Концепция риск-ориентированного подхода в Счетной палате Российской Федерации (утв. Коллегией Счетной палаты РФ (протокол от 22 июня 2021 г. N 44К (1487)))

1. Общие положения

1.1. Концепция риск-ориентированного подхода в Счетной палате Российской Федерации (далее - Концепция) определяет общие принципы, цели, задачи и сферу применения, а также направления развития и совершенствования риск-ориентированного подхода при планировании и осуществлении внешнего государственного аудита (контроля) (далее - аудит (контроль) Счетной палатой Российской Федерации (далее - Счетная палата).

Задачами Концепции являются:

1) описание принципов риск-ориентированного подхода;

2) определение целей и задач применения риск-ориентированного подхода в деятельности Счетной палаты;

3) описание сферы применения риск-ориентированного подхода в Счетной палате.

1.2. Концепция разработана с учетом положений Федерального закона от 5 апреля 2013 г. N 41-ФЗ "О Счетной палате Российской Федерации", отдельных положений международных и российских стандартов менеджмента рисков (ISO 31000:2018*(1), ГОСТ Р ИСО 31000:2019), а также концептуальных основ управления рисками COSO ERM.

1.3. Концепция разработана в целях реализации положений Стратегии развития Счетной палаты Российской Федерации на 2018-2024 годы, связанных с использованием риск-ориентированного подхода в деятельности Счетной палаты.

1.4. Концепция является основой для развития риск-ориентированного подхода во внутренних нормативных и методических документах Счетной палаты, регламентирующих планирование и осуществление контрольной и экспертно-аналитической деятельности Счетной палаты.

2. Термины и определения

Для целей Концепции используются следующие термины и определения:

1) объекты аудита - объекты внешнего государственного аудита (контроля) в соответствии с положениями статей 15 и 23 Федерального закона от 5 апреля 2013 г. N 41-ФЗ "О Счетной палате Российской Федерации";

2) область риска - область в сфере социально-экономического развития и безопасности Российской Федерации и (или) в сфере деятельности объектов аудита, в границах которой тенденции, процессы, прочие явления характеризуются наличием одного или нескольких рисков;

3) риск - это следствие влияния неопределенности на достижение целей. Под следствием влияния неопределенности понимается отклонение фактического состояния от ожидаемого. Неопределенность - это состояние полного или частичного отсутствия информации, необходимой для понимания события, его вероятности и последствий;

4) агрегированный риск - множество рисков объектов аудита или областей рисков с учетом их взаимодействия и взаимовлияния;

5) аудиторский риск*(2) - вероятность того, что сформулированные по итогам контрольного или экспертно-аналитического мероприятия выводы могут оказаться ненадлежащими (ошибочными);

6) генеральная совокупность рисков - перечень рисков, присущих объектам аудита и областям рисков;

7) заинтересованные стороны - физические или юридические лица, государственные и иные органы, организации, которые активно влияют или могут влиять на деятельность объекта аудита, области рисков и (или) интересы (цели) которых затрагиваются или могут быть затронуты (с точки зрения выгод или потерь) в ходе деятельности объекта аудита или под воздействием рисков из областей рисков;

8) ключевые индикаторы риска - показатели, которые позволяют надлежащим образом измерить риски и (или) дают возможность отслеживать уровни рисков и прогнозировать вероятность реализации рисков и (или) возможные последствия от реализации рисков;

9) критерии риска - совокупность значений ключевых индикаторов и иных признаков риска, на основании которых возможно определение уровня риска, с учетом установленного риск-аппетита;

10) модель зрелости системы управления рисками - инструментарий, позволяющий осуществлять оценку уровня развития системы управления рисками, а также измерение прогресса в развитии практики управления рисками;

11) оценка риска - процесс, включающий идентификацию риска, анализ риска и определение уровня риска;

12) рейтинг риска - определение места отдельного оцененного риска, в том числе агрегированного, объектов аудита или областей риска относительно иных рисков;

13) риск-аппетит - определенные риски, уровни отдельных рисков, уровни агрегированных рисков, которые воспринимаются как в целом приемлемые для достижения поставленных целей;

14) риск-культура - система ценностей и моделей поведения, определяющих правила принятия решений в области управления рисками;

15) риск-ориентированный подход - комплекс взаимосвязанных принципов, методов и инструментов осуществления деятельности Счетной палаты, предусматривающий планирование и проведение контрольных и экспертно-аналитических мероприятий с использованием результатов оценки рисков;

16) система управления рисками - комплекс принципов, методологий, правил, документов, структур управления и мероприятий по оценке рисков, воздействию на риски, а также по мониторингу и контролю их уровня;

17) управление риском (воздействие на риск) - меры, направленные на снижение уровня риска;

18) уровень зрелости системы управления рисками - уровень развития системы управления рисками, определяемый в соответствии с моделью зрелости системы управления рисками;

19) уровень риска - величина значений ключевых индикаторов отдельного риска, полученная по итогам оценки риска;

20) характер риска - характеристики риска, определяющие направление и степень его воздействия на достижение целей.

3. Цели и задачи риск-ориентированного подхода

3.1. Цели применения риск-ориентированного подхода

3.1.1. Основной целью применения риск-ориентированного подхода при планировании и осуществлении Счетной палатой контрольной и экспертно-аналитической деятельности является оценка рисков достижения стратегических целей*(3) и целей деятельности объектов аудита, а также содействие объектам аудита в проведении такой оценки, оценка уровня зрелости системы управления рисками и направление предложений (рекомендаций) объектам аудита и заинтересованным сторонам на основе систематической оценки рисков объектов аудита или областей рисков в целях минимизации влияния рисков.

3.1.2. К иным целям риск-ориентированного подхода относится содействие объектам аудита и заинтересованным сторонам в снижении уровня рисков в областях рисков по обеспечению:

1) целевого и законного использования федеральных и иных ресурсов;

2) эффективного использования федеральных и иных ресурсов;

3) достоверности бюджетной отчетности, управленческой и иной отчетности, данных мониторинга достижения национальных целей и иных связанных данных и информации;

4) надлежащего функционирования объектов аудита, иных органов и организаций при осуществлении своей деятельности в соответствии с законодательством Российской Федерации.

3.2. Задачи применения риск-ориентированного подхода

К задачам применения риск-ориентированного подхода относятся:

1) повышение качества анализа внешней и внутренней среды объектов аудита и областей риска и ее изменений при осуществлении аудита (контроля) за счет заблаговременного выявления рисков, идентификации новых рисков и их оценки;

2) своевременная адаптация деятельности Счетной палаты к прогнозируемому состоянию социально-экономического положения Российской Федерации;

3) приоритизация мероприятий при планировании контрольной и экспертно-аналитической деятельности Счетной палаты на основе информации о рисках объектов аудита и (или) в областях риска;

4) оптимизация планирования и использования Счетной палатой материальных, финансовых, трудовых и иных ресурсов при осуществлении аудита (контроля) за счет их концентрации на объектах аудита и областях рисков, в которых выявляются риски, в том числе агрегированные с высоким уровнем рисков;

5) повышение качества предложений (рекомендаций) Счетной палаты, подготовленных по результатам контрольных и экспертно-аналитических мероприятий, в части вопросов, касающихся управления рисками;

6) содействие развитию риск-культуры на основе предложений (рекомендаций) Счетной палаты, в том числе относительно формирования или совершенствования системы управления рисками.

3.3. Основы применения риск-ориентированного подхода

Применение риск-ориентированного подхода при планировании и осуществлении Счетной палатой аудита (контроля) основывается на следующих принципах:

1) применение риск-ориентированного подхода не осуществляется обособленно от остальных видов деятельности, а является неотъемлемой частью всех аспектов контрольной и экспертно-аналитической деятельности Счетной палаты;

2) применение риск-ориентированного подхода является частью процесса принятия решений при планировании работы Счетной палаты;

3) рациональное использование специальных знаний, опыта, квалификации в разных предметных областях, для чего при необходимости могут привлекаться эксперты, представители заинтересованных сторон;

4) информированность о рисках. Для реализации данного принципа Счетная палата стремится быть информированной о рисках объектов аудита и о рисках в областях рисков, способных оказать значимое влияние на достижение стратегических целей и целей деятельности объектов аудита, о системах управления рисками объектов аудита и в областях рисков, а также стремится повышать информированность заинтересованных сторон как об имеющихся, так и о вновь возникающих рисках.

Информация, используемая в рамках риск-ориентированного подхода, включает: внутренние и внешние данные и информацию об объектах аудита и областях рисков, итоги ранее проведенных контрольных и экспертно-аналитических мероприятий, данные мониторинга, экспертиз, обратную связь от заинтересованных сторон, прогнозы и экспертные оценки, иные данные и сведения, связанные с процессом управления рисками. При этом информация должна быть своевременной, достаточной, достоверной, результаты ее использования должны быть целесообразны и обоснованы, а соотношение между полезностью информации и затратами на ее получение приемлемым.

3.3.1. Счетная палата содействует объектам аудита и иным заинтересованным сторонам в части совершенствования управления рисками за счет разработки и направления им соответствующих предложений (рекомендаций) по итогам проведения контрольных и экспертно-аналитических мероприятий.

3.3.2. Счетная палата уделяет внимание распространению собственной риск-культуры за счет развития риск-ориентированного мышления у руководства и сотрудников Счетной палаты.

3.3.3. Счетная палата стремится к непрерывному развитию методологии и практики применения риск-ориентированного подхода. Совершенствование риск-ориентированного подхода основано на анализе и применении новых и развивающихся научных, практических подходов, информационных технологий, методов и инструментов в области управления рисками, в том числе с учетом международной практики применения и развития риск-ориентированного подхода высшими органами аудита.

4. Применение риск-ориентированного подхода

4.1. Применение риск-ориентированного подхода при планировании деятельности Счетной палаты

4.1.1. Риск-ориентированный подход при планировании деятельности Счетной палаты применяется в ходе:

1) разработки основных направлений деятельности Счетной палаты;

2) подготовки и рассмотрения проекта плана работы Счетной палаты;

3) подготовки и рассмотрения изменений в основные направления деятельности Счетной палаты и план работы Счетной палаты.

4.1.2. При разработке основных направлений деятельности Счетной палаты риск-ориентированный подход применяется посредством анализа направлениями деятельности Счетной палаты проблем социально-экономического развития и безопасности, включая причины проблем, анализа отраслевых рисков, а также анализа областей рисков, связанных с достижением стратегических целей.

4.1.3. При подготовке проекта плана работы Счетной палаты риск-ориентированный подход применяется посредством:

1) изучения и анализа информации об уровне зрелости систем управления рисками объектов аудита, накапливаемой и систематизируемой в ходе осуществления контрольной и экспертно-аналитической деятельности Счетной палаты;

2) поиска и учета рисков на основе анализа внешней и внутренней среды объектов аудита;

3) оценки рисков в областях рисков, в деятельности объектов аудита;

4) рейтингования рисков;

5) определения объектов аудита, предмета (тематики) контрольных и экспертно-аналитических мероприятий, их целей, планируемых трудозатрат на основании рейтинга риска и оценки рисков.

4.1.4. При внесении корректировок в утвержденные основные направления деятельности Счетной палаты и план работы Счетной палаты на год риск-ориентированный подход применяется по итогам анализа изменений внешней и внутренней среды объектов аудита и областей рисков, повлекших за собой необходимость внесения корректировок, анализа текущих рисков объектов аудита, выявления, анализа и оценивания новых рисков в областях рисков.

4.1.5. Для рисков, характер которых связан с вероятностью недостижения поставленных целей, в Счетной палате формируется реестр агрегированных и иных рисков, который регулярно актуализируется и служит основой для приоритизации при планировании работы Счетной палаты.

4.2. Применение риск-ориентированного подхода при проведении контрольных и экспертно-аналитических мероприятий

4.2.1. Риск-ориентированный подход применяется на всех этапах проведения контрольного или экспертно-аналитического мероприятия.

4.2.2. В ходе подготовительного этапа контрольного или экспертно-аналитического мероприятия риск-ориентированный подход применяется для:

определения целей и вопросов мероприятия;

выбора методов осуществления аудита (контроля) и состава процедур на основании оценки рисков в деятельности объекта аудита;

оценки ресурсов, необходимых для проведения мероприятия;

определения размера выборок с учетом оценки существенности и аудиторского риска.

В этих целях изучаются:

достигнутые и недостигнутые результаты деятельности объекта аудита, в том числе связанные с реализацией стратегических целей в соответствующей сфере социально-экономического развития и безопасности;

факторы, явления и недостатки процессов, оказывающие влияние на области рисков;

ранее выявленные риски объекта аудита, нарушения и недостатки в его деятельности, в том числе носящие системный и систематический характер, и их причины.

4.2.3. В ходе основного этапа контрольного или экспертно-аналитического мероприятия риск-ориентированный подход применяется для:

1) оценки уровня зрелости системы управления рисками и практики управления рисками объекта аудита или в областях рисков;

2) уточнения характеристик текущих рисков объекта аудита и (или) идентификации и анализа новых рисков объекта аудита или областей рисков;

3) управления аудиторским риском, в том числе путем корректировки объема запланированных программой и рабочим планом проведения мероприятия действий (процедур), применяемых методов и предусмотренных для проведения мероприятия ресурсов;

4) определения соответствия деятельности объекта аудита законодательным (в рамках выявления потенциальных рисков нарушения законодательства и анализа реализовавшихся в виде нарушений законодательства рисков) и нормативным требованиям;

5) оценки возможности достижения стратегических целей, целей деятельности объекта аудита (ожидаемое отклонение от целей) в рассматриваемый период времени с учетом имеющихся рисков и их характера;

6) оценки полноты и адекватности ключевых индикаторов рисков, систем их мониторинга, применяемых объектом аудита;

7) мониторинга значений ключевых индикаторов рисков в целях своевременного выявления вероятности и последствий реализации рисков в объектах аудита и областях рисков.

4.2.4. В ходе заключительного этапа контрольного или экспертно-аналитического мероприятия риск-ориентированный подход применяется для:

1) определения содержания отчета (состава выводов и предложений (рекомендаций) по итогам контрольного или экспертно-аналитического мероприятия с учетом результатов оценки рисков;

2) подготовки предложений (рекомендаций) объекту аудита, заинтересованным сторонам, влияющим или способным повлиять на области рисков, включая предложения (рекомендации) по управлению рисками и повышению уровня зрелости системы управления рисками.

5. Элементы риск-ориентированного подхода, применяемые в контрольной и экспертно-аналитической деятельности

В рамках осуществления контрольной и экспертно-аналитической деятельности применяются соответствующие элементы риск-ориентированного подхода:

1) оценка рисков;

2) мониторинг управления рисками;

3) документирование и информирование о рисках;

4) содействие снижению уровня рисков.

5.1. Оценка рисков

5.1.1. Ключевым элементом риск-ориентированного подхода при осуществлении аудита (контроля) является оценка рисков достижения стратегических целей, целей деятельности объекта аудита, которая включает:

1) идентификацию рисков объекта аудита и областей рисков, способных оказать негативное воздействие на достижение стратегических целей, целей деятельности объекта аудита;

2) анализ выявленных рисков, их причин, источников и последствий;

3) качественное и количественное оценивание отдельных (индивидуальных) рисков;

4) оценивание агрегированных рисков и определение рейтинга риска*(4);

5) сравнение полученных значений рисков с риск-аппетитом.

5.1.2. Идентификация рисков предусматривает поиск, определение, описание (документирование) рисков, способных повлиять на достижение поставленных целей. В ходе идентификации рисков формируется и используется генеральная совокупность рисков объекта аудита и (или) области рисков, из которой выделяются актуальные риски объекта аудита, способные с учетом динамики изменения условий внешней и внутренней среды оказать влияние на достижение целей. Генеральная совокупность рисков используется при планировании и проведении аудита.

5.1.3. Анализ рисков объекта аудита и областей рисков нацелен на понимание характера риска и его особенностей. Анализ рисков включает подробное рассмотрение причин и последствий риска, средств контроля, мер по управлению рисками и результатов таких мер. Анализ рисков может проводиться с различной степенью детализации и сложности в зависимости от доступности и достоверности информации и располагаемых ресурсов.

5.1.4. Оценивание отдельных рисков и агрегированных рисков нацелено на содействие принятию дальнейших решений в части управления рисками. Для оценивания рисков в зависимости от их сложности и значимости последствий применяются качественные и количественные методы оценки.

При определении уровней рисков учитываются целевые ориентиры управления рисками, определяющиеся при помощи показателей риск-аппетита и критериев риска.

Определение уровня включает сравнение результатов анализа риска с установленными критериями риска и риск-аппетитом для определения последующих действий для воздействия на риск.

5.2. Воздействие на риски

Счетная палата может формировать предложения (рекомендации) по управлению рисками объектов аудита или в областях рисков.

Также Счетная палата проводит мониторинг реализации предложений (рекомендаций) по управлению рисками объектами аудита и заинтересованными сторонами в соответствии со стандартами внешнего государственного аудита (контроля).

5.3. Мониторинг управления рисками

5.3.1. Счетная палата осуществляет мониторинг управления рисками объектов аудита и областей рисков, в том числе по итогам проведения аудита (контроля).

5.3.2. Задачами мониторинга управления рисками объекта аудита являются:

1) проверка выполнения предложений (рекомендаций) Счетной палаты по итогам проведенных мероприятий;

2) анализ причин реализовавшихся рисков, идентификация новых рисков и последующая переоценка рисков;

3) разработка предложений (рекомендаций) по совершенствованию системы управления рисками объекта аудита.

5.4. Документирование и информирование о рисках

Результаты аудита (контроля) с применением риск-ориентированного подхода фиксируются в документах, подготавливаемых в ходе и по результатам мероприятия.

Результаты проведенных мероприятий, предложения (рекомендации), в том числе относящиеся к совершенствованию управления рисками, доводятся до объектов аудита и заинтересованных сторон.

6. Непрерывное развитие, совершенствование и оценка применения риск-ориентированного подхода к осуществлению аудита (контроля)

6.1. Счетная палата непрерывно развивает собственную риск-культуру за счет:

1) распространения информации о принципах и важности риск-ориентированного подхода со стороны Коллегии и руководства Счетной палаты;

2) повышения качества процессов, процедур и инструментов риск-ориентированного подхода;

3) внедрения практики непрерывного обучения и профессионального развития сотрудников Счетной палаты в области риск-ориентированного подхода;

4) создания, развития и поддержания актуальной методологической и методической базы по риск-ориентированному подходу;

5) создания, развития и поддержания систем внутренних коммуникаций, обмена информацией и лучшими практиками по вопросам применения риск-ориентированного подхода;

6) стимулирования вовлечения сотрудников в разработку, внедрение и применение риск-ориентированного подхода при осуществлении аудита (контроля);

7) применения иных мер по созданию, развитию и поддержанию риск-культуры.

6.2. Счетная палата изучает лучшие российские и международные практики и опыт применения риск-ориентированного подхода в аудите (контроле) и использует эти знания для совершенствования собственной методологической и методической базы.

6.3. Одним из основных направлений развития и совершенствования риск-ориентированного подхода является автоматизация и расширение использования информационно-аналитических систем Счетной палаты. Счетная палата стремится внедрять набор программных инструментов, обеспечивающих возможность эффективного осуществления процедур риск-ориентированного подхода.

6.4. Счетная палата осуществляет регулярный мониторинг практики реализации риск-ориентированного подхода и степени достижения целевого уровня зрелости в Счетной палате.

Качество применения и реализации риск-ориентированного подхода в деятельности Счетной палаты оценивается на регулярной основе, рассматривается на заседаниях Коллегии Счетной палаты и является основой для принятия организационных, административных, методологических и иных решений*(5).

Информация об оценке рисков по мере внедрения и применения риск-ориентированного подхода служит основанием для корректировки и совершенствования методического обеспечения аудита (контроля).

6.5. Развитие риск-ориентированного подхода при осуществлении аудита (контроля) включает в себя следующие основные этапы:

1) подготовка и утверждение целевой модели применения риск-ориентированного подхода при осуществлении аудита (контроля);

2) разработка методологического и методического обеспечения, включающего:

методический документ по применению риск-ориентированного подхода, содержащий детальное описание элементов, методов и инструментов риск-ориентированного подхода, а также регламентацию действий участников мероприятий;

отдельные инструменты риск-ориентированного подхода (с описанием процедуры их применения);

модели оценки зрелости систем управления рисками различных объектов аудита и областей рисков;

методики расчета аудиторского риска для различных видов аудита (контроля);

методический документ, определяющий методологию оценки применения риск-ориентированного подхода в Счетной палате;

методический документ по оценке рисков объектов аудита и областей рисков;

иные документы Счетной палаты, методические указания и рекомендации, устанавливающие особенности применения риск-ориентированного подхода при проведении контрольных и экспертно-аналитических мероприятий;

3) приведение внутренних нормативных документов Счетной палаты в соответствие с положениями Концепции;

4) поэтапное внедрение риск-ориентированного подхода, включая обязательный этап апробации разработанного методологического и методического обеспечения, а также иных документов, регламентирующих применение риск-ориентированного подхода, по итогам апробации.

6.6. Эффективность применения риск-ориентированного подхода обеспечивается в том числе за счет:

1) цифровизации и автоматизации деятельности Счетной палаты с применением риск-ориентированного подхода, включающих:

разработку и реализацию алгоритмов непрерывного мониторинга и машинного обучения;

внедрение автоматизированных и дистанционных методов и моделей аудита (контроля);

автоматизацию процессов применения риск-ориентированного подхода при документировании и подготовке отчетов по итогам мероприятий;

применение иных методов цифровизации аудита (контроля);

2) повышения уровня зрелости Счетной палаты на основе оценки успешности внедрения и реализации риск-ориентированного подхода, предусматривающей:

определение и утверждение целевого состояния уровня зрелости риск-ориентированного подхода в Счетной палате;

определение эффективности затрат ресурсов на внедрение и реализацию риск-ориентированного подхода в Счетной палате;

регулярный анализ текущего уровня зрелости риск-ориентированного подхода в Счетной палате и оценку разрывов между текущим и целевым состоянием;

выработку рекомендаций по дальнейшему совершенствованию для достижения целевого состояния уровня зрелости риск-ориентированного подхода в Счетной палате;

формирование и реализацию "дорожной карты" развития риск-ориентированного подхода в Счетной палате и контроль за ее выполнением.

7. Ожидаемые результаты применения риск-ориентированного подхода

7.1. Ожидаемыми результатами применения риск-ориентированного подхода в Счетной палате являются:

1) оптимизация использования ресурсов Счетной палаты за счет их концентрации на объектах аудита и областях рисков с высокими уровнями рисков;

2) увеличение доли охвата контрольными и экспертно-аналитическими мероприятиями объектов аудита и областей рисков, характеризующихся высокими уровнями рисков;

3) повышение гибкости и скорости реагирования на новые вызовы, изменения внешней среды, изменения в деятельности объектов аудита и областей рисков за счет мониторинга и переоценки рисков;

4) повышение качества и востребованности предложений (рекомендаций) Счетной палаты для объектов аудита;

5) положительные оценки деятельности Счетной палаты со стороны общества, иных заинтересованных сторон.

7.2. Ожидаемыми результатами применения Счетной палатой риск-ориентированного подхода для объектов аудита и областей рисков являются:

1) снижение нагрузки на объекты аудита и области риска с высоким уровнем зрелости системы управления рисками;

2) содействие снижению уровня рисков достижения стратегических целей и целей деятельности объектов аудита;

3) совершенствование систем управления рисками объектов аудита и в областях рисков;

4) повышение ценности и востребованности предложений (рекомендаций) Счетной палаты.

______________________________

*(1) Международный стандарт ISO 31000:2018 Risk management - Guidelines (Менеджмент риска - руководство).

*(2) Содержание понятия "аудиторский риск" при проведении финансового аудита (контроля) представлено в пункте 2.2.3 стандарта внешнего государственного аудита (контроля) СГА 103 "Финансовый аудит (контроль)" и разделе 2 Методических указаний по оценке существенности и рисков в ходе контрольных мероприятий, осуществляемых в виде финансового аудита.

*(3) Согласно подпункту 2 пункта 1.2 стандарта внешнего государственного аудита (контроля) СГА 105 "Стратегический аудит".

*(4) При определении рейтинга риска могут учитываться доступные оценки риска, проведенные федеральными органами исполнительной власти, научными, экспертными организациями, иными заинтересованными лицами.

*(5) В соответствии с пунктом 7 статьи 36 Федерального закона от 5 апреля 2013 г. N 41-ФЗ "О Счетной палате Российской Федерации" инспекторы и иные сотрудники аппарата Счетной палаты несут ответственность в соответствии с законодательством Российской Федерации за достоверность и объективность результатов проводимых ими контрольных и экспертно-аналитических мероприятий, представляемых в государственные органы или предаваемых гласности, а также за разглашение государственной и иной охраняемой законом тайны.