Одним из важнейших этапов аудита группы компаний является тестирование групповых средств контроля, систем управления рисками и их эффективности в целях выявления рисков существенного искажения консолидированной отчетности. Необходимо отметить, что оценка системы внутреннего контроля и рисков существенного искажения консолидированной финансовой отчетности (КФО) связана не только с регламентацией и проведением аудиторских процедур, она также влияет и на содержание аудиторского заключения и выражение мнения аудитора [6].При риск-ориентированном подходе проведения аудита одним из наиболее важных этапов аудиторской проверки является выявление рисков существенного искажения КФО. По оценкам компаний «большой четверки», процедуры выявления рисков занимают около 60–70% времени аудиторской проверки. Учитывая значимость данных процедур, рассмотрим детальнее содержание указанного этапа аудита КФО.Действующие в настоящее время международные стандарты аудита построены на пятиэлементной концепции модели внутреннего контроля, разработанной Комитетом организаций — спонсоров Комиссии Тредвея (The committee of sponsoring organizations of the treadway commission или COSO), (далее — Комитет). Модель получила название COSO Internal Control (англ.: Внутренний контроль, далее — COSO IC).Первоначально модель COSO IC была предложена в 1992 г. В 2013 г. Комитет выпустил усовершенствования и уточнения модели COSO IC, получившие название Internal Control — Integrated Framework (англ.: Внутренний контроль — Интегрированная структура, далее — COSO IC IF), направленные на облегчение формирования организациями эффективной системы внутреннего контроля.В 2004 г. Комитетом была также представлена модель COSO Enterprise Risk Management (англ.: Управление рисками предприятия, далее — COSO ERM), предназначенная для организации эффективной системы управления рисками компаний.Уточнения и дополнения в данную модель были предложены в 2017 г. в документе COSO Enterprise Risk Management — Integrated Framework (англ.: Управление рисками предприятия — Интегрированная структура, далее — COSO ERM IF). Сопоставляя применение двух моделей (COSO IC и COSO ERM) Комитет пояснил следующее.Структура управления рисками предприятия (COSO ERM) исходит из целей деятельности организации, а также идентификации и смягчения или принятия рисков для достижения поставленных целей. Структура внутреннего контроля (COSO IC) предназначена для контроля рисков, для достижения целей деятельности организации путем сокращения рисков до приемлемого уровня. COSO ERM включает в себя те элементы управления и процесс управления, которые позволяют организации принимать обоснованные решения на основе имеющихся рисков. Ответные действия на выявленные риски, включая внутренний контроль, предназначены для снижения риска, связанного с достижением организационных целей в рамках риск-аппетита организации (риска, который организация готова принять). Таким образом, обе модели: COSO ERM и COSO IC — и задача достижения стратегических целей взаимозависимы [13].Действуя согласно требованиям стандарта МСА 315 «Выявление и оценка рисков существенного искажения посредством изучения организации и ее окружения» аудитор в ходе проверки должен сопоставить организованную систему внутреннего контроля аудируемого лица с моделью, предусмотренной стандартом.Однако выбор того, какой базис для оценки следует использовать аудитору в ходе проверки консолидированной финансовой отчетности, зависит во многом и от того, какую модель и насколько полно приняла для использования проверяемая группа — модель COSO IC или COSO ERM. Поскольку элементы управления рисками присутствуют в любой организации и группе компаний, в ходе аудиторской проверки группы компаний предлагаем за базис оценки принять модель COSO IC и дополнительно оценивать элементы управления рисками модели COSO ERM, которые имеют наибольшее значение при подтверждении аудитором достоверности КФО и оценке применения принципа непрерывности деятельности.Предлагаемая нами схема выявления рисков существенного искажения и управления ими при аудите консолидированной финансовой отчетности представлена на рис. 1.На данной схеме наглядно отображены ключевые процессы и процедуры аудита, связанные с выявлением рисков существенного искажения, в том числе представляющие наибольший интерес процедуры:■ понимание деятельности группы и организации бизнеса;■ оценка компонентов системы внутреннего контроля группы компаний.