Какие задачи решает отдел внутреннего аудита
Что проверяют
Понимаете ли вы, куда идёте работать: data-команда при внутреннем аудите живёт по другим правилам, чем продуктовая аналитика. Интервьюер хочет услышать, что аудит независим и проверяет чужие процессы, а не управляет ими. Следом обычно спрашивают, чем здесь будут полезны ваши данные и модели.
Как отвечать
Начните с места аудита в компании. По модели трёх линий бизнес владеет рисками, риск-менеджмент и комплаенс задают правила и следят за ними, а внутренний аудит независимо оценивает, работает ли вся эта система. Функционально он подчиняется комитету по аудиту совета директоров, а не менеджменту, которого проверяет.
Основные задачи:
- оценка контролей: работают ли согласования, лимиты, разграничение доступа, есть ли у операции второй подписант;
- проверка соответствия: внутренние политики и требования регулятора, для банка это нормативы ЦБ;
- план по рискам: аудит не проверяет всё подряд, а выбирает процессы с наибольшим риском;
- расследования: подозрения на мошенничество, конфликт интересов, злоупотребление доступом;
- отчёт и контроль исправлений: рекомендации и проверка, что их выполнили.
Теперь привяжите к своему стеку. Аналитик данных в аудите заменяет выборку сплошной проверкой: вместо 50 договоров из тысячи SQL-запросом проверяются все. Типовые задачи: поиск дублирующих платежей, операций в выходные и в обход лимитов, совпадений реквизитов сотрудников и контрагентов, конфликтов прав доступа в логах. Из ML сюда идут поиск аномалий (IsolationForest, правила плюс скоринг) и process mining по журналам событий. Отдельная тема: аудит самих моделей, есть ли документация, валидация и мониторинг дрейфа.
Где спотыкаются
Приписывают аудиту управление рисками и участие в стратегии. Это работа первой и второй линии: аудитор, который сам строил процесс, уже не может его объективно проверить.
Путают внутренний аудит с внешним, который подтверждает финансовую отчётность для акционеров. Внутренний шире: операции, ИТ, данные.
Говорят про аудит абстрактно и не показывают, что умеет аналитик. Одна конкретная проверка, например поиск дублей платежей по сумме, дате и контрагенту, убеждает сильнее перечня функций.