Автор: Валерий Серков, CIA, CFE, CRMA, директор службы внутреннего контроля и аудита, член Ассоциации “Институт внутренних аудиторов”
Источник: Ассоциация “Институт внутренних аудиторов”
Дата публикации: 15 Ноября 2021
Автор: Валерий Серков, CIA, CFE, CRMA, директор службы внутреннего контроля и аудита, член Ассоциации “Институт внутренних аудиторов”[1]
Внедрение рекомендаций департамента внутреннего аудита в жизнь подводит черту под любым аудитом и предваряет следующий: проверку факта и степени устранения выявленных недостатков. Для внутренних аудиторов успешность внедрения рекомендаций тождественна успешности их работы в компании и отражает те положительные изменения, которые могли бы не произойти, не обрати внутренние аудиторы внимание на их необходимость. Кроме того, наличие данного этапа является одним из признаков, отличающих внутренний аудит от иных видов проверочной деятельности.
Многие компании включают в КПЭ внутреннего аудита показатели, отражающие эффект от внедрения рекомендаций, тем более что сохранение и повышение стоимости организации является миссией нашей профессии.
Такие события как завершение самой аудиторской проверки, факт внедрения рекомендаций внутреннего аудита, оценка реального эффекта от внедрения и отражение результатов в качестве КПЭ могут быть очень сильно разнесены во времени. Безусловно, на это могут быть и объективные причины. Но если есть возможность сделать данные события хронологически близкими, то восприятие значения и оценка внутреннего аудита могут существенно повыситься.
Для того чтобы процесс внедрения шел как можно быстрее, важно учитывать два фактора:
Иначе говоря, это постановка задачи и контроль ее выполнения. Ниже рассмотрим особенности этих факторов подробнее.
Сложности разработки рекомендаций и способы их преодолений
Говорят, что качественное планирование и подготовка – это половина успеха реализации проекта. С другой стороны, ошибки на стадии планирования могут свести на нет все последующие усилия. Разберем основные проблемы, которые могут возникнуть на пути будущей реализации плана корректирующих мероприятий. Такие проблемы могут быть объективными (п.1) и субъективными (п. 2-4).
Зачастую менеджмент соглашается с фактом и оценкой выявленного недостатка, но активно или пассивно противодействуют предлагаемым корректирующим мероприятиям.
Разрабатывая рекомендации, внутренние аудиторы должны оценить следующие факторы:
1) Стоимость их внедрения. Стоит учитывать не только прямые финансовые расходы, но также и время необходимое на внедрение и отладку новых процедур, включая обучение вовлеченного персонала новым технологиям.
2) “Стоимость” их игнорирования. В ходе аудиторской проверки могут быть идентифицированы как риски негативных событий, так и уже произошедшие факты негативных событий. И то, и другое требует оценки в качестве обоснования существенности проблемы и необходимости ее решения. Такую оценку желательно провести в денежном выражении.
В случае если стоимость (1) будет превышать стоимость (2), аудитору стоит задуматься об изменении рекомендации.
3) Конкретность формулировки рекомендации. Рекомендация должна быть понятна ее исполнителю (менеджменту). В ходе обсуждения результатов аудита руководителю проверки следует удостовериться, что подход к реализации рекомендаций понятен представителям проверяемого подразделения. В идеале формат рекомендаций должен быть аналогичен формату будущего плана мероприятий по устранению выявленных недостатков. Соответственно, он должен содержать предложения по следующим вопросам:
Отсутствие ответов на хотя бы один из указанных вопросов чаще всего приводит к отсутствию каких-либо корректирующих действий вообще или к некачественной их реализации. Например, можно отметить следующие негативные ситуации, связанные с внедрением:
4) Нацеленность на устранение прежде всего причины, а не последствия. Конечно, если, например, аудитор выявляет ошибку в финансовой отчетности, он должен рекомендовать ее исправить. Однако, если он не установит причину, приведшую к ее появлению, и не обратит внимание менеджмента на необходимость устранения этой причины, ошибка может повториться и в будущем. Это безусловно уменьшает ценность работы внутреннего аудита.
Внутреннему аудитору необходимо разъяснить менеджменту его право предложить альтернативное мероприятие. Вполне возможно, оно будет более эффективным, поскольку предлагается специалистами в конкретной области, и его претворение в жизнь пройдет легче. В этом случае аудитор должен оценить его перспективность по вышеуказанным критериям.
2. Незаинтересованность менеджмента в реализации рекомендаций
1) Психологический аспект. Любое изменение – это выход из зоны комфорта для менеджмента. Однако внутреннему аудитору нужно объяснить, что это единственный способ обеспечить дальнейшее развитие. Ключевые показатели эффективности структурных подразделений компании должны включать так называемые показатели развития, планку которых необходимо возможности совершения мошеннических и иных неэтичных действий. Хорошей практикой для борьбы с причиной такого противодействия будет установление ответственности за невыполнение плана устранения корректирующих действий и саботирования взаимодействия с внутренним аудитом: например, в виде понижающего коэффициента к переменной части заработной платы. Соответствующий пункт должен быть прописан в корпоративном положении о премировании.
Отдельно следует сказать про формальный подход к внедрению рекомендаций, который еще превалирует в некоторых компаниях. Это может проявляться в формулировании рекомендаций, связанных с выявленной проблемой, но не направленных на ее устранение. В данном случае, казалось бы, все довольны: менеджмент отчитался перед внутренним аудитом за внедренные мероприятия, внутренний аудит отчитался перед советом директоров о проведении периодического мониторинга выполнения рекомендаций. Опасна эта ситуация тем, что менеджмент, выполняя пожелания внутренних аудиторов, а внутренние аудиторы, принимая факт внедрения таких рекомендаций, снижают внимание к нерешенной проблеме. Я бы рекомендовал в данном случае обращать внимание на точность формулировки задач: должен быть мониторинг устранения недостатков, а не выполнения рекомендаций.
Поскольку ДВА должен “убедиться, что менеджментом приняты результативные меры или что высшее исполнительное руководство приняло риск, решив не предпринимать никаких действий” (Статья 2500.А1 Стандартов), со стороны внутреннего аудита будет ошибкой “бросить” проверку после защиты отчета перед заказчиками. Основная работа только начинается.
Для контроля своевременности и качества внедрения рекомендаций:
1) Хорошей практикой является использование специального программного обеспечения для совместной работы менеджмента и внутреннего аудита. Оно позволяет делать автоматические напоминания о необходимости определенных действий в отношении выявленных недостатков, а также об отчете внутреннему аудиту по результатам внедрения. Кроме того, результаты будут иметь документальное подтверждение.
2) Необходимо установить разумную периодичность контроля. С одной стороны, не стоит перегружать менеджмент запросами, с другой – контроль должен быть достаточным для внесения корректив при необходимости. Обычно внутреннему аудитору необходимо и достаточно задать три вопроса ответственному менеджменту:
a) Срок задачи <= 1 мес. Контроль – за неделю до истечения срока.
b) Срок задачи <= 1 квартала. Контроль – ежемесячно.
c) Срок задачи <= 1 года. Контроль – ежеквартально.
3) Контроль должен быть направлен на проверку факта выполнения мероприятия, а не являться просто сбором заявлений от менеджмента, что все выполнено. Следует включать проверки выполнения мероприятий в будущий аудит соответствующего объекта и начинать аудит соответствующего актива с “проверки домашнего задания”.
4) Нельзя замалчивать и прощать менеджменту факты недисциплинированности. За безосновательный срыв сроков должна наступать ответственность, и менеджмент должен о ней знать.
Срочность осуществления любой активности (наряду с ее стоимостью и качеством ее результата) является важным критерием, по которому она оценивается. Внедрение рекомендаций внутреннего аудита – не исключение. Чем быстрее выявленные недостатки будут исправлены, тем раньше компания начнет на практике использовать результаты работы внутренних аудиторов.
При этом надо рассматривать все три аспекта (скорость, цену и качество) в совокупности. Скорость выполнения чаще всего обратно пропорциональна цене (чем быстрее, тем дороже) и качеству (чем быстрее, тем менее качественно).
__________________________________________
[1] Ассоциация “Институт внутренних аудиторов” (Ассоциация “ИВА”), зарегистрированная в 2000 г., является профессиональным объединением более чем 4000 внутренних аудиторов, внутренних контролеров и работников других контрольных подразделений российских компаний и организаций. Подробности на сайте www.iia-ru.ru