Служба внутреннего аудита: кому подчинить и какие полномочия дать

Что собственнику решить до создания службы внутреннего аудита

Внутренний аудит оценивает не бухгалтерию, а систему управления: как принимаются решения, где теряется контроль, насколько управленческая отчётность отражает реальность. Для собственника это способ увидеть компанию без посредников, не так, как её описывает исполнительный директор на совещании, а по документам и процессам. Поэтому первый вопрос не «сколько аудиторов нанять», а «какие решения я хочу принимать на основе их выводов». От этого зависит и место службы в структуре, и объём её полномочий, и то, перед кем она отчитывается.

Типичная ошибка - создать службу внутреннего аудита при исполнительном директоре и поручить ему же оценивать работу этого директора и его команды. Формально служба есть, отчёты пишутся, но собственник получает только то, что прошло фильтр руководителя. Независимость в такой конструкции исчезает, а вместе с ней и смысл. Решение собственника здесь простое: служба внутреннего аудита подчиняется напрямую собственнику или общему собранию участников, а не исполнительному органу, чью работу она проверяет.

Второе решение - определить предмет аудита. Это может быть контроль за исполнением бюджетов, проверка закупок, оценка эффективности проектов, качество управленческой отчётности или подготовка компании к инвестору. Универсальной службы не бывает: чем точнее очерчен предмет, тем понятнее полномочия и тем меньше поводов для споров с менеджментом. Пропишите предмет в регламенте и внутреннем документе о службе, чтобы он не менялся по желанию исполнительного директора.

Третье решение - определить, какой результат вы ждёте. Это может быть регулярный отчёт о состоянии контроля, разбор конкретного процесса или подтверждение того, что управленческие данные надёжны. Сформулируйте ожидания письменно, до найма первых сотрудников, иначе служба начнёт жить своей логикой и приносить отчёты, которые вам не нужны. Собственник, который заранее описал, что хочет видеть, получает инструмент, а не ещё одно подразделение с неясными задачами.

Кому подчинить службу внутреннего аудита: сравнение конструкций

Подчинение - главный рычаг собственника. От того, кому напрямую отчитывается служба внутреннего аудита, зависит, узнаете вы о проблеме первым или последним. Ниже сравнение двух рабочих конструкций. Третья, когда служба подчиняется исполнительному директору, встречается чаще всего и почти всегда превращает аудит в формальность, поэтому её стоит рассматривать только в небольшой компании, где собственник сам ежедневно погружён в операции и видит всё своими глазами.

Вывод простой: если служба внутреннего аудита подчиняется проверяемому руководителю, она теряет смысл. Даже сильный руководитель не станет добровольно передавать собственнику неудобные выводы. Оставляйте подчинение за собой или за общим собранием участников, а оперативное взаимодействие с менеджментом стройте через регламент, а не через вертикаль власти.

Полномочия службы внутреннего аудита: что закрепить в регламенте

Полномочия, записанные на словах, работают до первого сопротивления менеджмента. Как только служба захочет посмотреть неудобный договор, ей напомнят, что она «не вправе вмешиваться в операционную деятельность». Чтобы этого не случилось, полномочия нужно прописать в регламенте, утверждённом собственником или общим собранием участников. Документ должен быть коротким и конкретным: чем меньше в нём общих слов, тем проще ссылаться на него в рабочей ситуации.

Ключевое полномочие - беспрепятственный доступ к информации. Служба должна получать документы, данные из учётных систем и объяснения без предварительного согласования с руководителем проверяемого подразделения. Если доступ идёт через исполнительного директора, независимость исчезает на первом же шаге. Закрепите право запрашивать сведения напрямую и право фиксировать отказ в доступе как отдельный факт в отчёте.

Ниже - примерный набор полномочий, который стоит обсудить и зафиксировать. Состав зависит от предмета аудита и размера компании, но логика одна: служба должна уметь получить информацию, сформировать вывод и донести его до собственника без посредников.

• Беспрепятственный доступ к документам, данным и информационным системам в рамках предмета аудита.
• Право запрашивать объяснения у любого руководителя, включая исполнительного директора.
• Право присутствовать на совещаниях по бюджету, крупным расходам и проектам.
• Право инициировать проверку по любому направлению в рамках предмета аудита.
• Право направлять выводы напрямую собственнику или в общее собрание участников.
• Право требовать устранения нарушений в установленный срок с последующей проверкой.
• Запрет исполнительному органу вмешиваться в планирование проверок и менять их предмет.

Общее собрание участников как заказчик внутреннего аудита

В ООО общее собрание участников - это инструмент, через который собственники задают правила игры в компании. Именно собрание логично сделать заказчиком внутреннего аудита: оно утверждает регламент службы, назначает её руководителя и заслушивает отчёты. Такая конструкция особенно полезна, когда собственников несколько или когда управление передано наёмному директору и нужен независимый канал информации для всех участников одновременно.

Практический смысл в том, что решения по аудиту не зависят от настроения одного человека. Если собственник один, он может совмещать роли и принимать решения единолично, но и тогда стоит фиксировать ключевые шаги письменно: утверждение регламента, назначение руководителя службы, периодичность отчётов. Документы дисциплинируют и самого собственника, и менеджмент, а заодно становятся опорой, когда компания растёт и появляются новые участники или инвестор.

Общее собрание не должно превращаться в орган, который вникает в каждую проверку. Его роль - задать рамку: предмет аудита, полномочия, форму отчёта и порядок реагирования на выводы. Всё оперативное остаётся за службой и собственником. Чем аккуратнее разделены эти уровни, тем меньше поводов для споров и тем быстрее принимаются решения по существу.

Отдельно продумайте, как отчёты службы попадают в повестку собрания. Если отчёт заслушивается раз в год, проблемы копятся месяцами. Разумнее установить регулярный поток отчётов собственнику и сводный отчёт на собрании. Форму и периодичность закрепите документом, чтобы не зависеть от того, вспомнит ли кто-то поставить вопрос в повестку.

Устав и внутренние документы: минимальный каркас

Устав не место для деталей работы службы внутреннего аудита, но несколько принципиальных положений в нём стоит закрепить. Речь о том, что служба существует, что её руководитель назначается решением собственника или общего собрания участников и что она подчиняется им напрямую. Этого достаточно, чтобы конструкция не рассыпалась при смене менеджмента, а детали ушли во внутренние документы.

Основной рабочий документ - положение о службе внутреннего аудита, утверждённое собственником или собранием. В нём описывают предмет аудита, полномочия, порядок планирования проверок, форму отчётов и порядок взаимодействия с подразделениями. Отдельно стоит закрепить, кто и в какой срок обязан реагировать на выводы службы. Без этого аудит заканчивается красивым отчётом, который никто не читает.

Полезно добавить ещё два документа: политику управления рисками и перечень управленческой отчётности, которую служба вправе проверять. Политика задаёт, какие риски компания считает существенными, а перечень отчётности снимает споры о том, что именно можно запрашивать. Ниже - минимальный набор, с которого удобно начать. Состав документов можно расширять по мере роста компании, но начинать стоит с этих основ.

• Положение о службе внутреннего аудита с предметом, полномочиями и формой отчётов.
• Решение собственника или протокол собрания о назначении руководителя службы.
• Политика управления рисками с перечнем существенных для компании рисков.
• Перечень управленческой отчётности, которую проверяет служба.
• Порядок реагирования на выводы аудита и сроки устранения нарушений.
• Регламент доступа службы к документам и информационным системам.

Управленческая отчётность и информационная прозрачность

Внутренний аудит опирается на данные. Если управленческая отчётность собирается вручную, в разных форматах и с задержкой, любая проверка превращается в сверку цифр вместо оценки процессов. Поэтому до запуска службы стоит навести порядок в отчётности: определить, какие показатели собственник получает регулярно, кто за них отвечает и откуда берутся данные. Это управленческое решение, а не задача бухгалтерии.

Прозрачность нужна не только аудитору. Она меняет поведение менеджмента: когда руководитель знает, что данные проверяемы, он аккуратнее обращается с расходами и сроками. Служба внутреннего аудита в этой логике - не карательный орган, а гарант того, что отчётность отражает реальность. Чем стабильнее поток данных, тем меньше времени уходит на проверки и тем быстрее собственник получает ответы на свои вопросы.

Отдельно решите, насколько глубоко служба разбирает данные. Одно дело - подтверждать сводные показатели, другое - проверять каждую операцию по существенным направлениям. Глубина зависит от предмета аудита и рискованности процессов. Зафиксируйте правило в положении о службе, чтобы не менять подход под каждую проверку и не тратить ресурсы там, где достаточно выборочного контроля.

Внутренний контроль, риски и подготовка к инвестору

Служба внутреннего аудита - часть системы внутреннего контроля, но не вся система. Контрольные процедуры живут в процессах: согласование расходов, разделение полномочий, проверка контрагентов, инвентаризации. Аудит оценивает, работают ли эти процедуры на самом деле. Если собственник путает аудит с тотальной проверкой каждой операции, служба тонет в рутине и перестаёт видеть картину целиком.

Система управления рисками даёт собственнику язык для приоритетов. Когда существенные риски описаны, служба понимает, на что смотреть в первую очередь, а менеджмент - за что отчитываться. Без этой связки аудит превращается в набор случайных проверок по настроению. Свяжите положение о службе с политикой управления рисками, чтобы проверки опирались на перечень существенных рисков, а не на личные догадки.

Переход на МСФО в частной компании часто обсуждают как бухгалтерскую тему, хотя это управленческое решение. Международные стандарты дают собственнику и потенциальному инвестору общий язык для описания активов, обязательств и результатов. Если компания готовится к сделке или привлечению инвестора, решение о переходе стоит принимать заранее, а службе внутреннего аудита поручить проверку того, что данные готовятся по единым правилам.

Подготовка к инвестору - это не разовая кампания перед сделкой, а дисциплина. Инвестор смотрит на то, как устроено управление, кто принимает решения, есть ли независимый контроль и надёжна ли отчётность. Компания, где служба внутреннего аудита работает постоянно, выглядит в этом разговоре гораздо убедительнее, чем компания, которая собирает документы за месяц до встречи.

Служба внутреннего аудита и due diligence глазами собственника

Due diligence обычно описывают как процедуру для покупателя. Но для собственника это ещё и проверка собственной компании: готовы ли документы, понятны ли процессы, сходятся ли данные. Служба внутреннего аудита может заранее пройти по тем же направлениям, по которым будет идти внешний проверяющий, и показать слабые места до того, как их найдут другие.

Практический смысл в том, что аудит готовит компанию к разговору с инвестором или покупателем. Когда собственник знает, где данные расходятся, где нет подтверждающих документов, а где процессы держатся на одном человеке, он управляет разговором, а не реагирует на чужие замечания. Это не гарантия сделки, но это позиция, в которой собственник сохраняет контроль над ситуацией.

Ниже - направления, которые стоит проверить заранее. Список не заменяет внешнюю проверку, но помогает понять, где компания уязвима и что стоит исправить в спокойном режиме, а не в ходе переговоров.

• Полнота и непротиворечивость управленческой и финансовой отчётности.
• Наличие подтверждающих документов по существенным операциям.
• Разделение полномочий и понятность того, кто принимает решения.
• Договорная база с ключевыми контрагентами и её актуальность.
• Зависимость ключевых процессов от отдельных сотрудников.
• Описание существенных рисков и того, как компания ими управляет.

Кодекс корпоративного управления и требования биржи как ориентир

Кодекс корпоративного управления и требования биржи к управлению написаны для публичных компаний, но частной компании они полезны как ориентир. Речь не о том, чтобы копировать чужую структуру, а о том, чтобы взять принципы: независимость контроля, понятность полномочий, регулярность отчётности, работа с рисками. Эти принципы работают и в ООО с выручкой в несколько миллиардов рублей.

Собственнику полезно посмотреть, как устроен внутренний аудит в компаниях, которые уже прошли путь роста и вышли на публичный рынок. Там служба внутреннего аудита подчиняется напрямую совету директоров или собственникам, а её руководитель имеет прямой канал к тем, кто принимает решения. Это не бюрократия, а способ сохранить независимость оценки при росте компании и усложнении менеджмента.

Для частной компании такой ориентир означает несколько конкретных решений. Служба внутреннего аудита не подчиняется исполнительному директору. Её отчёты регулярно доходят до собственника или общего собрания участников. Полномочия закреплены документами, а не устными договорённостями. Раскрытие информации и работа с инвесторами становятся дисциплиной, а не разовой акцией. Всё это можно внедрить без формального статуса публичной компании.

Не стоит переносить на частную компанию всё сразу. Часть требований биржи избыточна для ООО, и копирование ради галочки только добавляет бюрократию. Задача собственника - выбрать те принципы, которые реально помогают принимать решения и снижают зависимость компании от одного руководителя. Остальное можно отложить до момента, когда компания действительно начнёт готовиться к выходу на рынок.

Порядок действий собственника

Ниже - последовательность, которая помогает пройти путь от идеи до работающей службы внутреннего аудита. Порядок важен: если начать с найма сотрудников, а не с решения собственника, служба получится, но работать будет не на вас. Каждый шаг стоит зафиксировать документом, чтобы конструкция не зависела от конкретных людей.

1. Сформулируйте, какие решения вы хотите принимать по итогам аудита, и запишите это одной страницей.
2. Определите предмет аудита: процессы, отчётность, закупки, проекты.
3. Выберите конструкцию подчинения: напрямую собственнику или общему собранию участников.
4. Закрепите службу в уставе или во внутреннем документе, утверждённом участниками.
5. Утвердите положение о службе с полномочиями и порядком доступа к информации.
6. Назначьте руководителя службы решением собственника или общего собрания участников.
7. Установите форму и периодичность отчётов перед собственником.
8. Определите порядок реагирования на выводы и сроки устранения нарушений.