При использовании данного подхода аудитору необходимо в первую очередь задокументировать систему внутреннего контроля объекта аудита. Затем выявленные контрольные процедуры ранжируются по степени существенности. Под существенностью обычно понимается способность контрольной процедуры влиять на риски, связанные с объектом аудита, хотя возможны и иные варианты. После этого в зависимости от ресурсов команды внутренних аудиторов оценивается дизайн всех или части выявленных контрольных процедур. Оценка дизайна может называться также оценкой адекватности контрольных процедур. Под адекватностью контроля понимается его способность способствовать достижению целей процесса или этапа процесса максимально эффективным образом, как с операционной, так и с экономической точки зрения, в том числе за счет эффективного воздействия на риски процесса или его этапа.

После того как оценка адекватности контрольных процедур проведена, принимается решение о тестирования их эффективности. При этом тестирование проводится только в отношении контрольных процедур, которые признаны адекватными. Если контроль признается неадекватным, то считается, что детальное тестирование закончено и можно приступать к формированию отчета. При тестировании эффективности контроля оценивается, насколько контрольная процедура работает в соответствии со своим дизайном. Для тестирования формируется относительно небольшая выборка – максимум 20–30 операций при условии, что контроль осуществляется на ежедневной основе. Если контроль осуществляется реже (раз в неделю, месяц и т. д.), то объем выборки еще меньше. По результатам тестирования делается вывод об эффективности контроля. Он считается эффективным, если контрольные процедуры с отклонениями составляют не более 5–10 % от выборки. К слову сказать, параметры выборки ничем не регулируются, в качестве ориентира используются параметры, рекомендуемые, например, компаниями Большой четверки. ПВА может использовать свои параметры, главное, чтобы результаты тестирования конструктивно воспринимались как руководством объекта аудита, так и пользователями отчета.

Классический подход довольно распространен в зарубежной практике внутреннего аудита. Существует много методических материалов, посвященных именно этому подходу к детальному тестированию, включая целые программы аудита. В общем его можно охарактеризовать как тестирование, направленное больше в ширину, чем в глубину. Как водится, у него есть как минусы, так и плюсы.

Плюсы классического подхода к детальному тестированию:

1. Требует меньше ресурсов и более низкой квалификации команды. Это одно из ключевых преимуществ. Относительная простота подхода обеспечивает его успешное освоение аудиторами начального уровня. Простота достигается, в том числе, за счет использования четких установок – контроль неадекватен, значит, дальше не тестируем, контроль адекватен – тестируем. Также ограничением выступает описание тестируемого процесса, если, конечно, именно этот процесс является объектом аудита – рассматриваются в основном контрольные процедуры, отраженные на схеме процесса.

2. Можно обеспечить сопоставимость результатов по различным объектам аудита. Наличие упомянутых четких установок обеспечивает унификацию подхода при тестировании различных процессов. Унификация приводит к сопоставимости. Сопоставимость результатов особенно полезна, когда аудиту подвергаются несколько однотипных объектов аудита, – можно как минимум выбрать лучший вариант системы внутреннего контроля и распространить дизайн на все однотипные объекты аудита.

Минусы классического подхода к детальному тестированию:

1. Под эффективностью контроля понимается, как часто и правильно срабатывает контрольная процедура, а не соблюдение принципа «затраты/выгоды». Сама методология тестирования в классическом подходе накладывает определенные ограничения на полезность подхода. К числу наиболее существенных ограничений относится отсутствие нацеленности на анализ эффективности с точки зрения экономического эффекта. В ряде случаев, хотя дизайн контроля признается адекватным, а сам контроль эффективным, имеются возможности увеличения эффекта контроля или снижения стоимости его администрирования, но в силу особенностей рассматриваемого подхода данные аспекты целенаправленно не анализируются.

2. Часто упускается из виду истинная причинно-следственная связь, что приводит к повторению ошибок. Классический подход во многом является поверхностным. Например, команда внутренних аудиторов в ходе аудита процесса «Управление запасами» проводит детальное тестирование в соответствии с классическим подходом. Аудиторы обнаруживают, что отсутствует инвентаризация при передаче ТМЦ от одного МОЛ к другому МОЛ. Они называют эту ситуацию основной причиной расхождений между фактическими и учетными данными о запасах ТМЦ. В определенной степени это может быть так. Однако даже если данная процедура будет внедрена, то в большинстве случаев это практически никак не повлияет на расхождения между фактическими данными о запасах ТМЦ и данными бухгалтерского и/или складского учета. Особенно если процедура инвентаризации проводится формально (что встречается довольно часто), а также отсутствуют надлежащие условия для хранения имущества (требование Трудового кодекса). В результате расхождения не устраняются. В приведенном примере продемонстрирован принцип работы в рамках классического подхода – использование коротких цепочек формальных причинно-следственных связей.

3. Классический подход во многом умозрителен – необходимость того или иного контроля может быть неочевидной, рассуждения о возможных рисках могут показаться руководителям объекта аудита и/или пользователям аудиторского отчета академичными. Подход не предполагает целенаправленного поиска последствий отсутствия тех или иных контрольных процедур или поиска последствий использования неадекватных контрольных процедур. Если контроль неадекватен, то дальнейшее тестирование не проводится. Это может приводить к ситуациям, когда большинство предлагаемых аудиторами рекомендаций приобретают в лучшем случае косметический характер. Например, часто аудиторы рекомендуют создавать регламенты процессов и процедур. Однако во многих случаях наличие регламента не обеспечивает автоматического исправления выявленного недостатка. Вместе с тем создание регламента может потребовать существенных затрат ресурсов, по крайней мере труда и времени, что не так уж мало. На этом фоне раздражение ответственных сотрудников объекта аудита оправданно.

4. Бывает трудно применить на практике, т. к. на российских предприятиях выполнение контроля часто не документируется. В этой ситуации аудиторы попадают в ловушку – для оценки контроля нужно, чтобы он оставил след, а если следов нет, то контроль оценить невозможно и при этом нельзя признать его однозначное отсутствие. Следствием являются многочисленные рекомендации по документированию контрольных процедур, что вызывает возражения, споры и прочий негатив со стороны руководства объекта аудита. Во многих случаях такая позиция руководства объекта аудита оправданна. Во-первых, наличие задокументированных контрольных процедур необходимо в первую очередь для оценки системы внутреннего контроля и не всегда оказывает значительное влияние на повышение ее адекватности и эффективности. В-вторых, документирование требует дополнительных ресурсов, а до большинства российских управленцев со скрипом доходит понимание целесообразности такого рода расходов.