Алексей Сонин, директор российского Института внутренних аудиторов

За последнее десятилетие внутренний аудит проделал значительный путь в своем развитии и добился существенных успехов в вопросе признания со стороны высшего руководства компаний. Сегодня исполнительное руководство и советы директоров ожидают от внутреннего аудита весомого вклада в дело контроля над рисками и повышения эффективности деятельности компаний.

Но поскольку сама профессия внутреннего аудитора является относительно молодой, развивающейся, внутренний аудит движется вперед методом проб и ошибок, осваивая новые методы и подходы и отказываясь от практик, не отвечающих требованиям времени.

В то же время горизонт для внутреннего аудита отнюдь не безоблачен, и место под солнцем далеко не гарантировано. Реалии сегодняшнего дня таковы, что внутренний аудит нуждается в качественных переменах. Движение по накатанной колее приведет к постепенному угасанию профессии, в то время как новый путь, проходящий через обязательное реформирование, поможет вывести внутренний аудит на столбовую дорогу развития, обеспечив достойное место в складывающейся новой реальности. Перемены эти должны вызреть и быть инициированы внутри самой профессии, и произойти это должно до очередного внешнего потрясения в виде экономического кризиса или громких корпоративных скандалов.

Краткий экскурс в недавнее прошлое

Чтобы лучше понять, как складывался вектор движения внутреннего аудита, рассмотрим вкратце историю его развития за последние 10-15 лет.

Приведем выдержку, взятую из одного исследования на тему внутреннего аудита: «в быстро меняющихся условиях ведения современного бизнеса существуют большая потребность во внутреннем аудите и большие возможности для внутреннего аудита. Важным является перенацеливание внутреннего аудита на наиболее значимые риски, которые могут определить успех или неудачу организации. Для этого от подразделений внутреннего аудита требуется лучшее понимание наиболее существенных рисков и их влияния на организацию [...] »1 . Столь актуальная цитата, тем не менее, почерпнута из исследования, проводившегося вскоре после мирового кризиса на фондовых рынках 1997-1998 гг. Последовавший за ним мировой экономический спад в итоге оказал благотворное воздействие на развитие внутреннего аудита.

Прежде всего, он помог профессии встрепенуться и критически на себя взглянуть. Внутренние аудиторы задались вопросом — чем мы могли и должны были помочь своим организациям и почему мы этого не сделали? В результате были критически переосмыслены существовавшие принципы и подходы, что привело к появлению в 2000 году значительно обновленных Международных профессиональных стандартов внутреннего аудита2 (далее — «Стандарты»).

Во-первых, само определение внутреннего аудита претерпело изменения. Новое определение внутреннего аудита, как деятельности по предоставлению независимых гарантий и консультаций в области управления рисками, контроля и корпоративного управления, открыло самые широкие двери перед внутренним аудитом. Внутренний аудит начал выходить за пределы традиционных областей — оценки системы внутреннего контроля в области бухгалтерского учета и составления финансовой отчетности и проверки соблюдения внутренних политик и процедур — и охватывать более широкий спектр вопросов эффективности деятельности организаций, в т.ч. эффективности системы управления рисками. Во-вторых, впервые на уровне Стандартов было закреплено требование использовать риск-ориентированный подход в деятельности внутреннего аудита. Это стало вехой в развитии внутреннего аудита, ознаменовав переход к риск-ориентированным внутренним аудитам. До этого момента широко использовались циклические аудиты (без предварительного выявления областей/процессов, подверженных наибольшему риску) и использовании стандартных программ аудитов (без их предварительной «настройки» под каждое конкретное аудиторское задание). Подразделения внутреннего аудита стали проводить регулярную оценку рисков при планировании и выполнении аудиторских заданий, а внутренние аудиторы начали рассматривать свою деятельность через призму рисков. В-третьих, внутренние аудиторы начали уделять больше внимания консультационной работе — помогать менеджменту в текущем режиме находить правильные управленческие решения.

Но не прошло и трех лет, как ситуация опять начала быстро меняться. Причиной явилась череда корпоративных скандалов, связанных с фальсификациями финансовой отчетности крупнейшими международными компаниями. Громко зазвучали вопросы об ответственности за случившееся различных субъектов корпоративного управления. Были проведены крупномасштабные расследования со стороны регулирующих и правоохранительных органов. Отметим, что в результате таких расследований в отношении служб внутреннего аудита не было выдвинуто каких-либо серьезных обвинений, хотя вопрос о том, мог ли внутренний аудит сделать больше, чтобы защитить интересы акционеров пострадавших компаний, остался открытым. Следствием этих скандалов стало внесение соответствующих изменений в законодательство многих стран (в том числе, принятие известного закона Сарбейнса-Оксли в 2002 г. и аналогичного законодательства в других странах) и возросшее внимание собственников (акционеров) к состоянию механизмов внутреннего контроля компаний и деятельности внутреннего аудита. Повысился статус служб внутреннего аудита и независимость их руководителей от исполнительного руководства компаний. Произошло быстротечное повышение статуса служб внутреннего аудита посредством их функционального подчинения на уровень совета директоров (через комитет по аудиту или напрямую). Заметно выросла численность служб внутреннего аудита. Тема внутреннего аудита стала «горячей».

В то же время серьезным минусом явилось произошедшее фокусирование внутреннего аудита на вопросах тестирования и документирования внутренних контролей (прежде всего в области составления финансовой отчетности), что представляло в высшей степени рутинную работу. Происходивший в тот момент процесс переориентации внутреннего аудита от традиционных циклических проверок систем внутреннего контроля к риск-ориентированным аудитам замедлился, а наметившееся участие внутренних аудиторов в построении системы управления рисками и вовсе отошло на третий план. В значительной степени внутренний аудит вернулся к своим истокам — проверке системы контроля в области бухгалтерского учета и подготовки финансовой отчетности организаций.

В результате через несколько лет многие компании столкнулись с реализацией наиболее значимых рисков на фоне неэффективных систем/процессов управления рисками (или отсутствия таковых) и вопиющих практик управления в целом. Экономический кризис 2008-2009 гг. стал наиболее серьезным кризисом за последние несколько десятков лет. Крайне тревожным симптомом явилось то, что на этот раз мало кто обсуждал роль и возможности внутреннего аудита в обстоятельствах, приведших к возникновению кризиса. А ведь согласно определению внутреннего аудита, оценка процессов управления рисками является одной из главных задач внутреннего аудита. Это следует воспринимать как недвусмысленный сигнал от стейкхолдеров, который должен заставить внутренних аудиторов еще раз сверить свои часы.

Ниже мы представим основные вопросы, на которых, по нашему мнению, следует сфокусироваться внутреннему аудиту в рамках новой реальности, а также определим важнейшие направления совершенствования его деятельности в российских организациях.

Есть ли спрос?

Есть ли место для внутреннего аудита в том ландшафте, который формируется после череды кризисов и громких корпоративных скандалов последних лет? Отвечая на этот вопрос, следует, прежде всего, понять, есть ли спрос со стороны высшего исполнительного руководства и советов директоров на деятельность внутреннего аудита. Представляется, что спрос на внутренний контроль и управление рисками остается высоким. Но уже абсолютно недостаточно риторики о незаменимости внутреннего аудита в вопросах оценки эффективности систем внутреннего контроля и управления рисками. Потому что конкуренция на ниве контрольных функций высока. Наряду с внутренним аудитом, в организациях могут присутствовать подразделения управления рисками, котрольно-ревизионные службы, службы безопасности и др. И вопрос заключается в том, кто сможет лучше удовлетворить этот спрос?

Будет ли это сочетание различных контролирующих подразделений, действующих слаженно и дополняющих друг друга, или же это будет орган мегаконтроля, вобравший в себя ранее обособленные контрольные подразделения, — вопрос пока открытый. Очевидным, однако, является то, что множественность контролирующих подразделений сформированных по принципу «чтобы контроль был надежным, контролеров должно быть много и разных», приводит к неэффективности использования ресурсов организации. Просто потому, что вроде бы разноориентированные контролирующие подразделения начинают в значительной степени дублировать работу друг друга. В то же время некоторые важные области/вопросы остаются вовсе не охваченными («у семи нянек дитя без глазу»). Кроме того, существует риск возникновения нездоровой конкуренции между контролерами (кто раскроет больше «темных дел» и быстрее доведет «зажигательную» информацию до сведения высшего руководства). Не стоит забывать, что в работе контролирующих подразделений дух сотрудничества приносит больше плодов, чем дух конкуренции.

Внутренний аудит, безусловно, обладает характеристиками, которые позволяют ему быть тем связующим звеном, эффективным координатором, позволяющим слаженно заработать всем контролирующим подразделениям компании. Возможность эта определяется тем, что внутренний аудит в силу своей специфики охватывает широкий спектр вопросов, касающихся систем внутреннего контроля, управления рисками, противодействия мошенничеству. Внутренние аудиторы отличаются всеобъемлющим знанием различных областей и сфер деятельности компании, пониманием происходящих в компании процессов, особенностей используемых информационных систем и т.д.

Внутренний аудит также может стать той основой, на которой будет формироваться подразделение, обеспечивающее безопасность деятельности организации во всех аспектах, — сохранность активов, защищенность информационных систем, эффективность процессов управления рисками, противодействие злоупотреблениям и мошенничеству и т.д. При этом вопрос, насколько эффективным в принципе будет такой орган мегаконтроля, остается открытым и требует дальнейшего изучения.

Кто является главным заказчиком?

Исторически высшее исполнительное руководство компаний определяло правила ведения дел и прочно держало бразды правления (а точнее, управления) в своих руках, в то время как члены наблюдательного органа (совета директоров, наблюдательного совета и т.п.) играли роль статистов или, по крайней мере, пассажиров на заднем сиденье корпоративного автомобиля. При этом внутренний аудит являлся исключительно инструментом исполнительного руководства.

В начале нынешнего столетия ситуация в корпоративном управлении начала быстро меняться — резко возросла роль и ответственность совета директоров за происходящее в компании. При этом советы директоров стали полноправными заказчиками внутреннего аудита, наряду с высшим исполнительным руководством. Однако это породило другу проблему — проблему «слуги двух господ». Не секрет, что не во всех случаях советы директоров и исполнительное руководство действуют как единый корпоративный механизм. И нет вещи более пагубной для подразделения внутреннего аудита, чем ситуация, в которой исполнительное руководство начинает рассматривать внутренних аудиторов как «засланных казачков», «информаторов совета директоров» и т.д. Ничего хорошего для компании не сулит и обратная ситуация, когда внутренний аудит делает прагматичный выбор в пользу менеджмента («до неба высоко, до царя далеко») и начинает придерживать и сглаживать информацию, на получение которой от внутреннего аудита по праву рассчитывает совет директоров. Кроме того, возрастающая роль советов директоров может в ряде случаев привести к усилению поля напряженности в треугольнике исполнительное руководство — совет директоров — внутренний аудит. Образно эту проблему можно представить таким образом, что механизм, состоящий из сцепки трех шестеренок, не может быть работоспособным — шестеренки в такой конструкции просто не будут крутиться.

На вопрос «кто же в нынешних реалиях должен стать для внутреннего аудита заказчиком номер один?» нет однозначного (единственно правильного) ответа. Ответ определяется сочетанием многих факторов, среди которых выделим профессионализм совета директоров и компетентность менеджмента, характер взаимоотношений и степень взаимодействия совета директоров и исполнительных органов компании, уровень развития корпоративной культуры в компании. Немаловажным фактором является и внутренняя (прежде всего моральная) готовность совета директоров «прикрыть спину» внутреннего аудитора и пойти на обострение отношений с высшим исполнительным руководством, если на то будут веские основания.

Представляется, что основное взаимодействие внутренний аудит должен осуществлять именно с исполнительным руководством компании и вовлекать совет директоров только в случае действительно серьезных и неразрешимых на уровне высшего менеджмента проблем. Мы исходим из презумпции добросовестности действий исполнительного руководства, поэтому наличие таких проблем само по себе должно являться ситуацией экстраординарной. Если же они возникают с завидной регулярностью, это должно стать сигналом для совета директоров, что настало время задуматься либо о смене руководителя внутреннего аудита, либо о кадровых решениях в отношении высшего исполнительного руководства компании.

Еще раз о статусе

Статус подразделения внутреннего аудита в организации является тем самым оселком, с помощью которого определяется истинная значимость внутреннего аудита для заказчиков. И российским компаниям предстоит пройти еще немалый путь в этом направлении.

Формальное закрепление статуса службы внутреннего аудита через повышение уровня ее подчиненности (подотчетности), безусловно, оказывает самое благотворное влияние на эффективность деятельности внутреннего аудита. Ярко выраженной тенденцией последних лет стало выведение службы внутреннего аудита на уровень высшего должностного лица, а также ее функциональное подчинение высшему наблюдательному органу организации (совету директоров, наблюдательному совету и т.п.) напрямую или через комитет по аудиту.

Но не менее важной является и неформальная сторона вопроса, прежде всего, «тон сверху» в отношении внутреннего аудита. Иными словами, реальные дела и решения, демонстрирующие отношение высшего руководства к внутреннему аудиту. Проникая в самые дальние уголки организации, «тон сверху» в итоге подхватывается всеми работниками. Именно на «тон сверху» ориентируется в своей готовности сотрудничать с внутренним аудитом менеджмент организации.

Высшее руководство должно рассматривать внутренний аудит как стратегический ресурс организации, позволяющий организации успешно справляться с различного рода рисками и оставаться эффективной. В таких организациях совет директоров и высшее исполнительное руководство демонстрируют поддержку и заинтересованность в деятельности внутреннего аудита, руководитель подразделения внутреннего аудита имеет прямой доступ к председателю совета директоров (комитета по аудиту) и исполнительному органу организации, его приглашают на заседания совета директоров (комитета по аудиту), правления, ключевых комиссий и комитетов, подразделение внутреннего аудита имеет план стратегического развития, утвержденный высшим руководством. И, конечно же, руководитель подразделения внутреннего аудита воспринимается высшим руководством как равный по статусу. Безусловно, от внутренних аудиторов тоже зависит немало — они должны выстроить отношения с советом директоров (комитетом по аудиту), добиться доверия со стороны исполнительного руководства и завоевать уважение со стороны работников организации.

Стоит отдельно отметить, что важнейшим фактором успешности подразделения внутреннего аудита становится наличие у него стратегии развития. Стратегия определяет направление развития и движения подразделения на определенном временном интервале (как правило, 3-5 лет). Ее разработка позволяет подразделению внутреннего аудита лучше понять, в чем заключается его значимость для организации и ценность для заказчиков. Таким образом, стратегический план должен быть взаимоувязан со стратегией организации и отвечать потребностям и ожиданиям ключевых заказчиков — высшего исполнительного руководства и совета директоров.

Разбираться в том, что оцениваешь

Для того чтобы оставаться востребованными, внутренние аудиторы должны, наряду с профессиональными навыками и знаниями, также обладать знанием и пониманием сферы деятельности организации в целом и проверяемых процессов/областей в частности. Внутренние аудиторы являются специалистами в вопросах выявления рисков и применения соответствующих механизмов контроля. Но эти знания и навыки должны применяться в контексте повседневной работы организации — они не могут эффективно использоваться в вакууме. Порой звучащие обвинения внутренних аудиторов в том, что те не разбираются в специфике проверяемых процессов/областей, во многих случаях прикрывают нежелание менеджмента принимать ответственность за недостатки и демонстрируют боязнь перемен. Но в некоторых случаях эти обвинения имеют под собой веские основания.

Внутренние аудиторы должны разбираться в специфике отрасли и понимать деятельность организации как в целом, так и на уровне отдельных процессов — это позволит вырабатывать действенные рекомендации, направленные на снижение рисков и повышение эффективности. Кроме того, «разговаривая на языке бизнеса», внутренним аудиторам будет значительно проще преодолевать имеющуюся в отношении них настороженность, «быть услышанными» и убедить менеджмент в обоснованности своих выводов и рекомендаций.

Постоянное развитие

Постоянное развитие и обновление как на уровне службы внутреннего аудита в целом, так и на уровне каждого внутреннего аудитора имеет первостепенное значение. «Кто не идет вперед, тот идет назад» — это крылатое изречение следует помнить, оценивая перспективы внутреннего аудита в новой реальности.

Важнейшим фактором успеха внутренних аудиторов становится развитие так называемых «мягких» навыков«: межличностного общения, проведения интервью, презентационных, написания аудиторских отчетов. Умение слушать и слышать собеседника, понять точку зрения, отличную от точки зрения внутреннего аудитора, умение управлять конфликтными ситуациями, способность аргументировано убеждать в обоснованности своей позиции, наглядно и убедительно представлять результаты работы заказчикам и клиентам внутреннего аудита являются сегодня не менее важными навыками, чем технические навыки выполнения аудиторского задания. И здесь кроется огромный потенциал для внутренних аудиторов.

На первый план сегодня выходит инновационное развитие внутреннего аудита. Это и постановка новых и/или более масштабных задач, желание идти туда, куда еще уверенно не ступала нога аудитора, — например, проведение таких относительно новых видов аудитов как аудит корпоративной культуры, аудит корпоративного управления, аудит процессов стратегического планирования и управления стратегическими рисками. (Безусловно, изучение и обсуждение с высшим руководством вопросов, имеющих отношение к стратегическим рискам и принятию стратегических решений, является в высшей степени ответственным шагом для любого руководителя службы внутреннего аудита. И служба внутреннего аудита должна достичь определенной степени зрелости для этого.) Это и поиск новых методов и подходов во внутреннем аудите, например, завоевывающие популярность концепции непрерывного аудита (continuous auditing) и непрерывного мониторинга (continuous monitoring). Это и самое широкое использование программного обеспечения различного профиля для целей аудита, начиная от управления службой внутреннего аудита и автоматизации процесса внутреннего аудита и заканчивая применением автоматизированных инструментов обработки и анализа больших массивов данных. (Отметим, что в вопросе использования информационных технологий службы внутреннего аудита отстают от других подразделений компаний.)

Стремление к самосовершенствованию, нацеленность на поиск новых методов и подходов, использование новых технологий может стать тем конкурентным преимуществом, которое выведет внутренний аудит на передовые позиции среди других контролирующих подразделений организации.

Столько вкладываем, столько и получим

Профессия внутреннего аудитора предполагает наличие разносторонних знаний и самых широких навыков и способностей у ее обладателя. Сегодня к квалификации внутренних аудиторов предъявляются довольно высокие требования, что вполне естественно. Не случайно во многих компаниях именно внутренние аудиторы являются первыми кандидатами на занятие вакантных позиций в высших эшелонах управления. В то же время в силу прежде всего исторических причин (в конце концов, профессия внутреннего аудитора достаточно молодая) в России предложение высококвалифицированных кадров во внутреннем аудите остается ограниченным, а хороший руководитель службы внутреннего аудита по-прежнему остается «штучным товаром». Поэтому российским компаниям следует помнить о важности системы стимулирования, которая поможет привлечь и удержать специалистов соответствующего уровня. (В рамках этой статьи мы говорим прежде всего о материальном стимулировании внутренних аудиторов, безусловно, понимая, что это не единственный стимул.)

В то же время финансирование внутреннего аудита часто происходит по остаточному принципу, а уровень материального вознаграждения внутренних аудиторов не сильно отличается от уровня вознаграждения, например, работников бухгалтерии. Как следствие российские компании испытывают значительные трудности с комплектованием своих подразделений внутреннего аудита. (Особенно это касается регионов.) А заказчики, высшее исполнительное руководство и советы директоров, в итоге не получают от внутреннего аудита те результаты, на которые рассчитывают. Этот разрыв в ожиданиях и готовности компаний инвестировать в формирование высокопрофессиональных служб внутреннего аудита является серьезным риском для самих компаний, но и для профессии в целом. Справедливости ради стоит заметить, что постепенно приходит понимание необходимости приведения уровня материального вознаграждения внутренних аудиторов в соответствие с требованиями дня.

Каким станет будущее внутреннего аудита, зависит, во-первых, от готовности самих внутренних аудиторов меняться в соответствии с новой реальностью и сегодняшними императивами, и, во-вторых, от энергичности и успешности деятельности профессиональных ассоциаций внутренних аудиторов3, в немалой степени определяющих пути развития профессии.

1. Enterprise Risk Management Integrated Framework, COSO, 2004.
2. Practice Advisories, The Institute of Internal Auditors, 2004.
3. Обзор текущего состояния внутреннего аудита в России. М.: Российский Институт внутренних аудиторов, российский филиал Ассоциации аудита и контроля информационных систем при технической поддержке компании ПрайсвотерхаусКуперс , 2005.