IPPF)». Официальный международный стандарт профессиональной практики внутреннего аудита.