1 РАЗРАБОТАН Ассоциацией "Институт внутренних аудиторов"

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 076 "Системы менеджмента"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 24 октября 2025 г. N 44-пнст

Настоящий стандарт содержит указания по организации внутреннего аудита в любых организациях, независимо от их формы собственности, вида деятельности, размера, структуры, сектора и отрасли экономики.

Настоящий стандарт предназначен для применения внутренними аудиторами, которые являются работниками организации или работниками внешнего поставщика услуг внутреннего аудита.

Настоящий стандарт не распространяется на организации, в отношении которых функции и полномочия учредителя собственника имущества осуществляет Министерство обороны Российской Федерации.

Требования настоящего стандарта не распространяются на организацию аудита систем менеджмента.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ Р ИСО 9000-2015 Системы менеджмента качества. Основные положения и словарь

ГОСТ Р ИСО 19011-2021 Оценка соответствия. Руководящие указания по проведению аудита систем менеджмента

ГОСТ Р ИСО 31073 Менеджмент риска. Словарь

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

В настоящем стандарте применены термины по ГОСТ Р ИСО 9000, ГОСТ Р ИСО 31073, а также следующие термины с соответствующими определениями:

3.1 аудиторское задание: Поручение, предусматривающее выполнение нескольких задач или мероприятий в рамках внутреннего аудита, направленных на достижение ряда взаимосвязанных целей.

Примечание - См. также услуги по обеспечению уверенности и консультирование.

3.2 внешний поставщик услуг внутреннего аудита: Юридическое лицо (индивидуальный предприниматель), привлекаемое организацией для осуществления внутреннего аудита на основании договора.

3.3 внутренний аудит: Независимая деятельность по обеспечению уверенности и консультированию, направленная на совершенствование деятельности организации и эффективное достижение поставленных перед ней целей, выполняемая путем применения системного, последовательного, риск-ориентированного подхода к оценке и повышению эффективности процессов руководства, управления рисками и внутреннего контроля.

Примечание - Внутренний аудит определяется как деятельность внутри организации.

3.4 внутренний аудитор: Лицо, входящее в состав функции внутреннего аудита, которое может являться работником организации или работником внешнего поставщика услуг внутреннего аудита.

3.5 высшее исполнительное руководство: Группа лиц, осуществляющих управление организацией на высшем уровне.

Примечание - Высшее исполнительное руководство, как правило, представляет собой группу лиц, которая включает высшее должностное лицо организации и руководителей следующего уровня управления.

3.6 заинтересованная сторона внутреннего аудита: Сторона, прямо или косвенно заинтересованная во внутреннем аудите и его результатах.

Примечание - К заинтересованным сторонам внутреннего аудита относятся собственники, в том числе акционеры, Совет, высшее исполнительное руководство, руководство других уровней управления, работники организации.

3.7 заключение по итогам аудиторского задания: Документально оформленное профессиональное суждение внутренних аудиторов о состоянии объекта внутреннего аудита, основанное на совокупности сделанных обнаружений.

Примечание - ГОСТ Р ИСО 19011-2021 (пункт 3.11), ГОСТ Р ИСО 9000-2015 (пункт 3.13.6) содержат термин "заключение по результатам аудита".

3.8 компетенция функции внутреннего аудита: Роль, полномочия и обязанности внутреннего аудита, которые могут устанавливаться Советом и (или) нормативными правовыми актами.

3.9 консультирование: Деятельность, в рамках которой внутренние аудиторы дают рекомендации Совету, высшему исполнительному руководству и другим работникам организации без обеспечения уверенности, исключающая принятие ответственности за управленческие решения.

Примечания

1 Консультирование также называют консультационными услугами, услугами по консультированию.

2 Например, консультирование по разработке и внедрению новых политик, процессов, систем и продуктов; предоставление экспертных услуг; проведение обучения, а также обсуждений по вопросам управления рисками и внутреннего контроля.

3.10 критерии оценки: Установленные организацией и (или) нормативными правовыми актами измеримые характеристики желаемого и (или) требуемого состояния объекта внутреннего аудита.

Примечание - ГОСТ Р ИСО 19011-2021 (пункт 3.7), ГОСТ Р ИСО 9000-2015 (пункт 3.13) содержат термин "критерии аудита".

3.11 методика внутреннего аудита: Совокупность принятых руководителем внутреннего аудита процедур, правил, указаний и аналогичных документов, используемых в целях управления деятельностью функции внутреннего аудита и обеспечения ее эффективной работы.

3.12 независимость: Свобода от условий, которые оказывают отрицательное воздействие на способность функции внутреннего аудита выполнять свои обязанности непредвзято и беспристрастно.

3.13 обеспечение уверенности: Заверение о соответствии процессов руководства организацией, управления рисками и внутреннего контроля в рассматриваемых предметных областях или объектах внутреннего аудита установленным критериям оценки.

Примечание - Также допускается использовать термин "заверение".

3.14 обнаружение: Вывод о наличии несоответствия состояния объекта внутреннего аудита критериям оценки, сделанный в рамках выполнения аудиторского задания.

Примечания

1 Также допускается использовать другие термины, например "наблюдение", "замечание".

2 ГОСТ Р ИСО 19011-2021 (пункт 3.10) содержит термин "обнаружение аудита".

3 ГОСТ Р ИСО 9000-2015 (пункт 3.13.9) содержит термин "наблюдение аудита".

3.15 объект внутреннего аудита: Объект, в отношении которого выполняется аудиторское задание.

Примечание - Например, организация, структурная единица, подразделение, бизнес-функция, процесс, проект и иное, в зависимости от выбранного в организации подхода к структурированию объектов аудита.

3.16 объективность: Выражение мнения и применение внутренним аудитором суждений, свободных от предвзятости, пристрастности, ненадлежащего влияния других лиц.

3.17 первопричина: Причина, лежащая в основе несоответствия состояния объекта внутреннего аудита критериям оценки.

Примечание - Также допускается использовать другие термины, например "корневая причина".

3.18 план аудиторского задания: Описание цели, объема аудиторского задания, а также организационных мероприятий по его проведению.

3.19 планирование аудиторского задания: Процесс, в ходе которого внутренние аудиторы собирают информацию, оценивают и приоритизируют риски, относящиеся к объекту внутреннего аудита, устанавливают цель и объем аудиторского задания, определяют критерии оценки и составляют программу аудиторского задания.

3.20 положение о внутреннем аудите: Внутренний документ, определяющий компетенцию функции внутреннего аудита, подотчетность руководителя внутреннего аудита, виды оказываемых услуг, задачи и другие характеристики внутреннего аудита.

Примечание - Также допускается использовать другие термины, например "политика", "устав".

3.21 программа аудиторского задания: Документ, определяющий объем задания, который подлежит выполнению для достижения целей аудиторского задания, а также внутренних аудиторов, которым поручается его выполнение.

3.22 программа обеспечения и повышения качества: Документ, разработанный руководителем внутреннего аудита для оценки и обеспечения соответствия требованиям настоящего стандарта, иным применимым требованиям и постоянного совершенствования функции внутреннего аудита.

3.23 профессиональный скептицизм: Критическая оценка надежности информации.

3.24 рабочая документация: Документация, сформированная и (или) полученная внутренними аудиторами в ходе планирования и выполнения аудиторского задания, которая содержит в том числе подтверждающую информацию для обнаружений и заключения по итогам аудиторского задания.

Примечание - Также допускается использовать другие термины, например "рабочие документы".

3.25 результаты аудиторского задания: Обнаружения и заключение по итогам аудиторского задания.

Примечание - Результаты аудиторского задания также могут включать в себя рекомендации и (или) план мероприятий.

3.26 руководитель внутреннего аудита: Руководитель, который несет ответственность за эффективное управление всеми аспектами деятельности функции внутреннего аудита и качественное предоставление услуг внутреннего аудита в соответствии с настоящим стандартом.

Примечание - Это наиболее высокое по рангу должностное лицо, несущее ответственность за деятельность функции внутреннего аудита. В разных организациях эта должность может называться по-разному и (или) предусматривать разные обязанности.

3.27 руководство: Совокупность процессов и организационных структур, формируемая в соответствии с законодательством и учредительными документами организации для обеспечения достижения поставленных собственниками (учредителями) организации целей, выстраивания взаимоотношений с заинтересованными сторонами организации и осуществления надзора за деятельностью организации.

3.28 Совет: Орган управления, наделенный полномочиями осуществлять руководство и надзор за деятельностью организации в интересах ее собственников.

Примечания

1 Например, совет директоров, наблюдательный совет, совет управляющих/попечителей, иной орган, обладающий полномочиями по осуществлению функций общего руководства организацией.

2 При отсутствии таковых под термином "Совет" понимают высшее должностное лицо организации или группу лиц.

3.29 существенность: Относительная важность вопроса в рассматриваемом контексте, включая количественные и (или) качественные критерии, такие как масштаб, характер, последствия.

3.30 услуги по обеспечению уверенности: Услуги, в рамках которых внутренние аудиторы проводят объективную оценку с целью обеспечения уверенности.

Примечания

1 Примерами данных услуг являются аудиторские задания по аудиту соответствия, финансовому аудиту, операционному аудиту (аудиту эффективности), аудиту информационных технологий.

2 Внутренние аудиторы могут обеспечивать ограниченную или разумную уверенность в зависимости от характера, сроков и объема выполняемых процедур.

3.31 функция внутреннего аудита: Группа лиц, обладающих необходимыми знаниями, навыками и умениями и осуществляющих внутренний аудит.

Примечание - Возможно наличие одного лица в составе функции внутреннего аудита.

3.32 цель аудиторского задания: Результат, который должен быть достигнут при выполнении аудиторского задания.

Целью внутреннего аудита является содействие Совету и высшему исполнительному руководству в совершенствовании деятельности организации и эффективном достижении поставленных перед ней целей. Внутренний аудит достигает этой цели, предоставляя объективные заверения, оценки и рекомендации.

Внутренний аудит способствует повышению устойчивости и ценности организации, что, в свою очередь, приводит к росту доверия и уверенности общества в отношении организации и более широких структур, частью которых она может являться. Таким образом, внутренний аудит играет важную роль в повышении способности организации служить общественным интересам.

Задачи внутреннего аудита в организации определяются его заказчиками, которыми выступают Совет и высшее исполнительное руководство <1>, с учетом целей, особенностей и приоритетов деятельности организации, а также имеющихся ресурсов. Задачи внутреннего аудита устанавливаются положением о внутреннем аудите <2>.

--------------------------------

<1> В отдельных случаях заказчиками внутреннего аудита могут выступать собственники (учредители) организации.

<2> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

Внутренний аудит основан на принципах, соблюдение которых является необходимым условием его полезности и эффективности. Руководитель внутреннего аудита обеспечивает соблюдение указанных принципов.

Внутренние аудиторы должны работать честно, раскрывать все известные им существенные факты, которые, не будучи раскрытыми, могут повлиять на принятие решений организацией. Внутренние аудиторы должны доводить объективную информацию до сведения заказчиков внутреннего аудита и не должны делать ложные заявления или скрывать важную информацию.

Внутренние аудиторы не должны участвовать в незаконной деятельности или деятельности, которая может дискредитировать профессию, нанести вред организации или ее работникам. Внутренние аудиторы должны соблюдать нормативные правовые акты, включая требования к раскрытию информации. Если внутренние аудиторы в процессе выполнения своих должностных обязанностей обнаруживают нарушение законодательных или нормативных правовых актов, они должны сообщать о таких случаях в порядке, предусмотренном нормативными правовыми актами, внутренними политиками и процедурами организации.

Внутренние аудиторы должны сохранять объективность, проявлять беспристрастность и непредвзятость при выполнении своих обязанностей, выражении мнения и формировании заключений.

Внутренние аудиторы должны избегать конфликта интересов - ситуаций, действий или отношений, которые могут повлиять на способность внутреннего аудитора выносить объективные профессиональные суждения или создавать впечатление такого влияния.

Внутренние аудиторы должны избегать ненадлежащего влияния со стороны третьих сторон, в том числе учитывать факторы, влияющие на их объективность, включая возможные материальные и нематериальные поощрения от третьих сторон.

При предоставлении услуг по обеспечению уверенности:

- внутренние аудиторы в течение 12 мес не должны предоставлять услуги по обеспечению уверенности в той области деятельности, за которую они ранее несли ответственность;

- сторона, не связанная с функцией внутреннего аудита, должна осуществлять независимый надзор над заданиями по обеспечению уверенности в отношении областей деятельности, ответственность за которые несет руководитель внутреннего аудита.

Если объективность нарушается или может быть нарушена, руководитель внутреннего аудита должен своевременно проинформировать об этом соответствующие стороны, получающие услуги внутреннего аудита.

Внутренние аудиторы должны быть компетентными для успешного выполнения профессиональных обязанностей. Для обеспечения компетентности внутренние аудиторы должны непрерывно совершенствовать знания, навыки и умения в соответствии со своей должностью и профессиональным опытом.

Квалификация руководителя внутреннего аудита должна соответствовать поставленным целям и выполняемым обязанностям. Совет совместно с высшим исполнительным руководством определяет квалификацию, которой должен обладать руководитель внутреннего аудита для успешного выполнения возлагаемых на него обязанностей.

Квалификационные требования к внутренним аудиторам, руководителю внутреннего аудита, а также порядок оценки квалификации устанавливаются локальным нормативным актом организации, с учетом положений профессионального стандарта "Внутренний аудитор" (см. [1]) и требований иных нормативных правовых актов (при наличии).

Внутренним аудиторам необходимо проявлять должную осмотрительность при осуществлении внутреннего аудита, в том числе применять профессиональный скептицизм.

Внутренние аудиторы должны осуществлять поиск дополнительных доказательств для оценки информации, которая, по их мнению, может быть неполной или недостоверной.

В случае если в процессе предоставления услуг внутреннего аудита внутренние аудиторы имеют доступ к информации, доступ к которой ограничен законодательными или нормативными правовыми актами, политиками и процедурами организации, они должны содействовать ее защите от несанкционированного доступа и (или) раскрытия как внутри организации, так и за ее пределами.

Полученная внутренними аудиторами информация не должна использоваться ими в личных целях или в ущерб законным целям и интересам организации.

Руководитель внутреннего аудита должен быть подотчетен органу управления такого уровня, который обеспечит функции внутреннего аудита, условия и возможности действовать независимо, а также должное реагирование исполнительного руководства на результаты аудиторских заданий. В общем случае таким органом является Совет <1>.

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

Если возложенные на руководителя внутреннего аудита и (или) функцию внутреннего аудита обязанности оказывают или могут оказать отрицательное воздействие (фактическое, потенциальное или воспринимаемое таковым) на независимость функции внутреннего аудита, руководитель внутреннего аудита должен обсудить это с Советом и высшим исполнительным руководством. Руководитель внутреннего аудита должен сообщать Совету и высшему исполнительному руководству о предпринимаемых мерах по ограничению любого отрицательного воздействия на независимость функции внутреннего аудита.

Внутренние аудиторы должны использовать риск-ориентированный подход, учитывающий влияние рисков на деятельность организации, в том числе при планировании своей деятельности, выполнении аудиторских заданий, представлении результатов аудиторских заданий.

Внутренние аудиторы выполняют задания по обеспечению уверенности и задания по консультированию, а также комбинированные задания.

Задания по обеспечению уверенности определяются функцией внутреннего аудита самостоятельно, а также на основании запросов заказчиков внутреннего аудита. Такие задания направлены на повышение уверенности в эффективности процессов руководства организацией, управления рисками и внутреннего контроля.

Консультирование предоставляется по запросу заказчиков или других заинтересованных сторон внутреннего аудита. Характер и объем задания по консультированию должен быть согласован с запрашивающей стороной.

Руководитель внутреннего аудита должен обеспечить соблюдение внутренними аудиторами требований настоящего стандарта при выполнении всех видов аудиторских заданий.

Объекты внутреннего аудита определяются функцией внутреннего аудита, исходя из задач внутреннего аудита с учетом размеров и структуры организации, видов ее деятельности, наличия у нее дочерних и зависимых организаций, имеющихся в организации процессов и используемых технологий и систем.

Участниками внутреннего аудита являются:

- заказчики внутреннего аудита;

- все подразделения и работники организации;

- руководитель внутреннего аудита;

- внутренние аудиторы.

Примечание - См. также 4.1.

4.5.1 Совет <2> несет ответственность за обеспечение независимости, поддержку и осуществление надзора за деятельностью функции внутреннего аудита.

Совет <2>:

--------------------------------

<2> Совет или высшее должностное лицо организации, если в полномочия Совета, определенные Федеральным законом, не входит вопрос по организации внутреннего аудита.

- устанавливает требования в отношении уровня должности руководителя внутреннего аудита в организационной структуре, который позволяет функции внутреннего аудита быть независимой, а также обеспечивает возможность руководителю внутреннего аудита напрямую обращаться к Совету и высшему исполнительному руководству в случае необходимости;

- принимает решения о назначении на должность и освобождении от занимаемой должности руководителя внутреннего аудита;

- определяет вознаграждение руководителя внутреннего аудита, а также оценивает качество его работы и определяет поощрительные выплаты в соответствии с установленными Советом критериями;

- согласует возложение на руководителя внутреннего аудита обязанностей, не относящихся к внутреннему аудиту, когда выполнение таких обязанностей может привести к фактическому или потенциальному отрицательному воздействию на независимость функции внутреннего аудита;

- предоставляет руководителю внутреннего аудита возможность для обсуждения с Советом различных вопросов, в том числе в рамках встреч, на которых не присутствует исполнительное руководство организации;

- принимает положение о внутреннем аудите;

- принимает план работы, бюджет и ресурсный план функции внутреннего аудита.

4.5.2 Высшее исполнительное руководство:

- наделяет руководителя внутреннего аудита должностью, которая в соответствии с требованиями Совета и организационной структурой позволяет функции внутреннего аудита быть независимой;

- взаимодействует с Советом и руководителем внутреннего аудита в целях исключения отрицательного воздействия на независимость функции внутреннего аудита вследствие наличия любых обстоятельств, а также содействует принятию соответствующих мер в отношении такого воздействия;

- предоставляет Совету мнение в отношении назначения и освобождения от занимаемой должности руководителя внутреннего аудита;

- обеспечивает внутренним аудиторам неограниченный доступ к данным, документации, информации, работникам организации и имуществу организации для выполнения ими своих обязанностей.

4.5.3 Подразделения и работники организации:

- оказывают содействие внутренним аудиторам в выполнении аудиторских заданий в соответствии с политиками и процедурами организации;

- предоставляют внутренним аудиторам достоверную и актуальную информацию;

- разрабатывают (при необходимости) план мероприятий по итогам аудиторского задания и обеспечивают его реализацию.

4.5.4 Руководитель внутреннего аудита управляет внутренним аудитом в соответствии с положением о внутреннем аудите, настоящим стандартом, требованиями законодательных и нормативных правовых актов в части внутреннего аудита.

Обязанности руководителя внутреннего аудита устанавливаются локальными нормативными актами организации. В обязанности руководителя внутреннего аудита входит в том числе следующее:

- разработка положения о внутреннем аудите;

- разработка и принятие методики внутреннего аудита;

- планирование деятельности функции внутреннего аудита;

- управление ресурсами функции внутреннего аудита;

- осуществление коммуникации с заинтересованными сторонами внутреннего аудита;

- обеспечение качества деятельности внутреннего аудита.

4.5.5 Внутренние аудиторы руководствуются в своей работе Положением о внутреннем аудите, настоящим стандартом, требованиями законодательных и нормативных правовых актов в части внутреннего аудита.

Обязанности внутренних аудиторов устанавливаются локальными нормативными актами организации.

Руководитель внутреннего аудита должен разработать и поддерживать актуальным положение о внутреннем аудите, которое определяет в том числе следующие вопросы в отношении функции внутреннего аудита <1>:

--------------------------------

<1> В положении могут определяться также другие вопросы в отношении функции внутреннего аудита.

- компетенцию;

- подотчетность руководителя внутреннего аудита и организационное положение функции внутреннего аудита, обеспечивающие независимость внутреннего аудита в организации;

- виды оказываемых услуг;

- задачи;

- право неограниченного доступа к данным, документации, информации, работникам и имуществу организации;

- необходимость соблюдать настоящий стандарт;

- обязанности Совета и высшего исполнительного руководства организации в отношении взаимодействия с руководителем внутреннего аудита и (или) функцией внутреннего аудита.

В тех случаях, когда вышеуказанные вопросы определяются законодательными или нормативными правовыми актами, такие вопросы в Положение о внутреннем аудите могут не включаться или Положение о внутреннем аудите может не издаваться.

Если руководитель внутреннего аудита постоянно выполняет другие обязанности в дополнение к руководству внутренним аудитом, эти обязанности, а также используемые для обеспечения независимости меры должны быть зафиксированы в Положении о внутреннем аудите. В случаях, когда не связанные с внутренним аудитом обязанности руководителя внутреннего аудита носят временный характер, мониторинг и (или) оценку в этих областях деятельности в течение данного периода и последующих 12 мес должны осуществлять независимые третьи стороны.

Руководитель внутреннего аудита должен не менее одного раза в год оценивать актуальность Положения о внутреннем аудите, с учетом произошедших изменений, и инициировать внесение соответствующих изменений при необходимости.

Функция внутреннего аудита должна быть наделена необходимыми ресурсами для реализации своей стратегии и решения поставленных перед ней задач. Руководитель внутреннего аудита должен обеспечить эффективное управление ресурсами функции внутреннего аудита.

Руководитель внутреннего аудита должен оценить необходимое количество финансовых, кадровых и технологических ресурсов для реализации стратегии, решения стоящих задач и выполнения плана работы функции внутреннего аудита. При отсутствии у функции внутреннего аудита необходимых ресурсов руководитель внутреннего аудита должен информировать Совет и высшее исполнительное руководство о влиянии ограничений на эффективность внутреннего аудита.

Совет обсуждает с руководителем внутреннего аудита не реже одного раза в год вопрос наличия у функции внутреннего аудита необходимых ресурсов.

При отсутствии у функции внутреннего аудита необходимых ресурсов Совет участвует совместно с высшим исполнительным руководством в решении вопроса.

Руководитель внутреннего аудита должен <1>:

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

- разработать бюджет функции внутреннего аудита и представить его на утверждение Совету;

- обеспечить соблюдение бюджета функции внутреннего аудита.

Руководитель внутреннего аудита должен:

- взаимодействовать с кадровой службой с целью обеспечить эффективный найм квалифицированных кадров, их развитие и сохранение;

- оценивать компетентность внутренних аудиторов и поощрять их профессиональное развитие посредством обучения и наставничества;

- обеспечить эффективное использование имеющихся кадровых ресурсов.

Руководитель внутреннего аудита должен:

- способствовать внедрению технологий с целью повышения эффективности внутреннего аудита и регулярно оценивать их использование;

- взаимодействовать с соответствующими подразделениями организации (например, подразделением информационных технологий) с целью обеспечения возможностей использования технологических ресурсов внутренними аудиторами;

- обеспечить обучение внутренних аудиторов использованию имеющихся технологий.

Руководитель внутреннего аудита должен обеспечить разработку и принять методику внутреннего аудита, которая включает в себя в том числе следующие вопросы:

- порядок риск-ориентированного планирования деятельности внутреннего аудита;

- порядок планирования и выполнения аудиторских заданий;

- порядок документирования аудиторских заданий;

- порядок формирования и представления отчетности по результатам выполнения аудиторских заданий;

- порядок мониторинга выполнения мероприятий по результатам аудиторских заданий;

- порядок коммуникации с заинтересованными сторонами внутреннего аудита для обеспечения точности, объективности, ясности, краткости, конструктивности, полноты и своевременности предоставляемой внутренними аудиторами информации.

Методика внутреннего аудита должна учитывать нормативно-правовые требования в области внутреннего аудита (при наличии). Если приведенные вопросы содержатся в положениях нормативных правовых актов, регулирующих осуществление внутреннего аудита, методика может не разрабатываться и не утверждаться.

Руководитель внутреннего аудита должен обновлять методику внутреннего аудита по мере необходимости.

Руководитель внутреннего аудита должен предпринять необходимые действия, чтобы обеспечить эффективную коммуникацию функции внутреннего аудита с заинтересованными сторонами внутреннего аудита, в соответствии с методикой внутреннего аудита.

Руководитель внутреннего аудита должен информировать Совет и высшее исполнительное руководство о результатах работы функции внутреннего аудита в соответствии с требованиями, установленными Советом и высшим исполнительным руководством.

Информация о результатах аудиторского задания должна быть оформлена документально (например, в виде отчета, акта, справки) и включать в себя заключение по итогам аудиторского задания в соответствии с целями аудиторского задания.

Перечень получателей отчетности и содержание отчетности должны быть согласованы с Советом и высшим исполнительным руководством и зафиксированы в методике внутреннего аудита.

Руководитель внутреннего аудита направляет заключение получателям в соответствии с методикой внутреннего аудита. Если в соответствии с нормативными правовыми актами заключение внутреннего аудита должно быть направлено третьим сторонам вне организации, руководитель внутреннего аудита, до передачи заключения третьим сторонам, должен проинформировать Совет и высшее исполнительное руководство о таком требовании <1>.

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

От внутреннего аудита может требоваться дать заключение о деятельности организации в силу наличия соответствующих нормативно-правовых требований или требований Совета и высшего исполнительного руководства. В этом случае форма и содержание такого заключения определяются соответствующими нормативными правовыми актами или Советом совместно с высшим исполнительным руководством.

Если отчетность о результатах аудиторского задания содержит существенную ошибку или упущение, руководитель внутреннего аудита должен оперативно довести скорректированную информацию до сведения всех сторон, получивших первоначальную отчетность.

Существенность определяется в соответствии с критериями, согласованными с Советом.

Если руководитель внутреннего аудита приходит к выводу, что организация приняла риски, уровень которых превышает риск-аппетит или уровень толерантности к риску, он должен обсудить этот вопрос с высшим исполнительным руководством. Если руководитель внутреннего аудита считает, что вопрос не был должным образом решен высшим исполнительным руководством, он должен передать вопрос на рассмотрение Совету.

Руководитель внутреннего аудита должен осуществлять стратегическое планирование и разработку стратегии для функции внутреннего аудита <1>.

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

Стратегия внутреннего аудита включает в себя стратегические цели, задачи (мероприятия) и соответствующие критерии оценки. Стратегия внутреннего аудита должна соответствовать стратегии организации (при наличии).

Руководитель внутреннего аудита должен представить стратегию функции внутреннего аудита Совету и высшему исполнительному руководству для обсуждения.

Руководитель внутреннего аудита должен разработать план работы функции внутреннего аудита, способствующий достижению ее стратегических целей, а также выполнению задач и основанный на оценке рисков организации. Руководитель внутреннего аудита должен информировать Совет и высшее исполнительное руководство о влиянии ограничений ресурсов на степень охвата функцией внутреннего аудита областей риска организации.

Планирование должно проводиться не менее одного раза в год; изменения в план должны вноситься по мере необходимости.

Порядок планирования устанавливается методикой внутреннего аудита.

Руководитель внутреннего аудита должен координировать деятельность с внутренними и внешними сторонами, осуществляющими мониторинг и (или) оценку различных аспектов деятельности организации <2>, а также рассмотреть возможность использования результатов их работы для целей функции внутреннего аудита. Такая координация позволяет свести к минимуму дублирование работы, а также определить области риска организации, которые остались не охвачены.

--------------------------------

<2> К таким сторонам относятся, например, служба безопасности, технические инспекции, стороны, осуществляющие оценку системы менеджмента качества, аудиторские организации.

При использовании результатов работы других сторон руководитель внутреннего аудита должен документировать основания такого использования; при этом он по-прежнему остается ответственным за выводы и заключения по результатам аудиторских заданий.

Аудиторское задание, как правило, состоит из следующих этапов:

- планирование аудиторского задания;

- выполнение аудиторского задания;

- информирование о результатах аудиторского задания и осуществление последующего мониторинга.

Руководитель внутреннего аудита несет ответственность за надлежащее выполнение аудиторских заданий функцией внутреннего аудита. Обязанности руководителя внутреннего аудита, установленные настоящим разделом, могут быть делегированы подчиненным ему работникам в соответствии с принятыми в организации процедурами.

Внутренние аудиторы должны планировать аудиторские задания, используя системный, риск-ориентированный подход, основанный на требованиях настоящего стандарта, и методики внутреннего аудита.

Планирование, как правило, состоит из следующих этапов:

- оценка рисков в рамках аудиторского задания;

- определение целей и объема аудиторского задания;

- определение критериев оценки;

- определение ресурсов для выполнения аудиторского задания;

- разработка программы аудиторского задания;

- информирование руководства объекта внутреннего аудита.

5.6.1.1 Оценка рисков в рамках аудиторского задания

Внутренние аудиторы должны получить необходимую информацию об объекте внутреннего аудита, выявить и оценить риски, которые являются существенными с точки зрения достижения целей объекта внутреннего аудита. При консультировании формальная оценка рисков может не требоваться, если иное не согласовано со стороной, заказавшей консультирование.

Если соответствующие риски, связанные с объектом внутреннего аудита, были выявлены внутренними аудиторами в ходе выполнения предыдущих аудиторских заданий, требуется актуализировать предыдущую оценку рисков.

5.6.1.2 Цели и объем аудиторского задания

Внутренние аудиторы должны определить и документально оформить цели и объем аудиторского задания, включая цели, предусмотренные нормативно-правовыми требованиями. Объем аудиторского задания должен быть достаточным для достижения его целей.

Внутренние аудиторы должны проявлять гибкость и вносить изменения в цели и объем аудиторского задания в случае возникновения такой необходимости по мере выполнения задания.

Руководитель внутреннего аудита должен утвердить цели и объем аудиторского задания, а также все существенные изменения, возникающие входе его выполнения.

5.6.1.3 Критерии оценки

Внутренние аудиторы должны определить критерии для оценки деятельности объекта внутреннего аудита в соответствии с целями и объемом аудиторского задания. При консультировании определение критериев оценки может не требоваться, если иное не согласовано со стороной, заказавшей консультирование.

5.6.1.4 Ресурсы для выполнения аудиторского задания

При планировании аудиторского задания внутренние аудиторы должны определить виды и объем ресурсов, необходимых для достижения целей задания.

Если имеющиеся ресурсы являются несоответствующими или недостаточными, внутренние аудиторы должны обсудить вопрос с руководителем внутреннего аудита.

5.6.1.5 Программа аудиторского задания

Внутренние аудиторы должны разработать и документировать программу аудиторского задания, определяющую его объем.

Программа аудиторского задания должна основываться на информации, полученной в ходе планирования задания, включая результаты оценки рисков.

Руководитель внутреннего аудита должен рассмотреть и утвердить программу аудиторского задания до начала ее выполнения и в кратчайший срок в случае внесения в нее последующих изменений.

5.6.1.6 Информирование руководства объекта внутреннего аудита

Внутренние аудиторы должны проинформировать руководство объекта внутреннего аудита о целях, объеме и сроках выполнения аудиторского задания. Возможные последующие изменения должны своевременно доводиться до сведения руководства объекта внутреннего аудита.

Выполнение аудиторского задания, как правило, состоит из следующих этапов:

- сбор информации для проведения анализа и оценки;

- анализ состояния объекта внутреннего аудита и формулирование обнаружений;

- оценка обнаружений;

- формирование рекомендаций и плана мероприятий;

- формулирование заключения по итогам аудиторского задания.

5.6.2.1 Сбор информации для проведения анализа и оценки

Для выполнения программы задания внутренние аудиторы должны собрать уместную, надежную, достаточную информацию, провести ее анализ и оценку с целью получения аудиторских доказательств, на основе которых они будут формулировать обнаружения, выражать мнение, формировать заключение, а также разрабатывать рекомендации.

Уместной является информация, соответствующая целям задания и способствующая формированию результатов.

Надежной является актуальная информация, основанная на фактах.

Достаточной является информация, позволяющая провести анализ и оценку, а также позволяющая информированному и компетентному лицу прийти к тем же выводам, что и внутренний аудитор, повторив работу, выполненную в рамках программы аудиторского задания.

Внутренние аудиторы должны оценить уместность, надежность и достаточность информации для формулирования обнаружений, выражения мнения, формирования заключения, а также для разработки рекомендаций.

Примечание - См. также 5.6.2.2 и 5.6.2.4.

5.6.2.2 Анализ состояния объекта внутреннего аудита и формулирование обнаружений

Внутренние аудиторы должны собрать информацию и провести ее анализ для формулирования обнаружений. При консультировании сбор доказательств для формулирования обнаружений может не требоваться, если иное не согласовано со стороной, заказавшей консультирование.

По результатам проведенного анализа внутренние аудиторы должны определить, есть ли расхождение между критериями оценки и текущим состоянием объекта внутреннего аудита.

Примечание - См. также 5.6.1.3.

Отклонение текущего состояния объекта внутреннего аудита от критериев оценки требует от внутренних аудиторов дополнительной оценки для подтверждения обнаружения. Если по результатам дополнительной оценки не получено достаточных доказательств для подтверждения обнаружения, внутренние аудиторы должны проявить должную профессиональную осмотрительность и оценить необходимость внесения изменений в программу аудиторского задания для осуществления дополнительного анализа.

5.6.2.3 Оценка обнаружений

При формулировании обнаружений внутренние аудиторы должны выявлять первопричину(ы), определять последствия и (или) оценивать риски.

Если внутренние аудиторы определяют, что организация несет (понесла) существенные убытки или подвергается существенному риску, это должно быть документально оформлено в виде обнаружения и доведено до сведения соответствующих сторон в организации согласно методике внутреннего аудита.

Внутренние аудиторы должны решить в соответствии с методикой внутреннего аудита, следует ли сообщать о других убытках и рисках в качестве обнаружений.

Внутренние аудиторы должны приоритизировать все обнаружения в зависимости от их существенности согласно методике внутреннего аудита.

5.6.2.4 Формирование рекомендаций и плана мероприятий

В рамках выполнения аудиторского задания внутренние аудиторы, в соответствии с методикой внутреннего аудита, должны разработать рекомендации и (или) запросить у объекта внутреннего аудита план мероприятий, содержащий меры (действия) по устранению замечаний с указанием ответственных лиц и сроков выполнения. При консультировании план мероприятий может не требоваться, если иное не согласовано со стороной, заказавшей консультирование.

В случае разработки рекомендаций внутренние аудиторы должны предоставить руководству объекта внутреннего аудита возможность их обсуждения.

5.6.2.5 Формулирование заключения по итогам аудиторского задания

Внутренние аудиторы должны сделать заключение по итогам аудиторского задания, отражающее его результаты, с учетом целей аудиторского задания.

5.6.2.6 Разногласия с руководством объекта внутреннего аудита

При возникновении разногласий между внутренними аудиторами и руководством объекта внутреннего аудита касательно результатов задания внутренние аудиторы должны обсудить разногласия с руководством объекта внутреннего аудита с целью анализа и определения возможного влияния новых фактов на результаты внутреннего аудита в соответствии с методикой внутреннего аудита.

5.6.2.7 Рабочая документация аудиторского задания

Внутренние аудиторы должны документировать процесс подготовки и выполнения аудиторского задания, а также доказательства, подтверждающие результаты аудиторского задания.

Руководитель внутреннего аудита должен проверить рабочую документацию на предмет точности, уместности и полноты и утвердить (принять) ее. Внутренние аудиторы должны хранить рабочую документацию в соответствии с требованиями нормативных правовых актов и с внутренними нормативными документами организации.

5.6.2.8 Ограничения в выполнении аудиторского задания

Внутренние аудиторы должны обсудить с высшим исполнительным руководством и (или) руководством объекта внутреннего аудита любые ограничения в выполнении аудиторского задания в момент их выявления с целью найти решение. К ограничениям аудиторского задания по обеспечению уверенности относятся, например, ограничение технологических ресурсов, ограничение доступа к работникам организации, помещениям, данным и информации, которые препятствуют выполнению внутренними аудиторами работы, предусмотренной программой аудиторского задания.

Если вопрос о наличии ограничений не получается решить с руководством объекта внутреннего аудита или высшим исполнительным руководством, руководитель внутреннего аудита должен обсудить его с Советом в соответствии с установленной процедурой.

После окончания выполнения аудиторского задания внутренние аудиторы должны довести его результаты до сведения заинтересованных сторон внутреннего аудита, а также осуществить мониторинг и оценить выполнение рекомендаций и (или) плана мероприятий, разработанных по итогам аудиторского задания.

Примечание - См. также 5.6.2.4.

5.6.3.1 Итоговое сообщение о результатах аудиторского задания

По каждому аудиторскому заданию внутренние аудиторы должны подготовить итоговое сообщение о его результатах. Формат и содержание итогового сообщения о результатах аудиторского задания определяются в соответствии с методикой внутреннего аудита.

Итоговое сообщение о результатах аудиторского задания должно включать в себя в том числе цели аудиторского задания, заключение по итогам его выполнения, а также рекомендации и (или) план мероприятий (если применимо).

Если существовали ограничения в выполнении аудиторского задания, информация об этом должна быть включена в итоговое сообщение.

Если внутренним аудиторам становится известно, что рекомендации и (или) мероприятия были выполнены до выпуска итогового сообщения о результатах аудиторского задания, это должно быть отражено в итоговом сообщении.

Итоговое сообщение о результатах аудиторского задания должно быть точным, объективным, ясным, кратким, конструктивным, полным и своевременным.

Руководитель внутреннего аудита должен утвердить итоговое сообщение о результатах аудиторского задания и направить его заинтересованным сторонам внутреннего аудита в соответствии с Положением о внутреннем аудите и (или) методикой внутреннего аудита.

Примечание - См. также 5.4.1.

5.6.3.2 Последующий мониторинг

Внутренние аудиторы должны осуществлять последующий мониторинг и оценивать выполнение сформированных ими рекомендаций и (или) плана мероприятий, разработанных по итогам аудиторского задания. Объем и порядок проведения мониторинга и оценки определяются в зависимости от существенности обнаружений и характера заключения по итогам аудиторского задания и устанавливаются методикой внутреннего аудита.

Если рекомендации и (или) мероприятия плана мероприятий не были выполнены в установленные сроки, внутренние аудиторы должны запросить и документировать объяснение руководства объекта внутреннего аудита или высшего исполнительного руководства в зависимости от уровня существенности обнаружений и характера заключения по итогам аудиторского задания. Если по мнению руководителя внутреннего аудита высшее исполнительное руководство приняло, в силу бездействия или задержки выполнения, риск, превышающий уровень толерантности к риску или риск-аппетит организации, руководитель внутреннего аудита должен предоставить соответствующую информацию Совету.

Примечание - См. также 5.6.2.4.

Руководитель внутреннего аудита несет ответственность за качество внутреннего аудита и достижение целевых параметров деятельности функции внутреннего аудита.

Руководитель внутреннего аудита должен разработать, согласовать с Советом и обеспечить выполнение программы оценки и повышения качества внутреннего аудита (или аналогичной программы) <1>.

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

Программа оценки и повышения качества внутреннего аудита включает:

- текущий мониторинг;

- внутренние оценки качества;

- внешние оценки качества.

Если в рамках текущего мониторинга или по результатам оценки (внутренней и внешней) качества внутреннего аудита были выявлены недостатки, руководитель внутреннего аудита должен обеспечить разработку и выполнение плана по их устранению.

Текущий мониторинг проводится функцией внутреннего аудита постоянно с целью удостовериться в соответствии внутреннего аудита методике внутреннего аудита.

Порядок проведения текущего мониторинга устанавливается методикой внутреннего аудита.

Внутренняя оценка качества внутреннего аудита проводится функцией внутреннего аудита периодически и должна включать в том числе оценку:

- соответствия внутреннего аудита требованиям настоящего стандарта;

- соответствия внутреннего аудита методике внутреннего аудита;

- соблюдения требований применимых законодательных и нормативных правовых актов в части внутреннего аудита (при необходимости).

Порядок проведения внутренней оценки качества устанавливается методикой внутреннего аудита.

Руководитель внутреннего аудита должен согласовать с Советом периодичность проведения таких оценок.

Примечание - См. также 5.8.

Внешняя оценка качества проводится независимой третьей стороной либо выполняется посредством проведения самооценки с независимым подтверждением третьей стороной не реже одного раза в 5 лет.

Руководитель внутреннего аудита должен согласовать с Советом объем и периодичность проведения таких оценок, а также квалификационные требования в отношении стороны, участвующей во внешней оценке.

Совет <2> осуществляет общий надзор за деятельностью функции внутреннего аудита.

--------------------------------

<2> Совет или высшее должностное лицо организации, если в полномочия Совета, определенные Федеральным законом, не входит надзор за деятельностью функции внутреннего аудита.

Совет:

- взаимодействует с руководителем внутреннего аудита в соответствии с Положением о внутреннем аудите;

- оказывает руководителю внутреннего аудита необходимую поддержку в исполнении его обязанностей;

- информирует руководителя внутреннего аудита о мнении Совета в отношении целей, рисков и стратегии организации с целью оказать содействие руководителю внутреннего аудита в определении приоритетов в работе внутреннего аудита;

- устанавливает требования в отношении формата и периодичности получения Советом информации от руководителя внутреннего аудита;

- определяет порядок передачи функцией внутреннего аудита существенных вопросов для рассмотрения на уровне Совета;

- принимает участие в случае необходимости в урегулировании возможных разногласий внутреннего аудита с высшим исполнительным руководством или иными заинтересованными сторонами внутреннего аудита.

Руководитель внутреннего аудита предоставляет Совету и высшему исполнительному руководству:

- план работы, бюджет и ресурсный план функции внутреннего аудита, а также информацию о существенных изменениях к ним <1>.

--------------------------------

<1> С учетом специфики организаций сектора государственного управления, организаций государственного сектора, государственных корпораций.

Примечание - См. также 5.5.2;

- информацию о фактическом или потенциальном отрицательном воздействии на независимость функции внутреннего аудита;

- результаты работы внутреннего аудита, в том числе оценки, мнения, заключения, рекомендации, а также результаты выполнения планов мероприятий, разработанных руководством объекта внутреннего аудита.

Примечание - См. также 5.6.2.4, 5.6.2.5, 5.6.3.1.

Степень детализации предоставляемых Совету и высшему исполнительному руководству сведений определяется руководителем внутреннего аудита в зависимости от специфики организации и масштабов ее деятельности, если иное не установлено Советом и высшим исполнительным руководством соответственно.

Руководитель внутреннего аудита должен разработать целевые параметры деятельности функции внутреннего аудита с учетом мнения Совета и высшего исполнительного руководства и представить их на утверждение Совету. Руководитель внутреннего аудита не реже одного раза в год отчитывается перед Советом и высшим исполнительным руководством о достижении целевых параметров деятельности функции внутреннего аудита. Порядок разработки, принятия и контроля достижения целевых параметров деятельности функции внутреннего аудита определяется Советом.

Руководитель внутреннего аудита не реже одного раза в год отчитывается перед Советом и высшим исполнительным руководством о результатах выполнения программы оценки и повышения качества внутреннего аудита. Требования к содержанию такой отчетности устанавливаются Советом.

Примечание - См. также 5.7.

Руководитель внутреннего аудита в случае наличия существенных разногласий с высшим исполнительным руководством в отношении процесса выполнения и результатов аудиторских заданий должен предоставить соответствующую информацию Совету.