A76. Контрольная среда охватывает функции административного и корпоративного управления, отношение руководства и лиц, отвечающих за корпоративное управление, к системе внутреннего контроля организации, их осведомленность в этой области и соответствующие действия, а также значение, придаваемое организацией системе внутреннего контроля.
A77. Элементы контрольной среды, которые могут оказаться значимыми при получении ее понимания:
(a) информирование о принципе честности и этических ценностях - это основные элементы, влияющие на эффективность организации, администрирования и мониторинга средств контроля;
(b) приверженность компетентности - такие вопросы, как определение руководством уровня компетентности для определенных должностей, а также того, какие навыки и знания требуются для обеспечения соответствующего уровня компетентности;
(c) участие лиц, отвечающих за корпоративное управление - такие характеристики лиц, отвечающих за корпоративное управление, как:
- их независимость от руководства;
- их опыт и положение;
- степень их участия и информация, которую они получают, а также их анализ деятельности;
- надлежащий характер их действий, включая уровень сложности вопросов, которые поднимаются и решаются с участием руководства, а также их взаимодействие с внутренними и внешними аудиторами;
(d) философия и стиль управления руководства - такие характеристики руководства, как:
- подход к принятию и управлению бизнес-рисками;
- позиция и действия руководства в отношении к финансовой отчетности;
- отношение к обработке информации, функциям и персоналу, связанным с бухгалтерским учетом;
(e) организационная структура - система, в рамках которой планируется, выполняется, контролируется и проверяется деятельность организации, направленная на достижение ее целей;
(f) распределение должностных полномочий и ответственности - то, каким образом распределены ответственность и полномочия по ведению деятельности организации и каким образом устанавливается взаимодействие по предоставлению отчетности и иерархия полномочий;
(g) кадровая политика и практика - политика и практика, относящиеся, в частности, к набору сотрудников, их адаптации, подготовке, аттестации, консультированию, продвижению, заработной плате и дисциплинарным мерам.
Контрольные действия - это политики и процедуры, которые помогают обеспечивать выполнение распоряжений руководства. Контрольные действия как в системе с применением ИТ, так и в системе ручной обработки данных имеют различные цели и применяются на различных организационных и функциональных уровнях. Примеры конкретных контрольных действий включают действия, связанные:
- с авторизацией;
- проверкой выполнения;
- обработкой информации;
- физическими средствами контроля;
- разделением должностных обязанностей.
Использование ИТ оказывает влияние на метод практической реализации контрольных действий. С редства контроля за ИТ-системами эффективны, если они обеспечивают целостность информации и безопасность данных, обрабатываемых такими системами.
Общие средства контроля за ИТ-системами - обеспечивают целостность информации и безопасность данных и включают средства контроля:
- за центром обработки данных и работой сети;
- приобретением, изменением и обслуживанием системного программного обеспечения;
- изменением программ;
- обеспечением безопасного доступа;
- приобретением, разработкой и обслуживанием прикладных программ. Они обычно применяются для снижения рисков, описанных выше,
Мониторинг средств контроля - это процесс оценки эффективности системы внутреннего контроля в течение какого-либо периода. Он включает своевременную оценку эффективности средств контроля и осуществление необходимых корректирующих действий. Руководство осуществляет мониторинг средств контроля непрерывно, путем отдельных оценок или сочетая оба подхода. Непрерывные мероприятия по мониторингу часто встроены в обычно повторяющиеся операции организации и включают регулярное выполнение управленческих и надзорных действий.
A107. Мониторингможет включать использование информации, полученной от внешних сторон, такой как претензии клиентов и комментарии регулирующих органов, которые могут указать на проблемы или области, требующие усовершенствования.
Если в организации имеется служба внутреннего аудита, получение представления о ее работе способствует пониманию аудитором организации и ее окружения, в том числе системы внутреннего контроля, и особенно роли этой службы в обеспечении мониторинга внутреннего контроля за составлением финансовой отчетности. Такое понимание в сочетании информацией, получаемой с помощью запросов, описанных в пункте 6(a) настоящего стандарта, может также содержать информацию, непосредственно касающуюся выявления и оценки аудитором рисков существенного искажения.
Большая часть информации, используемой для мониторинга, может создаваться информационной системой организации. Если руководство организации без достаточных оснований предполагает, что данные, используемые для мониторинга, точны, то ошибки в таких данных могут потенциально привести руководство организации к неправильным выводам по результатам его действий по мониторингу.