Слово «аудит» у малому бізнесі часто означає або перевірку податкової, або щорічне підтвердження фінансової звітності зовнішнім аудитором. Внутрішній аудит — третя річ. Це управлінський інструмент: незалежна від виконавців оцінка того, як працюють процеси, контролі й достовірність інформації всередині компанії. Його замовляє власник або керівник, а не «закон для всіх ТОВ».
Станом на вересень 2026 року обов’язковий аудит фінансової звітності регулює Закон України «Про аудит фінансової звітності та аудиторську діяльність». Внутрішній аудит цим законом не перетворюється на універсальну штатну одиницю для кожного товариства. Якщо вам сказали, що «без відділу внутрішнього аудиту ТОВ не може існувати», вимагайте норму, а не звичай консалтингової презентації. Цей текст — огляд процесу, а не індивідуальна юридична консультація.
Чим внутрішній аудит не є
Він не замінює обов’язковий аудит фінансової звітності там, де закон 2258-VIII вимагає висновку суб’єкта аудиторської діяльності. Зовнішній аудитор підтверджує звітність для зовнішніх користувачів за своїми стандартами й відповідальністю. Внутрішній аудитор (чи запрошена команда) говорить керівництву: де процес не працює, де ризик втрати активів, де звіт для рішень бреше.
Він не є податковою перевіркою. Можна включити до програми податкові ризики — але це вже предмет податкового обліку і кодексних правил, а не «внутрішній аудит замість ПКУ».
Він не є ревізією «знайти винних за минулий рік». Каральна модель швидко вбиває джерела інформації: люди починають ховати помилки. Корисніший запит: які контролі відсутні й що змінити, щоб помилка не повторилася.
Кому він справді потрібен
Не кожному малому ТОВ потрібен окремий підрозділ. Окремий відділ внутрішнього аудиту має сенс, коли є кілька локацій, складні запаси, пов’язані особи, інвестиції, публічний інтерес або власник уже не бачить операційку наскрізь. Для компанії з трьома людьми й одним розрахунковим рахунком достатньо періодичної управлінської звірки й порядку в первинці.
ФОП внутрішній аудит як інститут майже не зустрічається: підприємець і є система контролів. Корисною лишається та сама логіка — незалежний погляд на касу, склад і кадри — але це радше діагностика процесів, ніж «служба внутрішнього аудиту».
Резиденти спеціальних режимів (зокрема Дія Сіті) можуть мати окремі підтвердження відповідності з незалежним висновком. Це суміжна, але інша процедура: вона не робить внутрішній аудит обов’язковим для всіх товариств і не замінює його.
Типовий цикл, якщо ви все ж запускаєте процес
Процес живе циклами, а не «разовою перевіркою папок». Спрощена послідовність така.
- Статут і замовник. Хто ставить завдання — власник, наглядова рада, директор — і кому не можна одночасно перевіряти власні проведення.
- Карта ризиків. Не «перевірити все», а обрати ділянки: гроші, запаси, зарплата, пов’язані особи, доходи, ІТ-доступ.
- Програма. Які тести, за який період, які документи, який критерій «норма / не норма».
- Польова робота. Звірка, вибірка, опитування, спостереження — без підміни фактів поясненнями «ми так звикли».
- Звіт. Факти, ризик, рекомендація, відповідальний, строк. Без епічного тону.
- Follow-up. Через узгоджений час перевірити, чи рекомендацію виконано, а не підшито в PDF.
Незалежність тут важливіша за бренд виконавця. Головний бухгалтер не «внутрішньо аудитує» власний квартал. Власник, який сам проводить касу, не є незалежним спостерігачем каси. Якщо команди немає, запрошують зовнішню групу на конкретну ділянку — це все ще внутрішній за метою аудит, якщо замовник і адресат звіту всередині компанії.
Що перевіряти в першу чергу в малому бізнесі
Гроші й підписи: хто має ключі клієнт-банку, чи розведені ініціатор і підтверджувач платежу, чи звіряється виписка з обліком. Запаси: чи є надходження без накладних, чи списують «на виробництво» без внутрішнього документа. Доходи: чи всі відвантаження мають первинку, чи немає відвантажень «під усний запит».
Кадри й зарплата: чи всі, хто фактично працює, оформлені, чи табель збігається з виплатами. Пов’язані особи: позики, оренда, послуги «своїм» ФОП без договору й без ринкової логіки. ІТ: доступ колишніх працівників до пошти й кабінетів.
Це не чекліст «для штрафу». Це місця, де малий бізнес втрачає гроші й керованість раніше, ніж з’являється зовнішній аудитор.
Який результат вважати корисним
Корисний звіт внутрішнього аудиту змінює процес: з’являється друге підписання платежу, інвентаризація стає регулярною, закриття місяця має чекліст. Некорисний — двадцять сторінок загальних слів про «посилити контроль» без відповідального й дати.
Не плутайте внутрішній аудит із відновленням обліку. Якщо первинки немає, спочатку збирають факти й закривають прогалини в бухгалтерському контурі. Аудит поверх порожніх регістрів створює лише ілюзію впевненості.
Як не перетворити аудит на театр
Документування — частина процесу, не додаток «якщо буде час». Програма, вибірка, отримані документи, непідтверджені твердження керівництва мають лишатися в робочих матеріалах. Інакше через рік ніхто не згадає, чому вирішили, що каса «в порядку». Це не вимога закону 2258-VIII до внутрішнього аудиту; це гігієна, без якої follow-up неможливий.
Облікова політика й внутрішні регламенти — критерій, з яким порівнюють факт. Якщо політики немає, аудитор порівнює з законом і здоровим глуздом, а рекомендація №1 буде «спочатку зафіксувати правила». Сперечатися, що «у малому бізнесі політики не пишуть», можна, але тоді не чекайте співставного висновку.
Типовий опір малого ТОВ: «нас троє, внутрішній аудит — для банків». Згодні: окремий відділ не потрібен. Не згодні, що три людини звільнені від звірки банку, інвентаризації й розділення ключів. Масштаб процесу стискають, сенс — ні. Інший опір: «зовнішній аудитор і так усе побачить». Зовнішній аудитор бачить звітність і вибірку під свій стандарт. Він не зобов’язаний наводити лад у прохідній і в доступі колишнього менеджера до клієнт-банку. Третій опір — «немає часу»: саме тоді контролі найтонші, бо операції вже робляться в режимі винятку.
Якщо ви не впевнені, чи потрібен вам саме внутрішній аудит, чи достатньо порядку в обліку й окремої консультації, опишіть бізнес і запит. Чесна відповідь часто звучить так: спочатку закрити первинку й політику, і лише потім — програму перевірок. Для більшості малих ТОВ цього достатньо, щоб ризики стали видимими без окремого підрозділу.