«Мы вложились в ПО для аудита, но рабочие документы по-прежнему лежат в электронных таблицах, а отслеживание замечаний — по-прежнему в электронной почте.» Во многих командах внутреннего аудита и комплаенса эта фраза знакома. Проблема чаще всего не в самом ПО, а в рабочем процессе, в который оно встроено.
Оценка, опубликованная Gartner 16 сентября 2026 года, показывает эту картину в цифрах: 84% подразделений аудита используют ПО для управления аудитом, однако удовлетворённость наиболее часто используемыми функциональными возможностями заметно различается. Иными словами, распространённость не означает, что отдача получена. В этой статье мы разбираем, что говорят данные, чего стандарты внутреннего аудита ожидают от технологий и как на практике перевести существующие процессы из таблиц и электронной почты в рабочий процесс.
Что говорят данные: одно и то же ПО — разные результаты
Выводы Gartner основаны на непрерывно собираемых данных по 259 подразделениям аудита за период с 2024 года по 15 апреля 2026 года. Число пользователей ПО, ответивших на вопросы об удовлетворённости по отдельным функциональным возможностям, составляет от 134 до 143. Эти результаты были представлены на конференции Gartner по корпоративным рискам, аудиту и комплаенсу.
Самый заметный вывод пресс-релиза: разница в удовлетворённости объясняется не только возможностями самих продуктов. По данным Gartner, подразделения аудита, купившие одну и ту же платформу, могут получать отдачу совершенно разного уровня. Решающую роль играют три фактора: стандартизация методологии, интеграция рабочих процессов и снижение зависимости от таблиц, электронной почты и разрозненных процессов.
На то же указывает и мнение аналитика, приведённое в пресс-релизе: решения о закупке чаще всего принимаются исходя из того, что платформа поддерживает в теории, а успех внедрения зависит от того, как команды работают на самом деле. Поэтому одно лишь сравнение функций не показывает всей картины.
Структура рынка тоже усложняет решение. Gartner отмечает, что покупатели сталкиваются со сложным рынком: от специализированных продуктов для управления аудитом до более широких платформ управления, рисков и комплаенса (GRC) и экосистем корпоративного ПО. Рекомендация однозначна: сначала определить, какие рабочие процессы аудита нужно улучшить, а затем, до оценки поставщиков, достичь консенсуса между аудитом, другими подразделениями, обеспечивающими уверенность (assurance), и информационными технологиями (ИТ).
Чего стандарты ожидают от технологий?
Глобальные стандарты внутреннего аудита IIA (Институт внутренних аудиторов), опубликованные 9 января 2024 года и служащие международной системой ориентиров для внутренних аудиторов, рассматривают технологии в отдельном стандарте. Согласно стандарту 10.3, руководитель внутреннего аудита должен стремиться обеспечить наличие в подразделении технологий, поддерживающих процесс аудита, и регулярно оценивать используемые технологии. Среди требований — также надлежащее обучение аудиторов при внедрении новых технологий и сотрудничество с подразделениями ИТ и информационной безопасности организации. О влиянии недостатков технологического обеспечения на эффективность подразделения необходимо сообщать совету директоров и высшему руководству.
Примечания по применению стандарта перечисляют среди примеров технологий системы управления аудитом, приложения для картирования процессов, инструменты аналитики данных, а также средства коммуникации и совместной работы. Тот же раздел рекомендует, чтобы планы внедрения новых технологий включали обучение аудиторов и демонстрацию руководству достигнутой пользы, а также чтобы учитывались риски информационной безопасности и конфиденциальности персональных данных, возникающие при использовании технологий.
Эта система ориентиров согласуется с выводом Gartner: приобретение ПО — лишь начало, а оценка, обучение, сотрудничество с ИТ и демонстрация пользы составляют основную часть работы.
От таблиц и электронной почты к рабочему процессу: практический путь
Приведённые ниже шаги — общая схема, выведенная из результатов, изложенных в источниках; её необходимо адаптировать под собственную методологию аудита, организационную структуру и законодательные обязательства каждой организации.
- Составьте карту текущего рабочего процесса. На каждом шаге — от оценки рисков до годового плана, от полевого этапа до отслеживания замечаний — выясните, какая информация хранится в какой таблице, в какой цепочке писем или в какой папке. Без понимания того, «как команды работают на самом деле», невозможно знать, что изменит ПО.
- Сначала стандартизируйте методологию на бумаге. Если шкала оценки рисков, шаблон рабочего документа, формат оформления замечаний и этапы согласования различаются от команды к команде, приведите их к единому виду до переноса в ПО. Иначе различия просто переедут на новый экран.
- Расставьте приоритеты среди рабочих процессов, которые предстоит улучшить. Начните с тех, что требуют больше всего ручного отслеживания, порождают больше всего писем-напоминаний или отнимают больше всего времени в отчётный период. Отслеживание замечаний и корректирующих действий в большинстве организаций — хороший кандидат.
- Согласуйте позиции заинтересованных сторон до выбора поставщика. Аудит, другие подразделения, обеспечивающие уверенность (например, комплаенс и управление рисками), и ИТ должны с самого начала собрать свои потребности в общем списке. Именно такую последовательность рекомендует Gartner: сначала консенсус, затем оценка поставщиков.
- Встраивайте автоматизацию в повторяющиеся шаги. Основанные на правилах и повторяющиеся задачи — подходящие кандидаты для роботизированной автоматизации процессов (RPA) или для собственного механизма рабочих процессов платформы: выгрузка из систем доказательств и отчётов, рассылка напоминаний о сроках ответственным за корректирующие действия, сбор сводок о статусе. Оценка, требующая профессионального суждения, и формулирование выводов должны оставаться за аудитором. С общей картиной по RPA можно ознакомиться в нашей статье об RPA с поддержкой ИИ.
- Подключите ИТ и информационную безопасность с самого начала. Права доступа, интеграции систем, хранение доказательств, содержащих персональные данные, и правила ведения записей необходимо определить до запуска. Стандарт 10.3 прямо ожидает такого сотрудничества.
- Спланируйте обучение и переход. Параллельно ведущиеся таблицы — самый заметный признак того, что команда не приняла ПО. Введите чёткое правило перехода — например, что начиная с определённой даты новые аудиты проводятся только в ПО — и организуйте для команды практическое обучение.
- Измеряйте пользу и отчитывайтесь о ней. Отслеживайте до и после перехода показатели, которые можно измерить внутри организации: срок выпуска отчёта, давность открытых замечаний, число напоминаний, отправляемых вручную. «Демонстрация пользы», которую ожидает стандарт, становится возможной именно благодаря такому измерению.
Заключение
ПО для управления аудитом сегодня есть в подавляющем большинстве подразделений аудита; разницу создаёт рабочий процесс вокруг него. Данные Gartner показывают, что на одной и той же платформе можно получить разные результаты, а стандарты IIA — что технологиям необходима поддержка в виде регулярной оценки, обучения и сотрудничества с ИТ. Поэтому, прежде чем искать новое ПО, для большинства организаций более продуктивным первым шагом будет составление карты существующих процессов и стандартизация методологии.
С точки зрения Orient Global, путь к отдаче лежит не через перечень функций, а через сквозное перепроектирование и измерение одного рабочего процесса.
#interimmanagement #forwarddeployedengineering