Как организовать систему управления рисками, внутреннего контроля и аудита в публичном обществе

Коротко: в публичном акционерном обществе систему управления рисками и внутреннего контроля утверждает совет директоров, а создают и поддерживают её исполнительные органы (ст. 87.1 Федерального закона от 26.12.1995 № 208-ФЗ «Об акционерных обществах»). Внутренний аудит проводит ответственное подразделение, должностное лицо либо привлечённая сторонняя организация, независимая от исполнительных органов и подотчётная совету директоров.

Ниже — подробный разбор того, кто в публичном обществе утверждает документы системы управления рисками и внутреннего контроля, какую роль играют исполнительные органы и ревизионная комиссия, как организовать внутренний аудит и комитет совета директоров по аудиту, какие элементы системы обязательны и какие ошибки чаще всего встречаются на практике.

Кто утверждает документы системы управления рисками и внутреннего контроля?

Совет директоров (наблюдательный совет) утверждает внутренние документы общества, которые определяют принципы и подходы к организации системы управления рисками и внутреннего контроля, а также внутреннего аудита (п. 1 ст. 87.1 Закона об АО; п. 5.1.1 Кодекса корпоративного управления, рекомендованного к применению письмом Банка России от 10.04.2014 № 06-52/2463; далее — Кодекс корпоративного управления). Общие принципы и подходы к организации управления рисками и внутреннего контроля, цели и задачи системы Банк России рекомендует закрепить в отдельном положении (политике) общества (Рекомендации по организации управления рисками, внутреннего контроля, внутреннего аудита и работы комитета совета директоров по аудиту в публичных акционерных обществах, приведённые в приложении к информационному письму Банка России от 01.10.2020 № ИН-06-28/143; далее — Рекомендации Банка России).

Совет директоров устанавливает принципы организации системы, в том числе в рамках своей общей компетенции по определению приоритетных направлений деятельности общества (пп. 9.2 п. 1 ст. 65, п. 1 ст. 87.1 Закона об АО). Документы, которые совет директоров утверждает по вопросам управления рисками и внутреннего контроля, не относятся к внутренним документам, регулирующим деятельность органов общества, — это отдельная категория (Информационное письмо Банка России от 15.04.2019 № ИН-06-28/35). Банк России прямо рекомендует совету директоров избегать формального подхода к организации системы: утверждённые «для галочки» документы без реального применения не выполняют своей функции (то же письмо).

Банк России рекомендует зафиксировать в уставе общества компетенцию и полномочия совета директоров и исполнительных органов в сфере управления рисками и внутреннего контроля, а во внутренних документах — разграничить зоны ответственности органов управления и структурных подразделений (п. 2.4 Рекомендаций Банка России). Полномочия совета директоров по утверждению ключевых внутренних документов общества нередко пересекаются с утверждением иной отчётности — например, годового отчёта; порядок такого утверждения разобран в материале «Как утвердить годовой отчет АО».

К компетенции совета директоров в области управления рисками и внутреннего контроля Банк России рекомендует отнести, в частности:

• определение ключевых показателей эффективности исполнительных органов, руководителей структурных подразделений и ключевых работников общества с учётом оценки управления рисками и внутреннего контроля;
• рассмотрение отчётов исполнительных органов общества о функционировании системы;
• организацию не реже одного раза в год оценки надёжности и эффективности системы;
• рассмотрение не реже одного раза в год материалов и результатов оценки системы внутренним аудитом;
• рассмотрение заключения внешней оценки эффективности управления рисками и внутреннего контроля;
• вопросы внутреннего аудита.

Для решения этих задач совет директоров может сформировать из своих членов отдельный комитет по рискам; если такого комитета нет, его функции вправе взять на себя комитет по аудиту (п. 2.4 Рекомендаций Банка России).

Какую роль играют исполнительные органы общества?

Исполнительные органы общества обеспечивают создание и эффективное функционирование системы управления рисками и внутреннего контроля (п. 5.1.2 Кодекса корпоративного управления). К их компетенции Банк России рекомендует отнести, в частности:

• организацию, поддержание и развитие системы, исполнение связанных с ней решений совета директоров;
• утверждение методологии по управлению рисками и внутреннему контролю;
• распределение полномочий, обязанностей и ответственности между подчинёнными и (или) курируемыми руководителями структурных подразделений общества в этой сфере;
• рассмотрение отчётов руководителей, ответственных за организацию и осуществление управления рисками и внутреннего контроля, о функционировании системы.

(п. 2.4 Рекомендаций Банка России)

Кто ещё участвует в системе управления рисками и внутреннего контроля?

Управление рисками и внутренний контроль осуществляются на всех уровнях общества — в них так или иначе участвуют все органы управления и работники (п. 2.4 Рекомендаций Банка России). Ключевые участники системы — в таблице.

(п. 2.4 Рекомендаций Банка России)

Какие задачи решает система управления рисками и внутреннего контроля?

Система управления рисками и внутреннего контроля организуется, чтобы обеспечивать объективное и реальное представление о текущем состоянии дел в обществе и его перспективах, целостность и прозрачность отчётности, разумность принимаемых рисков (п. 5.1.3 Кодекса корпоративного управления; п. 5 Информационного письма Банка России от 15.04.2019 № ИН-06-28/35). В публичном обществе к задачам системы прежде всего относятся:

• минимизация рисков в деятельности общества;
• обеспечение сохранности активов;
• обеспечение соблюдения требований законодательства в процессе деятельности;
• обеспечение своевременности и достоверности всех видов учёта и отчётности;
• предупреждение коррупции и противодействие ей.

Среди мер по предупреждению коррупции в организациях, которые рекомендует Минтруд России, — разработка и принятие антикоррупционной политики, назначение подразделения или работников, ответственных за это направление, оценка коррупционных рисков, урегулирование конфликта интересов, проверка контрагентов, включение антикоррупционной оговорки в договоры с деловыми партнёрами, обучение работников по вопросам противодействия коррупции и мониторинг эффективности принятых мер.

Как организовать внутренний аудит: кто и что должен сделать?

Организовать внутренний аудит должен совет директоров (наблюдательный совет) публичного общества: сформировать комитет по аудиту, утвердить внутренние документы о его организации и осуществлении, а также назначить ответственное структурное подразделение или должностное лицо либо уполномочить иное юридическое лицо (абз. 2 п. 3 ст. 64, п. 2 ст. 87.1 Закона об АО; ч. 3 ст. 2 Федерального закона от 19.07.2018 № 209-ФЗ).

Подразделения или лица, на которых возложены функции внутреннего аудита, должны быть независимы от исполнительных органов общества, структурных подразделений и их работников (п. 6 Информационного письма Банка России от 15.04.2019 № ИН-06-28/35). Ориентиром при организации внутреннего аудита могут служить общепринятые международные стандарты аудита, в том числе Международные профессиональные стандарты внутреннего аудита Института внутренних аудиторов (тот же пункт письма).

1. Назначить ответственное должностное лицо или создать отдельное структурное подразделение (п. 2 ст. 87.1 Закона об АО; п. 5.2.1 Кодекса корпоративного управления; п. 3.2 Рекомендаций Банка России). Совет директоров назначает такое лицо или руководителя подразделения, утверждает условия трудового договора с ним и при необходимости отстраняет его от должности; предварительно вопрос рассматривает комитет по аудиту (отдельные вопросы формирования и деятельности комитета по аудиту освещены в Информационном сообщении Минфина России от 07.08.2018 № ИС-аудит-24). Функционально подразделение внутреннего аудита рекомендуется подчинить совету директоров, административно — непосредственно единоличному исполнительному органу общества.
2. Привлечь стороннюю организацию, если это предусмотрено внутренними документами общества (п. 2 ст. 87.1 Закона об АО; п. 5.2.1 Кодекса корпоративного управления; п. 3.2 Рекомендаций Банка России). Совет директоров определяет юридическое лицо и условия договора с ним, включая размер вознаграждения; вопрос предварительно рассматривает комитет по аудиту. Банк России рекомендует определять аудиторскую организацию не реже одного раза в пять лет по результатам открытого конкурса (приложение 3 к Рекомендациям Банка России); при этом часть функций внутреннего аудита целесообразно оставить за собственным подразделением общества — так внешнему исполнителю легче работать, а результаты достовернее.

Как сформировать комитет совета директоров по аудиту?

Банк России рекомендует публичным обществам применять Положение о комитете совета директоров публичного акционерного общества по аудиту (примерное), рекомендованное письмом Банка России от 15.09.2016 № ИН-015-52/66 (далее — Положение о комитете по аудиту). Совет директоров по представлению своего председателя определяет состав комитета на срок до следующего годового общего собрания акционеров; рекомендуемый минимум — не менее трёх членов (п. 3.1 Положения о комитете по аудиту; п. 4.3 Рекомендаций Банка России). Требования к составу комитета (п. 3.2 Положения о комитете по аудиту):

• комитет должен быть сформирован из независимых членов совета директоров;
• по крайней мере один член комитета должен обладать опытом и знаниями в области подготовки, анализа, оценки и аудита бухгалтерской (финансовой), в том числе консолидированной, отчётности.

Председателя комитета совет директоров определяет по представлению своего председателя, но председателем комитета не может быть председатель совета директоров (п. 3.3, п. 3.4 Положения о комитете по аудиту). Председатель комитета должен обладать знаниями и опытом, необходимыми для контроля за проведением аудита, управлением рисками и реализацией иных функций, входящих в компетенцию комитета (п. 3.5 Положения о комитете по аудиту). Членам комитета необходимо подробно разъяснить их функции и полномочия, а также обеспечить им возможность в любой момент пройти обучение, нужное для выполнения этой работы (п. 3.7 Положения о комитете по аудиту); перечень рекомендуемых мероприятий для реализации задач комитета Банк России привёл в приложении 2 к Рекомендациям.

Для чего нужен внутренний аудит и что он проверяет?

Внутренний аудит организуется в публичном обществе для независимой оценки надёжности и эффективности системы управления рисками и внутреннего контроля, а также для оценки практики корпоративного управления (п. 5.2 Кодекса корпоративного управления; п. 3.1 Рекомендаций Банка России). Системное проведение внутреннего аудита укрепляет доверие совета директоров, акционеров, кредиторов и инвесторов к отчётности общества: многие международные биржи допускают к размещению ценные бумаги только тех эмитентов, которые проводят внутренний аудит. Более широкий контекст рисков несоблюдения корпоративного законодательства для владельцев бизнеса разобран в материале «Внутренний аудит и соблюдение корпоративного законодательства: что важно знать владельцам».

Рекомендуем утвердить годовой план проверок, сформировав его по итогам анализа ранее выявленных рисков и недостатков контроля (п. 3.3 Рекомендаций Банка России). Направления, которые обычно охватывает внутренний аудит, — в таблице.

По итогам проверки оформляется отчёт (п. 3.3 Рекомендаций Банка России). Форму отчёта рекомендуем закрепить в положении о внутреннем аудите: понятная структура отчёта снижает трудоёмкость проверки, а значит, и стоимость услуг внешнего аудитора.

Какие обязательные элементы должны быть в системе управления рисками, внутреннего контроля и аудита?

Из требований Закона об АО, Кодекса корпоративного управления и Рекомендаций Банка России для публичного общества складывается такой минимальный набор элементов:

Какие типичные ошибки допускают публичные общества?

• Формальный подход: документы утверждены, но система реально не применяется в работе — Банк России прямо предостерегает от этого (п. 5 Информационного письма Банка России от 15.04.2019 № ИН-06-28/35).
• Подразделение внутреннего аудита фактически подчинено исполнительным органам, которые оно же проверяет, — это нарушает требование независимости (п. 6 того же письма).
• Председателем комитета по аудиту назначается председатель совета директоров — прямой запрет (п. 3.4 Положения о комитете по аудиту).
• В составе комитета по аудиту нет ни одного члена с опытом в области бухгалтерской отчётности и аудита (п. 3.2 Положения о комитете по аудиту).
• Оценка надёжности и эффективности системы не проводится ежегодно либо проводится формально, без разбора выявленных недостатков (п. 2.4 Рекомендаций Банка России).
• Документы совета директоров по управлению рисками ошибочно приравниваются к внутренним документам, регулирующим деятельность органов общества, из-за чего путается порядок их утверждения (п. 5 Информационного письма Банка России от 15.04.2019 № ИН-06-28/35).
• Форма отчёта внутреннего аудита не закреплена в положении о нём, из-за чего каждая проверка оформляется по-разному и растёт стоимость услуг внешнего аудитора.

Частые вопросы

Обязательна ли ревизионная комиссия в публичном акционерном обществе?

Нет. Ревизионная комиссия образуется, только если это прямо предусмотрено уставом общества (п. 1 ст. 85 Закона об АО); если устав такого положения не содержит, отдельно избирать ревизора не требуется.

Может ли председатель совета директоров возглавлять комитет по аудиту?

Нет, это прямо запрещено: председателем комитета по аудиту не может быть председатель совета директоров (п. 3.4 Положения о комитете по аудиту, рекомендованного письмом Банка России от 15.09.2016 № ИН-015-52/66).

Как часто нужно оценивать надёжность и эффективность системы управления рисками и внутреннего контроля?

Совет директоров организует такую оценку не реже одного раза в год, а также не реже раза в год рассматривает материалы и результаты оценки, проведённой внутренним аудитом (п. 2.4 Рекомендаций Банка России).

Кому подчиняется подразделение внутреннего аудита?

Функционально — совету директоров, административно — единоличному исполнительному органу общества; такое разделение обеспечивает независимость подразделения от проверяемых им исполнительных органов (Рекомендации Банка России; Информационное сообщение Минфина России от 07.08.2018 № ИС-аудит-24).

Как часто нужно менять аудиторскую организацию при внешнем аудите отчётности?

Банк России рекомендует определять аудиторскую организацию не реже одного раза в пять лет по результатам открытого конкурса (приложение 3 к Рекомендациям Банка России).

Краткая сводка: как организовать систему управления рисками, внутреннего контроля и аудита

• Совет директоров утверждает документы и принципы системы управления рисками и внутреннего контроля (п. 1 ст. 87.1 Федерального закона от 26.12.1995 № 208-ФЗ «Об акционерных обществах»; п. 5.1.1 Кодекса корпоративного управления, рекомендованного письмом Банка России от 10.04.2014 № 06-52/2463).
• Исполнительные органы обеспечивают создание и функционирование системы, утверждают методологию управления рисками и внутреннего контроля (п. 5.1.2 Кодекса корпоративного управления).
• Комитет совета директоров по аудиту обязателен для публичного общества: не менее трёх независимых членов, как минимум один — с опытом в аудите отчётности (абз. 2 п. 3 ст. 64 Закона об АО; п. 3.1–3.2 Положения о комитете по аудиту, письмо Банка России от 15.09.2016 № ИН-015-52/66).
• Внутренний аудит проводит ответственное подразделение (должностное лицо) либо привлечённая сторонняя организация, независимая от исполнительных органов общества (п. 2 ст. 87.1 Закона об АО).
• Ревизионная комиссия создаётся, только если это предусмотрено уставом общества (п. 1 ст. 85 Закона об АО).
• Надёжность и эффективность системы совет директоров оценивает не реже одного раза в год (п. 2.4 Рекомендаций Банка России, приложение к информационному письму от 01.10.2020 № ИН-06-28/143).

С уважением, адвокат Анатолий Антонов, управляющий партнер адвокатского бюро «Антонов и партнеры».

Адвокатское бюро «Антонов и партнеры» готово оказать юридическую помощь по всем категориям дел в любых регионах России. Эффективно и качественно решаем возникшие у Вас юридические задачи любой сложности.

Получить дополнительную информацию или ознакомиться с нашими услугами по данной теме можно по ссылкам ниже:

• Профессиональные корпоративные юристы
• Корпоративные споры
• Корпоративный адвокат