2 февр. 2010 г.

Внутренний аудит сегодня: и снова о рисках

Автор: Сонин Алексей Михайлович, дипломированный внутренний аудитор (CIA), дипломированный специалист по расследованию мошенничеств (CFE), директор Института внутренних аудиторов

Источник: Журнал "Акционерное общество: вопросы корпоративного управления" №1-2010


За последние годы внутренний аудит проделал большой путь в своем развитии и добился значимых успехов в вопросе признания со стороны высшего руководства компаний. Тем не менее, сегодня внутренний аудит вновь оказался на пороге перемен. Они назревали давно, и нынешний кризис лишь ускорил процесс.

«…В быстро меняющихся условиях ведения современного бизнеса существуют большая потребность во внутреннем аудите и большие возможности для внутреннего аудита. Важным является перенацеливание внутреннего аудита на наиболее значимые риски, которые могут определить успех или неудачу организации. Для этого от подразделений внутреннего аудита требуется лучшее понимание наиболее существенных рисков и их влияния на организацию…».

Можно было бы предположить, что эта выдержка из недавнего исследования на тему роли внутреннего аудита в современных условиях. Однако источником является исследование «Внутренний аудит: переоценка ценностей», проведенное компанией КПМГ в уже далеком 1999 году, вскоре после кризиса на фондовых рынках 1997–1998 гг., за которым последовал мировой экономический спад.

Именно в конце ХХ — начале ХХI века внутренний аудит прошел этап серьезных изменений. Тогда стремительный рост интереса к внутрен­нему аудиту был вызван возросшим вниманием собственников к состоянию системы внутренне­го контроля компаний и изменениями в законодательстве многих стран, в том числе принятием широко известного закона Сарбейнса-Оксли. В результате, с одной стороны, возросла потреб­ность советов директоров и менеджмента ком­паний во внутреннем аудите как независимой функции оценки системы внутреннего контроля. Но, с другой — внутренние аудиторы на многих предприятиях были направлены стройными шеренгами на тестирование и документирование внутренних контролей (прежде всего в области составления финансовой отчетности) своих компаний, погрузившись в довольно рутинную работу. Происходящий в тот момент процесс переориентации внутреннего аудита от традиционных циклических проверок систем внутреннего контроля к риск-ориентированным аудитам замедлился, а участие внутренних аудиторов в построении системы управления рисками и вовсе отошло на третий план.

В результате через несколько лет компании столкнулись с реализацией наиболее значимых рисков на фоне неэффективных систем/процессов управления рисками или отсутствия таковых.

Могли внутренние аудиторы сделать больше, чтобы помочь своим компаниям не оказаться в нынешней нелегкой ситуации? Представляется, что могли. Это подтверждают и результаты недавнего исследования, проведенного исследовательским центром Международного института внутренних аудиторов (The Institute of Internal Auditors). 52% респондентов полагают, что служба внутреннего аудита их компании была способна сделать больше в вопросе определения ключевых рисков и смягчения негативных последствий для компании в случае их реализации, противоположного мнения придерживаются 23% респондентов.

Внутреннему аудиту необходимо было, во-первых, сфокусироваться на наиболее значимых по степени своего воздействия на организацию рисках (рисках высокого уровня), в том числе стратегических, а во-вторых, суметь довести до понимания заказчиков (совета директоров и высшего исполнительного руководства) то, что сами заказчики не всегда готовы были воспринимать.

Здесь встает важный вопрос — вопрос об уровне вовлеченности внутреннего аудита в дела компании, или, иначе говоря, уровне воздействия на деятельность компании. Будет ли сфера внутреннего аудита ограничиваться оценкой рисков и системы внутреннего контроля в традиционных областях — операционной, финансовой и комплайенс — или же внутренний аудит выйдет на уровень оценки системы контроля в области принятия стратегических решений? (Именно стратегические риски несут в себе наибольшую угрозу для компании, приводят к значительным убыткам и банкротствам.) С другой стороны, готовы ли советы директоров и высшее исполнительное руководство компаний видеть внутренний аудит в этой роли?

Для налаживания эффективного взаимодействия советов директоров и внутренних аудиторов в вопросе управления рисками, в том числе и стратегическими, необходимо выполнение ряда предпосылок. Во-первых, включение в совет директоров независимых директоров, независимых де факто. Во-вторых, желание совета директоров использовать потенциал службы внутреннего аудита. Наконец, важно, чтобы члены совета директоров понимали, что риски первичны, в то время как контроль является ответом на риски, инструментом реагирования на риски. Именно поэтому внутренний аудит наряду со своей традиционной ролью в оценке надежности и эффективности системы внутреннего контроля может и должен играть более активную роль в вопросах управления рисками, в том числе и стратегическими рисками. При этом, безусловно, не подменяя менеджмент компании.

Формы и способы такого участия могут быть самыми разнообразными и зависят от степени зрелости системы/процессов управления рисками в компании.

Прежде всего, это традиционная оценка систем/процессов управления рисками. Традиционная в том смысле, что независимая оценка систем и процессов является основной функцией внутреннего аудита. Другое дело, что собственно системы управления рисками построены в очень незначительном количестве организаций, а процессы управления рисками в большинстве случаев не формализованы. Поэтому в данном случае речь может идти об отсутствии объекта аудита как такового. В такой ситуации внутренний аудит может выступить в роли локомотива при построении/реорганизации системы/процессов управления рисками.

Во-вторых, речь идет о консультационном участии внутреннего аудита в режиме реального времени в области управления рисками. Представляется, что роль внутреннего аудитора в этом вопросе недооценивается как заказчиками (советами директоров и менеджментом), так и самими внутренними аудиторами. В качестве возможных механизмов назовем участие внутреннего аудита в обсуждении соответствующих вопросов на заседаниях совета директоров, специальных комиссий и комитетов, проведение рабочих встреч с руководителями различного уровня.

А теперь представим гипотетическую (а, возможно, для некоторых руководителей служб внутреннего аудита — вполне реальную) ситуацию, когда внутренний аудитор на этапе подготовки компанией планов на 2008–2010 годы приходит к генеральному директору с предложением критически переосмыслить базовые предпосылки и факторы, на которых строятся планы компании. Нет, внутренний аудитор не ставит под сомнение компетентность специалистов, работающих над подготовкой плана, не оспаривает право менеджмента принимать решения и не призывает отказаться от новых инвестиционных проектов, отложить размещение ценных бумаг на фондовом рынке, прекратить производство некоторых наименований продукции. Но внутренний аудитор ставит вопрос об адекватности предпосылок, исходя из которых компания планирует свои действия. Ведь вполне разумна мысль, что экономический рост не бывает бесконечным, пузыри (на фондовом рынке, кредитном рынке, рынке недвижимости и т. п.) имеют обыкновение лопаться, безудержный рост цен на сырье сменяется их резким падением. А поскольку эти закономерности никто не отменял и никто не опроверг, внутренний аудитор предлагает генеральному директору подготовить новый сценарий неблагоприятного развития событий и основанный на этом сценарии пессимистический вариант плана. Возможно, в этом пессимистическом варианте компания отложит или вовсе откажется от очередной покупки убыточных иностранных предприятий на пике их стоимости, не будет начинать строительство нового производственного объекта, не заключит договор со 100% предоплатой на приобретение дорогостоящего оборудования, не выдаст миллиардный кредит под залог товарных запасов и т. п.

Что бы на это ответил генеральный директор? Скорее всего, посоветовал бы внутреннему аудитору занять место генерального директора, если тот такой умный. Или же просто отправил бы внутреннего аудитора восвояси — ведь каждый должен заниматься своим делом. И поступил бы именно так, даже если бы разделял мнение аудитора. Потому что прислушайся генеральный директор к мнению внутреннего аудитора, выскажи сомнения собственнику или на совете директоров, это привело бы к неудовольствию собственника, совета директоров с непредсказуемыми последствиями для генерального директора. Ведь в последние годы считалось дурным тоном не верить в наступление эры непрекращающегося роста.

Должен ли был внутренний аудитор довести свое мнение до совета директоров, если этого не сделал генеральный директор? И готов ли был совет директоров прислушаться к мнению внутреннего аудитора?

Ответ на первый вопрос определяется в каждом конкретном случае, исходя прежде всего из степени зрелости службы внутреннего аудита и уровня профессионализма внутренних аудиторов. Обсуждение с советом директоров вопросов, имеющих отношение к стратегическим рискам и принятию стратегических решений, является в высшей степени ответственным шагом для любого руководителя службы внутреннего аудита, особенно если позиция внутреннего аудита серьезно отличается от позиции менеджмента. Ответственным, но еще и требующим мужества от руководителя службы. Тем более, что совет директоров, скорее всего, еще в меньшей степени, чем менеджмент, будет готов прислушаться к мнению аудитора в данном вопросе.

Во-первых, потому что члены совета директоров ничем не рисковали, утверждая предложенные менеджментом стратегии и планы, в основе которых лежали неверные предпосылки. Во-вторых, они не всегда были готовы выступить вразрез с мнением собственника, требовавшего экспансии на новые рынки, приобретения новых зарубежных активов, участия в новых проектах, роста показателей деятельности и т. д. (вновь во всей остроте встал вопрос наличия действительно независимых директоров в советах директоров компаний). А с собственником для компании, как известно, связаны самые большие возможности, но и самые большие риски. В-третьих, члены совета директоров в излишней степени полагались на мнение менеджмента во всем, что касается управления стратегическими (да и не только) рисками, при этом не всегда обращаясь к внутреннему аудиту, чтобы узнать его точку зрения.

Считается, что в значительной степени возникновению нынешнего кризиса способствовали неполноценные системы/процессы управления рисками или вовсе отсутствие таковых в компаниях. Хотя и признается, что это — не основная причина. Вопросы, которые пока не обсуждались широко в российском бизнес-сообществе: какую роль должны были играть советы директоров в вопросе создания эффективной системы управления рисками и что им необходимо делать в будущем, чтобы такая система действительно заработала? Но это уже тема для отдельного обсуждения. Подчеркнем лишь, что в вопросе управления рисками советы директоров имеют надежного помощника в лице внутреннего аудита. При этом членам совета директоров следует понимать, что существует грань, которую внутренний аудит не должен пересекать, дабы не вторгаться в компетенции менеджмента. Поэтому крайне важно, чтобы ключевые заказчики как можно раньше определили и сформулировали свои ожидания в отношении роли и задач внутреннего аудита в области управления рисками. Не менее важно, чтобы внутренний аудит сам извлек и помог бы ключевым заказчикам извлечь уроки из событий последнего десятилетия, связанных с очевидными недостатками существующих подходов к вопросу управления рисками. В противном случае мы будем снова и снова цитировать исследование 1999 года, а роль внутреннего аудита будет тем временем становиться все более и более второстепенной.

18 янв. 2010 г.

Эффективный управленческий контроль

Автор: Ольга Михайловна Гopeлик, доктор экономических наук, профессор, заведующая кафедрой прикладной информатики в экономике Toльяттинcкoгo государственного университета сервиса.

Источник: Информационный канал Subscribe.ru

В процедуре контроля есть три четко различимых этапа: выработка стандартов и критериев, сопоставление с ними реальных результатов и принятие необходимых корректирующих действий. На каждом этапе реализуется комплекс различных мер. Для того чтобы контроль мог обеспечить достижение целей, он должен обладать несколькими важными свойствами.

Характеристики эффективного управленческого контроляВ процедуре контроля есть три четко различимых этапа:

1. Выработка стандартов и критериев.

2. Сопоставление с ними реальных результатов.

3. Принятие необходимых корректирующих действий.

На каждом этапе реализуется комплекс различных мер.

Первый этап процедуры контроля — выработка стандартов и критериев, демонстрирует, насколько близко, слиты функции контроля и планирования. Стандарты — это конкретные цели, прогресс в отношении которых поддается измерению. Эти цели явным образом вырастают из процесса планирования. Все стандарты, используемые для контроля, должны быть выбраны из многочисленных целей и стратегий предприятия.

Второй этап процесса контроля состоит в сопоставлении реально достигнутых результатов с установленными стандартами. На этом этапе менеджер должен определить, насколько достигнутые результаты соответствуют его ожиданиям. При этом он принимает и еще одно очень важное решение: насколько допустимы или относительно безопасны обнаруженные отклонения от стандартов. На второй стадии процедуры контроля дается оценка, которая служит основой для решения о начале действий. Деятельность, осуществляемая на этой стадии контроля, зачастую является наиболее заметной частью всей системы контроля. Эта деятельность заключается в определении масштаба отклонений, измерении результатов, передаче информации и ее оценке.

Третий этап процесса контроля — принятие необходимых корректирующих действий — осуществляется после вынесения оценки процесс контроля. Менеджер должен выбрать одну из трех линий поведения:

1. Ничего не предпринимать. Основная цель — добиться такого положения, при котором процесс управления организацией действительно заставлял бы ее функционировать в соответствии с планом.

2. Устранить отклонения. Смысл корректировки во всех случаях состоит в том, чтобы понять причины отклонения и добиться возвращения организации к правильному образу действий.

3. Пересмотреть стандарт. Не все заметные отклонения от стандартов следует устранять. Иногда сами стандарты могут оказаться нереальными, потому что они основываются на планах, а планы — это лишь прогнозы будущего. При пересмотре планов должны пересматриваться и стандарты.

Характеристики эффективного контроля

Для того чтобы контроль мог обеспечить достижение целей, он должен обладать несколькими важными свойствами.

Для того чтобы быть эффективным, контроль должен иметь стратегический характер, т.е. отражать общие приоритеты организациии поддерживать их. Относительная сложность оценки какого-либо вида деятельности в количественном виде или измерения ее результативности по принципу «затраты — эффект» никогда не должна служить критерием для решения, нужно ли вводить механизм контроля. Деятельность в областях, которые не имеют стратегического значения, следует измерять не очень часто, и о полученных результатах можно никому и не сообщать до тех пор, пока отклонения не станут необычно большими. Абсолютный контроль над обычными операциями (такими, как мелкие расходы) не имеет смысла и будет только отвлекать силы от более важных целей. Открытое неповиновение требованиям вести детальную бухгалтерскую отчетность по всем видам расходов, которое можно часто наблюдать в торговых организациях, это фактически единственный способ, с помощью которого коммивояжеры могут донести до своего руководства ту мысль, что огромные отчеты о расходах — нонсенс, а не разумный контроль.

Для эффективности контроля данный процесс должен соответствовать следующим принципам.

1. Ориентация на результаты. Конечная цель контроля состоит не в том, чтобы собрать информацию, установить стандарты и выявить проблемы, а в том, чтобы решить задачи, стоящие перед организацией или управленцем. Проведение измерений и оповещение об их результатах важно только как средство достижения этой цели. Если вы хотите сделать контроль эффективным, вы должны тщательно следить за тем, чтобы эти самоочевидные средства контроля не заняли более важного места, чем подлинные цели организации.

Более того, бессмысленно провозглашать, что ваша система направлена на получение конкретных результатов, если фактически она не может их достичь. Бесполезно иметь обширную и

точную информацию о различных отклонениях от намеченных целей, если эта информация не используется для осуществления необходимых корректирующих действий. Это означает, что информация о результатахконтроля важна только тогда, когда доходит до тех лиц, которые обладают правом произвести на ее основании соответствующие изменения. Когда контрольный механизм не срабатывает, то чаще всего причина кроется в том, что необходимо усовершенствовать структуру прав и обязанностей, а не процедуру измерений. Таким образом, чтобы быть эффективным, контроль должен быть интегрирован с другими функциями управления.В итоге контроль можно назвать эффективным только тогда, когда организация фактически достигает желаемых целей и в состоянии сформулировать новые цели, которые обеспечат ее выживание в будущем.

2. Соответствие делу. Для того чтобы быть эффективным, контроль должен соответствовать контролируемому виду деятельности. Он должен объективно измерять и оценивать то, что действительно важно. Неподходящий механизм контроля может скорее маскировать, а не собирать критически важную информацию. Так, например, общепринято оценивать эффективность торговли путем установки некоторой квоты и сопоставления с нею реального объема продаж в долларах. Но это может привести предприятие к огромным потерям, потому что на самом деле успех определяется не объемом продаж, а уровнем прибылей. Многие факторы могут привести к выполнению квоты при фактически низком уровне результативности торговли. Так, например, фирма может предложить необычно высокие скидки или необычайно большой объем послепродажного обслуживания, чтобы тем самым получить новые заказы, или же цены могут возрастать вследствие инфляции. В подобных ситуациях предприятие будет терять деньги на каждой продаже, а не зарабатывать их.

3. Своевременность контроля. Для того чтобы быть эффективным, контроль должен быть своевременным. Своевременность контроля заключается не в исключительно высокой скорости или частоте его проведения, а во временном интервале между проведением измерений или оценок, который адекватно соответствует контролируемому явлению. Значение наиболее подходящего временного интервала такого рода определяется с учетом временных рамок основного плана, скорости изменений и затрат на проведение измерений и распространение полученных результатов.

Магазину розничной торговли, например, может понадобиться достаточно точная еженедельная информация о складских запасах. Это нужно для того, чтобы быть уверенным в том, что магазину естьчем торговать. Однако реальную физическую инвентаризацию товаров для определения убытков от хищений следует делать не чаще одного раза в квартал. Аналогично розничный торговец должен определять и регистрировать объем своих продаж ежедневно с тем, чтобы внести деньги в банк и проконтролировать поток наличности. Но время от времени розничному торговцу необходимо определять почасовой объем продаж с тем, чтобы определить часы максимального и минимального объема продаж и соответствующим образом расставить своих работников в торговых залах. Это одна из причин того, почему компьютеризованные кассы печатают на чеках время продажи. Другая причина состоит в том, что зная время продажи, руководство может определить ответственного в случае какой-либо ошибки или плохого обслуживания.

4. Гибкость контроля. Если нечто непредвиденное можно спрогнозировать, то контроль становится ненужным. Контроль, как и планы, должен быть достаточно гибким и приспосабливаться к происходящим изменениям. Незначительные изменения планов редко бывают сопряжены с необходимостью серьезных изменений в системе контроля. Так, например, предприятие, производящее 100 различных товаров, должно использовать методы контроля запасов с тем, чтобы контролировать любое относительно большое увеличение или уменьшение количества товаров, а также количество каждого из них, имеющегося в данный момент времени. Без достаточной (и весьма значительной) степени гибкости система контроля будет недейственна в тех ситуациях, для которых она предназначалась. Так, например, если неожиданно возникает новый фактор издержек, вызванный, скажем, необходимостью адаптации к недавно принятому новому законодательству, то до тех пор, пока он не будет встроен в систему контроля предприятия, система контроля не сможет отслеживать производственные издержки.

5. Простота контроля. Как правило, наиболее эффективный контроль — это простейший контроль с точки зрения тех целей, для которых он предназначен.Простейшие методы контроля требуют меньших усилий и более экономичны. Но самое важное состоит в том, что если система контроля слишком сложна и люди, взаимодействующие с ней, не понимают и не поддерживают ее, то такая система контроля не может быть эффективной. Избыточная сложность ведет к беспорядку, являющемуся синонимом потери контроля над ситуацией. Для того чтобы быть эффективным, контроль должен соответствовать потребностям и возможностям людей, взаимодействующих с системой контроля и реализующих ее.

6. Экономичность контроля. Очень редко стремятся достичь при помощи контроля полного совершенства в работе организации, поскольку прогрессирующие усовершенствования и улучшения на последних этапах требуют непропорционально больших затрат усилий и средств. Так, например, количество отгрузок продукции, получаемых каким-либо обычным предприятием, почти наверняка не очень велико. И поэтому, если только груз не очень ценный или если его достаточно легко подсчитать, лучше оприходовать всю поставку в целом и примириться с возможными хищениями, чем проверять содержание каждого ящика — это будет стоить очень дорого.

Никогда не следует забывать, что все затраты, совершаемые предприятием, должны приводить к увеличению ее преимуществ и доходов. Затраты средств должны приближать предприятие к поставленным целям. Таким образом, если суммарные затраты на систему контроля превосходят создаваемые ею преимущества, предприятию лучше не использовать эту систему контроля вообще или же ввести менее тщательный контроль. Вообще, поскольку в контроле скрыто много побочных затрат, таких, как затраты рабочего времени и отвлечение ресурсов, которые могли бы быть затрачены на решение других задач, то, для того чтобы контроль был экономически оправдан, отношение затрат к возможной прибыли у него должно быть довольно низким.

Конечно, для того чтобы определить реальное соотношение затрат и прибыли для системы контроля, необходимо рассматривать как долгосрочные аспекты, так и краткосрочные. Если и существует какое-либо твердое правило контроля, то оно, прежде всего, состоит в том, что любой контроль, который стоит больше, чем он дает для достижения целей, не улучшает контроля над ситуацией, а направляет работу по ложному пути, что является еще одним синонимом потери контроля.