Ассоциация “Институт внутренних аудиторов” и компания “Делойт” провели совместное исследование текущего состояния и тенденций развития внутреннего аудита в России. В рамках исследования было опрошено около 100 руководителей служб внутреннего аудита в российских компаниях нефинансового сектора из различных отраслей, полученные данные были сопоставлены с результатами опроса за 2017 год.
В рамках исследования были рассмотрены качественные характеристики подразделений внутреннего аудита (в том числе вопросы подотчетности и обеспечения независимости, выполняемые функции, оценки эффективности), вопросы управления персоналом и ресурсного обеспечения, операционная деятельность, а также использование ИТ и средств анализа данных в работе подразделений внутреннего аудита.
Исследование показало ряд важных тенденций в развитии практики внутреннего аудита нефинансовых компаний.
Ключевые выводы исследования
В ближайшие годы деловая среда будет требовать от организаций внедрения изменений, влияющих в том числе на необходимость модернизации служб внутреннего аудита. Сергей Кудряшов, партнер, руководитель практики по внутреннему аудиту, Делойт, поясняет: “Высокие темпы внедрения передовых технологий, новые бизнес-модели, изменение нормативной базы и взаимоотношения с третьими сторонами влияют и на изменение роли внутреннего аудита. Чтобы удовлетворять растущим ожиданиям бизнеса, службам внутреннего аудита необходимо расширить свою роль от предоставления исключительно гарантий до оказания консультационных услуг, от реактивного подхода до ориентированности на будущее, от защиты активов до оказания поддержки в создании стоимости. При этом внутреннему аудиту важно не отстать от развития организации в целом, что вызывает необходимость внедрения инновационных решений. Но результаты исследования показали, что службы внутреннего аудита не всегда обладают ресурсами для изменений”.
По мнению Алексея Сонина, директора Ассоциации “Институт внутренних аудиторов”, чтобы внутренний аудит не стал восприниматься как препятствие на пути прогресса, он просто обязан трансформироваться: это относится к изменению функций внутреннего аудита, подходов к планированию и выполнению аудиторских заданий, используемых в аудите технологий, а также требуемых знаний и навыков внутренних аудиторов. При этом исследование показало, что выполняемые внутренним аудитом функции в целом меняются не сильно. Это традиционные оценка системы внутреннего контроля, мониторинг устранения недостатков и содействие менеджменту в совершенствовании системы контроля. Алексей Сонин отмечает, что в то же время обращает на себя внимание, что консультационное направление в деятельности служб внутреннего аудита вышло на второе место по приоритетности после оценки эффективности системы внутреннего контроля, хотя в предыдущих исследованиях эта функция вообще не входила в тройку приоритетов. С учетом требований по цифровизации и необходимости перехода на новые информационные технологии, выглядит несколько странным, что ИТ-аудиты являются приоритетной областью только для каждой третьей службы внутреннего аудита. Хотя в своих планах на будущее эту область назвали приоритетной уже около половины респондентов.
Характеристики служб внутреннего аудита
В 40% компаний подразделение внутреннего аудита существует более 10 лет, и всего в 4% – ему менее года. Несмотря на то что у большинства компаний (63%) общее количество сотрудников превышает 5 тыс. человек, 54% компаний обладают небольшими службами внутреннего аудита с численностью сотрудников менее пяти человек, а средний бюджет на одного сотрудника службы внутреннего аудита составляет 2,2 млн руб.
Большинство респондентов отметили, что функционально служба внутреннего аудита подчиняется совету директоров/ комитету по аудиту (72%), а административно — первому исполнительному лицу компании (86%). Данные результаты сопоставимы с результатами исследования 2017 года, существенных изменений не произошло.
Специфика структуры каждой компании накладывает отпечаток на особенности деятельности аудиторов. Начальник управления внутреннего аудита ПАО “Юнипро” Вероника Семенова отмечает, что в случае присутствия иностранных инвесторов важно найти правильный баланс в обеспечении независимости, чтобы учесть мнения всех заинтересованных сторон. На практике, наличие иностранной материнской компании оказывает влияние на работу внутреннего аудита (участие в составлении и обновлении годового плана, выполнение совместных аудитов, согласование аудиторских отчётов и т.д.)
Основными пользователями результатов работы службы внутреннего аудита являются высшее исполнительное руководство (95%) и совет директоров/ комитет по аудиту (64%). При этом необходимо отметить увеличение по сравнению с 2017 годом числа компаний, в которых акционеры/ собственники являются основными пользователями результатов работы службы внутреннего аудита (с 29% до 40%).
Перечень функциональных обязанностей и основных задач службы внутреннего аудита практически не изменился с 2017 года, но вместе с тем если в 2017 году наиболее частыми ответами были оценка эффективности системы внутреннего контроля (89%), мониторинг устранения недостатков в ее работе (89%), содействие руководству при ее создании (84%), то в 2019 году вторым по частоте ответом является консультирование руководства по различным вопросам. Владимир Александров, начальник управления внутреннего аудита «Первой грузовой компании», отмечает, что запрос на консультирование руководства является признаком высокого доверия бизнеса к службе внутреннего аудита; однако это требует от членов команды аудита профессиональной квалификации, глубокого понимания бизнес-процессов, а также постоянного повышения компетенций и навыков. Именно эти качества вместе со способностью высказывать беспристрастное мнение позволят поддерживать высокий уровень доверия со стороны руководства.
22% компаний-респондентов среди основных функциональных обязанностей службы внутреннего аудита отмечают оценку безопасности информационных систем. Также в зону ответственности службы входят ИТ‑аудиты и оценка безопасности информационных систем (ИС) — в 2020 году их планируют проводить 47% и 29% участников опроса соответственно. Денис Овсянников, директор по внутреннему аудиту ТЕЛЕ2, поясняет: “Появление оценки безопасности ИС в перечне функциональных обязанностей внутреннего аудита отражает сложившийся тренд. Отчет Международного института внутренних аудиторов (IIA) OnRisk 2020, содержащий перечень наиболее существенных рисков, с которыми сталкиваются компании сейчас и будут сталкиваться в ближайшие 4 года, говорит о том, что в топ-5 входят риски, связанные с кибербезопасностью, защитой данных и новыми технологиями. Для того, чтобы приносить ценность для компании, внутренний аудит должен обладать соответствующими навыками. Для того чтобы повысить наши компетенции в данной области в 2019 г мы выделили аудит информационной безопасности в отдельное направление в рамках службы”.
Существенно снизилось (с 53% в 2017 году до 33% в 2019 году) количество респондентов, считающих задачу по обеспечению контроля за сокращением затрат функциональной обязанностью службы внутреннего аудита.
Обращает на себя внимание повышение значимости вопросов оценки эффективности системы управления рисками (такую оценку в 2020 году планирует проводить 76% служб внутреннего аудита).
По мнению участников опроса, в 2018–2019 годах служба внутреннего аудита принесла наибольшую пользу в вопросах повышения эффективности системы внутреннего контроля (78%), оптимизации бизнес-процессов (53%) и сокращении затрат (36%). При этом только 27% участников опроса планируют контролировать сокращение затрат в 2020 году.
Среди показателей, с помощью которых оценивается эффективность деятельности службы внутреннего аудита, наиболее часто используются степень фактического выполнения плана аудиторских заданий (76%), количество выполненных аудиторских рекомендаций (57%), результаты опроса высшего исполнительного руководства (42%) и результаты опроса аудируемых подразделений (31%). Владимир Александров, начальник управления внутреннего аудита «Первой грузовой компании», поясняет: “Вопрос оценки эффективности является очень актуальным в сообществе внутренних аудиторов. Как показывает исследование, классический подход к оценке эффективности деятельности службы внутреннего аудита занимает доминирующие позиции”. Артем Горлов, управляющий директор по операционным аудитам ПАО АФК “Система”, настаивает на том, что в зрелых функциях “выполнение плана проектов” не должно считаться ключевым показателем эффективности работы, поскольку данный показатель часто сдерживает реакцию функции на изменения в процессах и рисках, даже когда функция периодически пересматривает план. Правильнее измерять процент покрытия рисков или областей бизнеса. Эксперт считает, что еще одним из недооценённых показателей является реализация стратегических инициатив самого подразделения внутреннего аудита, часто этой области не уделяется должное внимание.
По сравнению с результатами предыдущего исследования существенно выросло количество служб внутреннего аудита, использующих количество выполненных аудиторских рекомендаций в качестве показателя эффективности (57% в 2019 году по сравнению с 32% в 2017 году). По мнению Дмитрия Бочарова, вице-президента по внутреннему контролю и аудиту “Сегежа Групп”, система оценки внутреннего аудита в первую очередь зависит от ожиданий ключевых заказчиков – совета директоров и руководителя компании. Однако, внутренний аудит можем формировать и предлагать КПЭ, которые будут отражать ценность функции. Как уточняет эксперт, выполнение годового плана, безусловно, важно, но более показательно не количество аудитов, а полученный от работы внутреннего аудита эффект для бизнеса.
Мнение высшего исполнительного руководства при оценке эффективности деятельности стало учитываться не так часто (42% в 2019 году и 50% в 2017 году).
Среди факторов, оказывающих существенное влияние на работу службы внутреннего аудита, респонденты назвали недостаточную обеспеченность кадровыми ресурсами (59%), большие затраты времени на получение необходимой информации (40%) и недостаточный уровень профессионализма работников (33%). По сравнению с результатами 2017 года более значимым в 2019 году стал такой фактор, как отсутствие реальной независимости службы внутреннего аудита от менеджмента (20% в 2019 году, 8% в 2017 году). Анна Сергеева, руководитель Дирекции по внутреннему контролю и аудиту АО “Стройтрансгаз”, уточняет: “Результаты анализа факторов, оказывающих существенное влияние на работу внутреннего аудита, отражают очень важную тенденцию, характерную для современного внутреннего аудита в России: увеличение процента руководителей СВА, отмечающих недостаточный уровень профессионализма сотрудников ВА, при одновременном увеличении времени, которое уделяется обучению одного внутреннего аудитора течение года. Данная ситуация вероятнее всего обусловлена тем, что современный динамично меняющийся мир сегодня создает такие условия, при которых внутренний аудитор должен профессионально развиваться намного более высокими темпами, чем еще несколько лет назад”.
Процессы и технологии
При разработке годового плана работ руководители служб внутреннего аудита учитывают запросы со стороны совета директоров/ комитета по аудиту (“очень важно” для 70% респондентов) и исполнительного руководства («очень важно» для 68% респондентов), а также информацию из системы управления рисками («очень важно» для 41% опрошенных).
2/3 опрошенных компаний-респондентов отмечают, что годовой план аудита меняется один раз в полгода или чаще, при этом 16% респондентов часто корректируют план, в зависимости от изменяющихся рисков. По утверждению Михаила Токуна, начальника отдела методологии Блока внутреннего контроля и аудита ПАО “МТС”, если в годовом плане зарезервировать 30% времени на проведение внеплановых аудитов, то временных затрат на изменение годового плана можно избежать и использовать это время на проведение аудита. Это правило позволяет Блоку внутреннего контроля и аудита МТС делать корректировку плана один раз в год – в 4-м квартале.
Аналогичного подхода придерживается и другой телеком-оператор. Денис Овсянников, директор по внутреннему аудиту ТЕЛЕ2, делится подробностями: “Мы обновляем свой план один раз в полгода по согласованию с комитетом по аудиту. Однако, специфика телекома предполагает быстрое развитие, появление новых продуктов и частые изменения, поэтому темы для новых проверок появляются довольно часто. Планирование ресурсов службы внутреннего аудита осуществляется таким образом, чтобы в любой момент была возможность проведения внеплановой проверки, если возникнет понимание существенности рисков в новой области”.
Результаты опроса показывают, что годовой план аудита изменяется не чаще чем один раз в 6 месяцев в 54% компаний. Этот процент ниже, чем в 2017 году, но при этом все еще остается высоким, так как данная частота актуализации годового плана чаще всего не соответствует условиям динамично развивающегося и изменяющегося современного бизнеса. Анна Сергеева, руководитель дирекции по внутреннему контролю и аудиту АО “Стройтрансгаз”, уверена, что лучшей практикой в данной области является система непрерывного аудита, позволяющая выявлять области повышенного риска в режиме реального времени, что повышает полезность функции “внутренний аудит” и помогает внутреннему аудитору всегда “идти в ногу с бизнесом”.
Доля времени, затрачиваемого на выполнение внеплановых задач, составляет более 30% у пятой части опрошенных, с другой стороны, у 57% служб внутреннего аудита на внеплановые задачи отводится менее 20% времени. По мнению Дмитрия Бочарова, вице-президента по внутреннему контролю и аудиту “Сегежа Групп”, внеплановые проверки по запросам высшего руководства и внутренний консалтинг – это индикаторы доверия внутреннему аудиту: “Если в рамках данных задач вы умеете создать ценность или дополнительный эффект для бизнеса, это повышает ценность функции и ее значимость в компании”.
Каждая четвертая служба внутреннего аудита не реализовывала консалтинговые проекты в 2019 году. 27% руководителей служб на предоставление консультаций потратило 11-20% времени. Треть участников потратило на реализацию консалтинговых проектов до 10% времени. Михаил Токун, начальник отдела методологии Блока внутреннего контроля и аудита ПАО “МТС”, делится нюансами предоставления консультаций внутренним аудитом: “В случае предоставления консультаций менеджменту пользователем становится также внутренний заказчик. Предоставление в МТС консультационных услуг (советов, рекомендаций и т.д.) менеджменту и акционерам компании в целях оказания помощи и совершенствования процессов внутреннего контроля, управления рисками и корпоративного управления является предметом соглашения со стороной, получающей консультации. Цели заданий по консультированию всегда соответствуют стратегии и целям ПАО “МТС”. Окончательные результаты задания по консультированию в форме отчета предоставляются внутреннему заказчику. Последующий мониторинг действий по результатам задания осуществляется в согласованных с заказчиком пределах”.
Перспективы
По мнению, Алексея Сонина, директора Ассоциации “Институт внутренних аудиторов”, перспективы внутреннего аудита по результатам исследования выглядят довольно хорошо. 62% руководителей служб внутреннего аудита, участвовавших в опросе, считают, что в 2020 году численность сотрудников службы внутреннего аудита не изменится. 7% опрошенных ожидают сокращения штата более, чем на 10%. Мнения четверти участников опроса разделились пополам между ростом численности более, чем на 10%, и менее, чем на 10%.
39% руководителей служб внутреннего аудита, участвующих в опросе, считают, что в 2020 году бюджет службы внутреннего аудита не изменится. Однако, в отличие от ожиданий, касающихся численности сотрудников службы, 40% руководителей прогнозируют рост бюджета (20% опрошенных считают, что бюджет в 2020 году увеличится более, чем на 10%). Наиболее пессимистичные ожидания — что бюджет сократится более чем на 10% — характерны лишь для 7% участников опроса.
Сергей Кудряшов, партнер, руководитель практики по внутреннему аудиту, Делойт, также согласен с положительной динамикой в развитии служб внутреннего аудита, но отмечает и сложности: “Некоторые службы внедрили гибкие подходы к планированию, активно осваивают новые технологии, методы тестирования и непрерывного аудита, но таких передовых служб мало. Большинство служб не обладает ресурсами на развитие и применяет консервативные подходы. Это момент, на которой стоит обратить внимание, так как, не обладая ресурсом для внедрения инноваций, службы рискуют остаться далеко позади бизнеса и потерять значимость и авторитет”.
По мнению Дмитрия Бочарова, вице-президента по внутреннему контролю и аудиту “Сегежа Групп”, вне зависимости от ограничений, которые всегда были и будут у внутреннего аудита, перспективы профессии весьма радужные: “Внутренний аудит имеет все необходимые навыки, компетенции и опыт для создания ценности в своих компаниях. И потенциальные эффекты существенно больше, чем затраты на функцию. Единственное что необходимо профессии – это непрерывное развитие. Нам следует выходить из зоны комфорта: изучать новые области, использовать современные технологии, занимать преактивную позицию в решении актуальных задач бизнеса”.