Контрольные процедуры: виды, характеристики, описание

Контрольные процедуры (КП) — одна из ключевых частей системы внутреннего контроля. Именно они помогают снижать риски и не допускать ошибок в процессах компании. Но на практике у участников налогового мониторинга часто возникают вопросы: как описывать контрольные процедуры, какие виды контролей бывают, чем они отличаются и как их правильно классифицировать. В статье подробно разбираем эти вопросы.

Мария Кутузова Эксперт по налоговому мониторингу

Что такое контрольная процедура

Под контрольной процедурой понимаются мероприятия, действия сотрудников, автоматические операции информационной системы или комбинация указанных процессов. КП осуществляется на различных уровнях организационной структуры и направлена на уменьшение вероятности наступления риска и/или минимизацию возможного ущерба в случае его реализации.

В рамках налогового мониторинга все основные требования к контрольным процедурам закреплены в главах 9 и 10 Приказа ФНС от 25.05.2021 № ЕД-7-23/518@. Ежеквартально в ФНС подается отчет по форме КНД 1125309 «Контрольные процедуры организации, осуществляемые в целях налогового мониторинга».

Контрольные процедуры должны покрывать все значимые риски, идентифицированные для целей налогового мониторинга. У каждой КП должно быть название и уникальный код для идентификации. Кроме этого, у контрольных процедур есть ряд классификаций и характеристик.

Классификация контрольных процедур по способу проведения

Контрольные процедуры по способу выполнения делятся на три типа: автоматические, IT-зависимые и ручные.

Автоматические контрольные процедуры — это те контроли (проверки), которые «зашиты» в информационную систему (ИС) и выполняются автоматически без участия человека. Такие процедуры реализованы во всех учетных системах.

Примеры: автоматическая сверка суммы операции с суммой лимита договора при сохранении проводки, проверка корректности корреспонденции счетов при отражении проводки, контроль заполнения обязательных полей в проводке или карточке. Набор таких автоматических контролей зависит от учетной системы, а также от особенностей учета в компании и бизнес-процессов.

Сотрудник фактически не видит, что контроли выполняются. Только если контроль не пройден, система покажет сообщение об ошибке или предупреждение. Автоматические контрольные процедуры считаются самыми надежными, так как снижают вероятность ошибок, которые связаны с человеческим фактором.

IT-зависимые контрольные процедуры — это контроли, которые выполняются совместно сотрудником и ИС в различных сочетаниях.

Например, ИС может сама выполнять контроль, но «запустить» его должен сотрудник, а затем посмотреть, есть ли в журнале ошибки. Или наоборот — сотрудник сам выполняет контроль, но для этого ему нужны выгрузки, отчеты или другие данные, которые сформированы в учетной системе. В этом случае контроль тоже считается IT-зависимым.

Ручные контрольные процедуры выполняют исключительно сотрудники.

Например, бухгалтер должен проверить первичную документацию перед тем, как отразить ее в учетной системе и т.п. Эффективность ручных контролей зависит от компетентности сотрудника, который их выполняет, и подвержена рискам человеческого фактора. В связи с этим рекомендуется сводить долю ручных процедур к минимуму и, по возможности, автоматизировать все КП хотя бы частично.

Виды контрольных процедур

Выделяют два вида контрольных процедур: предупреждающие и выявляющие.

Предупреждающие контрольные процедуры помогают предотвратить ошибки, в то время как выявляющие — обнаружить их до реализации риска.

Например, рассмотрим риск: «Завышение расходов на амортизацию основных средств ввиду некорректного определения первоначальной стоимости и параметров амортизации». Чтобы его минимизировать, нужно ввести предупреждающую контрольную процедуру В ходе нее бухгалтер будет проверять указанные параметры перед тем, как внести их в учетную систему — таким образом можно предотвратить ошибку.

Поскольку эта контрольная процедура выполняется вручную и зависит от человеческого фактора, чтобы максимально покрыть риск на более высоком уровне можно внедрить выявляющую контрольную процедуру. Ее нужно проводить после того, как бухгалтер отразит все операции ввода в эксплуатацию основных средств за отчетный период, но до сдачи отчетности.

Например, главный бухгалтер или сотрудник отдела налоговой отчетности может провести выборочную проверку (рандомную или по некоторому числу самых крупных операций) ввода в эксплуатацию основных средств. В ходе нее можно убедиться, корректно ли бухгалтер указал стоимость объекта, дату начала амортизации и ее параметры.

В этом примере мы видим ещё одну классификацию контрольных процедур.

По степени покрытия контрольные процедуры делятся на сплошные и выборочные.

Сплошные контрольные процедуры проводятся в отношении всех объектов контроля, а выборочные — только в отношении объектов, которые отобрали по определенным критериям или случайным образом.

Наилучшее покрытие рисков обеспечивают сплошные процедуры. Однако не всегда есть техническая возможность проверить весь объем операций на конкретном участке учета, например, из-за их количества, сложности логики проверки и других факторов. В таких случаях проводятся выборочные проверки.

При формировании выборки желательно отдать предпочтение самым крупным по стоимости операциям — это позволит снизить потенциальные последствия, если риск все же реализуется. Если операции сопоставимы по сумме, выборка может быть случайной или основанной на других критериях, которые значимы для конкретного контроля.

Проконсультируем по всем вопросам перехода на налоговый мониторинг

Заявка на консультацию

Классификация контрольных процедур по степени значимости

По степени значимости выделяют ключевые и компенсирующие контрольные процедуры. Эта классификация не используется в рамках налогового мониторинга, но важна, чтобы чтобы оценить, насколько контрольные процедуры покрывают риск.

Если корректно выполнять ключевые контрольные процедуры, они могут снизить уровень риска до приемлемого. Компенсирующие контрольные процедуры внедряют, чтобы покрыть остаточный риск после проведения ключевых процедур или как дополнительный контроль, который снижает риски, если ключевой контроль выполнили с нарушениями.

Сами по себе компенсирующие контроли не имеют решающего значения и служат как вспомогательные. Основу СВК должны составлять хорошо продуманные, эффективные ключевые контрольные процедуры.

Характеристики контрольных процедур

Помимо классификации контрольных процедур в реестре КП указывают ряд других важных характеристик.

Для каждой контрольной процедуры нужно определить частоту выполнения. В рамках налогового мониторинга ФНС предлагает использовать 6 вариантов частоты выполнения: 1 — ежедневно, 2 — ежемесячно, 3 — ежеквартально, 4 — ежегодно, 5 — при записи информации, 0 — по запросу. Рассмотрим их более подробно.

Принципиально частота делится на 4 варианта:

1. Периодические — контрольные процедуры, которые выполняются с четко определенной частотой, обычно привязанной к закрытию отчетного периода или сдаче отчетности. Сюда относятся ежегодные, ежеквартальные и ежемесячные КП. Например, проверки технических счетов при закрытии отчетного периода или сверки регистров и деклараций при подготовке отчетности и т.п.
2. Рутинные — процедуры, которые выполняются ежедневно, а зачастую и несколько раз в день, в рамках рутинной работы сотрудника. Например, проверка первичной документации и т.п.
3. При записи информации — проверки, которые выполняются при каждой транзакции в информационной системе. Такая периодичность в основном относится к автоматическим контрольным процедурам.
4. По запросу — проверки, которые проводятся при наступлении определенного события. Например, проверка благонадежности контрагента перед согласованием договора или контроль начисления дивидендов при принятии соответствующего решения Советом директоров.

Также в рамках налогового мониторинга для каждой контрольной процедуры нужно указать информационную систему, в которой выполняется КП. Для каждой информационной системы нужно заполнить:

• название и код вида ИС;
• есть ли у ФНС доступ к ИС;
• наличие персональных данных в ИС,
• наличие и обработка в ИС данных других организаций;
• ИНН организации, к ИС которой предоставляется доступ;
• номер ИС организации.

Все эти данные о информационных системах нужно взять из Приложения 1 Регламента информационного взаимодействия, который вы отправили в ФНС при подаче заявления на переход на налоговый мониторинг.

Описание контрольной процедуры

Участники налогового мониторинга задают много вопросов о том, как описывать контрольную процедуру. Строгих требований к описанию контролей нет, но есть несколько правил, которые желательно соблюдать.

1 правило — укажите сроки выполнени

В описании контрольной процедуры нужно указать срок или момент выполнения контроля. В большинстве случаев важно не только соблюдать периодичность выполнения контролей (например, выполнять ежемесячно), но и производить проверку в определённое время. Например, контроль, который выявляет, корректно ли введены в эксплуатацию основные средства некорректно выполнять до завершения всех операций ввода в эксплуатацию ОС. В таком случае в описание контроля нужно включить фразу: «Ежемесячно (ежеквартально) после завершения отражения операций ввода в эксплуатацию основных средств в отчетном периоде исполнитель КП выполняет проверку…». Если выполнить такие контроли раньше срока, то не все объекты контроля попадут в проверку, и риск будет покрыт не полностью.

2 правило — заполните должность исполнителя

В описании нужно указать должность исполнителя контрольной процедуры. Компетенции исполнителя должны соответствовать, проверкам, которые выполняются в ходе КП. Также при выборе исполнителя нужно учитывать принцип разграничения полномочий, то есть проверяющий и проверяемый в рамках контроля не могут быть одним лицом.

3 правило — опишите последовательность действий

В описании контроля нужно пошагово описать все действия исполнителя. Все шаги следует охарактеризовать достаточно полно, чтобы они были понятны как самому исполнителю, так и сторонним пользователям. От полноты описания зависит корректность выполнения контроля. Особенно это важно, если у контроля несколько исполнителей и каждый может трактовать расплывчатые формулировки по-своему. Например, контроль корректности оформления первичных документов перед отражением операции в учете. Если описание контроля сократить до «...проверить корректность оформления пакета первичных документов…», то велика вероятность, что каждый исполнитель будет выполнять контроль по-своему в соответствии со своими знаниями и компетенциями. В результате проверки могут быть некачественными. Если же прописать в контроле, какие конкретно параметры нужно проверить, с чем их сверить и т.д., то исполнитель выполнит проверку корректно и в полном объеме.

4 правило — обозначьте, как действовать в случае нарушений

В описании контроля нужно прописать действия исполнителя в случае, если в рамках выполнения контроля он выявил нарушения. Это позволит оперативно исправлять выявленные ошибки.

5 правило — укажите, какие документы будут подтверждать выполнение контроля

Важной частью описания контроля является определение, как будет подтверждаться его выполнение. В рамках налогового мониторинга контрольные процедуры должны документироваться согласно Приказу ФНС от 25.05.2021 № ЕД-7-23/518@. Однако в нем не указано, что именно является документальным подтверждением — это решает сама организация. Стоит отметить, что не все контрольные процедуры нужно документировать. Например, автоматические контроли, которые выполняются в информационной системе, проходят фоново. Исполнительно не видит, как они проходят, а отчеты о их работе обычно не предоставляются. Также можно не документировать процедуры, по которым остается след о выполнении в системе. Например, при согласовании договора отметка о согласовании будет подтверждать выполнение контроля, а отметка об отклонении — его несоответствие. В таких случаях в описании контрольной процедуры нужно указать, что документальным подтверждением выполнения КП будет след в системе. Все остальные контрольные процедуры нужно документировать. Документирование должно подтверждать факт выполнения процедуры. В зависимости от контроля подтверждением могут быть скриншоты, выгрузки или сводные файлы.

Следуя этим рекомендациям, вы легко формализуете ваши контрольные процедуры.

Таким образом, контрольные процедуры — это основной инструмент управления рисками в рамках СВК. Эффективно выстроенные контрольные процедуры помогут предотвратить риски или минимизировать их последствия. Для этого контрольные процедуры компании должны составлять целостную систему, которая покрывает все значимые риски, а их описания следует сделать подробными и однозначными.