Как меняется внутренний аудит

Позиционирование внутреннего аудита и развитие компетенций

Эволюция внутреннего аудита – это неизбежный процесс, поскольку его деятельность не может существовать в отрыве от основной деятельности компании и внешних факторов, оказывающих существенное влияние на бизнес-модель и направление развития, которые определяет бизнес.  При этом в ходе этой эволюции внутренний аудит должен оставаться верным своим принципам и целям, а также продолжать обеспечивать объективность, независимость и профессиональный подход к своей работе. По словам Яны Ясаковой, начальника Управления внутреннего аудита АК «АЛРОСА» (ПАО), период 2020-х годов характеризуется большим уровнем неопределенностей, динамично меняющимися рисками, скоростью принятия решений и перестройкой многих процессов. 

Внутренний аудит гибко подстраивается под текущие условия, определяет баланс и учитывает интересы заинтересованных лиц, при этом перечень заинтересованных лиц значительно расширяется. Сейчас внутренний аудитор «многолик»: дает независимую гарантию достижения целей, осуществляет надзор за соответствием требованиям, является советником по вопросам понимания специфики бизнес-процессов, присущих рисков, оценок в достижении целей бизнес-функций, оказывает консультационные услуги. В развитии функции внутреннего аудита ставка делается на гибкость при сохранении независимости, объективности и экспертности. 

Яна Ясакова уверена, что тренды 2030-х годов будут направлены на сохранение ключевых ценностей внутреннего аудита с присоединением к ним технологичности. Фокус работы будет направлен на цифровой след, алгоритмику и сохранение фокуса на аудитах процессов, влияющих на стратегические, тактические и операционные цели компании. Потребуются аудиты и оценки новых процессов, линий производств, применяемых технологий, схем расчетов. Скорость изменений будет набирать обороты и результаты работы – эволюционировать со временем. Внутренним аудиторам необходимо минимизировать время на поиск проблем и оформление результатов своей работы, сконцентрировавшись на быстром выявлении узких мест, неэффективно организованных процессах и контролях, и обеспечить быстрое информирование заинтересованных лиц.

Продолжил тему постоянно меняющихся и трудно предсказуемых условий Иван Ворона, директор по внутреннему аудиту Х5 Group. Он отметил, что внутренние аудиторы выступают как катализаторы изменений в компании, предоставляя рекомендации по улучшению или убеждая в их необходимости. Работая в парадигме проактивного аудита, когда внутренний аудит предвосхищает возможные проблемы в операционной деятельности и риски недостижения ее результатов (а не «реактивного» аудита, реагирующего только на случившиеся сбои во внутреннем контроле и реализовавшиеся риски), он помогает компании готовиться к возможным серьезным угрозам. Только имея глубокое понимание бизнеса и выполняя консалтинговые проекты по улучшению операционной деятельности, можно в глазах руководства компании стать доверенным советником. Иван Ворона советует: чтобы внутренний аудит мог принести больше пользы, в его арсенале должны появиться гибридные проекты с элементами предоставления гарантий и консалтинга. Например: 

• аудит операционной эффективности процесса с созданием описания to be; 

• диагностика рисков и контролей с описанием процесса as is и с выделением в нем необходимых контролей (как существующих, так и недостающих).

В условиях быстро меняющего мира и глобальных изменений на всех уровнях необходимы специалисты высокой квалификации, мотивированные на достижение результата, амбициозные и ответственные, способные вносить вклад в развитие бизнеса компании. Однако на практике не всегда понятно, как подготовить таких специалистов. Наталия Плотникова, директор департамента внутреннего аудита госкорпорации «Росатом», рассказала, что в «Росатоме» ведется работа по двум направлениям: обновление кадрового состава и развитие команды за счет непрерывной системы обучения. При этом для каждого работника подбирается тот метод развития компетенций, который учитывает его текущий уровень навыков, знаний, опыта и цели развития. 

Это особенно важно, поскольку перечень необходимых компетенций для каждой службы внутреннего аудита индивидуален и напрямую зависит от требований, предъявляемых ключевыми заинтересованными сторонами к роли внутреннего аудита в организации.

Сотрудники ПАО «Транснефть» Артем Колесников, заместитель директора департамента внутреннего аудита, и Наталья Карпенко, главный специалист департамента внутреннего аудита, поделились опытом проведения оценки компетенций для выявления экспертов и формирования плана профессионального развития. По словам докладчиков, задачами ежегодной оценки компетенций являются: 

1. определение текущего уровня профессиональных навыков и знаний бизнес-процессов и разработка плана развития компетенций департамента; 

2. формирование плана проверок с учетом имеющихся компетенций; 

3. выявление среди работников департамента экспертов с глубоким знанием процессов компании для участия в консультационных проектах и организации обучения работников. 

В ходе оценки анализируются два вида компетенций: профильные и экспертные. К профильным компетенциям относятся профессиональные аудиторские навыки (например, навыки написания отчетов, применения риск-ориентированного подхода и др.), управленческие и «мягкие» навыки (коммуникация, адаптивность и др.). Экспертные компетенции – это знание специфики и организации процессов компании (целей, этапов, рисков, средств контроля, показателей эффективности и т.д.).

Докладчики отмечают, что в результате такой оценки выявляются сильные стороны и области развития для каждого работника, отдела и департамента в целом; определяются приоритеты и мероприятия по развитию компетенций. По итогам анализа экспертных компетенций рассчитывается охват процессов компании компетенциями департамента, составляется список экспертов, оценивается необходимость привлечения экспертов для консультирования в ходе проверок. 

Продолжила тему развития компетенций внутренних аудиторов Ирина Долгушева, директор по внутреннему аудиту «АШАН Ритейл Россия», рассказав об инструментах при ограниченном бюджете. Например, участие в аудитах на определенные темы, связанные с неизвестными для аудитора бизнес-процессами, позволяет узнать новые области и лучше понять бизнес компании, увидеть взаимосвязи между процессами. Во время проведения проверок очень полезно не только изучать и оценивать эффективность процессов в своей компании, но и обращать внимание на практику рынка. Это может подсказать новые идеи и поможет сформулировать более полезные рекомендации для владельцев бизнес-процесса. Такую информацию можно почерпнуть на тематических вебинарах и конференциях, например, на вебинарах и в материалах на сайте Института внутренних аудиторов, а для ретейла – это Неделя российского ритейла, Russion Retail Show и выставка Retail Tech, рабочие группы ECR Efficient Consumer Response и многое друго. Также свежие знания можно получить из общения с сотрудниками, имеющими опыт работы в других компаниях.

Другим способом развития является работа по написанию материалов или подготовке выступлений или видеоконтента для развития методологии внутреннего аудита в компании, для внутренней коммуникации в компании или для Института внутренних аудиторов. Подготовка таких материалов позволяет аудитору глубоко вникнуть в тему: не только проанализировать свой собственный опыт, но и вспомнить Стандарты, почитать дополнительную литературу, исследования на определенную тему. Кроме этого, развиваются навыки анализа и обобщения информации, написания текста, что будет полезно для написания аудиторских отчетов и заключений, а если речь идет о выступлении на конференции, то и навыки публичных выступлений.

О других способах развития в условия ограниченного бюджета читайте в статье Ирины Долгушевой, которая выйдет в ближайшее время.

В рамках круглого стола «Развитие компетенций и управление талантами во внутреннем аудите» Леонид Душатин, директор департамента внутреннего аудита ПАО «Аэрофлот», отметил, что при прохождении оценки и подтверждении квалификации специалистов по профессиональному стандарту «Внутренний аудитор» уделяется большое внимание вопросам цифровой грамотности аудиторов, знанию ими основ ИТ и ИБ. В настоящее время эти требования дорабатываются и актуализируются в рамках работы по развитию профессиональных стандартов внутреннего аудита, проводимой Институтом внутренних аудиторов, в т.ч. на площадках Экспертного совета по регулированию, методологии внутреннего аудита, внутреннего контроля и управления рисками в Банке России и финансовых организациях, Экспертного совета по законодательному обеспечению аудиторской и контрольно-ревизионной деятельности при Комитете Государственной думы по финансовому рынку, Совета по профессиональным квалификациям финансового рынка (СПКФР) и его Комиссии по профессиональным квалификациям в области внутреннего аудита, внутреннего контроля, управления рисками и бизнес-анализа. 

Автоматизация и использование современных технологий во внутреннем аудите 

Цифровая трансформация функции внутреннего аудита – это целый ряд подходов, инструментов и технологий, которые играют важную роль как в автоматизации непосредственно аудиторских процедур, так и в оптимизации бизнес-процессов. Тема ухода иностранных вендоров с российского рынка остро ставит вопрос о поиске замены средств автоматизации. Некоторые российские производственные, добывающие и финансовые компании активно разрабатывают собственное ПО, но большинство обращается к российским разработчикам. Говоря об импортозамещении ПО для автоматизации процессов, Геннадий Бережной, управляющий партнер, «Квадриум», дал несколько советов компаниям-заказчикам. Во-первых, стоит мониторить развитие зрелости решений применительно к собственным задачам по тем направлениям, по которым либо были отложены проекты, либо однозначно в среднесрочной перспективе необходимо будет искать замену иностранному ПО. Во-вторых, надо быть готовыми к тому, что в ближайшие годы у некоторых вендоров могут организовываться очереди на проекты. Им будет необходимо время на мобилизацию проектных команд. В-третьих, для того чтобы определить, что устанавливать, стоит потратить время на следующее: 

1. личный просмотр систем вендоров; 

2. изучение  профильных исследований ; 

3. тематические вебинары вендоров, особенно по результатам внедрений; 

4. изучение статистики реализации проектов. 

Геннадий Бережной уверен, что системы станут прогрессивнее, чем те, которые сейчас эксплуатируются. Российские системы разрабатываются в том числе на основе реинжиниринга зарубежных аналогов, беря из них лучшее. Работать конечным пользователям станет удобнее, потому что будут более функциональные продукты, полученные в результате очередного витка развития. 

«Газпром нефть» – одна из тех компаний, которая пошла по пути разработки собственного ПО. Галина Дельвиг, директор дирекции внутреннего аудита, контроля и управления рисками ПАО «Газпром нефть», рассказала, что внутренние аудиторы компании постоянно апробируют и внедряют новые инструменты в аудите и развивают свои «цифровые» компетенции, делая фокус на работе с инструментами автоматизации, росте точности аналитики и оптимизации затрат на проведение аудиторских процедур. В «Газпром нефти» инструменты воздушного и наземного лазерного сканирования, цифровые георадары, средства  OCR  стали практически неотъемлемой частью анализа процессов капитального строительства и позволили существенно улучшить скорость и качество проверок. Активно используется «Удаленный помощник» – уникальная технология, позволяющая проводить аудиторские процедуры с использованием съемки в режиме реального времени, технологий видеосвязи и дополненной реальности. Что важно, с его помощью можно осуществлять и контроль выполнения мероприятий бизнесом – и все это без фактического выезда на объекты.

По словам Галины Дельвиг, помимо современного оборудования сейчас они уделяют особое внимание созданию различных цифровых инструментов на основе ИИ и машинного обучения для повышения качества и эффективности работы. Эти алгоритмы позволяют, например, проводить автоматизированный анализ большого объема данных или сравнивать между собой документы, находить расхождения и определять степень корреляции между данными. Разработанный внутри компании процесс-майнинг («Промайн») приобретает все больше функционала, основанного на алгоритмах ИИ. Например, симуляция и прогнозирование поведения процесса, анализ типовых аномалий и паттернов, которые могут являться причинами их возникновения. Анализ больших «потоковых» данных в привязке к бизнес-процессам позволит сделать процессные аудиты на 100% цифровыми. 

Раскрывая вопрос обработки всего массива данных, Мария Зубова, старший менеджер VK Tech, сделала акцент на новых возможностях платформы VK Process Mining. Например, мультипроцессная аналитика позволяет проанализировать не один процесс изолированно, а несколько одновременно с учетом их взаимосвязи. Такой подход не только кратно сокращает время на создание модели данных цифрового двойника бизнес-процесса, но и позволяет комплексно подойти к исследованию процессов, открывает новые сценарии анализа и возможности для поиска точек повышения общей эффективности.

С помощью Task Mining можно собирать реальную информацию о действиях сотрудников, связанных с процессом, которые не попали в информационную систему, и сделать ее доступной для исследования с использованием привычных инструментов Process Mining. Для этого на компьютеры сотрудников устанавливают специальные программы – агенты мониторинга. Они отслеживают внесистемные действия сотрудников и позволяют учесть их при анализе процесса. 

Существенно снизить затраты на ПО позволяет использование облачной версии – VK Process Mining SaaS по модели подписки. Облачная версия позволяет не приобретать постоянную подписку на продукт, если она нужна периодически. Например, можно купить подписку только на период ежегодной аудиторской проверки. При этом вычислительные мощности самой компании не задействуются, поскольку данные хранятся и обрабатываются на мощностях VK Cloud.

Обновление и улучшение ИТ-решений – это всегда сложный процесс, в котором участвует множество департаментов компании. Например, на сценарий автоматизации GRC-процессов влияют различные факторы. О них рассказала Варвара Солодилова, руководитель продуктового развития ОАЗИС, Группа «Иннотех»:

• определение задач, решение которых необходимо автоматизировать. При выборе инструмента важно отталкиваться от потребностей в автоматизации различных процессов. При выборе решения внимание уделяется таким аспектам ПО, как функциональность для автоматизации решаемой задачи, адаптивность, комплексность, потенциал к развитию;

• текущий уровень автоматизации. Например, те организации, в которых автоматизация отсутствует, могут выбрать ПО с готовым набором инструментов, что поможет постепенно выстроить процессы. А для организаций, перед которыми встает вопрос об импортозамещении, важно, чтобы ПО, на которое организация переходит, соответствовало требованиям импортонезависимости, но при этом обеспечивало функционал, который был ранее;

• уровень зрелости процессов. При выборе решения для автоматизации компании отталкиваются от того, насколько у них глубоко проработана методология внутреннего аудита. Важно осознавать, какой уровень автоматизации требуется. В зависимости от этого решения могут отличаться;

• глубина проработки требований. В некоторых компаниях потребность в автоматизации появляется уже на базе готового технического задания, которое проработано и сформировано внутри организации совместно с методологами, требуется только внедрение в четком соответствии с ТЗ. Для каждого из случаев подходят различные конфигурации внедрения;

• ИТ-ландшафт. При внедрении ПО в ИТ-инфраструктуру организации важно соблюсти все требования ИБ. Большое значение также имеет потребность в дальнейшем масштабировании, во взаимодействии с различными источниками данных, как внутренними, так и внешними;

• план развития функционала. Если решается конкретная задача автоматизации отдельной функции и не планируется в дальнейшем подключение новых пользователей, процессов, источников данных, то подойдет решение, которое решает только одну задачу. Однако, как правило, все процессы требуют постоянного развития, обновления, и, соответственно, ПО тоже требует доработок. И для таких случаев лучше всего подходит ПО с возможностью дополнительных настроек;

• сроки внедрения GRC-решения. Оптимальным для задач внедрения в короткий срок являются коробочные продукты, а когда при этом необходима возможность дальнейшего развития, подходит готовое решение с возможностью развития функционала как силами вендора, так и специалистами внутри организации. В этой части ОАЗИС закрывает и потребность в коробочном продукте, и потребность в ПО, готовом к развитию; 

• потребность в применении ИИ. Важный момент – хранение и использование данных, которые применяются в моделях. Перед запуском инструментов ИИ требуется обеспечить качество данных и моделей. Такие проекты требуют вовлечения аналитиков, экспертов по данным, методологов и экспертов в части управления рисками и внутреннего аудита. 

Резюмируя, стоит отметить, что внедрение GRC-решения – это процесс, который требует анализа и проработки требований для постановки корректного ТЗ по отношению к продукту. 

В завершение темы автоматизации процессов Максим Иванец, директор по внутреннему аудиту «Группы ГАЗ», рассказал о ее преимуществах. В «Группе ГАЗ» процесс проведения проверок автоматизирован на каждом этапе – от направления уведомления до мониторинга  последующих контрольных мероприятий . Несмотря на  ряд сложностей , возникающих при внедрении автоматизации, преимущества очевидны: 

• минимизация документооборота; 

• наличие электронного следа по каждой операции и электронного архива по проверкам; 

• повышение структурированности и прозрачности процесса; 

• снижение трудоемкости и, как следствие, повышение эффективности аудитора. 

ПКМ в базе формируются автоматически на основании внесенных аудитором наблюдений и рекомендаций.

Единая информационная база по внедряемым ПКМ в «Группе ГАЗ» включает мероприятия с 2009 года с подробным описанием наблюдений, рекомендаций, определением риска, сроков и ответственных за внедрение, содержит комментарии по реализации. База позволяет сформировать выгрузку в разрезе предприятий, периода, статуса, аудиторов или владельцев процессов, что значительно облегчает оперативный мониторинг ПКМ, аналитическую работу по внедрению и определению процента внедренных мероприятий.

Участники конференции уверены, что в современных условиях внутренний аудит должен работать совместно с бизнесом, быть гибким и быстрым, остро реагировать на внешние изменения и потребности руководства компании. 

Следующая Национальная конференция Института внутренних аудиторов состоится весной 2025 года в Москве.

Статья предоставлена Ассоциацией «Институт внутренних аудиторов»