Разъяснение Х/2013 «Организация системы внутреннего контроля»

 

статус документа: материалы к заседанию КпТ

организация-разработчик: ПАО «Мегафон»

дата заседания: 14 марта 2013

 

 

Разъяснение Х/2013

«Организация системы внутреннего контроля»

1.  Общие положения

1.1 Настоящая Политика определяет порядок организации и функционирования системы внутреннего контроля (далее – СВК)  в Обществе, в том числе описывает цель и задачи СВК, а также роли и ответственность ее субъектов.

1.2  Настоящая Политика разработана c учетом требований и рекомендаций:

• действующего законодательством Российской Федерации (в т.ч. ст.19 закона N 402-ФЗ «О бухгалтерском учете»);
• внутренних нормативных документов Общества;
• Кодекса корпоративного поведения ФСФР РФ;
• руководства Комитетом спонсорских организаций Комиссии Трэдуэя^[1] «Внутренний контроль. Интегрированная модель» (1992).

2.  Определение и цели внутреннего контроля

2.1  Внутренний контроль – это непрерывный процесс, осуществляемый всеми сотрудниками и руководством Общества на всех уровнях управления,  направленный на обеспечение условий для достижения целей Общества в следующих областях:

• эффективность и результативность финансово-хозяйственной деятельности Общества;
• сохранность активов;
• соблюдение законодательных требований, нормативных актов, внутренних документов Общества и прочих применимых требований регуляторов;
• достоверность финансовой отчетности.

2.2  Система внутреннего контроля (СВК) –система организационных мер, политик, инструкций, а также контрольных процедур, норм корпоративной культуры и действий, предпринимаемых Советом директоров, руководством и работниками Общества для обеспечения надлежащего ведения хозяйственной деятельности: для обеспечения финансовой устойчивости Общества, достижения оптимального баланса между ростом его стоимости, прибыльностью и рисками, для упорядоченного и эффективного ведения хозяйственной деятельности, обеспечения сохранности активов, выявления, исправления и предотвращения нарушений, своевременной подготовки достоверной финансовой отчетности и, тем самым, повышения инвестиционной привлекательности.

2.3 В основе организации системы внутреннего контроля в Обществе лежит риск-ориентированный подход. Он означает тесную интеграцию системы внутреннего контроля с процессами управления рисками, в результате которой обеспечивается  своевременное и эффективное применение методов по управлению рисками с использованием эффективных механизмов системы внутреннего контроля. При этом руководство Общества и его сотрудники концентрируют усилия по построению и совершенствованию системы внутреннего контроля, в первую очередь, в тех областях деятельности, которые характеризуются наиболее высоким уровнем рисков.

2.4 Система внутреннего контроля над процессом подготовки финансовой отчетности (СВКФО) - система организационных мер, политик, инструкций, а также контрольных процедур, норм корпоративной культуры и действий, предпринимаемых Советом директоров, руководством и работниками Общества для достижения целей в области подготовки достоверной финансовой отчетности.

2.5  Целями функционирования системы внутреннего контроля в Обществе являются:

• Содействие в защите интересов акционеров, инвесторов и клиентов, предотвращение и устранение конфликтов интересов, поддержка эффективного управления Обществом и достижения стратегических целей наиболее эффективным способом;
• Создание условий для защиты Общества от внутренних и внешних рисков, возникающих в процессе его деятельности, а также рисков подготовки финансовой отчетности Общества;
• Содействие в обеспечении соблюдения Обществом требований законодательства и нормативных документов Общества;
• Создание условий для своевременной подготовки и предоставления достоверной финансовой, бухгалтерской, статистической, управленческой и иной отчетности для внешних и внутренних пользователей;
• Содействие в обеспечении сохранности активов и эффективного использования ресурсов и потенциала Общества.

3.    Принципы функционирования и компоненты СВК

3.1  Организация и функционирование СВК в Обществе строится на следующих ключевых принципах:

• Интегрированность – СВК является неотъемлемой частью корпоративного управления Общества и встраивается в его процессы и ежедневные операции. СВК включает процедуры по информированию руководства соответствующего уровня управления о любых существенных нарушениях финансово-хозяйственной деятельности, недостатках и слабых местах контроля, которые были обнаружены, вместе с анализом их причин, деталями корректирующих мероприятий, которые были предприняты или которые следует предпринять;
• Непрерывность – СВК действует на постоянной основе, непрерывно и на всех уровнях управления, что позволяет Обществу своевременно выявлять отклонения в системе внутреннего контроля и предупреждать их возникновение в будущем;
• Методологическое единство – процессы СВК реализуются на основе единых требований и подходов для всех подразделений Общества;
• Целостность/комплексность – СВК действует на всех уровнях и во всех подразделениях Общества, охватывает все субъекты внутреннего контроля и направления деятельности и, соответственно, все риски:
  • Обязанность по построению и поддержанию надежной и эффективной СВК лежит на руководителях  всех уровней управления Общества;
  • Контрольные процедуры существуют во всех бизнес-процессах и на всех уровнях управления;
  • Каждый работник Общества знает, понимает и выполняет свою роль в системе внутреннего контроля

• Ответственность – за функционирование СВК ответственны все работники и руководство на всех уровнях Общества в рамках своих полномочий;
• Ориентированность на риски – СВК в Обществе находится в тесном взаимодействии с системой управления рисками, что способствует своевременному и эффективному внедрению мероприятий по воздействию на риски. При анализе контрольных процедур следует оценивать величину и вероятность реализации рисков, степень их влияния на результаты финансово-хозяйственной деятельности и достижение целей Общества, что позволяет сделать вывод о достаточности существующих контрольных процедур, либо о необходимости разработки и внедрения новых.
• Оптимальность – объем и сложность контрольных процедур, используемых в Обществе, являются необходимыми и достаточными для эффективного управления рисками и достижения целей Общества.  Ресурсы и затраты на внедрение и последующее функционирование контрольных процедур не должны превышать последствия реализации рисков (соотношение «затраты – экономический эффект»), а совокупный уровень остаточного риска должен соответствовать риск-аппетиту Общества.
• Разделение обязанностей – в Обществе разграничиваются права  и обязанности субъектов внутреннего контроля в зависимости от их отношения к процессам разработки, утверждения, применения и мониторинга СВК. Не допускается, чтобы на одного сотрудника/подразделение были одновременно возложены полномочия по:
  • утверждению операций с активами;
  • осуществлению операций с активами;
  • учету/регистрации операций;
  • проверке корректности, полноты и факта выполнения операции и обеспечению сохранности активов.

• Формализация – СВК должна быть формализована:
  • описаны риски и контроли по всем существенным бизнес процессам, влияющим на достижение целей Общества;
  • задокументированы и сохраняются результаты выполнения контрольных процедур (первичные документы, отчеты, журналы операций и др.);

3.2 Актуальность и развитие – вся документация по СВК (описание рисков, контролей и др. информация) должна своевременно актуализироваться, а также постоянно совершенствоваться в целях повышения эффективности управления рисками. Высшее руководство обеспечивает условия для постоянного развития системы внутреннего контроля с учетом необходимости решать новые задачи, возникающие в результате изменения внутренних и внешних условий функционирования. Основой организации и функционирования системы внутреннего контроля в Обществе  являются следующие компоненты:

• Контрольная среда;
• Оценка рисков;
• Средства контроля;
• Информация и коммуникации;
• Мониторинг СВК.

Подробное описание компонентов СВК приведено в Приложении 1 настоящей Политики.

4.  Субъекты внутреннего контроля и их функции

4.1  Система внутреннего контроля Общества определяется совокупностью объектов и субъектов. Объектами СВК является финансово-хозяйственная деятельность подразделений Общества. Субъекты внутреннего контроля определяются настоящей Политикой и другими нормативными документами Общества в области внутреннего контроля.

4.2  Состав субъектов внутреннего контроля определяется организационной структурой Общества и включает:

• Совет директоров;
• Комитет по аудиту;
• Генерального директора;
• Подразделение внутреннего контроля;
• Руководителей структурных подразделений и работников Общества.

4.3  Совет директоров – определяет общие направления организации системы внутреннего контроля в Обществе, анализирует общую эффективность и соответствие СВК характеру, масштабам и условиям деятельности Общества в случае их изменения – рассматривает результаты оценки эффективности СВК, выявленные существенные недостатки и рекомендации по их устранению. Утверждает политику в области внутреннего контроля и изменения к ней.

Функции и задачи Совета директоров в отношении системы внутреннего контроля закреплены в положении о Совете директоров Общества.

4.4   Комитет по аудиту Совета директоров – оценивает соблюдение принципов внутреннего контроля и управления рисками и общую эффективность СВК в Обществе (в т.ч. на основании отчетов подразделений внутреннего аудита и внутреннего контроля), дает рекомендации по совершенствованию СВК.

Функции и задачи Комитета по аудиту Совета директоров закреплены в соответствующем положении о Комитете по аудиту Общества.

4.5  Генеральный директор – является ответственным за организацию, поддержание функционирования эффективной системы внутреннего контроля в Обществе и осуществление мониторинга функционирования СВК, в том числе:

• Определяет направления развития и совершенствования СВК в Обществе;
• Утверждает Положение о системе внутреннего контроля, Регламент проведения диагностики и совершенствования СВК и другие нормативные документы в области СВК;
• Рассматривает результаты работы структурного подразделения внутреннего контроля, в том числе результаты диагностики СВК;
• Устанавливает ответственность за выполнение решений высшего руководства в области внутреннего контроля;
• Рассматривает и утверждает план мероприятий по устранению недостатков СВК.

4.6  Подразделение внутреннего аудита – осуществляет независимую оценку эффективности отдельных компонентов СВК, СВК объектов аудита и СВК Общества в целом и разрабатывает рекомендации по повышению ее надежности и эффективности, в том числе:

• Осуществляет проверку соответствия деятельности подразделений и сотрудников нормативным документам, определяющим порядок организации и функционирования СВК;
• Осуществляет оценку соответствия содержания нормативных документов, регламентирующих порядок организации и функционирования СВК, характеру и масштабам деятельности Общества;
• Выявляет факты нарушений, анализирует причины их совершения и разрабатывает рекомендации по улучшению существующих и/или внедрению новых контрольных процедур для недопущения повторяемости нарушений;
• Осуществляет контроль за своевременным и полным устранением выявленных нарушений и недостатков;
• Осуществляет контроль качества процесса диагностики системы внутреннего контроля в Обществе, проводимой руководством и сотрудниками;
• Консультирует по вопросам совершенствования внутреннего контроля.

4.7    Задачами Подразделения внутреннего контроля являются:

Координация деятельности по формированию и поддержанию эффективности системы внутреннего контроля;

• Методологическое обеспечение СВК;
• Организация процесса диагностики СВК в Обществе:
• Подготовка планов развития и совершенствования СВК в Обществе;
• Ведение и поддержание в актуальном состоянии инфраструктуры СВК (реестры рисков, контрольных процедур и бизнес-процессов);
• Контроль выполнения плана мероприятий по устранению недостатков и совершенствованию СВК, в т.ч. контроль качества устранения недостатков;
• Информирование всех участников СВК об изменении в подходах, документации и прочих требований в области СВК;
• Организация подготовки программ обучения персонала вопросам организации и совершенствования системы внутреннего контроля.

Функции, задачи и полномочия структурного подразделения по координации СВК Общества определены в соответствующем Положении.

4.8   Руководители и работники структурных подразделений несут ответственность за формирование, поддержание и постоянный мониторинг системы внутреннего контроля по соответствующим функциональным направлениям деятельности подразделений по всей вертикали управления, а также осуществляют выполнение контрольных процедур в соответствии с возложенными на них должностными обязанностями, в том числе:

• своевременное выявление и анализ рисков финансово-хозяйственной деятельности Общества;
• разработку, формализацию, а также последующее исполнение и обеспечение эффективности и достаточности контрольных процедур в рамках своих бизнес процессов;
• актуализацию описания СВК и своевременное информирование об изменениях подразделения по внутреннему контролю;
• мониторинг  функционирования СВК, а также самостоятельную оценку эффективности контрольных процедур, которые они выполняют;
• информирование руководства о любых совершенных или возможных ошибках/недостатках, которые привели или могут привести к потенциальным негативным событиям;
• прохождение обучения в области внутреннего контроля и управления рисками в соответствии с утвержденной программой обучения.

4.9   Общество обеспечивает создание эффективных каналов обмена информацией, включая, как вертикальные, так и горизонтальные связи, в целях формирования у всех субъектов внутреннего контроля понимания принятых в нормативных документов по организации и функционированию системы внутреннего контроля и обеспечения их исполнения.

4.10 Информация о работе системы внутреннего контроля, о найденных недостатках и других существенных обстоятельствах предоставляется Совету директоров, Комитету по аудиту Совета директоров, Генеральному директору, Правлению или другим органам в соответствии с существующими требованиями законодательства и нормативными документами Общества.

5.  Роли

5.1   Для обеспечения эффективного функционирования СВК между руководителями и иными сотрудниками Общества распределяются следующие роли:

• Владелец процесса/ риска
• Координатор СВК

• Исполнитель контроля

5.2   Владелец процесса / риска – руководитель подразделения/отдела, который несет ответственность:

• за эффективное функционирование всех компонентов СВК (см. компоненты СВК в Приложении 1) в части покрытия рисков хозяйственной деятельности и подготовки финансовой отчетности в рамках своих бизнес процессов/рисков;
• за назначение исполнителей контролей и закрепление в должностных инструкциях соответствующих сотрудников ответственности за выполнение данных процедур;

• за обеспечение исполнения и документирования контролей исполнителями контролей в соответствии с документацией по СВК;
• за выполнение процедур по самооценке эффективности СВК;
• за выявление изменений в процессах, рисках либо контролях, требующего внесение изменений в документацию по СВК и информирование об этом сотрудников Подразделения внутреннего контроля / Координатора СВК в соответствующем подразделении;
• за своевременное согласование документации по СВК (детального описания рисков, унифицированных и адаптированных контролей и другой информации);
• за устранение недостатков в СВК, выявленных по результату тестирования либо мониторинга.

5.3    Исполнитель контроля – сотрудник любого уровня, который несет ответственность:

• за своевременное и качественное выполнение контрольных процедур в соответствии с документацией СВК;
• за уведомление, при необходимости, заместителя исполнителя контроля и сотрудника Подразделения внутреннего контроля о необходимости выполнения соответствующей контрольной процедуры вместо исполнителя; 
• за своевременное согласование документации по СВК (детального описания рисков, контролей и другой информации);
• за выполнение процедур по самооценке эффективности СВК;
• за выявление изменений в процессах, рисках либо контролях, требующего внесение изменений в документацию по СВК и информирование об этом владельца риска/процесса, Координатора СВК в соответствующем подразделении и сотрудников Подразделения по внутреннему контролю;
• за устранение недостатков СВК, выявленных по результату тестирования и мониторинга.

5.4   Координатор СВК сотрудник в каждом подразделении, который несет ответственность:

• за организацию и координацию процесса функционирования СВК в рамках соответствующего подразделения;
• за проведение мониторинга качества выполнения и документирования контрольных процедур в части контролей, выполняемых в соответствующем подразделении;
• за актуальность документации по СВК в части соответствующего структурного подразделения;
• за информирование Подразделения по внутреннему контролю о необходимости изменения документации по СВК (изменение процессов, рисков либо контролей, вкл. предложение новых формулировок в части рисков, контролей и другой информации).

6.   Требования и обязанности в области обеспечения эффективности СВК

6.1  Внутренний контроль является неотъемлемой частью функционирования любого подразделения Общества.

6.2  Все работники несут ответственность за функционирование и обеспечение эффективности СВК Общества.

6.3  Руководство Общества должно доводить до работников важность наличия и обеспечения эффективности функционирования СВК, а также роль каждого работника в данной системе, в том числе следующие основные требования:

• Ни один работник прямо или косвенно не может допускать либо являться причиной намеренного фальсифицирования данных бухгалтерской, управленческой либо иной отчетности.
• Никакие изменения не могут быть внесены в учетные данные, если заведомо известно, что эти изменения могут исказить суть соответствующих операций.
• Никакие денежные суммы/счета/операции не могут укрываться для цели их неполного отражения в отчетности.
• Все работники Общества обязаны сохранять активы Общества и обеспечивать их эффективное использование.

6.4  Если работник Общества обладает информацией о недостатке либо неэффективности процедур внутреннего контроля, он должен незамедлительно сообщить об этом своему непосредственному руководителю, а также руководителям подразделений внутреннего контроля и внутреннего аудита.

6.5  Если работник умышленно не соблюдает настоящую Политику и не выполняет контрольные процедуры, за которые он является ответственным, к данному работнику будет применено дисциплинарное взыскание вплоть до увольнения в соответствии с требованиями действующего законодательства.

7.   Мониторинг эффективности СВК

7.1 Целью проведения мониторинга является оценка эффективности системы внутреннего контроля Общества, в том числе ее способности обеспечить выполнение поставленных перед ней целей и задач, а также выяснение существенности недостатков системы.

7.2  Мониторинг системы внутреннего контроля над финансовой отчетностью предусматривает:

• осуществление руководством подразделений постоянного контроля за выполнением  контрольных процедур в подотчетных им подразделениях;
• проведение самооценки системы внутреннего контроля в Обществе;
• осуществление периодических проверок выполнения контрольных процедур и проверок соответствия операций требованиям законодательства и положениям нормативных документов организации силами подразделения по внутреннему аудиту;
• осуществление оценки эффективности системы внутреннего контроля над процессом подготовки финансовой отчетности силами внешнего аудитора
• своевременное доведение информации о выявленных недостатках системы внутреннего контроля над финансовой отчетностью до заинтересованных лиц в рамках вертикали управления.

7.3   Самостоятельная оценка эффективности СВК (далее – самооценка СВК) проводится непосредственно силами субъектов СВК путем:

• Рассылка опросных листов – используется для сбора информации об эффективности функционирования СВК и изменениях в бизнес-процессах от работников и руководителей подразделений Общества.
• Мониторинг состояния СВК – это процесс проверки полноты, своевременности выполнения и правильности документирования КП.
• Оценка эффективности контрольных процедур – анализ эффективности описания и исполнения контроля, а также анализ достаточности контрольных процедур (оценка, насколько контроль, при условии его эффективного выполнения способен эффективно снижать соответствующие ему риски).

7.4  Регулярная оценка СВК способствует повышению ее эффективности посредством:

• своевременного выявления изменений в бизнес-процессах, дизайне или этапах выполнения контрольных процедур;
• повышения мотивации Исполнителей контролей и их Руководителей за счет непосредственного участия в совершенствовании СВК и постоянного контроля над качеством выполнения КП;
• предоставления информационной базы руководству Компании для подтверждения эффективности функционирования СВК.
  

7.5         Результаты оценки СВК должны быть задокументированы и представлены руководству Общества и Комитету по аудиту Совета директоров:

• Подразделения внутреннего аудита подготавливает отчет по результатам оценки СВК;
• Внешний аудитор формирует письмо руководству о существенных недостатках, выявленных по результатам внешней независимой оценки СВК;
• Подразделение по внутреннему контролю подготавливает отчет по результатам самооценки СВК, проведенной силами структурных подразделений Общества.

8.  Внесение дополнений и изменений в Политику

8.1         При изменении и дополнении законодательных актов, требований регуляторов и нормативных документов Общества, регламентирующих функционирование системы внутреннего контроля, изменения и дополнения в настоящую Политику могут быть внесены только надлежащим образом оформленными решениями Совета директоров Общества. Совет директоров Общества может также принять решение об утверждении новой редакции Политики.

---

Приложение 1. Компоненты СВК согласно методологии COSО [2]

Внутренний контроль, согласно модели COSO «Internal Control-Integrated Framework», состоит из пяти взаимосвязанных компонентов, которые исходят из способов ведения бизнеса и связаны с процессом его управления. Пять компонентов включают в себя:

Контрольную среду: Контрольная среда создает атмосферу в организации, которая влияет на осознание персоналом важности выполнения контролей. Она является основой для всех остальных компонентов внутреннего контроля, обеспечивая упорядоченность и дисциплину. К факторам контрольной среды относятся целостность, этические ценности, стиль работы руководства, система распределения полномочий и обязанностей, а также процессы управления и развития персонала в организации. Также эффективность контрольной среды зависит от внимания к данному вопросу со стороны Совета директоров.

Оценку рисков: каждая организация сталкивается с различными внешними и внутренними рисками, которые необходимо оценивать. Необходимым условием для оценки рисков является определение целей, поэтому оценка рисков подразумевает выявление и анализ соответствующих рисков связанных с достижением установленных целей. Оценка рисков является необходимым условием управления рисками.

Средства контроля: Средства контроля представляют собой политики и процедуры, которые обеспечивают исполнение решений руководства. Они помогают обеспечить исполнение необходимых действий в отношении рисков, которые могут помешать организации в достижении её целей. Средства контроля осуществляются в рамках всей организации, на всех её уровнях и во всех функциях. Они включают в себя целый ряд мероприятий, таких как согласования, разрешения, проверки, сверки, отчеты по текущей деятельности, сохранению активов и разделению обязанностей.

Информацию и коммуникацию: Вся необходимая информация должна быть выявлена, сформулирована и своевременно доведена до соответствующих сотрудников так, чтобы обеспечить им возможность полноценно исполнять свои должностные обязанности. Информационные системы также играют важную роль в системе внутреннего контроля, поскольку они содержат финансовую информацию, а также информацию по операционной деятельности и соблюдению законодательства, что позволяет управлять и контролировать бизнесом. Вопрос состоит не только в части распространения внутренней информации компании, но также важно информировать сотрудников о внешних событиях и мероприятиях, которые необходимы для принятия различных решений. Эффективная коммуникация в более широком смысле должна обеспечить информационные потоки вниз и вверх, а также между подразделениями по всей организации. Важно, чтобы персонал компании получал от высшего руководства четко сформулированную позицию о важности исполнения обязанностей в части внутреннего контроля. Также важно, чтобы каждый сотрудник четко понимал свою роль в системе внутреннего контроля, и как результат его труда связан с деятельностью других сотрудников. Персонал должен осознавать необходимость сообщать всю важную информацию руководству компании. Эффективная коммуникация, по вопросам связанным с интересами компании, должна быть также обеспечена с внешними сторонами, например, клиентами, поставщиками, регулирующими органами и акционерами.

Мониторинг: Система внутреннего контроля, требует мониторинга — процесса периодической оценки качества ее работы. Это достигается путем постоянного мониторинга качества исполнения тех или иных операций, путем отдельных проверок по оценке эффективности того или иного процесса либо путем комбинации этих двух вариантов. Постоянный мониторинг осуществляется на ежедневной основе, вкл. деятельность по руководству и управлению соответствующими процессами, а также другие мероприятия в рамках исполнения персоналом их обязанностей. Объем и частота проведения отдельных проверок зависит от уровня оценки соответствующих рисков, а также от результатов проведения постоянного мониторинга по данным операциям. Недостатки внутреннего контроля, выявленные в ходе мониторинга, следует доводить до сведения руководства, а наиболее существенные замечания должны доводиться до высшего руководства и Совета директоров.

Тесная взаимосвязь данных компонентов обеспечивает формирование интегрированной системы, которая способна оперативно реагировать на возникающие вызовы. Система внутреннего контроля является неотъемлемой частью операционной деятельности. Наиболее эффективной СВК является, если контроли встроены в инфраструктуру организации и являются частью ее сущности. Встроенные контроли усиливают качество и результативность мероприятий, а также помогают избегать дополнительных затрат и позволяют быстрее реагировать на те или иные события.    

---

[1] “COSO - The Committee of Sponsoring Organizations of the Treadway Commission, USA”

[2] Комитет организаций-спонсоров Комиссии Тредвея (англ. The Committee of Sponsoring Organizations of the Treadway Commission, COSO) - является добровольной частной, организацией, созданной в Соединенных Штатах и предназначенной для выработки соответствующих рекомендаций для корпоративного руководства по важнейшим аспектам организационного управления, деловой этики, финансовой отчетности, внутреннего контроля, управления рисками компаний и противодействия мошенничеству.