Наказать нельзя помочь

Когда объект аудита ждет от проверяющих исключительно негативных последствий, руководители и работники обычно начинают вести себя одинаково: подразделения концентрируются на «подготовке к проверке», коммуникация становится дозированной, проблемы скрываются до последнего, а внимание менеджмента смещается с устранения причин на формальное закрытие замечаний. В результате не всегда аудиторы получают полную картину рисков, а организация – отчет, который может быть корректным по форме, но не очень полезным для управленческих решений.

Ни для кого не секрет, что  внутренний аудит  должен не только подтверждать наличие недостатков, но и способствовать повышению эффективности управления рисками, контроля и корпоративного управления. Однако на практике переход от «кнута» к модели, реально полезной бизнесу, по-прежнему остается сложной задачей.

Именно поэтому вопрос состоит не в том, должен ли ВА быть «мягче», а в выстраивании такой модели работы, при которой аудит сохраняет независимость и требовательность, но при этом перестает быть для бизнеса исключительно «кнутом» и начинает восприниматься как инструмент развития.

Недостатки модели «кнута»

1. Искажение поведения объекта аудита

Если сотрудники и руководители подразделений ожидают, что любая выявленная проблема автоматически станет основанием для персональных претензий, они стремятся минимизировать собственную уязвимость, а не повысить качество процесса. Это приводит к нескольким типовым эффектам:

• проблемы маскируются под единичные ошибки;

• коммуникация становится формальной;

• коренные причины не проговариваются;

• аудитор получает симптомы, но не систему.

В таких условиях даже качественно спланированная проверка рискует закончиться набором частных замечаний без выхода на фундаментальные причины повторяющихся отклонений.

2. Ухудшение качества корректирующих мероприятий

В условиях ожидания «кнута» от взаимодействия с ВА основная задача менеджмента после выпуска отчета – быстро закрыть замечания. Но быстрое закрытие не равно устранению проблемы. Если рекомендация или результат ее выполнения направлены только на устранение последствий, а не причины, отклонение с высокой вероятностью повторится в другой форме, в другом подразделении или на следующем цикле процесса.

Для ВА это означает рост числа повторных замечаний, а для бизнеса – иллюзию управляемости при сохранении исходного риска.

Переход от «кнута» к партнерской модели

Для ВА партнерская роль означает не отказ от независимости, снижение требовательности или превращение во внутреннего консультанта без права на жесткие выводы, а подразумевает переход от фиксации нарушений к оценке того, насколько процесс позволяет организации достигать целей.

Иными словами, функция ВА:

• оценивать не только соблюдение правил, но и работоспособность процесса;

• рассматривать замечание/ошибку как индикатор более глубокой причины;

• формулировать рекомендации так, чтобы они снижали вероятность рецидива;

• выстраивать коммуникацию с менеджментом таким образом, чтобы получать полную и своевременную информацию о рисках.

Такой подход ближе выстраиванию ВА как деятельности, направленной на предоставление независимых и объективных заверений и консультаций, способствующих созданию и защите ценности организации.

Необходимые для трансформации функции условия

1. Роль функции ВА

Если на уровне совета директоров, комитета по аудиту и исполнительного руководства ВА воспринимается, главным образом, как механизм поиска нарушений, то любая попытка выстроить партнерский формат взаимодействия будет встречать сопротивление.

Поэтому важно, чтобы в организационных документах функции внутреннего аудита, а также в ходе коммуникаций с руководством четко доводилось, что:

• ВА не подменяет владельцев процессов и не берет на себя управление рисками;

• ВА оценивает адекватность и эффективность системы внутреннего контроля, управления рисками и корпоративного управления;

• ВА выявляет причины недостатков и предлагает меры по их устранению;

• задача функции не в выявлении максимального количества замечаний, а в максимизации покрытия существенных рисков и полезности рекомендаций.

При этом важно не допустить подмены смысла: партнерство не должно означать зависимость от интересов менеджмента или отказ от неудобных выводов.

2. Риск-ориентированность

Одна из причин, по которой ВА оказывается «кнутом», состоит в том, что проверка строится вокруг поиска любых отклонений, а не вокруг анализа наиболее значимых рисков. Предлагается следовать следующему подходу:

1. Определить цели процесса или направления деятельности;

2. Выявить риски, препятствующие достижению этих целей;

3. Оценить существующие контроли;

4. Определить, какие из них действительно критичны;

5. Сосредоточить процедуры на областях, где возможны существенные последствия для бизнеса.

Такой подход меняет поиск «что нарушено» на анализ того, какие риски могут привести к срыву сроков, росту затрат, потере качества, недостоверности данных или неисполнению обязательств.

Для производственных, проектных и инжиниринговых компаний это особенно важно. В таких организациях критические риски зачастую находятся не в плоскости отдельных формальных нарушений, а на стыке сроков, контрактных обязательств, управления изменениями, качества исходных данных, взаимодействия между функциями и зрелости контрольных процедур.

3. Переход от сбора симптомов к установлению коренных причин

Замечание, сформулированное как констатация факта, редко меняет систему, однако выявление и устранение коренной причины предотвращает рецидивы. Например, несвоевременное согласование закупочной документации может быть описано как нарушение сроков. Но профессионально значимый вопрос для аудитора – почему это происходит:

• недостаточно четко распределены роли?

• контроль встроен не в тот этап процесса?

• нет единых требований к комплектности документов?

• отсутствует прозрачность статусов?

• КПЭ участников процесса конфликтуют между собой?

Важно понимать, что коренная причина – это не фамилия сотрудника и не разовая ошибка, а системный фактор, из-за которого ошибка стала возможной, осталась незамеченной или повторилась. Пока причина не выявлена, организация будет «лечить» последствия.

На практике полезно формализовать подход к поиску коренных причин. В зависимости от масштаба проблемы могут применяться:

• метод «5 почему»;

• диаграмма Исикавы;

• анализ процесса по этапам с выделением неконтролируемых/проблемных зон;

• анализ повторяемости замечаний по подразделениям и периодам;

• сопоставление инцидентов, претензий, потерь и слабостей контроля.

4. Рекомендации должны быть исполнимыми и полезными для менеджмента

Одна из самых частых проблем – рекомендации, которые правильно звучат, но мало что меняют. Формулировки вроде «усилить контроль», «обеспечить соблюдение требований», «принять меры по недопущению» редко создают эффект, потому что не отвечают на три ключевых вопроса:

• что именно нужно изменить?

• кто должен это сделать?

• каким образом станет ясно, что проблема устранена?

Хорошая рекомендация должна:

• устранять или снижать именно коренную причину;

• иметь понятного владельца;

• содержать ожидаемый результат;

• предусматривать срок реализации;

• быть проверяемой.

Иными словами, речь идет не просто о соблюдении принципов  SMART , а о связи рекомендации с бизнес-эффектом. Например, вместо формулировки «Усилить контроль за сроками согласования документов» предпочтительнее рекомендовать «Внедрить в системе электронного документооборота контрольные точки по этапам согласования закупочной документации с автоматическим уведомлением ответственных лиц о скором истечении срока, а также еженедельный мониторинг просроченных позиций руководителем процесса. Ожидаемый результат – снижение доли просроченных согласований и сокращение риска задержки закупочного цикла». Такая рекомендация позволяет владельцу процесса понять, что именно нужно сделать и какой эффект ожидается.

Где проходит граница между партнерством и потерей независимости

Это один из ключевых вопросов, без прояснения которого любая дискуссия о «прянике» в отношении ВА рискует остаться просто красивыми словами.

В рамках деятельности ВА можно и нужно:

• обсуждать с менеджментом риски и причины проблем;

• предлагать варианты корректирующих мероприятий;

• участвовать в рабочих обсуждениях как эксперт по контролю и рискам;

• проводить консультационные проекты в пределах полномочий и ответственности.

В то же время необходимо исключить ситуации, когда ВА:

• принимает управленческие решения за владельца процесса;

• становится владельцем контрольных процедур;

• согласовывает риск-аппетит от имени менеджмента;

• подменяет собой первую или вторую линии защиты.

Именно здесь проходит практическая граница между полезной партнерской ролью и утратой объективности. Если эта граница не обозначена, организация может получить не усиление функции ВА, а, наоборот, размывание ее статуса: аудитор становится удобным участником процесса, но перестает быть независимым оценщиком.

Какие изменения в подходах дают практический эффект

Ниже приведены инструменты, которые можно внедрить без полной перестройки функции и которые заметно улучшают взаимодействие с менеджментом и повышают полезность результатов аудита.

1. Установочная встреча перед началом аудита

Ее задача – не просто сообщить сроки проверки, а обсудить объем аудиторского задания и порядок взаимодействия, включая:

• цель аудита;

• ключевые риски процесса;

• ожидаемые результаты;

• формат коммуникации;

• порядок обсуждения промежуточных наблюдений.

Полезно начинать такую встречу не с перечня запросов, а с вопросов владельцу процесса:

• какие зоны в процессе вы считаете наиболее уязвимыми?

• где за последний период возникали сбои?

• какие изменения произошли в процессе?

• какие контрольные процедуры вызывают наибольшие трудности?

Это сразу переводит разговор из режима обороны в режим профессионального обсуждения рисков.

2. Промежуточная коммуникация по ходу проверки

Обсуждение наблюдений только на финальной стадии часто приводит к конфликту, потому что объект аудита впервые видит выводы в почти завершенном виде.

Гораздо эффективнее выстроить коммуникации  в ходе аудита :

• оперативно сверять факты;

• обсуждать предварительные причины;

• заранее проговаривать возможные варианты корректирующих действий.

Это не означает согласование выводов с объектом аудита, но помогает сделать рекомендации точнее и выполнимее.

3. Стандартизация подхода к анализу причин

Если функция ВА системно заявляет о необходимости искать коренные причины, этот подход должен быть встроен в рабочие документы и шаблоны отчета.

Например, по каждому существенному наблюдению полезно фиксировать:

• факт/событие;

• риск/последствие;

• непосредственную причину;

• коренную причину;

• действующий контроль;

• оценку его недостаточности;

• рекомендуемое изменение;

• ожидаемый эффект.

Такая структура дисциплинирует как аудитора, так и владельца процесса.

С чего можно начать трансформацию функции

Полная перестройка модели ВА требует времени, однако первые практические шаги могут быть сделаны достаточно быстро.

Шаг 1. Пересмотреть коммуникацию с объектами аудита

Важно убрать из нее избыточно обвинительный тон и перейти к языку рисков, причин и последствий.

Шаг 2. Проверить, что именно измеряют КПЭ функции внутреннего аудита

Если метрики подталкивают к поиску большого количества формальных отклонений, они будут воспроизводить устаревшую модель поведения и станут «палкой в колесе» изменений.

Шаг 3. Встроить анализ коренных причин в методологию

Это должно проявляться не только в ожиданиях от внутренних аудиторов, но и в шаблонах рабочих документов, программе аудита и структуре отчета.

Шаг 4. Пересобрать требования к рекомендациям

Каждая существенная рекомендация должна отвечать на вопрос, каким образом она снизит риск и устранит источник проблемы.

Шаг 5. Получать обратную связь после завершения проверки

Краткие опросы владельцев процессов и руководителей проверяемых подразделений позволяют понять, где функция воспринимается как полезная, а где – как формальная или избыточно репрессивная. Для зрелой функции ВА это не вопрос «нравится или не нравится», а источник данных для программы повышения качества.

Превратить ВА из «кнута» в инструмент повышения эффективности не значит сделать его мягким, удобным или компромиссным. Напротив, это означает сделать функцию более зрелой и сильной.

Зрелый ВА:

• работает, отталкиваясь от существенных рисков, а не от количества замечаний;

• выявляет коренные причины, а не ограничивается фиксацией симптомов;

• дает рекомендации, способные изменить процесс, а не только закрыть отчет;

• выстраивает конструктивный диалог с бизнесом, не утрачивая независимости;

• приносит организации реальную пользу путем снижения рисков, предотвращения рецидивов отклонений и повышения эффективности процессов.

Именно такой аудит перестает восприниматься как «кнут» и становится тем, чем и должен быть по своей роли: независимым, объективным и полезным для организации инструментом создания и защиты ценности.