Автор: Валерий Серков, CIA, CFE, CRMA, директор службы внутреннего контроля и аудита, член Ассоциации “Институт внутренних аудиторов”[1]
Внедрение рекомендаций департамента внутреннего аудита в жизнь подводит черту под любым аудитом и предваряет следующий: проверку факта и степени устранения выявленных недостатков. Для внутренних аудиторов успешность внедрения рекомендаций тождественна успешности их работы в компании и отражает те положительные изменения, которые могли бы не произойти, не обрати внутренние аудиторы внимание на их необходимость. Кроме того, наличие данного этапа является одним из признаков, отличающих внутренний аудит от иных видов проверочной деятельности.
Многие компании включают в КПЭ внутреннего аудита показатели, отражающие эффект от внедрения рекомендаций, тем более что сохранение и повышение стоимости организации является миссией нашей профессии.
Такие события как завершение самой аудиторской проверки, факт внедрения рекомендаций внутреннего аудита, оценка реального эффекта от внедрения и отражение результатов в качестве КПЭ могут быть очень сильно разнесены во времени. Безусловно, на это могут быть и объективные причины. Но если есть возможность сделать данные события хронологически близкими, то восприятие значения и оценка внутреннего аудита могут существенно повыситься.
Для того чтобы процесс внедрения шел как можно быстрее, важно учитывать два фактора:
- Корректность предлагаемых рекомендаций.
- Наличие и достаточность контрольных механизмов (мониторинга) внедрения плана мероприятий.
Иначе говоря, это постановка задачи и контроль ее выполнения. Ниже рассмотрим особенности этих факторов подробнее.
Сложности разработки рекомендаций и способы их преодолений
Говорят, что качественное планирование и подготовка – это половина успеха реализации проекта. С другой стороны, ошибки на стадии планирования могут свести на нет все последующие усилия. Разберем основные проблемы, которые могут возникнуть на пути будущей реализации плана корректирующих мероприятий. Такие проблемы могут быть объективными (п.1) и субъективными (п. 2-4).
1. Бесперспективность предлагаемых рекомендаций
Зачастую менеджмент соглашается с фактом и оценкой выявленного недостатка, но активно или пассивно противодействуют предлагаемым корректирующим мероприятиям.
Разрабатывая рекомендации, внутренние аудиторы должны оценить следующие факторы:
1) Стоимость их внедрения. Стоит учитывать не только прямые финансовые расходы, но также и время необходимое на внедрение и отладку новых процедур, включая обучение вовлеченного персонала новым технологиям.
2) “Стоимость” их игнорирования. В ходе аудиторской проверки могут быть идентифицированы как риски негативных событий, так и уже произошедшие факты негативных событий. И то, и другое требует оценки в качестве обоснования существенности проблемы и необходимости ее решения. Такую оценку желательно провести в денежном выражении.
В случае если стоимость (1) будет превышать стоимость (2), аудитору стоит задуматься об изменении рекомендации.
3) Конкретность формулировки рекомендации. Рекомендация должна быть понятна ее исполнителю (менеджменту). В ходе обсуждения результатов аудита руководителю проверки следует удостовериться, что подход к реализации рекомендаций понятен представителям проверяемого подразделения. В идеале формат рекомендаций должен быть аналогичен формату будущего плана мероприятий по устранению выявленных недостатков. Соответственно, он должен содержать предложения по следующим вопросам:
- содержание мероприятий (что необходимо сделать)
- ответственный за мероприятия (кто должен их осуществить)
- сроки реализации мероприятий (когда их необходимо осуществить).
Отсутствие ответов на хотя бы один из указанных вопросов чаще всего приводит к отсутствию каких-либо корректирующих действий вообще или к некачественной их реализации. Например, можно отметить следующие негативные ситуации, связанные с внедрением:
- Фактические сроки могут быть избыточными, что приведет к снижению эффекта от внедрения.
- Фактические сроки могут быть недостаточными, что потребует корректировки планов и переоценки требуемых ресурсов.
- Задание может быть поручено исполнителю с недостаточной квалификацией, уровнем ответственности или полномочий.
- Задание некорректно интерпретировано исполнителем.
4) Нацеленность на устранение прежде всего причины, а не последствия. Конечно, если, например, аудитор выявляет ошибку в финансовой отчетности, он должен рекомендовать ее исправить. Однако, если он не установит причину, приведшую к ее появлению, и не обратит внимание менеджмента на необходимость устранения этой причины, ошибка может повториться и в будущем. Это безусловно уменьшает ценность работы внутреннего аудита.
Внутреннему аудитору необходимо разъяснить менеджменту его право предложить альтернативное мероприятие. Вполне возможно, оно будет более эффективным, поскольку предлагается специалистами в конкретной области, и его претворение в жизнь пройдет легче. В этом случае аудитор должен оценить его перспективность по вышеуказанным критериям.
2. Незаинтересованность менеджмента в реализации рекомендаций
1) Психологический аспект. Любое изменение – это выход из зоны комфорта для менеджмента. Однако внутреннему аудитору нужно объяснить, что это единственный способ обеспечить дальнейшее развитие. Ключевые показатели эффективности структурных подразделений компании должны включать так называемые показатели развития, планку которых необходимо возможности совершения мошеннических и иных неэтичных действий. Хорошей практикой для борьбы с причиной такого противодействия будет установление ответственности за невыполнение плана устранения корректирующих действий и саботирования взаимодействия с внутренним аудитом: например, в виде понижающего коэффициента к переменной части заработной платы. Соответствующий пункт должен быть прописан в корпоративном положении о премировании.
3. Незаинтересованность самого внутреннего аудита
- Отсутствие у внутреннего аудита задачи мониторинга внедрения рекомендаций. Если внутренний аудит действует в “полицейской манере” (в некоторых компаниях еще осталась такая практика), то нет необходимости разработки каких-либо корректирующих действий. Достаточно выявленного факта нарушения. Рекомендации будут сведены к вопросу наказания виновных. Однако, если внутренний аудит в компании претендует на соответствие Международным стандартам, можно вспомнить, что в соответствии со статьей 2500 Международных стандартов профессиональной практики внутреннего аудита (Мониторинг решения проблемных вопросов): “Руководитель внутреннего аудита должен разработать и поддерживать систему мониторинга решения проблемных вопросов, выявленных по итогам выполнения задания, после ознакомления менеджмента с результатами задания”.
- Перегруженность внутреннего аудита текущими задачами и отсутствие физической возможности уделять достаточно времени и внимания вопросу мониторинга выявленных ранее недостатков. В данном случае при формировании ежегодного плана аудита следует выделить отдельной строкой мониторинг устранения недостатков с определением необходимых для его осуществления ресурсов.
4. Незаинтересованность заказчика
- Существование функции внутреннего аудита может быть в компании “для галочки”, для формального соответствия внешним требованиям или лучшим практикам. Указанные причины существования внутреннего аудита свидетельствуют об относительно низком уровне развития корпоративного управления в целом и представителей заказчика в частности. Довольно периодически поднимать. В этом случае выполнение разумных предложений со стороны внутреннего аудита может стать способом достижения КПЭ.
- Материальный аспект. Не будем сбрасывать со счетов и возможную финансовую заинтересованность менеджмента ничего не менять. Усиление контроля за их деятельностью снижает тяжелым, но иногда действенным путем решения проблемы незаинтересованности заказчика во внедрении мероприятий является проактивная работа руководителя внутреннего аудита компании по продвижению своей функции среди членов совета директоров и высшего менеджмента.
Отдельно следует сказать про формальный подход к внедрению рекомендаций, который еще превалирует в некоторых компаниях. Это может проявляться в формулировании рекомендаций, связанных с выявленной проблемой, но не направленных на ее устранение. В данном случае, казалось бы, все довольны: менеджмент отчитался перед внутренним аудитом за внедренные мероприятия, внутренний аудит отчитался перед советом директоров о проведении периодического мониторинга выполнения рекомендаций. Опасна эта ситуация тем, что менеджмент, выполняя пожелания внутренних аудиторов, а внутренние аудиторы, принимая факт внедрения таких рекомендаций, снижают внимание к нерешенной проблеме. Я бы рекомендовал в данном случае обращать внимание на точность формулировки задач: должен быть мониторинг устранения недостатков, а не выполнения рекомендаций.
Особенности мониторинга плана мероприятий
Поскольку ДВА должен “убедиться, что менеджментом приняты результативные меры или что высшее исполнительное руководство приняло риск, решив не предпринимать никаких действий” (Статья 2500.А1 Стандартов), со стороны внутреннего аудита будет ошибкой “бросить” проверку после защиты отчета перед заказчиками. Основная работа только начинается.
Для контроля своевременности и качества внедрения рекомендаций:
1) Хорошей практикой является использование специального программного обеспечения для совместной работы менеджмента и внутреннего аудита. Оно позволяет делать автоматические напоминания о необходимости определенных действий в отношении выявленных недостатков, а также об отчете внутреннему аудиту по результатам внедрения. Кроме того, результаты будут иметь документальное подтверждение.
2) Необходимо установить разумную периодичность контроля. С одной стороны, не стоит перегружать менеджмент запросами, с другой – контроль должен быть достаточным для внесения корректив при необходимости. Обычно внутреннему аудитору необходимо и достаточно задать три вопроса ответственному менеджменту:
- “Как поняли задачу?”. Следует обратить внимание не только на корректно понимаемую терминологию, но и на понимание значимости самой задачи.
- “Приняли ли задачу в работу?”. Важно убедиться, что работа по корректирующим мероприятиям делегирована конкретному исполнителю и начата им.
- “Выполнили ли задачу (этап)?” В случае, если задача по внедрению имеет долгосрочный характер, следует установить промежуточные точки контроля: либо по завершении конкретных этапов, либо через определенные промежутки времени. Я бы рекомендовал следующие интервалы:
a) Срок задачи <= 1 мес. Контроль – за неделю до истечения срока.
b) Срок задачи <= 1 квартала. Контроль – ежемесячно.
c) Срок задачи <= 1 года. Контроль – ежеквартально.
3) Контроль должен быть направлен на проверку факта выполнения мероприятия, а не являться просто сбором заявлений от менеджмента, что все выполнено. Следует включать проверки выполнения мероприятий в будущий аудит соответствующего объекта и начинать аудит соответствующего актива с “проверки домашнего задания”.
4) Нельзя замалчивать и прощать менеджменту факты недисциплинированности. За безосновательный срыв сроков должна наступать ответственность, и менеджмент должен о ней знать.
Срочность осуществления любой активности (наряду с ее стоимостью и качеством ее результата) является важным критерием, по которому она оценивается. Внедрение рекомендаций внутреннего аудита – не исключение. Чем быстрее выявленные недостатки будут исправлены, тем раньше компания начнет на практике использовать результаты работы внутренних аудиторов.
При этом надо рассматривать все три аспекта (скорость, цену и качество) в совокупности. Скорость выполнения чаще всего обратно пропорциональна цене (чем быстрее, тем дороже) и качеству (чем быстрее, тем менее качественно).
__________________________________________
[1] Ассоциация “Институт внутренних аудиторов” (Ассоциация “ИВА”), зарегистрированная в 2000 г., является профессиональным объединением более чем 4000 внутренних аудиторов, внутренних контролеров и работников других контрольных подразделений российских компаний и организаций. Подробности на сайте www.iia-ru.ru