Кратко

  • В протоколе Комитета Совета по рискам от 8 декабря 2025 года сказано, что в проекте новой редакции период оценки внутреннего аудита изменили с «пятилетнего» на просто «периодический»; утвержденный в июле 2026 года устав использует новую формулировку.
  • Это не доказывает исчезновение срока. ICANN приняла Global Internal Audit Standards, а Стандарт 8.4 по-прежнему требует внешней оценки качества не реже одного раза в пять лет.
  • Наиболее вероятная публичная точка отсчета — 25 августа 2025 года, когда комитет одобрил Устав функции внутреннего аудита. Если именно это было формальным принятием и последующая оценка не перезапустила цикл, условная внешняя дата приходится на 25 августа 2030 года.
  • Компактный публичный реестр стандартов и заверения позволил бы показать версию, акт принятия, расчетную дату, вид оценки, проверку независимости, результат и исправительные меры, не раскрывая конфиденциальные рабочие материалы.

Календарь, который теперь приходится собирать

Жесткая дата удобна тем, что спор о ней начинается после простой арифметики. Слово «периодически» переносит спор на уровень толкования: кто определяет период и где зафиксировано это решение?

Такой перенос виден в протоколе заседания Комитета Совета по рискам от 8 декабря 2025 года. Комитет продолжал рассматривать пересмотр собственного устава. Среди изменений протокол называет согласование надзора за внутренним аудитом с профессиональными стандартами и замену пятилетнего требования к оценке деятельности внутреннего аудита на просто периодическое.

Позднее Совет утвердил устав от 20 июля 2026 года. Он требует, чтобы комитет обеспечивал периодическое проведение внешней оценки деятельности внутреннего аудита в соответствии с профессиональными стандартами.

Отдельно эта фраза выглядит как ослабление: число допускает проверку, наречие — оправдание. Но фраза содержит ссылку на внешнее правило. Ее реальный смысл зависит от того, какой стандарт, в какой редакции и когда ICANN сделала действующим.

В этой внешней норме число осталось. Поэтому корректный вывод состоит не в том, что ICANN отменяет оценку, а в том, что расчет перемещен за пределы устава комитета. Публичной записи теперь не хватает квитанции, связывающей оба слоя.

Устав комитета и устав функции — разные акты

В хронологии есть две похожие по названию, но разные по назначению конструкции.

Устав Комитета по рискам распределяет полномочия органа Совета: что он контролирует, одобряет, получает и рекомендует. Устав функции внутреннего аудита определяет мандат самой функции, ее независимость, отчетность и профессиональную основу. Изменение первого документа нельзя автоматически считать изменением стандарта работы второго.

Решением от 13 марта 2025 года Совет добавил внутренний аудит к зоне надзора Комитета по рискам. ICANN объяснила это ростом масштаба и сложности организации: внутренний аудит может охватывать не только финансовую отчетность и контроль, поэтому его надзор логично разместить в комитете с более широким взглядом на риски.

Устав комитета, принятый в марте 2025 года, поручал ему рассматривать независимость и полномочия функции, предлагаемые объем, планы и бюджеты, получать выводы и отчеты о ходе плана и поддерживать непрерывное улучшение. При внешнем исполнителе комитет должен был анализировать его результаты, квалификацию и независимость и рекомендовать Совету сохранение или прекращение отношений.

В этом утвержденном тексте не было пункта о внешней оценке раз в пять лет. Следовательно, декабрьский протокол не показывает отмену ранее действовавшей пятилетней нормы из мартовского устава. Он описывает изменение в более позднем проекте, а публичного текста с правками в исследованном наборе нет.

Доказанная последовательность скромнее: последующий проект содержал пятилетнюю формулу; комитет заменил ее периодической оценкой по профессиональным стандартам; в 2026 году Совет утвердил именно эту редакцию.

Где именно сохранились пять лет

Профессиональный источник виден из документов самой ICANN.

На заседании 30 июня 2025 года комитет обсуждал проект Устава функции внутреннего аудита. В протоколе сказано, что проект охватывал цель, полномочия, ответственность, независимость, порядок отчетности, объем и соответствие Global Audit Standards. Там же указано, что руководство и методология использовали Global Internal Audit Standards и другие ведущие подходы.

После доработки и отзывов руководства комитет одобрил Устав функции 25 августа 2025 года. На том же заседании он одобрил рекомендацию ICANN о главном и резервном поставщиках услуг и общую структуру методологии.

Global Internal Audit Standards Института внутренних аудиторов были выпущены в 2024 году и вступили в силу 9 января 2025 года. Стандарт 8.4 требует, чтобы руководитель внутреннего аудита разработал план внешней оценки качества и обсудил его с Советом. Такая оценка проводится не реже одного раза в пять лет.

Календарь — только часть требования. Оценку выполняет квалифицированный независимый специалист или команда; допустима самооценка с независимым подтверждением. Как минимум один участник должен иметь действующую квалификацию Certified Internal Auditor. Существенные условия для Совета включают обсуждение плана, участие в определении объема и частоты, утверждение плана, прямое получение полного результата, утверждение корректирующих действий и контроль сроков их выполнения.

Таким образом, ссылка на профессиональный стандарт переносит в систему не только число, но и условия независимости, квалификации, решения и исправления. Взамен она требует строгого учета версий. Без этого невозможно узнать, какой именно пакет правил действует.

Почему дата 25 августа 2030 года не окончательна

Даже точный пятилетний интервал бесполезен без события, от которого он отсчитывается.

Пояснения IIA по обеспечению качества говорят, что цикл начинается при формальном принятии стандартов функцией внутреннего аудита. Доказательствами могут служить протоколы комитета, обновление устава и заявление о соответствии.

В открытой хронологии ICANN сильнее всего выглядит 25 августа 2025 года. В июне проект Устава функции еще пересматривали. В августе комитет его одобрил, а июньский протокол уже сообщал, что документ предусматривает соответствие глобальным стандартам.

Если это одобрение и было формальным принятием для целей Стандарта 8.4, а завершенная внешняя оценка позднее не запустила новый цикл, пятилетний внешний предел наступит 25 августа 2030 года.

Но открытый набор не содержит полного текста утвержденного Устава функции. В нем нет отдельного реестра принятия стандартов, опубликованного плана внешней оценки или решения ICANN, называющего следующий срок. Другой акт принятия, более ранняя применимая оценка или последующий перезапуск могут изменить результат.

Поэтому 2030 год — не официальное обещание и не дата нарушения. Это условный расчет, показывающий недостающие входные данные. ICANN может подтвердить его или заменить авторитетной датой, опубликовав соответствующий акт и историю цикла.

Вместе со сроком изменились глаголы власти

Редакционная замена входила в более широкий пересмотр полномочий.

По версии 2025 года комитет рекомендовал Совету выбор внутренних аудиторов и решения о сохранении или замене внешнего исполнителя. Версия 2026 года говорит, что комитет сам рассматривает и одобряет выбор или сохранение поставщиков внешних услуг по рекомендации Head of Internal Audit. Он также рассматривает и одобряет объем, планы и бюджеты, подготовленные на основе рисков и профессиональных стандартов.

Расширилась отчетность. Комитет получает выводы завершенных проверок, данные о ходе плана и объяснения существенных отклонений. В его поле зрения должны попадать значительные риски, проблемы контроля, вопросы управления и состояние корректирующих действий руководства.

Декабрьский протокол сообщает об обсуждении формулировки, которая уточняла бы окончательную власть Совета в вопросах, представляемых ему на утверждение. В утвержденном уставе это прямо сказано для общего риск-аппетита и допустимого риска: комитет дает рекомендации Совету. Но положения об исполнителе и плане используют прямой глагол «одобряет» применительно к комитету.

Из этого нельзя заключить, что Совет отказался от остаточных корпоративных полномочий. Зато видно, почему реестр должен указывать не только решение, но и его автора. Выбор, объем, независимость, получение результата и исправление должны оставаться привязаны к уполномоченному органу.

Аргумент в пользу «периодически»

Не всякое удаление числа ослабляет управление.

Профессиональные стандарты меняются. Если внутренний устав копирует конкретный интервал, он может устареть вместе с редакцией внешней нормы. Ссылка «периодически, в соответствии с профессиональными стандартами» позволяет применять более частую оценку при росте риска и переносит целую систему требований, а не одно число. Стандарт 8.4 регулирует квалификацию, независимость, план, прямое получение результатов и меры исправления.

В этом смысле новая редакция может быть содержательно сильнее голой пятилетней строки.

Однако живой ссылке нужна история версий. Если внешний орган обновит стандарт, ICANN должна зафиксировать, применяется ли новая редакция автоматически или требует внутреннего принятия. Если пятилетний предел сохраняется, необходимо удержать его начальную дату. Если выбрана самооценка с независимым подтверждением, ее нельзя смешивать с полноценной внешней оценкой.

Гибкость оправдана только тогда, когда видна ее происхождение. Динамическая ссылка экономит текст, но не отменяет доказательство.

Пределы доказанного

Решение Совета от 20 июля 2026 года объясняет поправки необходимостью согласовать уставы с актуальными требованиями управления и реальной практикой. Протокол Комитета по управлению от 30 июня 2026 года фиксирует рассмотрение проекта и рекомендацию принять его. Текущая страница Комитета по рискам показывает июльский устав как действующий, а мартовскую редакцию — как замененную.

В протоколе от 29 мая 2026 года говорится, что обновленный реестр рисков должен стать основой для аудиторской вселенной, плана на основе рисков и многолетнего планирования; окончательное обсуждение внешних исполнителей продолжалось.

Это свидетельствует о развивающейся функции, но не о пропущенном сроке, отсутствии внутреннего плана, непригодности поставщика или нарушении независимости. Первый возможный внешний срок еще далеко. Молчание открытых источников не доказывает, что решения не были приняты внутри.

Установленный недостаток уже и точнее: читатель не может получить авторитетную дату из слова «периодически», не соединив несколько документов и не сделав хотя бы одно предположение.

Не раскрытие аудита, а минимальный реестр

Ответом не должно быть обнародование рабочих материалов, уязвимых систем, персональных данных или юридически защищенных советов. Достаточно небольшого реестра стандартов и заверения.

Для каждой включенной обязанности он должен указывать орган-разработчик, точное название, пункт, редакцию, дату выпуска и вступления в силу. Затем — внутренний инструмент принятия ICANN, принявший орган, событие начала или перезапуска, рассчитанный внешний срок и, если есть, более раннюю внутреннюю цель.

По самой оценке нужны вид — полная внешняя оценка либо самооценка с независимым подтверждением, — утвержденные объем и частота, полномочие по выбору оценщика, квалификационные требования, проверка независимости и конфликтов и дата утверждения плана.

После завершения достаточно ограниченного результата: дата, вид оценки, орган, непосредственно получивший отчет, публикуемый вывод о соответствии и наличие, ответственный, срок и статус закрытия корректирующих действий. Содержательные детали проверок могут остаться закрытыми.

Нужна и версия истории. Новая редакция стандарта, новый устав, изменение вида оценки или завершенная оценка могут сдвинуть следующий срок. Старую запись нельзя переписывать так, будто она никогда не управляла системой.

Реестр остается учетчиком, а не источником соответствия. Зеленая отметка в нем не заменяет независимую оценку. Он лишь сохраняет доказательство того, что требуемые внешние и институциональные действия состоялись.

За календарем стоит цепочка полномочий

Орган стандартов определяет минимум. ICANN принимает его. Head of Internal Audit готовит план. Комитет и Совет совершают закрепленные за ними решения. Квалифицированный независимый оценщик проверяет функцию. Руководство отвечает на недостатки, комитет следит за закрытием, а новая оценка или новая редакция запускает следующий срок.

Разрыв любой связи делает дату ненадежной. Дата без стандарта произвольна. Стандарт без даты принятия неисчислим. Оценка без независимости — самоописание. Результат без владельца исправления — церемония. Миграция поставщика или системы, стирающая старый цикл, уничтожает институциональную память.

Это слой реальности под словом «периодически». Слово может остаться. Доказательство должно переживать смену людей, подрядчиков, программ и редакций.