Внутренний, внешний аудит компании и техника компьютерного аудита (CAAT) - страница 2
Внутренние аудиторы сегодня имеют дело с беспрецедентным уровнем изменений, которые приводят к непредвиденному возникновению все большего числа рисков и соответствующих событий. Они провоцируют, в том числе, такие «черные» события, как разлив нефти в Мексиканском заливе 2010 году и взрыв на японской атомной станции в 2011 году. Изменения связаны к примеру с тем, что:
предприятия постоянно проводят реструктуризацию, слияния и приобретения;
поставки и распределение быстро распространяются на многие географические регионы;
облачные вычисления и визуализация растворяют границы сетей;
кибермошенничество становится все более сложным и выраженным; существует угроза терактов и природных катаклизмов.
С другой стороны, регулирующие органы и правительства выдвигают все новые требования, которые организациям приходится выполнять с подключением внутреннего аудита. Это делает внутренний аудит гораздо более сложным. Старые требования обеспечения контроля должны быть сбалансированы с новыми требованиями по управлению рисками. Множество рисков должны контролироваться и смягчаться. Мошенничеству следует предотвращаться или сдерживаться с помощью риск-разведки и проверок, осуществляемых в соответствии с бизнес-стратегией. Все эти инициативы должны быть проведены через сотни процессов, отделов, подразделений и рабочих мест с тысячами сотрудников. В довершение всего, поскольку ресурсы ограничены, внутренним аудиторам приходится делать больше с меньшими затратами.
Внутренний аудит как функция должен перестроиться, чтобы быть в курсе событий и иметь отношение к бизнесу. Аудит-отделам следует принять некоторые практические стратегии для выполнения своей новой роли в организации и своего значения.
Компаниям следует концентрироваться на своих целях, принимая во внимание важность внутреннего аудита как функции. При этом нужно считаться и с требованием использования риск-аудита. Однако в этом аспекте необходимо пересматривать распространенные подходы к риск-аудиту. Согласно одному из подходов риски подразделяются на более и менее приоритетные в зависимости от вероятности их появления и степени воздействия. Первоочередные риски получают максимум внимания, в то время как низкоприоритетные, как правило, игнорируются. В то же время опыт показывает, что оценки риска могут иметь очень субъективный характер, и некоторые риски, которые, как считается, имеют низкую вероятность возникновения, рассматриваются как низкоприоритетные. Тем не менее практика показывает, что зачастую события происходят как неприятные и даже горестные сюрпризы, и вероятность их возникновения заранее не просчитывается, а соответствующие риски не рассматриваются в качестве приоритетных.