Классификация результатов аудита: уровень значимости

В отчёте об аудите 22 находки, и все написаны одним тоном. Директор читает и не знает, с какой начать: фраза «на смешанных паллетах нет бирок» стоит в одном ряду с фразой «один сотрудник принимает, вводит и списывает». Обычно делают лёгкие дела, а самое важное ждёт. Уровень значимости упорядочивает находки: показывает, какую решать сегодня, а какую в квартальном плане.

Три уровня

• Высокий: риск серьёзного финансового ущерба или нарушения правил, контроля нет или его обходят. Срок: как правило, 30 дней.
• Средний: контроль есть, но недостаточный или время от времени нарушается. Срок: 60–90 дней.
• Низкий: влияние мало, недостаток на уровне улучшения порядка. Срок: следующий план или наблюдение.

Не увеличивайте число уровней. Три понятны руководителю, пять вызовут споры.

Три критерия

Уровень опирается не на настроение аудитора, а на письменные критерии:

1. Размер влияния: в сумах, по отношению к годовому обороту, а также с точки зрения репутации и юридических последствий.
2. Повторяемость: единичный случай или системная ситуация, повторяющаяся каждый день.
3. Контроль: нет совсем, есть частично или есть, но не работает.

Каждый критерий оценивается от 1 до 3, сумма даёт уровень: 3–4 низкий, 5–6 средний, 7–9 высокий.

Числовой порог для размера влияния согласуйте заранее. Например, для компании с годовым оборотом 12 миллиардов сумов риск годового ущерба выше 0,5% (60 миллионов сумов) получает 3 балла, от 0,1 до 0,5% (12–60 миллионов сумов) — 2 балла, ниже — 1 балл. Это только пример: порог вы определяете вместе с руководством, а аудитор применяет его ко всем находкам одинаково.

Пример: оптовый склад продуктов питания

А. Один сотрудник принимает товар, вводит его в 1С и списывает. Влияние 3 (большой риск годовой недостачи), повторяемость 3 (каждый день), контроль 3 (нет). Итого 9, уровень высокий.

Б. На смешанных паллетах нет бирок. Влияние 1 (на отбор уходит время, деньги не теряются), повторяемость 3, контроль 2 (бирки иногда есть). Итого 6, уровень средний.

В. В резервной зоне на 12 стеллажах стёрлись адресные метки. Влияние 1, повторяемость 1 (одна зона), контроль 2. Итого 4, уровень низкий.

В итоге директор видит не 22 находки, а 3 высоких, 8 средних и 11 низких, и знает, на что обратить внимание в первую очередь.

Факторы, меняющие уровень

Расчёт баллов — вспомогательный инструмент, а не приговор. Уровень повышается на ступень, если:

• есть признак мошенничества, даже при небольшой сумме;
• нарушено требование закона или договора;
• находка встречалась и в прошлом аудите и не была исправлена;
• один недостаток выводит из строя и другие виды контроля.

Понижает уровень компенсирующий контроль: основного контроля нет, но на другом этапе есть вторая проверка, и она ловит ошибку.

Уровень и меры

Уровень определяет и степень ответственности. По высоким находкам отвечает директор или его заместитель, по средним — руководитель отдела, по низким — специалист. В отчёте уровень указывается рядом с находкой цветом или словом, но записывается и причина, а не только цвет.

Уровень не фиксируется раз и навсегда. Если контроль введён, при следующей проверке он снижается, если находка повторилась — повышается. Фиксируйте изменения с датой.

Типичные ошибки

• Писать «высокий» у всех находок. Уровень теряет смысл, и руководитель уделяет всему одинаковое внимание.
• Оценивать без критериев: два аудитора ставят одной находке разные уровни.
• Менять уровень по требованию проверяемой стороны. Уровень может изменить только новое доказательство.
• Оценивать только по сумме: находка с малой суммой, но с признаком мошенничества остаётся на низком уровне.
• Уровень есть, а ответственного и срока нет: уровень бесполезен, пока не связан с планом.

Вывод

Не все находки одинаково важны, и показать это руководителю — задача аудитора. OmborAudit оценивает находки по влиянию, повторяемости и контролю и передаёт их в порядке приоритета, чтобы план рекомендаций начинался именно с самого важного.