Скопировать ссылкуВ частности, вам наверняка расскажут, что:
- Основой контрольной среды являются внутренние документы: политики процедуры, инструкции.
- Для построения системы внутренних контролей требуется секретная контрольная матрица.
- Для функционирования системы контролей необходимо наличие комитета по аудиту и отдела внутреннего аудита, этому комитету подчиняющегося.
- Вам точно не обойтись без устава полномочий, который разъясняет что, кто и как одобряет в компании.
- Судя по опубликованным вакансиям, ваша команда внутренних аудиторов должна состоять исключительно из бывших сотрудников Big4, аттестованных ACCA, CIA и MBA, как преимущество.
Ну, что сказать? Все это правда. Или почти правда. Но это все вторичные факторы, относящиеся к средствам достижения цели.
А что первично?
Пункт первый, он же единственный:
Для организации в компании хорошей системы внутренних контролей, руководство должно ЗАХОТЕТЬ построить систему внутренних контролей. Причем захотеть настолько, чтобы смочь.
Для внедрения системы внутренних контролей НЕ РАБОТАЮТ следующие варианты:
- Мы наймем супер менеджера за много денег, имеющего опыт построения системы внутренних контролей. И он нам все наладит.
- Мы наймем крупнейшую международную консалтинговую компанию за безумное количество денег. И они нам все построят, обучат и наладят.
- Мы наймем супер менеджера и международную компанию. И уж вместе они нам точно все построят, наладят и обучат.
Eсли цель упражнения - отчитаться за потраченный бюджет и, в последствии, объясняя причины провала на совете директоров и акционерам, сказать, что сделали все, что могли, и то, что получилось, и есть оно самое: «Система Внутренних Контролей», то все перечисленные варианты подходят.
К тому же, с вопросами о росте расходов на 20 процентов, персонала на 30 процентов и снижения убытков на рекордный 1 процент всегда можно отправить к консультантам и рассказать, что это очень хорошие показатели по мировым и, особенно, по национальным меркам.
- Позвольте! Но почему аудиторы отказываются снижать стоимость договора и полагаться на нашу, мирового класса, систему внутренних контролей?
- Этим аудиторам лишь бы денег побольше срубить! Все они придираются! Вот, сами смотрите:
- У нас же каждую операцию пять человек одобряет, включая генерального менеджера!
- Каждое утро аналитики комментирую 150 отчетов с отклонениями, и результаты высылают всем функциональным руководителям и генеральному директору!
- Да мы же каждую копейку контролируем!
- Даже тендеры проводим на закупку авторучек!
- Вот какие у нас контроли!!!
Продолжать можно бесконечно. Как же правильно?
Построение системы внутренних контролей, должно стать одной из приоритетной задач всего менеджмента компании. Менеджер или внешний консультант по внутренним контролям нужен для того чтобы найти основные риски, координировать, отсеивать лишнее (формальные и избыточные контроли), собирать и анализировать описания процессов и формировать общую матрицу контролей, которая надежно свяжет все бизнес-процессы компании, не оставляя места для возникновения материальных рисков.
Для простоты принятия решений, лично для себя, я сформулировал общие критерии для разработки дизайна системы внутренних контролей:
1. Правило ценности. Это правило одно из самых важных! Контроль не должен стоить больше чем риск, который он покрывает.
2. Правило достаточности. Избыточность контроля - это бесполезно потраченные ресурсы организации. А, следовательно, дизайн контроля должен подчиняться критерию «Необходимо и Достаточно».
3. Практическая польза. Система внутренних контролей формируется, чтобы приносить пользу бизнесу, снижая потери и компенсируя риски. Контроль, созданный только потому, что так хотят аудиторы, это ничем не оправданная трата ресурсов компании. Другими словами, контроль должен существовать, если без него обойтись нельзя совсем.
4. Простота. Лучший контроль - это автоматический контроль. То есть, когда сама система не позволяет сделать ошибку или сделать действие, не предусмотренное внутренними процедурами. Чем контроль сложнее и трудозатратнее, тем хуже он работает.
5. Уровень контроля. Задача руководителя любого уровня не тотальный контроль за всем происходящим, а правильная организация процесса. Типичный пример - это процесс закупок в средних или крупных организациях. Генеральный менеджер не должен одобрять каждую закупку. Он утверждает бюджет, а затем спрашивает с руководителей отдела за его исполнение. Допустимо одобрение высшим руководством только очень крупных сумм.
6. Мотивация. Контроли будут работать, только если ответственные за их работу сотрудники мотивированы на поддержание контрольной среды. Даже сверхответственный сотрудник в условиях мультизадачности будет отодвигать контрольные процедуры на второй план. Поэтому нужны постоянные напоминания со стороны высшего менеджмента о крайней важности для компании сохранения и совершенствования контрольной среды. Также необходимо вспомнить про метод «кнута и пряника».
7. Компенсирующие контроли. Хорошая СВК - это многослойная СВК. Надежность системы достигается за счет структуры контрольной среды, при которой контроли высокого уровня компенсируют брак в срабатывании контролей более низкого уровня. Такая структура позволяет покрыть значительные риски, даже в том случае, если не сработали базовые контроли (одобрение условий договоров, тендеры, одобрение изменений в заработной плате и т.п.)
8. Разумная уверенность. Целью построения СВК не является полное искоренение рисков и ошибок, поскольку при приближении системы СВК к стопроцентной надежности гибкость, скорость и эффективность ведения бизнеса будут стремиться к нулю. Хорошая система внутренних контролей защищает бизнес только от материальных рисков и потерь. А задача грамотного менеджмента правильно установить порог материальности.
Список можно продолжать. Но суть, я думаю, понятна.
Как видите, все довольно просто и логично. Нужно понимать, что даже закон Сарбейнса Оксли не страдает лишним формализмом, задавая лишь общее требование к существованию и эффективности системы контролей. Ни в каком законе нельзя прописать универсальный свод правил, который позволит покрыть абсолютно все риски в любой компании.
Каждый раз подход строго индивидуальный.
Жизнь после СВК
После того как система внутренних контролей сформирована, и даже получено аудиторское заключение об эффективности, самая серьезная ошибка - это возвести контрольную матрицу в ранг нового завета или конституции (кому что нравится).
Система контролей должна жить и развиваться вместе с бизнесом, становясь более эффективной, менее трудозатратной и покрывая новые возникающие в компании риски. Кроме того, нужно не забывать избавляться от контролей, которые стали не нужны. Как это не смешно звучит, но наиболее частый ответ на вопрос «Зачем?!..» - это «А мы всегда так делали!».
