Руководство службой внутреннего контроля

Нужно ли проводить на предприятиях контрольные мероприятия?

Как сформировать службу внутреннего контроля?

Как и для чего разграничивают функции этой службы и других подразделений?

Актуальные для многих компаний задачи — повысить эффективность работы подразделений, свести к минимуму риски, обеспечить достоверность данных финансовой отчетности, соответствие деятельности действующему законодательству. Для их решения на предприятиях создают службы внутреннего контроля (далее — СВК).

Есть разные подходы к формированию службы внутреннего контроля. Одни компании ограничиваются внутренним аудитом, другие создают подразделение по управлению рисками, в обязанности которого входит и внутренний контроль. Каждая компания выбирает подходящий ей вариант. Каким бы он ни был, при его реализации будут полезны наши рекомендации.

Обратите внимание!

При формировании СВК важно четко определить функционал службы внутреннего контроля, разграничить его с обязанностями службы безопасности и отдела, контролирующего соблюдение законодательства, и обеспечить взаимодействие этих подразделений.

Типичные ошибки при формировании СВК:

• в области организации — неверное подчинение, отсутствие подразделений;
• в области функционала — дублирование функций, неисполнение отдельных функций;
• в области кадров — узкая специализация, избыточная численность.

В состав СВК обязательно должны входить:

• аудитор, который, например, будет проверять достоверность отчетности;
• специалист по организационному развитию, оценивающий экономичность и эффективность бизнеса;
• юрист, проверяющий соответствие деятельности действующему законодательству.

Также в состав СВК могут входить так называемый технолог, обязанность которого — обеспечить экономичность и эффективность производственных процессов, и «сыщик», который выявляет виновных.

СВК можно наделить и дополнительной функцией — контроль управленческой эффективности и экономичности.

Руководитель СВК активно участвует в создании СВК, в разработке стратегии службы корпоративной разведки для группы компаний в отношении организационной структуры, материальной части, подбора сотрудников; в обеспечении сохранности активов, в частности в разработке стратегии защиты активов от краж, хищений, мошенничества для каждого подразделения компании.

В целом СВК должна назначаться и подчиняться исключительно совету директоров (в отличие от ревизионной комиссии; табл. 1). Основные функции СВК определяют в положении об управлении систем аудита, работа ведется постоянно.

Чтобы оперативно устранять проблемы, возникающие в процессе финансово-хозяйственной деятельности, СВК должна обладать исключительными полномочиями (издание приказов, распоряжений в системе внутреннего контроля, которые обязаны выполнять все сотрудники компании, в том числе генеральный директор). В связи с этим СВК с позиции организационной структуры должна быть выведена из подчинения проверяемых служб.

При формировании СВК сферу ответственности стоит разделить на основные уровни иерархии организационной структуры компании. Результаты проверок на каждом уровне представляются как непосредственному руководителю проверяемых лиц, так и генеральному директору.

Однако если в процессе проверки выявлены грубые ошибки, которые привели к серьезным финансовым потерям, всю информацию необходимо предоставить Совету директоров, который, в свою очередь, отчитается перед акционерами.

При формировании СВК важно не допустить дублирования функций с другими подразделениями, т. е. не допустить пересечений в функционале с иными службами.

Например, чтобы обеспечить сохранность имущества, внутренние аудиторы отслеживают документальное оформление активов и их движения, чтобы не потерялись данные об имуществе. В свою очередь, например, служба безопасности обеспечивает сохранность данных активов. При этом работа службы безопасности напрямую связана с борьбой с мошенничеством, т. е. сомнительными операциями с правовой точки зрения.

Внутренний контроль: какую роль выполняет и что учесть при создании СВК

Сейчас часто говорят о повышении устойчивости ведения бизнеса. В условиях непредсказуемости, руководители задаются вопросами: “Как защитить компанию от влияния внешних факторов и насколько это возможно?”, “Нужно ли планировать деятельность и как это лучше делать?”.

В этой статье я буду говорить о внутренних факторах, влияющих на бизнес компании: о том фундаменте, на котором должна стоять компания, чтобы обеспечить устойчивость и эффективность своей деятельности. Если этот фундамент не построить осознанно и «с умом», то компания может «развалиться» еще задолго до того, как наступят неконтролируемые события, влияющие на бизнес.

Речь пойдет о внутреннем контроле, как он строится в компании и какую роль выполняет в управлении. А также какие нюансы стоит учесть при создании системы внутреннего контроля (СВК) и кто этим должен заниматься в организации.

1. Методология создания системы внутреннего контроля
2. Какую роль выполняет СВК в системе управления
3. Чем внутренний контроль отличается от контроля вообще?
4. Что учесть при создании СВК и кто за это отвечает

Методология создания системы внутреннего контроля

О внутреннем контроле много говорят, пишут, консультируют. В компаниях появляются внутренние контролеры и целые структурные подразделения внутреннего контроля. Регулирующие органы выпускают нормативные акты, посвященные внутреннему контролю в организациях различных сфер деятельности.

Но, исходя из моего опыта работы, внутренний контроль в компаниях не всегда построен должным образом и выполняет свою роль. На мой взгляд, часто не хватает системного подхода при создании эффективной системы внутреннего контроля в компании.

Например, в компаниях с холдинговой структурой принятие многих решений завязано на головной компании, что неминуемо влечет за собой затягивание процессов. Из-за чего оперативность принятия решений и скорость выполнения производственных задач уходят на второй план в угоду тотального контроля. Система контроля слишком «хороша» и руководство компаний забывает про делегирование полномочий (хотя доверие к персоналу со стороны руководства — самый мощный стимул продуктивности, инициативы и результативности).

По моему мнению, чтобы создать или развить СВК в компании, необходимо, прежде всего, единое понимание ее назначения всеми сотрудниками компании, включая руководство и собственников. Чтобы понять, для чего нужна система внутреннего контроля и из чего она состоит, рассмотрим операционную деятельность компании в динамике.

Какую роль выполняет СВК в системе управления

Компания в процессе ведения деятельности проходит 3 стадии:

• планирование;
• выполнения планов;
• стадия контроля.

На последней стадии контроля выявляются отклонения фактических данных от запланированных. И проводится анализ с точки зрения возможности достижения поставленных целей и задач.

При этом контроль осуществляется на каждой стадии функционирования компании и бывает 3-х видов:

• предварительный;
• текущий;
• и последовательный.

Операционную и контрольную деятельность пронизывает управленческая деятельность — это воздействие управляющей системы на объекты управления, исходя из информационного обмена и результатов контрольной деятельности. Если во время контроля выявлены существенные отклонения, то руководство компании может скорректировать цели и внести уточнения в планы.

Исходя из описанной модели, можно сказать, что роль контроля в системе управления компанией определяет его основное назначение:

• выявить отклонения в деятельности объектов управления по сравнению с заданной целью управляющей системой;
• оценить отклонения с точки зрения возможности достижения целей;
• передать эту информацию субъектам управления для принятия решений и корректировки целей на новый период деятельности.

Выходит, что контроль играет роль «обратной связи» и содействует целенаправленной работе всех бизнес-процессов компании. А также эффективному использованию ресурсов, соблюдению законодательства, и в конечном итоге — достижению целей, стоящих перед компанией в целом.

Тем самым образуется управленческий цикл, приведенный в схеме ниже.

В управленческом цикле контроль становится одним из эффективных средств управления

Стратегические и тактические цели организации можно достичь лишь грамотным управлением, которое должно сопровождаться проведением внутреннего контроля.

Чем внутренний контроль отличается от контроля вообще?

Прежде всего, внутренний контроль — это контроль, осуществляемый внутренними ресурсами компании. В противоположность внешним видам контроля, таким как: законодательное регулирование, контроль со стороны внешних контролирующих и проверяющих органов, внутренний контроль проводят по инициативе собственника компании, силами ее внутреннего персонала. Он направлен на обеспечение бесперебойной работы всех бизнес-процессов и на достижение целей компании.

Важно отметить, что современный подход к организации внутреннего контроля предполагает не только контроль, который обеспечивает:

• достижение запланированных показателей;
• отсутствие отклонений и нецелевого использования денежных средств;
• соблюдение законодательства;
• достоверность внутренней и внешней отчетности.

Но и систему выявления резервов повышения эффективности деятельности организации, и контроль соблюдения интересов собственников и инвесторов.

На Западе, после серии громких банкротств крупных корпораций, долгое время разрабатывались вопросы организации надежных систем внутреннего контроля и повышения уровня корпоративного управления.

В отечественных компаниях стали приводить системы корпоративного управления, в том числе внутреннего контроля, в соответствие с общепринятой практикой стран с развитой экономикой, только в процессе интеграции стран СНГ в мировую экономику. На процесс также повлияло постепенное дистанцирование собственников от оперативного управления. При этом, приходится адаптировать западный опыт к нашим условиям, учитывать специфики организаций и национальный менталитет.

Развитие внутреннего контроля в нашей стране обусловлено рядом факторов. Помимо того, что контроль — это необходимый инструмент управления компанией, который обеспечивает «обратную связь» и процесс принятия решений, при создании СВК необходимо также учитывать следующие моменты:

• организация и проведение внутреннего контроля предопределены действующим национальным законодательством;
  
• внутренний контроль выступает субъектом контроля за финансово-хозяйственной деятельностью экономического субъекта и управленческими структурами компании, а также объектом — при внешнем контроле.
  

Что учесть при создании СВК и кто за это отвечает

Обозначим еще несколько важных аспектов, которые должны понимать в процессе создания СВК руководство компании и ее сотрудники.

1. 1) Внутренний контроль в деятельности компании должен пронизывать всю систему управления:
   • от постановки стратегических и тактических целей и задач;
   • до конкретной операции приобретения, использования и обеспечения сохранности любого ресурса.
2. 2) Внутренний контроль в системе управления компанией — это регулирующий элемент системы управления компанией и его роль:
   • реализовывать управленческие решения с учетом вероятных угроз и возможностей;
   • оценивать их адекватность поставленным целям и эффективность;
   • показывать реальное положение дел в компании.
3. 3) Внутренний контроль — это не цель, а средство достижения целей компании. И он должен быть адаптирован к специфике ее деятельности.
4. 4) Ответственность за организацию внутреннего контроля лежит на руководстве компании. При этом надлежащее функционирование СВК обеспечивают не только наличием внутренних регламентирующих документов по СВК, но и скоординированными действиями буквально всех сотрудников компании. А для этого важно создать определенную среду и корпоративную культуру, которые задаются «сверху» от руководства компании и ее собственников.

Какое место занимает СВК в общей системе управления компанией и какую роль в ней выполняет — представлено в схеме ниже.

В следующем материале рассмотрим основные этапы создания СВК в компании: как определить текущую модель системы внутреннего контроля и что такое риск-ориентированный подход (РОП), как оценить зрелость СВК и создать правила для ее эффективной работы. И кому все это можно поручить в компании.

Цель этой статьи состоит в том, чтобы обсудить различные вопросы внутреннего контроля, сделав особый упор на темы пункта I6 программы курса «Введение в финансы и управление бизнесом». Нас, в частности, будут особенно интересовать следующие темы учебного плана:

a) Объяснить внутренний контроль и внутреннюю проверку.
b) Объяснять внутреннего финансового контроля в организации.
c) Описать обязанности руководства по внутреннему финансовому контролю.

Кроме того, в статье мы обсудим роль внутреннего аудита и проверок, проводимых в рамках внутреннего аудита, что охватывается темами I2 e) и f) учебного плана.

Определение и цели внутреннего контроля

Доклад Tернбулла, впервые опубликованный в 1999 году, определил внутренний контроль и сферу его действия следующим образом:

«Политики, процедуры, задачи, поведенческие и прочие аспекты деятельности организации, которые в совокупности:

• Способствуют успешному функционированию организации, позволяя ей должным образом реагировать на значительные риски (операционные, финансовые, риски соблюдения правовых норм и другие) в процессе достижения своих целей. Сюда относится также обеспечение сохранности активов и своевременное выявление и управление обязательствами.
• Обеспечивают качество внутренней и внешней отчётности, что, свою очередь, требует поддержания необходимых учётных систем и процессов для создания потоков своевременной, уместной и надёжной информации из внутренних и внешних источников.
• Обеспечивают соблюдение действующего законодательства и внутренних политик.

Объяснение Тернбулла подчеркивает положительную роль, которую внутренний контроль призван играть в организации. Способствовать эффективному функционированию – это способствовать улучшению; и, если внедрить их правильно, то процессы внутреннего контроля несут пользу организации тем, что сравнивают вероятные сценарии с изначальными планами и предлагают способы избежать негативного развития событий.

В то же время Тернбулл признаёт, что идеальной системы внутреннего контроля не существует. Поскольку любая организация работает в динамичной среде, некоторые риски из значительных будут эволюционировать в несущественные, а некоторые из новых возникающих рисков может быть сложно или вообще невозможно предвидеть. Поэтому целью любой системы внутреннего контроля должна быть разумная уверенность в том, что организация всё-таки сможет достигать своих целей.

Задачи внутреннего контроля

Внутренний контроль должен выполнять следующие задачи:

Обеспечение эффективности ведения бизнеса:
В организации должны быть внедрены инструменты контроля, которые могли бы обеспечивать бесперебойную работу её процессов и операций. В совокупности такие инструменты должны снизить риск неэффективной деятельности и свести к минимуму опасность того, что организация не сможет достичь своих целей.

Обеспечение сохранности активов:
Используемые организацией инструменты контроля также должны гарантировать, что её активы используются для надлежащих целей и не подвержены риску воровства или использования не по назначению. Такие инструменты контроля нужно применять равным образом как к материальным, так и к нематериальным активам организации.

Предотвращение и выявление мошенничества и других незаконных действий:
Такие правонарушения могут случаться даже в небольших организациях с простыми организационными структурами, а по мере того, как размер и сложность организации увеличиваются, разнообразие мошеннических практик только растёт. Очевидно, что механизмы контроля должны соответствовать этим вызовам.

Обеспечение полноты и правильности учётной информации:
Организация не в состоянии готовить достоверную финансовую информацию, если ненадёжны её системы первичного учёта. Эти системы должны фиксировать первичные операции так, чтобы все их необходимые характеристики были отражены в финансовой отчётности должным образом.

Необходимость в дополнительных механизмах внутреннего контроля растёт по мере роста организации, который влечёт за собой всё более усиливающуюся специализацию. В этих условиях уследить за тем, что и где происходит в бизнесе, становится всё менее реалистичным.

В компаниях с ограниченной ответственностью за создание и функционирование адекватной системы внутреннего контроля отвечает совет директоров. Директора являются по сути агентами акционеров и, действуя в интересах акционеров, несут перед ними ответственность. Поэтому в определённых случаях директора могут посчитать необходимым создать специализированное функциональное подразделение внутри организации, отвечающее за внутренний контроль. Решение о создании такого подразделения будет зависеть от того, насколько ожидаемые в результате выгоды превысят соответствующие затраты.

Директора должны уделить должное внимание среде контроля. Для того, чтобы внутренний контроль достигал своих целей нужна соответствующая культура, которая позволит механизмам контроля надёжно укорениться по всей организации.

Классификация механизмов внутреннего контроля

Механизмы контроля можно классифицировать по множеству оснований. На схеме ниже приведены пять наиболее часто используемых категорий.

Механизмы внутреннего контроля могут быть:

Обязательными или добровольными:
Обязательные механизмы контроля – это те, которым необходимо следовать вне зависимости от обстоятельств. Как правило, они касаются предотвращения случаев нарушения закона или политик организации, а также минимизации угроз жизни и здоровью. Добровольные же механизмы контроля применяются в зависимости от суждения организации или её менеджеров.

Применяемыми по усмотрению или применяемыми всегда:
В некоторых случаях менеджерам может быть предоставлена возможность выбора – применять ли конкретный механизм контроля – в зависимости от субъективной оценки риска. Если такого права у менеджера нет, то контрольный механизм должен применяться всегда.

Ручными или автоматизированными:
Ручные механизмы контроля применяются конкретными сотрудниками, а автоматизированные заранее запрограммированы в системах организации. Некоторые системы сочетают оба вида. Например, при вынесении решения о возможности отсрочки платежа система может предлагать менеджеру по продажам такие варианты: автоматическое «отклонить» для покупателей с низким кредитным рейтингом, автоматическое «предоставить» для покупателей с высоким кредитным рейтингом, и дать менеджеру сделать выбор самостоятельно, если кредитный рейтинг покупателя средний.

Общими или прикладными:
Эта классификация механизмов контроля относится только к информационным системам. Общие механизмы контроля обеспечивают надёжность данных, которые генерируют системы, и помогают добиться того, чтобы они в целом работали в соответствии с их предназначением. Прикладные – это автоматические механизмы контроля, встроенные в информационные системы и предназначенные обеспечить полную и правильную фиксацию данных от момента ввода до вывода.

Распространённые контрольные процедуры

Физические инструменты контроля:
К таким контрольным инструментам относятся способы ограничения доступа в здания, конкретные офисы или к фабричному оборудованию: турникеты на входе, карты доступа или пароли. Прикрутить оборудование к полу чтобы сделать невозможным его вынос – это тоже из разряда физических инструментов контроля.

Доверенности и лимиты на авторизацию:
Большинство сотрудников имеют суммовые ограничения при принятии решений. Например, младший менеджер при организации собственной командировки не может самостоятельно приобретать авиабилеты стоимостью свыше $500, и при необходимости превысить этот порог должен получить одобрение более старшего менеджера.

Разделение полномочий:
Чтобы снизить риск ошибок и мошенничества, обязанности, связанные с денежной наличностью, часто разделены. Например, если бизнес-процесс компании предусматривает получение наличных денег по почте, то вскрытие конвертов в почтовой комнате и запись прихода будут осуществляться разными сотрудниками.

Разделение полномочий уместно и в других областях бизнеса. Например, должности председателя совета директоров и главного исполнительного директора занимают разные люди. Подразделение внутреннего аудита должно быть полностью отделено от финансового департамента с прямым подчинением либо совету директоров, либо комитету по аудиту.

Управленческие инструменты контроля:
Это инструменты, которые находятся в руках менеджеров. Например – анализ отклонений, с помощью которого менеджер, исполняя свои непосредственные должностные обязанности, определяет причины различий между планом и фактом. Управление результатами деятельности подчинённых – это тоже неотъемлемая часть многих управленческих должностей.

Если двигаться ниже по вертикали управления, то на уровне ежедневных операций регулярно выполняются управленческие процедуры надзора. Механизмы контроля, в целом заложенные в организационную структуру компании и её линии соподчинения, называют организационными процедурами контроля.

Внутренняя проверка

Внутренняя проверка – это такая система организации бухгалтерских процедур в организации, в результате которой ни одна бухгалтерская операция не находится под полным и независимым контролем какого-либо одного лица. Обязанности одного сотрудника должны таким образом дополнять обязанности другого, чтобы, по сути, осуществлять непрерывный аудит бизнес-операций.

Необходимые элементы внутренней проверки такие:

• проверке подвергаются ежедневные операции,
• проверки осуществляются постоянно как часть системы,
• работа одного сотрудника является смежной для работы другого.

Если распределить обязанности между сотрудниками таким образом, то никто по отдельности не получает полного контроля над какой-либо операцией.

Внутренний аудит

Определение и цель внутреннего аудита
Внутренний аудит можно определить как независимое структурное подразделение, созданное внутри организации с целью проверки и оценки её деятельности. Внутренний аудит позволяет руководству компании более эффективно исполнять свои функции. То есть внутренний аудит снабжает руководство анализом, оценками, рекомендациями, советами и в целом информацией об изученных им областях и процессах организации.

Задачи внутреннего аудита

Формальный список задач внутреннего аудита может включать все или несколько пунктов из следующего списка:

• обзор учётных систем и систем внутреннего контроля,
• проверка финансовой и операционной информации,
• оценка «трёх E»: эффективности, экономичности и результативности,
• оценка соответствия законодательству и нормам регулирования,
• обзор мер по обеспечению сохранности активов,
• проверка показателей, измеряющих достижение корпоративных целей,
• определение значительных рисков, угрожающих организации, и мониторинг политики по управлению рисками,
• проведение специальных расследований по мере необходимости.

Зачем нужен внутренний аудит?

Важность внутреннего аудита была отмечена ещё в докладе Тернбулла. В нём указано, что те публичные компании, в которых по каким-либо причинам нет специального подразделения внутреннего аудита, должны как минимум раз в год рассматривать вопрос о необходимости его создания. Одновременно с этим те публичные компании, в которых подразделения внутреннего аудита уже есть, должны не реже раза в год обращаться к вопросу о его полномочиях, сфере применения и обеспеченности ресурсами.

Согласно докладу Тенрбулла потребность в отдельном подразделении внутреннего аудита зависит от ряда факторов:

• масштаб, разнообразие и сложность процессов организации,
• количество сотрудников – потребность в специальном внутреннем аудите возрастает по мере роста числа сотрудников и/или по мере того, как взаимодействие между сотрудниками становится более сложным,
• баланс между выгодами от отдельного подразделения внутреннего аудита и издержками на его создание и функционирование,
• изменений организационных структур, процессов и основных информационных систем,
• природы рисков организации и их изменения, а также возникновения новых рисков,
• проблем с функционированием систем внутреннего контроля, как реальных, так и предполагаемых,
• появления или увеличения частоты необъяснимых или неприемлемых событий.

Внутренний аудит и внутренний контроль

Внутренний аудит – это внутренняя, но независимая оценочная функция. Хотя сотрудники службы внутреннего аудита и являются, как правило, сотрудниками компании, они должны работать независимо от руководства, чтобы их анализ, суждения и рекомендации оставались как можно более беспристрастными. Глава подразделения внутреннего аудита должен подчиняться напрямую либо совету директоров, либо комитету по аудиту. Некоторые организации заходят настолько далеко, что передают функционал внутреннего аудита внешним профессиональным фирмам.

Внутренняя аудиторская проверка – это оценка системы внутреннего контроля, и, по сути, сама по себе является инструментом управленческого контроля, позволяющая оценить соответствие внутреннего контроля заданным стандартам.

Ключевые риски:
Внутренний аудит проверяет и оценивает состояние системы внутреннего контроля в зависимости от ключевых рисков, затрагивающих организацию. Цель заключается в том, чтобы проверить, насколько имеющиеся инструменты контроля позволят нивелировать риск, если он материализуется. Заключения и рекомендации соответствующих отчётов внутреннего аудита должны помочь руководству критически оценить имеющиеся инструменты контроля и, если нужно, пересмотреть их дизайн.

Финансовая и операционная информация:
Внутренний аудит может проверить эту информацию на предмет её правильности, своевременности и применимости. Специальное тестирование позволяет оценить, насколько информация правильно отражает то, что она должна отражать, и насколько она подходит в качестве основы для принятия решений руководством и прочими заинтересованными сторонами.

Соответствие законодательству и прочим нормам:
В настоящее время всё больше организаций сталкиваются с необходимостью внедрения стандартов соответствия законодательству и иным нормам. Это может быть продиктовано необходимостью соответствовать как требованию закона, так и другим, зачастую внутренним, стандартам. Внутренний аудит помогает оценить, насколько такое соответствие действительно имеет место. В этом отношении фронт работ внутреннего аудита только расширяется по мере того, как организациям приходится соответствовать не только профессиональным или отраслевым стандартам, но и стандартам в области охраны окружающей среды.

Виды внутреннего аудита

В ходе исполнения своих обязанностей внутренние аудиторы могут столкнуться с необходимостью проводить разные виды аудита.

Операционный аудит – это проверка эффективности организационных процессов. Это оценка реальной деятельности компании по сравнению с заранее заданными параметрами.

Системный аудит проверяет, насколько правильной является информация, получаемая из информационных систем организации. Тесты на соответствие проверяют, насколько правильно применяются механизмы контроля. Тесты по существу призваны убедиться в правильности сумм, и их можно использовать для того, чтобы найти в системах ошибки и упущения.

Аудит транзакций или антикоррупционный аудит призван выявить мошенничество или другие незаконные или преступные действия. Однако его сферу можно расширить, включив проверку на непредвзятость, прозрачность и справедливость принимаемых организацией решений – тех областей, которые часто относят к социальному аудиту, который в целом может включать в себя любые аспекты корпоративного управления.