Самое неприятное открытие в проверке звучит так: доказательства есть, но они не у того, кого вы проверяете.

Организация передала функцию подрядчику. Первичные документы, логи, расчёты остались в его системе. Договор доступа аудитора к ним не предусматривает. Формально проверяемый ничего не нарушил. Фактически проверять нечего.

За тридцать лет я видела эту конструкцию в разных отраслях. Разрешается она всегда задним числом: через переписку, через запрос третьему лицу, через оговорку в заключении об ограничении объёма.

22 октября 2026 года Институт внутренних аудиторов выпустил руководство по аудиту финтеха. В перечне того, что аудитор должен уметь после его прочтения, отдельным пунктом стоят проблемы доступа к данным. Не качество данных и не управление ими, а именно доступ. Для меня это сигнал: проблему признали методологической, а не технической.

Там же отдельный блок про партнёрства «банк-финтех» и про распределение подотчётности с третьими сторонами. За месяц до этого, 15 сентября 2026 года, у IIA вступило в силу обязательное тематическое требование по третьим сторонам.

Вывод, который я из этого делаю, короткий. Право аудитора на доступ к данным подрядчика решается на этапе заключения договора. В программе проверки это писать поздно.

Руководство адресовано не только аудиторам финтех-компаний, но и аудиторам традиционных организаций, внедряющих финтех-решения. В госсекторе это описание большинства.