А.Акулов "Внутренний аудит филиалов. Часто задаваемые вопросы"

Алексей Акулов, дипломированный внутренний аудитор
Институт внутренних аудиторов
Опубликовано в журнале «Бухгалтерия и Банки» № 4, 2005 г., www.bib.bankir.ru

Вопросы функционирования внутреннего аудита (ВА) в банках применительно к специфике филиальной сети приобретают все большую актуальность. Это обусловлено следующими, безусловно, позитивными факторами:

• динамикой развития банковской системы (явно выраженной региональной экспансией крупных банков федерального уровня и банков с иностранным участием в капитале);
• курсом на постепенное сближение российской нормативной базы и стандартов внутреннего аудита с рекомендациями и практиками, выработанными ведущими мировыми институциональными организациями в данной сфере (Базельский комитет по банковскому надзору, Институт внутренних аудиторов, Комитет спонсорских организаций Комиссии Тридуэя);
• растущим интересом к вопросам совершенствования корпоративного управления как одного из важнейших факторов конкурентоспособности банка в условиях динамично меняющихся рынков.

Мы попробуем сформулировать ряд практических рекомендаций, полезных при построении системы внутреннего контроля (ВК) в филиалах банков. Нами также будут рассмотрены основные вопросы организационного и методологического плана, на которые неизбежно приходится отвечать подразделению внутреннего аудита банка при принятии решений о подходах в отношении внутреннего аудита филиалов.

Создавать ли в филиалах подразделения внутреннего аудита?

С точки зрения нормативного регулирования Банк России, принимая и Положение № 509, и Положение № 242-П, поступил адекватно, оставив решение данного вопроса самим банкам. Любой банк, очевидно, должен учитывать при этом следующие факторы (табл. 1).

Следует отметить, что само по себе наличие ряда факторов, повышающих риски, не означает автоматического принятия решения о необходимости создания структур внутреннего аудита в филиалах. В то же время это дополнительный аргумент в пользу такого решения.
Разумеется, ряд перечисленных аспектов можно контролировать и периодическими проверками, проводимыми представителями головного офиса. Но такая организация внутреннего аудита в силу того, что в головном офисе не всегда имеется четкое представление о характере и степени филиальных рисков (в том числе по причине перечисленных выше факторов, создающих своего рода ситуацию, известную в стратегических играх под термином "fog of war" – когда территория не полностью видима для игрока) может оказаться неэффективной:

1. экономически -- в критериях соотношения затрат на организацию внутреннего аудита и полученного эффекта от минимизации рисков (можно ошибочно сосредоточить усилия на проверке одних, менее рискованных, филиалов и пропустить крупные "проколы" в работе других);
2. технологически -- поскольку внешние проверки по сути носят постфактный характер и фиксируют уже допущенные нарушения, в то время как современные технологии контроля (и рекомендации Базельского комитета по банковскому надзору "Система внутреннего контроля в банках: основы организации" (принцип 10), и Положение ЦБ РФ № 242-П (п. 3.6.1) делают акцент на постоянном мониторинге элементов системы внутреннего контроля).

Следует отметить, что факторы риска, перечисленные в пунктах 1, 4, 5 таблицы 1, по мере развития банковской системы, корпоративного управления, информационных технологий объективно должны стремиться к снижению. Однако это вопрос не одного года. И одна из задач подразделений внутреннего аудита в филиалах заключается в способствовании ускорению данного процесса через "привитие" культуры контроля.
Таким образом, применительно к ситуации, связанной с экспансией крупных банковских структур в регионы, с соответствующим развитием операций в ряде случаев либо с нуля, либо на базе "чужой" корпоративной культуры, наличие подразделений внутреннего аудита в филиалах может оказаться полезным.

Кадры в филиалах – свои или засланные?

С формальной точки зрения пункт 4.7.2 Положения № 242-П четко расставил все точки над i, указав, что руководитель подразделения ВК филиала банка или служащий филиала банка, выполняющий функции представителя данной службы в соответствующем филиале, подчиняется руководителю службы ВК банка.
По сути данный вопрос включает в себя два аспекта:

1. кем комплектовать подразделения ВА в филиалах -- сотрудниками, имеющими опыт работы в соответствующих филиалах, либо представителями "со стороны", назначаемыми головным офисом;
2. как позиционировать данных сотрудников (вне зависимости от их "корней") в рамках филиала -- как неотъемлемую и существенную часть структуры филиала либо как надолго (вариант -- "навсегда") появившихся в филиале инспекторов головного офиса?

Будь корпоративная культура контроля в среднестатистическом банке (филиале) более зрелой, более формализованной (в хорошем смысле этого слова, т. е. документированной и технологически организованной) и менее субъектно ориентированной, острота данных вопросов была бы в значительной степени минимизирована. Однако на данном уровне развития культуры контроля мы наблюдаем целый ряд среднестатистических комплексов и противоречий на тему: "А судьи кто?"
С одной стороны, имея (еще с советских времен) опыт взаимодействия с различными контрольно-ревизионными инстанциями, проверяемые подразделения (и руководство филиалов) часто страдают предубеждениями, часть из которых приведена в таблице 2.

Следует отметить, что в отношении ликвидации упомянутых стереотипов Банк России сделал немало, сместив (видимо, все же под влиянием мирового опыта, тех же рекомендаций Базельского комитета) в Положении № 242-П акцент с контрольно-проверочных мероприятий (и службы внутреннего контроля) на общую организацию корпоративного управления и культуры контроля (на систему внутреннего контроля).
С другой стороны, среднестатистические сотрудники подразделений внутреннего аудита тоже западных академий не заканчивали и довольно часто переносят в свою практику те же самые стереотипы, но под другим углом (табл. 3).

Возможно, данная группа стереотипов даже более устойчива, поскольку в рамках действующих нормативных документов и стандартов пока затронута не столь существенно, как предыдущая группа. Напрашивается вывод: в рамках работы по приближению корпоративного управления и внутреннего аудита к общепринятым в мировой практике нормам необходима дальнейшая популяризация последних. А результатом должно стать размывание границы "свои-чужие" ("главк-филиалы") в рамках одной и той же корпорации.
Таким образом, своего рода "объективизация" процессов, связанных с деятельностью внутреннего аудита, во многом снимает вопросы и проблемы субъективного фактора. Что же делать сейчас, пока они не сняты?
Очевидным (но не единственным) решением нам видится эволюционный характер преобразований. Менеджмент банка должен акцентировать внимание не на насаждении структур внутреннего аудита в филиалах (по аналогии с "двадцатипятитысячниками", отправленными на коллективизацию), а на их прорастании в структуре филиалов. Работа с местными кадрами, выделение в структуре филиала сотрудников, понимающих специфику его формальной работы, сложившиеся неформальные отношения, основные проблемы и риски, присущие филиалу, необходимость внесения определенных корректив, может оказаться гораздо эффективнее, чем десантирование кадров извне. Более позитивные результаты принесет и позиционирование консультативной функции подразделений ВА по сравнению с проверочной, но следует учитывать, что независимая проверочная деятельность является все же приоритетной.
Разумеется, в рамках такой системы следует предусмотреть механизмы, предусматривающие гарантии от некомпетентности и потери независимости сотрудников внутреннего аудита на местах. Рецепты довольно просты -- объективные критерии выбора, основанные на всесторонней оценке кандидатур подразделением внутреннего аудита банка, независимое от руководства филиала финансирование и контроль деятельности структур ВА в филиалах путем периодического инспектирования и сопоставления результатов их деятельности с результатами инспектирования.

Каким образом организуется бюджет подразделений ВА в филиалах?

Поскольку решение о создании подразделений ВА в филиалах, их функциях, направлениях их деятельности принимается головным офисом, то логично предположить, что он и должен взять на себя финансовую ответственность за функционирование данных подразделений.
В противном случае формируется целый комплекс противоречий, проявляющийся, в частности, в следующих аспектах:

• финансовый эффект от деятельности подразделений ВА измерению, как правило, в текущих условиях не поддается, а затраты на их содержание очевидны и ложатся на все филиалы, даже те, которые и без них имеют напряженный бюджет;
• психологически сложно выстраивать систему взаимоотношений с сотрудником, которому, условно говоря, филиал платит зарплату за то, чтобы он докладывал об ошибках филиала, не говоря уже о премировании по результатам работы;
• передача решений о финансировании на уровень филиала может привести к тому, что сотрудникам ВА проблемы финансирования (включая самые мелкие) придется решать на местах самостоятельно и с переменным успехом, в том числе с учетом проблемы, сформулированной в предыдущем пункте.

Таким образом, естественным решением проблемы видится создание и централизованное утверждение ежегодного защищенного бюджета подразделений ВА филиальной сети, исходя из:

• штатной структуры подразделений ВА;
• графиков проведения проверочных мероприятий;
• нормативов текущих административных расходов;
• планируемых в рамках филиальной сети подразделений ВА мероприятий по повышению квалификации, развитию информационного обеспечения и т. п.

После согласования параметров бюджета в части общих мероприятий осуществляется его разбивка по конкретным подразделениям ВА филиальной сети и утверждение уполномоченным органом банка.
В то же время, поскольку вряд ли целесообразно (даже при очень большом количестве подразделений ВА в филиалах) организовывать для них отдельную "бухгалтерию" и "хозяйственный отдел" в головном офисе, непосредственное "кассовое исполнение" бюджета подразделения ВА при условии защищенности бюджета вполне нормально возложить на филиал. При таком подходе установленные и утвержденные для подразделения ВА в филиале плановые показатели включаются отдельным проектом в смету расходов филиала; исполняются бухгалтерскими и хозяйственными подразделениями филиала в обычном порядке, но с учетом статей расходов в рамках отдельного проекта; по результатам каждого отчетного периода подлежат внесистемной корректировке при определении финансового результата деятельности филиала.

Как учитывать специфику филиалов при планировании численности сотрудников ВА?

Как мы уже отмечали, неоднородность развития филиалов является одним из факторов, усиливающих риски контроля филиальной сети. Так же, как можно поступить экономически неэффективно в отношении проверок филиалов внутренним аудитом головного офиса, можно ошибиться и в комплектовании численности подразделений ВА в филиалах.
Универсальных рецептов в решении данной проблемы, очевидно, не существует, но очень важно учитывать следующие критерии, которым могут быть присвоены определенные весовые коэффициенты в зависимости от приоритетности для банка контроля за теми или иными аспектами деятельности филиальной сети:

• размер и структуру кредитного портфеля (сумма и количество заключенных договоров, доля просроченной задолженности);
• наличие и количество обособленных структурных подразделений (дополнительных офисов, кредитно-кассовых офисов, валютно-обменных пунктов);
• общую численность сотрудников филиала (и мнение экспертного сообщества, и практика показывают, что оптимальное число сотрудников, осуществляющих контрольные функции, находится в диапазоне 1--2% от численности структурного подразделения);
• трудоемкость осуществления мониторинга системы контроля (в том числе по причине неадекватного состояния информационных систем филиала);
• наличие существенных нарушений системного характера, выявленных при предыдущих проверках филиала.

По результатам итоговой оценки могут быть приняты решения об изменении численности подразделений ВА в филиалах.

Как учитывать специфику филиалов при формировании планов работ сотрудников ВА?

Cтандартизация и унификация методов контроля являются средствами достижения задач, которые ставятся перед подразделениями внутреннего аудита, а также механизмами распространения культуры контроля по филиальной сети.
С одной стороны, это очень полезная процедура, поскольку создается единая методологическая база проведения проверок и контроля рисков, позволяющая осуществлять централизованно мониторинг результатов работы и постановки контрольных процедур в филиалах.
Вместе с тем при такой типизации во многом не учитываются особенности работы филиалов, преобладание в их деятельности тех или иных операций, их объемы, ведь филиалы имеют разные карты рисков. Основной сферой риска быстро растущего филиала в современных условиях будут являться, очевидно, кредитные операции. Но также могут требовать повышенного внимания, например:

• валютный контроль (если филиал ориентирован на обслуживание финансовых потоков клиентов, осуществляющих внешнеэкономическую деятельность);
• бухгалтерский учет и отчетность (в частности, по причинам, связанным с недостатками в работе информационных систем);
• противодействие легализации доходов, полученных преступным путем (при наличии значительного количества контролируемых операций).

В соответствии с профессиональным стандартом 2010 "Планирование", "руководитель внутреннего аудита должен на основании проведенного анализа рисков составить планы, определяющие приоритеты внутреннего аудита и соответствующие целям организации".
При этом также необходимо учитывать роль внутреннего аудита во взаимодействии с внешним аудитором и ГУ ЦБ, надзорными органами: чем лучше организованы ВК и ВА в филиалах, тем менее дорогостоящим может быть внешний аудит и тем меньше возникнет претензий со стороны надзорных органов, – это реальный фактор, определяющий необходимость "закрытия" внутренним аудитом тех или иных критических направлений.
Таким образом, особенности работы и риски филиалов необходимо учитывать при выстраивании работы подразделений ВА. На основе мониторинга общебанковских рисков и специфических рисков, присущих отдельным филиалам, бюджет времени подразделений ВА филиалов, в принципе, возможно разделить на части:

• общая программа -- проверки приоритетных для банка направлений (в первую очередь, кредитных рисков);
• бюджет проверок специфически рисковых направлений, которые у каждого филиала имеют свои особенности.

Система информационного обеспечения ВА филиалов. Как построить?

В соответствии со стандартом внутреннего аудита 2310 "внутренние аудиторы должны собрать достаточный объем надежной, уместной и полезной информации для достижения целей аудиторского задания".
Наиболее эффективным способом организации сбора информации с точки зрения минимизации трудозатрат и оперативности получения является не загрузка проверяемых подразделений составлением отчетности для целей внутреннего аудита, а встраивание подразделения ВА филиала в информационные потоки, циркулирующие в филиале. Это позволит также подразделению ВА филиала оценить соответствие информационных потоков необходимым критериям (сформулированным в общем виде, в частности, в принципах 7--9 рекомендаций Базельского комитета и в практическом руководстве Института внутренних аудиторов 2310-1 "Идентификация информации").

Таким образом, необходимыми элементами информационного обеспечения являются:
1. материалы предварительного контроля:
   • проекты разрабатываемых внутрифилиальных нормативных актов и распорядительных документов, регламентирующих осуществление бизнес-процессов в филиале;
   • материалы, поступающие на рассмотрение коллегиальных органов филиала (например, кредитного комитета филиала);
2. материалы текущего и последующего контроля:
   • документы, регламентирующие распределение полномочий и ответственности между подразделениями и сотрудниками филиала при проведении операций (положения о подразделениях, должностные инструкции сотрудников);
   • протоколы заседаний коллегиальных органов филиала (в том числе кредитного комитета филиала);
   • планы, журналы и справки последующих проверок;
   • акты проверки надзорными органами (в случае проведения данных проверок без участия подразделений ВА);
   • претензии в адрес филиала со стороны подразделений головного офиса, внешних надзорных органов, клиентов;
   • объяснительные записки сотрудников по допущенным нарушениям;
   • журнал исправительных проводок,
   • распоряжения по устранению допущенных нарушений;
3. рабочие места сотрудников подразделения ВА филиала, обеспечивающие:
   • доступ к автоматизированной банковской системе филиала, программам, в которых ведется учет отдельных операций;
   • доступ к ресурсам, позволяющим оценить устойчивость функционирования информационных систем филиала (протоколам работы служебных программ, включая коммуникационные, антивирусные, резервного копирования, и файл-серверных ресурсов);
   • доступ к справочно-правовым системам и корпоративным информационным ресурсам (внутрибанковским документам);
   • доступ к общему ресурсу подразделений внутреннего аудита, позволяющему организовать коммуникации между сотрудниками ВА филиалов и головного офиса;
   • наличие программного обеспечения, позволяющего систематизировать акты проверок (как внутреннего аудита, так и внешних надзорных органов), осуществлять анализ типичных нарушений и рекомендаций, последующий контроль устранения нарушений и внедрения рекомендаций.

С целью унификации состава информации, конкретный ее перечень и порядок предоставления должен быть установлен для филиалов головным офисом и являться в максимальной степени конкретным, чтобы исключить возможность произвольного толкования перечня подразделениями филиала, ответственными за предоставление необходимых сведений.
Не менее важны также и аспекты, связанные:

• с разработкой и доведением до филиалов методологических документов, имеющих отношение к проведению проверок конкретных направлений;
• с обменом опытом, в том числе и по горизонтали – между подразделениями ВА филиалов, "тиражированием" их положительных идей и разработок;
• с систематическим повышением квалификации сотрудников подразделений ВА филиалов;
• со своевременным информированием филиалов о типичных нарушениях, выявляемых проверками внутреннего аудита и других подразделений, внешних надзорных органов.

Как решать проблему нехватки кадров для проверки специализированных направлений?

Признавая необходимость расширения проверок сотрудниками подразделения ВА филиала всех направлений, считающихся рисковыми, следует отметить, что ряд направлений требует специфических знаний и, самое главное, информации, получение и полная проверка которой в существующих условиях наталкиваются на серьезные ограничения. К последним, в частности, относится ограничение Банком России возможности аутсорсинга функций внутреннего контроля (п. 4.6.2 Положения № 242-П).
Рассмотрим, как можно решить данную проблему на примере мониторинга внутреннего контроля в сфере информационных технологий (ИТ). Перечень вопросов мониторинга в сфере ИТ (пп. 3.5, 4.4.3 Положения № 242-П) включает в себя области, требующие специфических знаний в области функционирования операционных систем, баз данных, автоматизированных банковских систем, других видов программного обеспечения (ПО).
Указанную проблему можно решить с применением следующих методов:

• расширения общей компетенции сотрудников подразделения ВА филиала (регулярное повышение квалификации в области ИТ);
• формирования четких методик проверки для всех основных видов операционных систем, баз данных, автоматизированных банковских систем, других видов ПО, используемых филиалами, с перечнем необходимых действий, вплоть до изучения конкретных файлов;
• регламентации проведения проверок ИТ с привлечением специалистов других подразделений (специалистов по информационной безопасности, сотрудников подразделений автоматизации), а также (при наличии экономической целесообразности) внешних консультантов в качестве экспертов, с возложением на подразделение ВА функций независимого анализа и обобщения полученных результатов, выработки рекомендаций;
• обязательного включения в состав групп, осуществляющих периодическую инспекцию головным офисом деятельности филиалов, проверяющих, обладающих необходимыми навыками по проверке подразделений автоматизации.

Степень использования каждого из перечисленных методов зависит от адекватной оценки компетентности подразделения ВА, наличия возможностей по использованию альтернативных источников информации, включая внешние (в частности, Интернет), технических возможностей по разработке методик, обеспечения необходимого уровня независимости подразделения ВА при формировании результатов проверочной деятельности.
Действующая методика мониторинга соответствующих операций должна пересматриваться и уточняться с учетом выхода нового нормативного материала по соответствующим направлениям деятельности.
Даже если мы ограничимся рассмотрением только одного направления, по его итогам неизбежно напрашивается вывод, что "все не проверить". Возможно, следует более точно расставить акценты в деятельности подразделения ВА и проверяемых подразделений. Внутренний контроль в соответствии с современной концепцией необходимо развивать именно в деятельности подразделений – через систему мониторинга и последующего контроля, проводимого этими подразделениями. В функции подразделения ВА филиала входит не сплошная непосредственная проверка их деятельности, а проверка того, насколько ими задействуются контрольные процедуры, т. е. это может быть тестирование с меньшим объемом выборки и независимый анализ полученных результатов.

Как организовать взаимодействие подразделений ВА филиалов и головного офиса?

Как мы уже отмечали, деятельность подразделения ВА филиала организуется на основе плана работы. В целях унификации результатов проверочной деятельности, введения внутрибанковских стандартов проверок, методологической поддержки деятельности подразделений ВА филиалов, одним из ключевых аспектов является наличие разработанных методик (программ) по всем предусмотренным направлениям проверок. Это требование поддержано и в приложении 3 к Положению № 242-П.
Помимо традиционных тематических проверок отдельных направлений деятельности филиалов в соответствии с планом часть проверочных мероприятий, связанных с мониторингом отдельных элементов системы внутреннего контроля (по наиболее рискованным направлениям, в первую очередь по принятию кредитных рисков), должна осуществляться на постоянной основе и доводиться до сведения руководства подразделения ВА банка:

• на периодической основе (например, ежемесячно) -- в виде отчета по результатам мониторинга за соответствующий период;
• незамедлительно -- при выявлении фактов нарушения законодательства при осуществлении операций, принятия повышенных рисков (в частности, выявления проблемной задолженности).

Особое внимание заслуживает необходимость поддержания "обратной связи" по результатам проверок, что акцентируется профессиональным стандартом 2500 "Наблюдение за действиями, предпринимаемыми по результатам аудита". Очевидно, что целью работы подразделений ВА является не просто перечисление обнаруженных проблем, но и контроль мероприятий по их устранению и профилактике. Поэтому информация о ходе и степени выполнения рекомендаций подразделений ВА должна являться частью соответствующего отчета.
Унифицированный программный продукт (база данных) по результатам деятельности подразделений ВА филиалов позволит существенно улучшить анализ системы внутреннего контроля, ведь это будет средство унификации проверочных программ и процедур, позволяющее:

• систематизировать полученные результаты в масштабах всей филиальной сети, ускорить обработку информации головным офисом;
• типизировать и отслеживать наиболее часто встречающиеся нарушения;
• сопоставлять и проводить сравнительный анализ функционирования системы внутреннего контроля и работы подразделений ВА в различных филиалах.