Автор: Руслан Гиниятов, CIA
Источник: журнал « »
Дата публикации: 26 Июля 2010
Cтатья адресована управленцам, заинтересованным в использовании западного опыта в области корпоративного управления и организационного (т. н. «внутреннего») контроля.
Каждый человек так или иначе использует контроль в своей работе и жизни. Но не каждый делает это сознательно. Наша беседа будет посвящена тому, как научиться компетентно подходить к вопросам организационного контроля. Теория организационного контроля проста, в ней нет трюков и сложных мест. Это очевидные вещи, продиктованные здравым смыслом. Мы лишь представим их в организованном виде.
Рассматриваемые здесь модели риска и контроля были разработаны The Committee of Sponsoring Organizations of the Treadway Commission (COSO) в США. Конец 80-х был тяжёлым для США. Крах сотен финансовых институтов принёс миллиардные убытки инвесторам, дебиторам и правительству. The Treadway Commission была создана присяжными бухгалтерами, внутренними аудиторами, финансовыми менеджерами и двумя другими группами для изучения ситуации. Среди прочего комиссия рекомендовала спонсирующим организациям разработать интегрированное руководство по внутреннему контролю. Для реализации этой рекомендации был создан COSO комитет. Модели риска и контроля, предложенные COSO, послужили основой для ряда других моделей риска и контроля, разработанных в других странах организациями, аналогичными COSO, и различными консультационными фирмами.
Попробуйте самостоятельно ответить на вопросы «что такое контроль?» и «какие типы контроля бывают»? Что первое пришло вам нам на ум? Инспекции, процедуры, подписи, файлы Как правило, не более того. Модели, которые мы рассмотрим, инструмен-тальны. Используя эти модели, вы сможете более широко и системно смотреть на вопросы контроля в своей ежедневной практике, замечать то, что прежде ускользало от вашего внимания в этой связи.
Зачастую мы говорим о контроле ради контроля. Контроль не самоцель. Он связан с рисками и целями организации. Грамотное обсуждение вопросов контроля требует постоянного видения этой перспективы. Поэтому мы начнём разговор о контроле с разговора о риске.
Попробуйте ответить на следующие вопросы. Что такое риск? Какие типы рисков существуют? Как измерить риск? Потратьте несколько минут и запишите свои ответы. Модель риска предлагает ответы на эти вопросы.
The Economist Intelligence Unit в своём исследовании определяет риск как «угрозу того, что некое событие или действие негативно повлияет на способность организации успешно достичь своих целей или реализовать свои стратегии». Заметим, что в соответствии с этим определением говорить о риске можно только в контексте специфических целей.
Теперь посмотрим, как можно классифицировать риски. Можно классифициро вать риски по их источникам.
Начнём с внутренних источников риска.
Теперь обратимся к внешним источникам риска. Некоторые из них персонифи цированы.
Другие внешние источники риска не персонифицируются.
И наконец, природные факторы.
Взгляните теперь на типы рисков, которые вы записали перед началом обсужде ния этой классификации рисков. Многие ли из источников риска попали в ваш список? Теперь посмотрим на риск с другой стороны.
Вспомним как мы определяли риск.
Мы определяли его через цели организации. Следовательно, мы можем классифи цировать риски по тому, каким целям они угрожают. Заметим, что кроме целей, которые организация устанавливает перед собой, мы должны принять во внимание обязанности, накладываемые на организацию государством и инвесторами.
Взгляните ещё раз на те типы рисков, что вы указали в начале нашего разгово ра. Какие типы рисков по этой, второй, классификации попали туда? Какие не попали? Используя эту модель риска, вы могли бы существенно удлинить свой первоначальный список. Не правда ли?
Общепринято измерять риск вероятностью угрозы и степенью негативного влияния последствий:
опустим, что все работники завода, работающие с компьютерной программой по бухучёту, имеют системный ID и пароль, позволяющий производить критические дей ствия в системе, к примеру, создавать в системе заказ на закупку. Последствия неавто ризованных закупок могут нанести серьёзный ущерб экономичному и эффективному использованию ресурсов.
Предположим, что только работники отдела закупок были обучены созданию системного заказа на закупку, остальные же работники, хотя и имеют доступ теоретиче ски, но практически никогда им не пользуются. Уровень их компьютерной грамотности недостаточен, чтобы разобраться в этом самостоятельно. В этой ситуации последствия серьёзны, но вероятность угрозы не столь велика. Соответственно, суммарный риск имеет среднее значение (квадрант 1).
Если же мы не можем быть столь уверены в компьютерной безграмотности поль зователей, вероятность угрозы возрастает. И наконец, если в числе этих работников есть продвинутые пользователи, хорошо знающие бизнес процесс, мы попадаем в область высокой вероятности с серьёзными последствиями. Суммарный риск максимален (ква дрант 2). Вернитесь опять к своим записям и сравните, как близки вы были к методу изме рения риска, предлагаемого этой моделью.
На этом мы закончим рассмотрение модели риска и перейдём к модели контроля.
Попробуйте ответить на такие вопросы. Что такое контроль? Какие существуют типы контроля? Как измерить уровень контроля?
Существуют различные определения контроля. Воспользуемся определением, данным Институтом Внутренних аудиторов (США). «Контролем является всякое дей ствие, предпринятое органом управления для повышения вероятности того, что установ ленные цели будут достигнуты».
Как видите, контроль, как и риск, определяется через цели организации. И если риск представляет угрозу этим целям, то контроль предназначен ее смягчить. Мы опре деляем контроль как всякое действие, что позволяет нам не ограничивать рассмотрение традиционными методами контроля.
1. Контрольная среда. Она включает так называемые «опоры контроля»: «тон наверху» и «способность организации». Для обеспечения правильного «тона наверху» руководство должно служить образцом корпоративной культуры, подчёркивать важ ность эффективного организационного контроля, поощрять деятельность по усовер шенствованию систем контроля. Необходимый уровень «способности организации» достигается посредством обучения персонала. Работник, не способный понять смыс ла элементов процесса, в котором он участвует, является слабой гарантией контроля в современных сложных организациях. Контрольная среда включает и другие «почвообразующие» элементы, например принципы организации, систему вознаграждения, процесс согласования стратегии всех подразделений организации и прочее. Контрольная среда – это элемент №1, поскольку она является условием жизнеспособности всех остальных элементов.
2. Оценка риска. Поскольку контроль устанавливается для смягчения риска, эффективная система контроля требует знания текущей «карты рисков». Оценка риска в разных областях проводится с разной степенью формальности. Отдел внутреннего аудита проводит ежегодную переоценку риска, т. н. «универсума аудита», который является списком аудируемых областей. Обычно «универсум аудита» охватывает широкий спектр процессов, существующих в организации. Но он не является всеохватывающим, т. е. в организации существуют риски, не «охваченные» «универсумом аудита».
Например, процесс подготовки отчётов о финансовых результатах обычно наличествует в универсуме. А процесс анализа финансовых результатов и их прогнозирования – нет. Причиной этого является сложность аудита нерутинных процессов.
3. Действия контроля. Наконец мы подошли к тем самым инструментам «прямого» контроля, которые составляли основу традиционных подходов к контролю и нашли отражение в девяти «действиях контроля».
Эти действия контроля ясны из их названий. Приведём пример последствий неэффективной авторизации транзакций. Менеджер, не имеющий полномочий продавать оборудование, поручил инженеру найти потенциальных покупателей на вышедшую из эксплуатации производственную линию. Чрезвычайно дорогая линия была продана за половину её рыночной стоимости.
4. Информация и коммуникация. Ещё один «мягкий» элемент контроля. Приведём пример. Руководитель торгового отдела решил усилить контроль за отгрузками консигнационных товаров, хранящихся на складе регионального дистрибьютора, введением дополнительного элемента контроля. Региональный торговый представитель компании должен письменно авторизовывать каждую отгрузку («транзакции авторизуются»). Через некоторое время в налоговый отдел организации случайно попала копия такого документа. Специалист по налогам потребовал немедленно отменить эту процедуру, поскольку законодательство требовало в данном случае существенного усложнения процесса расчёта налога с продаж. Несоблюдение же законодательства могло привести к существенным штрафам. Правильно организованная коммуникация между торговым и юридическим отделами могла бы предотвратить этот риск с самого начала.
5. Мониторинг. Эта группа включает в себя различные виды надзора высших уровней управления за работой низших. Сюда относятся и различные виды аудита, включая аудит качества, техники безопасности, внутренний аудит. Мониторинг часто предполагает сравнение текущих результатов с ожидаемыми. Поэтому нормативы относятся к этой группе элементов контроля. Например, нормативы соответствия результатов инвентаризации данным складского учёта, норматив времени для «закрытия» бухгалтерских книг.
Взгляните на список типов контроля, предложенный вами в начале. Какие элементы контроля вошли в него, а какие не вошли?
Перейдём к вопросу измерения контроля.
После нашего предыдущего обсуждения для вас не должно быть сюрпризом, что я предлагаю вам измерять уровень контроля через уровень риска. Общепринятой формулой является
присущий риск – контроль = остаточный риск.
Уровень остаточного риска сравнивается с оптимальным уровнем. Уровень остаточного риска выше оптимального является неприемлемым. Уровень остаточного риска ниже оптимального соответствуют избыточному контролю.
Суждения об оптимальности уровня остаточного риска субъективны. На основании результатов оценки уровня остаточного риска ответственное лицо может решить либо скорректировать цели, либо изменить (усилить или ослабить) систему контроля, либо продолжать слепо двигаться вперёд.
Итак, кратко суммируем итоги. Контроль является ответственностью отдела внутреннего аудита. Контроль не имеет ничего общего с целями бизнеса. Контроль необходим тогда, когда нет взаимного доверия. Согласны? Если нет, то мы не зря потратили время.