Анна Сергеева, эксперт Института внутренних аудиторов, директор департамента внутреннего аудита ООО «Энтер», Группа компаний «Связной»

Данная статья представляет собой попытку взглянуть изнутри на то, чем живет современное подразделение внутреннего аудита, каких успехов достигает, с какими сложностями сталкивается и какие пути выбирает для своего дальнейшего развития. Также в статье рассмотрены вопросы соответствия реальных результатов деятельности подразделения внутреннего аудита ожиданиям заказчиков (собственников бизнеса).

В качестве примера использован реальный опыт становления и развития Департамента внутреннего аудита в крупной розничной компании.

Департамент внутреннего аудита: первый год работы

В первый год становления функции «внутренний аудит» происходит поиск оптимального пути, который позволит быстро и максимально эффективно добиться результата, который ожидают от функции собственники бизнеса. 

За первый год работы внутренние аудиторы выполнили ряд проверок, включая, в том числе, функциональные аудиты и  аудит системы управления. Также в конце первого года был проведен аудит взаимодействия элементов и процессов, связывающих организацию с внешней средой.

Кроме того, в первый год деятельности был разработан пятилетний стратегический план развития Департамента внутреннего аудита, который учитывает цели организации и ожидания собственников бизнеса как ключевых заказчиков. Эти результаты позволили подразделению внутреннего аудита достичь соответствующего стратегического статуса в организации.

На первом этапе своего развития функция «внутренний аудит» столкнулась с четырьмя основными сложностями.

Первая сложность связана с отношением собственников и менеджмента организации к вопросу разделения полномочий и ответственности за контроль.

С одной стороны, одна из  основных ролей подразделения внутреннего аудита в системе управления – это роль обеспечения обратной связи между системой внутреннего контроля организации и внутренними или внешними изменениями. При условии обеспечения эффективной деятельности подразделения внутреннего аудита в организации, обратная связь существует в виде системы своевременного и адекватного реагирования на данные изменения. Это должно отражаться в первую очередь в виде внесения изменений в процедуры внутреннего контроля.

С другой стороны, эта ключевая роль не означает, что именно  подразделение внутреннего аудита несет полную ответственность за построение системы внутреннего контроля в организации. Как показывает опыт передовых мировых и российских компаний, построение эффективной системы внутреннего контроля возможно только в том случае, когда сам менеджмент принимает на себя первостепенную роль в данном процессе, уделяя должное внимание вопросам внедрения и развития внутреннего контроля в организации. В таких компаниях высшее руководство не только принимает на себя ответственность за организацию эффективного внутреннего контроля, но и постоянно, при общении с сотрудниками организации, подчеркивает важность данной деятельности для достижения общих, в том числе и стратегических, целей организации.

Более того, в организациях, в которых менеджмент не уделяет должного внимания вопросам построения системы внутреннего контроля, внутренний аудит по определению не сможет выполнять свою функцию с максимальной эффективностью, поле деятельности для него сильно сужается. По сути, внутренний аудитор организации с очевидно неэффективной СВК, начнет либо заниматься ревизионной деятельностью, либо вынужден будет подменять менеджмент и заниматься функцией создания недостающих контролей в бизнес-процессах.

Соответственно, обсуждая сложности, с которыми сталкиваются современные подразделения внутреннего аудита и контроля, в первую очередь стоит обратить внимание на вопрос разделения зон ответственности за обеспечение эффективного внутреннего  контроля.

Вторая сложность связана с исторически сложившимся в России отношением к контролю как к механизму, позволяющему выявить и оценить уже произошедшие события, которые негативным образом повлияли на достижение организацией поставленных перед ней целей. Отсюда проистекает распространенное мнение, что контроль является не составной частью системы управления, а некой карательной функцией, основная цель которой - обеспечение выявления ошибок, допущенных сотрудниками организации при осуществлении ими своей деятельности, с последующим принятием  организационных или кадровых решений.

Такой стереотип, безусловно, усложняет деятельность подразделения внутреннего аудита, так как в некоторых случаях вызывает противодействие проведению аудиторской проверки (чаще всего это скрытое противодействие, выраженное в несвоевременном предоставлении информации по аудиторскому запросу или в предоставлении информации в меньшем объеме, чем отражено в запросах аудиторов). Кроме того, данный подход обуславливает ориентацию менеджмента на ретроспективный, а не на превентивный контроль.

С точки зрения оправдания ожиданий ключевых заказчиков (собственников), возможна ситуация, когда внутренний аудитор показывает в виде результата своей деятельности перечень областей, в которых внутренний контроль недостаточно эффективен, но при этом заказчик ожидает от него в виде результата перечень должностных лиц, допустивших корпоративные злоупотребления.

Возможна и обратная ситуация. Таким образом, при построении функции «Внутренний аудит», очень важно с ключевыми заказчиками «договориться на берегу» и прийти к единому пониманию контрольной функции в организации.

Третья сложность - подход менеджмента и собственников компании, в соответствии с которым ценность внутреннего аудита сопоставляется с расходами, которые компания несет на содержание подразделения внутреннего аудита.  Такой подход понятен с точки зрения бизнеса, но не в полной мере применим к оценке данного вида деятельности.

В первую очередь необходимо учитывать, что рекомендации внутренних аудиторов снижают риски потерь или наступления других неблагоприятных для организации событий, но оценить эти риски, как до выполнения рекомендаций аудиторов, так и после, возможно не всегда. Особенно сложно давать оценку, когда вопрос касается рисков искажения той или иной формы отчетности, что, в свою очередь,  приводит к риску принятия менеджментом неверного управленческого решения.

Кроме того, важно учитывать, что часто эффект от аудиторских рекомендаций проявляется на большом временном интервале, который возникает от момента выполнения рекомендаций до момента появления заметного влияния на показатели деятельности того или иного подразделения или бизнеса в целом.

А как возможно оценить влияние такого фактора, как участие подразделения внутреннего аудита в создании системы противодействия корпоративному мошенничеству? Очевидно, что само по себе наличие такого подразделения существенно снижает риски применения сотрудниками организации мошеннических схем и является одной из мер противодействия.

Таким образом, оценка того вклада, которую внутренний аудит привносит своей деятельностью, является не менее сложной задачей, чем оценка добавочной стоимости, которую создает своей работой квалифицированный менеджер по подбору персонала или системный администратор.

Лучшей практикой в данной области является не оценка эффективности деятельности подразделения внутреннего аудита по классической схеме, через соотношение сэкономленных средств (сниженных рисков) и фактических расходов на содержание подразделения, а оценка полезности функции. Данную оценку деятельности службы внутреннего аудита может дать менеджмент организации, который находится в тесном взаимодействии с внутренними аудиторами и видит реальные результаты.

Четвертой сложностью, и возможно, самой значимой на данном этапе развития функции «внутренний аудит», является дефицит квалифицированных специалистов. В первую очередь это обусловлено относительной молодостью профессии, и, как следствие, отсутствием серьезного базового образования для внутренних аудиторов, начинающих свой профессиональный путь в данной области. Достаточно часто на различных профессиональных конференциях и встречах можно услышать мнение о том, что сегодня в стране недостаточно юристов и экономистов высокой квалификации. Молодых специалистов, получивших профильное образование по данным направлениям, достаточно много, в тоже время, профессионалов сложно отыскать. И это при том, что почти каждое высшее учебное заведение выпускает ежегодно несколько десятков юристов и экономистов. А если мы говорим о внутренних аудиторах, то сразу возникает вопрос: какие высшие учебные заведения выпускают специалистов по внутреннему аудиту и контролю? К сожалению, сегодня внутренний аудит в российских ВУЗах не является отдельной специальностью, вопросы данной дисциплины в лучшем случае очень кратко рассматриваются в рамках курса  «Бухгалтерский учет и аудит». Поэтому единственно возможный на сегодня путь притока «молодой крови» в профессию – это обучение и профессиональная переподготовка специалистов из смежных областей: бухгалтеров, экономистов, финансистов, бизнес-аналитиков.

Достаточно часто руководители подразделений внутреннего аудита используют внутренние ресурсы организации, привлекая к работе молодых способных сотрудников с хорошими базовыми знаниями, но не имеющих соответствующего опыта, «выращивая» из них профессиональных внутренних аудиторов, при этом данный путь является достаточно длительным и ресурсоемким.

Основные направления развития: текущие планы

IT-аудит

Исходя из целей деятельности службы внутреннего аудита, ее сотрудники должны быть профессионалами не только в области рисков, аудита и внутреннего контроля. Внутренние аудиторы должны обладать знаниями в основных областях деятельности организации и хорошо понимать риски, присущие различным бизнес процессам: закупки, сбыт, логистика, финансы, и т.д. Как показывает мировой опыт, а также опыт развития функции «внутренний аудит» в крупных российских компаниях, одна из основных областей особенно требует к себе внимания и отличается от других своей спецификой – это область информационных технологий.

Обычно внутренний аудитор не обладает глубокими знаниями в области информационных технологий, поэтому для проведения аудитов данной области необходимы сотрудники с особыми компетенциями: IT-аудиторы.

Выделение IT-аудита в отдельное направление способствует повышению эффективности деятельности внутреннего аудита, позволяя использовать специализированный и углубленный подход к аудиту бизнес-процессов, включая оценку эффективности существующих автоматизированных контролей и разработку соответствующих рекомендаций по усовершенствованию ERP-систем, используемых в организации.

Стоит отметить при этом, что лучшей практикой в данной области является не проведение обособленных IT-аудитов, а использование квалифицированного специалиста в данной области при проведении большинства операционных и финансовых аудитов.

Повышение эффективности внутреннего консалтинга

Большинство подходов к организации внутреннего аудита сходятся в одном: построение и поддержание системы внутреннего контроля является одной из ключевых задач менеджмента организации. При этом, задача внутреннего аудита заключается в независимой оценке эффективности этой системы и выработке рекомендаций по ее совершенствованию. Выработка рекомендаций подразумевает не только деятельность по разработке корректирующих мероприятий, но и такой эффективный механизм, как внутренний консалтинг. Внутренние аудиторы, как профессионалы в области внутреннего контроля, способны дать  исполнительному руководству и «владельцам» бизнес-процессов консультации по  вопросам повышения эффективности системы внутреннего контроля.

Стоит отметить, что в некоторых российских организациях под управленческим консалтингом, который выполняется сотрудниками подразделения внутреннего аудита, подразумевается непосредственное участие в операционной деятельности: разработка методологии бухгалтерского, налогового и других видов учета, разработка и внедрение различного рода политик, операционных процедур, регламентов и т.п. Такой подход к управленческому консалтингу не соответствует лучшим практикам, так как приводит в ряде случаев к неэффективному использованию внутренних аудиторов, а также создает конфликт интересов и приводит к риску снижения объективности про проведении последующих аудиторских проверок по данным направлениям.

Кроме того, важно понимать, что развитие внутреннего управленческого консалтинга неразрывно связано с определением ответственности за контроль. В организации, в которой и исполнительное руководство и линейный менеджмент перекладывает ответственность за постановку системы внутреннего контроля на подразделение внутреннего аудита, управленческий консалтинг в вопросах контроля не будет востребован.

Напротив, лучшей практикой в области внутреннего управленческого консалтинга является привлечение  исполнительным руководством или комитетом по аудиту сотрудников служб внутреннего аудита к участию в обсуждениях по вопросам усовершенствования бизнес-процессов и выявления новых рисков.

Подготовка и использование в деятельности службы внутреннего аудита моделей компетенций

Одним из способов решения проблемы недостатка квалифицированных специалистов во внутреннем аудите является использование модели компетенций, которая представляет собой формализацию профессиональных знаний и навыков сотрудников службы внутреннего аудита. Данная модель компетенций разрабатывается для всех специалистов, участвующих в деятельности подразделения, начиная от помощника аудитора и заканчивая руководителем подразделения. На основании данной модели компетенций производится оценка уровня соответствия конкретного сотрудника. Результатом данной деятельности является список приоритетных областей развития для каждого из сотрудников и план индивидуальных тренингов, курсов или семинаров.

В комплексе все три основных направления развития подразделения внутреннего аудита направлены на повышение эффективности деятельности и преодоление сложностей текущего этапа развития функции.