Conceptul de control intern integrat Coso Standarde

Conceptul COSO „Managementul riscului organizațional. Integrarea cu strategia și eficiența performanței” (COSO ERM) 2017 în limba rusă a apărut la vânzare în librăria online TOTbook.ru. Este disponibil la link-ul: https://totbook.ru/catalog/345/1136970/

Conceptul COSO ERM constă din 3 cărți:

1. Carte de bază (110 pagini)

2. Aplicații (30 de pagini)

3. Rezumat (10 pagini)

Conceptul COSO ERM își propune să îmbunătățească relația dintre risc, strategie și valoarea companiei. Ea ia în considerare riscul în ceea ce privește rolul său în luarea deciziilor strategice care afectează în cele din urmă performanța organizației în ansamblu. Prima parte a cărții de bază oferă o privire de ansamblu asupra conceptelor și aplicațiilor actuale și în evoluție ale managementului riscului organizațional. A doua parte a cărții de bază, Cadrul conceptual, include cinci componente care iau în considerare diferite perspective și structuri de operare și ajută la îmbunătățirea strategiei și luării deciziilor.

Dreptul exclusiv de a publica și distribui (numai în formă tipărită) Conceptul COSO „Managementul riscului organizațional. Integrare cu Strategia și Performanța Operațională (COSO ERM) 2017 de către Institutul Auditorilor Interni. Publicarea acestei publicații și traducerea textului în limba rusă au fost realizate cu sprijinul Deloitte CIS.

S-a dezvoltat comitetul organizațiilor care sponsorizează treadway commission (COSO). model general controlul intern, în comparație cu care companiile și organizațiile, inclusiv băncile, își pot evalua propriile sisteme de management. COSO a fost înființată în 1985. cu sprijinul Comisiei Naţionale pentru Fraude în situatii financiare(Comisia Treadway).

Modelul COSO definește control intern organizatii ca proces întreprins de consiliul de administrație, conducerea superioară și alt personal al unei organizații menit să ofere „asigurare rezonabilă” cu privire la atingerea obiectivelor din următoarele categorii:

• eficiența și productivitatea operațiunilor;
• fiabilitatea raportării financiare;
• respectarea legilor și reglementărilor.

Modelul COSO de control intern include mai multe concepte de bază:

controlul intern este un proces. Este un mijloc pentru un scop, nu un scop în sine;

controlul intern depinde de oameni. Reprezintă nu numai politici de management și uniforme, ci și oameni de la toate nivelurile companiei;

controlul intern poate oferi conducerii și consiliului de administrație al companiei doar suficientă încredere, dar nu și garanții absolute;

controlul intern vizează atingerea obiectivelor în una sau mai multe categorii separate, dar care se suprapun.

Esența modelului COSO poate fi exprimată astfel: gestionați atunci când riscul este evaluat și gestionat.

Elementele de control intern conform sistemului COSO includ (Tabelul 1):

1) mediul de control;
2) evaluarea riscurilor;
3) măsuri de control;
4) colectarea și analiza informațiilor, precum și transferul acestora în scopul propus;
5) monitorizare și corectare a erorilor.

Tabelul 1. Componentele sistemului de control intern

Modelul include opt componente:

mediul intern. Mediul intern reprezintă atmosfera din cadrul unei organizații și determină modul în care riscul este perceput și la care răspunde angajații organizației. Mediul intern include filozofia managementului riscului și apetitul pentru risc, integritatea și valorile etice, precum și mediul în care acestea există;

stabilirea obiectivelor (setarea obiectivelor). Obiectivele trebuie definite înainte ca managementul să înceapă să identifice evenimentele care le pot afecta realizarea. Procesul de management al riscului oferă o asigurare rezonabilă că conducerea companiei are un proces organizat corespunzător pentru selectarea și stabilirea obiectivelor și că acestea sunt în concordanță cu misiunea organizației și cu nivelul apetitului său pentru risc;

identificarea evenimentului. Evenimentele interne și externe care au impact asupra realizării obiectivelor organizației trebuie identificate din punct de vedere al riscurilor sau oportunităților. Oportunitățile trebuie luate în considerare de către management la formularea strategiei și stabilirea obiectivelor;

evaluare a riscurilor. Riscurile sunt analizate pe baza probabilității și impactului lor pentru a determina ce acțiuni trebuie întreprinse pentru a le aborda. Riscurile sunt evaluate în termeni de risc inerent și rezidual;

răspuns la risc. Conducerea alege o metodă de răspuns la risc - evitarea riscului, acceptarea, reducerea sau redistribuirea riscului - prin dezvoltarea unei serii de activități care aliniază riscul identificat cu nivel admisibil Riscul și apetitul pentru risc al organizației;

activitati de control. Politicile și procedurile sunt concepute și stabilite pentru a oferi o asigurare rezonabilă că riscul implicat este răspuns într-un mod eficient și în timp util;

informare si comunicare. Informațiile necesare sunt determinate, înregistrate și transmise într-o asemenea formă și într-un astfel de interval de timp care să permită angajaților să își îndeplinească responsabilitățile funcționale. Există, de asemenea, un schimb eficient de informații în cadrul organizației, atât pe verticală de sus în jos și de jos în sus, cât și pe orizontală;

monitorizare. Întregul proces de management al riscului al organizației este monitorizat și ajustat după cum este necesar. Monitorizarea se realizează ca parte a activităților în desfășurare ale managementului sau prin evaluări periodice.

Pentru a rezuma, observăm că:

În COSO mare valoare atașat mediului intern.

COSO are multe valoare mai mare este dat monitorizării controlului intern ca formă de control ulterior. Monitorizarea este unul dintre elementele de bază ale modelului COSO.

La COSO se acordă o mare importanță activității consiliului de administrație.

Literatură:

1. Kakovkina T.V. Sistemul de control intern ca mijloc de identificare a riscurilor organizaționale // Contabilitate internațională. 2014, nr. 36
2. Kalacheva O.N. Probleme de control intern în întreprinderile mici și mijlocii // Auditor. 2015, nr. 10
3. Krainova V.V. Justificarea direcțiilor de dezvoltare a controlului intern în organizațiile de transport pe apă interioară // Contabilitate internațională. 2014, nr. 46
4. Koske M.S., Mishuchkova Yu.G., Voyutskaya I.V. Controlul intern ca functie de munca a contabilului-sef // Contabilitate internationala. 2015, nr. 6
5. Puchkova A.O. Necesitatea evaluării sistemului de control intern și a elementelor acestuia în timpul unui audit // Declarații de audit. 2012. Nr 1/2
6. Pashkov R. Monitorizarea sistemului de control intern // Contabilitate si banci. 2015. Nr. 1
7. Yanova Ya.Yu. Conceptul de control intern orientat spre risc este un ideal pentru care trebuie depus // Controlul intern într-o instituție de credit. 2014. Nr. 4
8. Control intern - cadru integrat (2013)

În primul rând, trebuie spus că aproape nu există standarde rusești pentru managementul riscurilor, controlul intern și auditul intern. Cred că este rău pentru că au fost multe lucruri interesante. Dar este foarte posibil să le folosești pe cele burgheze. Problema cheie este interpretarea lor prezentată de mulți specialiști: pentru managementul riscului - cu accent pe riscurile financiare, pentru furnizorii de control intern și auditorii interni - cu accent pe raportare. Adică, trebuie să rețineți că fiecare standard conține multe componente și, ținând cont de toate, puteți obține o utilitate semnificativ mai mare.

Cele mai cunoscute standarde sunt:

• pentru managementul riscurilor: standard FERMA (Federation of European Risk Manager Associations), standard COSO ERM (COSO - Committee of Sponsoring Organizations of the Treadway Commission, ERM - Enterprise Risk Management), GOST ISO31000;
• pentru sistemele de control intern – standard COSO IC IF (Internal Control – Integrated Framework);
• pentru audit intern – Bazele internaționale practică profesională (MOPP).

Unde pot citi standardele?

Inițial, toate standardele au fost dezvoltate, firește, pe engleză. Cu toate acestea, traduceri în rusă există.

FERMA – ambele versiuni în rusă și engleză au fost cândva disponibile gratuit. Site – http://ferma.eu. Acum, vai, a dispărut, dar linkul de mai jos îl conține pe cel mai recent.

În timpul observației mele au existat mai multe traduceri acolo. Mi-a plăcut mai ales că într-o traducere expresia

„Deși identificarea riscurilor poate fi efectuată de consultanți independenți, o evaluare realizată intern, cu o colaborare strânsă între funcțiile sale, cu utilizarea consecventă și coordonată a proceselor și instrumentelor furnizate, este probabil mai eficientă.”

a fost înlocuit cu o frază (pe site-ul FERMA acum este corectat, pe site-ul Rusriska încă se blochează)

« Identificarea riscurilor unei organizații este de obicei realizată de consultanți independenți. Cu toate acestea, înțelegerea și analiza riscurilor de către organizația însăși este mare importanta pentru un proces de management al riscului de succes.”

În general, oamenilor nu le pasă. Desigur, toată lumea câștigă bani cât de bine poate, dar sugestiile despre sprijinul financiar pentru persoana iubită ar fi putut fi mai subtile.

GOST ISO31000 este la fel de ușor de găsit atât în ​​Google, cât și în Yandex.

Standardele COSO - numai „cadrul conceptual” este disponibil gratuit în engleză și rusă. Site - www. coso.org. O traducere oficială a fost publicată în rusă în 2015, vândută de Institutul Auditorilor Interni, nu am citit-o, a costat 2.000 de ruble. Din „shareware” există o traducere „oficială” (apropo, destul de lizibilă și de înaltă calitate) a COSO ERM și o parte „neoficială” a COSO IC IF. Situat în partea închisă a site-ului Institutului Auditorilor Interni al Federației Ruse, site-ul – http://iia-ru.ru. Doar membrii IVA pot intra în partea închisă.

MOPP - parțial se află în domeniul public (dar nu în totalitate; utilitatea pentru înființare începe cu instrucțiuni practice), restul se află în partea închisă a site-ului web a Institutului Auditorilor Interni al Federației Ruse (http://iia -ru.ru). Aș dori să remarc că MOPP, în ciuda volumului său, este o citire destul de ușoară (cel puțin pentru mine), traducerea este de foarte bună calitate.

Total: toate standardele necesare pot fi obținute pe mare și puternic pentru 2.500 de ruble ca taxă de membru la Institutul Auditorilor Interni. Preț rezonabil, există și bonusuri sub formă de mai multe prezentari interesante. Pentru a obține un set complet în limba rusă, va trebui să achiziționați și o carte, prețul pentru membrii Institutului este de 1800 de ruble.

Puțină istorie.

Primul în formă modernă Standardul COSO IC IF a apărut în 1992. O nouă versiune a fost pregătită în 2013.

Din anumite motive, COSO iubește cu adevărat toate tipurile de cuburi. Vă dau un cub COSO tradițional, am găsit în mod special cea mai proastă versiune (întoarsă cu susul în jos, de parcă începe cu monitorizarea).

Următoarea reprezentare este mult mai rezonabilă:

De ce este rezonabil? În primul rând, mediul de control este important pentru întreaga organizație, monitorizarea ar trebui să acopere întregul proces de control intern. Procesul în sine este destul de banal, și anume, reprezintă relația „riscuri → proceduri de control” cu corespunzătoare suport informativ. În al doilea rând, monitorizarea trebuie să acopere toate celelalte componente.

Standardul FERMA a apărut în 2002. Imi place cel mai mult datorita volumului sau mic. Diagrama schematică lucrările conform acestui standard sunt prezentate în imagine.

De asemenea, se poate observa că standardul FERMA nu se concentrează pe raportarea organizației ca o componentă cheie (de exemplu, natura riscului). Motivul este destul de banal: managerii de risc europeni (și FERMA este organizația lor) au crescut nu din auditori de situații financiare, ci din asigurători și finanțatori. Originea, mi se pare, explică și clasificarea:

Bancherii și asigurătorii clasifică riscurile și pericolele financiare ca o categorie separată. De ce – cred că este clar. Cu toate acestea, restul (atât auditorii interni, cât și COSO) au crescut din raportare, motiv pentru care atât standardele de audit intern, cât și standardele COSO conțin în mod necesar obiective în domeniul fiabilității raportării și al respectării legislației.

Ce s-a întâmplat în continuare (versiunea este doar părerea mea). Echipa de creație a COSO, după ce a analizat noul standard, s-a gândit așa: ce are toată lumea deja despre strategie și încă mai mestecăm muci. Și în aproximativ un an și jumătate au desenat un alt cub, scriind standardul COSO ERM (2004):

Pentru a clarifica de unde crește totul, iată o imagine suplimentară:

După părerea mea, totul este evident. De asemenea, puteți compara componentele de-a lungul axei verticale din cubul COSO și secvența de acțiuni descrisă în FERMA.

Cinci ani mai târziu Organizație internațională Organizația de standardizare (ISO) și-a lansat standardul de management al riscului. Documentele ISO sunt elaborate din punct de vedere al afacerilor (și nu vânzărilor de servicii de consultanță), prin urmare, după înțelegerea mea, ISO31000:2009 este standardul optim din punct de vedere al volumului/utilității, deși necesită traducerea din rusă în rusă. Apropo, ISO a introdus principiul managementului riscului în cel mai faimos standard din Rusia, ISO9000, ceea ce a provocat o anumită panică în rândurile furnizorilor de sisteme de management al calității.

Standardele de audit intern au suferit o evoluție semnificativă de-a lungul a 50 de ani. Totul a început cu contabilitate și conformitate. Versiunea actuală este o evaluare a riscurilor și a eficacității controlului în ceea ce privește:

• fiabilitatea şi integritatea informaţiilor privind financiar şi activitate economică;
• eficiența și eficacitatea activităților;
• siguranța activelor;
• respectarea legilor, reglementărilor și obligațiilor contractuale.

După cum puteți vedea, cele trei componente coincid cu COSO IC IF (unde au apărut primele, nu pot spune, nu sunt istoric), iar conservarea bunurilor, aparent, se desfășoară din 1957 (sau din 1947?). Nu știu de ce ar trebui evidențiat separat: nu cred că activitățile pot fi considerate eficiente și eficiente în prezența furtului sau pierderii bunurilor din cauza stocării necorespunzătoare.

Scurte comentarii asupra standardelor.

Este indicat să citiți totul. Standardele relativ simple în ceea ce privește lizibilitatea sunt FERMA, ISO31000 și MOPP. FERMA este pur și simplu mic ca volum, pentru MOPP te poți limita la standarde (MPSVA), instrucțiunile practice sunt doar recomandări (deși stricte). Lizibilitatea este explicată simplu: FERMA și ISO au scris standarde pentru managerii de risc, Institutul Auditorilor Interni - pentru auditorii interni. Este foarte de dorit ca ambii să vorbească aceeași limbă, inclusiv asigurând uniformitatea abordărilor. În consecință, era mai bine să se evite construcțiile și incertitudinile complet complexe, ceea ce s-a făcut.

COSO este o lucrare fundamentală, în mai multe volume, datorită celor 30 de parteneri PwC care au fost exprimați pentru COSO ERM. În opinia mea, dacă ar fi fost mai puțini parteneri participanți, documentul ar fi ieșit mai bine - așa cum se întâmplă, ar fi apărut „sinergia inversă”. Particularitate Standardele COSO: din „fundamentele conceptuale” nu este deloc clar ceea ce este clar începe în cel mai recent document (folosind exemplul COSO ERM - „Aplicație”). Trebuie să înțelegeți că autorii sunt auditori și consultanți. Nu trebuie să stabilească un standard clar: de ce să piardă venituri. Prin urmare, este necesar ca cititorul să „atingă telefonul” unui partener al unei mari companii de consultanță. După părerea mea, a funcționat. De asemenea, rețineți că, spre deosebire de acest site, nu există o abordare „end-to-end”: nu există o logică „aici ne asumăm un set de riscuri, aici le evaluăm, aici le gestionăm, aici putem efectua un audit. ” Setul de exemple cu siguranță nu este rău. Dar dacă încercați să le aplicați unei singure afaceri, cel mai probabil, puțin va funcționa. Apropo, în general, atitudinea mea personală față de documentele COSO este absolut egală. Există lucruri utile, dar chiar nu merită să vorbim despre aceste standarde într-un mod liniștit, așa cum fac unele femei în prezența străinilor.

La configurarea managementului riscului, recomand să utilizați FERMA și ISO31000, dacă nu este specificat ceva în FERMA. Controlul intern este un subiect special în mod tradițional, COSO IC IF poate fi folosit doar pentru a genera documente care nu sunt deosebit de utile. Problema cu COSO IC IF este interpretarea sa, care este fie un mediu de control, fie o filozofie de raportare, după cum sa comentat. Cât despre auditul intern, sunt standarde suportate, am semnat codul de etică (ca membru al IIA), deci nu mai rămâne nimic altceva decât MOPP.

De ce nu menționez SOX?

Am auzit de Legea Sarbanis-Oxley. Apropo, Sarbanis este grec, de aceea este așa, nu Sarbanes. Deci, părerea mea este că cei mai străluciți oameni de vânzări lucrează acum la Big4.

Să ne amintim cum a apărut SOX. A apărut ca urmare a unor raportări absolut fictive de către o grămadă de companii. În ceea ce privește motivul pentru care s-a întâmplat acest lucru, colegul meu expert și cu mine nu suntem de acord. Cred că acesta este neprofesionalism absolut și sete de profit: este clar că altcineva de la Big5 ar putea foarte bine să se ocupe de raportare împreună cu contracte de consultanță pentru aceiași bani. Și distrugerea documentelor de lucru ale auditorului spune multe.

Un coleg notează că există cel puțin mai multe deficiențe sistemice în managementul auditului și oferă mai multe argumente în favoarea faptului că confirmarea raportării ar putea avea loc fără acorduri majore cu conștiința:

• puțin timp pentru a finaliza auditul. Schimbul cere „hai, hai”, tema cu accelerare a închiderii perioadei este subiect interesant pentru consultanta. Chestia asta, mi se pare, este cea mai dăunătoare, deoarece contribuie de fapt la lipsa de încredere a raportării și nu lasă timp pentru procedurile obișnuite de control pentru verificarea documentelor („jos” toate documentele trebuie completate în 1-2 zile) ;
• calificările angajaţilor. Totul este verificat de stagiari, fiecare repartizat pe un site. Fluxurile sunt mari, afacerile care generează rezultate financiare trebuie să fie capturate de oamenii de știință criminalistică, mai degrabă decât de auditori. Având în vedere timpul alocat auditului, este probabil ca rapoartele să fie confirmate fără intenție rău intenționată. Și tovarășul senior, care trebuia să confirme sistemul de control intern, a făcut acest lucru prin teste formale de conformitate, din care toți auditorii au din belșug. Rezultatul controlului calității este că actele de lucru sunt completate și e bine că nimeni nu ar putea intra în prea multe detalii în operațiuni non-standard: sistemul de control intern este la nivel, eșantionul este aleatoriu;
• cerinţele partenerilor. Da, desigur, au existat erori și inconsecvențe. A fost suficient pentru a recunoaște declarațiile ca fiind false și pentru a se certa cu clientul? Fiecare dezavantaj individual, luând în considerare un eșantion mic, poate nu. Dar nici măcar nu s-au uitat la totalitate.

Oricum ar fi, rezultatul este pur și simplu uimitor. În loc să ne „tragem”, așa cum a spus președintele Republicii Belarus A.G. Lukașenko despre parlamentul său, întreaga comunitate de audit, nu apar solicitări suplimentare auditorilor care au acoperit frauda, ​​ci companiilor înșiși (inclusiv celor care au trăit cinstit). Și aceste cerințe sunt formulate, destul de ciudat, de către auditorii înșiși. Este clar că cerințele sunt formulate în așa fel încât să fie din nou nevoie de auditori (bine, adică se numesc consultanți, dar sunt localizați geografic în departamentul vecin al companiei de audit). Atunci totul este evident.

Concluzia: pe lângă un audit contabil formal, fiecare companie publică trebuia să dispună instalarea de controale interne conform SOX (bine, sau să angajeze personal, ceea ce nu este nici ieftin). În același timp, costul auditului extern a crescut, odată cu creșterea orelor standard de evaluare a sistemului de control intern pentru întocmirea rapoartelor. În același timp, din câte știu, chiar dacă sistemul de control intern asupra întocmirii raportării este testat în interior și în exterior de auditul intern, nu există o reducere fundamentală a costului serviciilor de audit extern.

Apropo, Big4 nu mai oferă servicii de audit și consultanță aceleiași organizații. Adică, de fapt, costul serviciilor de consultanță pentru afaceri a crescut (principiul „mai ieftin în vrac” a fost abolit).

În general, rezultatul cheie al unui scandal de audit provocat de auditori este o creștere a veniturilor auditorilor. „Este grozav, nu-i așa?” (©Surorile Zaitsev, Clubul Comediei). De aceea încerc să nu folosesc cuvântul SOX.

Dacă găsiți o eroare, evidențiați o bucată de text și faceți clic Ctrl+Enter.

starea documentului: materiale pentru întâlnirea CPT

organizație de dezvoltatori: PJSC Megafon

Explicația X/2013

„Organizarea sistemului de control intern”

1. Prevederi generale

1.1 Prezenta Politică determină procedura de organizare și funcționare a sistemului de control intern (denumit în continuare sistemul de control intern) în cadrul Societății, inclusiv descrierea scopului și obiectivelor sistemului de control intern, precum și rolurile și responsabilitățile acestuia. subiecte.

1.2 Această politică a fost elaborată ținând cont de cerințele și recomandările:

• legislatia actuala Federația Rusă(inclusiv art. 19 din Legea nr. 402-FZ „Cu privire la contabilitate”);
• documentele de reglementare interne ale Companiei;
• Codul de conduită corporativă al Serviciului Federal de Piețe Financiare al Federației Ruse;
• conducerea Comitetului organizațiilor de sponsorizare a Comisiei Treadway „Control intern. Model integrat” (1992).

2. Definirea si obiectivele controlului intern

2.1 Control intern este un proces continuu desfășurat de toți angajații și conducerea Companiei la toate nivelurile de conducere, menit să ofere condiții pentru atingerea obiectivelor Companiei în următoarele domenii:

• eficiența și eficacitatea activităților financiare și economice ale Societății;
• siguranța activelor;
• conformitatea cu cerințele legale, reglementările, documentele interne ale Companiei și alte cerințe de reglementare aplicabile;
• fiabilitatea situaţiilor financiare.

2.2 Sistem de control intern(SVK) - un sistem de măsuri organizaționale, politici, instrucțiuni, precum și proceduri de control, norme de cultură corporativă și acțiuni întreprinse de Consiliul de Administrație, conducerea și angajații Companiei pentru a asigura desfășurarea corectă a activităților de afaceri: pentru a asigura stabilitatea financiară a Societății, realizarea unui echilibru optim între costul creșterii sale, profitabilitatea și riscurile, pentru desfășurarea ordonată și eficientă a activităților de afaceri, asigurarea securității activelor, identificarea, corectarea și prevenirea încălcărilor, întocmirea la timp a situațiilor financiare de încredere și, prin urmare, sporind atractivitatea investițiilor.

2.3 Organizarea sistemului de control intern în cadrul Societății se bazează pe o abordare bazată pe risc. Înseamnă integrarea strânsă a sistemului de control intern cu procesele de management al riscului, rezultând în timp util și aplicare eficientă metode de management al riscului folosind mecanisme eficiente ale sistemului de control intern. În același timp, conducerea Companiei și angajații săi își concentrează eforturile pentru a construi și îmbunătăți sistemul de control intern, în primul rând în acele domenii de activitate care sunt caracterizate de cel mai înalt nivel de riscuri.

2.4 Sistem de control intern asupra procesului de intocmire a situatiilor financiare(SVKFO) - un sistem de măsuri organizaționale, politici, instrucțiuni, precum și proceduri de control, norme de cultură corporativă și acțiuni întreprinse de Consiliul de Administrație, conducerea și angajații Companiei pentru atingerea obiectivelor în domeniul întocmirii situațiilor financiare fiabile. .

2.5 Obiectivele funcționării sistemului de control intern în cadrul Societății sunt:

• Asistență în protejarea intereselor acționarilor, investitorilor și clienților, prevenirea și eliminarea conflictelor de interese, sprijinirea managementului eficient al Companiei și atingerea obiectivelor strategice în cel mai eficient mod;
• Crearea condițiilor pentru a proteja Societatea de riscurile interne și externe apărute în cursul activităților sale, precum și de riscurile întocmirii situațiilor financiare ale Societății;
• Asistență în asigurarea conformității de către Companie cu cerințele legislației și documentelor de reglementare ale Companiei;
• Crearea condițiilor pentru pregătirea și furnizarea în timp util a unor rapoarte financiare, contabile, statistice, de management și de altă natură fiabile pentru utilizatorii externi și interni;
• Asistență în asigurarea securității activelor și utilizare eficientă resursele si potentialul companiei.

3. Principii de funcționare și componente ale ICS

3.1 Organizarea și funcționarea SCI în Companie se bazează pe următoarele principii cheie:

• Integrare- ICS este o parte integrantă a guvernanței corporative a Companiei și este integrat în procesele și operațiunile sale zilnice. ICS include proceduri pentru informarea conducerii la nivelul adecvat de conducere cu privire la orice încălcări semnificative ale activităților financiare și economice, deficiențe și puncte slabe controale care au fost detectate, împreună cu o analiză a cauzelor acestora, detalii despre acțiunile corective care au fost întreprinse sau ar trebui întreprinse;
• Continuitate- Sistemul de control intern funcționează în mod continuu, continuu și la toate nivelurile de conducere, ceea ce permite Societății să identifice cu promptitudine abaterile din sistemul de control intern și să prevină apariția acestora în viitor;
• Unitatea metodologica - Procesele ICS sunt implementate pe baza cerințelor și abordărilor uniforme pentru toate diviziile Companiei;
• Integritate/complexitate- SCI operează la toate nivelurile și în toate diviziile Societății, acoperind toate subiectele controlului intern și domeniile de activitate și, în consecință, toate riscurile:
  • Responsabilitatea pentru construirea și menținerea unui sistem de control intern fiabil și eficient revine managerilor de la toate nivelurile de conducere ale Societății;
  • Procedurile de control există în toate procesele de afaceri și la toate nivelurile de management;
  • Fiecare angajat al Companiei cunoaște, înțelege și își îndeplinește rolul în sistemul de control intern

• Responsabilitate- toți angajații și conducerea de la toate nivelurile Societății sunt responsabile pentru funcționarea sistemului de control intern în limita atribuțiilor lor;
• Concentrat pe risc- SCI din Companie este în strânsă cooperare cu sistemul de management al riscurilor, ceea ce contribuie la implementarea la timp și eficientă a măsurilor de influențare a riscurilor. Atunci când se analizează procedurile de control, trebuie să se evalueze amploarea și probabilitatea apariției riscurilor, gradul de influență a acestora asupra rezultatelor activităților financiare și economice și atingerea obiectivelor Societății, ceea ce permite tragerea unei concluzii cu privire la suficiența controlului existent. proceduri sau necesitatea de a dezvolta și implementa altele noi.
• Optimitatea - volumul și complexitatea procedurilor de control utilizate în Companie sunt necesare și suficiente pentru gestionarea eficientă a riscurilor și atingerea obiectivelor Companiei. Resursele și costurile pentru implementarea și operarea ulterioară a procedurilor de control nu trebuie să depășească consecințele realizării riscului (raportul cost-efect economic), iar nivelul total al riscului rezidual trebuie să corespundă apetitului pentru risc al Societății.
• Separarea sarcinilor- Societatea diferențiază drepturile și responsabilitățile subiecților controlului intern în funcție de atitudinea acestora față de procesele de dezvoltare, aprobare, aplicare și monitorizare a sistemului de control intern. Nu este permis ca unui angajat/unitate să i se încredințeze simultan următoarele atribuții:
  • aprobarea tranzacțiilor cu active;
  • efectuarea de tranzacții cu active;
  • contabilitatea/inregistrarea tranzactiilor;
  • verificarea corectitudinii, exhaustivității și realității tranzacției și asigurarea securității activelor.

• Formalizarea- ICS ar trebui să fie oficializat:
  • sunt descrise riscurile și controalele pentru toate procesele de afaceri semnificative care afectează atingerea obiectivelor Companiei;
  • rezultatele procedurilor de control sunt documentate și stocate (documente primare, rapoarte, jurnalele de tranzacții etc.);

3.2 Relevanță și dezvoltare- toată documentația privind sistemul de control intern (descrierea riscurilor, controale și alte informații) trebuie actualizată în timp util și îmbunătățită în mod constant pentru a crește eficiența managementului riscului. Conducerea de vârf oferă condiții pentru dezvoltarea constantă a sistemului de control intern, ținând cont de necesitatea soluționării noilor probleme apărute ca urmare a modificărilor condițiilor interne și externe de funcționare. La baza organizării și funcționării sistemului de control intern în Societate se află următoarele componente:

• Mediul de control;
• Evaluare a riscurilor;
• comenzi;
• Informații și comunicații;
• monitorizarea ICS.

O descriere detaliată a componentelor ICS este dată în Anexa 1 la această Politică.

4. Subiectele controlului intern și funcțiile acestora

4.1 Sistemul de control intern al Societății este determinat de o combinație de obiecte și subiecte. Obiectele ICS sunt activitățile financiare și economice ale diviziilor Societății. Subiectele controlului intern sunt determinate de această Politică și de alte documente de reglementare ale Societății în domeniul controlului intern.

4.2 Se determină componența subiecților controlului intern structura organizatorica Societatea și include:

• Consiliu de administrație;
• Comitetul de audit;
• Director General;
• divizia control intern;
• Șefii diviziilor structurale și angajații Companiei.

4.3 Consiliu de administrație- determină direcțiile generale de organizare a sistemului de control intern în cadrul Societății, analizează eficacitatea generală și conformitatea sistemului de control intern cu natura, amploarea și condițiile activităților Societății în cazul modificării acestora; - are în vedere rezultatele evaluării eficacitatea sistemului de control intern, a identificat deficiențe semnificative și recomandări pentru eliminarea acestora. Aproba politica de control intern si modificarile acesteia.

Funcțiile și sarcinile Consiliului de Administrație în raport cu sistemul de control intern sunt stabilite în regulamentele Consiliului de Administrație al Societății.

4.4 Comitetul de Audit al Consiliului Director- evaluează conformitatea cu principiile controlului intern și managementului riscului și eficacitatea de ansamblu a sistemului de control intern din Companie (inclusiv pe baza rapoartelor de la departamentele de audit intern și control intern), face recomandări pentru îmbunătățirea sistemului de control intern.

Funcțiile și sarcinile Comitetului de Audit al Consiliului de Administrație sunt stabilite în reglementările relevante ale Comitetului de Audit al Societății.

4.5 Director general- este responsabil pentru organizarea și menținerea funcționării unui sistem eficient de control intern în cadrul Societății și monitorizarea funcționării sistemului de control intern, inclusiv:

• Stabilește direcțiile de dezvoltare și îmbunătățire a sistemului de control intern în Companie;
• Aproba Regulamentul privind sistemul de control intern, Regulamentul de diagnosticare si imbunatatire a sistemului de control intern si alte documente de reglementare in domeniul sistemelor de control intern;
• Analizează rezultatele activității unității structurale de control intern, inclusiv rezultatele diagnosticării sistemului de control intern;
• Stabilește responsabilitatea pentru implementarea deciziilor managementului superior în domeniul controlului intern;
• Analizează și aprobă un plan de acțiune pentru eliminarea deficiențelor din sistemul de control intern.

4.6 Divizia Audit Intern- efectuează o evaluare independentă a eficacității componentelor individuale ale ICS, ICS al obiectelor auditate și ICS al Societății în ansamblu și elaborează recomandări pentru a îmbunătăți fiabilitatea și eficiența acestuia, inclusiv:

• Verifică conformitatea activităților departamentelor și angajaților cu documentele de reglementare care determină procedura de organizare și funcționare a sistemului de control intern;
• Evaluează conformitatea conținutului documentelor de reglementare care reglementează organizarea și funcționarea sistemului de control intern cu natura și amploarea activităților Societății;
• Identifică faptele de încălcare, analizează motivele apariției acestora și elaborează recomandări pentru îmbunătățirea procedurilor de control existente și/sau introducerea de noi pentru a preveni repetarea încălcărilor;
• Monitorizează eliminarea în timp util și completă a încălcărilor și deficiențelor identificate;
• Efectuează controlul calității procesului de diagnosticare a sistemului de control intern din Companie, efectuat de conducere și angajați;
• Consiliază pentru îmbunătățirea controlului intern.

4.7 Sarcini Unități de control intern sunt:

Coordonarea activităților pentru formarea și menținerea eficienței sistemului de control intern;

• Suport metodologic pentru sistemele de control intern;
• Organizarea procesului de diagnosticare a SVC în Companie:
• Intocmirea planurilor de dezvoltare si imbunatatire a sistemului de control intern in Companie;
• Mentinerea si mentinerea la zi a infrastructurii ICS (registre de riscuri, proceduri de control si procese de afaceri);
• Monitorizarea implementării planului de acțiuni pentru eliminarea deficiențelor și îmbunătățirea sistemului de control intern, incl. controlul calității eliminării deficiențelor;
• Informarea tuturor participanților ICS cu privire la schimbările de abordări, documentație și alte cerințe în domeniul ICS;
• Organizarea pregatirii programelor de pregatire a personalului privind organizarea si imbunatatirea sistemului de control intern.

Funcțiile, sarcinile și atribuțiile unității structurale de coordonare a sistemului de control intern al Societății sunt definite în Regulamentele relevante.

4.8 Managerii și angajații diviziilor structurale sunt responsabili pentru formarea, întreținerea și monitorizarea constantă a sistemului de control intern în domeniile funcționale relevante de activitate ale diviziilor din întreaga verticală de management și, de asemenea, efectuează proceduri de control în conformitate cu responsabilitățile lor oficiale, inclusiv:

• identificarea și analizarea în timp util a riscurilor din activitățile financiare și economice ale Societății;
• dezvoltarea, formalizarea, precum și execuția ulterioară și asigurarea eficacității și suficienței procedurilor de control în cadrul proceselor lor de afaceri;
• actualizarea descrierii sistemului de control intern și informarea în timp util a unității de control intern despre modificări;
• monitorizarea funcționării sistemelor de control intern, precum și evaluarea independentă a eficacității procedurilor de control pe care le realizează;
• informarea conducerii despre orice erori/deficiențe comise sau posibile care au condus sau pot duce la potențiale evenimente negative;
• finalizarea instruirii in domeniul controlului intern si managementului riscului in conformitate cu programul de formare aprobat.

4.9 Societatea asigură crearea unor canale eficiente de schimb de informații, inclusiv comunicații atât pe verticală, cât și pe orizontală, pentru a forma între toți subiecții controlului intern o înțelegere a documentelor normative adoptate în organizarea și funcționarea sistemului de control intern și asigurarea acestora. implementare.

4.10 Informațiile privind funcționarea sistemului de control intern, orice deficiențe constatate și alte circumstanțe semnificative sunt furnizate Consiliului de Administrație, Comitetului de Audit al Consiliului de Administrație, Director General, Consiliul de Administrație sau alte organisme în conformitate cu cerințele legale existente și cu documentele de reglementare ale Societății.

5. Roluri

5.1 Pentru a asigura funcționarea eficientă a sistemului de control intern, următoarele roluri sunt distribuite între managerii și ceilalți angajați ai Societății:

• Proprietar de proces/risc
• Coordonator ICS

• Executor de control

5.2 Proprietar de proces/risc- seful unitatii/departamentului care raspunde de:

• pentru funcționarea eficientă a tuturor componentelor ICS ( vezi componentele ICS în Anexa 1) în ceea ce privește acoperirea riscurilor activităților comerciale și întocmirea situațiilor financiare în cadrul proceselor/riscurilor lor de afaceri;
• pentru numirea executorilor de control si consolidarea in fișele postului angajații relevanți sunt responsabili pentru realizarea acestor proceduri;

• pentru asigurarea executării și documentării controalelor de către executanții de control în conformitate cu documentația privind sistemul de control intern;
• pentru identificarea modificărilor în procese, riscuri sau controale care necesită modificări ale documentației ICS și informarea angajaților Unității de Control Intern / Coordonatorului ICS din departamentul relevant despre aceasta;
• pentru aprobarea la timp a documentației privind sistemul de control intern (descrierea detaliată a riscurilor, controale unificate și adaptate și alte informații);
• pentru eliminarea deficiențelor sistemului de control intern identificate ca urmare a testării sau monitorizării.

5.3 Executor de control- un angajat de orice nivel care este responsabil pentru:

• pentru implementarea la timp și de înaltă calitate a procedurilor de control în conformitate cu documentația ICS;
• pentru sesizarea, dacă este cazul, executorului de control adjunct și unui angajat al Direcției Control Intern despre necesitatea efectuării procedurii de control relevante în locul executorului;
• pentru aprobarea la timp a documentației privind sistemul de control intern (descrierea detaliată a riscurilor, controale și alte informații);
• pentru realizarea procedurilor de autoevaluare a eficacității sistemului de control intern;
• pentru identificarea modificărilor în procese, riscuri sau controale care necesită modificări ale documentației ICS și informarea proprietarului riscului/procesului, a coordonatorului ICS din departamentul relevant și a angajaților Unității de Control Intern despre aceasta;
• pentru eliminarea deficiențelor sistemului de control intern identificate ca urmare a testării și monitorizării.

5.4 Coordonator ICS Un angajat din fiecare departament care este responsabil pentru:

• pentru organizarea și coordonarea procesului de funcționare a sistemului de control intern în cadrul departamentului relevant;
• pentru monitorizarea calitatii implementarii si documentarea procedurilor de control in ceea ce priveste controalele efectuate in compartimentul relevant;
• pentru relevanța documentației privind sistemul de control intern în raport cu unitatea structurală relevantă;
• pentru informarea Unității de Control Intern cu privire la necesitatea modificării documentației ICS (modificări ale proceselor, riscurilor sau controalelor, inclusiv propunerea de noi redactări privind riscurile, controalele și alte informații).

6. Cerințe și responsabilități în asigurarea eficacității sistemului de control intern

6.1 Controlul intern este o parte integrantă a funcționării oricărei divizii a Societății.

6.2 Toți angajații sunt responsabili pentru funcționarea și asigurarea eficacității sistemului de control intern al Companiei.

6.3 Conducerea Societății trebuie să transmită angajaților importanța de a dispune și de a asigura funcționarea eficientă a sistemului de control intern, precum și rolul fiecărui angajat în acest sistem, inclusiv următoarele cerințe de bază:

• Niciun angajat, direct sau indirect, nu poate permite sau provoca falsificarea intenționată a datelor contabile, de gestiune sau a altor date de raportare.
• Nu pot fi aduse modificări datelor contabile dacă se știe că aceste modificări pot distorsiona esența tranzacțiilor relevante.
• Nicio sumă/cont/tranzacție nu poate fi ascunsă în scopul subraportării.
• Toți angajații Companiei sunt obligați să păstreze activele Companiei și să asigure utilizarea eficientă a acestora.

6.4 Dacă un angajat al Societății are informații despre deficiențele sau ineficacitatea procedurilor de control intern, acesta trebuie să raporteze imediat acest lucru supervizorului său imediat, precum și șefilor departamentelor de control intern și audit intern.

6.5 Dacă un angajat nu respectă în mod deliberat această Politică și nu respectă procedurile de control pentru care este responsabil, angajatul va fi supus acţiune disciplinară până la concediere inclusiv în conformitate cu cerințele legislației în vigoare.

7. Monitorizarea eficacității sistemului de control intern

7.1 Scopul monitorizării este de a evalua eficacitatea sistemului de control intern al Societății, inclusiv capacitatea acestuia de a asigura îndeplinirea scopurilor și obiectivelor sale, precum și de a determina semnificația deficiențelor sistemului.

7.2 Monitorizarea sistemului de control intern asupra raportării financiare include:

• implementarea de către conducerea direcțiilor de monitorizare constantă a implementării procedurilor de control în direcțiile care le raportează;
• Efectuarea unei autoevaluări a sistemului de control intern din Companie;
• efectuarea de verificări periodice ale implementării procedurilor de control și verificări ale conformității operațiunilor cu cerințele legale și prevederile documentelor de reglementare ale organizației de către unitatea de audit intern;
• evaluarea eficacității sistemului de control intern asupra procesului de întocmire a situațiilor financiare de către un auditor extern
• comunicarea la timp a informațiilor despre deficiențele identificate în sistemul de control intern asupra raportării financiare către părţile interesateîn cadrul verticalei de management.

7.3 Autoevaluarea eficacității sistemului de control intern (denumită în continuare autoevaluarea sistemului de control intern) se realizează direct de către subiecții sistemului de control intern prin:

• Distribuirea chestionarelor – utilizate pentru a colecta informații despre eficiența sistemului de control intern și schimbările în procesele de afaceri de la angajații și managerii departamentelor Companiei.
• Monitorizarea stării sistemului de control intern este procesul de verificare a completității, oportunității implementării și corectitudinii documentației sistemului de control.
• Evaluarea eficacității procedurilor de control - analiza eficacității descrierii și executării controlului, precum și analiza suficienței procedurilor de control (evaluarea măsurii în care controlul, sub rezerva implementării sale efective, poate reduce eficient riscurile asociate cu el).

7.4 Evaluarea regulată a ICS ajută la îmbunătățirea eficacității acestuia prin:

• identificarea în timp util a schimbărilor în procesele de afaceri, proiectarea sau etapele procedurilor de control;
• creșterea motivației Performanților de Control și a Managerilor acestora prin participarea directă la îmbunătățirea sistemului de control intern și monitorizarea constantă a calității implementării controlului;
• furnizarea unei baze de informații conducerii Societății pentru a confirma eficacitatea sistemului de control intern.
  

7.5 Rezultatele evaluării ICS trebuie să fie documentate și prezentate conducerii Societății și Comitetului de Audit al Consiliului de Administrație:

• Unitatea de audit intern întocmește un raport pe baza rezultatelor evaluării sistemului de control intern;
• Auditorul extern pregătește o scrisoare către conducere cu privire la deficiențele semnificative identificate pe baza rezultatelor unei evaluări externe independente a sistemului de control intern;
• Divizia de control intern întocmește un raport pe baza rezultatelor autoevaluării sistemului de control intern efectuată de diviziile structurale ale Societății.

8. Efectuarea de completări și modificări la Politică

8.1 Atunci când sunt aduse modificări și completări actelor legislative, cerințelor de reglementare și documentelor de reglementare ale Societății care reglementează funcționarea sistemului de control intern, modificările și completările la această Politică pot fi făcute numai prin decizii executate corespunzător ale Consiliului de Administrație al Societății. . Consiliul de Administrație al Societății poate decide, de asemenea, să aprobe o nouă versiune a Politicii.

Anexa 1. Componentele ICS conform metodologiei COSO

Controlul intern, conform modelului COSO Internal Control-Integrated Framework, constă din cinci componente interdependente care provin din modul în care se desfășoară afacerile și sunt asociate cu procesul de management al acesteia. Cele cinci componente includ:

Mediu de control: Mediul de control creează o atmosferă în organizație care influențează conștientizarea personalului cu privire la importanța efectuării controalelor. Este baza pentru toate celelalte componente ale controlului intern, oferind ordine și disciplină. Factorii mediului de control includ integritatea, valorile etice, stilul de management, distribuția autorității și responsabilităților, precum și managementul organizației și procesele de dezvoltare a personalului. De asemenea, eficacitatea mediului de control depinde de atenția acordată acestui aspect din partea Consiliului de Administrație.

Evaluare a riscurilor: Fiecare organizație se confruntă cu diferite riscuri externe și interne care trebuie evaluate. O condiție prealabilă pentru evaluarea riscurilor este definirea obiectivelor, prin urmare evaluarea riscului implică identificarea și analiza riscurilor relevante asociate cu atingerea obiectivelor stabilite. Evaluarea riscurilor este o condiție prealabilă pentru managementul riscului.

comenzi: Controalele sunt politici și proceduri care asigură îndeplinirea deciziilor managementului. Acestea ajută la asigurarea faptului că sunt întreprinse acțiunile necesare împotriva riscurilor care pot împiedica organizația să își atingă obiectivele. Controalele sunt implementate în întreaga organizație, la toate nivelurile și în toate funcțiile. Acestea includ o serie de activități, cum ar fi aprobări, permise, inspecții, reconcilieri, rapoarte privind activitățile în curs, conservarea activelor și separarea sarcinilor.

Informare și comunicare: Toate informațiile necesare trebuie identificate, formulate și comunicate cu promptitudine angajaților corespunzători, astfel încât să se asigure că aceștia își pot îndeplini pe deplin sarcinile de serviciu. Sistemele informatice joacă, de asemenea, un rol important în controlul intern, deoarece conțin informații financiare, operaționale și de conformitate pentru a ajuta la gestionarea și controlul afacerii. Problema nu este doar în ceea ce privește diseminarea informațiilor interne ale companiei, ci este importantă și informarea angajaților despre evenimentele și activitățile externe care sunt necesare pentru a lua diferite decizii. Comunicarea eficientă într-un sens mai larg trebuie să asigure fluxuri de informații în jos și în sus și între departamente din întreaga organizație. Este important ca personalul companiei să primească o poziție clar articulată din partea conducerii superioare cu privire la importanța îndeplinirii responsabilităților ce le revin în ceea ce privește controlul intern. De asemenea, este important ca fiecare angajat să înțeleagă clar rolul său în sistemul de control intern și modul în care rezultatul muncii sale este legat de activitățile altor angajați. Personalul trebuie să fie conștient de necesitatea de a comunica toate informațiile importante conducerii companiei. Comunicarea eficientă cu privire la aspectele legate de interesele companiei trebuie să fie asigurată și cu părți externe, de exemplu, clienții, furnizorii, autoritățile de reglementare și acționarii.

Monitorizare: Sistemul de control intern necesită monitorizare - un proces de evaluare periodică a calității activității sale. Acest lucru se realizează prin monitorizarea constantă a calității executării anumitor operațiuni, prin verificări separate pentru evaluarea eficienței unui anumit proces, sau printr-o combinație a acestor două opțiuni. Monitorizarea continuă este efectuată zilnic, inclusiv. activități pentru gestionarea și gestionarea proceselor relevante, precum și alte activități în cadrul îndeplinirii atribuțiilor de către personal. Sfera și frecvența auditurilor individuale depind de nivelul de evaluare a riscurilor relevante, precum și de rezultatele monitorizării continue a acestor operațiuni. Deficiențele de control intern identificate în timpul monitorizării ar trebui aduse la cunoștința conducerii, iar cele mai semnificative observații să fie comunicate conducerii superioare și Consiliului de Administrație.

Relația strânsă dintre aceste componente asigură formarea unui sistem integrat care este capabil să răspundă rapid provocărilor emergente. Sistemul de control intern este parte integrantă a activităților operaționale. Cel mai eficient sistem de control intern este dacă controalele sunt integrate în infrastructura organizației și fac parte din esența acesteia. Controalele încorporate îmbunătățesc calitatea și eficacitatea activităților și, de asemenea, ajută la evitarea costurilor suplimentare și vă permit să răspundeți mai rapid la anumite evenimente.

„COSO - Comitetul organizațiilor de sponsorizare al Comisiei Treadway, SUA”

Comitetul organizațiilor de sponsorizare a Comisiei Treadway(engleză) The Comitet de Sponsorizare Organizații de cel Treadway Comision, COSO) - este o organizație voluntară, privată, creată în Statele Unite și concepută pentru a dezvolta recomandări adecvate pentru managementul corporativ în probleme critice management organizațional, etica în afaceri, raportarea financiară, controale interne, managementul riscului corporativ și antifraudă.