Как организовать систему управления рисками, внутреннего контроля и аудита в публичном обществе

Совет директоров должен утвердить внутренние документы общества, в которых определяет принципы и подходы к организации системы управления рисками и внутреннего контроля, а также внутреннего аудита.

Исполнительные органы общества обеспечивают ее создание и эффективное функционирование.

Внутренний аудит проводит ответственный сотрудник, структурное подразделение общества либо сторонняя организация.

1. Как организовать систему управления рисками и внутреннего контроля

1.1. Для чего организуется система управления рисками и внутреннего контроля

Система управления рисками и внутреннего контроля организуется, чтобы обеспечивать объективное и реальное представление о текущем состоянии дел в обществе, его перспективах, целостность и прозрачность отчетности, разумность принимаемых рисков (п. 5.1.3 Кодекса корпоративного управления, п. 5 Письма Банка России от 15.04.2019 N ИН-06-28/35).

Задачами такой системы в публичном обществе прежде всего являются:

• минимизация рисков в деятельности;
• обеспечение сохранности активов;
• обеспечение соблюдения требований законодательства в процессе деятельности;
• обеспечение своевременности и достоверности всех видов учета и отчетности;
• предупреждение коррупции и противодействие ей.

Отметим, что Минтруд России определил Меры по предупреждению коррупции в организациях. К ним, в частности, относятся:

• разработка и принятие антикоррупционной политики организации;
• назначение подразделения и (или) работников, ответственных за предупреждение коррупции;
• оценка коррупционных рисков;
• выявление и урегулирование конфликта интересов. Для реализации этой меры целесообразно разработать и утвердить положение о регулировании конфликта интересов;
• установление для работников стандартов и кодексов поведения (антикоррупционных стандартов). Например, можно определить, какие подарки принимать допускается, как должны регулироваться иная оплачиваемая деятельность и владение ценными бумагами;
• проверка контрагентов;
• включение антикоррупционной оговорки в договоры с деловыми партнерами;
• антикоррупционный аудит отдельных операций и сделок;
• обучение работников по вопросам противодействия коррупции;
• установление каналов получения информации о возможных коррупционных правонарушениях (например, мониторинг информации в СМИ и соцсетях);
• внутренний контроль и ведение бухгалтерского учета;
• взаимодействие с правоохранительными и иными госорганами в целях противодействия коррупции;
• участие в коллективных антикоррупционных инициативах;
• мониторинг эффективности реализации мер по предупреждению коррупции.

1.2. Кто участвует в системе управления рисками и внутреннего контроля

Управление рисками и внутренний контроль осуществляются на всех уровнях организации. В них участвуют все органы управления и работники общества (п. 2.4 Рекомендаций, приведенных в Приложении к Информационному письму Банка России от 01.10.2020 N ИН-06-28/143).

Банк России рекомендует определить в уставе общества компетенцию и полномочия совета директоров и исполнительных органов в сфере управления рисками и внутреннего контроля. Во внутренних документах рекомендовано, в частности, разграничить зоны ответственности и полномочия органов управления, функции и зоны ответственности структурных подразделений в области управления рисками и внутреннего контроля, установить требования к компетенции руководителей и работников в указанной сфере в рамках функционального направления деятельности (п. 2.4 Рекомендаций).

Совет директоров устанавливает принципы организации системы управления рисками и внутреннего контроля (пп. 9.2 п. 1 ст. 65, п. 1 ст. 87.1 Закона об АО, п. 5.1.1 Кодекса корпоративного управления).

Банк России рекомендует совету директоров избегать формального подхода к ее организации (п. 5 Письма Банка России от 15.04.2019 N ИН-06-28/35).

Совет директоров утверждает внутренние документы общества, определяющие политику по организации управления рисками и внутреннего контроля (п. 1 ст. 87.1 Закона об АО). Данные документы не относятся к внутренним документам, регулирующим деятельность органов общества (п. 5 Письма Банка России от 15.04.2019 N ИН-06-28/35).

Общие принципы и подходы к организации управления рисками и внутреннего контроля, цели и задачи системы управления рисками и внутреннего контроля рекомендуется определить в соответствующем положении (политике) общества (п. 2.2 Рекомендаций).

К компетенции совета директоров в области управления рисками и внутреннего контроля Банк России рекомендует отнести, в частности, следующие вопросы (п. 2.4 Рекомендаций):

• определение ключевых показателей эффективности исполнительных органов, руководителей структурных подразделений, ключевых работников общества с учетом оценки эффективности управления рисками и внутреннего контроля;
• рассмотрение отчетов исполнительных органов общества о функционировании системы управления рисками и внутреннего контроля;
• организация проведения не реже одного раза в год оценки надежности и эффективности данной системы;
• рассмотрение материалов и результатов оценки внутренним аудитом надежности и эффективности системы — не реже одного раза в год;
• рассмотрение заключения внешней оценки эффективности управления рисками и внутреннего контроля;
• вопросы внутреннего аудита.

Для решения перечисленных задач из числа членов совета директоров можно сформировать комитет по рискам. Если такого комитета нет, его функции может выполнять комитет по аудиту (п. 2.4 Рекомендаций).

Исполнительные органы общества обеспечивают создание и эффективное функционирование системы (п. 5.1.2 Кодекса корпоративного управления).

К их компетенции Банк России рекомендует отнести, в частности, следующие вопросы (п. 2.4 Рекомендаций):

• организация, поддержание и развитие системы, выполнение связанных с нею решений совета директоров;
• утверждение методологии по управлению рисками и внутреннему контролю;
• распределение соответствующих полномочий, обязанностей и ответственности между находящимися в их ведении и (или) курируемыми руководителями структурных подразделений общества в области управления рисками и внутреннего контроля;
• рассмотрение отчетов руководителей, ответственных за организацию и осуществление управления рисками и внутреннего контроля, о функционировании системы.

Ревизионная комиссия (если ее наличие предусмотрено уставом) контролирует финансово-хозяйственную деятельность общества, готовит предложения по совершенствованию системы управления рисками и контроля (п. 1 ст. 85 Закона об АО).

Иными ключевыми участниками системы управления рисками и внутреннего контроля являются (п. 2.4 Рекомендаций):

• работники и руководители бизнес-подразделений — владельцев рисков, участвующие в бизнес-процессах и управляющие связанными с ними рисками;
• работники и руководители структурных подразделений, поддерживающие этих лиц. Например, к ним относятся подразделения по управлению рисками и внутреннему контролю, комплаенс-контролю, охране труда и промышленной безопасности;
• работники, осуществляющие внутренний аудит.

2. Как организовать внутренний аудит

Организовать внутренний аудит должен совет директоров (наблюдательный совет) публичного общества. Для этого требуется сформировать комитет по аудиту, утвердить внутренние документы, касающиеся его организации и осуществления, а также назначить ответственное структурное подразделение или должностное лицо либо уполномочить иное юрлицо (абз. 2 п. 3. ст. 64, п. 2 ст. 87.1 Закона об АО, ч. 3 ст. 2 Федерального закона от 19.07.2018 N 209-ФЗ).

2.1. Как сформировать комитет совета директоров по аудиту

Банк России рекомендовал публичным обществам применять Положение о комитете совета директоров публичного акционерного общества по аудиту (примерное) (Письмо Банка России от 15.09.2016 N ИН-015-52/66).

Совет директоров из своего состава по представлению председателя совета директоров определяет лиц и их количество, которые войдут в комитет до следующего годового общего собрания акционеров. Банк России рекомендует включить в комитет не менее трех членов (п. 3.1 Положения, п. 4.3 Рекомендаций).

Требования к составу комитета (п. 3.2 Положения):

• комитет должен быть сформирован из независимых членов совета директоров;
• по крайней мере один член комитета должен обладать опытом и знаниями в области подготовки, анализа, оценки и аудита бухгалтерской (финансовой) отчетности и (или) консолидированной финансовой отчетности.

Совет директоров по представлению своего председателя определяет председателя комитета (п. 3.3 Положения).

Председателем комитета не может быть председатель совета директоров (п. 3.4 Положения).

Председатель комитета должен обладать знаниями и опытом, необходимыми для осуществления контроля (п. 3.5 Положения):

• за проведением аудита;
• управлением рисками;
• реализацией иных функций, входящих в компетенцию комитета.

Членам комитета (при вхождении в его состав) необходимо подробно разъяснить их функции и полномочия. Им также должна быть предоставлена возможность при необходимости в любой момент пройти обучение, необходимое для выполнения своих функций (п. 3.7 Положения).

Перечень рекомендуемых мероприятий для реализации задач комитета по аудиту Банк России привел в Приложении 2 к Рекомендациям.

2.2. Для чего организуется внутренний аудит

Внутренний аудит организуется в публичном обществе для независимой оценки надежности и эффективности системы управления рисками и внутреннего контроля, а также оценки практики корпоративного управления (п. 5.2 Кодекса корпоративного управления, п. 3.1 Рекомендаций).

Системное проведение внутреннего аудита позволяет обеспечить доверие совета директоров, владельцев компаний, кредиторов и инвесторов к финансовой (бухгалтерской) отчетности общества. Так, большинство международных бирж допускает к размещению ценные бумаги лишь тех обществ, которые проводят внутренний аудит.

Внутренний аудит позволяет оценить деятельность публичных обществ на высоком профессиональном уровне, беспристрастно, объективно и независимо.

2.3. Как организовать внутренний аудит

Для организации внутреннего аудита можно руководствоваться общепринятыми международными стандартами аудита, в том числе Международными профессиональными стандартами внутреннего аудита Института внутренних аудиторов (п. 6 Письма Банка России от 15.04.2019 N ИН-06-28/35).

Учтите, что органы, на которых вы возложили функции по проведению внутреннего аудита, должны быть независимы от исполнительных органов общества, структурных подразделений и их работников (п. 6 Письма Банка России от 15.04.2019 N ИН-06-28/35).

Возможны следующие варианты:

1) назначить ответственное должностное лицо или создать отдельное структурное подразделение (п. 2 ст. 87.1 Закона об АО, п. 5.2.1 Кодекса корпоративного управления, п. 3.2 Рекомендаций).

Совет директоров своим решением назначает на должность такое лицо или руководителя подразделения, утверждает условия трудового договора с ним и в случае необходимости отстраняет его от должности.

До утверждения советом директоров эти вопросы рассматривает комитет по аудиту. Данный орган формируется советом директоров для предварительного рассмотрения вопросов, связанных с контролем за финансово-хозяйственной деятельностью общества (абз. 2 п. 3. ст. 64 Закона об АО). Некоторые вопросы формирования и деятельности комитета по аудиту изложены в Информационном сообщении Минфина России от 07.08.2018 N ИС-аудит-24.

Функционально подразделение внутреннего аудита рекомендуется подчинить совету директоров, а административно — непосредственно единоличному исполнительному органу общества.

Подразделение может быть названо, например, службой (департаментом) внутреннего аудита;

2) привлечь стороннюю организацию, если это предусмотрено внутренними документами (п. 2 ст. 87.1 Закона об АО, п. 5.2.1 Кодекса корпоративного управления, п. 3.2 Рекомендаций).

Совет директоров своим решением определяет юридическое лицо, которое будет осуществлять внутренний аудит, и условия договора с ним, в том числе размер вознаграждения. Предварительно данные вопросы рассматривает комитет по аудиту.

Банк России рекомендует также учитывать аспекты, которые важны для обеспечения качественного внешнего аудита бухгалтерской (финансовой) отчетности общества. Эти аспекты приведены в Приложении 3 к Рекомендациям. В частности, аудиторскую организацию рекомендуется определять не реже одного раза в пять лет по результатам открытого конкурса (п. 1.1 данного Приложения).

Поскольку сотрудники общества обладают более полной информацией о его деятельности, рекомендуем передать сторонней организации только часть функций внутреннего аудита, а оставшуюся часть закрепить за соответствующим подразделением общества. Такая схема облегчит проведение внутреннего аудита сторонней организацией и будет способствовать достоверности результатов.

2.4. Какие мероприятия проводятся в рамках внутреннего аудита

Внутренний аудит заключается в проведении регулярных проверок и контрольных мероприятий. Рекомендуем утвердить план проверок на год, сформировав его по итогам анализа выявленных ранее рисков и недостатков в контроле.

В рамках внутреннего аудита могут проводиться, в частности, такие мероприятия:

• сопоставление бизнес-процессов общества с его целями;
• проверка надежности систем противодействия злоупотреблениям и коррупции;
• проверка обеспечения достоверности бухгалтерской (финансовой) отчетности;
• проверка наличия в обществе обязательных внутренних документов и соответствия их требованиям законодательства;
• проверка обеспечения сохранности активов общества;
• выявление недостатков системы управления рисками и внутреннего контроля, не позволяющих достичь цели деятельности общества;
• проверка соблюдения этических принципов деятельности общества;
• оценка соблюдения прав акционеров;
• проверка соблюдения требований к раскрытию информации об обществе и подконтрольных ему лицах;
• консультирование и обучение персонала, который задействован в управлении рисками и внутреннем контроле.

По итогам внутренней аудиторской проверки оформляется отчет (п. 3.3 Рекомендаций).

Рекомендуем утвердить форму отчета в положении о внутреннем аудите. Следует учесть, что понятность структуры отчета позволит снизить трудоемкость, а значит, и стоимость услуг внешнего аудитора.

Материал статьи взят из открытых источников

Остались вопросы к адвокату по данной тематике?

Задайте их прямо сейчас здесь, или позвоните нам по телефонам в Москве +7 (499) 288-34-32 или в Самаре +7 (846) 212-99-71  (круглосуточно), или приходите к нам в офис на консультацию (по предварительной записи)!

Дата актуальности материала: 07.09.2021