Система внутреннего контроля это не документ, а выстроенная модель работы с рисками: вы описываете, где в процессах компании может возникнуть ошибка или налоговый риск, какие контрольные процедуры её предотвращают и кто за это отвечает. Охватывать она должна все бизнес-процессы, а не только участок бухгалтерии. Работа объёмная, но структурированная, и делается она по понятному плану. Нормальный разбор с определениями и пошаговой логикой есть
https://dzen.ru/a/aocHx45UuF3prYPs . Совет: сразу закладывайте участие не только бухгалтерии, но и владельцев процессов, в одиночку вы это не опишете. И не пытайтесь описать всё сразу: возьмите два-три ключевых процесса и на них отработайте методику, дальше пойдёт быстрее.