Что за тема сегодня, и почему именно это важно? 

[Примечание: запись не сначала сессии. Но полная презентация файл «4.3. EY presentation_RUS.pdf» доступна для ознакомления]. 

00:00 Что включать в отчетность перед менеджментом и СД? 
01:30 В каком объеме включать вопросы комплаенс в отчетность? 
04:30 Компетенция и квалификация аудиторов по комплаенс. Опыт ICA в Сингапуре. 
07:50 Мнение экспертов по 4 дилеммам: в каком объеме включать комплаенс в план аудиторской деятельности: области риска или матричный формат? Аудиторские задания. 
11:35 Важно учитывать степень зрелости внутреннего аудита и комплаенс. Какие задачи ставит руководство перед ВА и комплаенс? Есть ли задача выходить на сертификацию по ISO 19600 и ISO 37001? От ответа зависят очертания аудиторских заданий. Ресурсы ВА и комплаенс-функции ограничены. Что из этого следует? 
15:15 Может ли служба по менеджменту качества (quality management) проводить аудит СКМ? Почему важно разделять понятия внутренний аудит как функциональное подразделение и деятельность (activity) внутреннего аудита? 
16:50 Есть ли методика оценки эффективности СКМ или отдельных областей? Что такое мягкие факторы? 
18:20 Методик достаточно, но мы говорим о СКМ, поэтому основная методика – это оценка комплаенс службой системы, так как СКМ встраивается не для того, чтобы соответствовать стандарту, а чтобы максимально способствовать комплаенс-менеджменту, GRC, комплаенс-культуре. Почему не human resources, а human assets? Оценивать можно только то, что выстроено. Поэтому необходимо оценить, а есть ли система в принципе? Потом-как она работает. Что думает о комплаенс руководитель, сотрудник на складе? 
22:08 Если говорим об эффективности и зрелости, то ISO-правильный инструмент. Есть три аргумента. 1. Сертификационный аудитор проверяет, есть ли все элементы в соответствии в заявленным охватом, которые требуются по стандарту и потом проверяет, что элементы системы эффективно внедрены на операционном уровне. 2. Сама сертификация имеет 3-х летний цикл-постоянное поддержание СКМ в работоспособном состоянии. Надзорные аудиты проверяют что изменилось (существует много факторов) и как повлияло на способность СКМ достигать запланированных результатов. 3. Любой стандарт ISO построен по циклу PDCA, поэтому эффективность – это не статика (разово), а динамика (система постоянно продолжает быть эффективной). Был вопрос про зрелость. Однажды внедрив, компания встает на путь постоянных улучшений-повышение зрелости. 
28:06 В Сессии 1 мы говорили, что существуют несоответствия между стандартами по внутреннему аудиту и ISO. Рациональнее сосредоточится на соответствиях стандартов. Поиск, как можно использовать совместно разные стандарты и разные подходы, где они совпадают. 
30:00 Как служба внутреннего аудита взаимодействует с другими внутренними assurance functions? 
32:00 Две важнейшие функции-внутренний аудит и внутренний аудит по ISO-не должны решать, кто в доме хозяин. 
33:45 В стандартах ISO по комплаенс-менеджменту не много положений про аудит СКМ. Как интегрировать задачу от функции комплаенс в существующую вселенную внутреннего аудита? Как подружить и сделать интеграцию 2-х задач: внутренний аудит и аудит СКМ? 
37:40 Какой из четырех подходов к аудиту СКМ внедрен у вас в компании?
[Слайд 19, файл «4.3. EY presentation_RUS.pdf»].
39:11 Перерыв 

45:23 Каким образом правильно и эффективно организовать и провести внутренний аудит СКМ, чтобы выполнить требования разных стандартов? Поскольку нет единых рабочих бумаг, то нужно выбрать грамотно подход. 
48:40 Презентация (Эрика Колчина): Внутренний аудит СКМ.
[Примечание: в презентации один из вопросов посвящен Модели «Трех линий защиты». После проведения Митапа 26.03.2020 Институт внутренних аудиторов (Institute of Internal Auditors - IIA) 23.07.2020 сообщил про обновление своей широко известной модели «трех линий защиты». Сегодня модель изменила название – теперь это просто «Модель трех линий» («ThreeLines Model»). Тем самым подчеркивается, что принятие решений в условиях риска означает не только защитные действия, но в не меньшей степени и активные действия, направленные на реализацию открывающихся возможностей.] 
Подход к осуществлению в компаниях внутреннего аудита СКМ, на что необходимо обратить внимание внутренним аудиторам (Эрика Колчина). Предоставление консультаций и предоставление независимых объективных гарантий. Модель трех линий защиты в контексте комплаенс-функции. 
52:45 Функционал службы ВА. 
54:43 Оценка системы внутреннего контроля. Когда идентифицируется недостаток системы внутреннего контроля? 
56:05 Эффективность и результативность СВК. Effectiveness and efficiency, в чем различие? 
58:35 COSO ERM 2017-Интеграция со стратегией и эффективностью деятельности. 
1:00:35 Типы услуг внутреннего аудита. 10 типов аудиторских заданий. Какой тип задания подходит по ISO? 
1:04:02 Координация деятельности. Стандарт 2050 и указания ПУ 2050-2 (параграф 4, параграф 7). Как поступить, если в компании не хватает компетенции для выполнения необходимых аудиторских заданий? 
1:06:04 Внешние поставщики по предоставлению гарантий в сфере комплаенс. 
1:06:53 Профессионализм и профессиональное отношение к работе (стандарт 1210). Коллективные знания службы ВА. Практическое указание ПУ 1210.А1-1. 
1:09:50 ISO 19600. PDCA. Критерии внутреннего аудита по ISO 19600. 
1:20:51 Оценка несоответствия внешними аудиторами. Как оценивается отсутствие ВА как activity? 
1:24:32 ISO 31000 и ISO 19600. Поскольку по ISO 19600 риски – это ключевой элемент, то необходимо смотреть, где и как интеграция стандартов может быть полезной. COSO ERM 2017 и ISO 31000 – вселенная рисков, которую внутренние аудиторы аудируют в рамках своих профессиональных обязанностей. 
1:30:20 Специализированный аудит, аудиторские задания, анонс Q&A.

1:32:40 Как правильно провести границу между внутренним аудитом как подразделением и как деятельностью по внутреннему аудиту СКМ (activity)? Могут ли внутренний аудит СКМ проводить другие подразделения, не внутреннего аудита?
1:35:32 Может ли внутренний аудит СКМ выполнять головная компания (HQ), если функция внутреннего аудита в рамках группы существует на уровне HQ? 
1:37:35 Должен ли внутренний аудит СКМ быть проведен во всех филиалах/дочерних компаниях, которые включены в охват сертификации? 
1:39:57 Должен ли внутренний аудит быть проведен по всем комплаенс-программам/риск-областям? В чем разница между операционными аудитами и аудитами по ISO? Какова цель, которая стоит перед внутренним аудитом, для чего делается аудит? Ответ на этот вопрос – основа для планирования аудиторского задания. 
1:44:26 Ресурсы ВА не безграничны. Можно ли учитывать при планировании внутреннего аудита то, что была внешняя проверка регулятора? Стратегическое планирование у ВА. 
1:48:55 Резюме по уже обсужденным вопросам. 
1:51:11 Как определить, что смотреть, так как ресурсы ВА не безграничны? Как выбрать ключевые элементы/параметры СКМ, которые входят в аудит СКМ? 
1:56:47 Если в СКМ добавляется новая риск-область, нужно ли менять охват (scope) аудита? 
1:59:15 Комплаенс и ВА. Линии защиты. Может ли вторая линия защиты полагаться на ВА? 
2:01:38 Если СКМ только развивается, а службы ВА нет, как правильно подойти к организации внутреннего аудита СКМ в такой компании? 
2:05:57 Технические проблемы подключения спикера.

2:10:10 Выступление эксперта (Юлия Ромашкина). Был затронут вопрос, что внутренним аудиторам нужны компетенции, экспертиза по комплаенс. Как это обычно обеспечивается в компаниях? Как происходит взаимодействие со службой ВА?
2:11:19 Возможные варианты обучения внутренних аудиторов. Экспертиза в сфере аудита контролей Vs в сфере аудита дизайна контролей.
2:17:06 Елена Егорова в Сессии 1 приводила статистику по результатам проведенного исследования: только в 3% компаний есть аудиторы, которые обладают комплаенс-экспертизой; 78% компаний при проведении внутреннего аудита используют подход комплексной аудиторской проверки по локациям; 80% — по функциональным областям и департаментам; 90 % смотрят бизнес-процесс целиком. Что Вы посоветуете компаниям, которые только развивают СКМ, а служба ВА только находится в стадии первоначального внедрения аудита СКМ, какой подход к проведению внутреннего аудита СКМ принять? С чего начать, как развивать?
2:24:45 Каковы требования к комплаенс-программе, укрупненно ее структура, как должно быть? Помимо ISO 19600, есть ли иные документы, регламентирующие компоненты комплаенс? Что имеется в виду под комплаенс-программой? Что происходило, когда не было ISO 19600?
2:34:04 Выступление эксперта (Дмитрий Кантеров). Так как компания (СУЭК) успешно прошла сертификацию по 19600, 37001, поделитесь, пожалуйста, опытом, как последовательно развивался, дорабатывался аудит СКМ? Какой подход выбрали? [Файл «4.4. SUEK presentation_RUS.pdf»]. Внутренний аудит системы комплаенс-менеджмента по ISO 19600 и ISO 37001: практические вопросы. Внутренний аудит системы комплаенс на этапе внедрения и на этапе развития комплаенс-функции.
3:03:25 Завершение Митапа. В Сессии 1 мы систематизировали знания, подводили надежную основу под то, что знали, определяли, где есть точки соприкосновения классического внутреннего аудита (операционного, финансового) и аудита СКМ по ISO, какие есть дилеммы. В Сессии 2 мы постарались вас вооружить возможными подходами с точки зрения практического опыта к выполнению внутреннего аудита СКМ, что позволит совместно с службой ВА, риск-менеджмента сделать рывок по развитию СКМ. В рамках Q&A прозвучало много позитивных мнений и прекрасных идей в ответ на наиболее острые практические вопросы проведения внутреннего аудита СКМ.
3:11:50 Спасибо за участие.