Оценка системы внутреннего контроля:
независимый вывод о том, работают ли ваши контроли
Проверяем, как устроены и как на самом деле работают контроли — по модели COSO 2013, ст. 19 закона 402-ФЗ и рекомендациям Банка России. Результат — заключение для совета директоров и план устранения недостатков с приоритетами.
Записаться на бесплатную диагностику45 минут · бесплатно · это диагностика, а не продажа
Когда нужна оценка системы внутреннего контроля
Совету директоров нужен вывод
Банк России рекомендует совету не реже раза в год рассматривать организацию и эффективность управления рисками и внутреннего контроля. Независимая оценка даёт совету основание для этого вывода, а не пересказ менеджмента.
Налоговый мониторинг
Участник налогового мониторинга раскрывает информацию о СВК (п. 7 ст. 105.26 НК РФ); требования к СВК установлены приказом ФНС России от 25.05.2021 № ЕД-7-23/518@. Оценка показывает разрывы до того, как их увидит инспекция.
После инцидента
Хищение, ошибка в отчётности, сбой в закупках. Оценка отвечает на вопрос, был ли это единичный сбой или системный недостаток дизайна контролей — и где ещё он проявится.
Рост, сделка, IPO
Новые юрлица, смена собственника, подготовка к размещению. Инвесторы и аудитор спрашивают о внутреннем контроле над отчётностью — нужна документированная матрица рисков и контролей и подтверждение её работы.
Оценка системы внутреннего контроля: требования в России
Обязанность вести внутренний контроль — в законе; периодичность и формат оценки — в рекомендациях регулятора.
402-ФЗ, ст. 19
Каждый экономический субъект обязан организовать и осуществлять внутренний контроль фактов хозяйственной жизни; при обязательном аудите — также контроль ведения учёта и составления отчётности. Ориентиры дают рекомендации Минфина России ПЗ-11/2013.
Закон «Об АО», ст. 87.1
Публичное общество обязано организовать управление рисками и внутренний контроль; надёжность и эффективность этой системы оценивает внутренний аудит.
Банк России, ИН-06-28/143
Раздел 2.9 рекомендует ежегодную внутреннюю оценку СУРиВК и внешнюю оценку экспертом с периодичностью, закреплённой в политике. Результаты внешней оценки представляются совету директоров отдельно от внутренней.
Кодекс корпоративного управления
Принцип 5.1.4 и п. 262 Кодекса: совет директоров убеждается, что система управления рисками и внутреннего контроля соответствует утверждённым принципам и эффективно функционирует.
Источники: Федеральный закон от 06.12.2011 № 402-ФЗ, ст. 19 · Федеральный закон от 26.12.1995 № 208-ФЗ, ст. 87.1 · информационное письмо Банка России от 01.10.2020 № ИН-06-28/143, раздел 2.9 · приказ ФНС России от 25.05.2021 № ЕД-7-23/518@ · Кодекс корпоративного управления (Банк России, 2014)
Что мы проверяем
Оцениваем по 17 принципам COSO 2013 — и дизайн контроля, и его фактическую работу на выборке операций.
Контрольная среда
Тон сверху, распределение полномочий и ответственности, независимость надзора совета директоров, компетенции и подотчётность.
Оценка рисков
Связь целей с рисками, учёт риска мошенничества, реакция на изменения — новые продукты, юрлица, ИТ-системы.
Контрольные процедуры
Дизайн и работа ключевых контролей в процессах: согласования, сверки, разделение полномочий (SoD), автоматические контроли и общие ИТ-контроли (ITGC).
Информация и коммуникация
Качество данных для решений, каналы сообщений о нарушениях, отчётность для совета и комитета по аудиту.
Мониторинг
Самооценка владельцев контролей, работа внутреннего аудита, устранение недостатков: открыты ли замечания прошлых проверок.
Данные, а не только интервью
Где есть выгрузки из ERP и 1С, проверяем всю совокупность операций методами Process & Data Mining — например, конфликтные права доступа и обход согласований.
Как мы оцениваем зрелость
Закон «Об АО» (ст. 87.1) и Кодекс корпоративного управления (принцип 5.1.4) требуют, чтобы система не только была организована, но и эффективно функционировала. Поэтому по каждому принципу COSO 2013 (наличие и работа 17 принципов, совместное функционирование пяти компонентов) мы смотрим два вида свидетельств: дизайн (утверждённое правило) и функционирование (протоколы, отчёты, выгрузки за последние два года).
Пять уровней зрелости
Базовый
Процедуры не описаны или существуют на бумаге; риски и контроли — реакция на события.
Развивающийся
Политики утверждены, но применяются фрагментарно, без связи с целями и бюджетом.
Устоявшийся
Система работает регулярно по всем ключевым процессам, совет получает отчётность.
Продвинутый
Риски и контроли встроены в решения, есть метрики, автоматизация и независимая оценка.
Передовой
Количественный анализ, мониторинг на данных, система сама сигнализирует об отклонениях.
Три контура оценки
Самооценка владельцев процессов и рисков
Как подразделения сами видят свои риски и контроли — и что они уже нашли и исправляют.
Самооценка служб управления рисками и внутреннего контроля
Ежегодный отчёт совету директоров о функционировании системы — по Письму Банка России № ИН-06-28/143.
Независимая оценка: внутренний аудит и внешний эксперт
Работает ли система на самом деле. Расхождение между самооценкой и независимой оценкой — уже диагноз.
Дополнительно проходим 43 вопроса Приложения 1 к Письму Банка России № ИН-06-28/143 («соблюдается / частично / не соблюдается») и сверяем ответы компании с документами.
Как проходит оценка эффективности внутреннего контроля
Диагностика — 45 минут, бесплатно
Уточняем цель (вывод для совета, налоговый мониторинг, сделка), границы оценки и какие процессы и юрлица в неё входят.
Документы и интервью
Политики и регламенты, матрицы рисков и контролей, отчёты внутреннего аудита и внешнего аудитора; интервью с владельцами процессов и членами комитета по аудиту.
Тестирование контролей
Сквозной разбор процессов (walkthrough), тесты дизайна и операционной эффективности на выборках, анализ данных учётных систем.
Оценка по COSO и уровень зрелости
Вывод по каждому компоненту и принципу, перечень недостатков с оценкой существенности, уровень зрелости системы.
Заключение и план
Отчёт для совета директоров отдельно от внутренней оценки (как рекомендует Банк России) и план устранения недостатков с владельцами и сроками.
Срок и бюджет зависят от числа процессов и юрлиц в периметре, уровня автоматизации и доступности данных. Точную смету и график даём после бесплатной диагностики. Работаем с компаниями по всей России. Написать напрямую: pviktorov@gmail.com. Можно оценить СВК целиком или отдельные компоненты и процессы — рекомендации Банка России допускают оба варианта.
Кто вправе проводить внешнюю оценку
Компетенция и сертификаты
Банк России рекомендует выбирать эксперта с профессиональной компетенцией в оценке СУРиВК, специалистами с национальными или международными сертификатами и недавним практическим опытом.
Нет конфликта интересов
Эксперт не аффилирован с обществом, его подконтрольными обществами, работниками и членами совета директоров и не заинтересован в результатах деятельности общества. Это проверяем до начала работ.
Связь с оценкой аудита
Если одновременно нужна внешняя оценка качества внутреннего аудита, её удобно провести в одном проекте: внешняя оценка качества внутреннего аудита по стандартам IIA 2024.
Полезно по теме
Оценка эффективности системы управления рисками
Внешняя оценка СУР по ISO 31000 и COSO ERM 2017.
Практикум: СВК своими руками
Как построить систему внутреннего контроля без консультантов.
Как запустить проект по СВК
С чего начать и как не утонуть в регламентах.
СВК и налоговые риски
Практика для налогового мониторинга.
«Хорошая система внутреннего контроля не та, где больше регламентов, а та, где ключевой риск закрыт контролем, который реально срабатывает»— Павел Викторов, CIA®, CPA®, к.э.н.
Эксперт по оценке системы внутреннего контроля
Павел Викторов
Директор практики внутреннего аудита, контроля и управления рисками консалтинговой группы Marillion (30+ лет, Топ-8 RAEX) — в том числе проводит Внешние оценки качества (QAR) по МСВА 2024. 18 лет на позиции директора по ВА: Coopers & Lybrand (PwC), MAZARS, ТНК-ВР, СТС Media (NASDAQ), SIMPLE Group. Реализованные проекты — более 1 млрд руб. Free Cash Flow. Со-автор Кодекса корпоративного управления РФ 2014 (инициатива ОЭСР). Участник экспертных советов при Банке России, Московской Бирже, Росимуществе. Победитель Adam Smith Russian CFO Awards «Лучший внутренний аудит года».
Частые вопросы
Что такое оценка системы внутреннего контроля?
Это независимая проверка того, как спроектированы и как фактически работают контроли компании: покрывают ли они ключевые риски, выполняются ли и что происходит с выявленными недостатками. Результат — вывод об эффективности СВК и план устранения недостатков.
Обязательна ли оценка СВК?
Сам внутренний контроль обязателен для всех экономических субъектов (ст. 19 закона 402-ФЗ). Публичные АО обязаны организовать управление рисками и внутренний контроль (ст. 87.1 закона «Об АО»), а их надёжность и эффективность оценивает внутренний аудит. Внешнюю оценку экспертом рекомендует Банк России (письмо № ИН-06-28/143, раздел 2.9), периодичность общество определяет в своей политике.
По какой модели оценивают систему внутреннего контроля?
Чаще всего — по COSO Internal Control — Integrated Framework 2013: 5 компонентов и 17 принципов. Для налогового мониторинга дополнительно учитываются требования приказа ФНС России № ЕД-7-23/518@, для публичных АО — рекомендации Банка России и Кодекса корпоративного управления.
Чем оценка СВК отличается от аудита отчётности?
Внешний аудитор выражает мнение о достоверности отчётности и смотрит на контроль в той мере, в какой это нужно для аудита. Оценка СВК отвечает на другой вопрос: закрывают ли контроли риски бизнеса — операционные, закупочные, налоговые, ИТ, а не только риски искажения отчётности.
Как часто проводить оценку?
Внутреннюю оценку Банк России рекомендует проводить и представлять совету директоров не реже раза в год. Периодичность внешней оценки рекомендуется закрепить в политике по управлению рисками и внутреннему контролю; на практике — раз в 3–5 лет и после существенных изменений бизнеса.
Можно ли оценить только отдельные процессы?
Да. Рекомендации Банка России допускают как комплексную оценку СУРиВК, так и оценку отдельных компонентов или их сочетания, а в холдинге — оценку по обществам группы.
Как определяется уровень зрелости СВК?
По пятиуровневой шкале — от базового до передового. По каждому из 17 принципов COSO 2013 оцениваем дизайн и фактическое функционирование, сопоставляем три контура оценки (самооценка владельцев процессов, самооценка службы внутреннего контроля, независимая оценка); при расхождении итоговый уровень определяется по более консервативной оценке.
Сколько стоит и сколько длится оценка?
Зависит от периметра: числа процессов и юрлиц, уровня автоматизации, доступности данных. Смету и график даём после бесплатной 45-минутной диагностики.