Алексей Сонин, дипломированный внутренний аудитор,
президент российского Института внутренних аудиторов

Одним из наиболее действенных инструментов выявления возможностей для повышения эффективности бизнеса и, следовательно, одним из конкурентных преимуществ компании может стать внутренний аудит.
Еще до недавних пор внутренний аудит в компании во многих случаях играл роль «золушки», которая выполняет нелегкую и не всегда чистую работу и которую, по большому счету, никто не любит. Но постепенно подобное отношение чудесным образом изменилось. Сегодня внутренний аудит — в моде, и многие руководители и собственники хотели бы внедрить его у себя в компаниях, часто не вполне осознавая огромный потенциал, которым тот обладает. Между тем перед внутренним аудитом ставятся все более масштабные задачи, повышаются требования к нему самому и, соответственно, растет нагрузка на внутренних аудиторов. В некоторых случаях к внутреннему аудиту начинают относиться как к палочке-выручалочке, которая все сможет и все исправит.
Что же такое внутренний аудит и чем он может быть полезен компании? Дать ответы на эти вопросы — цель предлагаемой вашему вниманию статьи.

Почему внутренний аудит привлек внимание

Внутренний аудит, являясь понятием не новым, привлек к себе особое внимание в начале третьего тысячелетия. Растущий интерес к внутреннему аудиту в мире обусловлен, по нашему мнению, рядом факторов.

Во-первых, внутренний аудит является одним из немногих доступных на данный момент и в то же время недооцененных ресурсов, правильное использование которых может повысить эффективность компании.

Во-вторых, череда громких корпоративных скандалов, прокатившихся по США и Западной Европе, дала основания считать, что институт внешнего аудита может давать серьезные сбои, вследствие которых терпят банкротства даже крупнейшие компании.

В-третьих, наличие в компании хорошего корпоративного управления, одним из неотъемлемых звеньев которого становится внутренний аудит, является положительным сигналом для потенциальных инвесторов и кредиторов и повышает инвестиционную привлекательность компании.

В российских условиях к вышеназванным добавляется еще ряд факторов. Прежде всего, это желание (которое, как правило, вызвано острой необходимостью) собственников и менеджмента упорядочить структуру и организацию бизнес-процессов, что может привести к существенной экономии средств компании. Кроме того, наличие в компании внутреннего аудита становится весьма актуальным для собственников-менеджеров компаний, которые отходят от непосредственного ведения дел, передавая бразды правления в руки профессиональных менеджеров. И, наконец, планы выхода в краткосрочной или среднесрочной перспективе на международные рынки капитала диктуют компаниям необходимость создания служб внутреннего аудита. (Правила крупнейших фондовых бирж (Нью-Йоркской, Лондонской) предусматривают наличие в компании внутреннего аудита как обязательное условие внесения ценных бумаг компании в котировальные списки биржи.)

Понятие внутреннего аудита

Приведем определение, которое дает внутреннему аудиту международный Институт внутренних аудиторов (The Institute of Internal Auditors): «Внутренний аудит есть деятельность по предоставлению независимых и объективных гарантий и консультаций, направленных на совершенствование деятельности организации. Внутренний аудит помогает организации достичь поставленных целей, используя систематизированный и последовательный подход к оценке и повышению эффективности процессов управления рисками, контроля и корпоративного управления». Определение охватывает основные характеристики внутреннего аудита, на которых мы сейчас кратко остановимся.

1. Независимость и объективность. Прежде всего, сама профессия внутреннего аудитора основывается на двух фундаментальных качествах — независимости и объективности. Независимость в данном случае является понятием организационным и определяется в значительной степени уровнем подчиненности службы внутреннего аудита в компании. Под объективностью понимается индивидуальное качество внутреннего аудитора, заключающееся в том, насколько тот беспристрастен в своих оценках и выводах.
2. Совершенствование деятельности организации. Целью внутреннего аудита, как следует из определения, является совершенствование деятельности организации. Подчеркнем — не выявить нарушения и ошибки для последующих оргвыводов и наказания виновных, не написать отчет на несколько десятков страниц с сотней трудновыполнимых рекомендаций, а увидеть и оценить риски, слабые стороны в работе организации и дать рекомендации, направленные на улучшение и повышение эффективности систем и процессов.
3. Предоставление гарантий1 и консультаций. Сущность деятельности внутреннего аудита заключается в предоставлении гарантий (англ. assurance) и консультаций (англ. consulting) заказчикам (клиентам) внутреннего аудита. При этом сфера предоставления гарантий и консультаций за последние годы существенно расширилась и включает на сегодняшний день следующие области: управление рисками, внутренний контроль, корпоративное управление.
   Предоставление гарантий, в данном случае, есть объективный анализ аудиторских доказательств с целью осуществления независимой оценки и выражения мнения о надежности и эффективности систем, процессов, операций. Основное отличие консультирования от предоставления гарантий заключается в том, что в первом случае характер и объем работы аудитора определяются клиентом.

Различия между двумя видами деятельности — предоставлением гарантий и консультированием — приведены в таблице.

Для собственников в лице совета директоров более важна деятельность внутреннего аудита по предоставлению гарантий. С точки зрения линейного руководства, наибольшая ценность внутреннего аудита заключается в возможности получить консультации по вопросам повышения эффективности бизнес-процессов, за которые линейное руководство несет ответственность. Высшее исполнительное руководство заинтересовано как в том, чтобы внутренний аудит содействовал линейному руководству в выполнении его функций, так и в том, чтобы внутренний аудит помогал контролировать деятельность линейного руководства

Сегодня идут интенсивные дискуссии на тему, какое соотношение должно быть между временем, которое внутренний аудит уделяет деятельности по предоставлению гарантий и деятельности по предоставлению консультаций. Некоторые представители профессии ратуют за «абсолютную чистоту», предполагая, что основная ценность внутреннего аудита заключается именно в предоставлении объективных гарантий и поэтому консультации должны занимать минимальное время в графике работы аудиторов. Ведь чем больше внутренний аудит занят консультационной работой, тем в общем случае больше потенциальная угроза объективности внутреннего аудита — проекты и области, где внутренний аудитор сегодня участвовал в качестве консультанта, подлежат проверке внутренним аудитором завтра. Сторонники другой точки зрения утверждают, что внутренний аудит может быть наиболее полезен для компании именно на этапе изменения и/или внедрения систем/процедур, поскольку для компании в целом потенциальные выгоды от такого участия внутренних аудиторов в качестве консультантов все же превышают риск снижения объективности результатов работы внутренних аудиторов в будущем. Тем более что есть достаточно много способов нивелировать данное отрицательное влияние на объективность внутренних аудиторов.

Поскольку основной задачей внутреннего аудита, на наш взгляд, является предоставление объективных гарантий (которые возникают в результате тех самых проверок, хотя «проверка» не самое удачное слово в лексиконе внутреннего аудитора), следует быть предельно аккуратным в вопросе увеличения относительной доли консультационной работы, чтобы избежать отрицательного влияния на последующую объективность внутреннего аудита.

Практика различных компаний в этом плане очень сильно отличается. В иностранных компаниях, до недавних пор, наблюдалась тенденция роста значимости внутреннего аудитора как консультанта. В данный момент можно говорить о примерном соотношении 80/20, когда 80% времени, отведенного на аудиторские задания, приходится на деятельность по предоставлению гарантий и 20% — на консультационную работу2. Однако после громких корпоративных скандалов последнего времени растет убеждение, что ценность внутреннего аудита для компании заключается именно в предоставлении объективных гарантий.

Роль внутреннего аудита в компании

Насколько внутренний аудит нужен собственникам бизнеса? Чем внутренний аудит может быть полезен менеджерам компании?

Решение о том, необходим ли в компании внутренний аудит, принимают собственники и высшее исполнительное руководство компании. Определяется это решение многими факторами, к которым, прежде всего, относятся: разделение функции владения и управления бизнесом; размеры и структурная разветвленность компании; уровень рисков, присущих деятельности компании.

В тех случаях, когда собственники бизнеса являются менеджерами компании и сами полностью контролируют все аспекты бизнеса, в наличии функции внутреннего аудита может не быть надобности. Однако с ростом размеров компании и повышением сложности процессов управления у собственников-менеджеров может сложиться иллюзия контроля, когда создается впечатление, что бизнес не сильно меняется и все стороны деятельности компании находятся под контролем; но на самом деле у руководства уже не хватает физической возможности контролировать ситуацию во всей полноте. И тогда внутренний аудит может оказаться весьма полезен.

Отметим, что в Европе и США совмещение функций владения и управления бизнесом характерно для малого и отчасти среднего бизнеса. В крупных и многих средних компаниях существует разделение данных функций (эта объективная тенденция начинает прослеживаться и в российских компаниях), когда собственники занимаются вопросами определения стратегии и направлений развития компании, не вникая в повседневные детали ведения дел, а для управления компанией нанимают профессиональных менеджеров. Но каким бы профессиональным ни был менеджмент, для собственников актуальным становится вопрос контроля за состоянием дел в компании («доверяй, но проверяй»). И в этом случае одним из действенных инструментов контроля может стать внутренний аудит.

Внутренний аудит необходим не только собственникам, но и менеджменту компании. Задача менеджеров — управлять бизнесом, достигая поставленных целей наиболее эффективным образом. Успешность выполнения этой задачи зависит в значительной степени от двух факторов: 1) обладает ли менеджер информацией, необходимой для принятия правильных управленческих решений; 2) существует ли эффективная система контроля выполнения принятых решений.

Сами менеджеры, для которых управление бизнесом является частью повседневной работы, не всегда способны объективно оценить ситуацию. Даже если менеджер считает, что эффективно контролирует все процессы, у него, как правило, нет времени и специфических навыков для сбора и структурирования соответствующей информации. Внутренний аудит, по сути своей работы, обладает информацией по всем аспектам деятельности компании и инструментарием для обобщения и анализа данных, поэтому тесное взаимодействие с внутренним аудитом повышает эффективность принятия решений менеджментом. Именно внутренний аудит является тем объективным источником информации, помогающим менеджеру по-новому, «не замыленным глазом» посмотреть на вещи и оценить качество выполнения принятых управленческих решений.

Но возникает вопрос: нужен ли собственникам и менеджменту компании именно внутренний аудит или более полезными являются функции, которые в российских компаниях традиционно выполняют службы внутреннего контроля (СВК) и контрольно-ревизионные управления (КРУ). (Заметим, что в современной практике западных компаний наибольшее распространение получили службы внутреннего аудита; службы внутреннего контроля встречаются значительно реже; и вовсе не распространены аналоги контрольно-ревизионных управлений.)

Сколько и какие органы контроля иметь в компании — определяется потребностью собственников и менеджмента. Немалую роль в принятии решения играет состояние контрольной среды в компании и, если говорить более широко, уровень развития корпоративной культуры. Если системы внутреннего контроля и управления рисками не выстроены или работают неэффективно, поле деятельности для внутреннего аудита очень сильно сужается, поскольку задача внутреннего аудита — оценить эффективность этих систем. В данном случае первоочередной задачей для менеджмента компании является проектирование и внедрение системы контроля — этим в российских компаниях традиционно занимаются службы внутреннего контроля.

Поскольку построение системы внутреннего контроля есть процесс трудоемкий и длительный, объективной необходимостью на определенном этапе (пока не выстроена эффективная система контроля) является наличие в компании отдельного подразделения — контрольно-ревизионного управления. (КРУ приобретает особую значимость, если у руководства компании нет возможности или желания строить эффективную систему контроля и создавать высокоразвитую корпоративную культуру.) В данном случае КРУ будет фокусироваться на выявлении ошибок и злоупотреблений, выполняя роль корпоративного полицейского в «чистом виде». Но следует помнить, что ревизионная деятельность, по своей сути, направлена на ретроспективу, т. е. на уже произошедшие события и их последствия. Внутренний аудит ориентирован на перспективу, т. е. на анализ будущих событий, которые могут неблагоприятным образом сказаться на деятельности отдельных подразделений и/или компании в целом. Иначе говоря, ревизия оценивает последствия уже материализовавшихся рисков, в то время как внутренний аудит оценивает возможность и предлагает пути снижения рисков и/или негативных эффектов их воздействия. Наличие в компании контрольно-ревизионного управления ни в коей мере не означает ненадобности во внутреннем аудите — все определяется тем, на каком этапе своего развития находится компания и в каком направлении, с точки зрения внутренней корпоративной культуры, компания будет двигаться.

Следует также отметить, что решение о необходимости внутреннего аудита не должно определяться наличием у компании внешнего аудитора, поскольку внешний и внутренний аудиты выполняют разные функции.

Во-первых, внешний аудит традиционно занимается подтверждением достоверности финансовой отчетности компании и фокусируется на операциях и событиях, могущих оказать материальное воздействие на финансовую отчетность компании. Внутренний аудит направлен, прежде всего, на оценку существующих систем контроля и управления рисками компании и фокусируется на операциях и событиях, препятствующих эффективному достижению компанией поставленных целей. (Заметим, однако, что последние изменения в законодательстве некоторых стран (прежде всего, США) делают оценку надежности системы контроля за финансово-бухгалтерской отчетностью компаний задачей такой же значимой для внешнего аудита, как и подтверждение достоверности отчетности.)

Во-вторых, внешний аудит, в рамках оказания аудиторских услуг, не делает оценку экономической обоснованности управленческих решений и эффективности деятельности подразделений компании, что обычно является одной из задач аудита внутреннего.

В-третьих, внешний аудит служит, в первую очередь, интересам внешних заинтересованных сторон — потенциальных инвесторов, кредиторов и др., в то время как внутренний аудит служит, прежде всего, интересам советов директоров и менеджеров компании.

Подчеркнем, что эффективный внутренний аудит может снизить затраты компании на внешний аудит (если внешний аудитор будет иметь возможность полагаться на результаты работы внутреннего аудита, что сократит объем аудиторских процедур, выполняемых внешним аудитором), но не может отменить необходимость внешнего аудита для компании. Важно также учесть, что не рекомендуется пользоваться услугами внешнего аудитора компании для проведения внутренних аудитов, поскольку подобное совмещение может привести к конфликту интересов внешнего аудитора. В законодательстве некоторых стран такое совмещение запрещено (например, закон Сарбейнса-Оксли в США).

Таким образом, наличие эффективного внутреннего аудита становится критичным для успешного развития компании в условиях быстрых изменений внешней среды, повышения сложности процессов управления, разделения функций владения и управления бизнесом. Насколько при этом внутренний аудит будет полезным для компании, зависит в значительной степени от того, какие задачи будут перед ним поставлены.

Какие задачи решает внутренний аудит

Современный внутренний аудит способен и должен выполнять разнообразные и масштабные задачи. Во-первых, оценивает систему внутреннего контроля в части достоверности информации, соблюдения законодательства, сохранности активов, эффективности и результативности деятельности отдельных операционных и структурных подразделений. Во-вторых, проводит анализ и оценку эффективности системы управления рисками и предлагает методы снижения рисков. В-третьих, оценивает соответствие системы корпоративного управления компании принципам корпоративного управления.

Одним из важнейших направлений деятельности внутреннего аудита становится аудит информационных систем (информационных технологий). Высокая уязвимость компаний в этой области была не раз продемонстрирована в последние годы и, как показывают многочисленные опросы, безопасность информационных систем вызывает сегодня наибольшую озабоченность у руководства иностранных компаний.

Внутренний аудит может многое, но не является универсальным решением всех проблем компании. Например: 1) внутренний аудит не может ликвидировать или идентифицировать все случаи человеческих ошибок или злоупотреблений, но может минимизировать их вероятность и увеличить вероятность их скорого обнаружения посредством аудита систем/процедур; 2) внутренний аудит не может аудировать каждый бизнес-процесс каждый год, но может оптимизировать выбор проверяемых областей/подразделений на основе проведения предварительного риск-анализа; 3) внутренний аудит не должен разрабатывать процедуры для подразделений/отделов компании, поскольку это отрицательно влияет на независимость внутреннего аудита, но может анализировать процедуры, разработанные другими подразделениями/отделами, на предмет их эффективности в рамках системы внутреннего контроля компании.

Хотелось бы заметить, что во многих случаях исполнительное руководство склонно рассматривать внутренний аудит как ресурс, решающий управленческие задачи по построению системы контроля. Это не может не вызывать опасений по поводу объективности внутреннего аудита, поскольку в этом случае внутренним аудиторам предстоит фактически оценивать то, что они сами разрабатывают и внедряют. Подчеркнем еще раз, что построение системы внутреннего контроля не является задачей внутреннего аудита, а является прямой и непосредственной задачей менеджмента. Внутренний аудит может оказывать консультационную поддержку на этапе разработки систем/процедур и этим приносить неоценимую пользу компании, но не должен нести ответственность за создание и поддержание системы контроля.

Сегодня происходит трансформация внутреннего аудита в инструмент оценки рисков, наблюдается смещение акцентов от оценки отдельных операций к оценке рисков в деятельности организации в целом. Какие задачи решает внутренний аудит в области управления рисками?

Во-первых, внутренние аудиторы в ходе различных видов аудитов предоставляют аудиторские рекомендации, позволяющие предотвратить риск или снизить его до приемлемого уровня. Во-вторых, внутренние аудиторы проводят оценку надежности и эффективности системы управления рисками. В-третьих, внутренние аудиторы, при соблюдении определенных условий, могут помогать менеджменту в разработке и внедрении системы управления рисками компании. Однако здесь, как и в случае с системой внутреннего контроля, следует иметь в виду, что анализ и управление рисками — это задача менеджмента компании, в решении которой внутренний аудит оказывает менеджменту содействие.

Подытоживая, отметим, что для внутреннего аудита на сегодняшний день складываются благоприятные условия, чтобы продемонстрировать свои широкие возможности и доказать свою необходимость как для собственников, так и для менеджмента компаний. А у собственников и менеджмента компаний может появиться мощный инструмент повышения эффективности бизнеса.

1. Следует обратить внимание, что слово «гарантия» в русском языке имеет несколько иной смысл.
2. По нашим оценкам, в российских компаниях это соотношение составляет 95/5.