Сегодняшние условия ведения бизнеса требуют максимально эффективного использования имеющихся у компании ресурсов. Одним из наиболее действенных инструментов выявления возможностей для повышения эффективности и, следовательно, одним из конкурентных преимуществ компании может стать внутренний аудит. 
Современный внутренний аудит способен и должен выполнять разнообразные и масштабные задачи. Внутренний аудит оценивает систему внутреннего контроля в части достоверности информации, соблюдения законодательства, сохранности активов, эффективности и результативности деятельности отдельных функций и подразделений. Внутренний аудит проводит анализ и оценку эффективности системы управления рисками и предлагает методы снижения рисков. Внутренний аудит оценивает соответствие системы корпоративного управления компании принципам корпоративного управления.
В условиях быстрых изменений конкурентной среды, роста размера компаний, повышения сложности процессов управления у руководства компании физически нет возможности получить и оценить информацию, необходимую для принятия правильных управленческих решений. Внутренний аудит является объективным источником информации, тем самым, помогая руководству компании в достижении целей и выполнении поставленных задач наиболее эффективным образом.
Наличие внутреннего аудита является положительным сигналом для потенциальных инвесторов и кредиторов и повышает инвестиционную привлекательность компании.

Задача менеджеров — управлять бизнесом, достигая поставленных целей наиболее эффективным образом. Успешность выполнения этой задачи зависит в значительной степени от двух факторов: 1) обладает ли менеджер информацией, необходимой для принятия правильных управленческих решений; 2) существует ли эффективная система контроля выполнения принятых решений.
Сами менеджеры, для которых управление бизнесом является частью повседневной работы, не всегда способны объективно оценить ситуацию. Даже если менеджер считает, что эффективно контролирует все процессы, у него, как правило, нет времени и специфических навыков для сбора и структурирования соответствующей информации. Внутренний аудит, по сути своей работы, обладает информацией по всем аспектам деятельности компании и инструментарием для обобщения и анализа данных, поэтому тесное взаимодействие с внутренним аудитом повышает эффективность принятия решений менеджментом. Именно внутренний аудит является тем объективным источником информации, помогающим менеджеру по-новому, «не замыленным глазом» посмотреть на вещи и оценить качество выполнения принятых управленческих решений.

Следует отметить, что решение о необходимости внутреннего аудита не должно определяться тем, есть ли у компании внешний аудитор, поскольку внешний и внутренний аудиты выполняют разные функции. Во-первых, внешний аудит традиционно занимается подтверждением достоверности финансовой отчетности компании и фокусируется на операциях и событиях, могущих оказать материальное воздействие на финансовую отчетность компании. Внутренний аудит направлен, прежде всего, на оценку существующих систем контроля и управления рисками компании и фокусируется на операциях и событиях, препятствующих эффективному достижению компанией поставленных целей. (Заметим, однако, что последние изменения в законодательстве некоторых стран, прежде всего США, делают оценку надежности системы контроля за финансово-бухгалтерской отчетностью компаний задачей такой же значимой для внешнего аудита, как и собственно подтверждение достоверности отчетности.)Во-вторых, внешний аудит служит, в первую очередь, интересам внешних заинтересованных сторон – потенциальных инвесторов, кредиторов и др., в то время как внутренний аудит служит, прежде всего, интересам советов директоров (комитетов по аудиту) и менеджеров компании. В-третьих, внешний аудит, в рамках оказания аудиторских услуг, не делает оценку экономической обоснованности управленческих решений и эффективности деятельности подразделений компании, что обычно является одной из задач аудита внутреннего.
Сравнительные характеристики внутреннего и внешнего аудитов представлены в таблице.

                        Внешний аудит                                                                                             Внутренний аудит 

Цель	Выражение мнения о достоверности финансовой отчетности компании	Повышение эффективности деятельности компании
Пользователи (заказчики)	Внешние: потенциальные инвесторы, кредиторы и др. Внутренние: собственники	Внутренние: совет директоров (комитет по аудиту), менеджмент всех уровней
Объект аудита	Финансово-бухгалтерская отчетность компании	Системы внутреннего контроля, управления рисками, корпоративного управления
Специфика	Фокусируется на операциях и событиях, могущих оказать материальное воздействие на финансовую отчетность компании Не рассматривает вопросы экономической обоснованности управленческих решений	Фокусируется на событиях, препятствующих эффективному достижению компанией поставленных целей Дает оценку экономической обоснованности управленческих решений

Подчеркнем, что эффективный внутренний аудит может снизить затраты компании на внешний аудит (если внешний аудитор будет иметь возможность полагаться на результаты работы внутреннего аудита, что сократит объем аудиторских процедур, выполняемых внешним аудитором), но не может отменить необходимость внешнего аудита для компании. Также, важно учесть, что не рекомендуется пользоваться услугами внешнего аудитора компании для проведения внутренних аудитов, поскольку подобное совмещение может привести к конфликту интересов внешнего аудитора. В законодательстве некоторых стран такое совмещение запрещено (например, закон Сарбейнса-Оксли в США).

Внутренний аудит может многое, но не является универсальным решением всех проблем компании. Например: 1) внутренний аудит не может ликвидировать или идентифицировать все случаи человеческих ошибок или злоупотреблений, но может минимизировать их вероятность и увеличить вероятность их скорого обнаружения посредством аудита систем/процедур; 2) внутренний аудит не может аудировать каждый бизнес-процесс каждый год, но может оптимизировать выбор проверяемых бизнес-процессов на основе системного подхода к оценке рисков; 3) внутренний аудит не должен разрабатывать процедуры для подразделений/отделов компании, поскольку это отрицательно влияет на независимость внутреннего аудита, но может анализировать процедуры, разработанные другими подразделениями/отделами, на предмет их эффективности в рамках системы внутреннего контроля предприятия.

Необходимость в наличии функции внутреннего аудита определяют собственники и/или менеджмент компании, а также регулирующие органы (для финансово-кредитных организаций и для профессиональных участников фондового рынка). В тех случаях, когда собственники/менеджмент сами полностью контролируют все аспекты бизнеса, в наличии функции внутреннего аудита может не быть надобности. В общем случае, чем крупнее компания, тем более востребованной будет функция независимой и объективной оценки состояния контроля, которой и является внутренний аудит.

В общем случае, численность службы внутреннего аудита зависит от поставленных перед внутренним аудитом задач, и, что немаловажно, от зрелости контрольной среды предприятия и от степени подверженности предприятия разного рода рискам. Численность службы определяется, исходя из количества подразделений и бизнес-процессов, имеющихся в компании, и временными затратам на аудит каждого из них. В свою очередь, временные затраты рассчитываются, исходя из нескольких факторов, в том числе, сложности и обширности аудиторской программы и квалификации внутренних аудиторов. К сожалению, во многих случаях численность службы внутреннего аудита определяется величиной выделенного бюджета, при этом при составлении бюджета службы не учитываются основополагающие факторы, приведенные выше.

Внутренний контроль есть механизм, посредством которого собственники, совет директоров, исполнительное руководство компании получают разумную степень уверенности в том, что компания достигнет поставленных целей наиболее эффективным образом. Цель внутреннего контроля - обеспечить своевременное выявление и анализ рисков, достоверность финансовой и управленческой информации, сохранность активов, соблюдение законодательства и внутренних политик и процедур, выполнение финансово-хозяйственных планов, эффективное использование ресурсов. Финансовый контроль, в том числе контроль над полнотой и достоверностью бухгалтерских записей и финансовой отчетности, является важным элементом внутреннего контроля.

Комплаенс-контроль - проверка соблюдения законодательства, требований регулирующих и надзорных органов, а также внутренних документов организации, определяющих внутреннюю политику, правила, процедуры, целью которой является оценка качества и соответствия созданных систем обеспечения соблюдения требований законодательства и иных правовых актов и внутренних документов, а также разработка предложений по совершенствованию данных систем.

Ответственность за состояние внутреннего контроля в компании несет совет директоров, который определяет общую политику в отношении внутреннего контроля. Совет директоров ежегодно проводит собственный анализ и оценку надежности и эффективности системы внутреннего контроля, которые могут основываться на данных отчетов о состоянии внутреннего контроля, регулярно получаемых от исполнительного руководства компании, отчетов внутреннего и внешнего аудитов, собственных наблюдениях совета директоров, информации из других источников. Эта оценка должна охватывать все аспекты внутреннего контроля, включая финансовый контроль, операционный контроль, комплаенс-контроль и систему управления рисками. 
На исполнительное руководство компании возлагается ответственность перед советом директоров за создание и функционирование эффективной системы внутреннего контроля. На основании утвержденной советом директоров политики в области внутреннего контроля, руководство компании разрабатывает и внедряет процедуры и системы контроля и обеспечивает эффективное функционирование системы внутреннего контроля. Руководство компании способствует созданию эффективной среды контроля в компании. Руководство компании своевременно информирует совет директоров обо всех значительных рисках, стоящих перед компанией, и существенных недостатках системы внутреннего контроля, а также о планах и результатах мероприятий по их устранению.

Разница определяется теми задачами, которые ставит перед этими подразделениями руководство. В общем случае, контрольно-ревизионные управления (КРУ) фокусируются на вопросах проверки сохранности товарно-материальных ценностей, эффективности использования ресурсов, выполнения распоряжений вышестоящих органов, а также на расследовании мошенничеств. Внутренний аудит призван выполнять более широкие задачи по оценке процессов внутреннего контроля, управления рисками, корпоративного управления. Однако, в зависимости от уровня развития корпоративной культуры (в том числе, среды контроля), служба внутреннего аудита может иметь приоритетом выполнение задач, обычно стоящих перед КРУ. Например, если в компании отсутствует эффективная система внутреннего контроля, то внутренний аудит в меньшей степени будет заниматься оценкой системы внутреннего контроля и в большей степени вопросами сохранности активов компании и выявлением случаев мошенничества. В данном случае, по мере построения системы внутреннего контроля потребность во внутреннем аудите как в функции независимой оценки эффективности контроля будет со временем возрастать.

Разница определяется теми задачами, которые ставит перед этими подразделениями руководство. В общем случае, задачей службы внутреннего контроля может являться построение системы внутреннего контроля компании (точнее – активное содействие менеджменту в построении системы), а задачей внутреннего аудита – проведение оценки надежности и эффективности этой системы.

Построение системы внутреннего контроля не является задачей внутреннего аудита. Это является прямой и непосредственной задачей менеджмента. Внутренний аудит может оказывать консультационную поддержку на этапе разработки систем/процедур. Но решение что и как строить принимает менеджмент. Хотелось бы заметить, что в большинстве случаев высшее исполнительное руководство склонно рассматривать внутренний аудит как ресурс, решающий управленческие задачи по построению системы контроля. Это не может не вызывать опасений по поводу объективности внутреннего аудита, поскольку в этом случае внутренним аудиторам предстоит фактически оценивать то, что они сами разрабатывали и внедряли.

Функция внутреннего аудита может быть реализована несколькими способами, и для того чтобы пользоваться преимуществами, которые дает компании эффективный внутренний аудит, не обязательно создавать отдельную службу/подразделение. Функцию внутреннего аудита с успехом может выполнять внешний консультант или специализированная компания. (За исключением случаев, когда наличие службы внутреннего аудита в компании обязательно по законодательству. Например, согласно соответствующим положениям ЦБ РФ, служба внутреннего аудита в российских финансово-кредитных организациях должна действовать на постоянной основе и состоять из служащих, входящих в штат организации.) При этом важно избежать конфликта интересов. Например, не рекомендуется, чтобы функцию внутреннего аудита выполнял внешний аудитор компании.
Можно выделить три основных подхода к построению функции внутреннего аудита:

• создание службы внутреннего аудита - компания обладает необходимыми возможностями (в том числе, временными) для реализации функции внутреннего аудита в рамках самой компании,
• аутсорсинг - выполнение функции внутреннего аудита полностью передается специализированной компании (внешнему консультанту),
• ко-сорсинг – служба внутреннего аудита создается в рамках компании; к выполнению аудиторских заданий также привлекаются эксперты специализированной компании (внешнего консультанта), обладающие соответствующими знаниями и опытом.

У каждого из вариантов есть свои преимущества. Вариант создания службы внутреннего аудита в компании обладает следующими преимуществами:

• сотрудники компании знакомы с внутренней организацией компании и отраслевыми особенностями бизнеса,
• когда аудиторские задания выполняют сотрудники компании, полученные навыки и опыт остаются внутри компании,
• руководство компании может использовать внутренний аудит как «площадку» для профессионального роста и карьерного развития будущих управленческих кадров.

Потенциальные преимущества использования аутсорсинга и ко-сорсинга включают:

• возможность использовать услуги экспертов в различных областях,
• доступ к высокопрофессиональным аудиторским кадрам,
• гибкость в вопросе использования/привлечения аудиторских ресурсов (например, при внедрении новой системы или необходимости провести внеплановый аудит не придется расширять штат СВА или отвлекать ресурсы СВА от выполнения других проектов),
• доступ к передовым технологиям и методикам проведения внутренних аудитов.

Возможности аутсорсинга и ко-сорсинга используют как небольшие компании, у которых нет достаточных финансовых ресурсов для создания собственной службы внутреннего аудита, так и крупные компании, имеющие в своем штате службу внутреннего аудита. Последним такие услуги, как правило, нужны для проведения аудита какой-либо специфической области (например, такой как информационные технологии или капитальное строительство) или в пиковые периоды нагрузки на штатных внутренних аудиторов.

Не рекомендуется пользоваться услугами внешнего аудитора для проведения также внутренних аудитов, поскольку подобное совмещение может привести к конфликту интересов внешнего аудитора. В законодательстве некоторых стран такое совмещение прямо запрещено.

Во-первых, внутренние аудиторы в ходе выполнения различных видов аудиторских заданий помогают организации в выявлении и оценке рисков и предоставляют рекомендации, позволяющие эффективно эти риски контролировать. 
Во-вторых, внутренние аудиторы содействуют менеджменту в разработке и внедрении системы управления рисками организации. (Однако здесь, как и в случае с системой внутреннего контроля, следует иметь в виду, что управлять рисками – это задача менеджмента.) В рамках этого направления внутренний аудит может:

• инициировать создание системы управления рисками,
• обучать руководство концепциям управления рисками организации,
• участвовать в направляемых семинарах по выявлению рисков.

В-третьих, во многих компаниях внутренние аудиторы играют ключевую роль в обеспечении непрерывного функционирования процесса управления рисками, проводя объективный мониторинг его применения и эффективности. 
Говоря об управлении рисками, следует иметь в виду, что есть целый ряд задач, за решение которых внутренний аудит не должен быть ответственным. К подобным задачам, например, относятся:

• построение системы управления рисками,
• определение риск-аппетита организации (что приемлемо для организации в целом с точки зрения рисков),
• разработка стратегий/принятие решений в области управления рисками.

В общем случае, необходимо разработать и утвердить «Положение о службе внутреннего аудита», должностные инструкции сотрудников службы внутреннего аудита, «Руководство службы внутреннего аудита». Положение определяет миссию, цели и задачи, ответственность и полномочия СВА. Руководство освещает вопросы организации работы внутреннего аудита и вопросы взаимодействия с другими функциями компании, а также содержит типовые формы и методики проведения аудитов и других аудиторских задач.

Объективность внутреннего аудита в значительной степени определяется подчиненностью функции. Распространенной лучшей практикой является ситуация, когда руководитель службы внутреннего аудита функционально подчиняется аудиторскому комитету совета директоров (совету директоров в случае отсутствия аудиторского комитета), а административно – генеральному директору компании. В случае невозможности подчинения совету директоров (аудиторскому комитету) рекомендуется функциональная подчиненность генеральному директору. Если в компании нет совета директоров или аналогичного органа, службу внутреннего аудита следует подчинить и функционально, и административно высшему должностному лицу организации. 
Заметим, однако, что вопрос подчиненности руководителя службы внутреннего аудита как способа обеспечения независимости внутреннего аудита является одним из наиболее дискуссионных в практике деятельности как российских, так и иностранных внутренних аудиторов. На вопрос «кому должен подчиняться внутренний аудит, чтобы быть максимально эффективным?» нет универсального ответа. 
Ответ определяется сочетанием многих факторов, среди которых выделим профессионализм совета директоров и компетентность менеджмента, характер взаимоотношений и степень взаимодействия совета директоров и исполнительных органов компании, уровень развития корпоративной культуры в компании. 
Немаловажным является и то, какие задачи решает в компании внутренний аудит. Если его основная задача состоит в осуществлении контрольно-ревизионной деятельности, то логичным представляется подчинение высшему исполнительному руководству компании, поскольку в данном случае служба внутреннего аудита есть инструмент контроля над деятельностью менеджмента со стороны высшего исполнительного руководства. 
В случае если внутренний аудит рассматривается как компонент системы корпоративного управления, позволяющий совету директоров (комитету по аудиту) эффективно выполнять свои обязанности, оправданным видится подчинение службы внутреннего аудита именно совету директоров (комитету по аудиту). В этой ситуации совет директоров (комитет по аудиту) способствует обеспечению максимальной степени независимости службы внутреннего аудита от менеджмента компании. Со своей стороны служба внутреннего аудита (наряду с внешним аудитором) позволяет совету директоров сохранять достаточную степень независимости от менеджмента в вопросе получения информации о деятельности компании. Очевидно, что эти вопросы взаимосвязаны, поскольку роль объективного источника информации для совета директоров (комитета по аудиту) внутренний аудит сможет выполнять лишь при условии максимальной независимости от исполнительного руководства (включая вопросы назначения на должность, вознаграждения, оценки работы руководителя и сотрудников службы внутреннего аудита и т. п.).

Для осуществления контроля за достоверностью и полнотой финансовой отчетности, надежностью и эффективностью системы внутреннего контроля, независимостью внутреннего и внешнего аудита совет директоров формирует из членов совета директоров комитет по аудиту (аудиторский комитет). Роль, цели и задачи, полномочия комитета по аудиту должны быть отражены в Положении о комитете по аудиту, которое утверждает совет директоров компании. 
Рекомендуется, чтобы руководитель службы внутреннего аудита компании функционально подчинялся комитету по аудиту. Комитет по аудиту: а) утверждает Положение о службе внутреннего аудита и обеспечивает независимость службы внутреннего аудита от исполнительного руководства компании; б) принимает решение о назначении (прекращении полномочий) руководителя СВА, а также о размере его/ее вознаграждения; в) утверждает ежегодный план деятельности, структуру и бюджет СВА; г) анализирует периодические отчеты внутреннего аудита; д) проводит не реже одного раза в полгода встречи с руководителем службы внутреннего аудита без участия представителей менеджмента компании. Если в составе совета директоров не сформирован комитет по аудиту, совет директоров выполняет функции комитета по аудиту.

Следует учитывать, что независимость внутреннего аудита важна не сама по себе, а как первоочередная предпосылка объективности, поскольку уровень организационной независимости отдела внутреннего аудита оказывает непосредственное влияние на объективность внутренних аудиторов. Международные профессиональные стандарты внутреннего аудита определяют, что независимость внутреннего аудитора есть «свобода от обстоятельств, которые угрожают объективности или воспринимаются как угрожающие объективности». Независимость достигается с помощью соответствующего организационного статуса отдела внутреннего аудита. Руководитель службы внутреннего аудита должен подчиняться лицу соответствующего уровня в компании, которое может обеспечить независимость действий аудиторов (включая доступ к любой информации) и принять адекватные меры по выполнению аудиторских рекомендаций.
Достижению независимости внутреннего аудита в наибольшей степени способствует выполнение следующих условий: руководитель службы внутреннего аудита функционально подчиняется совету директоров (комитету по аудиту); решения о назначении (прекращении полномочий), уровне заработной платы, выплатах премий и т.п. принимаются/утверждаются советом директоров (комитетом по аудиту); совет директоров (комитет по аудиту) не допускает вмешательства со стороны исполнительного руководства в деятельность внутреннего аудита. Но это верно исключительно для случая, когда в состав совета директоров (комитета по аудиту) входят директора, добросовестно выполняющие свои обязанности и осознающие ответственность в обеспечении надлежащих условий работы для службы внутреннего аудита.

Внутренний аудитор может быть объективным, не будучи формально независимым, поскольку объективность является персональным качеством внутреннего аудитора. Однако существует риск того, что, не будучи независимым, аудитор не сможет высказывать объективные суждения в силу возможности неблагоприятных персональных последствий.

Универсальных рекомендаций не существует. В общем случае рекомендуется действовать по ситуации, принимая во внимание положения Кодекса этики внутреннего аудитора. Также в случае возникновения подобной ситуации необходимо незамедлительно сообщить информацию соответствующему лицу в организации (вплоть до генерального директора и/или председателя совета директоров).

Важнейшими качествами внутреннего аудитора являются профессиональный скептицизм и самостоятельность мышления, заключающиеся в том, что внутренний аудитор не принимает на веру различные утверждения, а старается найти им подтверждение, самостоятельно доходит до сути вещей и находит ответы на вопросы, прислушивается к своему внутреннему голосу. Внутренний аудитор должен обладать также следующими качествами и навыками, большинство из которых развивается со временем:

• объективность,
• умение быть предельно точным и аккуратным в оценках и высказываниях,
• умение «слушать» и «слышать» аудируемых и воспринимать их точку зрения (даже, если эта точка зрения отличается от мнения аудитора),
• умение подходить к отношению с аудируемыми исключительно с рабочих позиций (не проецируя личные аспекты взаимоотношений),
• хорошие аналитические способности (от аудитора, как правило, не требуется принятия мгновенных решений, но аудит предполагает большой объем рутинной аналитической работы),
• умение четко выражать мысли и отстаивать свою точку зрения.

В первую очередь, внутренний аудитор должен знать принципы управления, а также владеть базовыми знаниями в таких дисциплинах, как бухгалтерский учет, финансовый анализ, право, информационные технологии. Внутренний аудитор проводит аудиты в различных функциональных областях – снабжение, производство, логистика, маркетинг, сбыт и др. Быть специалистом во всех этих областях невозможно, да и не является обязательным для внутреннего аудитора. Желательно, чтобы внутренний аудитор был специалистом в двух-трех отдельных областях, но при этом имел необходимые знания для выполнения на должном профессиональном уровне аудита в любой из областей.

Знание бухгалтерского учета весьма желательно, но не является обязательным требованием. Однако внутренний аудитор должен обладать, по крайней мере, базовыми знаниями в области бухгалтерского учета. В меньшей степени это касается внутренних аудиторов, специализирующихся в отдельных областях внутреннего аудита, таких как, например, аудит информационных систем или социальный аудит.

Задача определения эффективности внутреннего аудита нетривиальна, поскольку: а) результат не всегда измерим количественно; б) эффективность зависит не только от самих аудиторов, но, в большой степени, от последующих действий заказчиков (клиентов) аудита; в) играет роль субъективизм оценок.

Для анализа эффективности следует использовать совокупность качественных и количественных показателей, которые позволяют определять качество проведения внутренних аудитов, продуктивность и результативность деятельности внутренних аудиторов. Каждая компания сама определяет для себя критерии эффективности деятельности СВА. Состав и целевые значения показателей устанавливает начальник СВА по согласованию с руководством. При этом основные заказчики (совет директоров и высшее исполнительное руководство) могли бы оценивать деятельность СВА по трем-пяти показателям. Руководитель СВА мог бы оценивать деятельность возглавляемой службы по большему числу показателей. К показателям эффективности деятельности внутреннего аудита могут относиться, например, следующие:

• выполнение утвержденного плана аудитов,
• количество аудитов, проведенных в соответствии с бюджетом,
• количество критически важных аудиторских рекомендаций,
• процент выполненных аудиторских рекомендаций,
• прямой экономический эффект от выполнения рекомендаций аудита,
• количество/частота запросов в службу внутреннего аудита со стороны заказчиков (клиентов),
• удовлетворенность заказчиков (клиентов) аудита.

Наряду с процедурой периодической оценки эффективности деятельности службы внутреннего аудита, должна существовать программа повышения качества ее работы, частью которой будет являться процедура контроля и оценки качества работы каждого сотрудника СВА.

С законодательными и нормативными актами, регулирующими вопросы внутреннего аудита, можно ознакомиться здесь

Формирование службы внутреннего аудита следует начинать с подбора кандидатуры руководителя службы. Эта фигура должна быть соответствующего масштаба, ведь руководителю службы внутреннего аудита предстоит заслужить доверие и уважение как совета директоров, так и исполнительного руководства компании. Вторым шагом должно стать определение ожиданий заказчиков и выработка целей и задач СВА. Третьим шагом является разработка модели внутреннего аудита, проведение оценки рисков и составление стратегического плана работы. Четвертый шаг – разработка структуры СВА и бюджета СВА. И, наконец, пятый шаг – формирование СВА (подбор сотрудников и обучение).