Внутренний контроль и внутренний аудит - это разные вещи. Но в половине организаций это одна служба, один руководитель и один бюджет. Объясню, как это устроено на самом деле.

Контроль сидит внутри процесса. Сверка, согласование, лимит, разделение полномочий. Делает это тот, кто выполняет саму работу: бухгалтер, закупщик, кадровик. Его задача - не допустить.

Аудит стоит снаружи. Он в процессе не участвует (контролер участвует). Аудитор смотрит, работает ли контроль вообще и хватает ли его. Задача аудитора - показать, где не сработало и почему.

Теперь непопулярное. Отдельная контрольная служба реально нужна там, где контроль нельзя доверить исполнителю. Это закупки и комплаенс. В закупках конфликт интересов заложен в саму конструкцию. В комплаенсе требования внешние, и трактовать их не должен тот, кому от них неудобно. Всё остальное встраивается в функции владельцев процессов. Не надо строить надзор над бухгалтерией. Надо, чтобы контрольные процедуры были частью ее учёта, а аудит проверял, как они спроектированы и работают ли.

А что на практике? Создают департамент внутреннего контроля и аудита. Одна вывеска, один руководитель, огромный бюджет с должностями. Аудитор подчиняется контролёру и проверяет систему, которую построил его же начальник. Заключение пишет ему же. Такой аудит - ручной. Не независимый, не объективный, а ручной. Конфликт интересов заложен прямо в структуру, и никакая квалификация сотрудников его не снимает. А дальше простая арифметика. Функция, которая не может дать объективный результат, результата не даёт. Все расходы на содержание такой службы - и аудиторов, и контролёров - неэффективные. И неважно, за счёт какого источника: государственный бюджет это или деньги собственника. Неэффективно и для государства, и для акционера. Хотя аудит для того и нужен, чтобы считать деньги, находить экономию и предотвращать неэффективные расходы. А не создавать их собственным существованием.

Поэтому и существует функциональная подотчётность внутреннего аудитора совету директоров или комитету по аудиту. Это не про красивое корпоративное управление. Без этого функция просто не работает.

А теперь проверьте себя. Кто утверждает план проверок в вашей компании? И что останется в заключении аудитора, если нарушение найдено в подразделении вашего прямого руководителя? Если ответ неприятный - у вас не аудит. У вас - статья расходов.