| Часть серии по |
| Бухгалтерский учет |
|---|
 |
Самооценка контроля - это метод, разработанный в 1987 году, который используется рядом организаций, включая корпорации, благотворительные организации и правительственные ведомства, для оценки эффективности своих процессов управления рисками и контроля.
«Процесс контроля» - это проверка или процесс, выполняемый для уменьшения или устранения риска ошибки. С момента своего появления эта техника получила широкое распространение в США, Европейском Союзе и других странах. Существует несколько способов реализации контрольной самооценки, но ее ключевой особенностью является то, что, в отличие от традиционного аудита , тесты и проверки выполняются персоналом, чьи обычные повседневные обязанности находятся в рамках бизнес-подразделения, оценен. [1] Самооценка, выявляя процессы с повышенным риском в организации, позволяет внутренним аудиторам более эффективно планировать свою работу. [2]Ряд государственных организаций требует использования контрольной самооценки. В Соединенных Штатах это требование FFIEC , что противозачаточные самооценок выполняются на ИТ - систем и производственных процессов на регулярной основе. [3] Заявленные преимущества самооценки средств контроля включают создание четкой линии ответственности за средства контроля, снижение риска мошенничества и создание организации с более низким профилем риска. [4] [5]
В определенных обстоятельствах контрольная самооценка не всегда эффективна. Например, его может быть сложно реализовать в децентрализованной среде, в организациях с высокой текучестью кадров, где в организации происходят частые изменения или где высшее руководство организации не способствует развитию культуры открытого общения. [6]
Разработка и всемирное распространение [ править ]
Самооценка средств контроля была разработана Gulf Canada в 1987 году, когда генеральный аудитор компании Брюс МакКуэйг был недоволен применяемыми стандартными методами аудита после того, как дело Уотергейта повлияло на материнскую компанию, Gulf Oil Corporation . Решение полностью внедрить контрольную самооценку в Gulf Canada было продиктовано рядом факторов. К ним относятся наличие постановления о согласии, требующего от компании отчитываться о своих внутренних механизмах контроля и трудностях, с которыми она сталкивается при оценке своих запасов нефти и газа с использованием более традиционных методов аудита. [7]
В течение следующих десяти лет Gulf Canada разработала основу для поддержки анализа и оценки процессов контроля операционным персоналом. Это включало анонимное голосование, чтобы сотрудники не мешали выражать свои взгляды. Впервые этот подход был опубликован в « Внутреннем аудиторе» в декабре 1990 года. [8] Gulf Canada прекратила использование этого метода упрощенных встреч в 1997 году, хотя продолжала проводить контрольную самооценку с использованием различных методов. [7]
После того, как Gulf Canada ввела контрольную самооценку, многие организации частного сектора внедрили аналогичные методы. В США несколько штатов ввели обязательные проверки, основанные на практике самооценки средств контроля, как это сделали Федеральная корпорация по страхованию депозитов и Канадская корпорация по страхованию депозитов . [7]
Первоначально внешние аудиторы игнорировали преимущества самооценки контроля, даже несмотря на то, что она была эффективной при предоставлении аудиторских доказательств в отношении «слабых» областей (таких как моральный дух персонала), которые имеют решающее значение для эффективности систем внутреннего контроля. [9]
После ряда финансовых скандалов, в частности краха издательской империи Роберта Максвелла , правительство Соединенного Королевства поручило Адриану Кэдбери возглавить расследование корпоративного управления. Комитет опубликовал свой отчет «Финансовые аспекты корпоративного управления» в 1992 году. В разделе 4 «Отчетность и контроль» Cadbury представила ряд рекомендаций, которые привели к более широкому распространению самооценки контроля в Великобритании. В частности, раздел 4.5 Свода правил, содержащийся в отчете, требует, чтобы директора компании сообщали об эффективности системы внутреннего контроля компании в каждом годовом отчете . [10]
В марте 2000 г. Европейская комиссия одобрила «белую книгу» по реформе, которая привела к серьезным изменениям в способах управления Комиссией. Эти изменения включали рекомендации для каждого отдела по созданию эффективной системы внутреннего контроля. Для поддержки внедрения внутреннего контроля Главное управление бюджета Центральной финансовой службы разработало процесс самооценки контроля. Эта первая контрольная самооценка определила несколько областей для улучшения внутреннего контроля в Комиссии, в первую очередь необходимость внедрения более систематического подхода к управлению рисками. Результатом этой первой самооценки стало выполнение требования для каждого генерального директората.ежегодно проводить контроль и самооценку рисков. [11]
В 2007 году в США был введен в действие Закон Сарбейнса-Оксли . Чтобы соответствовать разделу 404 Закона, компания должна была провести оценку рисков сверху вниз, что потребовало подготовки «отчета о внутреннем контроле», подтверждающего «ответственность руководства за создание и поддержание адекватной структуры внутреннего контроля и процедур для финансовая отчетность." . Этот отчет должен включать оценку эффективности внутреннего контроля и процедур, связанных с финансовой отчетностью. Чтобы соответствовать этому требованию, организации все чаще стали проводить контрольную самооценку с использованием признанной стандартной методологии. Внешние аудиторы организации, которые обязаны подписывать отчет о внутреннем контроле, как правило, более активно участвовали в процессе самооценки средств контроля, поскольку это облегчало их последующую проверку отчета о внутреннем контроле. [12]
В Соединенном Королевстве в 2011 году Управление финансовых услуг признало в своих рекомендациях по совершенствованию управления операционными рисками, что оценка рисков посредством самооценки средств контроля может быть важным средством выявления рисков. Он также отметил, что для того, чтобы оценка была полностью эффективной, она должна быть полностью интегрирована в процесс управления рисками финансовой организации. [13]
Выполнение контрольной самооценки [ править ]
Первым шагом в самооценке контроля является документирование процессов контроля организации с целью определения подходящих способов измерения или тестирования каждого контроля. Фактическое тестирование средств управления выполняется персоналом, повседневная роль которого находится в рамках исследуемой области организации, поскольку они обладают наибольшими знаниями о том, как работают процессы. [1] [4] Двумя общими методами выполнения оценок являются:
- Семинары, которые могут проводиться, но не обязательно, с участием некоторых или всех сотрудников тестируемого подразделения;
- Опросы или анкеты, заполняемые персоналом самостоятельно.
Оба подхода противоположны формальным аудитам , при которых оценку будут проводить аудиторы , а не сотрудники подразделения. [1]
По завершении оценки каждый элемент управления может быть оценен на основе полученных ответов для определения вероятности его отказа и воздействия, если отказ произойдет. Эти рейтинги могут быть сопоставлены для создания тепловой карты, показывающей потенциальные области уязвимости.
Методологии [ править ]
Определены шесть основных методик контрольной самооценки: [14]
- Анкета внутреннего контроля (ICQ) самоаудит
- Индивидуальные анкеты
- Руководства по управлению
- Техники интервью
- Мастерские контрольных моделей
- Интерактивные мастер-классы
Национальный институт стандартов и технологий методологии самооценки управления основывается на индивидуальных анкет. Это ориентированная на ИТ методология, подходящая для оценки системного контроля. Он обеспечивает рентабельный метод определения состояния средств управления информационной безопасностью, выявления любых слабых мест и, при необходимости, определения плана улучшения. [15] Методология использует анкету, которая содержит конкретные цели контроля и методы, применяемые к системе или группе систем, которые могут быть протестированы и измерены. Методология была разработана для федеральных агентств США, но также может быть полезной для организаций частного сектора. [15]
COBIT методика может быть использована для управления самооценки; Как и методология NIST, она была разработана для оценок, ориентированных на ИТ. Компонент «Описание процесса» COBIT предоставляет эталонную модель процессов организации и их владельцев. Компонент «Цели управления» предоставляет набор требований, которые считаются необходимыми для эффективного управления каждым ИТ-процессом в организации. Оценка и оценка этих компонентов с использованием компонента Руководства по управлению обеспечивает механизм оценки, который генерирует модель зрелости, указывающую, выполняет ли организация свои цели контроля. [14]
Институт внутренних аудиторов на основе его управления методологии самооценки на Всеобщего управления качеством приближается 1990 - х годов, а также в COSO в рамках. Методология стала частью Международных стандартов профессиональной практики внутреннего аудита и была принята большим количеством крупных организаций. [16]
Опубликован ряд других методик стандартизации контрольной самооценки. [17] [18] Институт внутренних аудиторов предлагает сертификацию в области контрольной самооценки. [19]
Программные инструменты [ править ]
Для поддержки процесса самооценки контроля доступен ряд пакетов программного обеспечения. Как правило, это модифицированные версии программного обеспечения, разработанные первоначально для внутреннего использования аудиторскими и бухгалтерскими фирмами, такими как Deloitte, или нишевыми поставщиками, специализирующимися на инструментах управления бизнесом или финансами.
Преимущества [ править ]
Самооценка средств контроля создает четкую линию подотчетности за средства контроля, снижает риск мошенничества (путем изучения данных, которые могут указывать на необычные модели транзакций) и приводит к организации с более низким профилем риска. [4] [5]
Для организаций, выполняющих контрольную самооценку, заявлен ряд других мягких преимуществ. К ним относятся лучшее понимание бизнес-операций (как руководством, так и оперативным персоналом); повышение осведомленности о методах управления рисками; усиление режима корпоративного управления и повышение эффективности внутреннего аудита. [4] [20]
Критика [ править ]
Некоторые исследователи подвергли критике контрольную самооценку как ошибочный подход, поскольку способ определения и измерения риска является бесхитростным. В частности, самооценка средств контроля может занижать риск, не выявляя крайнего риска ухудшения ситуации. Чрезвычайно опасный риск - это крайне маловероятное событие, которое могло бы иметь катастрофические последствия, если бы оно произошло. Эти риски должны иметь высокий общий балл риска (обычно рассчитываемый как произведение вероятности возникновения риска и воздействия, если он действительно произойдет, по шкале от 1 до 5). Следовательно, лица, выполняющие контрольную самооценку, не могут существенно различать риски, ведущие к крайне низким рискам, которые либо исключаются из анализа, либо группируются вместе с другими более вероятными (но все же маловероятными) рисками, которые имеют менее серьезное воздействие.[21]
Постоянное внимание к устранению рисков, к которому может привести контрольная самооценка, также подвергалось критике. Процесс постоянной оценки рисков и составления планов по их снижению и устранению может привести к несбалансированной корпоративной культуре, в которой риски устраняются без учета соотношения риска и доходности различных вариантов бизнеса. [21]
См. Также [ править ]
- Внутренняя ревизия
- Внутренний контроль
Внешние ссылки [ править ]
- Инструмент самооценки контроля, используемый Федеральным управлением транзита
Ссылки [ править ]
- ^ a b c Гилберт В. Джозеф; Терри Дж. Энгл (декабрь 2005 г.). «Использование контрольной самооценки независимыми аудиторами» . Журнал CPA . Проверено 10 марта 2012 .
- ^ «Контрольная самооценка: Введение» . Институт внутренних аудиторов . Архивировано из оригинала на 2010-08-23 . Проверено 10 марта 2012 .
- ^ "Справочник ИТ-экзаменов FFIEC" . FFIEC. Архивировано из оригинала на 2012-02-27 . Проверено 10 марта 2012 .
- ^ a b c d МакНалли, Дж. Стивен (12 ноября 2007 г.). «Самооценка контроля: каждый использует внутренний контроль» . бухгалтерский учет.
- ^ a b Спенсер Пикетт, К. Х. и Пикетт, Дженнифер М. (2010). Справочник по внутреннему аудиту (3-е изд.). John Wiley & Sons Ltd. стр. 585.
- ^ «Контрольная самооценка: будущее аудита магазинов в розничных магазинах» (PDF) . Protivit Incorporated. 2006 . Проверено 30 марта 2012 .
- ^ a b c Брошюра «Профессиональная практика» 98-2 «Перспектива контрольной самооценки» (PDF) . Флорида : Институт внутренних аудиторов . 1998. ISBN. 089413406X. Проверено 31 марта 2012 .
- ^ KH Спенсер Пикетт (2011). Основное руководство по внутреннему аудиту (второе изд.). John Wiley & Sons Limited. п. 81.
- ↑ Джозеф, Гилберт W (1 августа 2001 г.). «Использование контрольной самооценки в аудитах» . Журнал CPA . Проверено 12 марта 2012 .
- ^ Финансовые аспекты корпоративного управления (PDF) (Отчет). 1 декабря 1992 г. ISBN 0852589131. Проверено 12 марта 2012 .
- ^ Центральная финансовая служба, Европейская комиссия (18 марта 2002 г.). «2-я конференция по качеству государственного управления в ЕС: примечание для файла» . Архивировано из оригинального 27 сентября 2006 года . Проверено 12 марта 2012 .
- ^ Энгель, Терри Дж .; Джозеф, Гилберт В. (2007). «Улучшение координации внутреннего и внешнего аудита» . 11 (2). CSA Sentinel. Институт внутренних аудиторов . Архивировано из оригинала на 2014-03-20 . Проверено 2 апреля 2012 . Цитировать журнал требует
|journal=( помощь ) - ^ «Улучшение структур в стандартизированном подходе к операционному риску - Руководство» (PDF) . Управление финансовых услуг . Январь 2011 . Проверено 11 марта 2012 .
- ^ a b Сунил Бакши (2004). «Контрольная самооценка информационных и смежных технологий» . Журнал Ассоциации аудита и контроля информационных систем . 1 : 4.
- ^ а б Марианна Свонсон. «Руководство по самооценке безопасности для систем информационных технологий» . Национальный институт стандартов и технологий . Проверено 4 апреля 2012 .
- ^ Роберт Мёллер (2009). Современный внутренний аудит Бринка: общий свод знаний . John Wiley & Sons Inc., Канада.
- ^ Альварес, Джин (2004). Операционный риск: практические подходы к реализации .
- ↑ Джин Альварес; Фил Гледхилл (24 ноября 2010 г.). «Комплексная методика самооценки рисков и контроля» . Risk.net . Проверено 10 марта 2012 .
- ^ «Сертификация по самооценке контроля (CCSA)» . Институт внутренних аудиторов . Архивировано из оригинала на 2012-04-02 . Проверено 3 октября 2012 .
- ^ «Контрольная самооценка» . ПрайсВотерхаусКуперс . Проверено 10 марта 2012 .
- ^ а б Ли, Джуди; Wee, Lieng-Seng (28 сентября 2005 г.). «Компании, использующие контрольную самооценку, на самом деле не знают своего риска» (PDF) . Стрекоза . Проверено 14 марта 2012 .
