а источник информации - не источник истины.
В одной из последних рабочих ситуаций обсуждали с коллегами данные, которые используют аудиторы - хороший повод ещё раз свериться "по понятиям".
В работе аудитора информации много:
• управленческая отчётность, дашборды и презентации менеджмента, отчеты второй линии;
• выгрузки из систем;
• реестры и аналитические таблицы;
• сканы и копии документов;
• договора, первичные документы;
• регламенты, схемы, карты процессов;
• переписка, материалы из системы документооборота, пояснения коллег;
• результаты предыдущих проверок;
• данные из внешних источников;
• убедительные ответы AI (все чаще слышу на них отсылку).
Но у всего этого разная доказательная ценность:
Презентация может отлично показать, где искать проблему и какова позиция менеджмента (но не доказывает ее объективность).
Дашборд - помочь увидеть отклонение (но не подскажет причину).
Пояснение владельца процесса - дать важный контекст.
Выгрузка из системы - показать, что отражено в учётной системе (но не говорит о том, что эти данные корректны), а регламент - подтвердить, как должно быть и т.д.
Ни один из этих фактов сам по себе ещё не означает, что мы доказали почему произошло, насколько это существенно и какой вывод из этого следует.
Источники информации - это полезно (и интересно), не стоит отказываться от них, раз это "не доказательство".
Их практическая ценность и логика использования аудита хорошо проверяется вопросами:
1. Что именно он подтверждает?
Факт, состояние процесса, выполнение контроля, сумму, действие конкретного лица или только чьё-то мнение?
2. Насколько источник надёжен?
Кто сформировал информацию, насколько независим источник, можно ли изменить данные задним числом, какие существуют контрольные механизмы?
3. Зачем и кем была сформирована информация?
Не стоит путать исходные данные с их интерпретацией, особенно когда перед вами уже готовый вывод от заинтересованного подразделения.
4. Можно ли добраться до первоисточника?
Если цифра из презентации, можно ли проверить её в системе? Если сотрудник что-то сообщил - есть документы или другие данные, которые это подтверждают?
5. Достаточно ли этого именно для нашего вывода?
Источник может быть достоверным, но недостаточным для того вывода, который мы сформулировали.
Аудитор проверяет не только наличие информации, но и то, насколько она релевантна для подтверждения конкретного утверждения.
Если разные источники показывают разные данные об одном и том же - не спешите записывать один из них в "слабые источники".
Само расхождение уже может быть аудиторским наблюдением и поводом для проверки.
Нужно разобраться: почему данные отличаются, какие из них используются для принятия решений, какие считаются официальными, кто и на каком этапе их формирует и контролирует.
Простое, но важное правило "безопасности": фиксировать источник, на который опираетесь, в рабочих материалах/ отчёте.
Не просто:
"по данным подразделения Х", а конкретно (отчет ХХ на 01.01.2026г.)
Читателю должно быть понятно не только что утверждает аудитор, но и на основании чего он к этому пришёл.
#InternalAudit
#AuditEvidence
#AuditMetodology