Методы и риски операционного аудита

Методы операционного аудита отличаются от методов общего аудита финансовой (бухгалтерской) отчетности, их перечень подробно рассматривается ниже.

Методика проведения операционного аудита также весьма специфична, поскольку предполагает наличие специальных отраслевых знаний и опыта работы, знаний в области технологии и организации производства, операционного менеджмента.

Связь операционного аудита с другими видами (услугами) аудита наиболее проблемная область в определении его сущности. Операционныйаудит связывают с управленческим аудитом, с аудитом эффективности, с консалтингом в аудите. Было бы странно, если бы эта связь отсутствовала, однако, с нашей точки зрения, существование данной связи не означает отсутствия у операционного аудита своей проблематики, предмета, объекта и методов проведения.

Причина выделения операционного аудита как специального, с нашей точки зрения, как уже отмечалось выше, — переход на процессный метод в управлении, конкурентная необходимость более жесткого контроля затрат и, как следствие этого — внедрение метода АВС — учета затрат по видам деятельности (операциям).

Операционный аудит — это проверка операций (процедур и бизнес-процессов) для подготовки рекомендаций по совершенствованию их выполнения для повышения экономичности и рациональности использования ресурсов компании и повышения результативности достижения ее целей.

Операционный аудит включает аудиторскую проверку: правильности отнесения затрат на операции и бизнес-процессы по созданию продукта и обслуживанию клиента; рациональности и экономичности выполнения операций; рациональности и экономичности последовательности и структуры операций в бизнес-процессе; возможности совершенствования выполнения операций и бизнес-процессов и снижения рисков.

По нашему мнению, к операционному аудиту следует относить не только проверку операций, но также и проверку процедур и бизнес — процессов. Как правило, в крупных компаниях существуют регламентированные внутренние организационные и технологические процедуры и бизнес-процессы, которые состоят из отдельных операций, логически связанных между собой. Поэтому в операционном аудите необходимо изучать и проверять не только отдельные операции, но и их последовательности.

При проведении операционного аудита, как уже отмечено, возникает необходимость оценивать операционную эффективность, экономичность, рациональность бизнес-процессов, например, для сравнения действующего и предлагаемого вариантов организации бизнес-процесса.

Для такой оценки можно использовать два основных подхода: на основе затрат времени на операции бизнес-процесса; на основе затрат по стоимости проведения отдельных операций бизнес-процесса.

Целью планирования операционного аудита является разработка общего подхода к проведению проверки, включая проведение следующих мероприятий: предварительное изучение бизнес-процессов как объекта аудита и ключевых рисков, связанных с данными бизнес-процессами (определение предметной области); предварительная оценка разрабатываемых мер по снижению выявленных рисков; оценка трудозатрат (в терминах рабочего времени и квалификации), необходимых для выполнения задания по аудиту; предварительное распределение ответственности между аудиторами и утверждение сроков выполнения аудиторских процедур.

При проведении операционного аудита возникает два основных вида рисков: риски, связанные с объектом аудита — бизнес-риски, это риски неэффективности операций и бизнес-процедур. Риски, связанные с выполнением самого операционного аудита — это риски того, что существенные недостатки выполнения операций и недостатки в организации бизнес-процессов не будут выявлены.

К рискам операционного аудита относятся: нарушение сроков выполнения задания по аудиту; отсутствие должного понимания бизнес — процессов объекта аудита; специфические моменты — ущемление интересов групп и отдельных лиц; неправильная организация процесса планирования;

изменения в деятельности объекта аудита в процессе выполнения задания по аудиту; неправильный выбор области аудита; неспособность аудиторов выявить высокорискованные операции объекта аудита.

Целью оценки рисков является:

• а) При анализе эффективности существующих бизнес-процессов: выявление основных рисков, присущих тем или иным процессам; тестирование контрольных процедур, направленных на минимизацию рисков; оценка остаточного риска; выработка рекомендаций по минимизации рисков.
• б) При анализе соответствия выполнения операций и операционной деятельности утвержденным нормативным документам: выявление несоответствий и рисков (несут ли обнаруженные несоответствия риски); оценка рисков (являются ли данные риски существенными для операционной

деятельности аудируемого объекта); разработка аудиторских рекомендации по коррекции области/ процесса, в котором обнаружен риск (процедуры, необходимые для снижения данного риска до приемлемо низкого уровня). Различные действующие элементы контроля позволяют смягчить неотъемлемые риски, присущие тем или иным бизнес-процессам-то есть повысить вероятность достижения целей.

Задача аудитора, по нашему мнению, — определить остаточный риск следующим образом:

Присущий риск — риск средств контроля = остаточный риск Затем следует сравнить остаточный риск с оптимальным уровнем:

• * уровень остаточного риска выше оптимального является неприемлемым;
• * уровень остаточного риска ниже оптимального соответствует избыточному контролю, и необходимо снизить затраты на проведение избыточного контроля, обеспечив тем самым повышение экономичности выполнения операций и процедур.

Заключение

об оптимальности уровня остаточного риска делается на основании аудиторского суждения. Основания, позволившие сделать заключение об оптимальности уровня остаточного риска, должны быть доведены до руководства аудируемого объекта Существует следующая классификация рисков для целей операционного аудита:

Высокий риск — недостаток в бизнес-процессе, имеющий настолько существенное значение для определенного направления деятельности, что он требует немедленного внимания со стороны руководства того направления деятельности, в котором имеется данный недостаток, а также принятие первоочередных мер по его устранению.

Средний риск — серьезный недостаток, требующий немедленного внимания со стороны владельца бизнес-процесса, в котором имеется данный недостаток, а также разработки согласованной программы по его скорейшему устранению.

Низкий риск — такой недостаток в бизнес-процессе, который не обязательно требует немедленного внимания, но для своевременного устранения которого необходима согласованная программа мероприятий, разработанная руководителем производственной единицы или иным руководителем соответствующего уровня.