ВНУТРЕННИЙ АУДИТ: ПРАВИЛО ТРЕХ «В»
Журнал АО
Востребованность
Внутренний аудит является для любой компании функцией поддерживающей, т. е. позволяющей компании успешно вести ее основную деятельность и эффективно достигать поставленных целей. Поскольку на сегодняшний день в России вопросы наличия в компаниях внутреннего аудита не регулируются на законодательном уровне (за исключением специального законодательства в некоторых сферах деятельности, например, страховом деле), степень востребованности внутреннего аудита будет определяться прежде всего наличием спроса на его услуги со стороны основных заказчиков. (К заказчикам внутреннего аудита в рамках данной статьи мы относим советы директоров и высшее исполнительное руководство компаний.) При этом сами заказчики не всегда имеют ясное представление, зачем нужен внутренний аудит и какие задачи можно решать с его помощью.
В некоторых случаях они полагают, что внутренний аудит по сути должен выполнять те же функции, что и внешний аудитор, фокусируясь на вопросах ведения бухгалтерского учета и подготовки финансовой отчетности. Это ограничивает возможности внутреннего аудита и приводит к дублированию функций внутреннего и внешнего аудиторов.
В других случаях заказчики ожидают от внутреннего аудита выполнения исключительно ревизионных функций — проверки целевого характера использования средств, выполнения предписаний руководства, соблюдения внутренних регламентов, нормативов и т. п. Несмотря на всю важность этих вопросов, такой подход существенно ограничивает роль внутреннего аудита, сводя ее во многих случаях к роли «корпоративного полицейского». Следствием является то, что внутренний аудит фокусируется не на рисках и поиске возможностей по улучшению существующих систем и процессов, а на выявлении непроизводственных потерь, ошибок, злоупотреблений и определении виновных лиц.
Кроме того, менеджмент российских компаний достаточно часто склонен рассматривать внутренний аудит как ресурс, решающий управленческие задачи по построению системы внутреннего контроля и осуществлению внутреннего контроля в компании. Не останавливаясь подробно на этой теме в рамках данной статьи, отметим лишь, что процесс внутреннего контроля является неотъемлемой частью управленческого процесса. Иными словами, осуществление внутреннего контроля должно являться прямой и непосредственной задачей менеджмента компании. Задача внутреннего аудита, о чем мы будем говорить дальше, заключается в проведении независимой оценки надежности и эффективности контроля (но не в построении и осуществлении контроля).
Остаются в компаниях и давние предубеждения в отношении внутреннего аудита, а именно — что внутренние аудиторы не разбираются в бизнесе компании и в специфике бизнес-процессов, зацикливаются на мелочах и занимаются «копеечными» вопросами, являются вынужденной для компании необходимостью.
Так зачем же компании нужен внутренний аудит? На чем может основываться спрос на внутренний аудит или, иными словами, что делает внутренний аудит востребованным?
Начнем с того, что темы внутреннего контроля и управления рисками уже вышли на первые строчки рейтинга вопросов, в наибольшей степени волнующих высшее руководство российских компаний. Приходит понимание, что система управления рисками и система внутреннего контроля существуют для того, чтобы максимально обезопасить компанию от неблагоприятного развития событий и способствовать эффективному достижению поставленных целей, а не для того, чтобы создавать красивый фасад для акционеров и регуляторов. И что реально работающие механизмы управления рисками и контроля важнее «потемкинских деревень», содержание важнее формы.
В компаниях наряду с внутренним аудитом могут работать различные контролирующие подразделения, основной задачей которых является осуществление тех или иных видов контроля в тех или иных областях на тех или иных уровнях иерархии управления: ревизионная комиссия, департамент управления рисками, контрольно-ревизионная служба, служба безопасности и др. И конкуренция на ниве осуществления контрольных функций в компании может быть высока. Множественность контролирующих подразделений, сформированных по принципу «чтобы контроль был надежным, контролеров должно быть много и разных», приводит к неэффективности использования ресурсов компании. Просто потому, что вроде бы разноориентированные контролирующие подразделения начинают в значительной степени дублировать работу друг друга. В то же время некоторые важные области/вопросы остаются вовсе не охваченными («у семи нянек дитя без глазу»).
Кроме того, существует риск возникновения нездоровой конкуренции между контролирующими подразделениями (кто раскроет больше «темных дел» и быстрее доведет «интересную» информацию до сведения высшего руководства). Не стоит забывать, что в работе контролирующих подразделений дух сотрудничества приносит больше плодов, чем дух конкуренции.
Высшее руководство компании должно принять решение, какая структура органов контроля является для компании оптимальной. Поэтому для внутреннего аудита является архиважным, чтобы заказчики понимали, в чем заключаются принципиальные отличия внутреннего аудита от других контролирующих подразделений компании и что делает внутренний аудит незаменимым помощником в вопросах управления рисками и осуществления внутреннего контроля.
Популярная в последнее время концепция «трех линий обороны» помогает ответить на этот вопрос (рис. 1).
Рис. 1. «Три линии обороны» компании.
Менеджмент компании (1-я линия обороны) несет ответственность перед советом директоров за выстраивание систем и процессов в компании, в том числе системы управления рисками и системы внутреннего контроля, и обеспечение их эффективного функционирования. В этих вопросах менеджмент опирается на специально созданные контролирующие подразделения, основной функцией которых является осуществление соответствующих контрольных действий в тех или иных областях (2-я линия обороны). И, наконец, 3-я линия обороны — внутренний аудит, проводя независимые проверки «на прочность», позволяет как менеджменту, так и совету директоров быть уверенными в том, что системы управления рисками и внутреннего контроля (ответственность 1-й и 2-й линий обороны) являются надежными и эффективными.
Отметим, что на практике весьма часто границы между второй и третьей линиями обороны бывают не такими четкими и внутренний аудит действует в качестве составляющей второй линии обороны.
Как бы ни назывались линии обороны, для высшего руководства компании важно, чтобы в компании была выстроена эффективная система управления и контроля, компания достигала поставленных целей наиболее эффективным образом, своевременно выявляла риски и предпринимала соответствующие действия. Именно такую уверенность и может дать высшему руководству внутренний аудит.
Внутренний аудит, проводя независимую оценку систем и процессов в компании, является инструментом «обратной связи», который позволяет как менеджменту, так и совету директоров быть уверенными в том, что проблемные вопросы своевременно выявляются и эффективно решаются. При этом внутренний аудит не только выявляет факты, например, убыточность и величину потерь компании от конкретного инвестиционного проекта после его реализации, а показывает системные проблемы, например, на стадии проведения инвестиционного анализа и принятия инвестиционного решения или же системные недостатки в управлении проектом на стадии его реализации. Это позволяет компании избежать неэффективности и возможных потерь в будущих инвестиционных проектах. Конечно, при этом внутренние аудиторы должны фокусироваться на наиболее значимых с точки зрения рисков вопросах деятельности компании, не занимаясь «ловлей блох».
Но внутренний аудит не останавливается на анализе текущего положения вещей и выявлении слабых мест и недостатков. Внутренний аудит также предлагает решения, направленные на улучшения систем и процессов. Более того, задача внутреннего аудита — удостовериться в том, что компания предпринимает необходимые действия по внесению соответствующих изменений в системы и процессы.
Востребованность внутреннего аудита, таким образом, определяется тем, что внутренний аудит может дать уверенность заказчикам (высшему руководству компании), что система управления и система контроля в компании выстроены должным образом и обеспечивают достижение поставленных собственниками (акционерами) целей, что заказчики получают своевременную и объективную информацию о состоянии дел в компании и что, если в компании что-то пойдет не так, внутренний аудит поднимет вопрос на должный уровень и поможет его решить.
Вовлеченность
Советы директоров и высшее исполнительное руководство ожидают от внутренних аудиторов наличия не только профессиональных навыков и знаний, но также понимания специфических особенностей сферы деятельности и бизнеса компании.
Внутренние аудиторы являются специалистами в вопросах выявления рисков и работы соответствующих механизмов контроля. Но эти знания и навыки должны применяться в контексте повседневной работы компании — они не могут эффективно использоваться в вакууме. Порой звучащие в адрес внутренних аудиторов нарекания о том, что те не разбираются в специфике проверяемой деятельности, во многих случаях сигнализируют о нежелании менеджмента принимать ответственность за недостатки и демонстрируют боязнь перемен. Но в некоторых случаях эти обвинения имеют под собой веские основания.
Несмотря на то, что в основе работы внутреннего аудита лежит понимание вопросов управления рисками и процессов внутреннего контроля, внутренние аудиторы должны обладать знанием и пониманием отрасли и бизнеса компании в целом и проверяемых бизнес-процессов в частности — это позволит вырабатывать действенные рекомендации, направленные на снижение рисков и повышение эффективности деятельности компании. Кроме того, «разговаривая на языке бизнеса», внутренним аудиторам будет значительно проще преодолевать имеющуюся в отношении них настороженность, «быть услышанными» и убедить менеджмент в обоснованности своих выводов и рекомендаций.
Вовлеченность предполагает не только знание бизнеса внутренними аудиторами, но и возможность идти в ногу с бизнесом (плыть в одной лодке и быть на одной волне). Для этого в компаниях должно, во-первых, формироваться понимание, что внутренние аудиторы так же радеют за общее дело и являются частью команды, работающей на достижение общего результата. Во-вторых, руководству компаний следует вовлекать внутренних аудиторов в процессы выработки и принятия решений. В качестве возможных вариантов — приглашение внутренних аудиторов (с правом совещательного голоса) на заседания совета директоров (комитета по аудиту), заседания ключевых комитетов и комиссий и т. п. Это, с одной стороны, позволит высшему руководству учитывать мнение внутреннего аудита на этапе принятия решения, а не после того, как решения будут реализованы, а с другой стороны, даст возможность внутренним аудиторам своевременно реагировать на происходящие изменения и вносить корректировки в текущие планы своей деятельности в случае такой необходимости.
Вовлеченность также означает умение выявлять суть вопроса, а не только факты.
Например, некоторое структурное подразделение компании, которое занималось обслуживанием и ремонтами производственного оборудования компании, было недавно выделено в отдельное дочернее общество, действующее в рыночных условиях. В середине года в ходе проведения внутренней аудиторской проверки внутренние аудиторы определяют, что новое предприятие существенно отстает от плана реализации и происходит это по той причине, что предприятие не использует имеющиеся рыночные возможности. Но при этом главная («корневая») проблема кроется в том, что не было разработано переходного плана, не был осуществлен набор специалистов, умеющих работать в рыночных условиях, а работники предприятия не были соответствующим образом обучены/подготовлены, т. е. предприятие не имело возможности научиться работать в рыночных условиях.
Или другой пример. Если один из менеджеров высшего звена получает большие компенсации за использование бензина в поездках на корпоративном автомобиле, то проблемой здесь, скорее всего, является неэффективная организация рабочего процесса (когда менеджер проводит большую часть своего рабочего времени в автомобиле) или неоптимальность маршрутов и способов передвижения, а не собственно величина затрат на бензин, которые несет компания.
Вовлеченность внутреннего аудита предполагает постановку перед ним масштабных задач. Приведем изречение знаменитого Микеланджело Буонарроти: «Самая большая опасность для большинства из нас заключается не в том, что мы устанавливаем свою цель слишком высоко и не достигаем ее, а в том, что мы устанавливаем цель слишком низко и легко достигаем ее.»
Иными словами, внутренний аудит должен выходить за ранее очерченные или исторически сложившиеся (традиционные) границы работы («области комфорта») и браться за основополагающие и непростые вопросы, с которыми, как правило, связаны наиболее масштабные риски в деятельности любой компании.
Для внутреннего аудита в современных условиях это означает, во-первых, выход на уровень выработки стратегии компании. По своим масштабам именно стратегические риски относятся к наиболее серьезным для компании, и реализация прежде всего стратегических рисков приводит к значительным убыткам и банкротствам. Речь идет не об участии внутреннего аудита в выработке стратегии и управлении стратегическими рисками. Роль внутреннего аудита заключается в оценке процесса выработки стратегии компании и управления стратегическими рисками. Без всякого сомнения, изучение и обсуждение с высшим руководством вопросов, имеющих отношение к стратегическим рискам и принятию стратегических решений, является в высшей степени ответственным шагом для любого руководителя службы внутреннего аудита.
К расширению сферы деятельности внутреннего аудита и выходу за традиционные рамки операционных, финансовых и комплайенс рисков — на уровень стратегических рисков — должны быть готовы не только внутренние аудиторы, но и высшее руководство компаний. Стратегические риски относятся к той области, в которой советы директоров и высший менеджмент не всегда видят и понимают роль, которую мог бы играть внутренний аудит. И здесь необходима более активная «разъяснительная» работа со стороны руководителей служб внутреннего аудита, наряду с готовностью высшего руководства услышать доводы внутреннего аудита.
Во-вторых, это проведение внутренних аудитов в таких важнейших для каждой компании областях, как эффективность системы управления компанией, уровень развития корпоративной культуры, процессы управления кадрами, включая систему вознаграждения и систему подготовки и развития талантов (кадрового резерва).
В-третьих, это проведение аудитов в технически сложных областях, например, аудиты HSE (охрана труда, промышленная безопасность, охрана окружающей среды), аудит информационных технологий/систем (IT/IS) и др.
Все это позволит внутренним аудиторам оставаться вовлеченными в деятельность компании, а значит востребованными бизнесом.
Влияние
Статус подразделения внутреннего аудита в организации является тем самым оселком, с помощью которого определяется истинная значимость внутреннего аудита для заказчиков. И российским компаниям предстоит пройти еще немалый путь в этом направлении.
Формальное закрепление статуса службы внутреннего аудита через повышение уровня ее подчиненности (подотчетности), безусловно, оказывает самое благотворное влияние на эффективность деятельности внутреннего аудита. Ярко выраженной тенденцией последних лет стало выведение службы внутреннего аудита на уровень высшего должностного лица, а также ее функциональное подчинение высшему наблюдательному органу организации (совету директоров, наблюдательному совету и т. п.) напрямую или через комитет по аудиту.
Но не менее важной является и неформальная сторона вопроса, прежде всего «тон сверху» в отношении внутреннего аудита. Иными словами, реальные дела и решения, демонстрирующие отношение высшего руководства к внутреннему аудиту. Проникая в самые дальние уголки организации, «тон сверху» в итоге подхватывается всеми работниками. Именно на «тон сверху» ориентируется в своей готовности сотрудничать с внутренним аудитом менеджмент организации.
Высшее руководство должно рассматривать внутренний аудит как стратегический ресурс организации, позволяющий организации успешно справляться с различного рода рисками и оставаться эффективной. В таких организациях совет директоров и высшее исполнительное руководство демонстрируют поддержку и заинтересованность в деятельности внутреннего аудита, руководитель подразделения внутреннего аудита имеет прямой доступ к председателю совета директоров (комитета по аудиту) и исполнительному органу организации, его приглашают на заседания совета директоров (комитета по аудиту), правления,
И, конечно же, руководитель подразделения внутреннего аудита воспринимается высшим руководством как равный по статусу.
Безусловно, от внутренних аудиторов тоже зависит немало — они должны выстроить отношения с советом директоров (комитетом по аудиту), добиться доверия со стороны исполнительного руководства и завоевать уважение со стороны работников организации. Авторитет внутреннего аудита в компании не менее важен, чем формальное закрепление статуса в организационно-структурной схеме компании. Авторитет, в свою очередь, зарабатывается долгой и кропотливой работой и вовлеченностью в дела компании.
Таким образом, правило трех «В» внутреннего аудита — это три фактора, определяющие успех внутреннего аудита на современном этапе: востребованность, вовлеченность, влияние. Эти факторы, как мы видели, взаимосвязаны, а вместе являются тем философским камнем, который позволит внутреннему аудиту обеспечить себе достойное будущее как неотъемлемой части преуспевающего бизнеса.
