Недавно к нам поступил запрос от коллег: сотрудники одной микрофинансовой организации направили для анализа Правила внутреннего контроля по ПОД/ФТ/ФРОМУ, а также — перечень замечаний к ним, подготовленных внутренним аудитором. Им важно было услышать наше профессиональное мнение и комментарии по ситуации.

Ситуация показалась типичной и одновременно тревожной: заключения внутреннего аудита всё чаще выходят за рамки методологической объективности, превращаясь в набор субъективных оценок, а иногда — инструмент внутрикорпоративного давления.

Когда аудит подменяет экспертизу

Приведем некоторые выдержки из замечаний аудитора и проанализируем их:

- «ПВК носят формальный характер»

Такой вывод не имеет юридического содержания. Закон не делит документы на «формальные» и «неформальные». Это — оценочная формулировка, неприемлемая в аудиторской практике.

- «Отсутствует предметное описание порядка действий»

Положение Банка России № 445-П не использует термин «предметное описание». Если имеется в виду недостаточная детализация, аудитор обязан сослаться на конкретную норму, где установлено требование более подробного описания. Иначе — это мнение, а не вывод.

«Процедуры не соответствуют процессам в Обществе»

Без приложенных схем, регламентов, актов обследования и интервью такое заключение — бездоказательное. Бизнес-процессы должны быть согласованы с требованиями законодательства, а не наоборот. Подробнее об этом ниже.

Кто кому должен соответствовать: ПВК или 1С?

Одно из замечаний касалось того, что анкета клиента — как приложение к ПВК — не совпадает с интерфейсом в системе 1С. На этом основании сделан вывод о «несоответствии».

Здесь мы имеем дело с опасной методологической подменой.

Мы убедились, что анкета клиента, выгодоприобретателя, представителя и бенефициарного владельца, утверждённая в ПВК, строго соответствует структуре, установленной Положением Банка России № 444-П.

Если же функциональность 1С не соответствует нормативным требованиям — это не проблема ПВК, это проблема ИТ-системы, которую следует адаптировать под регуляторику.

Когда аудитор выносит заключение: «анкета ПВК не соответствует бизнес-процессу», он фактически предлагает изменить нормативный документ под ограничения системы, а не адаптировать систему под закон.

Это — системная методологическая ошибка, которую допускают аудиторы, не имеющие должного понимания приоритетов в сфере ПОД/ФТ. Подобный подход противоречит как логике регулирования, так и букве закона.

Когда аудит становится личным

К сожалению, практика показывает, что в некоторых случаях внутренний аудит утрачивает объективность. Причины могут быть разные — от некомпетентности до попытки свести счёты с разработчиком ПВК, юристом или ответственным сотрудником.

В таких случаях заключения наполняются формулировками:

- «носит формальный характер»;

- «не отражает внутренние процессы»;

- «не соответствует специфике».

Причём без доказательств, без ссылок на нормы, без должной обоснованности. Это не аудит. Это - управленческое манипулирование, прикрытое внешним видом контроля.

А как же «профессиональное суждение»?

Нередко в ответ на критику оценочных формулировок в актах внутреннего аудита звучит аргумент: «Аудит — это не чек-лист, это профессиональное суждение».

Это утверждение справедливо — но только при соблюдении условий. Профессиональное суждение аудитора не освобождает от обоснованности. Напротив, оно требует:

- указания конкретных фактов,

- опоры на действующие нормативные требования,

- и такой формы изложения, которая позволяет другому специалисту воспроизвести и проверить вывод.

Например, утверждение «ПВК носят формальный характер» — при отсутствии анализа, указания на конкретные пункты и обоснования несоответствия — не является корректной формой профессионального суждения.

Международные стандарты внутреннего аудита, а также базовые принципы правового аудита требуют: суждение должно быть верифицируемым, обоснованным и полезным для принятия решений. Всё остальное — это мнение, а не результат контроля.

Как должен работать внутренний аудит

Профессиональный аудит в сфере ПОД/ФТ должен:

- строиться на чек-листах с отсылками к 115-ФЗ и нормативным актам ЦБ РФ;

- исключать оценочные суждения и не использовать недоказуемые формулировки;

- отделять факты от мнений;

- анализировать риски, а не стиль оформления;

- рекомендовать не «улучшения по вкусу», а юридически значимые корректировки.
 

Подведем итог

Внутренний аудит - это не место для вкусовых суждений и не площадка для внутрикорпоративных игр. Это инструмент контроля соответствия деятельности организации жёстким нормативным рамкам.

А потому, если в аудиторском заключении звучат оценки вроде «формально», «непредметно», «не так, как в 1С» - возникает закономерный вопрос: Аудит это был? Или просто чужое мнение, выданное за контроль?