Внутренний аудитор: чем занимается и как войти в профессию

Слово «аудитор» сбивает с толку: кажется, что внутренний аудитор — тот же специалист, что подписывает заключение по годовой отчётности, только работает в штате. Это другая работа. Внешний аудит по закону № 307-ФЗ требует аттестата и членства в СРО, а его предмет — достоверность отчётности; об этом подробно рассказано в нашей статье «Аудитор». Внутренний аудитор аттестат не получает и заключение по отчётности не подписывает. Его вопрос шире и практичнее: почему в компании случаются потери, ошибки и нарушения и какие механизмы должны были их остановить.

Результат его работы — изменения в процессах: если после проверки склада товар по-прежнему списывают без второй подписи, проверка не удалась, каким бы безупречным ни был отчёт.

Кому подчиняется служба и почему это важно

Внутренний контроль в компании строит менеджмент. По ст. 19 закона № 402-ФЗ каждый экономический субъект «обязан организовать и осуществлять внутренний контроль совершаемых фактов хозяйственной жизни». Согласования, лимиты и сверки выстраивают руководители процессов, а внутренний аудит оценивает, насколько эти контроли надёжны.

Чтобы оценка была честной, служба не должна зависеть от тех, кого оценивает. В публичных акционерных обществах это закреплено законом: по п. 2 ст. 87.1 закона об АО руководителя внутреннего аудита назначает и освобождает от должности совет директоров, он же утверждает условия его трудового договора. Генеральный директор не может уволить человека, который нашёл нарушения в его зоне ответственности. В непубличных компаниях такого требования нет, и подчинённость службы решает собственник. На собеседовании стоит спросить, кому докладывает руководитель аудита: если финансовому директору, то проверять финансовую функцию ему будет трудно.

Годовой план: почему проверяют не всё подряд

Небольшая служба не может ежегодно проверять все процессы крупной компании, поэтому план строят по риску: составляют перечень процессов и подразделений, оценивают по каждому вероятность и масштаб возможных потерь и в первую очередь берут то, где риск выше, а контроли слабее или давно не проверялись.

На оценку влияют обороты процесса, доля ручных операций, недавние изменения (новая учётная система, смена руководителя склада, выход в новый регион), жалобы и сигналы горячей линии, результаты прошлых проверок. План согласуют с комитетом по аудиту или советом директоров и пересматривают в течение года. Каждую строку плана нужно уметь обосновать риском, а не формулой «склад мы проверяем каждый год».

Учебный пример: отгрузки сверх кредитного лимита

Ситуация вымышленная. Дистрибьютор продаёт стройматериалы в рассрочку, у каждого покупателя в учётной системе задан кредитный лимит. Если долг клиента превышает лимит или просрочен, система блокирует новую отгрузку. Снять блокировку может только финансовый контролёр с письменным обоснованием. Служба аудита включила продажи в план, потому что за год выросла просроченная дебиторская задолженность.

Сначала аудитор описывает процесс и проверяет дизайн контроля: правильно ли он задуман. Здесь выясняется первое: лимиты утверждает коммерческий директор, чьи продажи от них зависят. Это конфликт интересов, и его фиксируют, даже не проверяя ни одной отгрузки.

Затем идёт тестирование работы контроля: действует ли он на практике. Из журнала учётной системы аудитор выгружает все снятия блокировки за полгода — допустим, 380 случаев. Сплошная проверка слишком трудоёмка, поэтому он формирует выборку: часть случаев отбирает случайно, часть — целенаправленно (крупные суммы, снятия в последний день месяца, повторные снятия по одному клиенту). По каждому случаю он проверяет, кто снял блокировку, есть ли обоснование и совпадает ли логин с учётной записью финансового контролёра.

Допустим, в девяти случаях из сорока блокировку сняли под учётной записью контролёра в дни, когда он был в отпуске: пароль знали менеджеры отдела продаж. Контроль существует на бумаге, но не работает. Аудитор уточняет масштаб по всей совокупности, считает, какая часть просроченного долга приходится на такие отгрузки, и готовит отчёт.

В отчёте нет слов «менеджеры виноваты». Там описаны условие (что должно быть), факт (что есть), причина (общий пароль, отсутствие замещения на время отпуска), последствие (сумма просроченного долга по разблокированным клиентам) и рекомендации: персональные учётные записи, назначенный заместитель, передача утверждения лимитов финансовой службе. Менеджмент пишет план действий с ответственными и сроками, а через несколько месяцев аудитор проверяет, выполнен ли он: без этого отчёт остаётся архивным документом.

Такой цикл — подготовка, выборка, тестирование, оформление результатов — хорошо отрабатывать на учебных кейсах. На онлайн-курсе «Внутренний аудитор» от Eduson Academy он разбит на модули: подготовка и процедуры, риски с моделью трёх линий, учёт и отчётность, процессы и ИТ, представление выводов. Единый итоговый проект в описании не раскрыт, поэтому формат практики стоит уточнить у школы.

Закупки, склад, продажи: что смотрят в каждом процессе

Процессы различаются, но логика везде одна: найти точку, где один человек может и принять решение, и скрыть его последствия.

Проверка часто начинается с данных: аудитор выгружает журнал операций и ищет аномалии — платежи в выходные, поставщиков с одинаковыми реквизитами, сотрудника, который и заводит поставщика, и согласует ему оплату. Поэтому к знанию учёта полезно добавить уверенный Excel, а в крупных компаниях — SQL.

Правило двенадцати месяцев

Независимость в профессиональном стандарте выражена конкретными ограничениями. Действующий профстандарт «Внутренний аудитор» утверждён приказом Минтруда № 398н от 24.06.2015. Во всех пяти обобщённых трудовых функциях, от рядового аудитора до руководителя службы, в графе «Особые условия допуска к работе» стоят два требования. Первое: «Совмещение должностей с управленческими должностями в организации не допускается». Второе: проверять подразделения, где аудитор раньше занимал должность, он может «только по истечении двенадцати месяцев со дня окончания внутренним аудитором работы в этих структурных подразделениях».

Та же граница есть в международных стандартах. В Global Internal Audit Standards, которые Институт внутренних аудиторов (IIA) опубликовал 9 января 2024 года, стандарт 2.2 «Safeguarding Objectivity» гласит: «Objectivity is presumed to be impaired if an internal auditor provides assurance services for an activity for which the internal auditor had responsibility within the previous 12 months». Иначе говоря, объективность считается нарушенной, если аудитор даёт оценку деятельности, за которую сам отвечал в предыдущие 12 месяцев.

На практике это касается прежде всего тех, кто приходит в аудит изнутри компании. Главный бухгалтер, перешедший в службу внутреннего аудита, год не должен проверять бухгалтерию: он оценивал бы собственные решения. Руководитель службы не может «по совместительству» возглавить отдел закупок: совмещение с управленческой должностью профстандарт исключает. Когда вы планируете переход в аудит из бухгалтерии или операционного подразделения, закладывайте, что первый год будете проверять другие процессы.

Внутренний аудит и комплаенс: где проходит граница

Комплаенс-служба следит, чтобы компания соблюдала законы и внутренние правила: антикоррупционную политику, санкционные ограничения, требования к проверке контрагентов. Она пишет политики, обучает сотрудников, проверяет партнёров и расследует сигналы. В модели трёх линий, которую продвигает IIA, комплаенс относится ко второй линии: он помогает менеджменту управлять риском. Внутренний аудит — третья линия: он оценивает, работает ли вся система, включая сам комплаенс.

Функции постоянно пересекаются: аудитор закупок смотрит, проверили ли контрагента по антикоррупционной процедуре, а комплаенс передаёт аудиту сигналы горячей линии для плана. Если обе роли совмещает один человек, оценивать процедуру, которую сам написал, он не может.

Если вам ближе нормативная сторона, посмотрите на смежное направление. На онлайн-курсе Moscow Digital School «Антикоррупционный комплаенс» слушатели выполняют шесть практических заданий: пишут политику, описывают процедуры проверки контрагентов, мониторинг эффективности и внутренние расследования. Аудитору это помогает понять объект, который он будет проверять.

Какое образование и опыт нужны

Профстандарт № 398н описывает пять уровней работы. Требования к образованию и опыту растут вместе с ответственностью:

Даже для начального уровня (функция A) нужен опыт в одной из функциональных областей: бухгалтерии, финансах, закупках, логистике, ИТ. Поэтому в профессию обычно приходят из учёта, финансового контроля, внешнего аудита или операционной работы. Профстандарт — ориентир для работодателя, а не допуск вроде аттестата.

Онлайн-обучение закрывает строку «дополнительное профессиональное образование». Высшее образование и опыт работы оно не заменяет. Если вы уже работаете бухгалтером или экономистом, короткая программа повышения квалификации поможет перейти к проверочной работе. Например, на курсе НИИДПО «Внутренний аудит: оценка бухгалтерского учёта и финансовой отчётности» за 108 часов разбирают систему внутреннего контроля, порядок проведения аудита и оценку хозяйственных рисков, а в практических заданиях готовят положение об отделе аудита и документы по результатам проверок. Выдают удостоверение о повышении квалификации, квалификация при этом не присваивается.

Сколько зарабатывает внутренний аудитор

Открытой статистики фактических зарплат именно внутренних аудиторов нет, поэтому ниже — предложения работодателей в вакансиях, а не реальные доходы.

На 23 сентября 2026 года поиск hh.ru по всей России по словам «внутренний аудитор» в названии вакансии с указанной зарплатой выдал 39 вакансий. Выборка маленькая и пёстрая: в неё попали и аудиторы систем качества, поэтому среднее не считаем. В регионах при опыте от года до трёх лет разброс оказался большим: от 30–35 тысяч рублей на руки (Томск) до 100–150 тысяч (Самара). В Москве при опыте от трёх до шести лет предлагали от 130 до 260 тысяч рублей на руки. Для специалистов с опытом больше шести лет в Москве работодатели указывали 200 тысяч рублей на руки, 250–350 тысяч до вычета налогов для руководителя бухгалтерского контроля, а в отдельной вакансии — 600–800 тысяч до вычета налогов.

На вилку влияют размер компании, отрасль, уровень должности и опыт в проверяемой области. Чтобы оценить рынок в своём городе, задайте поиск по названию должности, отфильтруйте по региону и опыту, смотрите медиану и не складывайте суммы «на руки» с суммами «до вычета».

Кому подходит эта работа

Работа подходит тем, кому интересно, как процесс устроен на самом деле, и кто готов спокойно говорить руководителям неприятные вещи. Аудитор регулярно слышит «у нас так принято», и ему нужно выдерживать давление, не превращая проверку в поиск виноватых.

Работа может не понравиться тем, кто ждёт быстрых результатов. Проверка длится недели, рекомендации внедряют месяцами, и часть их менеджмент отклоняет, принимая риск на себя. Много времени уходит на рабочие документы: каждый вывод должен подтверждаться доказательствами, которые другой аудитор сможет перепроверить.

С чего начать

Если вы работаете в учёте или финансах, начните с того, что уже рядом. Опишите один процесс своего подразделения: кто что делает, где стоят согласования, какой шаг ничем не контролируется. Затем сформулируйте, какие операции вы отобрали бы для проверки и почему. Такое упражнение покажет, близок ли вам взгляд аудитора, и пригодится как учебная работа на собеседовании.

Следующий шаг — выбрать программу с практикой на кейсах: выборка, тестирование контроля, отчёт с рекомендациями. Сравнить школы по формату, документу об окончании и условиям поможет рейтинг онлайн-школ по аудиту и контролю. Школ в этой подборке пока немного, поэтому программы из статьи сверяйте и напрямую на страницах школ. Первым шагом может стать позиция младшего аудитора в крупной компании, переход из бухгалтерии в группу внутреннего контроля или консалтинг, где внутренний аудит ведут на аутсорсинге.