На этапе формирования годового плана проектов внутреннего аудита выполнялась процедура идентификации и оценки рисков (основной метод – опрос экспертов). В результате была сформирована карта рисков. Она получилась не очень удобной для формирования программ аудита, так как практически полностью состояла из укрупненных рисков. Поскольку на данную процедуру ушло немало времени (процедура проводилась в компании впервые), было принято решение использовать укрупненные риски. Из карты рисков выбрали три самых существенных риска. Одним из них был риск невыполнения плана производства. При проведении первого аудита (на этапе планирования) на одном из предприятий компании для этого риска сформировали кластер соответствующих процессов (рис. 4). Кластер был получен на основании интервью с владельцами ключевых процессов (необходимые согласования были проведены).
Пробежимся по структуре схемы. В центре расположен процесс «Производство» и основные взаимодействующие с ним процессы: процессы «Хранение», «Подача сырья», «Складирование готовой продукции» и «Погрузка в вагоны и взвешивание». Также на процесс «Производство» влияют риски других процессов: «Закупки», «Планирование», «ТОиР» и «Логистика». Черным маркером выделены те процессы, риски которых оказывают наиболее существенное влияние на реализацию риска невыполнения плана производства, а именно:
• процесс «Закупки» – риск несвоевременной закупки сырья (вследствие изменения динамики производства и отсутствия запасов у поставщика);
• процесс «ТОиР» – риск увеличения времени ремонта вследствие внеплановых поломок;
• процесс «Производство» – риск несоблюдения требований техпроцесса по причине ошибки работника;
• процесс «Складирование готовой продукции» – риск несоблюдения условий хранения по причине несвоевременной подготовки складских помещений;
• процесс «Логистика» – риск несвоевременной отгрузки продукции (вследствие изменений позиции покупателя, недостатка вагонов, изменения маршрута транспортировки).
Таким образом, план аудита предусматривал аудит пяти процессов (процессы, отмеченные серым маркером, и неотмеченные процессы в тематику аудита не попали вследствие ограниченности ресурсов ПВА и незначительного совокупного влияния на реализацию основного риска). В ходе аудита уточнялась степень воздействия вышеуказанных рисков на основной риск (выяснилось, что значимость рисков процессов «Производство» и «Складирование готовой продукции» преувеличена), а также выявлялись дополнительные факторы основного риска (например, было установлено, что в данные систем ЦОСАДУ и АСУТП можно было вносить нерегламентированные изменения). Для справки: ЦОСАДУ расшифровывается как центральная оперативная система автоматизированного диспетчерского управления, а АСУТП – автоматизированная система управления технологическим процессом. По результатам аудита был разработан план мероприятий, направленный, в том числе, на минимизацию как изначально определенных, так и выявленных в процессе аудита рисков.
Рис. 4. Пример позиционирования риска в кластере процессов
Рекомендации по выбору подхода к проведению проектов внутреннего аудита
Возможно, ряд внутренних аудиторов со скепсисом воспримут идею и технологию риск-ориентированного подхода. Отчасти они правы. Однако они правы только в том, что многие российские предприятия пока не оперируют в своей повседневной деятельности понятиями «процесс» и «риск». Это усложняет задачу ПВА по внедрению риск-ориентированного подхода, но потенциальный эффект от внедрения с лихвой покроет все трудозатраты. Основные преимущества использования риск-ориентированного подхода заключаются в следующем:
• концентрация на наиболее существенных проблемах, препятствующих успешной работе компании;
• формирование целевых мероприятий по минимизации негативного влияния факторов рисков;
• стимулирование профессионального развития внутренних аудиторов.
Данные преимущества усиливаются при переходе от упрощенного подхода к продвинутому риск-ориентированному подходу к аудиту. Однако даже упрощенный подход дает намного более впечатляющие результаты, чем подходы, не основанные на анализе и оценке рисков.
Глава 5. Стратегия внутреннего аудита и долгосрочное планирование (год и более), позиционирование
Стратегия функции внутреннего аудита является сферой ответственности как аудиторского комитета, так и руководителя ПВА.
На практике я не встречался с активной позицией аудиторского комитета в отношении стратегии функции внутреннего аудита в компании. Отчасти это связано с тем, что в состав аудиторских комитетов, с которыми я работал, не входили профессиональные внутренние аудиторы. Как бы то ни было, руководителю ПВА необходимо быть готовым к тому, что ему придется определять стратегию функции самостоятельно.
В процессе формирования стратегии ПВА надо определиться с несколькими ключевыми моментами.
• Момент 1. Стратегия – это план действий, который позволит ПВА занять определенное место в структуре компании через определенное время, в определенном внутреннем состоянии и с определенными сложившимися внешними связями. Вряд ли это будет откровением, если я скажу, что наличие цели – половина дела. Но с этой истиной трудно спорить. Вы стремитесь к некоему состоянию ПВА, которое необходимо максимально четко представить. У вас должна быть стратегическая цель. В отсутствие цели высока вероятность того, что ПВА окажется там, где его хотелось бы видеть большинству, – на необитаемом острове без шанса на спасение. С технической точки зрения процесс определения цели ПВА аналогичен процессу определения цели компании. Как именно будет сформулирована стратегия, во многом зависит от опыта и квалификации руководителя ПВА.
• Момент 2. В идеале стратегия и стратегическая цель формируются с использованием принципов SMART[8]. Как уже говорилось, существование даже какой-то цели намного лучше, чем ее полное отсутствие. Пример формирования стратегической цели – «Довести долю консалтинговых проектов по ключевым бизнес-процессам холдинга до 50 % от общего рабочего времени в ближайшие три года при полезности (экономический эффект плюс мнение ключевых руководителей и акционеров) сопоставимой или выше полезности стандартных проектов». Пример стратегии – «Для достижения стратегической цели необходимо:
а) увеличение доли консалтинговых проектов последовательно в течение трех лет (1-й год – 15 %, 2-й год – 30 %, 3-й год – 50 %);
б) привлечение экспертов в постоянный штат ПВА (1-й год – 1 эксперт в области производства; 2-й год – 1 эксперт в области производства и 1 эксперт в области логистики; 3-й год – 1 эксперт в области ТОиР);
в) выделение 10 рабочих дней в год для дополнительной подготовки сотрудников ПВА по процессу производства, логистики и ТОиР;
г) проведение презентаций по консалтинговым проектам на правлении холдинга на ежеквартальной основе;
д) осуществление расчетов первоначального и последующего экономического эффекта от внедрения рекомендаций по результатам консалтинговых проектов;
е) привлечение профильных НИИ для участия в консалтинговых проектах как минимум на уровне отдельных запросов».
Приведенные примеры стратегической цели и стратегии в целом неплохи, но не идеальны. Лучшую стратегию придумаете вы.
• Момент 3. Одна стратегия – хорошо, несколько стратегий – еще лучше. Стратегия предполагает, что цель, к которой вы стремитесь, отстоит во времени от момента формирования стратегии на три – пять лет. За этот срок многое может измениться. Поэтому изначально необходимо разработать два-три варианта стратегий на случай существенных изменений условий работы. Следующий шаг – определить, какие изменения будут считаться существенными. В дальнейшем все, что остается, – это держать руку на пульсе, произвольным образом отслеживать происходящее вокруг вас и компании для своевременного внесения корректировок в стратегию.
• Момент 4. Исполнение разработанного плана действий невозможно без ресурсов. В большинстве случаев ресурсы первичны. Это означает, что, скорее всего, время, бюджет ПВА, штатное расписание, доступный персонал и технологии будут ограничены. Ограничение ресурсов ограничивает вариативность и содержание стратегии ПВА. Технически нерационально отделять процесс формирования стратегии от процесса аккумулирования ресурсов. Если пойти дальше, то можно даже сказать, что стратегия ПВА как подразделения должна базироваться на стратегии формирования ресурса. Реальность данного принципа видна в примере выше. Шаг первый «Увеличение доли консалтинговых проектов последовательно в течение трех лет» представляет собой критерий достижения поставленной стратегической цели. Шаг второй и третий являются в чистом виде примером взаимосвязи стратегии формирования ресурсов с основной стратегией. Для достижения основной цели вам потребуется дополнительное время и помощь экспертов, которых еще надо найти. Шаг четвертый и пятый также связаны с формированием ресурса. Необходимо выделить дополнительное время, дополнительные трудозатраты и профессиональную экспертизу для подготовки презентаций и осуществления специфических расчетов. Шаг шестой – тоже этап стратегии формирования ресурса. Он взаимосвязан со вторым шагом, только в данном случае привлекаются внешние эксперты, что в определенных ситуациях более целесообразно.
• Момент 5. Коммуникация стратегии как непосредственному руководству, так и прочим заинтересованным лицам, как минимум руководству управляющей компании. Даже если руководитель ПВА полностью уполномочен сформировать стратегию функции внутреннего аудита на ближайшие несколько лет, он не может избежать процедуры обсуждения подготовленной стратегии. Необходимо быть готовым к тому, что результаты обсуждения окажутся неожиданными как в приятном, так и в неприятном смысле. Многое зависит от субъективных факторов, поэтому будьте готовы использовать как логику, так и приемы из психологического арсенала. Что касается процессного управления, то немногие российские предприятия могут похвастаться квалифицированным использованием базовых понятий, еще меньше – практическими наработками в данной области. Внутренний аудит является одним из бизнес-процессов предприятия и одним из относительно новых управленческих бизнес-процессов. На мой взгляд, это во многом объясняет причину существования множества мнений относительно того, чем внутреннему аудиту следует заниматься. Именно с этим в качестве основного негатива приходится сталкиваться при согласовании стратегии. Чем выше ваши коммуникативные навыки, тем больше вероятность получить согласование предпочтительного варианта стратегии. Надеюсь, он будет не только предпочтительным для руководителя ПВА, но и наиболее полезным для экономики предприятия.
Вы осознали важность наличия стратегической цели деятельности, подготовили несколько стоящих вариантов стратегии, заручились поддержкой руководства. Настало время приступить к исполнению задуманного. Степень ответственности за результат зависит от степени вашего участия в формировании стратегии. Конечно, вас могут назначить крайним в любом случае, но это тема для отдельного обсуждения. Просто будьте готовы к тому, что в случае неудачной стратегии статус-кво руководителя ПВА может пострадать. Чтобы этого не случилось, предлагаю ряд установок.
• Установка 1. Еще до начала работы в компании вы можете и должны выяснить, насколько ваш потенциальный работодатель свободно оперирует понятиями процесса постановки целей и процесса стратегического управления. В процессе общения с представителями компании с целью трудоустройства на позицию руководителя ПВА необходимо поднять вопрос о краткосрочных и долгосрочных ожиданиях руководства в отношении функции внутреннего аудита в компании. Вы можете получить самые разнообразные ответы, вплоть до таких, которые демонстрируют полное непонимание сути вопроса. В любом случае не стоит ограничиваться просто вопросом и ответом, необходимо потратить какое-то время на обсуждение данной темы. В результате на выходе вы получите как минимум два варианта – либо убедитесь, что потенциальный работодатель не оперирует обсуждаемыми понятиями, либо получите очерченное в той или иной степени стратегическое видение. В зависимости от полученного результата стоит принимать окончательное решение о трудоустройстве.
• Установка 2. Если руководитель ПВА полагает, что вопросы стратегии функции внутреннего аудита не стоят его внимания, ему необходимо избавиться от этого заблуждения. Абстрактная стратегия лучше, чем отсутствие стратегии, четкая стратегия лучше, чем абстрактная. Абстрактная стратегия обманчива – если все складывается хорошо, то она облегчает интерпретацию результатов деятельности ПВА, а вот если нет, то абстрактная стратегия усугубляет негативные последствия. Например, одна из стратегических установок звучит как «усилить контроль на предприятии». Руководитель ПВА разрабатывает план, команда ПВА проводит работу, выдает рекомендации по доработке существующих контрольных процедур и внедрению новых. Однако при обсуждении результатов может выясниться, что деятельность ПВА предполагалось оценивать по количеству компромата на нерадивых сотрудников. ПВА попадает в некрасивое положение, которое может подогреваться недовольством аудируемых и прочими прелестями незрелой корпоративной культуры, повсеместно встречающейся в российских компаниях. Таким образом, мы подходим к третьей установке.
• Установка 3. При подготовке стратегии руководитель ПВА должен принять во внимание множество факторов. Некоторые из них очевидны, некоторые весьма специфичны. Одними из специфичных факторов являются уровень развития корпоративной культуры, уровень развития корпоративного управления и уровень развития функции управления у менеджмента компании. Ключевой элемент корпоративной культуры – это система коммуникации в компании. Хорошая корпоративная культура означает, что на ваши звонки и электронную почту отвечают, назначенные встречи по большей части проходят в назначенное время, запросы доходят до адресатов с первого раза и т. п. Также хорошая корпоративная культура предполагает определенную толерантность к чужим ошибкам. Это не означает безнаказанности. Это означает возможность получить в случае просчета как минимум шанс объясниться. Сама по себе корпоративная культура складывается из множества мелочей, но ее влияние на динамику работы аудитора существенно. Среди российских компаний нечасто встретишь целенаправленное стремление к формированию здоровой корпоративной культуры. Если компания, в которой вы работаете, не входит в узкий круг этих исключений, то вам необходимо сделать стратегию более консервативной в части как сроков, так и объема и содержания работ. Особенности системы корпоративного управления предприятием оказывают труднопрогнозируемое влияние на работу внутреннего аудита. На практике встречается ряд вариантов построения такой системы – от ситуаций, когда владелец компании является одновременно ее генеральным директором и решает широкий круг оперативных вопросов, до ситуаций, когда транснациональные корпорации организуют многослойную систему управления с минимальными шансами встретить не только акционера компании, но и кого-либо из топ-менеджеров, не говоря о генеральном директоре или президенте. Каждый из вариантов требует отдельного осмысления и по-своему влияет на нюансы стратегии внутреннего аудита. Для обозначения общих взаимосвязей скажу следующее. Чем более громоздкой является система корпоративного управления предприятием, тем меньше самостоятельности у руководителя ПВА при разработке стратегии. Крупные компании требуют дополнительных согласований, порой не вполне логичных, более длительного времени для принятия решения, возможны языковые и прочие межнациональные препятствия, возможно навязывание стратегических установок из управляющей компании, возможно поверхностное восприятие информации. В российских условиях приведенные недостатки усугубляются вмешательством крупных акционеров в оперативное управление компанией, часто неоднозначными отношениями между топ-менеджментом и крупными акционерами, широким распространением неформальной коммуникации при решении оперативных вопросов и широким использованием административного ресурса. У российских компаний аллергия на системность, и это добавляет сложностей при продвижении своего стратегического видения. Идти напролом против этого феномена и его последствий бесполезно. Но как внутренний аудитор вы просто обязаны направить максимум усилий на исправление ситуации. В конце концов, российская модель корпоративного управления приносит экономике нашей страны больше вреда, чем пользы, и провоцирует многие злоупотребления, начиная от мошенничества и заканчивая техногенными катастрофами. Уровень развития управленческой экспертизы руководства вашей компании также потребует корректировки стратегии внутреннего аудита, если и не по сути, то как минимум по форме. Под управленческой экспертизой понимается способность руководства компании эффективно осуществлять пять функций менеджмента – планировать, организовывать, направлять, координировать и контролировать. Кроме того, это эффективное использование современных технологий менеджмента – процессное управление, методы организации производства (бережливое производство, кружки качества, шесть сигм и прочие), методы оценки исполнения (например, система КПЭ), управление по целям и т. д. Уровень развития управленческой экспертизы практически напрямую коррелирует с уровнем развития системы корпоративного управления предприятием. Поэтому, если вашей компании присущи элементы слаборазвитого корпоративного управления, в большинстве ситуаций это означает, что на управленческую экспертизу тоже рассчитывать не стоит. Наиболее существенным образом уровень развития управленческой экспертизы влияет на процесс формирования и распределения ресурсов. Причина в следующих ключевых моментах. Низкий уровень подготовки менеджмента потребует увеличения времени на выполнение запросов данных для целей внутреннего аудита. Низкий уровень подготовки провоцирует сомнения, сомнения рождают подозрительность, подозрительность ведет к поиску подвоха, что в свою очередь заставляет людей перепроверять предоставляемую информацию, предоставлять намеренно неполные или ошибочные данные, поступать неэтично в целом (не отвечать на запрос, «врубать дурака», переводить стрелки и т. д.), решать вопросы только в ходе неформальной коммуникации и прочее в том же духе. Больше времени будет уходить на разъяснения деталей запросов, проекта отчета, предлагаемых рекомендаций и прочих нюансов процесса проведения внутреннего аудита. Больше времени будет уходить на сбор доказательств, т. к. сами доказательства должны быть более существенными как по величине возможного ущерба, так и по категории (например, вместо устных объяснений потребуется объяснительная в письменном виде). В целом низкий уровень управленческих навыков менеджмента создает повышенный уровень сопротивления в процессе проведения внутреннего аудита и потому требует более тщательного подхода к планированию и осуществлению действий. Все это приводит к уменьшению размера отчета и упрощению его содержания, в том числе рекомендаций. На практике большинство проектов внутреннего аудита проходит именно в таких условиях. Таковы последствия большого количества случайных людей в составе менеджмента российских предприятий. Случайных как с точки зрения квалификации, так и с точки зрения мотивации.