Матрица рисков и контрольных процедур в налоговом мониторинге: как выстроить работающую систему контроля

Компания вступила в налоговый мониторинг три года назад: подготовили реестр рисков, описали контрольные процедуры, свели их в матрицу и закрыли задачу. За следующий год финансовая служба обновила версию учетной системы, в договорную практику добавился новый вид сделок, часть операций перенесли в отдельный контур, но матрицу не обновили. Инспектор находит расхождение и спрашивает, какая контрольная процедура должна была его отследить, а компания не может ответить на вопрос.

Ниже разберем, как устроена матрица рисков и контрольных процедур по требованиям ФНС России, почему важно ее обновлять, как способ проведения процедур влияет на оценку системы внутреннего контроля и кто в компании отвечает за пересмотр.

Почему матрица рисков и контрольных процедур перестает работать

Контрольная процедура в системе внутреннего контроля — это действие или набор действий, направленных на предупреждение либо выявление и минимизацию рисков, которые влияют на правильность исчисления, полноту и своевременность уплаты налогов, сборов и страховых взносов.

Матрица рисков и контрольных процедур (МРКП) — форма, в которой каждый идентифицированный риск связан с конкретной процедурой и способом проведения. Структуру задает приказ ФНС России от 25.05.2021 № ЕД-7-23/518@: матрица идет приложением № 7, форма КНД 1125311.

Матрица входит в регулярную отчетность. Формы по рискам и контрольным процедурам представляются ежеквартально, не позднее одного месяца со дня наступления соответствующего отчетного периода. Годовой блок включает оценку уровня организации СВК, мероприятия по ее совершенствованию и информацию об организации СВК. Так налоговый орган видит матрицу в динамике и сопоставляет периоды между собой.

Также матрицу стоит обновлять после следующих событий в деятельности компании:

• обновление или замена учетной системы, перенос участка учета в другой контур;
• новые виды сделок, товарные группы, схемы расчетов с контрагентами;
• реорганизация, присоединение юридического лица или перераспределение функций между общими центрами обслуживания;
• изменения в Налоговом кодексе и разъяснения по спорным операциям;
• смена ответственных ролей и переработка регламента закрытия периода.

Инспектор видит расхождение в раскрытых данных и запрашивает описание контроля, который должен был его предотвратить. Компания предъявляет строку матрицы, но не может подтвердить выполнение процедуры: журнала нет, отчет не формируется. В этом случае каждое требование обрабатывается вручную, а срок представления ответа может истечь.

Классификация контрольных процедур

Требования к организации системы внутреннего контроля описывают процедуры по нескольким признакам:

По времени проведения: предупреждающие и выявляющие

• Предупреждающая процедура встроена в операцию до ее отражения в учете: контроль реквизитов при вводе документа, блокировка проводки без обязательного аналитического признака, запрет на согласование договора без налоговой экспертизы. Если в ходе такой процедуры выявляется ошибка, весь процесс останавливается.
• Выявляющая процедура работает постфактум: сверка регистров, анализ отклонений, инвентаризация расчетов. Если такая процедура не сработала, между отказом контрольной процедуры и обнаружением ошибки может пройти много времени.

По охвату: выборочные и сплошные

• Выборочные процедуры проводятся в отношении операций, которые выбрали по конкретным критериям. Если осуществлять их вручную, исполнитель будет справляться, пока объем операций стабилен. При росте бизнеса те же тридцать проверяемых документов приходится выбирать уже из массива в сотни тысяч записей.
• Сплошной контроль осуществляется в отношении всех объектов. Такой формат возможен только в автоматизированных системах с высокой устойчивостью к нагрузкам.

По частоте: от контроля в момент операции до годовых процедур

Чем реже выполняется процедура, тем выше риск накопленных ошибок. Например, если годовая сверка проводится в апреле, компания может упустить ошибку в признании расходов за январь. При этом декларация уже будет сдана, это вызовет вопросы у инспектора.

Автоматизация и оценка уровня системы внутреннего контроля: как они связаны

При раскрытии информации о контрольной процедуре в форме по КНД 1125309 (приложение № 5 к приказу ФНС № ЕД-7-23/518@) компания указывает способ ее проведения: ручной, ИТ-зависимый и автоматический. Для ИТ-зависимых и автоматических процедур дополнительно заполняется блок с информационной системой, в которой выполняется контроль.

Способ проведения показывает, от чего зависит результат процедуры.

• Ручная процедура. Результат зависит от квалификации и загрузки исполнителя, а также от его присутствия на рабочем месте. Если сотрудник ушел в отпуск и не передал никому дела, контроль останавливается без записей об этом.
• ИТ-зависимая процедура. Система формирует отчет или выборку, решение принимает человек. Контроль наследует качество настройки: ошибка в алгоритме отчета воспроизводится в каждом периоде.
• Автоматическая процедура. Проверка встроена в систему и выполняется без участия человека, оставляя машинный след по каждому сработавшему случаю.

В рамках налогового мониторинга компания должна ежегодно раскрывать оценку уровня организации системы внутреннего контроля (приложение № 14 к приказу, форма по КНД 1125313). СВК оценивают по набору критериев, от итогового балла зависит, какой уровень ей присвоят: начальный, определенный, контролируемый, управляемый, совершенствуемый. Уровень автоматизации контрольных процедур входит в число критериев наравне с полнотой охвата рисков и наличием документов, подтверждающих выполнение контролей.

Доля автоматических контрольных процедур — один из факторов, влияющих на оценку качества контроля и уровень организации СВК, который устанавливает налоговый орган. Их количество не влияет напрямую на участие в налоговом мониторинге, но ФНС России обращает на это внимание.

Статья 105.28 НК РФ называет три основания досрочного прекращения налогового мониторинга в отношении компании:

1. неисполнение организацией регламента информационного взаимодействия, которое стало препятствием для проведения налогового мониторинга;
2. выявление налоговым органом факта представления недостоверной информации в ходе мониторинга;
3. систематическое (два раза и более) непредставление документов, информации или пояснений.

Как отличить формальную строку матрицы от рабочей

Возьмем типовой риск: расход по одному первичному документу отражен в учете дважды, налоговая база по прибыли занижена.

Формальная запись в карточке контрольной процедуры может выглядеть так:

• Название риска: «ошибки при отражении расходов».
• Контрольная процедура: «проверка первичных документов».
• Периодичность: «постоянно».
• Ответственный: «бухгалтерия».
• Способ проведения: ручной, информационная система не указана, документ-подтверждение отсутствует.

Такая строка проходит контроль, но не раскрывает, какие именно документы проверяются, по какому правилу, что происходит при срабатывании и чем подтверждается выполнение.

Рабочая запись гораздо подробнее. Риск получает код и привязку к процессу (закупка товаров и услуг), участку учета и налогу. Контрольная процедура кодируется и описывается через вход, правило и выход:

• вход — регистр поступлений за период;
• правило — поиск записей, совпадающих по совокупности реквизитов (идентификатор контрагента, номер и дата первичного документа, сумма);
• выход — протокол расхождений с идентификаторами документов.

Способ проведения — автоматический, с указанием системы. Периодичность — ежедневно, с обязательным прогоном перед закрытием периода. Ответственный определен с указанием ролей владельца процедуры и риска. Отдельно зафиксировано, что происходит при срабатывании: кто разбирает протокол, в какой срок и каким документом оформляется исправление.

Так будут выглядеть изменения в формате «было — стало»:

Кто и когда должен пересматривать систему контроля рисков в налоговом мониторинге

Формально пересматривать матрицу необходимо раз в квартал перед подачей форм и отдельно раз в год — в рамках оценки уровня организации СВК. Всё остальное время матрица обновляется, когда меняется что-то в процессах компании.

События, требующие пересмотра матрицы:

• внедрение, обновление или вывод из эксплуатации учетной системы, миграция данных между контурами;
• новый вид сделки, договорная конструкция или товарная группа, для которых прежние риски не описаны;
• изменения в Налоговом кодексе, новые разъяснения и судебная практика по операциям компании;
• реорганизация, появление нового юридического лица в периметре мониторинга, передача функций в общий центр обслуживания;
• срабатывание контрольной процедуры, выявившей существенное расхождение, а также случай, когда дефект не был выявлен ни одной контрольной процедурой;
• расхождение, найденное налоговым органом, запрос по конкретной операции или мотивированное мнение;
• результаты годовой оценки уровня организации системы внутреннего контроля и запланированные мероприятия по ее совершенствованию.

Кто участвует в пересмотре. Владелец риска из бизнес-функции отвечает за соответствие описания реальной операции. Налоговый методолог оценивает налоговые последствия и актуальность нормативной базы. Владелец учетной системы и витрины данных обеспечивает работу контрольной процедуры после изменений. Служба внутреннего контроля проверяет дизайн и фактическое выполнение процедуры, а финансовый директор разрешает спорные вопросы в оценке риска.

Как фиксировать изменения. Каждую версию матрицы имеет смысл фиксировать с номером, датой начала действия, автором и причиной изменения — так проще отвечать на запросы налогового органа. Версию матрицы важно сопоставлять с версией регламента информационного взаимодействия: регламент описывает состав СВК, и если фактическая матрица ему не соответствует, налоговый орган может расценить это как неисполнение регламента, а систематическое неисполнение, мешающее проведению мониторинга, — одно из оснований досрочного прекращения по пп. 1 п. 1 ст. 105.28 НК РФ.

От матрицы рисков к работающим проверкам в витрине данных

Матрица описывает контроль на уровне методологии, а в витрине данных он становится работающей процедурой: контрольными соотношениями между регистрами и показателями деклараций, проверками полноты и целостности загрузки, расшифровками до первичного документа. Для каждой проверки настраиваются расписание, пороги и правила обработки результата.

Связка работает в обе стороны. Матрица без технической реализации остается декларацией, которую сложно подтвердить. Контроли в витрине без матрицы превращаются в набор проверок, для которого не определено, какие налоговые риски он закрывает.

VK Tax Compliance помогает выстроить прослеживаемость от риска и контрольной процедуры до строки отчетности, регистра и первичного документа. В системе можно вести результаты выполнения контролей и открывать протоколы проверок: видны статус, код и описание контрольного соотношения, а также показатели, по которым найдено расхождение. Журнал изменений результатов позволяет восстановить ход работы.

Решение интегрируется с учетными системами компании и АИС «Налог-3», а права доступа к декларациям, регистрам и документам настраиваются по ролям. Для защищенного обмена с ФНС России используется сертифицированное СКЗИ с шифрованием трафика по ГОСТ. VK Tax Compliance можно развернуть в корпоративном контуре или использовать в российском облаке.

Построение матрицы рисков и контрольных процедур входит в проект внедрения. Поэтому методологическое описание контроля и его техническая реализация создаются одновременно и остаются согласованными при дальнейших изменениях.

Заключение: что стоит сделать с действующей матрицей

Матрица рисков и контрольных процедур должна отражать действующие процессы, учетные системы и способы выполнения контролей. Ее важно пересматривать не только перед квартальным раскрытием и годовой оценкой СВК, но и после изменений в операциях, структуре компании, ИТ-ландшафте и законодательстве. У каждой процедуры должны быть владелец, понятный порядок реакции на срабатывание и доказательство выполнения — например, протокол или журнал с идентификаторами документов.

Начать можно с нескольких строк, которые затронули недавние изменения. Проверьте, можно ли по каждой из них восстановить путь от риска до объекта контроля, понять, кто и в какой срок разбирает расхождение, а также подтвердить, что контроль выполнялся в прошлом периоде. Если на эти вопросы есть ответы, матрица становится эффективным инструментом управления налоговыми рисками.