Внедрение ICFR: тестирование эффективности системы контроля

В предыдущих статьях я рассказал, как формализовать бизнес-процессы, как выявить различные типы рисков, присущие данному бизнес-процессу,какие типы контроля существуют и как оценить уровень риска. Следующий шаг — исследовать и сделать вывод об эффективности системы контроля.

Цели и подход

Лучшая практика: два важных вопроса определяют цели процедуры тестирования средств контроля:

Реализованы ли контрольные процедуры в соответствии с утвержденным дизайном контроля
Выполняются ли контрольные процедуры уполномоченными и компетентными лицами.

План тестирования должен охватывать следующие ключевые вопросы:

Определение объёма средств контроля для тестирования
Метод тестирования
Определение совокупности и единицы тестирования
Период тестирования
Определение подхода к выборке для тестирования из совокупности
Объём выборки
Документирование результатов, включая определение исключений (превышение/занижение допустимых уровней ошибок).

Теперь рассмотрим каждый из семи пунктов более подробно.

Определение объёма средств контроля для тестирования

Данный шаг зависит от ожидаемого уровня эффективности контроля. Обычно в этой области профессиональное суждение применяется аудиторскими командами (командой внутреннего аудита или внешними консультантами). Ниже приведен пример примененного суждения:

№	Критерий	Вес (%)
1	Частота выполнения контрольной процедуры	10%
2	Сложность контрольной процедуры	5%
3	Уровень существенности бизнес-процесса и существенность потенциального негативного результата при неэффективности контроля	25%
4	Уровень знаний участников бизнес-процесса	25%
5	Наличие изменений в контрольной процедуре в течение отчётного периода	35%

Могут также применяться дополнительные критерии, например:

Количество инцидентов;
Доля ручных/автоматических средств контроля в процессе;
Уровень формализации процесса;
Уровень разделения обязанностей в процессе;
Другие.

Каждый критерий оценивается по шкале от 0 до 10 с учётом весовых коэффициентов, затем рассчитывается общий балл.

На основании общего результата можно сделать следующие выводы о количестве подлежащих тестированию средств контроля (пример):

Категория	Ожидаемый уровень контрольной среды	Программа тестирования/количество
1–30 баллов	Высокий	Выборочное тестирование только ручных средств контроля, не более 60%
31–60 баллов	Средний	Выборочное тестирование, приоритет — ручные средства контроля. Тестируются 80% ручных и 50% автоматических средств контроля
61–90 баллов	Низкий	Все средства контроля подлежат тестированию

Метод тестирования

Существуют следующие методы тестирования:

Интервью. По результатам интервью можно сделать следующие выводы: уровень знаний и компетентности задействованных ролей, прозрачность контрольной процедуры, частота контроля, выявление нарушений полномочий при реализации контрольной процедуры. Данный метод может использоваться в сочетании с методами обзора и инспекции.

Обзор/анализ. Это наиболее подходящий метод для подтверждения отсутствия документации по контролю. Пример: проверка разделения обязанностей..
Инспекция. Включает физическую проверку наличия контроля. Пример: проверка подписи, печати, отчётов, электронных документов. Данный вид тестирования эффективен для ручных средств контроля.
Повторное выполнение. Включает повторное выполнение фактических операций, отобранных для тестирования. Результаты повторного выполнения сравниваются с фактическими и анализируются на предмет различий. Данный метод обычно используется, когда невозможно применить методы 1–3.

Совокупность и единица тестирования

Для каждой контрольной процедуры должно быть определено общее количество таких процедур за период или совокупность, подлежащую тестированию.

Единица тестирования — контрольная процедура для каждой операции.

Пример: бухгалтер проверяет каждый полученный счёт на двойной учёт. Совокупность для тестирования — все счёта, полученные за период, единица тестирования — одна контрольная процедура.

Выборка из совокупности

Должна быть четкая методология выборки. При этом учитываются следующие критерии:

Уровень стабильности контрольной среды;
Понимание основных точек бизнес-процесса, в которых возникают ошибки;
Объём совокупности для тестирования;
Значимость данного контроля для всего процесса/подпроцесса;
Требуемая точность результатов тестирования;
Ожидаемый уровень ошибок.

Таким образом, существует два типа выборки: статистический и основанный на суждении.

При использовании статистического подхода применяются фундаментальные принципы теории вероятностей.

Ниже приведен пример:

Частота контрольной процедуры	Совокупность контрольных процедур	Количество проверенных единиц (выборка)
Ежегодно	1	1
Ежеквартально	4	2
Ежемесячно	12	2
Еженедельно	52	5
Ежедневно	250	20
Несколько раз в день	Более 250	25

! Важно: количество проверяемых единиц может быть увеличено, если по указанным критериям они являются более рискованными или нестабильными.

Пример: бухгалтер проверяет каждый полученный счёт на двойной учёт. Количество счётов за отчётный период — 20 000. Базовая выборка для тестирования — 25.

На применение повышающих коэффициентов влияют следующие факторы:

Сложность контрольной процедуры: контроль ручной, выполняется разными лицами, в процедуре есть выбор из двух вариантов, низкая квалификация персонала: коэффициент 40%;
Ожидаемый уровень ошибок: в учётных системах зафиксированы негативные инциденты: коэффициент 20%;
Тип и назначение контроля: отсутствует автоматический отклонение при дублировании счётов: коэффициент 20%.

С учётом всех указанных факторов выборка составит 25 + 25*40% + 25*20% + 25*20% = 45.

Документирование результатов

Очень важно документировать результаты тестирования.

Компонент документации	Комментарии
Метод выборки	Описать процедуру формирования совокупности, выборки и единицы тестирования
ФИО и должность лица, проводящего тестирование
Описать процесс проверки	Описать процедуру проверки: объект проверки, тип контроля, выполненные действия, выявленные отклонения, ограничения, иные комментарии
Идентификационный номер, данные и реквизиты документов, подвергшихся тестированию
Описание процедур повторного тестирования
Общее заключение по результатам тестирования единиц, отобранных статистическим методом	Описать статистический метод выборки
Общее заключение по результатам тестирования единиц, отобранных экспертным методом	Описать дополнительные факторы, повлиявшие на увеличение количества тестируемых единиц
Общее заключение об эффективности протестированных контрольных процедур	Исполнитель тестирования делает следующие выводы: 1) эффективен ли контроль с учётом количества ошибок/отклонений; 2) соответствует ли фактическая контрольная процедура ее формальному дизайну.
Описание характера и частоты ошибок, выявленных при тестировании	Как были выявлены ошибки / характер ошибок / кто выявил и другие важные комментарии
Описание рекомендаций по устранению/снижению ошибок, выявленных при тестировании	После подтверждения и утверждения результатов тестирования контроля

Определение уровня и существенности ошибки/отклонения

При определении уровня ошибки учитываются следующие факторы:

Если операции (в рамках тестирования) являются рутинными, повторяющимися и формализованными, допустимый уровень ошибки определяется следующим образом:
- 1–1,5% для средств контроля, значимых для подпроцесса;
- 1,5–2% для средств контроля, менее значимых для подпроцесса.

Если уровень ошибки превышает указанные пределы, контроль может быть оценен как неэффективный.

Однако если помимо тестируемого контроля в процессе существует эффективный компенсирующий контроль высокого уровня, допустимый уровень ошибок может быть увеличен на 2% для значимых средств контроля и до 3% для менее значимых.
Если в ходе тестирования выявлена одна и та же ошибка, повторяющаяся более чем в 2–3% единиц тестируемой выборки, делается вывод о неэффективности контроля.