CFEC-Afrique выполняет функцию внутреннего аудита полностью или частично — на условиях аутсорсинга или вместе с вашими сотрудниками — в соответствии с Глобальными стандартами внутреннего аудита IIA. Мы выстраиваем или оцениваем систему внутреннего контроля на основе концепции COSO, затем разрабатываем руководство по процедурам и порядок делегирования полномочий. Корпоративное управление, управление рисками и комплаенс (GRC) отслеживаются в режиме непрерывного мониторинга: реестр рисков, индикаторы, автоматизированные тесты и оповещения. Руководство сохраняет свою ответственность за управление; каждое задание выполняется с соблюдением требований независимости.
Три составляющие единой системы
Внутренний аудит на аутсорсинге
- Полная передача функции на аутсорсинг или косорсинг
- Положение о внутреннем аудите и риск-ориентированный план
- Тематические проверки и выездные обзоры
- Отчёты руководству и комитету по аудиту
Внутренний контроль и регламенты
- Оценка по COSO: пять компонентов, семнадцать принципов
- Руководство по административным, финансовым и учётным процедурам
- Делегирование полномочий и разделение обязанностей
- Документирование и тестирование по SOX для дочерних компаний групп, котирующихся в США
GRC и непрерывный мониторинг
- Карта и реестр рисков, риск-аппетит и пороги толерантности
- Матрица рисков и средств контроля, ключевые индикаторы риска (KRI)
- Мониторинг законодательства и тестирование соблюдения требований
- Панели мониторинга для руководства и комитета по аудиту
Непрерывный аудит и непрерывный мониторинг: разные обязанности
Непрерывный аудит относится к аудиторской функции. Непрерывный мониторинг выполняют руководство и операционные подразделения.
Подход аудитора
Непрерывный аудит
continuous auditing
Аудитор регулярно применяет автоматизированные тесты и анализ данных для оценки рисков и средств контроля. Отдельные тесты могут охватывать все операции в определённой совокупности. Результаты используются для планирования дополнительных процедур и формирования выводов аудита.
Ответственность руководства
Непрерывный мониторинг (постоянный контроль)
continuous monitoring
Руководство вводит контрольные процедуры и оповещения для выявления необычных операций и отклонений от правил. Назначенные сотрудники анализируют сигналы и определяют дальнейшие действия. Такой мониторинг является частью внутреннего контроля организации.
В зависимости от задания мы можем предоставить инструменты для любого из подходов. Их координация позволяет получать более своевременную уверенность в отношении рисков и контроля при сохранении независимости аудита и чёткого разделения прав доступа и ответственности.
Инструменты непрерывного мониторинга
Автоматическое извлечение данных
Коннекторы к вашей ERP, банковские выписки и программные роботы: данные собираются через регулярные интервалы без повторного ввода.
Тестирование данных в согласованном объёме
Настроенные правила могут применяться ко всем доступным операциям в согласованном объёме. Наш внутренний ИИ помогает выявлять нетипичные операции; исключения анализирует специалист.
Оповещения и обработка
Исключение порождает оповещение для назначенного ответственного; анализ и устранение фиксируются вплоть до закрытия.
Панели GRC
Реестр рисков, ключевые индикаторы риска, состояние средств контроля и планов действий доступны руководству и комитету по аудиту.
Что мы делаем
- Полная (аутсорсинг) или частичная (косорсинг) передача функции внутреннего аудита в соответствии с Глобальными стандартами внутреннего аудита IIA.
- План внутреннего аудита на основе рисков, обсуждённый с руководством и представленный на утверждение совету или комитету по аудиту в соответствии с распределением полномочий.
- Построение или оценка системы внутреннего контроля на основе концепции COSO: пять компонентов, семнадцать принципов.
- Разработка и обновление руководства по административным, финансовым и учётным процедурам, порядка делегирования полномочий и матриц прав доступа.
- Проверка процессов: закупки, казначейство, зарплата, запасы, основные средства, продажи.
- Соответствие закону Сарбейнса — Оксли (SOX): документирование и тестирование средств контроля дочерних компаний групп, котирующихся в США.
- Внедрение системы GRC: карта и реестр рисков, матрица рисков и средств контроля, ключевые индикаторы риска и мониторинг соблюдения нормативных требований.
- Программа непрерывного аудита и построение постоянного контроля: автоматизированное извлечение данных, правила тестирования, пороги оповещения и порядок обработки отклонений.
- Автоматизация тестов с помощью программных роботов (RPA) и автоматическое распознавание документов средствами компьютерного зрения.
- Периодические отчёты для руководства, комитета по аудиту, совета директоров или донора.
Дополнение периодических проверок регулярной оценкой
Примеры автоматизированных тестов
Наш подход
Составить карту
Процессы, риски и ключевые средства контроля выявляются вместе с вашими командами и сопоставляются с целями организации.
Выстроить и формализовать
Средства контроля, процедуры и полномочия определяются или совершенствуются вместе с ответственными лицами, затем утверждаются руководством.
Настроить
Для каждого ключевого контроля задаются правило тестирования, периодичность, порог оповещения и ответственный.
Непрерывное тестирование
Доступные данные выгружаются и тестируются с согласованной периодичностью. Специалисты проверяют качество данных, обоснованность правил и выявленные исключения.
Отчётность
Каждое отклонение объясняется или устраняется назначенным ответственным; панели мониторинга и периодические отчёты дают руководству и комитету по аудиту актуальное представление о системе.
Отчёты и результаты работы
- Положение о внутреннем аудите и риск-ориентированный план внутреннего аудита; отчёты о проверках.
- Отчёт об оценке внутреннего контроля по модели COSO и готовое к распространению руководство по процедурам.
- Карта рисков, матрица рисков и средств контроля, панели GRC.
- Планы действий, отслеживаемые до полного выполнения.