Контрольная самооценка

Контрольная самооценка — это метод, разработанный в 1987 году, который используется рядом организаций, включая корпорации, благотворительные организации и государственные ведомства, для оценки эффективности своих процессов управления рисками и контроля.

«Процесс контроля» — это проверка или процесс, выполняемый для уменьшения или устранения риска ошибки. С момента своего появления этот метод получил широкое распространение в США, Европейском Союзе и других странах. Существует несколько способов реализации контрольной самооценки, но ее ключевой особенностью является то, что, в отличие от традиционного аудита , тесты и проверки проводятся персоналом, чьи обычные повседневные обязанности относятся к обслуживаемому бизнес-подразделению. оценено. ^[1] Самооценка путем выявления процессов с повышенным риском внутри организации позволяет внутренним аудиторам более эффективно планировать свою работу. ^[2] Ряд государственных организаций требуют использования контрольной самооценки. В Соединенных Штатах требует FFIEC , чтобы контрольные самооценки проводились в отношении ИТ-систем и операционных процессов на регулярной основе. ^[3] Преимущества, заявленные для самооценки средств контроля, включают создание четкой линии ответственности за средства контроля, снижение риска мошенничества и создание организации с более низким профилем риска. ^[4]^[5]

В определенных обстоятельствах контрольная самооценка не всегда эффективна. Например, его может быть сложно реализовать в децентрализованной среде, в организациях с высокой текучестью кадров, где организация часто меняется или где высшее руководство организации не способствует развитию культуры открытого общения. ^[6]

Разработка и всемирное внедрение

Контрольная самооценка была разработана компанией Gulf Canada в 1987 году, когда генеральный аудитор компании Брюс Маккуэйг был недоволен используемыми стандартными методами аудита после воздействия Уотергейтского дела на материнскую компанию Gulf Oil Corporation . Решение полностью внедрить самооценку контроля в заливе Канада было обусловлено рядом факторов. К ним относятся наличие указа о согласии, требующего от компании отчитываться о своем внутреннем контроле, а также трудности, с которыми она столкнулась при оценке своих запасов нефти и газа с использованием более традиционных методов аудита. ^[7]

В течение следующих десяти лет компания Gulf Canada разработала структуру для поддержки анализа и оценки процессов контроля оперативным персоналом. Это включало анонимное голосование, чтобы гарантировать отсутствие препятствий для выражения сотрудниками своих взглядов. Этот подход был впервые опубликован в журнале Internal Auditor в декабре 1990 года. ^[8] В 1997 году компания Gulf Canada прекратила использование этого упрощенного подхода к проведению встреч, хотя продолжала проводить контрольную самооценку с использованием других методов. ^[7]

После введения в Персидском заливе Канады контрольной самооценки многие организации частного сектора внедрили аналогичные методы. В Соединенных Штатах несколько штатов сделали обзоры, основанные на практике контрольной самооценки, обязательными, как это сделали Федеральная корпорация страхования депозитов и Канадская корпорация страхования депозитов . ^[7]

Первоначально внешние аудиторы игнорировали преимущества самооценки средств контроля, хотя она была эффективна для предоставления аудиторских доказательств в «мягких» областях (таких как моральный дух персонала), которые имеют решающее значение для эффективности систем внутреннего контроля. ^[9]

После ряда финансовых скандалов, в частности, краха издательской империи Роберта Максвелла , правительство Соединенного Королевства поручило Адриану Кэдбери возглавить расследование корпоративного управления. Комитет опубликовал свой отчет «Финансовые аспекты корпоративного управления» в 1992 году. В разделе 4 «Отчетность и контроль» Cadbury дала ряд рекомендаций, которые привели к более широкому распространению контрольной самооценки в Великобритании. В частности, раздел 4.5 Кодекса практики, содержащийся в отчете, требует от директоров компании отчитываться об эффективности системы внутреннего контроля компании в каждом годовом отчете . ^[10]

В марте 2000 года Европейская комиссия утвердила «Белую книгу» о реформе, которая привела к серьезным изменениям в способах управления Комиссией. Эти изменения включали рекомендации каждому департаменту по созданию эффективной системы внутреннего контроля. Для поддержки внедрения внутреннего контроля Центральная финансовая служба Генерального управления бюджета разработала процесс контрольной самооценки. Эта первая контрольная самооценка выявила несколько областей для улучшения внутреннего контроля в Комиссии, в первую очередь необходимость внедрения более систематического подхода к управлению рисками. Результатом этой первой самооценки стало введение требования к каждому Генеральному управлению ежегодно проводить самооценку контроля и рисков. ^[11]

В 2007 году США ввели в действие Закон Сарбейнса-Оксли . Чтобы соответствовать разделу 404 Закона, компании пришлось провести нисходящую оценку рисков, что потребовало подготовки «отчета о внутреннем контроле», в котором подтверждалась «ответственность руководства за создание и поддержание адекватной структуры и процедур внутреннего контроля для финансовая отчетность». 15 Кодекса США § 7262(а) . Этот отчет должен включать оценку эффективности внутреннего контроля и процедур, связанных с финансовой отчетностью. Чтобы удовлетворить это требование, организации все чаще стали проводить контрольную самооценку с использованием признанной стандартной методологии. Внешние аудиторы организации, которые обязаны подписать отчет о внутреннем контроле, обычно более активно участвуют в процессе самооценки средств контроля, поскольку это облегчает их последующую проверку отчета о внутреннем контроле. ^[12]

В Великобритании в 2011 году Управление финансовых услуг признало в своих рекомендациях по совершенствованию управления операционными рисками, что оценка рисков посредством контрольной самооценки может быть важным средством выявления рисков. Он также отметил, что для того, чтобы оценка была полностью эффективной, она должна быть полностью интегрирована в процесс управления рисками финансовой организации. ^[13]

Проведение контрольной самооценки

Первым шагом в самооценке средств контроля является документирование процессов контроля в организации с целью определения подходящих способов измерения или тестирования каждого средства контроля. Фактическое тестирование средств контроля выполняется персоналом, чья повседневная роль находится в проверяемой области организации, поскольку они обладают наибольшими знаниями о том, как работают процессы. ^[1]^[4] Двумя распространенными методами проведения оценок являются:

Семинары, которые могут проводиться независимо, но не обязательно, с участием некоторых или всех сотрудников тестируемого подразделения;
Опросы или анкеты, заполняемые сотрудниками самостоятельно.

Оба подхода противоположны формальным аудитам, при которых аудиторы , а не сотрудники бизнес-подразделения. оценку будут проводить ^[1]

По завершении оценки каждому средству контроля может быть присвоен рейтинг на основе полученных ответов, чтобы определить вероятность его отказа и влияние в случае возникновения отказа. Эти рейтинги можно сопоставить для создания тепловой карты, показывающей потенциальные области уязвимости.

Методологии

Определены шесть основных методик контрольной самооценки: ^[14]

Самоаудит по анкете внутреннего контроля (ICQ)
Индивидуальные анкеты
Руководства по управлению
Техники интервью
Мастер-классы по управлению моделями
Интерактивные мастер-классы

анкетах . Методика контрольной самооценки Национального института стандартов и технологий основана на адаптированных Это методология, ориентированная на ИТ, подходящая для оценки системного контроля. Он обеспечивает экономически эффективный метод определения состояния средств управления информационной безопасностью, выявления любых слабых мест и, при необходимости, определения плана улучшения. ^[15] В методологии используется анкета, содержащая конкретные цели контроля и методы контроля над системой или группой систем, которые можно протестировать и измерить. Методика была разработана для федеральных агентств США, но может быть полезна и для организаций частного сектора. ^[15]

Методику COBIT можно использовать для контрольной самооценки; Как и методология NIST, она была разработана для оценок, ориентированных на ИТ. Компонент описания процессов COBIT предоставляет эталонную модель процессов организации и их владельцев. Его компонент «Цели управления» предоставляет набор требований, которые считаются необходимыми для эффективного контроля каждого ИТ-процесса в организации. Оценка этих компонентов с использованием компонента «Руководства по управлению» обеспечивает механизм оценки, который генерирует модель зрелости, показывающую, достигает ли организация своих целей контроля. ^[14]

Институт внутренних аудиторов основывал свою методологию контрольной самооценки на подходах всеобщего управления качеством 1990-х годов, а также на структуре COSO . Методология стала частью Международных стандартов профессиональной практики внутреннего аудита и была принята большим количеством крупных организаций. ^[16]

Был опубликован ряд других методологий стандартизации контрольной самооценки. ^[17]^[18] Институт внутренних аудиторов предлагает сертификацию по практике контрольной самооценки. ^[19]

Программные инструменты

Доступен ряд пакетов программного обеспечения для поддержки процесса контрольной самооценки. Обычно это модифицированные версии программного обеспечения, первоначально разработанные для внутреннего использования аудиторскими и бухгалтерскими фирмами, такими как Deloitte , или нишевыми поставщиками, специализирующимися на инструментах управления бизнесом или финансами.

Преимущества

Самооценка средств контроля создает четкую линию подотчетности за средства контроля, снижает риск мошенничества (путем изучения данных, которые могут указывать на необычные модели транзакций) и приводит к тому, что организация имеет более низкий профиль риска. ^[4]^[5]

Для организаций, проводящих контрольную самооценку, заявлен ряд других льгот. К ним относятся лучшее понимание бизнес-операций (как руководством, так и оперативным персоналом); более высокая осведомленность о практике риска; усиление режима корпоративного управления и повышение эффективности внутреннего аудита. ^[4]^[20]

Критика

Некоторые исследователи раскритиковали контрольную самооценку как ошибочный подход, поскольку способ определения и измерения риска является простым. В частности, контрольная самооценка может занижать риск, не выявляя крайний риск ухудшения ситуации. Крайний риск ухудшения ситуации – это крайне маловероятное событие, которое имело бы катастрофические последствия, если бы оно произошло. Эти риски должны иметь высокий общий балл риска (обычно рассчитываемый как произведение вероятности возникновения риска и последствий в случае его возникновения по шкале от 1 до 5). Следовательно, лица, осуществляющие контрольную самооценку, не могут существенно дифференцировать риски, что приводит к тому, что риски крайне низкой вероятности либо исключаются из анализа, либо группируются вместе с другими более вероятными (но все же маловероятными) рисками, оказывающими менее серьезное воздействие. ^[21]

Постоянное внимание к устранению рисков, к которому может привести контрольная самооценка, также подверглось критике. Процесс постоянной оценки рисков и составления планов по их смягчению и устранению может привести к несбалансированной корпоративной культуре, в которой риски устраняются без учета соотношения риска и доходности различных вариантов бизнеса. ^[21]

См. также

Внешние ссылки

Инструмент контрольной самооценки, используемый Федеральной транзитной администрацией.

Ссылки

^ Перейти обратно: ^а ^б ^с Гилберт В. Джозеф; Терри Дж. Энгл (декабрь 2005 г.). «Использование контрольной самооценки независимыми аудиторами» . Журнал CPA . Проверено 10 марта 2012 г.
^ «Контрольная самооценка: Введение» . Институт внутренних аудиторов . Архивировано из оригинала 23 августа 2010 г. Проверено 10 марта 2012 г.
^ «Справочник FFIEC по ИТ-экзаменам» . ФФИЭК. Архивировано из оригинала 27 февраля 2012 г. Проверено 10 марта 2012 г.
^ Перейти обратно: ^а ^б ^с ^д МакНелли, Дж. Стивен (12 ноября 2007 г.). «Контрольная самооценка: Все участвуют в внутреннем контроле» . бухгалтерский учет.
^ Перейти обратно: ^а ^б Спенсер Пикетт, К. Х. и Пикетт, Дженнифер М. (2010). Справочник по внутреннему аудиту (3-е изд.). John Wiley & Sons Ltd. с. 585.
^ «Контрольная самооценка: будущее аудита магазинов розничной торговли» (PDF) . Компания «Противит». 2006 год . Проверено 30 марта 2012 г.
^ Перейти обратно: ^а ^б ^с Брошюра о профессиональной практике 98-2 Взгляд на контрольную самооценку (PDF) . Флорида : Институт внутренних аудиторов . 1998. ISBN 089413406X . Проверено 31 марта 2012 г.
^ К. Х. Спенсер Пикетт (2011). Основное руководство по внутреннему аудиту (второе изд.). Джон Уайли и сыновья Лимитед. п. 81.
^ Джозеф, Гилберт В. (1 августа 2001 г.). «Применение контрольной самооценки в проверках» . Журнал CPA . Проверено 12 марта 2012 г.
^ Финансовые аспекты корпоративного управления (PDF) (Отчет). 1 декабря 1992 г. ISBN. 0852589131 . Архивировано из оригинала (PDF) 12 мая 2012 г. Проверено 12 марта 2012 г.
^ Центральная финансовая служба Европейской комиссии (18 марта 2002 г.). «Вторая конференция по качеству государственного управления в ЕС: Примечание к досье» . Архивировано из оригинала 27 сентября 2006 года . Проверено 12 марта 2012 г.
^ Энгель, Терри Дж.; Джозеф, Гилберт В. (2007). «Улучшение координации внутреннего и внешнего аудита» . 11 (2). Страж ЦСА. Архивировано из оригинала 20 марта 2014 г. Получено 2 апреля 2012 г. - через Институт внутренних аудиторов . {{cite journal}}: Для цитирования журнала требуется |journal= ( помощь )
^ «Совершенствование рамок стандартизированного подхода к операционному риску – Руководство» (PDF) . Управление финансовых услуг . Январь 2011 г. Архивировано из оригинала (PDF) 3 октября 2018 г. Проверено 11 марта 2012 г.
^ Перейти обратно: ^а ^б Сунил Бакши (2004). «Контрольная самооценка информационных и сопутствующих технологий» . Журнал Ассоциации аудита и контроля информационных систем . 1 :4.
^ Перейти обратно: ^а ^б Марианна Суонсон. «Руководство по самооценке безопасности систем информационных технологий» . Национальный институт стандартов и технологий . Проверено 4 апреля 2012 г.
^ Роберт Мёллер (2009). Современный внутренний аудит Бринка: общий свод знаний . John Wiley & Sons Inc., Канада.
^ Альварес, Джин (2004). Операционный риск: практические подходы к реализации .
^ Джин Альварес; Фил Гледхилл (24 ноября 2010 г.). «Комплексная методология самооценки рисков и контроля» . Риск.нет . Проверено 10 марта 2012 г.
^ «Сертификация по контрольной самооценке (CCSA)» . Институт внутренних аудиторов . Архивировано из оригинала 02 апреля 2012 г. Проверено 3 октября 2012 г.
^ «Контрольная самооценка» . ПрайсУотерхаусКуперс . Проверено 10 марта 2012 г.
^ Перейти обратно: ^а ^б Ли, Джуди; Ви, Лиенг-Сенг (28 сентября 2005 г.). «Компании, использующие контрольную самооценку, на самом деле не осознают свои риски» (PDF) . Стрекоза . Проверено 14 марта 2012 г.

[CPAJournal-1] Перейти обратно: ^а ^б ^с Гилберт В. Джозеф; Терри Дж. Энгл (декабрь 2005 г.). «Использование контрольной самооценки независимыми аудиторами» . Журнал CPA . Проверено 10 марта 2012 г.

[2] «Контрольная самооценка: Введение» . Институт внутренних аудиторов . Архивировано из оригинала 23 августа 2010 г. Проверено 10 марта 2012 г.

[3] «Справочник FFIEC по ИТ-экзаменам» . ФФИЭК. Архивировано из оригинала 27 февраля 2012 г. Проверено 10 марта 2012 г.

[accountingweb-4] Перейти обратно: ^а ^б ^с ^д МакНелли, Дж. Стивен (12 ноября 2007 г.). «Контрольная самооценка: Все участвуют в внутреннем контроле» . бухгалтерский учет.

[John_Wiley_&_Sons_Ltd-5] Перейти обратно: ^а ^б Спенсер Пикетт, К. Х. и Пикетт, Дженнифер М. (2010). Справочник по внутреннему аудиту (3-е изд.). John Wiley & Sons Ltd. с. 585.

[6] «Контрольная самооценка: будущее аудита магазинов розничной торговли» (PDF) . Компания «Противит». 2006 год . Проверено 30 марта 2012 г.

[profpractice-7] Перейти обратно: ^а ^б ^с Брошюра о профессиональной практике 98-2 Взгляд на контрольную самооценку (PDF) . Флорида : Институт внутренних аудиторов . 1998. ISBN 089413406X . Проверено 31 марта 2012 г.

[8] К. Х. Спенсер Пикетт (2011). Основное руководство по внутреннему аудиту (второе изд.). Джон Уайли и сыновья Лимитед. п. 81.

[9] Джозеф, Гилберт В. (1 августа 2001 г.). «Применение контрольной самооценки в проверках» . Журнал CPA . Проверено 12 марта 2012 г.

[10] Финансовые аспекты корпоративного управления (PDF) (Отчет). 1 декабря 1992 г. ISBN. 0852589131 . Архивировано из оригинала (PDF) 12 мая 2012 г. Проверено 12 марта 2012 г.

[11] Центральная финансовая служба Европейской комиссии (18 марта 2002 г.). «Вторая конференция по качеству государственного управления в ЕС: Примечание к досье» . Архивировано из оригинала 27 сентября 2006 года . Проверено 12 марта 2012 г.

[IIEAC-12] Энгель, Терри Дж.; Джозеф, Гилберт В. (2007). «Улучшение координации внутреннего и внешнего аудита» . 11 (2). Страж ЦСА. Архивировано из оригинала 20 марта 2014 г. Получено 2 апреля 2012 г. - через Институт внутренних аудиторов . {{cite journal}}: Для цитирования журнала требуется |journal= ( помощь )

[13] «Совершенствование рамок стандартизированного подхода к операционному риску – Руководство» (PDF) . Управление финансовых услуг . Январь 2011 г. Архивировано из оригинала (PDF) 3 октября 2018 г. Проверено 11 марта 2012 г.

[ISACA-14] Перейти обратно: ^а ^б Сунил Бакши (2004). «Контрольная самооценка информационных и сопутствующих технологий» . Журнал Ассоциации аудита и контроля информационных систем . 1 :4.

[NIST-15] Перейти обратно: ^а ^б Марианна Суонсон. «Руководство по самооценке безопасности систем информационных технологий» . Национальный институт стандартов и технологий . Проверено 4 апреля 2012 г.

[16] Роберт Мёллер (2009). Современный внутренний аудит Бринка: общий свод знаний . John Wiley & Sons Inc., Канада.

[17] Альварес, Джин (2004). Операционный риск: практические подходы к реализации .

[18] Джин Альварес; Фил Гледхилл (24 ноября 2010 г.). «Комплексная методология самооценки рисков и контроля» . Риск.нет . Проверено 10 марта 2012 г.

[19] «Сертификация по контрольной самооценке (CCSA)» . Институт внутренних аудиторов . Архивировано из оригинала 02 апреля 2012 г. Проверено 3 октября 2012 г.

[20] «Контрольная самооценка» . ПрайсУотерхаусКуперс . Проверено 10 марта 2012 г.

[Dragonfly-21] Перейти обратно: ^а ^б Ли, Джуди; Ви, Лиенг-Сенг (28 сентября 2005 г.). «Компании, использующие контрольную самооценку, на самом деле не осознают свои риски» (PDF) . Стрекоза . Проверено 14 марта 2012 г.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]

[19]

[20]

[21]