Внутренний аудит: правило трех «В»

Внутренний аудит является для любой компании функцией поддерживающей, т. е. позволяющей ком­пании успешно вести ее основную деятельность и эф­фективно достигать поставленных целей. Посколь­ку на сегодняшний день в России вопросы наличия в компаниях внутреннего аудита не регулируются на за­конодательном уровне (за исключением специаль­ного законодательства в некоторых сферах деятель­ности, например, страховом деле), степень востре­бованности внутреннего аудита будет определяться прежде всего наличием спроса на его услуги со сто­роны основных заказчиков. (К заказчикам внутренне­го аудита в рамках данной статьи мы относим советы директоров и высшее исполнительное руководство компаний.) При этом сами заказчики не всегда имеют ясное представление, зачем нужен внутренний аудит и какие задачи можно решать с его помощью.

В некоторых случаях они полагают, что внутренний аудит по сути должен выполнять те же функции, что и внешний аудитор, фокусируясь на вопросах веде­ния бухгалтерского учета и подготовки финансовой отчетности. Это ограничивает возможности внутреннего аудита и приводит к дублированию функ­ций внутреннего и внешнего аудиторов.

В других случаях заказчики ожидают от внутренне­го аудита выполнения исключительно ревизионных функций — проверки целевого характера использо­вания средств, выполнения предписаний руковод­ства, соблюдения внутренних регламентов, норма­тивов и т. п. Несмотря на всю важность этих вопро­сов, такой подход существенно ограничивает роль внутреннего аудита, сводя ее во многих случаях к роли «корпоративного полицейско­го». Следствием является то, что внутренний аудит фокусируется не на рисках и поиске возможностей по улучшению существующих систем и процессов, а на выявлении непро­изводственных потерь, ошибок, злоупотреблений и определении виновных лиц.

Кроме того, менеджмент российских компа­ний достаточно часто склонен рассматривать внутренний аудит как ресурс, решаю­щий управленческие задачи по построению системы внутреннего контроля и осущест­влению внутреннего контроля в компании. Не останавливаясь подробно на этой теме в рамках данной статьи, отметим лишь, что процесс внутреннего контроля является не­отъемлемой частью управленческого процесса. Иными словами, осуществление вну­треннего контроля должно являться прямой и непосредственной задачей менеджмен­та компании. Задача внутреннего аудита, о чем мы будем говорить дальше, заключает­ся в проведении независимой оценки надеж­ности и эффективности контроля (но не в по­строении и осуществлении контроля).

Остаются в компаниях и давние предубежде­ния в отношении внутреннего аудита, а именно — что внутренние аудиторы не разбираются в бизнесе компании и в специфике бизнес-про­цессов, зацикливаются на мелочах и занима­ются «копеечными» вопросами, являются вы­нужденной для компании необходимостью.

Так зачем же компании нужен внутренний ау­дит? На чем может основываться спрос на внутренний аудит или, иными словами, что делает внутренний аудит востребованным?

Начнем с того, что темы внутреннего контроля и управления рисками уже вышли на первые строч­ки рейтинга вопросов, в наибольшей степени вол­нующих высшее руководство российских ком­паний. Приходит понимание, что система управ­ления рисками и система внутреннего контроля существуют для того, чтобы максимально обезо­пасить компанию от неблагоприятного развития событий и способствовать эффективному дости­жению поставленных целей, а не для того, чтобы создавать красивый фасад для акционеров и ре­гуляторов. И что реально работающие механизмы управления рисками и контроля важнее «потем­кинских деревень», содержание важнее формы.

В компаниях наряду с внутренним аудитом мо­гут работать различные контролирующие под­разделения, основной задачей которых явля­ется осуществление тех или иных видов кон­троля в тех или иных областях на тех или иных уровнях иерархии управления: ревизионная комиссия, департамент управления рисками, контрольно-ревизионная служба, служба без­опасности и др. И конкуренция на ниве осу­ществления контрольных функций в компании может быть высока.

Множественность контро­лирующих подразделений, сформированных по принципу «чтобы контроль был надежным, контролеров должно быть много и разных», приводит к неэффективности использования ресурсов компании. Просто потому, что вро­де бы разноориентированные контролирую­щие подразделения начинают в значительной степени дублировать работу друг друга. В то же время некоторые важные области/вопро­сы остаются вовсе не охваченными («у семи нянек дитя без глазу»).

Кроме того, существует риск возникнове­ния нездоровой конкуренции между контролирующими подразделениями (кто раскроет больше «темных дел» и быстрее доведет «ин­тересную» информацию до сведения высше­го руководства). Не стоит забывать, что в ра­боте контролирующих подразделений дух сотрудничества приносит больше плодов, чем дух конкуренции.

Высшее руководство компании должно при­нять решение, какая структура органов контроля является для компании оптимальной. Поэтому для внутреннего аудита является архиважным, чтобы заказчики понимали, в чем заключаются принципиальные отличия внутреннего аудита от других контролиру­ющих подразделений компании и что дела­ет внутренний аудит незаменимым помощ­ником в вопросах управления рисками и осуществления внутреннего контроля.

Популярная в последнее время концепция «трех линий обороны» помогает ответить на этот вопрос (рис. 1).

РИСУНОК 1. «Три линии обороны» компании

Менеджмент компании (1-я линия обороны) несет ответственность перед советом дирек­торов за выстраивание систем и процессов в компании, в том числе системы управления рисками и системы внутреннего контроля, и обеспечение их эффективного функциониро­вания. В этих вопросах менеджмент опирает­ся на специально созданные контролирующие подразделения, основной функцией кото­рых является осуществление соответствую­щих контрольных действий в тех или иных об­ластях (2-я линия обороны). И, наконец, 3-я линия обороны — внутренний аудит, прово­дя независимые проверки «на прочность», по­зволяет как менеджменту, так и совету дирек­торов быть уверенными в том, что системы управления рисками и внутреннего контро­ля (ответственность 1-й и 2-й линий обороны) являются надежными и эффективными.

Отметим, что на практике весьма часто гра­ницы между второй и третьей линиями обороны бывают не такими четкими и внутрен­ний аудит действует в качестве составляю­щей второй линии обороны.

Как бы ни назывались линии обороны, для высшего руководства компании важно, чтобы в компании была выстроена эффективная система управления и контроля, компания до­стигала поставленных целей наиболее эф­фективным образом, своевременно выявля­ла риски и предпринимала соответствующие действия. Именно такую уверенность и может дать высшему руководству внутренний аудит.

Внутренний аудит, проводя независимую оцен­ку систем и процессов в компании, является ин­струментом «обратной связи», который позволя­ет как менеджменту, так и совету директоров быть уверенными в том, что проблемные вопросы своевременно выявляются и эффективно решаются. При этом внутренний аудит не только выявляет факты, например, убыточность и величину потерь компании от конкретного инвестиционного про­екта после его реализации, а показывает системные проблемы, например, на стадии проведения инвестиционного анализа и принятия инвестици­онного решения или же системные недостатки в управлении проектом на стадии его реализации. Это позволяет компании избежать неэффективности и возможных потерь в будущих инвестици­онных проектах. Конечно, при этом внутренние аудиторы должны фокусироваться на наиболее значимых с точки зрения рисков вопросах дея­тельности компании, не занимаясь «ловлей блох».

Но внутренний аудит не останавливается на анализе текущего положения вещей и выяв­лении слабых мест и недостатков. Внутрен­ний аудит также предлагает решения, на­правленные на улучшения систем и процес­сов. Более того, задача внутреннего аудита — удостовериться в том, что компания пред­принимает необходимые действия по внесе­нию соответствующих изменений в системы и процессы.

Востребованность внутреннего аудита, та­ким образом, определяется тем, что внутренний аудит может дать уверенность за­казчикам (высшему руководству компании), что система управления и система контро­ля в компании выстроены должным образом и обеспечивают достижение поставленных собственниками (акционерами) целей, что заказчики получают своевременную и объек­тивную информацию о состоянии дел в ком­пании и что, если в компании что-то пойдет не так, внутренний аудит поднимет вопрос на должный уровень и поможет его решить.

Вовлеченность

Советы директоров и высшее исполнитель­ное руководство ожидают от внутренних аудиторов наличия не только профессиональ­ных навыков и знаний, но также понимания специфических особенностей сферы дея­тельности и бизнеса компании.

Внутренние аудиторы являются специалиста­ми в вопросах выявления рисков и работы со­ответствующих механизмов контроля. Но эти знания и навыки должны применяться в кон­тексте повседневной работы компании — они не могут эффективно использоваться в вакуу­ме. Порой звучащие в адрес внутренних ауди­торов нарекания о том, что те не разбираются в специфике проверяемой деятельности, во многих случаях сигнализируют о нежелании менеджмента принимать ответственность за недостатки и демонстрируют боязнь перемен. Но в некоторых случаях эти обвинения имеют под собой веские основания.

Несмотря на то, что в основе работы внутреннего аудита лежит понимание вопросов управления ри­сками и процессов внутреннего контроля, внутрен­ние аудиторы должны обладать знанием и понима­нием отрасли и бизнеса компании в целом и про­веряемых бизнес-процессов в частности — это позволит вырабатывать действенные рекомендации, направленные на снижение рисков и повыше­ние эффективности деятельности компании. Кроме того, «разговаривая на языке бизнеса», внутренним аудиторам будет значительно проще преодолевать имеющуюся в отношении них настороженность, «быть услышанными» и убедить менеджмент в обо­снованности своих выводов и рекомендаций.

Вовлеченность предполагает не только зна­ние бизнеса внутренними аудиторами, но и возможность идти в ногу с бизнесом (плыть в одной лодке и быть на одной волне). Для это­го в компаниях должно, во-первых, форми­роваться понимание, что внутренние аудито­ры так же радеют за общее дело и являются частью команды, работающей на достиже­ние общего результата. Во-вторых, руковод­ству компаний следует вовлекать внутренних аудиторов в процессы выработки и приня­тия решений. В качестве возможных вариан­тов — приглашение внутренних аудиторов (с правом совещательного голоса) на заседа­ния совета директоров (комитета по аудиту), заседания ключевых комитетов и комиссий и т. п. Это, с одной стороны, позволит высшему руководству учитывать мнение внутреннего аудита на этапе принятия решения, а не по­сле того, как решения будут реализованы, а с другой стороны, даст возможность внутрен­ним аудиторам своевременно реагировать на происходящие изменения и вносить кор­ректировки в текущие планы своей деятель­ности в случае такой необходимости.

Вовлеченность также означает умение выяв­лять суть вопроса, а не только факты.

Например, некоторое структурное подраз­деление компании, которое занималось обслуживанием и ремонтами производствен­ного оборудования компании, было недавно выделено в отдельное дочернее общество, действующее в рыночных условиях. В сере­дине года в ходе проведения внутренней ау­диторской проверки внутренние аудиторы определяют, что новое предприятие суще­ственно отстает от плана реализации и про­исходит это по той причине, что предприятие не использует имеющиеся рыночные возможности. Но при этом главная («корневая») проблема кроется в том, что не было разра­ботано переходного плана, не был осущест­влен набор специалистов, умеющих рабо­тать в рыночных условиях, а работники предприятия не были соответствующим образом обучены/подготовлены, т. е. предприятие не имело возможности научиться работать в ры­ночных условиях.

Или другой пример. Если один из менедже­ров высшего звена получает большие компенсации за использование бензина в по­ездках на корпоративном автомобиле, то проблемой здесь, скорее всего, является не­эффективная организация рабочего процес­са (когда менеджер проводит большую часть своего рабочего времени в автомобиле) или неоптимальность маршрутов и способов пе­редвижения, а не собственно величина затрат на бензин, которые несет компания.

Вовлеченность внутреннего аудита предпо­лагает постановку перед ним масштабных за­дач. Приведем изречение знаменитого Микеланджело Буонарроти: «Самая большая опасность для большинства из нас заключается не в том, что мы устанав­ливаем свою цель слишком высоко и не дости­гаем ее, а в том, что мы устанавливаем цель слишком низко и легко достигаем ее».

Иными словами, внутренний аудит должен вы­ходить за ранее очерченные или исторически сложившиеся (традиционные) границы рабо­ты («области комфорта») и браться за осново­полагающие и непростые вопросы, с которы­ми, как правило, связаны наиболее масштаб­ные риски в деятельности любой компании.

Для внутреннего аудита в современных усло­виях это означает, во-первых, выход на уро­вень выработки стратегии компании. По сво­им масштабам именно стратегические риски относятся к наиболее серьезным для компа­нии, и реализация прежде всего стратегиче­ских рисков приводит к значительным убыт­кам и банкротствам. Речь идет не об участии внутреннего аудита в выработке стратегии и управлении стратегическими рисками. Роль внутреннего аудита заключается в оценке про­цесса выработки стратегии компании и управ­ления стратегическими рисками.

Без всякого сомнения, изучение и обсуждение с высшим руководством вопросов, имеющих отношение к стратегическим рискам и принятию страте­гических решений, является в высшей степе­ни ответственным шагом для любого руково­дителя службы внутреннего аудита.

К расширению сферы деятельности внутрен­него аудита и выходу за традиционные рам­ки операционных, финансовых и комплайенс рисков — на уровень стратегических рисков — должны быть готовы не только внутренние аудиторы, но и высшее руководство компа­ний. Стратегические риски относятся к той области, в которой советы директоров и выс­ший менеджмент не всегда видят и понима­ют роль, которую мог бы играть внутренний аудит. И здесь необходима более активная «разъяснительная» работа со стороны руко­водителей служб внутреннего аудита, наряду с готовностью высшего руководства услы­шать доводы внутреннего аудита.

Во-вторых, это проведение внутренних ауди­тов в таких важнейших для каждой компании областях, как эффективность системы управ­ления компанией, уровень развития корпо­ративной культуры, процессы управления ка­драми, включая систему вознаграждения и систему подготовки и развития талантов (ка­дрового резерва).

В-третьих, это проведение аудитов в техниче­ски сложных областях, например, аудиты ИБЕ (охрана труда, промышленная безопасность, охрана окружающей среды), аудит информа­ционных технологий/систем (1Т/1Б) и др.

Все это позволит внутренним аудиторам оста­ваться вовлеченными в деятельность компа­нии, а значит востребованными бизнесом.

Влияние

Статус подразделения внутреннего аудита в организации является тем самым оселком, с помощью которого определяется истинная значимость внутреннего аудита для заказчи­ков. И российским компаниям предстоит прой­ти еще немалый путь в этом направлении.

Формальное закрепление статуса службы внутреннего аудита через повышение уров­ня ее подчиненности (подотчетности), безус­ловно, оказывает самое благотворное влия­ние на эффективность деятельности внутрен­него аудита. Ярко выраженной тенденцией последних лет стало выведение службы вну­треннего аудита на уровень высшего должностного лица, а также ее функциональное подчинение высшему наблюдательному ор­гану организации (совету директоров, на­блюдательному совету и т.п.) напрямую или через комитет по аудиту.

Но не менее важной является и неформаль­ная сторона вопроса, прежде всего «тон сверху» в отношении внутреннего аудита. Иными словами, реальные дела и решения, демонстрирующие отношение высшего ру­ководства к внутреннему аудиту. Проникая в самые дальние уголки организации, «тон сверху» в итоге подхватывается всеми работниками. Именно на «тон сверху» ориентиру­ется в своей готовности сотрудничать с вну­тренним аудитом менеджмент организации.

Высшее руководство должно рассматривать вну­тренний аудит как стратегический ресурс орга­низации, позволяющий организации успешно справляться с различного рода рисками и оста­ваться эффективной. В таких организациях со­вет директоров и высшее исполнительное руко­водство демонстрируют поддержку и заинтересованность в деятельности внутреннего аудита, руководитель подразделения внутреннего ауди­та имеет прямой доступ к председателю совета директоров (комитета по аудиту) и исполнитель­ному органу организации, его приглашают на за­седания совета директоров (комитета по аудиту), правления, ключевых комиссий и комитетов.