Assessment of “maturity” of the taxpayer's internal control system for tax monitoring purposes

Berezina Elena Vladimirovna PhD in Law  Assistant Head Accountant, “Gazprom Transgaz Tomsk” LLC 634029, Russia, Tomskaya oblast', g. Tomsk, ul. Pr. Frunze, 9 eva0032@yandex.ru Other publications by this author     Balandina Anna Sergeevna PhD in Economics Docent, the department of Finance and Accounting, National Research Tomsk State University 634050, Russia, Tomskaya oblast', g. Tomsk, pr. Lenina, 36 anbalandina@mail.ru Other publications by this author

Belomyttseva Ol'ga Svyatoslavovna PhD in Economics Docent, the department of Finance and Accounting, National Research Tomsk State University 634050, Russia, Tomskaya oblast', g. Tomsk, pr. Lenina, 36 olbel2001@mail.ru Other publications by this author

Внутренний контроль в управленческом процессе.

В современных экономических условиях организация системы внутреннего контроля является прежде всего функцией процесса управления. Именно в результате осуществления данной функции обеспечивается обратная связь с управляемым объектом на всех стадиях управления и формируется информационная база для принятия управленческих решений.

Теоретические и практические аспекты организации контроля в различных видах экономической деятельности рассмотрены в работах Э.А. Вознесенского, В.А. Ерофеевой, А.Н. Козырина, М.В. Мельник, а также зарубежных специалистов Р. Адамса, Дж. Робертсона и др.

Р. Адамс и Дж. Робертсон сходятся во мнении о том, что систему внутреннего контроля организует руководство предприятия для того, чтобы осуществлять деятельность предприятия упорядоченно и эффективно, обеспечивать соблюдение политики руководства, сохранность имущества, достигать качественного документирования операций^[1]. При этом Дж. Робертсон подчеркивает, что система внутреннего контроля должна служить всему предприятию в целом, а не отдельным лицам^[2].

В экономической и правовой науке принято считать, что контроль – это функция управления^[3]. Так, Э.А. Вознесенский писал: «Контроль представляет собой одну из основных функций органов руководства и управления хозяйственным и культурным строительством, состоящую в систематической проверке объектов контроля»^[4].

Следует согласиться и с точкой зрения М.В. Мельник, согласно которой именно контроль призван обеспечить соблюдение требований законодательства, норм и правил, установленных государством и руководством, участниками финансовых, денежных, кредитных, валютных операций и т.д.^[5]

Значительный вклад в развитие теории и практики внутреннего контроля внесли Н.Д. Бровкина^[6], Т.Е. Гварлиани, СВ. Черемшанов^[7], В.Н. Жуков^[8], Л.В. Завьялова, К.Е. Шилехин ^[9], В.В. Ковалев^[10], М.В. Мельник, А.С. Пантелеев, А.Л. Звездин^[11] и другие авторы.

Контроль, как функция управления, охватывает все сферы деятельности субъекта: производственную, хозяйственную, финансовую. При этом учет и анализ не рассматриваются как самостоятельные функции управления, в свою очередь контроль включает в себя, в том числе учет. Такая точка зрения согласуется с общепринятой в международных теории и практике.

Так, согласно модели, COSO система внутреннего контроля является инструментом управления, не заменяя его. В этой связи средства контроля должны быть встроены в операционную деятельность, а не выстроены дополнительно на ее базе.

Современный этап истории унификации требований к системе внутреннего контроля за деятельностью хозяйствующих субъектов начался в 1985 г. в США. Именно в США была создана национальная комиссия по борьбе с недостоверной финансовой отчетностью – комиссия Тредуэя (названа по имени первого председателя Д.С. Тредуэя). Комиссия была образована пятью ведущими профессиональными саморегулируемыми организациями: Американским институтом дипломированных общественных бухгалтеров (American Institute of Certified Public Accountants), Американской ассоциацией бухгалтеров (American Accounting Association), Институтом внутренних аудиторов (Institute of Internal Auditors), Международной ассоциацией финансовых руководителей (Financial Executives International), Институтом бухгалтеров по управленческому учету (Institute of Management Accountants).

Выпущенный комиссией в 1987 г. отчет содержал призыв к вышеперечисленным организациям объединить усилия по достижению договоренности об общих для всех основных понятиях внутреннего контроля. Результат этой работы был представлен общественности в 1992 г. под названием «Интегрированная концепция внутреннего контроля» (Internal Conrol – Integrated Framework). Кратко этот документ принято называть концепцией или моделью COSO ^[12].

В 2004 г. появился еще один документ Комиссии Тредуэя – «Управление рисками организаций. Интегрированная модель» (COSO ERM) ^[13]. Несколько ранее в 2002 г. появились «Стандарты управления рисками», сформулированные Федерацией европейских ассоциаций риск–менеджеров (FERMA)^[14]. Риск–менеджмент специалистами Комиссии Тредуэя изначально был определен как элемент системы внутреннего контроля. Но в новой версии концепции, разработанной COSO (Enterprise Risk Model – Integrated Framework цели и компоненты системы внутреннего контроля и системы управления рисками приведены в единую систему, что было призвано исключить дублирование.

В 2013 г. концепция вновь претерпела обновления, не связанные с принципиальными изменениями. Их суть была направлена на улучшения и уточнения с целью облегчения восприятия и применения. С этой целью основные принципы сформулированы применительно к каждому компоненту системы внутреннего контроля; более подробно изложены требования к внутреннему контролю при подготовке отчетности; кроме того, дополнительно учтены внешние и внутренние экономические факторы, произошедшие в мире с 1992 г.

Итак, в соответствии с действующей моделью COSO система внутреннего контроля представляет собой совокупность пяти компонентов.

Рис. 1. Компоненты СВК в соответствии с моделью COSO

Во–первых, контрольная среда, как некая основа всей концепции внутреннего контроля – это отношение к нему.

Оценка риска в концепции COSO – второй компонент – один из наиболее важных и сложных компонентов СВК, в рамках которого необходимо определить события, которые могут влиять на организацию, и механизмы управления риском, связанным с данными событиями.

Третий компонент – действия по осуществлению контроля. В модели COSO – это процедуры контроля, используемые на всем предприятии.

Относительно информационных и коммуникационных систем модель COSO предусматривает необходимость фиксирования внутренней и внешней информации, поскольку именно внутренний контроль должен обеспечить достоверность и прозрачность информационных потоков организации.

Последний компонент системы внутреннего контроля – мониторинг – это процесс оценки качества работы системы в течение промежутка времени. Недостатки внутреннего контроля, выявленные в ходе мониторинга, должны быть доведены до сведения руководства и приняты меры по их устранению, что в сою очередь, обеспечит непрерывное совершенствование системы. COSO усматривает ответственность руководства в мониторинге всех процессов, связанных с информационными технологиями с целью обеспечения работоспособности средств контроля.

Таким образом, можно сделать вывод, что модель COSO представляет внутренний контроль как управленческую функцию, которая сопровождает каждое действие любого работника хозяйствующего субъекта в связи с исполнением своих функциональных обязанностей. При этом оценка соответствия системы внутреннего контроля хозяйствующего субъекта модели COSO не является обязательной и осуществляется по инициативе самого субъекта.

Развитие внутреннего контроля в Российской Федерации.

Создание систем внутреннего контроля в хозяйствующих субъектах России получило законодательную основу в 2011 году с момента вступления в силу норм статьи 19 Федерального закона № 402–ФЗ «О бухгалтерском учете» ^[15]. С этого момента вопросы внутреннего контроля стали не только предметом многочисленных научных дискуссий, но и начали активно обсуждаться в профессиональном сообществе в связи с необходимостью реализации требований законодательства на практике.

Несмотря на то, что внутренний контроль в теории всегда рассматривался как функция управления, до принятия Закона № 402–ФЗ ни один нормативный акт не предусматривал требований по его организации и ведению.

Сам термин «система внутреннего контроля» в российское законодательство пришел из аудиторской практики. В 1996 году это понятие было сформулировано в Перечне терминов и определений, используемых в правилах (стандартах) аудиторской деятельности^[16] следующим образом: совокупность организационной структуры, методик и процедур, принятых руководством экономического субъекта в качестве средств для упорядоченного и эффективного ведения хозяйственной деятельности, которая в т. ч. включает надзор и проверку, организованные внутри данного экономического субъекта его силами:

· соблюдения требований законодательства;

· точности и полноты документации бухгалтерского учета;

· своевременности подготовки достоверной бухгалтерской отчетности;

· предотвращения ошибок и искажений;

· исполнения приказов и распоряжений;

· обеспечения сохранности имущества организации.

В современных терминах аудита ^[17] система внутреннего контроля включает следующие элементы:

1. контрольная среда;

2. процесс оценки рисков в организации;

3. информационная система, связанная с финансовой отчетностью, включая соответствующие бизнес–процессы, и информационное взаимодействие;

4. контрольные действия;

5. мониторинг средств контроля.

Следует отметить, что термин «внутренний контроль» в современном российском законодательстве используется во многих нормативных актах:

· ст. 28.1 Закона РФ «Об организации страхового дела в Российской Федерации»^[18];

· п. 15–18 ст. 38 Федерального закона «Об инвестиционных фондах»^[19];

· ст. 10 Федерального закона «О клиринге и клиринговой деятельности»^[20];

· ст. 9 Федерального закона «О саморегулируемых организациях»^[21];

· ст. 87.1 Федерального закона «Об акционерных обществах»^[22];

· Информация Минфина России № ПЗ-11/2013^[23];

· ст. 5 Федерального закона «Об аудиторской деятельности»^[24].

Вместе с тем в каждом из вышеперечисленных нормативных актов данному понятию придается свое значение, все они, несмотря на схожесть, имеют отличия и свои акценты. Единый документ, определяющий дефиницию «внутренний контроль» в российской практике отсутствует, так же, как и нормативные документы, устанавливающие порядок и методологию организации системы внутреннего контроля. Как правило, на уровне каждого из вышеперечисленных законов сформулировано общее требование о необходимости осуществления внутреннего контроля.

Отсутствие и бессистемность регулирования процессов внутреннего контроля, попытки «иметь ввиду» наличие регулирования на базе модели СОSO привели к тому, что увеличение значимости внутреннего контроля для различных хозяйствующих субъектов очевидно. Однако внутренний контроль продолжает рассматриваться только в связи с исполнением задач бухгалтерского учета, что, безусловно, сужает и сам контроль, и понижает уровень участников, его осуществляющих, до уровня бухгалтерии.

Более того, до появления налогового мониторинга, многие не в полной мере понимали необходимость формирования системы внутреннего контроля и механизм его реализации, поскольку установленная Законом № 402 – ФЗ обязанность осуществлять внутренний контроль, существовала наряду с отсутствием его унифицированного порядка, а со стороны аудита контролировалась достаточно формально.

Проведенный сравнительный анализ подходов с точки зрения модели COSO, бухгалтерского учета и требований ФНС России, позволяет сделать вывод, что именно базовые подходы COSO были взяты за основу российскими налоговыми органами при формировании требований к системе внутреннего контроля в целях налогового мониторинга.

Таблица № 1. Сравнительный анализ целей СВК.

Система внутреннего контроля в целях налогового мониторинга

Легальная дефиниция «система внутреннего контроля» в целях налогового мониторинга введена в Налоговый кодекс РФ спустя 2 годя после появления самого налогового мониторинга в российской практике. Определение дано в ст. 105.26 НК РФ: это совокупность организационной структуры, методик и процедур, утвержденных организацией для упорядоченного и эффективного ведения финансово–хозяйственной деятельности (в том числе достижения финансовых и операционных показателей, сохранности активов), выявления, исправления и предотвращения ошибок и искажения информации при исчислении (удержании) налогов, сборов, страховых взносов, полноты и своевременности их уплаты (перечисления), а также для своевременной подготовки бухгалтерской (финансовой), налоговой и иной отчетности организации.

Важно заметить, что законодатель в наименовании данной системы подчеркивает, что это контроль не только за правильностью исчисления (удержания), полнотой и своевременностью уплаты (перечисления) налогов, сборов, страховых взносов, но и, прежде всего, за совершаемыми фактами хозяйственной жизни.

Таким образом, законодатель в целях налогового мониторинга выделил из более объемного и общего понятия система внутреннего контроля подсистему внутреннего контроля правильности формирования и исполнения налоговых обязательств (далее – СВК в целях налогового мониторинга или СВК НО).

Рис. 2. СВК НО в системе внутреннего контроля хозяйствующего субъекта.

Кроме того, в силу прямого указания Налогового кодекса РФ применяемая налогоплательщиком СВК в целях налогового мониторинга должна соответствовать требованиям, установленным Федеральной налоговой службой России (далее – Требования). Несоблюдение Требований является основанием для отказа в проведении налогового мониторинга. Следовательно, именно оценка налоговым органом уровня «зрелости» СВК НО лежит в основе принятия решения о переходе на налоговый мониторинг.

В 2017 г. ФНС России установила^[25], Требования к организации СВК НО, в целом повторяющие общие рекомендации, данные Министерством финансов России в информации № ПЗ–11/2013, акцентируя внимание на необходимости организации внутреннего контроля по пяти компонентам, аналогичным и модели COSO. В то же время компоненты СВК, определённые ФНС России, несколько отличаются от «классического» подхода COSO и Минфина России, в частности, требования налоговой службы более четко структурированы, кроме того они содержат формы рабочих документов по организации внутреннего контроля, а также методику балльной оценки его организации по пяти уровням.

В таблице № 2 представлено сравнение компонентов модели COSO, системы внутреннего контроля по Закону № 402 – ФЗ и требований ФНС России.

Таблица № 2. Сравнение модели COSO и Требований к СВК ФНС России.

Полагаем, что наиболее важным следствием появления в Налоговом кодексе РФ положений о системе внутреннего контроля является сама возможность оценки налоговым органом внутреннего управленческого процесса налогоплательщика и в зависимости от результатов такой оценки применение различных правовых последствий: от отказа в переходе на налоговый мониторинг до определения объёма истребуемых у налогоплательщика документов. Таким образом, подсистема внутреннего контроля формирования налоговых обязательств из области репутационных достоинств хозяйствующего субъекта и внутренних управленческих инструментов превратилась в предмет публичного контроля со стороны налоговых органов в процессах, связанных с налоговым мониторингом.

Оценивая вмешательство налоговых органов в осуществление внутреннего контроля критически, в рамках настоящей статьи мы видели своей задачей рассмотрение действующих положений Требований ФНС России с точки зрения возможности их реализации конкретными налогоплательщиками.

Система внутреннего контроля налогоплательщика должна обеспечивать:

– упорядоченность и эффективность деятельности налогоплательщика;

– правильность исполнения налоговых обязательств (в части правильности исчисления, а также полноты и своевременности уплаты);

– достоверность всех видов отчетности, а также учет результатов финансово–хозяйственной деятельности при исполнении налоговых обязанностей;

– соблюдение законодательства Российской Федерации;

– мониторинг результатов выполняемых контрольных процедур, предусмотренных системой внутреннего контроля налоговых обязательств.

Несмотря на то, что специфика СВК НО определяется спецификой финансово–хозяйственной деятельности конкретного налогоплательщика, одним из наиболее общих требований ФНС России является необходимость функционирования СВК на постоянной основе и на всех уровнях контроля осуществления бизнес–процессов.

Таким образом, система внутреннего контроля в целях налогового мониторинга – это система контроля налогоплательщиком процесса исполнения своих налоговых обязательств, в том числе налогового учета и налоговой отчетности, целью которой является исключение либо минимизация возможности нарушения налогового законодательства и злоупотребления субъективным налоговым правом.

Систему внутреннего контроля налоговых обязательств образуют пять компонентов, оценка каждого из которых и позволят налоговому органу удовлетворить заявление налогоплательщика о переходе на налоговый мониторинг, и в последующем снижать объем налогового контроля: контрольная среда, оценка рисков, контрольные процедуры, информация и коммуникация, процедуры мониторинга. Рассмотрим каждый из компонентов в сравнении традиционными подходами COSO.

Контрольная среда.

Раскрывая понятие контрольная среда, модель COSO использует такие термины как «честность» и «этические ценности», «компетенция персонала», «философия» и «стиль руководства», «распределение полномочий и обязанностей». Можно сделать вывод, что контрольная среда – это отношение к внутреннему контролю. Именно этот компонент позволяет выстраивать внутренний контроль как систему и обеспечивает ее основу. Если не сформировано надлежащее отношение к внутреннему контролю, система не будет столь эффективной, как должна быть.

Аналогичный подход к пониманию данного компонента СВК следует из Требований ФНС. Можно сказать, что именно контрольная среда представляет собой основу СВК. Она формирует адекватное понимание исполнителями и руководителями роли внутреннего налогового контроля, определяет надлежащее отношение субъектов контроля, влияет на эффективность конкретных контрольных процедур. Контрольная среда образуется соответствующими составляющими, которые и подлежат оценке со стороны налогового органа.

Прежде всего налоговый орган оценивает наличие и соблюдение профессиональных, этических и поведенческих стандартов. Если в организации имеются правила поведения сотрудников, но формально они не утверждены локальными нормативными актами, речь идет о начальном уровне. О максимальном уровне данной составляющей можно говорить в том случае, если помимо профессиональных, этических и поведенческих стандартов, утвержденных налогоплательщиком на уровне локальных нормативных актов, действует система ежегодного обучения, формируется ежегодная корпоративная управленческая отчетность, действует система дисциплинарной ответственности при нарушении стандартов поведения и в организации утверждена стратегия развития.

Важнейшим элементом оценки контрольной среды является определение роли руководителя налогоплательщика в функционировании системы внутреннего контроля. Стиль руководства и его основные принципы, в конечном счете, должны обеспечивать непосредственное участие руководителя в организации, работе и оценке СВК НО. Немаловажно, что роль руководителя в осуществлении СВК НО должна быть сформулирована на уровне локального документа налогоплательщика. Кроме того, руководитель раскрывает основные характеристики системы внутреннего контроля внешним пользователям и участвует в принятии решений по совершенствованию СВК НО.

Характеристика организационной структуры налогоплательщика в целом и бухгалтерии в частности, распределение ответственности и полномочий, выделение структурного подразделения, осуществляющего внутренний налоговый контроль, то есть степень «приспособленности» структуры налогоплательщика для осуществления СВК НО непосредственно влияет на оценку ее уровня.

Организация работы по формированию надлежащих компетенций и развитию персонала – последняя составляющая контрольной среды. О максимальном уровне свидетельствует установление ответственности за создание и поддержание системы внутреннего контроля на всех уровнях управления и наличие связи с показателями финансово–хозяйственной деятельности.

Таким образом, если говорить о контрольной среде как компоненте СВК НО, то ключевым ее элементом является человеческий фактор, т.е. совокупность тех качеств и компетенций, которыми обладают руководители и непосредственные исполнители – сотрудники, ответственные за составление и проверку налоговых регистров и форм налоговой отчетности. Особое значение придается наличию в организации, так называемой налоговой комплаенс–культуры, то есть, некоего климата неблагоприятствования нарушениям установленных правил. Повышение уровня налоговой культуры, соблюдение требований (в частности требований налогового законодательства) должно органично войти в систему ценностей налогоплательщика и его сотрудников как неотъемлемая часть корпоративной культуры в рамках корпоративного управления.

Система управления рисками.

Использование термина «риск» в различных сферах сегодня – общераспространенное явление. В налоговом мониторинге «налоговый риск» – это по сути центральное понятие, вокруг которого строится система внутреннего контроля. Несмотря на это данный термин в законодательстве не определен. Более того, единый подход к его использованию установить достаточно проблематично.

В рамках данной работы отметим только то, что в отличие от модели COSO, Требования более четко позиционируют место системы управления рисками не как самостоятельной, а именно как составляющей системы внутреннего контроля: выявление и оценка риска – не самоцель, а лишь определенный этап внутреннего контроля, за которым последуют выработка и реализация контрольных процедур.

Вместе с тем, поскольку само понятие «налоговый риск» подверглось существенной трансформации с появлением налогового мониторинга, полагаем возможным рассмотреть вопросы, связанные с дефиницией «налоговый риск» и подходами к управлению вне рамок данной работы.

Контрольные процедуры.

Управление рисками предполагает возможность целенаправленного уменьшения вероятности возникновения рисков и минимизацию ущерба в случае их наступления. Исходя из понимания сути управления можно говорить о том, что управление рисками осуществляется путем выполнения соответствующих контрольных процедур.

Конкретные меры и действия, предпринимаемые налогоплательщиком, в качестве реакции на идентифицированные налоговые риски основываются на результатах проведенной им работы по выявлению и оценке рисков и зависят от них, а также от организационных, финансовых, и иных возможностей налогоплательщика.

Традиционно в соответствии с моделью СОSO было принято выделять три стратегии рискующего субъекта, связанные с возможным решением по выявленному риску.

Первая стратегия – избежание риска или уклонение от риска, включая отказ от рисковых ситуаций, рисковых видов деятельности и т.п. Вторая стратегия – принятие риска. Она заключается в том, что результат и последствия риска оцениваются по окончании рисковой ситуации; заранее рискующий субъект не осуществляет никаких действий и не предпринимает мер по управлению риском, направленных на оценку, идентификацию, выявление и предупреждение риска, а также нивелирование его последствий. Третья стратегия – управление риском, под которым понимаются целенаправленные действия по ограничению или минимизации рисков, а также компенсации негативных последствий риска, включающие в себя анализ риска и комплекс мероприятий по нивелированию последствий риска, направленные на уменьшение исходного уровня риска до допустимого, приемлемого. Управление риском состоит в заблаговременном выявлении связанных с риском опасностей, влияющих факторов и принятии мер по снижению риска путем целенаправленного изменения этих факторов с учетом эффективности принимаемых мер^[26].

Полагаем, что при построении СВК НО ни первая, ни вторая стратегии не применимы. При формировании налоговых обязательств речь всегда должна идти именно об активном целенаправленном процессе, т.е. об управлении риском. Именно в качестве элемента управления в данной работе предлагается рассматривать контрольные процедуры.

Контрольные процедуры – действия работников налогоплательщика и (или) операции информационных систем, осуществляемые на различных уровнях организационной структуры налогоплательщика, направленные на предупреждение или минимизацию рисков нарушения законодательства о налогах и сборах.

Оценка достаточности осуществляемых налогоплательщиком контрольных процедур для покрытия соответствующего риска является основанием для принятия решений о способе управления риском.

Все применяемые налогоплательщиками контрольные процедуры должны отвечать общим требованиям эффективности (в части обнаружения и исправления допущенных ошибок), своевременности (в части осуществления и документирования результатов контролей), а также рациональности при их осуществлении.

В связи с относительной новизной самого термина «контрольные процедуры» и большим разнообразием самих контролей, которые фактически присутствуют в деятельности налогоплательщиков, требуется их классификация по различным основаниям.

Так, по способу осуществления контрольные процедуры могут быть классифицированы следующим образом:

· расчетные (арифметические);

· аналитические (логические);

· прочие.

К категории расчетных процедур относят арифметическую проверку произведенных расчетов методом повторного пересчета, расчет полученных показателей иными способами отличными от способа, использованного при первичном расчете, проверку полученных результатов путем сопоставления.

При проведении аналитических процедур, как правило, осуществляются следующие действия:

– проверка данных налоговой отчетности путем их сопоставления с данными бухгалтерской отчетности, налоговых регистров, синтетических и аналитических регистров бухгалтерского учета;

– проверка соответствия применяемого порядка расчета налогов требованиям действующего законодательства и локальных нормативных актов налогоплательщика;

– проверка наличия права и оснований для использования налоговых льгот;

– логическая проверка полученных данных налоговой отчетности;

– сравнительный анализ текущих показателей налоговой отчетности с показателями предыдущих периодов, выявление и анализ показателей, существенно отличающихся от их обычных параметров;

– проверка триггеров налоговых рисков (областей налогового учета с высоким риском возникновения ошибок или искажений).

К числу прочихконтрольных процедур могут быть отнесены:

– контроль разграничения полномочий должностных лиц налогоплательщика, осуществляющих ведение бухгалтерского и налогового учета;

– получение письменных и устных разъяснений, подтверждений, расшифровок данных налоговых регистров и форм налоговой отчетности;

– контроль разграничения доступов должностных лиц налогоплательщика к блокам учета в IT–системе.

В зависимости от вида контроля контрольные процедуры могут быть классифицированы следующим образом:

· Предупреждающие контрольные процедуры – контрольные процедуры, направленные на предотвращение случаев ненадлежащего осуществления деятельности (например, требование авторизации и подтверждения пароля доступа в IT–систему; налоговая экспертиза будущей сделки и т.д.);

· Выявляющие контрольные процедуры – контрольные процедуры, направленные на обнаружение случаев ненадлежащего осуществления деятельности (сверка данных книги продаж и книги покупок с данными счетов бухгалтерского учета и т.д.).

В зависимости от степени значимости выделяют следующие контрольные процедуры:

· Ключевые – контрольные процедуры, которые отдельно или в комбинации с другими ключевыми контрольными процедурами являются необходимыми и достаточными для снижения риска бизнес–процесса до приемлемого уровня.

· Компенсирующие – контрольные процедуры, не являющиеся ключевыми, но позволяющие снизить вероятность влияния риска в случае наличия недостатков контрольных процедур или конфликта полномочий.

В зависимости от момента осуществления контрольной процедуры:

1. Предварительные: осуществляемые до фактического начала процесса (операции):

– санкционирование (авторизация) операций, обеспечивающее подтверждение правомочности их совершения;

– разграничение полномочий, в том числе посредством исключения совмещения одним лицом функции инициирования, исполнения и контроля совершения хозяйственной операции;

– разграничение доступа должностных лиц организации к блокам учета в информационной системе в целях исключения несанкционированного доступа и возникновения риска искажения бухгалтерской (финансовой), налоговой и иной отчетности;

– процедуры, связанные с компьютерной обработкой информации информационными системами, осуществляющими контроль доступа, целостности данных и внесения изменений в информационные системы.

2. Текущие: осуществляемые непосредственно в ходе осуществления процесса (операции):

– документальное оформление и подтверждение фактов хозяйственной жизни организации;

– подтверждение соответствия документов требованиям законодательства Российской Федерации;

– контроль фактического наличия и состояния объектов, в том числе охрана, ограничение доступа, инвентаризация;

– контроль соблюдения законодательства Российской Федерации, в том числе при совершении фактов хозяйственной жизни по совершенной или планируемой сделке (операции) или совокупности взаимосвязанных сделок (операций), а также по иным совершенным фактам хозяйственной жизни организации.

3. Последующие: осуществляемые после осуществления процесса (операции):

– сверка данных путем проверки полноты, точности, непротиворечивости и корректности полученной информации;

– надзор, обеспечивающий оценку достижения поставленных целей или показателей;

В зависимости от субъекта, инициировавшего и осуществившего контрольную процедуру:

· Ручные – контрольные процедуры, выполняемые сотрудником без использования информационных систем (например, сверка счета с приходными документами; проверка подлинности банковской гарантии и т.д.).

· IT–зависимые – контрольные процедуры, выполняемые сотрудником с использованием данных из информационных систем (например, анализ системного отчета об ошибках; проверка статуса загрузки данных из одной информационной системы в другую и т.д.).

· Автоматические – контрольные процедуры, выполняемые в учетной информационной системе организации без участия сотрудников (например, ограничения на ввод отрицательных значений; контроль заполнения обязательных полей, формат вводимых данных, автоматическое обнаружение и исправление ошибки прикладной компьютерной программой; автоматическое обнаружение ошибки прикладной компьютерной программой и информирование исполнителя об обнаруженной ошибке и т.д.).

Автоматические контрольные процедуры в свою очередь можно разделить на универсальные (общие) и специальные (прикладные), характеристика и примеры которых приведены в Таблице № 3.

Таблице № 3. Виды автоматизированных контрольных процедур.

Встраивание автоматизированных контролей в IT–системы бухгалтерского учета, использование автоматизированных генераций бухгалтерских операций и корреспонденции счетов на основе типовых операций позволит исключить ошибки обработки данных, обобщения данных первичного учета и формирования учетных регистров, связанные с человеческим фактором.

Учитывая, что налоговый мониторинг позиционируется налоговыми органами как способ цифровизации налогового администрирования, рассмотрению автоматизированных контрольных процедур в Требованиях ФНС уделяется особое внимание. При оценке уровня СВК, НО по компоненту «контрольные процедуры» особое значение имеют:

– количество контрольных процедур организации, выполняемых автоматизированным способом;

– отношение количества автоматизированных контрольных процедур организации к общему количеству контрольных процедур.

Вне зависимости от вида применяемой налогоплательщиком контрольной процедуры каждая из них должна быть описана в соответствии с Требованиями ФНС России. Описание контрольной процедуры как некоего процесса сбора и обработки информации в части определения исполнителя совершаемых действий, частоты выполнения процедур, объекта контроля и подтверждающих документов специалистами в области комплаенс–контроля принято именовать дизайном контроля процедуры. Именно эффективность дизайна контрольной процедуры обеспечит возможность выявления и нивелирования ошибок и нарушений. Требования ФНС к дизайну контрольной процедуры заключается в том, что по результатам описания контрольной процедуры налогоплательщика у внешнего пользователя, не обладающего детальными знаниями в отношении специфики финансово–хозяйственной деятельности организации, должно складываться понимание о следующем:

– как выполнение контрольной процедуры организации направлено на предотвращение или минимизацию рисков;

– кто является исполнителем контроля;

– как предусмотрено разделение исполнителя хозяйственной операции и лица, осуществляющего контроль;

– какие действия совершает исполнитель контроля;

– каким образом фиксируется «след» контрольной процедуры и ее результаты.

Пример дизайна контрольных процедур, которые могут быть использованы при формировании налоговых обязательств по налогу на добавленную стоимость представлен в Таблице № 4.

Совокупность используемых налогоплательщиком контрольных процедур, очередность и результаты их применения, а также действия по итогам полученных результатов могут быть описаны в положениях, программах, иных локальных нормативных актах. Однако полагаем важным напомнить, что внутренний контроль – это не дополнительный процесс или функция – это встроенная составляющая управленческой функции, поэтому завершающим этапом работы по оформлению СВК НО является формирование матрицы рисков и контрольных процедур, которая включит в себя практически все элементы управления: структуру бизнес–процессов, риски, организационную структуру, IT–архитектуру, распределение полномочий и разделение обязанностей в разрезе должностей, место контроля в процессе, сроки выполнения контролей, особенности документооборота и пр. Матрица рисков и контрольных процедур формируется с целью соотнесения рисков, влияющих на деятельность объекта, с контролями соответствующих процессов и понимания уровня покрытия рисков.

Наличие матрицы позволяет четко обозначить полноту покрытия выявленных рисков всеми видами контрольных процедур, в том числе:

– ручными и IT–зависимыми, обязательность проведения которых определена политиками, стандартами, регламентами, инструкциями и другими локальными актами налогоплательщика;

– автоматизированными, информация о которых не закрепляется на уровне локальных нормативных актов, а содержитсяв технических заданиях, функциональных требованиях и концептуальных дизайнах IT–систем.

Если раньше наличие матрицы (как и иных документов, регламентирующих процесс внутреннего контроля) свидетельствовало о глубине понимания менеджментом организации важности процессов внутреннего контроля, то сегодня необходимость иметь матрицу – это прямое требование ФНС России (п. 10.6 Приказа ФНС России № ММВ–7–15/509@).

Информационная система как компонент СВК НО.

В соответствии с требованиями ФНС в качестве составляющей СВК налогоплательщика оцениваются не любые источники информации (в отличие от традиционных подходов COSO), а именно информационная система, которая должна соответствовать требованиям, прямо предписываемым ФНС России (см. рис. 3).

Рисунок 3. Требования к информационным системам в целях налогового мониторинга.

Таким образом, сегодня однозначным требованием ФНС России является интеграция системы внутреннего контроля в IТ–системы налогоплательщика, поскольку именно качество используемых налогоплательщиком информационных технологий при ведении учета и осуществлении контрольных процедур, в конечном итоге обеспечивает соответствующую степень надежности, полноты, достоверности формируемой отчетности позволяет надлежащим образом исполнять налоговые обязанности.

Е.И. Волошина справедливо подчеркивает, что действенность внутреннего контроля в условиях компьютеризации реализуется через обеспечение защищенности информационной системы, которая должна соответствовать требованиям целостности (изменение только в установленном порядке), доступности (отказ в доступе нелегальному пользователю), конфиденциальности (отказ в доступе неуполномоченным пользователям), ответственности (пользователь не может отказаться от авторства выполненного действия)^[28].

Налоговая служба различает несколько видов IТ–систем: информационная система организации бухгалтерского учета, информационная система, реализующая функции внутреннего контроля, аналитическая информационная система. Каждая из вышеназванных видов IТ–систем должна соответствовать установленным ФНС России требованиям.

Так, IТ–система организации бухгалтерского учета, во–первых, должна иметь «встроенную» функцию внутреннего контроля, и, кроме того, должна обеспечивать инициирование, учет, обработку операций и составление отчетности по ним, а также автоматический перенос информации из IТ–систем обработки операций в регистры бухгалтерского учета. IТ–система, реализующая функции внутреннего контроля, должна обеспечивать исправление ошибок, противоречий и неточностей при отражении операций в учете, создание отчетов по фактам произведенных корректировок результатов выполнения контрольных процедур налогоплательщика. Аналитическая IТ–система, используемая налогоплательщиком для мониторинга и оценки СВК НО, должна обеспечивать анализ и изучение результатов тестирования и аудита, а также создание отчетов, управление случаями выявления подозрительных операций налогоплательщика с помощью функций внутреннего и внешнего контроля.

Формализованные требования, которые будут учитываться при оценке каждой из информационных систем налогоплательщика, как компонента СВК, представлены в таблице № 5. Таким образом, подход ФНС России к оценке IТ–систем становится не только более формализованным, но и более жестким: все IТ–системы налогоплательщика будут оценены на предмет соответствия 10 функциональным требованиям, и кроме того, в зависимости от вида IТ–системы предъявляются дополнительные требования. При этом соответствующая информация должна быть представлена в налоговый орган вместе с заявлением о переходе на налоговый мониторинг в качестве приложения к регламенту информационного взаимодействия.

Необходимо отметить, что что ни сама возможность предъявления требований к IТ–системам, используемым хозяйствующим субъектом, ни формат таких требований в настоящее время не предусмотрены ни налоговым кодексом РФ, ни на уровне приказов ФНС России. Проект соответствующего приказа ФНС России «Об утверждении форм и форматов документов, используемых при проведении налогового мониторинга, и требований к ним» в настоящее время только проходит публичное обсуждение^[29]. Однако ФНС России письмом от 30.08.2020 № БВ-4-23/13939@ рекомендовала налогоплательщикам представить документы и, используя административный ресурс, фактически обязала налогоплательщиков представить документы не просто по неустановленным форматам, но и фактически по нелегитимным требованиям^[30].

Это означает, что под предлогом стимулирования налогоплательщиков к управлению рисками, совершенствованию системы внутреннего контроля и IТ–систем, налоговая служба далеко выходит за пределы своей компетенции, определенной законодательством.

Мониторинг средств контроля.

Последний элементом СВК НО включает мониторинг и оценку налогоплательщиком собственной системы внутреннего контроля налоговых обязательств; мероприятия по ее совершенствованию, а также внутренний и внешний аудит.

О высоком уровне зрелости СВК НО по данному компоненту будет свидетельствовать наличие утвержденных правил и периодичности оценки СВК НО. Помимо самостоятельного мониторинга, осуществленного налогоплательщиком, оценка СВК НО должна ежегодно проводиться внешним аудитором, а результаты такой оценки должны представляться сторонним лицам.

В части совершенствования СВК НО налогоплательщик должен иметь соответствующую политику, а также на уровне организационно–распорядительных документов определить структурные подразделения, осуществляющие совершенствование СВК, сам процесс должен быть формализован (план мероприятий) и обеспечен мониторинг его выполнения. Кроме того, налогоплательщиком должна быть утверждена Стратегия развития системы внутреннего контроля.

Следует отметить, в вышеназванном письме ФНС России от 30.08.2020 служба фактически ввела новое требование: обеспечить проведение аудита информационных систем организации, реализующих функции внутреннего контроля.

Именно наличие мониторинга как финального компонента системы внутреннего контроля призвано продемонстрировать ее целостность и динамичность.

Резюмируя проведенное исследование необходимо отметить, что выстроенная по каждому из перечисленных компонентов система внутреннего контроля в целях налогового мониторинга с одной стороны, обеспечит налогоплательщику соблюдение законодательства о налогах и сборах с оптимизацией налогообложения, с другой стороны позволит налоговому органу отказаться от традиционных форм налогового контроля. Однако в связи с изложенным объем обязанностей налогоплательщика при переходе на налоговый мониторинг существенно трансформируется: налогоплательщик становится не только обязан осуществлять внутренний налоговый контроль, но и обязан доказать налоговому органу, что этот контроль осуществляется эффективно. В то время как налоговый орган, не принимая на себя никаких дополнительных обязательств получает неограниченный доступ к массиву информации налогоплательщика.

Развитие налогового мониторинга сегодня рассматривается российским правительством как одно из приоритетных направлений совершенствования налогового администрирования^[31].При этом тенденция цифровизации формата взаимодействия налогового органа и налогоплательщика, продекларированная как открытый диалог с органами публичной власти и в целом оцениваемая положительно, рискует свестись к «интеграции функции государственного налогового контроля в корпоративные информационные системы плательщиков». То есть к возложению на частный субъект осуществления публичной функции. В то время как о поддержании баланса публичных и частных интересов в налогообложении возможно говорить только в том случае, если государство продолжит работу по унификации подходов как налоговых органов, так и налогоплательщиков к совершенствованию системы внутреннего контроля налоговых обязательств путем выявления и типизации ФНС России рисков по отраслям и формирования некоей консолидированной библиотеки рисков, определения формализованных требований к контрольным процедурам и пр. Только таким образом может быть обеспечена определенность и возможность осуществления открытого цифрового формата взаимодействия налогоплательщиков и налоговых органов.

Таким образом, мы можем сформулировать ряд выводов:

1. Основанием для принятия налоговым органом решения о проведении налогового мониторинга является оценка налоговым органом уровня «зрелости» системы внутреннего контроля налоговых обязательств.

2. Внутренний контроль формирования налоговых обязательств из области репутационных достоинств частного субъекта и внутренних управленческих инструментов превратился в предмет публичного контроля со стороны налоговых органов в процессах, связанных с налоговым мониторингом.

3. Система внутреннего контроля в целях налогового мониторинга является подсистемой внутреннего контроля организации – налогоплательщика, рассматривающей в качестве объекта внутреннего контроля правильность формирования и исполнения его налоговых обязательств.

4. Контрольные процедуры – действия работников налогоплательщика и (или) операции информационных систем, осуществляемые на различных уровнях организационной структуры налогоплательщика, направленные на предупреждение или минимизацию рисков нарушения законодательства о налогах и сборах.

5. Возложение на налогоплательщика части публичных функций и частичное переложение на него издержек по осуществлению налогового контроля должно быть детально регламентировано.

Тема статьи имеет обширную почву для дальнейших исследований, которые могут состоять как в анализе зарубежного опыта использования налоговыми органами оценки внутреннего контроля хозяйствующего субъекта в рамках горизонтального мониторинга, так и отечественного опыта проектов перехода на налоговый мониторинг, в ходе которых нарабатывается эмпирический материал при разработке перечней рисков и контрольных процедур, их тестировании и выработке мероприятий по их совершенствованию.

Таблица 4. Дизайн контрольных процедур при формировании налоговых обязательств по НДС.

* 1- ежеквартально; 2 – ежемесячно; 3- по мере возникновения операции.

** 1- предупреждающая; 2-выявляющая.

*** 1- ручная; 2 - IT-зависимая; 3 - автоматическая.

**** 1- ключевая; 2- компенсирующая.

Таблица № 5. Перечень требуемых ФНС России функциональных возможностей информационных систем.

* 1- функционал имеется