4.2.1. Формування програми аудиту

Обсяг ПА слід визначати в залежності від розміру та характеру діяльності організації, а також від характеру, функціональності, складності та рівня досконалості системи управління, аудит якої планується. Пріоритет слід віддавати розподілу ресурсів ПА так, щоби аудит стосувався найважливіших питань системи управління. Ними, наприклад, можуть бути ключові характеристики якості або небезпечні фактори, пов’язані з гігієною чи безпекою праці, чи вагомі екологічні аспекти та їх контроль. Згідно такої концепції загальновідомим є здійснення так званого ризик-орієнтованого аудиту. Вплив на обсяг і зміст ПА може мати також:

• сфера, мета та тривалість кожного аудиту, який треба провести;

• частота проведення аудитів;

• кількість, важливість, складність, подібність та місцезнаходження видів діяльності, які підля­гають аудиту;

• стандарти, законодавчі і контрактні вимоги та інші критерії аудиту;

• висновки попередніх аудитів або результати аналізування попередньої ПА;

• культурні і соціальні особливості;

• інтереси зацікавлених сторін;

• суттєві зміни в організації або її діяльності.

Повноваження і відповідальність особи, що керує програмою аудиту. ОКПА повинна:

• визначити обсяг ПА;

• визначити та оцінити ризики, пов’язані з ПА;

• встановити відповідальність, методики і забезпечити наявність ресурсів;

• забезпечити виконання програми аудиту, зокрема встановити цілі, обсяг, критерії та тривалість кожного аудиту, визначити їх методи та сформувати відповідні групи;

• забезпечити управління процесом ведення відповідних протоколів та їх ведення;

• відстежувати (здійснювати моніторинг), аналізувати та поліпшувати ПА аудиту.

Для кожної програми аудиту повинні бути визначені ресурси, під якими слід розуміти будь-які фінансові, матеріальні, трудові та інші засоби досягнення цілей аудиту. Під час визначання ресурсів треба враховувати:

• фінансові ресурси, необхідні для підготування, здійснення, поліпшення аудиторської діяль­ності та управління нею;

• методи аудиту;

• процеси, спрямовані на набуття та підтримування компетентності аудиторів і на поліпшення діяльності аудиторів;

• наявність аудиторів і технічних експертів, компетентність яких відповідає цілям конкретної програми аудиту;

• обсяг програми аудиту та ризики програми аудиту;

• витрати (фінансові, часові) на поїздки, проживання та інші обумовлені аудитом потреби;

• обслуговування комунікаційних та інформаційних засобів і технологій.

Кожною ПА повинно бути передбачено визначення і оцінювання ризиків. Під ризиком будемо розуміти вплив невизначеності або непевності на досягнення цілей аудиту. Ризики можуть супроводжувати будь-які дії з управління ПА, а саме формування, виконання, моніторинг, критичний аналіз або її поліпшення. Особі, яка керує програмою аудиту, необхідно розглянути ці ризики під час її розроблення. Ризики можуть бути пов'язані з таким діями:

• плануванням, наприклад, якщо немає можливості встановити, чи доречні цілі аудиту і визначити обсяг програми аудиту;

• визначенням ресурсів, наприклад, якщо виділено недостатньо часу для розроблення програми аудиту або самого аудиту;

• формуванням групи аудиту, наприклад, якщо немає колективної компетентності членів групи, щоб результативно проводити аудити;

• виконанням ПА, наприклад, якщо обмін інформацією щодо програми аудиту нерезультативний;

• підготуванням протоколів і заходами з їх контролю, наприклад, якщо немає можливості адекватно захищати протоколи аудиту, що демонструють результативність ПА;

• моніторингом, критичним аналізом і поліпшенням програми аудиту, наприклад, якщо моніторинг результатів виконання програми аудиту нерезультативний.

Для кожної програми аудиту особою, що керує програмою аудиту повинні бути визначені методики програми аудиту Методики програми аудиту мають стосуватися:

• планування аудитів та складання графіків їх проведення з врахуванням ризиків програми аудиту;

• забезпечення конфіденційності та захищеності інформації;

• засвідчення компетентності аудиторів та керівників груп з аудиту;

• формування відповідних груп з аудиту і встановлювання повноважень та відповідальності;

• проведення аудитів, зокрема, з використанням вибіркового перевіряння;

• виконання, у разі потреби, подальших дій після аудиту;

• ведення протоколів за програмою аудиту;

• моніторингу виконування та результативності програми аудиту;

• звітування керівництву про підсумки виконання програми аудиту.

У малих організаціях вищезазначені види діяльності можуть бути охоплені однією методикою.

Програма аудиту періодично контролюється, результати її виконання аналізуються і виявляються можливості щодо її поліпшення.