Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

• качество (пригодность исходного материала для перехода к процессу конвертирования в программу аудита).

Разумеется, проставленные оценки имеют условный характер и являются усредненным вариантом (при прочих равных). Вариации конкретных обстоятельств способствуют перестановкам в данной таблице. Перечисленные способы имеют свои плюсы и минусы (табл. 4).

_{Таблица 4. Плюсы и минусы базовых способов оценки рисков}

Отдельного разговора заслуживает вопрос формулирования сути риска. Здесь прослеживаются два основных подхода (не считая неправильных):

• использование укрупненных рисков (формулировка риска обычно не содержит причинно-следственной связи, она сопровождается расшифровывающим и уточняющим описанием; например, формулировка «риск аварий» может сопровождаться перечислением видов, мест и, возможно, причин, а также прочими уточняющими деталями);

• использование рисков с указанием на причинно-следственную связь (точечные риски) (формулировка риска содержит указание на причинно-следственную связь, во многих случаях дальнейшие объяснения не требуются, так как она достаточно точно описывает суть риска, например формулировка «риск аварий вследствие несоблюдения режима эксплуатации оборудования»).

Как часто бывает в нашей жизни, у каждого из этих подходов есть свои плюсы и минусы (табл. 5).

_{Таблица 5. Основные подходы к формулированию сути риска}

В дополнение к информации, приведенной в табл. 5, полезно пояснить один существенный нюанс. Укрупненными рисками нельзя управлять, так как, по сути, они состоят из нескольких цепочек факторов риска. При этом для каждой цепочки часто нужны свои мероприятия по управлению и у каждой цепочки может быть свой владелец риска (учитывая двойственность понятия «риск»). Поэтому карта укрупненных рисков более всего подходит для презентации и представления общего расклада по рискам, так сказать, по диагонали. Для целей как управления, так и конвертации в программу аудита укрупненные риски нуждаются в декомпозиции. Она должна проводиться как минимум до тех пор, пока укрупненный риск, условно говоря, не будет разбит на несколько рисков, у каждого из которых будет один владелец. Например, у нас есть риск «риск аварий». Предположим, что он в результате декомпозиции был разбит на два риска: «риск аварий вследствие несоблюдения режима эксплуатации оборудования» (риск 1) и «риск аварий вследствие общего состояния оборудования» (риск 2). На данном этапе у обоих рисков все еще может быть несколько владельцев. Возьмем для дальнейшего анализа риск 1. Его можно разбить как минимум на два риска: «риск несоблюдения режима эксплуатации оборудования вследствие нарушения требований техпроцесса» (риск 3) и «риск несоблюдения режима эксплуатации оборудования вследствие ошибок в требованиях техпроцесса» (риск 4). На этом этапе минимальное требование по декомпозиции в отношении риска 1 выполняется – владельцем риска 3 является дирекция по производству (нарушение в процессе эксплуатации оборудования), а владельцем риска 4 – служба главного технолога[7] (ошибка при расчете техпроцесса).

Приведенный пример демонстрирует важный момент. Как уже говорилось в разделе «Риск», факторы риска формируют цепочки, в которых каждый последующий фактор риска является риском для предыдущих факторов. Таким образом, каждый риск можно разбить на определенное число более мелких рисков. Количество и суть таких рисков будет соответствовать количеству и сути факторов риска исходного риска. Например, если риск реализуется в результате последовательной реализации цепочки из пяти факторов риска, то его можно разбить на пять последовательных рисков. При этом каждый последующий риск в цепочке будет менее существенным, чем предыдущий риск. Для удобства далее будем употреблять слово «уровень» для обозначения места риска в цепочке рисков. Например, формулировка «уровень 3» означает, что выше по существенности находятся два риска из той же цепочки. Таким образом, любой риск, который необходимо подвергнуть декомпозиции, является риском уровня 1, или риском первого уровня.

Формирование карты рисков. Основная цель данного процесса заключается в получении на выходе перечня рисков, расположенных в порядке убывания существенности.

Рис. 2. Пример графического представления карты рисков

Перечень может сопровождаться построением графика, на котором риски располагаются в соответствии с их вероятностью и силой воздействия. Классическим является вариант графика с зеленым (белым), желтым (серым) и красным (черным) секторами (рис. 2). В зеленом (белом) секторе располагаются риски, вероятность которых относительно низка, а сила воздействия минимальна. В красном (черном) секторе располагаются риски с максимальной вероятностью и максимальной силой воздействия. Между зеленым (белым) и красным (черным) секторами располагается желтый (серый) сектор, в котором находятся три группы рисков, а именно:

• риски со средней вероятностью и силой воздействия;

• риски с низкой вероятностью, но с большой силой воздействия;

• риски с высокой вероятностью, но с маленькой силой воздействия.

Логично предположить, что ПВА в первую очередь должны интересовать риски, расположенные в красном (черном) секторе. Это действительно так, однако довольно часто в этот сектор попадают риски, которыми трудно управлять, а именно:

• «внешние» риски (т. е. риски, которые зарождаются вне компании, но влияют на ее деятельность, например риск неблагоприятного изменения законодательства);

• риски форс-мажорных обстоятельств;

• крупные риски, обусловленные совокупностью большого количества факторов риска (например, риск неадекватной бизнес-модели).

С точки зрения внутреннего аудита риски, которыми трудно управлять, не представляют особого интереса как объект конвертирования в план или программу аудита. Во-первых, многие «внешние» риски и риски форс-мажорных обстоятельств довольно очевидны. Все, что нужно сделать, – это сформировать план мероприятий по минимизации их существенности (по возможности снизить вероятность и силу воздействия), а также план действий на случай реализации данных рисков. Последнее необходимо для того, чтобы максимально воспользоваться динамикой нарастания негативных последствий риска (попросту, план того, что можно сделать, пока последствия реализации риска не достигли максимального эффекта). Во-вторых, крупные риски при конвертации могут привести к формированию громоздкой и сложной для понимания программы аудита. Также не исключено, что с первого раза не удастся выявить все существенные факторы риска и установить правильные причинно-следственные связи. Поэтому наилучшей стратегией работы с крупными рисками является их разбиение (декомпозиция) на более мелкие риски, которые более подходят для конвертирования в программы аудита.

Конвертирование рисков в программу аудита. В классическом варианте выбор рисков для конвертирования осуществляется на основании анализа карты рисков компании. Варианты выбора могут быть самыми разнообразными. Понятно, что есть определенное тяготение к выбору наиболее существенных рисков. Однако могут быть выбраны и менее существенные риски, например, потому, что их быстрее и проще устранить.

Конвертация может выполняться двумя основными способами.

Способ 1. Определение приоритетного процесса (владелец данного процесса является одновременно владельцем выбранного риска). Применение этого способа предполагает, что исходный риск либо является точечным, либо представляет собой результат декомпозиции более крупного взаимосвязанного риска. Важно, чтобы в исходной карте, во-первых, каждый риск определялся как точечный, либо укрупненный, во-вторых, для точечных рисков указывались владельцы, в-третьих, право провести декомпозицию и определить владельцев риска предоставлялось ПВА. Чаще всего имеет смысл согласовывать результаты декомпозиции и определения владельцев рисков с такими владельцами. Это повышает позитивное отношение к работе ПВА.

Способ 2. Определение кластера приоритетных процессов (владелец риска не может быть определен на этапе конвертации). Правильность определения приоритетных процессов зависит от осведомленности компании о существенных нюансах конкретного риска. Это может показаться странным, но многие компании имеют слабое представление о ключевых факторах как минимум части своих рисков. К тому же такое знание весьма неоднородно внутри компании – всегда есть кто-то, кто более полно представляет ситуацию, чем остальные. Как результат в большинстве случаев карты состоят из укрупненных рисков, не говоря уже про отсутствие причинно-следственной связи в наименовании или описании риска. Оптимальной была бы полная декомпозиция, однако она либо требует слишком много времени (особенно при необходимости согласовывать результаты), либо невозможна по ряду причин (например, владелец процесса не согласен с привязкой конкретного риска к своему процессу), включая фундаментальную причину, указанную выше. В такой ситуации у ПВА нет другого выхода, кроме привязки конкретного риска к кластеру процессов вместо одного процесса. Таким образом, использование способа 2 порой может быть вынужденной мерой.

С технической точки зрения основные сложности при конвертации возникают в трех наиболее типичных ситуациях.

Ситуация 1. Карта сформирована с использованием укрупненных рисков. При работе с такого рода рисками необходимо учитывать ряд нюансов.

Нюанс 1. Степень, так сказать, укрупненности рисков во многих случаях неравнозначна. Возьмем для примера два риска: «риск кассовых разрывов» и «риск недостаточного качества». Оба риска являются укрупненными, т. е. могут быть разбиты на взаимосвязанные риски меньшей существенности. В случае с риском кассовых разрывов разбивка даст от силы три-четыре риска второго уровня (нарушение графика оплаты дебиторской задолженности, отказ в выдаче кредита, возникновение срочных платежей) и шесть – восемь рисков третьего уровня. При разбивке риска недостаточного качества получается не менее пяти-шести рисков второго уровня (нарушение требований техпроцессов, ошибка при исполнении техпроцесса, снижение качества исходных компонентов, использование устаревшего оборудования, недостаточное количество сотрудников, обслуживающих техпроцесс) и 10–12 рисков третьего уровня.

Нюанс 2. Если разбить любой укрупненный риск на риски более низкого уровня, то существенность таких рисков будет неравнозначна. Другими словами, один или несколько факторов риска более остальных влияют на существенность вышестоящего риска. Основным следствием данной ситуации является то, что разные укрупненные риски будут конвертироваться в разные по трудоемкости программы аудита. При этом чем меньше возможностей для декомпозиции, тем сложнее сопоставить риски по трудоемкости программ аудита, созданных на их основе. Однако неравнозначность рисков дает возможность пренебречь некоторыми из них и за счет этого минимизировать трудоемкость программы аудита.

Нюанс 3. При разбивке нескольких укрупненных рисков возрастает вероятность того, что некоторые факторы риска будут общими. Например, такой фактор риска, как использование устаревшего оборудования, может провоцировать как риск недостаточного качества, так и риск аварий. Данное обстоятельство указывает на то, что вся совокупность рисков компании имеет трехмерную структуру с линейными и нелинейными взаимосвязями.

Нюанс 4. При проведении декомпозиции и особенно при представлении результатов декомпозиции имеет смысл максимально использовать графическое представление информации. Хорошим подспорьем может служить такой инструмент, как диаграмма Ишикавы (рис. 3).

Рис. 3. Пример диаграммы Ишикавы

Как видно из приведенного примера, диаграмма Ишикавы позволяет как минимум отобразить риски четырех уровней (включая исходный риск).

Ситуация 2. Карта сформирована с использованием рисков без причинно-следственной связи. Все укрупненные риски являются рисками без причинно-следственной связи, однако не все риски без причинно-следственной связи являются укрупненными. Основной задачей при работе с такими рисками является установление причинно-следственной связи. Риски без такой связи просто непригодны как для формирования подхода к управлению ими, так и для конвертирования в программу аудита. Наиболее простой способ установления причинно-следственной связи заключается в проведении дополнительных интервью с автором риска (лицом, сформулировавшим риск). Как вариант, ПВА также может предложить свой вариант декомпозиции риска в качестве базового варианта для обсуждения.

Ситуация 3. Карта сформирована с использованием рисков, формулировка которых не отражает их суть. Отчасти забавная ситуация, которая, однако, периодически встречается на практике. Попросту говоря, вы читаете наименование риска и думаете об одном, а автор данного риска подразумевал совсем другое. Ключевая задача в такой ситуации состоит в уточнении формулировки риска. Пример приведен в табл. 6.

_{Таблица 6. Пример уточнения формулировки риска в зависимости от его сути}

Как видно из приведенной таблицы, алгоритм изменения формулировки риска начинается с определения процесса и цели процесса, на который риск предположительно оказывает влияние. Определение процесса необходимо для того, чтобы определить цель процесса. Зная цель процесса, можно определить риски, реализация которых негативно отразится на достижении цели процесса. Итак, мы получили на выходе два варианта риска – риск пропуска встречи вследствие опоздания на поезд (управляемый риск) и риск пропуска встречи из-за неблагоприятных погодных условий, препятствующих движению поезда (неуправляемый риск). Возможно, оба этих риска актуальны. Таким образом, уточняя формулировку, можно получить на выходе более одного риска, т. е. произвести определенную декомпозицию. Обратите внимание также на правильность формулировок обоих рисков – в них обозначена причинно-следственная связь.

В завершение раздела, посвященного процессу конвертирования, рассмотрим практический пример использования способа 2 (кластеры процессов) на одном из крупных производственных предприятий.

На этапе формирования годового плана проектов внутреннего аудита выполнялась процедура идентификации и оценки рисков (основной метод – опрос экспертов). В результате была сформирована карта рисков. Она получилась не очень удобной для формирования программ аудита, так как практически полностью состояла из укрупненных рисков. Поскольку на данную процедуру ушло немало времени (процедура проводилась в компании впервые), было принято решение использовать укрупненные риски. Из карты рисков выбрали три самых существенных риска. Одним из них был риск невыполнения плана производства. При проведении первого аудита (на этапе планирования) на одном из предприятий компании для этого риска сформировали кластер соответствующих процессов (рис. 4). Кластер был получен на основании интервью с владельцами ключевых процессов (необходимые согласования были проведены).

Пробежимся по структуре схемы. В центре расположен процесс «Производство» и основные взаимодействующие с ним процессы: процессы «Хранение», «Подача сырья», «Складирование готовой продукции» и «Погрузка в вагоны и взвешивание». Также на процесс «Производство» влияют риски других процессов: «Закупки», «Планирование», «ТОиР» и «Логистика». Черным маркером выделены те процессы, риски которых оказывают наиболее существенное влияние на реализацию риска невыполнения плана производства, а именно:

• процесс «Закупки» – риск несвоевременной закупки сырья (вследствие изменения динамики производства и отсутствия запасов у поставщика);

• процесс «ТОиР» – риск увеличения времени ремонта вследствие внеплановых поломок;

• процесс «Производство» – риск несоблюдения требований техпроцесса по причине ошибки работника;

• процесс «Складирование готовой продукции» – риск несоблюдения условий хранения по причине несвоевременной подготовки складских помещений;

• процесс «Логистика» – риск несвоевременной отгрузки продукции (вследствие изменений позиции покупателя, недостатка вагонов, изменения маршрута транспортировки).

Таким образом, план аудита предусматривал аудит пяти процессов (процессы, отмеченные серым маркером, и неотмеченные процессы в тематику аудита не попали вследствие ограниченности ресурсов ПВА и незначительного совокупного влияния на реализацию основного риска). В ходе аудита уточнялась степень воздействия вышеуказанных рисков на основной риск (выяснилось, что значимость рисков процессов «Производство» и «Складирование готовой продукции» преувеличена), а также выявлялись дополнительные факторы основного риска (например, было установлено, что в данные систем ЦОСАДУ и АСУТП можно было вносить нерегламентированные изменения). Для справки: ЦОСАДУ расшифровывается как центральная оперативная система автоматизированного диспетчерского управления, а АСУТП – автоматизированная система управления технологическим процессом. По результатам аудита был разработан план мероприятий, направленный, в том числе, на минимизацию как изначально определенных, так и выявленных в процессе аудита рисков.

Рис. 4. Пример позиционирования риска в кластере процессов

Рекомендации по выбору подхода к проведению проектов внутреннего аудита

Возможно, ряд внутренних аудиторов со скепсисом воспримут идею и технологию риск-ориентированного подхода. Отчасти они правы. Однако они правы только в том, что многие российские предприятия пока не оперируют в своей повседневной деятельности понятиями «процесс» и «риск». Это усложняет задачу ПВА по внедрению риск-ориентированного подхода, но потенциальный эффект от внедрения с лихвой покроет все трудозатраты. Основные преимущества использования риск-ориентированного подхода заключаются в следующем:

• концентрация на наиболее существенных проблемах, препятствующих успешной работе компании;

• формирование целевых мероприятий по минимизации негативного влияния факторов рисков;

• стимулирование профессионального развития внутренних аудиторов.

Данные преимущества усиливаются при переходе от упрощенного подхода к продвинутому риск-ориентированному подходу к аудиту. Однако даже упрощенный подход дает намного более впечатляющие результаты, чем подходы, не основанные на анализе и оценке рисков.

Глава 5.

Стратегия внутреннего аудита и долгосрочное планирование (год и более), позиционирование

Стратегия функции внутреннего аудита является сферой ответственности как аудиторского комитета, так и руководителя ПВА.

На практике я не встречался с активной позицией аудиторского комитета в отношении стратегии функции внутреннего аудита в компании. Отчасти это связано с тем, что в состав аудиторских комитетов, с которыми я работал, не входили профессиональные внутренние аудиторы. Как бы то ни было, руководителю ПВА необходимо быть готовым к тому, что ему придется определять стратегию функции самостоятельно.

В процессе формирования стратегии ПВА надо определиться с несколькими ключевыми моментами.

• Момент 1. Стратегия – это план действий, который позволит ПВА занять определенное место в структуре компании через определенное время, в определенном внутреннем состоянии и с определенными сложившимися внешними связями. Вряд ли это будет откровением, если я скажу, что наличие цели – половина дела. Но с этой истиной трудно спорить. Вы стремитесь к некоему состоянию ПВА, которое необходимо максимально четко представить. У вас должна быть стратегическая цель. В отсутствие цели высока вероятность того, что ПВА окажется там, где его хотелось бы видеть большинству, – на необитаемом острове без шанса на спасение. С технической точки зрения процесс определения цели ПВА аналогичен процессу определения цели компании. Как именно будет сформулирована стратегия, во многом зависит от опыта и квалификации руководителя ПВА.

• Момент 2. В идеале стратегия и стратегическая цель формируются с использованием принципов SMART[8]. Как уже говорилось, существование даже какой-то цели намного лучше, чем ее полное отсутствие. Пример формирования стратегической цели – «Довести долю консалтинговых проектов по ключевым бизнес-процессам холдинга до 50 % от общего рабочего времени в ближайшие три года при полезности (экономический эффект плюс мнение ключевых руководителей и акционеров) сопоставимой или выше полезности стандартных проектов». Пример стратегии – «Для достижения стратегической цели необходимо:

а) увеличение доли консалтинговых проектов последовательно в течение трех лет (1-й год – 15 %, 2-й год – 30 %, 3-й год – 50 %);

б) привлечение экспертов в постоянный штат ПВА (1-й год – 1 эксперт в области производства; 2-й год – 1 эксперт в области производства и 1 эксперт в области логистики; 3-й год – 1 эксперт в области ТОиР);

в) выделение 10 рабочих дней в год для дополнительной подготовки сотрудников ПВА по процессу производства, логистики и ТОиР;

г) проведение презентаций по консалтинговым проектам на правлении холдинга на ежеквартальной основе;

д) осуществление расчетов первоначального и последующего экономического эффекта от внедрения рекомендаций по результатам консалтинговых проектов;

е) привлечение профильных НИИ для участия в консалтинговых проектах как минимум на уровне отдельных запросов».

Приведенные примеры стратегической цели и стратегии в целом неплохи, но не идеальны. Лучшую стратегию придумаете вы.

• Момент 3. Одна стратегия – хорошо, несколько стратегий – еще лучше. Стратегия предполагает, что цель, к которой вы стремитесь, отстоит во времени от момента формирования стратегии на три – пять лет. За этот срок многое может измениться. Поэтому изначально необходимо разработать два-три варианта стратегий на случай существенных изменений условий работы. Следующий шаг – определить, какие изменения будут считаться существенными. В дальнейшем все, что остается, – это держать руку на пульсе, произвольным образом отслеживать происходящее вокруг вас и компании для своевременного внесения корректировок в стратегию.

• Момент 4. Исполнение разработанного плана действий невозможно без ресурсов. В большинстве случаев ресурсы первичны. Это означает, что, скорее всего, время, бюджет ПВА, штатное расписание, доступный персонал и технологии будут ограничены. Ограничение ресурсов ограничивает вариативность и содержание стратегии ПВА. Технически нерационально отделять процесс формирования стратегии от процесса аккумулирования ресурсов. Если пойти дальше, то можно даже сказать, что стратегия ПВА как подразделения должна базироваться на стратегии формирования ресурса. Реальность данного принципа видна в примере выше. Шаг первый «Увеличение доли консалтинговых проектов последовательно в течение трех лет» представляет собой критерий достижения поставленной стратегической цели. Шаг второй и третий являются в чистом виде примером взаимосвязи стратегии формирования ресурсов с основной стратегией. Для достижения основной цели вам потребуется дополнительное время и помощь экспертов, которых еще надо найти. Шаг четвертый и пятый также связаны с формированием ресурса. Необходимо выделить дополнительное время, дополнительные трудозатраты и профессиональную экспертизу для подготовки презентаций и осуществления специфических расчетов. Шаг шестой – тоже этап стратегии формирования ресурса. Он взаимосвязан со вторым шагом, только в данном случае привлекаются внешние эксперты, что в определенных ситуациях более целесообразно.

• Момент 5. Коммуникация стратегии как непосредственному руководству, так и прочим заинтересованным лицам, как минимум руководству управляющей компании. Даже если руководитель ПВА полностью уполномочен сформировать стратегию функции внутреннего аудита на ближайшие несколько лет, он не может избежать процедуры обсуждения подготовленной стратегии. Необходимо быть готовым к тому, что результаты обсуждения окажутся неожиданными как в приятном, так и в неприятном смысле. Многое зависит от субъективных факторов, поэтому будьте готовы использовать как логику, так и приемы из психологического арсенала. Что касается процессного управления, то немногие российские предприятия могут похвастаться квалифицированным использованием базовых понятий, еще меньше – практическими наработками в данной области. Внутренний аудит является одним из бизнес-процессов предприятия и одним из относительно новых управленческих бизнес-процессов. На мой взгляд, это во многом объясняет причину существования множества мнений относительно того, чем внутреннему аудиту следует заниматься. Именно с этим в качестве основного негатива приходится сталкиваться при согласовании стратегии. Чем выше ваши коммуникативные навыки, тем больше вероятность получить согласование предпочтительного варианта стратегии. Надеюсь, он будет не только предпочтительным для руководителя ПВА, но и наиболее полезным для экономики предприятия.

Вы осознали важность наличия стратегической цели деятельности, подготовили несколько стоящих вариантов стратегии, заручились поддержкой руководства. Настало время приступить к исполнению задуманного. Степень ответственности за результат зависит от степени вашего участия в формировании стратегии. Конечно, вас могут назначить крайним в любом случае, но это тема для отдельного обсуждения. Просто будьте готовы к тому, что в случае неудачной стратегии статус-кво руководителя ПВА может пострадать. Чтобы этого не случилось, предлагаю ряд установок.

• Установка 1. Еще до начала работы в компании вы можете и должны выяснить, насколько ваш потенциальный работодатель свободно оперирует понятиями процесса постановки целей и процесса стратегического управления. В процессе общения с представителями компании с целью трудоустройства на позицию руководителя ПВА необходимо поднять вопрос о краткосрочных и долгосрочных ожиданиях руководства в отношении функции внутреннего аудита в компании. Вы можете получить самые разнообразные ответы, вплоть до таких, которые демонстрируют полное непонимание сути вопроса. В любом случае не стоит ограничиваться просто вопросом и ответом, необходимо потратить какое-то время на обсуждение данной темы. В результате на выходе вы получите как минимум два варианта – либо убедитесь, что потенциальный работодатель не оперирует обсуждаемыми понятиями, либо получите очерченное в той или иной степени стратегическое видение. В зависимости от полученного результата стоит принимать окончательное решение о трудоустройстве.