• Установка 4. В настоящий момент существует следующая закономерность – без внешней поддержки сфера деятельности функции внутреннего аудита со временем сужается. Под внешней поддержкой подразумевается так называемый tone at the top (буквально: «тон сверху») или, другими словами, поддержка со стороны акционеров, совета директоров, аудиторского комитета, исполнительного органа компании или ключевых топ-менеджеров. Возможно, я разочарую некоторых излишне романтически настроенных аудиторов, но естественным, по крайней мере для российских компаний, является постепенное подавление функции внутреннего аудита. Порой это происходит не совсем осознанно, рефлекторно. Давление на внутренний аудит в компании оказывается со стороны большинства функциональных подразделений, даже тех, которым еще не посчастливилось по роду своей деятельности пересечься с внутренним аудитом, например в рамках планового проекта. Все это имеет несколько следствий. Во-первых, руководитель ПВА должен постоянно помнить о ползучем прессинге и реагировать до того, как потенциальная угроза станет реальностью. Ползучий прессинг в отношении внутреннего аудита встречается во всех компаниях. Обычно в компаниях, более продвинутых с точки зрения управленческих технологий, этот процесс идет более утонченно, что создает дополнительную сложность для руководителя ПВА по сравнению с менее продвинутыми компаниями. Во-вторых, с момента своего появления в компании ПВА должно претендовать на максимально возможное количество компетенций, на максимально возможную сферу деятельности. На практике я встречался с ситуациями, когда ПВА компании настолько сильно увлекалось одним из направлений, в частности аудитом бухгалтерского и налогового учета, что в дальнейшем требовались колоссальные усилия для получения возможности проводить аудиты бизнес-процессов. Ограничения такого рода крайне негативно влияют на работу ПВА. Скорее всего, руководителю ПВА не удастся с ходу получить достаточно ресурсов для работы по всем направлениям. Однако он должен при каждом удобном случае подчеркивать потенциал внутреннего аудита. Необходимо отражать любые попытки ограничить сферу деятельности ПВА, как минимум в процессе разработки и принятия положения о подразделении или устава ПВА. И, наконец, в-третьих, руководитель ПВА должен тратить много времени на «светскую» коммуникацию, т. е. не связанную напрямую с работой. Необходимо использовать любую возможность для высказывания позиции внутреннего аудита, побуждения к действию. Если ему предоставили право участвовать в заседаниях правления компании или одного или нескольких управляющих комитетов, не нужно отмалчиваться. Внутренний аудит как управленческая технология имеет позитивную направленность, т. е. направленность на создание пресловутой добавленной стоимости. Поэтому предложения в данном контексте как минимум хорошо звучат. От руководителя ПВА зависит, насколько такие предложения будут иметь практическую ценность. Обсуждайте операционные вопросы с соответствующими менеджерами при личных встречах. Это не праздное любопытство – внутренний аудит в той или иной степени ответственен за мониторинг рисков, в том числе рисков, возникающих вследствие принятия управленческих решений. Такого рода встречи также удовлетворят недостаток информации о целях, задачах и возможностях внутреннего аудита у сотрудников компании.
• Установка 5. Внутренний аудит представляет собой систему и, как любая система, имеет жизненный цикл. Основные этапы жизненного цикла функции внутреннего аудита на предприятии – становление, развитие, выход на проектную мощность и трансформация. Для каждого из них нужна своя стратегия и целевые ориентиры. При точной настройке стратегии конкретного этапа необходимо учитывать ряд других факторов – уровень развития управленческой экспертизы менеджмента, время до выхода на проектную мощность (время на «раскачку»), особенности бизнеса и структуры компании, ресурсы самого ПВА и прочее. Рассмотрим оптимальный вариант построения стратегии по каждому из этапов жизненного цикла ПВА.
Становление. Данный этап актуален для компаний, которые только приступили к созданию подразделения внутреннего аудита в своей структуре. На этапе становления у функции внутреннего аудита по большому счету есть два основных варианта стратегии. Выбор конкретного варианта зависит как от позиции руководства ПВА, так и от позиции руководства и/или владельцев компании. Во многом данная позиция определяется готовностью ждать, ждать до момента достижения внутренним аудитом, выражаясь спортивными терминами, пика формы. Готовность ждать в свою очередь проистекает из множества обстоятельств, например сложившейся динамики бизнес-процессов в компании, условий среды, в которой действует компания, особенностей отрасли и рынка, в рамках которых работает компания, в конце концов, субъективных предпочтений. Например, компании с низким уровнем бюрократии и, как следствие, динамичными бизнес-процессами, действующие в высококонкурентной среде, на рынке с относительно доступной стоимостью входа, с высокой вероятностью будут ожидать от внутреннего аудита сопоставимо быстрого выхода на проектную мощность с минимумом раскачки. Типичным примером являются компании розничной торговли. И наоборот, компании, обладающие многослойной организационной структурой и размеренными бизнес-процессами, являющиеся монополистами или занимающие доминирующее положение на рынке, вход на который связан с существенными капитальными затратами и разовыми издержками, при прочих равных вряд ли будут настаивать на чрезмерной прыти в становлении ПВА. Типичным примером являются крупнейшие окологосударственные российские компании. Таким образом, первый вариант стратегии характеризуется ожиданием быстрых результатов от ПВА и потому подталкивает к формированию стратегии quick wins (буквально: «быстрые победы»). Второй вариант стратегии дает функции внутреннего аудита ценный ресурс – время, что при определенном раскладе может предоставить внутреннему аудиту шанс дать более полезные результаты для компании. Чаще всего данный вариант единственно возможен в том случае, если подразделение формируется с нуля, отсутствуют подготовленные аудиторы и руководство ПВА малоопытно. Каждый из вариантов имеет свои плюсы и минусы. Каждый из вариантов встречается на практике. Например, мне довелось поработать и с тем, и с другим. При выборе одного из двух вариантов главное – иметь как можно более точное представление об ожиданиях руководства и/или владельцев компании.
Развитие. Данный период длится до того момента, когда польза от ПВА начинает устойчиво перекрывать затраты, связанные с его функционированием. Речь идет как о материальной компоненте такой оценки, так и нематериальной вплоть до человеческих эмоций. Я был свидетелем ситуаций, когда негативное отношение руководства компании к внутреннему аудиту приводило к застреванию функции внутреннего аудита на этапе развития. Существование самой функции в рамках компании поддерживалось вялой протекцией со стороны ключевых акционеров. Но такова реальность, и к ней надо быть готовым. Как будут развиваться события на этой стадии, зависит от стратегии, выбранной на этапе становления. В случае стратегии «быстрых побед» мы получаем возможность довольно быстро пройти стадию развития. Однако это возможно только в случае, если на этапе становления ПВА получило достаточно сильный человеческий ресурс, попросту говоря, хорошо подготовленных аудиторов. Такое происходит обычно, когда руководство ПВА подтягивает свою команду с предыдущих мест работы при условии, что эта команда способна дать результаты, которые оценит текущее руководство. Стратегию «быстрые победы» довольно сложно реализовать на практике без наличия как минимум одного-двух сильных внутренних аудиторов. Таким образом, если мы выбрали данную стратегию и имеем требуемый ресурс для ее реализации, то при отсутствии существенных ошибок в процессе деятельности и при сохранении ресурса переход из стадии становления в стадию развития происходит довольно быстро, примерно в течение шести – девяти месяцев. Если обстоятельства или осознанное решение привело нас к выбору второго базового варианта стратегии становления, то на переход в стадию развития в большинстве случаев потребуется не меньше года.
Выход на проектную мощность. При успешном прохождении стадии развития ПВА переходит в относительно благоприятный этап последовательного наращивания позитивных результатов работы. Относительная благоприятность данного этапа заключается в ряде обстоятельств. Во-первых, к этому моменту ПВА должно уже освоиться в компании, обрести понимание локальных причинно-следственных связей, пройти личностную притирку. Во-вторых, если ПВА добралось до данной стадии, это означает, что в большинстве случаев результаты работы ПВА соответствуют ожиданиям и запросам руководства компании и/или акционеров. Отдельный вопрос – являются ли такие результаты полезными для самой компании, поскольку в некоторых компаниях, например, импотентность ПВА даже поощряется, чаще всего негласно. Оптимальный вариант действий на данном этапе заключается в развитии и закреплении достигнутого успеха. На предыдущих этапах ПВА получает представление о наиболее критичных для компании рисках. Это позволяет более прицельно планировать проекты внутреннего аудита. Быстрые победы, достигнутые на относительно небольших выборках данных, можно развить за счет увеличения выборки и масштабов проектов. Появляется возможность последовательно улучшать качество имеющихся у ПВА ресурсов, например за счет организации регулярного обучения сотрудников. Появляется возможность совершенствовать процессы самого ПВА, например за счет внедрения программ по управлению процессов внутреннего аудита. Несмотря на множество позитивных моментов, сопровождающих данный этап, необходимо помнить, что цена ошибки если и снижается по сравнению с предыдущими этапами, то ненамного. Это обстоятельство усугубляется еще и тем, что к моменту достижения стадии выхода на проектную мощность у ПВА с высокой вероятностью появляются первые враги. Любая ошибка ПВА рассматривается ими как возможность подгадить. Также если ПВА добралось до данной стадии, а врагов вокруг не наблюдается, то не исключено, что ПВА ценят в компании за красивые глазки и пустую голову.
Развитие. Данный период длится до того момента, когда польза от ПВА начинает устойчиво перекрывать затраты, связанные с его функционированием. Речь идет как о материальной компоненте такой оценки, так и нематериальной вплоть до человеческих эмоций. Я был свидетелем ситуаций, когда негативное отношение руководства компании к внутреннему аудиту приводило к застреванию функции внутреннего аудита на этапе развития. Существование самой функции в рамках компании поддерживалось вялой протекцией со стороны ключевых акционеров. Но такова реальность, и к ней надо быть готовым. Как будут развиваться события на этой стадии, зависит от стратегии, выбранной на этапе становления. В случае стратегии «быстрых побед» мы получаем возможность довольно быстро пройти стадию развития. Однако это возможно только в случае, если на этапе становления ПВА получило достаточно сильный человеческий ресурс, попросту говоря, хорошо подготовленных аудиторов. Такое происходит обычно, когда руководство ПВА подтягивает свою команду с предыдущих мест работы при условии, что эта команда способна дать результаты, которые оценит текущее руководство. Стратегию «быстрые победы» довольно сложно реализовать на практике без наличия как минимум одного-двух сильных внутренних аудиторов. Таким образом, если мы выбрали данную стратегию и имеем требуемый ресурс для ее реализации, то при отсутствии существенных ошибок в процессе деятельности и при сохранении ресурса переход из стадии становления в стадию развития происходит довольно быстро, примерно в течение шести – девяти месяцев. Если обстоятельства или осознанное решение привело нас к выбору второго базового варианта стратегии становления, то на переход в стадию развития в большинстве случаев потребуется не меньше года.
Выход на проектную мощность. При успешном прохождении стадии развития ПВА переходит в относительно благоприятный этап последовательного наращивания позитивных результатов работы. Относительная благоприятность данного этапа заключается в ряде обстоятельств. Во-первых, к этому моменту ПВА должно уже освоиться в компании, обрести понимание локальных причинно-следственных связей, пройти личностную притирку. Во-вторых, если ПВА добралось до данной стадии, это означает, что в большинстве случаев результаты работы ПВА соответствуют ожиданиям и запросам руководства компании и/или акционеров. Отдельный вопрос – являются ли такие результаты полезными для самой компании, поскольку в некоторых компаниях, например, импотентность ПВА даже поощряется, чаще всего негласно. Оптимальный вариант действий на данном этапе заключается в развитии и закреплении достигнутого успеха. На предыдущих этапах ПВА получает представление о наиболее критичных для компании рисках. Это позволяет более прицельно планировать проекты внутреннего аудита. Быстрые победы, достигнутые на относительно небольших выборках данных, можно развить за счет увеличения выборки и масштабов проектов. Появляется возможность последовательно улучшать качество имеющихся у ПВА ресурсов, например за счет организации регулярного обучения сотрудников. Появляется возможность совершенствовать процессы самого ПВА, например за счет внедрения программ по управлению процессов внутреннего аудита. Несмотря на множество позитивных моментов, сопровождающих данный этап, необходимо помнить, что цена ошибки если и снижается по сравнению с предыдущими этапами, то ненамного. Это обстоятельство усугубляется еще и тем, что к моменту достижения стадии выхода на проектную мощность у ПВА с высокой вероятностью появляются первые враги. Любая ошибка ПВА рассматривается ими как возможность подгадить. Также если ПВА добралось до данной стадии, а врагов вокруг не наблюдается, то не исключено, что ПВА ценят в компании за красивые глазки и пустую голову.
Трансформация. Как говорится, все рано или поздно заканчивается. Однако не стоит в этом видеть только негативную сторону. В силу своей специфики внутренний аудит по сравнению с большинством других функций компании должен быть менее всего подвержен пассивному самолюбованию. Внутренний аудит всегда должен искать пути увеличения своей полезности для деятельности компании. Переход в стадию трансформации может быть вызван как внутренними (по отношению к ПВА), так и внешними причинами. Последние обычно более разнообразны. Например, смена акционеров или руководства компании, выход на IPO, слияние или поглощение, изменение риск-аппетита, форс-мажорные обстоятельства. Внутренние причины на фоне внешних относительно малочисленны. С точки зрения развития ПВА нас должно интересовать только одно – готовность и способность ПВА выйти на новый качественный уровень деятельности. Например, если на протяжении нескольких лет ПВА занималось только оценкой систем внутреннего контроля, то переход к осуществлению консалтинговых проектов потребует от ПВА существенного преобразования деятельности, т. е. перехода в стадию трансформации. Лучше не заниматься самообманом и принять аксиому – любое ПВА рано или поздно доберется до этой стадии. Правильные ПВА стремятся осознанно перейти в нее, т. к. поиск лучшего применения своих возможностей – это всегда правильная стратегия. В конце концов, внутренний аудит является сервисной функцией и должен прилагать усилия по созданию заинтересованности в своих услугах.
Глава 6. Общая структура и основные этапы проекта внутреннего аудита
ПВА может участвовать в различных проектах. Сама деятельность ПВА является, по сути, проектной. Все многообразие данных проектов можно свести к пяти основным категориям, а именно:
1) аудит системы внутреннего контроля бизнес-процессов (включая аудит эффективности построения бизнес-процессов);
2) консалтинговые проекты;
3) выявление и расследование фактов мошенничества и иного несанкционированного распоряжения имуществом компании;
4) аудит финансовой отчетности;
5) аудит соблюдения требований законодательства и внутренних регламентирующих документов.
Правильный аудит в основном занимается проектами, относящимися к первым трем категориям с большим уклоном в сторону первых двух. К консалтинговым обычно относятся проекты, в которых достижение цели не связано с необходимостью осуществления полного спектра аудиторских процедур. К ним относятся, например, проекты по:
• созданию регламентов, форм отчетности, процедур, процессов;
• осуществлению процедуры дью дилидженс[9];
• оптимизации бизнес-процессов;
• реорганизации юридических лиц, включая продажу, слияния и поглощения;
• оценке стоимости имущества компании.
С точки зрения аудиторских процедур наиболее насыщенными являются проекты по аудиту системы внутреннего контроля бизнес-процессов (включая аудит эффективности построения бизнес-процессов). Остальные категории проектов выполняются с применением лишь отдельных аудиторских процедур. Например, при аудите финансовой отчетности не составляются описания процессов, не проводится сквозное тестирование, не формируются матрицы рисков, ограниченно используются аналитические процедуры и детальное тестирование. По этой причине мы рассмотрим структуру и содержание основных этапов аудиторского процесса при выполнении проектов первой категории. Также хотелось бы обратить внимание на формулировку проектов первой категории. Большинство аудиторов являются специалистами в первую очередь в области внутреннего контроля. Способность команды внутренних аудиторов оценивать эффективность построения бизнес-процессов во многом зависит от ее опыта и ряда других навыков и знаний. Однако система внутреннего контроля бизнес-процесса и структура и содержание данного бизнес-процесса очень тесно взаимосвязаны. Поэтому для повышения ценности своей работы каждый внутренний аудитор должен стремиться стать экспертом не только по системе внутреннего контроля процессов, но и по нюансам организации и построения ключевых бизнес-процессов.
Общая структура и основные этапы процесса управления проектами внутреннего аудита представлены на рис. 5. Данная структура и основные этапы процесса наиболее типичны для холдинговых компаний с централизованной функцией внутреннего аудита. Разумеется, в разных компаниях этот процесс может иметь вариации. Тем не менее в большинстве компаний, в которых есть ПВА, процесс управления проектами внутреннего аудита в целом имеет указанную структуру и содержание.
Основными участниками процесса являются:
• подразделение внутреннего аудита – напрямую заинтересовано в результатах процесса, поэтому в большинстве случаев должно выступать основным исполнителем, координатором и организатором;