Н. Б. Шумилов

Внутренний аудит 2.0

Руководство по применению для неофитов, сочувствующих и невольно примкнувших

Практическое пособие

ebooks@prospekt.org

Информация о книге

УДК 658

ББК 65.290

Ш96

Изображение на обложке с ресурса Shutterstock.com

Автор:

Шумилов Н. Б. в прошлом следователь по особо важным делам Следственного комитета МВД РФ. Имеет за плечами 10 лет опыта следственной работы, более 15 лет опыта контрольно-ревизионной деятельности и внутреннего аудита. Из них 7 лет – в статусе начальника Контрольно-ревизионного департамента крупнейшего строительного подрядчика России. В настоящее время руководит внутренним контролем и аудитом крупной девелоперской компании, член Ассоциации «Институт внутренних аудиторов».

Лауреат премии «Внутренний аудитор года», автор бестселлера «Один раз – вира, два раза – майна! Как поймать вора в строительной отрасли» Николай Шумилов на этот раз покушается на святое. Он доступным языком и с элементарными примерами рассказывает о природе и сути внутреннего аудита – уникального инструмента управления компанией. Автор плавно погружает в тему, начиная с основ. Не теряя нить повествования, он дает возможность шаг за шагом войти в новую для непосвященного читателя тему.

С 2025 г. вступают в действие новые Международные стандарты внутреннего аудита, которые поднимают нашу профессию на новый уровень. И у интересующихся данной темой есть уникальная возможность шагнуть в профессию внутреннего аудита сразу с ее обновленной версией.

УДК 658

ББК 65.290

© Шумилов Н. Б., 2025

ПРЕДИСЛОВИЕ

Если уж эта книга оказалась у вас в руках, могу предположить, что вы отчаянно смелый и глубоко в душе даже рискованный человек! Не факт, что вам интересна тема книги, даже не факт, что вы понимаете, что такое «внутренний» применительно к слову «аудит». Но то, что после слова «аудит» вы не отдернули руку, уже много говорит о вашей силе воли!

Внутренний аудит в наших краях все еще зверь пуганный, несмотря на то что поселился в России и благополучно прижился здесь еще с начала 2000-х гг.

Могу предположить и даже где-то утверждать, что причина этому — переводная теория, которой в оригинале придали вычурно сложный вид, да еще переборщили со специальными и подчас весьма неоднозначными для русскоязычного читателя терминами.

Специальная терминология и недосказанность профессиональной литературы, подразумевающая, что вы уже разносторонне знакомы с предметом, облегчает общение специалистов, но затрудняет понимание и, главное, желание вникнуть в предмет у людей… нет, не у посторонних — у новых в данной теме.

В студенческую пору я с удивлением обнаружил, что подавляющее большинство преподавателей изо всех сил стараются дать максимально сложные и запутанные определения даже там, где вопрос касается элементарных понятий. При этом попытка добиться объяснения простым языком наталкивается на отказ, что обычно говорит о том, что лектор сам не понимает предмет.

Сейчас же перед вами простая и доступная инструкция, понятная и приятная как глазу, так и образу мысли обыкновенного человека. Она не несет в себе витиеватых определений, ссылок на научную литературу и анализа воззрений кабинетных теоретиков. Здесь нет сложных терминов и умозаключений – они не нужны, когда смысл можно изложить просто, а все формулировки и примеры взяты из практики и даны для упрощения восприятия информации.

Эта книга максимально приближена к жизни и максимально далека от лозунгов, которым на поверку не следуют даже «локомотивы» современного внутреннего аудита.

Моя задача и искреннее желание — заполнить пропасть между краем, на котором находятся люди, не знакомые с внутренним аудитом, но каким-то чудом проявившие интерес к нашей профессии, и бесконечно им далеким берегом профессионалов, отгородившихся от мира сложными переводными фолиантами, многочисленными пестрыми и многоголосыми пособиями разных отечественных вузов и как попугаи, бездумно, а подчас нестройно, вторящих друг другу и зарубежным классикам.

Читая эту книгу, вы поймете, что внутренний аудит — это не наука, которую мы подразумеваем, говоря о биологии или физике. Это качественный прикладной инструмент управления компанией.

Я предположил, что для решения задачи популяризации нашей профессии требуется не пособие, не талмуд со свойствами тяжелого снотворного. Нужно заинтересовать читателя, провести его с начала и до конца без отвлечений от сути вопроса и сделать это так, как это еще никто не делал во внутреннем аудите – рассказать о вопросе доступным языком. А формат научпопа вполне для этого применим, потому и манера изложения здесь будет местами весьма легкомысленна. Как написал один мой анонимный критик – в стиле «покурили – поболтали».

Несмотря на то что книга вовлекает читателей в мир управления, проверок, контролей и рисков, это не значит, что она сложна для восприятия. В ней нет ничего такого, что человек со средним образованием не сумел бы осилить. Все, о чем я прошу, — проявить любопытство, чтобы узнать, как это происходит на самом деле, а также немного терпения – все явления будут просто и подробно разъяснены, а большинство еще и снабжено примерами.

Это отличает мою книгу от научных трудов — в ней много информации именно о реальном мире.

Надеюсь, что, прочитав ее, читатель сможет сказать, что теперь он имеет некоторое представление о том, как работает внутренний аудит. Она еще не сделает из вас профессионала, но покажет, куда двигаться дальше.

P. S. Большинство материалов, рекомендованных в конце каждой главы для самостоятельного изучения особо пытливым читателям, размещено на сайте отечественного Института внутренних аудиторов (https://www.iia-ru.ru/) и доступно его членам. Поверьте мне, процедура оформления членства проста и финансово необременительна, но дает доступ к огромному объему профессиональной информации, включая крайне интересный журнал «Внутренний аудитор», постоянным автором которого является и ваш покорный слуга.

Глава 1. КОНТРОЛЬ

Теория управления

Безмерно любимый мной Шерлок Холмс говорил, что начинать надо с азов, с таких обыденных вопросов, которые обычно даже не удостаивают внимания.

«Как можно выдвигать гипотезы и разрабатывать поддающиеся проверке теории, если не знаешь заранее, что и как надо наблюдать, если не понимаешь фундаментальную природу задачи, о которой идет речь, не раскладываешь ее на основные составляющие?!»

Поэтому — теория. Ее будет немного (несмотря на то что вообще-то ее много), хотя у меня есть желание объяснить все максимально доходчиво. Но воду лить я терпеть не могу!

Итак, есть такая штука, называется «организация».

Это как минимум пара людей (группа), объединенная как минимум одной целью (она же — желание достичь какого-то результата и смысл существования), являющейся общей для всех ее сотрудников. И вот эти, с позволения сказать, члены не просто работают вместе над ее достижением, а делают это сознательно, я бы даже сказал — намеренно.

В поте лица эти трудяги (тройка, четверка и т. д.) что-то предпринимают для получения чего-то. Но пока что делают они это так, как они это сами решили, и стремятся к получению того, что себе навыдумывали.

И если они (члены этой группы) решили построить завод, то может статься так, что один представляет себе его, как уютный свечной заводик в соседнем гаражике, а второй — как промышленного гиганта, уходящего за горизонт во все стороны света.

Первый решает, что построить его следует тяжким трудом, выпиливая детальки старым перочинным ножиком, а второй в качестве средства достижения видит бейсбольную биту, при помощи которой он получит права собственности на этот завод у его нынешнего собственника.

Таким образом, очевидно, появляется потребность этим энтузиастам договориться, что и как они будут делать во имя достижения общей цели. Иными словами, скоординировать свои действия (поделить работу между собой), когда один из них точит детальки, а второй со скучающим, но строгим видом ездит на «стре́лки».

И вот тут неожиданно быстро мы получили возможность дать определение организации. Хотя сотню лет назад за нас это уже сделал Честер Барнард¹, скрупулезно и дотошно определивший, что:

Организация — это группа людей, деятельность которых сознательно координируется во имя достижения общих целей².

В 99,9% случаев организации — это большие (очень большие, громадные) группы людей, оперирующих не одной, не десятью, а порядочным, со временем меняющимся, но все же единым для всех набором взаимосвязанных целей. И для того, чтобы достигнуть этих целей, этих людей мало координировать, ими надо УПРАВЛЯТЬ (руководить)!

То есть должен появиться такой умник, который не просто возьмет на себя функцию решать, что он будет катить квадратное, а все остальные — нести круглое. А тот, кто только и будет решать, кому и что делать, и в этом будет состоять его функция в организации³.

Говорим ли мы об управлении как о действиях менеджмента, обусловленных командами вышестоящего руководителя/собственника, или решениях, принимаемых самим собственником на основании объективно складывающейся ситуации, все это — деятельность по координированию работы других людей, которая составляет смысл управления организацией.

Если обратиться к теории систем (я сделаю это быстро и почти незаметно), то там сообщества людей относятся к самоорганизующимся системам. Это такие компашки (структуры), которые способны не только пить пиво, но и делать выводы из складывающейся ситуации, а также искать оптимальные варианты для своего дальнейшего развития.

Так вот, как правило, самоорганизующиеся системы не находят ничего более оптимального, чем иерархические структуры.

Проще говоря, людям прямо неймется найти того, кто возьмет на себя вопросы организации (начальник), и начать ему подчиняться!

Между прочим, функция специализации (выделения особо важных представителей) характерна в процессе развития даже простейшим скоплениям клеток, которые начинают выполнять разные функции, доходя в своем развитии до создания специальной системы (как правило, нервной), берущей на себя… управление процессами обмена веществ и питания. Ну чем не бизнес?!

Иерархии растут от отдельных личностей к команде, от процесса производства к управлению им.

Так, сельские общины эволюционировали в деревни, деревни в города, города – в империи, поскольку именно это позволяло эффективнее заниматься сельским хозяйством, воровать соседских жен, отбивать нападения их разъяренных мужей, а со временем и выгодно организовывать торговлю излишками урожая и строптивыми наложницами.

Предметом непосредственного воздействия, полуфабрикатом для обработки, если хотите, в управлении является информация о ситуации, требующей развития, или о некой существующей проблеме. Через анализ данной информации и определение способов решения ситуации/проблемы появляется управленческое решение как результат и продукт деятельности управленца.

Например, получив информацию о простаивании производственного цеха из-за медленной по объективным причинам работы основного склада, который не успевает доставлять в цех полуфабрикаты, директор фабрики определил три варианта решения проблемы:

1) закупить еще один погрузчик на склад (1,5 млн руб.);

2) организовать складирование полуфабриката в самом цеху (бесплатно, но пожароопасно);

3) организовать рядом с цехом склад с объемом потребления на двое суток (620 тыс. руб.).

Очевидно, что решением будет третий вариант — не самый экономный. Но экономия денег, времени и места за счет складирования материалов в цеху повлечет не только высокий риск пожара, но и громадные штрафы от пожнадзора.

А имея двухдневный запас рядом с объектом, центральный склад всяко успеет подсортировать и доставить поближе к цеху необходимые материалы, не задерживая производственный процесс.

«Ну а как быть с городами, которые не выросли в империи? Да и с империями, которых уже нет в помине?» — спросит меня пытливый читатель.

Да все просто! И иерархия, и система перестает работать тогда, когда ее управленцы, будь то нервные клетки, императоры или генеральные директора, находят иные, обычно личные, интересы, переставая заботиться об интересах и целях всей системы, что неизбежно ведет к ее поражению.

Так, когда в империи начинают командовать студенты и разночинцы, в то время как император «гуляет, читает и много думает» вместо принятия оптимального решения, направленного на стабилизацию и восстановление управляемости системы, тогда система выходит из равновесия и может даже разрушиться, неизбежно в последующем вновь самоорганизуясь от анархических коммун до республик, выдвигая новых управленцев, которые устранят прежних, теперь уже как чуждых новой системе элементов, и возьмут власть в свои руки.

Здоровая система устойчива, что обусловлено ее ОРГАНИЗОВАННОСТЬЮ,
на основании ИЕРАРХИИ,
на каждом уровне которой управленцы
руководствуются и преследуют интересы СИСТЕМЫ.

Идем дальше! Функция управления состоит из четырех элементов⁴. Это:

— планирование;

— организация;

— мотивация;

— контроль.

Теперь факультативно к ним модно добавлять еще информирование и развитие, но, на мой взгляд, это не самостоятельные функции, а виды деятельности в рамках любой из основных функций.

Планирование — это систематизированная подготовка к будущему.

Оно, по сути, является процессом:

— определения целей организации. Это называется долгосрочным или стратегическим планированием;

— формулировки задач, а именно того, что же необходимо сделать организации в целом и ее сотрудникам в частности для достижения целей организации. Собственно, это и есть планирование в классическом понимании — краткосрочное или тактическое.

Как максимум планирование должно помочь организации быть эффективной и процветающей. А как минимум, на мой взгляд, должно обеспечивать поддержание существования и работу на уровне безубыточности. Все, что ниже этой точки — это уже антикризисное управление и спасение утопающего.

В процессе планирования управленец задается вопросами: 1) о текущем состоянии своей организации; 2) о том, как это состояние может способствовать или помешать достижению поставленных целей и, наконец, 3) что нужно сделать для достижения намеченного.

То есть планирование — это способ грамотно управлять компанией, вовремя адаптируя ее к изменяющимся внутренним и внешним условиям, но удерживая в колее официальной «политики партии и правительства» по достижению основных целей деятельности.

При этом менеджер как минимум уделит внимание распределению ресурсов, которые, как мы помним, практически всегда ограничены (будь то финансы, квалифицированные работники или технологии).

Да что там! Коту еды отсыпая, любой кошатник щупает пакет с кормом – сколько в нем осталось, и дотянет ли кот до субботы, когда хозяин собирается в магазин за покупками. Ресурсы? Ресурсы! Ограничены? Не то слово!

Теперь об адаптации. Чтобы было понятнее — опять на примере: руководитель, прочитав в новостях, что налоговая служба стала очень придирчива к контрагентам проверяемых организаций, и любую операцию с подозрительной компашкой воспринимает как организованное уклонение от налогообложения, что сделает? Позовет как минимум снабженцев, юристов и безопасников и доходчиво объяснит, что им будет, если они такого контрагента по недосмотру приголубят.

Адаптация к внешним обстоятельствам? Да. Ведь политику фискалов руководитель нашей организации поменять не может, но может поменять (адаптировать) работу своей компании к новым окружающим условиям.

Такие обстоятельства все чаще принято называть внешней средой потому, что от бизнеса, а также от хотелок его собственника и менеджмента она не зависит вообще, регулярно и неожиданно удивляя их своей высокой степенью неадекватности и неопределенности, отсутствием информации о причинах и предпосылках происходящего.
И, как показывают события, изобилующая сложностями прогнозирования в условиях такой неопределенности. Это все про регулирующие, правовые, политические, экономические, социальные и международные факторы окружающего мира, извне влияющие на деятельность компании.

Адаптация же к ситуации внутри организации более известна как координация и состоит в учете имеющихся в распоряжении компании возможностей и вынужденных недостатков для построения нормально (ну или хотя бы сносно) работающей структуры и взаимодействия между отделами или подразделениями.

Узнав на планерке от высшего руководства, что наша компания через полгода начнет строительство нового объекта, я:

1) включу проверку тендерной и рабочей документации по этому проекту в программу непрерывного аудита начиная со следующего месяца, потому что такая проверка входит в обязанности моего подразделения;

2) поменяю план выездных проверок для работников моего подразделения со следующего полугодия, включив в него выход на проверку выполненных строительно-монтажных работ на новой стройке, потому что внутренний аудит строительного контроля и строительно-монтажных работ входит в обязанности моего подразделения;

3) зная о некомплекте сотрудников технадзора и понимая, что выявление ошибок и проведение чрезвычайных проверок ляжет тяжким грузом на мое подразделение, я как минимум побеседую с руководителем управления строительного контроля о его кандидатурах в надзор для данного объекта, а, скорее всего, еще схожу в HR и постараюсь донести до их руководителя свое беспокойство.

А все потому, что времени на внеплановые проверки у меня в обрез.

Учел ли я имеющиеся у меня ограниченные трудовые ресурсы, стремясь обеспечить нормальную работу компании — учел. Адаптировал ли я работу своего подразделения под новые условия — адаптировал.

Организация (как функция управления) предполагает для начала, собственно:

1) организацию деятельности компании⁵, когда, прикинув то, чем собираются заниматься:

а) строят структуру будущей компании, исходя из масштабов производства — то есть все то, что на старте бизнеса отвечает на вопрос: «Как будем делать?»;

б) определяют полномочия, права, обязанности и порядок взаимодействия подразделений компании и ее отдельных сотрудников: «Кто за что будет отвечать?»

Но, главное (!), тогда же формулируется и определяется ответственность: «Что будет, если не будешь делать или будешь делать плохо?»

Позже об этом поговорим подробно, но, поверьте:

Если появляется обязанность или запрет, не подкрепленные санкцией⁶ за его нарушение, то добровольно и качественно эту обязанность или запрет никто исполнять не будет.

И теперь, собственно, 2) организуют сам процесс работы, то есть осуществляют текущее регулирование производства (техническую, организационную и экономическую его составляющие), предупреждают или устраняют неизбежно появляющиеся отклонения и возвращают процесс в нормальное контролируемое состояние (этакое подруливание).

То есть менеджмент определил вектор движения для сотрудников организации и в последующем регулярно корректирует планы и производство, координирует деятельность подразделений между собой, чтобы на изгибах и ухабах бизнеса компанию не занесло или, хуже того, вообще не унесло с пути.

Анри Файоль делил этот процесс на координацию и распорядительство, но я считаю, что нам хватит и одного.

Мотивация — в менеджменте это процесс побуждения человека к действию для достижения определенной цели. А цели бывают разные, поэтому и мотивация может быть как внутренней, когда человек сам хочет достичь цели, так и внешней, когда кто-то или что-то заставляет его действовать.

Изначально мотивация была преимущественно внешней и предполагала побуждение методом «кнута и пряника»: замедлил темп — показали плеть — встрепенулся и оживился. Если не взбодрился — по хребту черствым пряником, тогда вообще с песней заработает!

Если серьезно, то еще Демокрит определил нужду (потребность — теперь более привычное слово) как основную движущую силу человека. Вопрос только в том, что у одного в качестве настоятельной потребности выступает пропитание, у другого же основная нужда — замена двухпалубной яхты на трехпалубную.

В настоящее время рукоприкладство ограничено Трудовым и преследуется Уголовным кодексом, поэтому задача управленца — определить потребности сотрудников и разбудить в них тот самый внутренний стимул к качественному выполнению работы.

Таковыми могут быть нематериальные формы стимулирования: помещение на доску почета или низкий поклон от руководителя, но издревле самым действенным стимулом был и остается материальный…

...ну или черствый пряник.

Вообще, вся живая природа — это сплошные побуждения и стимулы, будь то стимулы того, как получить желаемое («Ламборгини» или красотку) или необходимое (кофе утром или пропитание по жизни). В мире, пожалуй, не существует проблемы, которую нельзя решить, понимая кроющуюся за ней совокупность стимулов. Естественно, решение не всегда будет идеальным, поскольку может включать и принуждение (демонстрация кнута), и наказание (ага — крепкий черствый пряник), и манипуляцию чьими-то зависимостями. Однако проблема, вне всякого сомнения, будет решена.

Теория контроля

И вот, наконец, контроль! Это один из постоянных процессов управления, который, помимо основного производственного процесса, обеспечивает святое — достижение целей организации и (шепотом, ибо у нас не принято, но подразумевается) обогащение собственников бизнеса. И делает он (контроль) это путем своевременного выявления (а желательно, даже предупреждения) проблем, возникающих в ходе финансово-хозяйственной деятельности родной организации и негативного на нее влияния внутренних всяких факторов (причина которых в основном ворье и раздолбаи) и неадекватной и такой непредсказуемой внешней среды.

Для большинства наших соотечественников контроль воспринимается как мера ограничения и принуждения со стороны компании по отношению к нему (любимому)⁷, в то время как природа этого явления — это всего лишь процесс сравнения фактически достигнутых результатов с запланированными. И именно по этой причине контроль является естественной функцией и неотъемлемым элементом сущности всякой организации.

Когда вы идете по незнакомому городу и постоянно сверяетесь с картой – это контроль вашего местоположения в пространстве и обоснованности ваших затрат на движение к заветной цели (местной достопримечательности, гостинице, кабаку и т. д.).

Светила менеджмента Питер Друкер⁸ прямо так и заявил:

Контроль — это синоним определения направления
движения организации.

Это процесс обеспечения достижения целей организации!

И вот когда вы поняли, глядя на карту, что повернули не в ту сторону, то, вернувшись на верную улицу, реализовали основную функцию контроля — возможность выявить (желательно своевременно, а лучше — заранее) проблему и скорректировать свое движение до того, как попадете в трущобы, и проблема перерастет в кризис (грабеж, разбой).

Таким образом, в первую очередь контроль — это способность организации предвидеть, вовремя выявлять и фиксировать свои ошибки, исправляя их до того, как они повредят достижению целей организации.

Но и это еще не все! Потому что одним из важных, но незаслуженно забываемых свойств контроля является то, что он способен определять и то, какие направления деятельности компании наиболее эффективны в достижении целей.

Используя информацию о таких факторах, организация и ее управленцы в первую очередь могут определить приоритетные направления развития и скорректировать свою политику.

Выявляя успехи и неудачи, определяя их причины, собственники и руководство получают возможность оперативно подстраивать свою организацию к изменениям внутренней и внешней среды. Тем самым в теории обеспечивая наибольшие темпы достижения основных целей бизнеса… конечно, при условии, что руководители сделают правильные выводы из получаемой в процессе осуществления контролей информации.

К примеру: что делать, если конкурент начнет демпинговать, может предусмотреть практически каждая компания, но практически никто не рассматривает ситуацию с уходом конкурента с рынка. А как раз сейчас огромное количество российских компаний, столкнувшись с уходом иностранных конкурентов, находятся в панике, не представляя, что делать с освободившейся нишей. Ведь ими давно была выбрана стратегия пассивного поведения, связанная с низкокачественным продуктом и подбиранием крох в хвосте у иностранных лидеров рынка.

Кстати, многие такие компании выбрали весьма нетривиальный способ использовать данную возможность. Они ничего не поменяли в качестве продукции, производственном процессе и логистике, просто задрав «до потолка» цены на свое дерьм свою продукцию.

Сделали выводы? Сделали. Адекватные? Может, но в о-о-очень краткосрочном периоде. Потому что, как только наладили параллельный импорт, покупатели ушли от них вообще все, потому что:

Жадный и глупый платит:
дважды — за жадность и бесконечно — за глупость!

Обобщенно процесс любого контроля выглядит следующим образом:

— определение стандарта (желаемого результата);

— измерение фактического результата (сопоставление текущих параметров и/или достигнутого результата со стандартом);

— оценка (включая анализ отклонений);

— корректировка.

Ряд авторов выделяют изменение стандартов в отдельную функцию управления, но, на мой взгляд, корректировка — это лишь регулировка выявленных отклонений.

Итак:

1. Определение стандартов (результатов). Иными словами, формулирование конкретных желаемых (и достижимых) целей, продвижение к которым поддается измерению.

Тогда же определяются сроки их достижения (временные рамки) и критерии (признаки), по которым будет ясно, что работа выполнена. То есть цель определили, а следом подобрали показатели, способные продемонстрировать достижение (или недостижение) этой цели.

Например: при формировании бюджета в начале года определяем:

— получение прибыли в размере вставить желаемое к концу года или

— выпустить опытную партию гравицапп к 1 мая.

Ничего не напоминает? Ну конечно — планирование! Чувствуете, как слиты эти процессы в функции управления!

2. Измерение результата — это о сопоставлении текущих параметров и/или достигнутых результатов с определенными выше стандартами (планируемыми результатами), то есть соответствует ли достигнутое ожиданиям собственников и менеджмента.

Почему мы говорим о сопоставлении не только достигнутых результатов, но и текущих параметров? Потому что контролировать можно и ход выполнения, и даже подготовку к выполнению.

Проверка герметичности скафандров у космонавтов перед полетом дает возможность убедиться, что при прочих равных не возникнет утечки кислорода там и тогда, где и когда устранить это будет невозможно. В этом случае достигнутым результатом будет правильный процесс подготовки.

Подробнее данные вопросы мы осветим при рассмотрении классификации контролей, где вы наглядно сможете понять эти различия.

Не поверите, но можно контролировать даже НИЧЕГОНЕДЕЛАНИЕ. Так, существует международная структура из числа стран-экспортеров нефти, именуемая ОПЕК+, которая ежедневно контролирует согласованное странами-участницами ограничение добычи нефти для целей поддержания высоких цен на углеводороды.

Естественно, измерения должны соответствовать контролируемому (проверяемому) процессу.

Понимание того, что и как следует наблюдать (измерять), вообще способно сделать наш сложный мир значительно понятнее и проще.

А знание того, как правильно использовать имеющиеся данные, позволит нам объяснить даже те события и явления, которые в отсутствие этой информации являются для человечества неразрешимой загадкой!

На протяжении пары десятилетий разные научные организации производили замеры озонового слоя в верхних слоях атмосферы над Антарктикой. При этом очень низкие значения исключались из выборки как т. н. «выбросы». Выбросами в статистике называют аномальные отклонения от обычных значений, которые обычно не принимают в расчет. Так было, пока однажды кто-то не заметил, что количество выбросов значительно превышает значения, принимаемые к анализу. Так, совершенно случайно открыли озоновую дыру.

Однако выбор подходящей единицы для измерения чаще всего — самая легкая часть измерения.

Не менее важно, чтобы темп, периодичность и точность измерения были согласованы с деятельностью, подлежащей контролю.

Частые измерения либо дороги, либо парализуют производственный процесс, либо и то и другое. Посему чаще всего контрольные измерения проводятся тогда и так часто, когда полученный результат (по опыту контролеров) сможет обеспечить:

— уверенность в том, что процесс контролируем;

— стадия измерений сможет продемонстрировать масштаб отклонения от стандарта и точно указывать его причину.

Правда, с частотой тоже не всегда можно угадать. Приведу утрированный пример (люблю я их, но так понятнее): 25.02.1991 прямиком в американскую казарму на военной базе в Дахране (Саудовская Аравия) прилетела ракета «Скад», более известная нам как Р-17 (наш старый добрый ОТРК «Эльбрус»), выпущенная иракской армией. Ее полету не смог помешать даже широко разрекламированный зенитно-ракетный комплекс «Пэтриот», чем очень удивил и огорчил всю «прогрессивную общественность».

А между тем компьютер «Пэтриота» получал данные от радаров (осуществлял контроль) аж ДЕСЯТЬ раз в секунду, рассчитывая ожидаемую траекторию подлежащей уничтожению ракеты. Однако, как потом выяснили, даже такой частоты оказалось мало, потому что к моменту подлета ракеты накопилась суммарная ошибка в 0,3 секунды, которой хватило, чтобы «Пэтриот» выстрелил в пустоту, промахнувшись от намеченной цели аж на 500 метров.

А бывает, что проверить надо всего один раз, но от качества такой проверки зависит все. Коллеги из агросектора рассказывали, что их организация для хранения продукции строила ангар в сельской местности. В процессе строительства они обнаружили, что вместо предусмотренной под фундамент гравийной подушки подрядчик «навалил» каменистый грунт с берега ближайшей реки, выдав его за отборный гравий.

Руководство компании-заказчика торопилось со строительством и решило оставить все как есть, уменьшив вознаграждение подрядчика на стоимость украденного материала. В итоге оказалось, что гравий был прописан в проекте не просто так: местность, где шло строительство, была сильно обводненной, и гравий защитил бы фундамент от намокания подступающей снизу водой. Каменистый же глинистый грунт, наоборот, работал как губка, впитывая в себя влагу и пропуская ее выше. В итоге получили намокший испорченный урожай и брошенный ангар с черным, воняющим плесенью полом.

По счастью, нынешние компьютерные технологии и новые формы проверок (например, непрерывный аудит), о которых мы обязательно поговорим позже, помогают снижать издержки (материальные и трудозатраты, отвлечение персонала, ошибки и искажения) на выполнение контролей.

3. Далее следует оценка. Она подразумевает решение вопросов:

— о приемлемости обнаруженных отклонений (та ли информация получена, которая требуется; в достаточном ли объеме; насколько она актуальна).

Ряд высокоморальных организаций, говоря о приемлемости полученной в ходе контрольной процедуры информации, подразумевают в том числе и этичность ее получения. Но, как по мне, так куда проще, если мы, вместо трудоемкого анализа отклонений движения ТМЦ на складе, получим информацию о хищении, цинично разведя на корпоративе на откровение подвыпившего коллегу, а утром подтвердим это внеплановой инвентаризацией, первичными документами и архивом видеозаписей с проходной;

— о весомости выявленных отклонений (проще говоря — насколько допустимы и относительно безопасны обнаруженные «косяки»?). Здесь главное — не ошибиться в оценке масштаба допустимых отклонений, то есть то, когда отклонение не будет вызывать чувства тревоги за достижение результата (и так сойдет);

— об анализе и оценке данной информации. Вот эта-то информация и будет использоваться в дальнейшем и на этапе планирования, и организации, и мотивации;

— о доведении выводов до сведения собственников, руководства и работников организации.

4. Оценив и верно интерпретировав полученные результаты, процесс контроля переходит на четвертый этап — необходимо принять решение о том, надо ли что-то менять, и если менять, то как? Это корректировка.

Менеджмент выбирает последующие варианты поведения:

а) ничего не предпринимать,

б) устранить отклонение,

в) пересмотреть стандарт.

Даже если контроль говорит о том, что существуют проблемы, но установленные цели все же достигаются, менеджмент по итогам анализа может принять решение ничего не предпринимать. Но, поскольку нельзя рассчитывать на то, что случившееся один раз не повторится снова и в более существенных масштабах, то контроль необходимо сохранять хотя бы для цели мониторинга проблемы.

Правда, есть совсем радикальные способы ничего не предпринимать: когда, к примеру, для менеджмента собственником негласно устанавливается сумма хищения; когда все, что ниже нее, не наказуемо. В такой ситуации задача контролера состоит в фиксации и документировании процесса хищений на случай, если контролируемый все же пересечет такую «красную» линию⁹.

Вариант с устранением отклонений состоит в том, чтобы 1) понять его причины и 2) вернуть организацию к правильному образу действий.

Осуществление корректировки путем устранения отклонений достигается путем изменения каких-либо внутренних переменных факторов.

Например, получили к 1 октября 100 рублей прибыли при запланированных к концу года 700 рублях и понимаем, что надо поднимать производительность, и либо нанимаем дополнительных работников, либо повышаем выработку имеющимися.

Но иногда решения об устранении отклонений бывают вовсе не тривиальными. Мне коллеги рассказывали, что на одном крупном предприятии во время урагана пропало электричество — в итоге угробили большое количество полуфабриката в остановленном производстве.

Выяснили, что еще год назад внутренний аудит выявил хищения при строительстве аварийной генераторной подстанции и неоднократно сообщал об этом руководству.

Менеджмент сделал выводы и решил, что надо… сократить подразделение внутреннего аудита.

Чаще всего в отклонениях находится вина ряда факторов, так что, прежде чем выбирать, что исправлять (корректирующее воздействие), надо бы найти и изучить все присущие этой проблеме переменные и их взаимосвязи, определив приоритетные.

В экономический кризис 2014 г. мой знакомый — владелец небольшого туристического агентства столкнулся с падением выручки и распорядился уволить треть персонала.

Заехав вместе с ним в офис через неделю, мы увидели несколько раздраженных ожиданием покупателей туров и одного взмыленного менеджера по продажам. На вопрос «где остальные?» он развел руками — уволили. А в это время в бэк-офисе продолжали трудиться два кадровика, два юриста, два бухгалтера и переводчик.

Таким образом, хозяин фирмы приоритеты не определил, и подчиненные, наделенные властными полномочиями, все решили по-своему — они спасли свои шкуры, уволив продажников. Но последствия этим бы не ограничились, потому что в условиях продолжающегося падения продаж, теперь уже из-за отсутствия продавцов, через пару месяцев конец бы неизбежно пришел уже всей организации.

Но не всегда даже существенные отклонения от стандартов надо устранять. Иногда сами стандарты могут оказаться нереальными. Пересмотр стандарта, как правило, связан с изменением и/или усовершенствованием функции управления или технологических процессов.

Может статься, что менеджмент однажды придет к выводу о необходимости изменений планов, при пересмотре которых и возникнет необходимость в пересмотре стандартов.

Моя знакомая, придя коммерческим директором в крупную розничную компанию, обнаружила, что продавцы годами перевыполняют план и ежемесячно получают гигантскую премию за это. Выяснилось, что план сильно занижен, но, более того, его ежегодно утверждают без пересмотра уже несколько лет подряд. Собственники с удивлением узнали, что продавцы работают на компанию только неделю в месяц — столько времени занимало, чтобы выполнить месячный план.

В итоге приняли решение увеличить план.

Но может случиться и так, что стандарты придется пересмотреть в сторону понижения. Так как требования, которые выполнить очень сложно, сводят на нет стремление достичь сформулированных целей и демотивируют персонал.

Любая, практически любая составляющая деятельности компании может быть контролируема и оценена.

Смотрите: у компании есть цель — заработать прибыль для собственников. Это такой большо-о-ой желаемый стандарт. Скорее и чаще всего временными рамками будет определен календарный год. Критерием определения того, что работа выполнена, будет размер чистой прибыли, запланированный в бюджете на год.

Получение выручки компанией (зарабатывание прибыли) — это процесс, любой элемент или параметр которого также обусловлен некими желаемыми (ожидаемыми) стандартами.

При отклонении полученной прибыли от ожидаемой будут определены и проанализированы факторы, повлиявшие на это¹⁰.

И так каждый элемент организма компании состоит из меньших элементов, которые, как фрактал, повторяют основную структуру:

— для получения желаемой прибыли оценивается работа производства, руководства, финансово-экономического управления, материально-технического снабжения, юристов, IT и т. д. и т. п.;

— в работе производства оценивается работа цехов, мастерской по ремонту, объектового склада и т. д.;

— в работе цеха оценивается качество работы станков, начальника цеха, старшего мастера, мастеров и подмастерьев;

— в работе станка оценивается работа двигателя, фрезы и резцов, числового программного управления, системы охлаждения, подачи масла и т. д.;

— в работе двигателя… и так до последней, но может оказаться, что — главной в судьбе предприятия, шпильки.

Отсюда логическим путем приходим к выводу об основных критериях оценки (на любом уровне организации). Это:

— результативность как возможность достичь желаемого результата;

— эффективность как возможность достижения результата с наименьшими затратами.

Правда здесь «наименьший» означает не «самый экономный», а «оптимальный»! Потому что самым экономным в точном производстве будет дедушка с линейкой, в стиле старого доброго ОТК, осматривающий гравицаппы под увеличительным стеклом за зарплату в две копейки. Оптимальной будет система лазерного контроля внешних размеров и тестирование выборки из партии гравицапп на опытном стенде. Тестирование всей партии будет избыточным по причине длительности и необоснованно дорогой стоимости такого контроля.

Естественно, результативность на разных уровнях будет выглядеть по-разному.

Начальника цеха по созданию корпусов для гравицапп оценят по их количеству, изготовленному за месяц.

Начальника финотдела того же предприятия оценят по соотношению количества освоенных денежных средств с запланированными к освоению в условиях справедливой экономии.

А работу генерального директора этого предприятия, скорее всего, оценят в первую очередь по количеству долетевших до места назначения изделий и отсутствию аварий при их использовании. И если это количество будет соответствовать ожиданиям Заказчика, то оценка остальных критериев может и не понадобиться или будет сведена к минимуму.

Состав контроля

Предмет контроля. Касательно предмета контроля существуют расхождения в его понимании и в научной литературе, и даже в законодательстве.

По первому варианту, предмет контроля — это совокупность обязательных требований (стандартов качества, плановых показателей, требований законодательства), соответствие которым контролер (субъект контроля) проверяет у объекта контроля (проверяемого).

В бухгалтерском учете — это требования строгого следования нормам ПБУ и ФСБУ, в высокотехнологичном производстве — высокое качество материалов и производственного оборудования, в управлении персоналом — безусловное соблюдение требований Трудового кодекса и прав работников.

По второму варианту, предмет контроля — это то, что контролируют (проверяют) у объекта контроля. И тогда это: давление масла в поршне насоса; тендерные процедуры в отделе материально-технического снабжения; качество гравицапп, выпускаемых производственным цехом; время выхода на работу работника Иванова; документы прихода/расхода на складе.

Для целей именно контроля я склоняюсь ко второму варианту.

Позволю себе применить научную аналогию с уголовным правом, где предмет преступления — это вещь или элемент материального мира, на который осуществляется противоправное воздействие в ходе совершения преступления.

Для нашего же случая предмет контроля — это элемент материального мира, на который направлено внимание контролера.

Объектами (тот, кого контролируют или у кого что-то проверяют) являются проверяемые элементы, процессы или их цепочки (не обязательно только производственные), процедуры, системы, деятельность отдельных менеджеров, отделов, производственных цехов, предприятий. Это напрямую зависит от проверяемого процесса, специфики деятельности организации и ее структуры. И здесь надо учитывать, что каждый объект внутреннего контроля имеет свои особенности и требует индивидуального подхода.

Так, один из элементов производственного процесса для цеха по созданию гравицапп — качество сварки обтекателя корпуса, для того же цеха итог полного производственного цикла — количество корпусов, принятых Заказчиком. Для генерального директора — вся цепочка производственных и обеспечивающих (управленческих) процессов, характеризующих деятельность предприятия в целом.

Субъекты контроля — это лица или организации, которые осуществляют контроль над деятельностью других организаций, лиц или процессов. Они могут быть внутренними (контролеры, ревизоры, внутренние аудиторы, сотрудники ОТК, сотрудники управляющих компаний) или внешними (внешние аудиторы, аудиторы Счетной палаты, проверяющие многочисленных госорганов).

Исходя из определения, это лица, наделенные правом проверять (контролировать) деятельность находящихся под наблюдением объектов, требовать от них предоставления информации и документов, а также принимать меры в случае выявления нарушений (внутренние — путем информирования руководства и внесения корректировок в деятельность контролируемых; внешние — путем применения штрафных и иных санкций).

Инструменты контроля — это понятие широкое и комплексное. Под ними понимают большую совокупность финансовых, экономических, организационных, технических и прочих методов, способов и приемов, применяемых при контроле финансово-хозяйственной деятельности организации. Их цель — определить наличие отклонений в контролируемом процессе, которые влияют на результаты деятельности и зоны возможного риска.

Они включают в себя:

1) процедуры, помогающие осуществлять наблюдение за контролируемым процессом, оценивать параметры и выявлять отклонения, нивелировать или предупреждать возникновение рисков, способных помешать организации достичь своих целей.

Среди них:

— разделение полномочий — процедура, направленная на снижение вероятности совершения и сокрытия ошибок или нарушений в процессе выполнения работниками своих обязанностей. Ее суть в невозможности выполнить действие без подтверждения или участия других сотрудников, в обязанности которых входит часть требуемых манипуляций (согласование платежа) и наблюдение за основным исполнителем;

— арифметические и учетные инструменты контроля, задача которых удостовериться в том, что транзакции записаны и учтены с должной достоверностью: сверки, инвентаризации, проверка сквозной нумерации;

— процедуры контроля, связанные с управлением персоналом: проверка квалификации претендентов, проверка судимостей и т. д.;

— управленческие инструменты контроля: более общая и широкая по инструментарию часть контрольных процедур. Это наблюдение, анализ отклонений, факторный анализ, согласования, отчеты.

При этом получение объяснения или беседа могут быть и наблюдением (получение информации), и проверкой информации, как и фотография рабочего времени, а опрос клиентов и проверкой, и анализом, и т. д.;

2) физические инструменты контроля — технические средства (приборы, датчики, камеры и др.), которые позволяют отслеживать и регистрировать информацию о происходящем. А также технические средства (ограничение доступа в помещение, авторизация доступа, пересчет документов строгой отчетности, досмотр);

3) цифровые инструменты контроля (технологии, цифровые системы и программное обеспечение), которые позволяют собирать (фиксировать), систематизировать и анализировать данные, полученные с помощью физических инструментов, а также управлять ими.

Преимущество цифровых инструментов контроля:

— в возможности применения сложных расчетов (контролей) при обработке больших объемов операций или данных, обеспечивающих корректность и точность итоговой информации;

— в существенном снижении вероятности обхода контроля, так как обойти ограничения доступа, убедить машину проигнорировать обязательные контрольные процедуры или неверно идентифицировать данные вряд ли получится;

— в возможности обеспечения точного разграничения полномочий посредством обязательной идентификации и определения категорий доступа к приложениям, базам данных, операционным системам и полномочиям по редактированию и изменению информации;

— в стопроцентном охвате процесса, для контроля которого цифровые инструменты контроля поставлены (при условии качественной установки).

Инструменты контроля помогают повысить эффективность работы, снизить затраты, а также минимизировать возможные ошибки и упущения в процессе наблюдения.

Обозначив признаки и суть всех элементов контроля, мы подошли к формулировке эталонного контроля.

Адекватный контроль — это контроль, спланированный и организованный таким образом, когда цели и задачи организации будут выполнены наиболее эффективным и экономически оправданным способом.

И вот тут самое время ввести дополнительное, но необходимое условие, которое стало ключевым в последнее время.

А именно:

Эффективное и экономически оправданное выполнение целей и задач организации ДОЛЖНО осуществляться с учетом качественного управления внутренними и внешними рисками.

Риски

Всю жизнь мы постоянно просчитываем вероятность того или иного события, только не всегда даем себе в этом отчет. Практически любой наш шаг связан с некой долей риска, где риск все та же вероятность, но со зловещим оттенком.

Да что там, мир состоит из рисков! Не случайно большинство из нас (имею в виду и себя) — клинические параноики, вечно ждущие проблем!

Наши далекие предки, ложась спать и предвидя риск быть съеденными, забирались на деревья, закрывались в пещере или сбивались в кучу, выставляя сторожей, тем самым уменьшая вероятность нападения диких животных. А мы до сих пор заражаемся зевком от собеседника, потому что, видя, как зевает дозорный, начинала зевать вся группа, получая невербальный сигнал, что риск приемлем — спите дальше.

Да и сейчас, просто собираясь на свидание, какой-нибудь студент, анализируя возможные риски, понимает, что велика вероятность того, что его спутнице не понравится его брутальный кисло-чесночный запах пота, поэтому, снижая риск преждевременного расставания, он просит у соседа чистую майку и, может, даже моется.

Но почему-то тот же студент через пару лет, выходя во взрослый мир и даже становясь подающим надежды молодым предпринимателем, вдруг напрочь забивает… или забывает, что у непродуманного дела всегда найдутся сотни тухлых запахов, которые привлекут и современных «хищников», и «шакалов», и просто кучу неожиданных, хотя, в принципе, совершенно предсказуемых проблем.

Наш бизнес только-только встает на путь риск-ориентированного подхода и к делу своей жизни, и к тому, что его окружает.

Риск-«что-то там» (ориентированный) подход — это состояние сознания, при котором, помня о наших целях (от сходить пописать ночью, не включая свет, до строительства успешного бизнеса во время перемен), для принятия ЛЮБОГО решения мы, руководствуясь имеющимся у нас опытом, предполагаем и анализируем возможные ожидающие нас препятствия, вероятность их появления у нас на пути и возможные последствия. Такой подход поможет нарисовать наиболее вероятную картину развития событий при минимальных рисках и выбрать варианты действий, где вероятность успеха будет максимально возможной.

В «святые» 90-е мой друг, открывая цех по покраске машин, первым делом написал перечень «голодных ртов» (проверяющих и бандитов), которые придут за его деньгами. Прикинув доходы и аппетиты «гостей», он выбрал «крышу» одной неформальной группировки, которая до поры до времени благополучно отгоняла от него всех, приходящих с протянутой рукой или со сжатым кулаком.

Однако где-то через год ему резко подняли стоимость услуги «крышевания», и он, прикинув, что не сможет расплатиться даже за один месяц, немедленно закрыл свою «точку».

Очевидно, что бандиты про риск-ориентированный подход не знали, а потому просто остались без одного из источников дохода. Хотя, предположив такую вероятность, могли в итоге умерить аппетит и остаться и при деньгах, и при бесплатно покрашенных «тачках».

Управление рисками осуществляется через понимание факторов внешней и внутренней среды организации, которые могут оказать влияние (чаще всего обращают внимание на отрицательное влияние) на финансовый результат, планы развития и сам факт существования организации.

Внутренняя среда — это вся куча факторов, процессов и ресурсов самой организации (цели, задачи, структура организации, трудовые ресурсы, производственные процессы; маркетинговая политика; финансовая деятельность; управление предприятием в целом и персоналом в частности), которые влияют (или потенциально могут повлиять) на деятельность организации.

Внутренняя среда является комплексным и ключевым условием, влияющим на деятельность компании. Она контролируема и управляема в отличие от внешней среды, посему управленцы уделяют ей существенно большее внимание при принятии решений.

Ряд авторов справедливо добавляют к факторам внутренней среды взаимоотношения внутри организации: формальные и неформальные.

Ибо, вы даже не представляете, какую весомую роль в достижении результата может сыграть честная открытая командная работа. И сколько гениальных идей и компаний погибло из-за неформальных отношений, к примеру, когда директором по продажам в крупной компании делают любимую племянницу собственника — дирижера по образованию и бездельника по жизни.

Возьмем отношения на доверии: мой хороший знакомый сделал замом своего друга и по совместительству жениха своей сестры, выдохнул после пяти лет работы на износ и уехал на три недели отдыхать на острова.

По возвращении он нашел счастливого жо́ниха в больнице в тяжелом состоянии. Тот очень хотел поскорее почувствовать себя миллионером, поэтому продал оборудование вверенного ему завода и на все деньги купил «Ламборгини»! И сразу разбил ее о столб, лихо выезжая из ворот автосалона.

Получив сотрясение, он понял, что бить, а может даже судить его будут строго, поэтому решил сокрыть совершенное как умел, а заодно и «отомстить» старшему товарищу за неоправданные ожидания, тоже как умел. Ночью он вывалил все документы, договоры, печати в кучу во дворе опустевшего завода, облил бензином и поджег… случайно заодно и себя.

Если бы мой знакомый учел возможные риски и ограничил новоиспеченного зама в полномочиях, или хотя бы изредка позванивал на завод подчиненным, тогда и среда внутри его компании была бы контролируема и управляема, и бизнес жив.

Контролируема и управляема, но не статична! Она может меняться со временем, посему:

Менеджменту необходимо постоянно поддерживать процессы контроля элементов внутренней среды и адаптироваться к ее изменениям.

Внешняя среда — это факторы окружающего мира, извне влияющие на деятельность организации (регулирующие или правовые, политические, экономические, социальные и даже международные — неожиданно стали актуальны). Ряд этих факторов влияют на организацию опосредованно, ряд непосредственно и отчасти испытывают такое же ответное влияние со стороны организаций (покупатели, поставщики, отраслевые органы власти, органы местного самоуправления, конкуренты, бандиты, налоговые органы).

В отличие от внутренней среды, которая по большей части управляема и предсказуема, внешняя среда характеризуется высокой степенью неопределенности, связанной с отсутствием полной информации о ее причинах и событиях, а также сложностями прогнозирования в условиях неопределенности. В данных условиях организации должны учитывать факторы внешней среды и по мере сил пытаться повлиять на них. Но что уж точно они не могут делать, так это полноценно контролировать их.

Некоторые читатели, возможно, оппонируют мне и напомнят про откаты и другие формы прикормленных чиновников. Но это попытка влияния лишь на отдельные факторы внешней среды, а качество и длительность этого влияния всегда непредсказуемы. Да и затраты на попытки такого влияния, как правило, с расширением охвата проблем, начинают стремиться к бесконечности.

Поэтому организациям

важно постоянно следить за изменениями внешней среды и адаптироваться к ним через создание гибкой организационной структуры, через развитие навыков своих сотрудников, использование новых технологий и т. д.

Между тем, помимо угроз, внешняя среда несет условия и возможности для роста и развития. Изучая их, менеджмент способен адекватно реагировать на такие шансы через разработку новых продуктов и услуг, изменение политики продаж, улучшение качества продукции, программы лояльности и т. д.

От выявления факторов внутренней и внешней среды переходят к оценке их значимости (обычно в денежном эквиваленте), определению типа и вероятности их возникновения и воздействия на компанию.

Популярными в деловой литературе являются STEP-анализ (для политических, экономических, технологических и социальных факторов внешней среды); SWOT (для внутренней и внешней среды) и SNW-анализ (для внутренней среды).

Суть этих методов состоит в графическом изображении (так сказать, сформировать общую картину) слабых и сильных сторон компании и ее окружения, а также потенциальных возможностей и угроз, исходящих из окружающей среды организации, для дальнейшего их учета при определении стратегии развития и планирования.

Однако все они требуют экспертного мнения (а оно может быть не таким уж и квалифицированным) и глубоких познаний о свойствах внешней среды. Последнее в целом доступно только для крупных компаний, которые могут себе позволить дорогостоящие социологические исследования и неформальный доступ в коридоры власти.

И STEPу, и SWOTу посвящено большое количество прикладной литературы, в основном переводной или производной от нее, к ней и адресуем пытливого читателя.

От факторов переходят непосредственно к определению типа и вероятности их воздействия на компанию. Или, проще говоря — к оценке рисков. И вот уж тут, что бы ни говорили теоретики, личная экспертная оценка, и не одного только внутреннего аудитора,
а (и в первую очередь) профильного менеджмента, является основной.

Определение типа рисков или, говоря научным языком, их идентификация происходит до их оценки и служит для определения полного перечня рисков, влияющих на организацию. Для некоторых процессов мы можем достаточно точно предположить (и местами даже вычислить) вероятность потенциальных непредвиденных обстоятельств, то есть мы знаем об их природе и потенциальной возможности возникновения. Тем не менее, для ряда процессов мы не всегда можем предвидеть все возможные неожиданные отклонения, не говоря уже об их правдоподобной вероятности.

И наконец, существуют ТАКИЕ из ряда вон выходящие события, которые мы и представить-то не могли, включая сам факт их существования — это уже прямо неизвестные-неизвестные.

Популяризовал последние Нассим Талеб, красиво назвав их черными лебедями. Это события, которые, несмотря на мизерную вероятность, нет-нет да и случаются. И случаются так феерично, что сносят к чертям все на своем пути. А все потому, что бьют они туда и тогда, куда и когда НИКТО и не думал ожидать.

Но я, проанализировав пару десятков таких «птичек» из истории человечества, с удивлением всякий раз обнаруживал за этими событиями чью-то совершенно конкретную и хорошо продуманную злую волю (ищи — кому выгодно!). Впереди нам предстоит узнать об ограничениях, неизбежно присущих даже идеальному внутреннему контролю. Так вот, там вы и узнаете о том, что сговор — это практически универсальная отмычка для любого из них.

Теперь вернемся к основной теме.

Идентифицированные риски ранжируются по категориям (финансовые, операционные, стратегические, юридические, регуляторные), от общих к присущим конкретным направлениям деятельности компании и так далее, углубляясь от групповых к частным (поломка погрузчика, увольнение кладовщика и т. п.). Эти списки обычно составляются профильным менеджментом по направлениям (финансы, проектирование, ремонт техники и т. д. и т. п.), потому что никто лучше его не знает, где тонко в их зоне ответственности (описание риска), каков шанс того, что однажды это порвется (определение вероятности реализации/возникновения риска), как дорого будет стоить починить (стоимостное выражение), и на какие упущенные выгоды они попадут, пока процесс чинят (оценка степени влияния на процесс, проект и компанию в целом).

«А как быть новой компании? — спросит меня пытливый читатель. — Бесконечно спотыкаться и набивать шишки, пока не наберется достаточный перечень реализованных присущих рисков?»

Поспотыкаться придется — без этого никуда. Но ведь далеко не все сотрудники новой компании — вчерашние зеленые студенты. Подавляющее их большинство — люди с приличным опытом работы, которые и типичные риски назовут, и кучу историй про частные случаи за чашкой чая припомнят.

Поскольку каждый риск может по-разному повлиять на компанию, руководству необходимо определить приоритеты и выбрать те из них, которым следует уделить первостепенное, я бы сказал — особое внимание. Для этого их собирают в таблицу (матрицу) и красочно наносят на карту¹¹, используя кружки, точки и другие символы разных цветов, чтобы обозначить для менеджмента и руководства то, как может стать все плохо, если они не озадачатся контролями и не примут мер по предупреждению выявленных рисков. Она (эта картина) поможет определить наиболее значимые риски, оценить их вероятность и влияние на деятельность компании, проект или процесс, а также увидеть, к чему приведет цепная реакция реализации рисков (их взаимодействие).

К примеру, поломка производственной линии → срыв поставки → пенни, возврат аванса покупателю → задолженность поставщику сырья → задолженность по кредиту → невозможность отвечать по обязательствам → угроза банкротства → потеря репутации.

Очень часто бывает так, что топ-менеджмент до последнего иронизирует над работой по составлению карты рисков, считая это лишним, и полагает, что уж они-то знают о компании все. Но после получения готового документа вдруг хватаются за голову и с возгласом «Твою мать, а про это-то мы и забыли!» начинают судорожно собирать совещания.

Риск — это произведение вероятности развития события на ожидаемые при этом последствия, оцененные в финансовом выражении.

Определившись с рисками, дружно выбирают:

— способы реагирования (уклонение, принятие, минимизация, передача);

— рассчитывают затраты и выгоды по выбранным способам реагирования и выбирают оптимальный;

— аранее разрабатывают план действий на случай реализации конкретного риска с учетом выбранного способа реагирования (это уже высший пилотаж).

Чаще всего отечественные компании оценивают риск именно отрицательного развития событий, забывая, что риск может иметь как негативное, так и позитивное воздействие на развитие событий. Помните пример про освобождающуюся рыночную нишу несколькими страницами выше?

Потому наиболее частыми (и далеко не всегда лучшими) способами реагирования на риск у нас являются:

— уклониться от него (сбежать, отказаться от рискованного процесса или вида деятельности), сосредоточившись на тех видах деятельности, где риск минимален.

Это:

— компания, отказывающаяся от выхода на новый рынок из-за высокой неопределенности;

— банк, отказывающий в кредитах ненадежным заемщикам;

— человек, предпочитающий стабильную работу с минимальной зарплатой и ответственностью вместо попытки начать свой бизнес, который вероятно принесет больше денег, но также и больше рисков.

Да что там далеко ходить, мой знакомый отказался от предложения работы на 100 тыс. руб. выше имеющейся у него, потому что «здесь до дома две минуты идти, и своя столовая в офисе».

— проигнорировать (принять) риск. Это когда риск считают приемлемым или ожидают значительной финансовой отдачи, понимая, что чем-то придется пожертвовать.

Утрированная ситуация — это зиц-председатель в банде у мошенников, который получает за свою непыльную работу большие деньги, при этом понимая, что, возможно, придется «посидеть».

Принятие риска, как правило, характерно для потенциально прибыльных ситуаций: инвестирования в стартапы, выхода на новые рынки или использования новых технологий. То есть там, где ожидается прибыль, сопоставимая или превышающая убытки, при вероятном провале проекта или предприятия.

Еще одной крайней ситуацией является форма принятия риска посредством негласно устанавливаемой для топ-менеджеров линии отсечения, хищения ниже которой не подлежат пресечению и наказанию. В такой ситуации Собственник бизнеса понимает и позволяет управленцу украсть немного, ожидая, что выгода от его деятельности все же превысит убытки от хищения.

Один мой знакомый — владелец песчано-гравийного карьера закрывал глаза на то, что директор его компании поставил на его территории свой бетонно-смесительный заводик, рассчитывая, что это поднимет продажи песка и гравия.

В итоге на заработанные деньги тот инициировал создание проблем для хозяина, чтобы отобрать у него весь бизнес.

Поэтому, принимая риск, необходимо учитывать возможные негативные последствия и, ожидая возможные потери, заранее постараться разработать меры по их предотвращению или сведению отрицательных последствий к минимуму, таким образом переходя к стратегии минимизации.

— минимизации (предупреждения, предотвращения) риска. Иными словами, сократить риск через снижение или уменьшение вероятности его возникновения и/или его влияния в материальном выражении.

Бороться предлагается путем: диверсификации, гарантийных обязательств и, конечно, через построение эффективной системы внутреннего контроля.

Диверсификация рисков: распределение инвестиций между различными видами активов или проектами для снижения вероятности потери всех инвестиций.

К примеру, девелопер рассчитывает заработать на продаже коттеджей на, скажем, плавучих островах — чем не стартап? Он понимает, что покупатели, возможно, отнесутся к такой новинке с прохладцей, да и сыростью там все время будет пахнуть.

Поэтому этот проект он реализует не в своей основной компании, строящей уютные и сухие квартиры на твердой земле, а регистрирует отдельное общество. Делает он это для того, чтобы провал «плавучего» проекта не затронул финансы, имущество, репутацию и способность основной компании отвечать по своим обязательствам.

Кстати, такой вид диверсификации помогает снизить корреляцию между активами, когда отрицательные изменения в одном активе не будут влиять на другие.

— передачи риска путем перекладывания негативных последствий на третью сторону (страхование, аутсорсинг, аутстаффинг).

Передача рисков может быть полезной, позволяя сосредоточиться на основных задачах и не беспокоиться о возможных потерях. Однако она имеет свои недостатки:

— увеличение себестоимости для передающей стороны — выплата премии страхователю, принимающему на себя риск убытков, связанных с определенными событиями, которые могут произойти в будущем (например, пожар, кража или гибель груза);

— снижение уровня контроля над ситуацией — аутсорсинг, когда компания передает на сторону обслуживание своих IT-систем, чтобы снизить риски, связанные с их некачественным управлением, поддержкой и обновлением, или аутстаффинг — приобретение услуг по предоставлению персонала, управлению им и выполнению определенных задач (заемный персонал).

Ретейлеры обычно пользуются услугами таких компаний, передавая функцию подбора, управления персоналом и его мотивации сторонней организации, но качество и добросовестность таких работников остаются на совести компании-подрядчика и могут негативно сказаться на репутации ретейлера, особенно если аутстаффер не выполняет свои обязательства должным образом.

В настоящее время в России аутстаффинг запрещен.

Форвардные контракты и фьючерсы также являются распространенным инструментом передачи риска, особенно когда невозможно спрогнозировать изменения (колебания) цен на товары или курсы валют. По ним покупатель обязуется купить, а продавец — поставить какой-либо товар в определенный срок и по заранее оговоренной цене. При этом от совершения сделки ни один из них отказаться не имеет права, чем гарантируется долгосрочная фиксация цены и наличие (обеспечение поставки) товара в нужный срок в будущем.

Процесс управления рисками в каждой компании индивидуален (если есть вообще) и разрабатывается с учетом ее размеров, сложности производства и количества бизнес-процессов, финансовых показателей и даже географии бизнеса. В этих условиях задача менеджмента состоит в том, чтобы обеспечить, ну или хотя бы стремиться к организованному и систематизированному процессу управления рисками.

Отдельно стоит сказать про особенности управления рисками в госсекторе. Дело в том, что государство в принципе вынуждено браться за те проекты (льготная ипотека, строительство дорог, газификация, программы субсидий и т. п.), которые для рыночной экономики не выгодны, но они решают насущные проблемы населения. Такие проекты преследуют цель не обогащения инвесторов, а обеспечение благополучия граждан, и отсутствие прибыли или заведомая убыточность при выборе стратегии реагирования на риски здесь будет не решающими факторами.

Хотя можно рассматривать граждан страны в качестве инвесторов, вкладывающих через систему налогообложения денежные средства в реализацию проектов.

Цели контроля

Поговорив про природу контроля, теперь перейдем к тому, для чего он нужен.

Цели контроля — это конкретные результаты, которые мы ожидаем от создаваемого или существующего контроля.

Такими целями в классическом понимании являются:

1. Обеспечение выполнения планов и задач организации.

2. Обеспечение соответствия деятельности организации установленным стандартам и правилам (как внутренним, так и внешним).

3. Выявление и исправление ошибок и недостатков в работе.

4. Контроль затрат и предотвращение потерь.

5. Оценка и повышение эффективности работы сотрудников, подразделений, бизнес-процессов и т. д.

6. Мониторинг выполнения планов и достижения целей.

7. Предотвращение мошенничества и других противоправных действий.

8. Сбор информации, мониторинг и анализ процесса и результатов работы организации для принятия управленческих решений.

Написал перечень, собрался раскрывать каждую из целей и понял, что сформулированы они так четко и понятно, что в общем-то и не требуют особых разъяснений!

Контрольные процедуры выявят, проанализируют, продемонстрируют и помогут в устранении проблем и отклонений, которые возникают в процессе работы организации. Они оценят эффективность работы, начиная с работы станка и заканчивая интегрированной экосистемой; посчитают затраты и предупредят потери; наполнят актуальным содержанием важнейший¹² для организации управленческий учет. И все это в совокупности будет способствовать достижению целей организации, повышению ее выживаемости и даже росту.

Отдельно обращу внимание, что воззрение создателей контроля на ошибки и потери может отличаться от обывательского.

Очевидный пример — это введение пруденциального регулирования в банковской системе. Инструментом контроля здесь выступает коэффициент достаточности капитала, когда Центробанк страны ограничивает сумму, на которую банк может выдавать кредиты — не выше определенной доли от собственного капитала банка.

Казалось бы, дешевые и доступные заемные средства способствуют росту экономики. Однако большого ума кредитовать каждого встречного-поперечного не нужно, но бесконтрольная раздача денег может поставить под угрозу способность этого банка отвечать по своим обязательствам. А в случае кризиса платежеспособности и начала массового изъятия вкладов из одного банка это спровоцирует общую панику и тяжелые последствия для всей банковской системы страны. Поэтому регулятор (Центробанк, реже — государство) стремится держать такие ситуации сказочной щедрости под контролем.

Сформулировав цели существования контроля, теперь подробно рассмотрим базовые правила и требования, которыми руководствуются при его создании, ибо здесь сконцентрировано одновременно несколько действующих элементов, и необходимо вникнуть в суть каждого.

Принципы контроля

Что такое принципы? Это свойства. Это признаки, которые должны быть у человека, события, явления, чтобы для окружающих идентифицироваться как человек, событие и явление. Но смотрите, по улице бежит трехногая собака. Она перестает быть собакой? Нет, но это отклонение от нормы, и нормальная, полноценная собака все же должна бегать на четырех лапах.

Именно по этой причине, а не потому, что мне вдруг захотелось свой научпоп превратить в совсем уж занудное академическое пособие, мы сейчас и рассмотрим принципы контролей.

Итак, наши здоровые и жизнерадостные контроли предполагают наличие:

1) целеустремленности (нацеленности на результат);

2) объективности;

3) обоснованности;

4) эффективности;

5) полноты;

6) регулярности (непрерывности);

7) экономичности;

8) прозрачности (простоты);

9) своевременности;

10) компетентности проверяющих.

Нацеленность на результат — это подход к созданию (проектированию) и осуществлению контроля, который предполагает контроль не ради процесса (сбор информации, выявление отклонений, наказание и увольнение виновных), а для решения задач, стоящих перед организацией.

Этот принцип предполагает смещение акцента с выявления проблем и ошибок, как конечного результата контроля, на определение их причин и разработку мер по их устранению. И в идеале должен помогать руководству корректировать существующие и формулировать новые цели, которые обеспечат процветание или как минимум выживание компании в будущем.

Нацеленность на результат предполагает, что контроль проектируется для достижения конкретных целей, а его механизм: осуществляемые наблюдения и собираемые в процессе контроля, заранее определенные ключевые показатели (данные), важны для достижения поставленных целей, а не ради процесса.

В начале 2000-х в одном банке я столкнулся с дедушкой, который регулярно и очень скрупулезно заполнял толстенные гроссбухи цифирями из получаемых от разных подразделений отчетов. На вопрос, как он анализирует и кому он передает собранную информацию, он с обидой ответил, что не лаборатория и анализами не занимается, но с гордостью добавил, что в прошлом году у него пару цифр уточняли для Совета директоров.

Так вот, это не контроль, это хобби по коллекционированию информации.

Объективность. Механизм контроля должен демонстрировать беспристрастное и непредвзятое отношение к процессу проверки и результатам исследования. Другими словами, он должен проводиться на основе максимально возможных объективных данных, без влияния личных симпатий и предпочтений, субъективных оценок и суждений.

Все это нужно хотя бы потому, что, соблюдая объективность, мы получаем самую достоверную информацию о состоянии контролируемого объекта, которая станет лучшей основой для принятия обоснованных и эффективных решений.

Независимость и объективность — это притча во языцех, альфа и омега внутреннего аудита, разговор о которых у нас впереди в главе 9.

Обоснованность ставит вопрос: «А нужен ли контроль?» Здесь надо определиться с необходимостью наличия данного конкретного контроля, исходя из важности контролируемого процесса (объекта контроля) для функционирования бизнеса. Контроль должен содействовать обеспечению эффективной работы организации (не путать с эффективностью самого контроля как принципа).

В одном крупном российском банке придумали способ контроля сотрудников, задерживающихся с обеда, и стали блокировать карты работников ровно в 14:00. В итоге парализовали работу бюро пропусков, через которое опоздавшие писали объяснительные и вызывали сотрудника службы безопасности, а посетители и клиенты банка при этом выстаивали очереди вслед за ними; парализовали работу службы безопасности, сотрудники которой были заняты хождениями туда-обратно, принимая объяснительные и в индивидуальном порядке разблокируя доступ опоздавшим, уже написавшим объяснения, и тем сотрудникам, которые имели неосторожность выйти из офиса по рабочим вопросам и не вернуться до 14:00; парализовали работу отдела кадров, сотрудники которого целыми днями оформляли бесконечные выговоры за опоздание на четыре минуты и визировали служебные записки тем сотрудникам, которым надо было выйти из офиса по рабочим вопросам в обеденное время. Коридоры и подоконники банка в обед превратились в едальню с соответствующими запахами, так как работники стали брать обед на работу.

После этого стали бороться… с плохими запахами, и у микроволновок поставили сотрудников отдела кадров и службы безопасности, которых обязали следить, чтобы сотрудники не разогревали рыбу!

Еще пример: сотрудники отдела кадров одной крупной московской компании решили выслужиться, организовав тотальный контроль рабочего времени сотрудников, и ввели ограничение на посещение туалета. Для этого в туалетах на кабинках поставили магнитные замки со входом и, главное, выходом по электронным пропускам. Бедолагам, которые одномоментно провели в туалете более трех минут или суммарно за день более девяти минут, автоматически блокировался выход на волю. «Проштрафившиеся» вынуждены были стучать в дверь или звонить в службу безопасности, сотрудник которой приходил в туалет разблокировать дверь и вел нарушителя в отдел кадров писать объяснительную.

В обоих случаях контроль вводили ради процесса, а не ради результата. Такой контроль не имеет абсолютно никакой ценности для бизнеса, перегружает документооборот, в разы увеличивает нагрузку на бэк-офис и демотивирует сотрудников.

Контроль должен измерять и оценивать только то, что действительно важно, в то время как сложный или избыточный механизм будет размывать и обесценивать полезную информацию в потоке спама.

Эффективность. Если еще не забыли, то об эффективности мы уже говорили выше, когда рассматривали оценку как элемент самого контроля. Так что эта черта в равной степени присуща как элементу, так и явлению контроля в целом.

Принцип эффективности также способствует достижению целей организации и задает вопрос: «А работает ли контроль?», призывая выбрать наиболее верный способ его функционирования. И выбор состоит не только в нахождении оптимального соотношения между затраченными на контроль ресурсами и достигнутыми при его помощи результатами.

Цель любого контроля заключается не в сборе данных, определении стандартов и выявлении проблем. Все это лишь инструментарий и способ достижения главного — решения задач, стоящих перед организацией. И измерение показателей, и информирование о результатах важны как способ достижения именно этой цели.

Для повышения эффективности контроля необходимо следить за тем, чтобы очевидные инструменты контроля не занимали более важного места, чем истинные цели организации.

Что толку иметь ворох информации о проблемах и ошибках, если она не используется для принятия мер по их исправлению. Результаты контроля ценны только тогда, когда они доходят до руководителей, которые могут принять на их основе правильные решения.

Теоретик менеджмента Майкл Мескон был более категоричен по части эффективности:

«Система контроля,
которая не позволяет устранить серьезные отклонения прежде,
чем они перерастут в крупные проблемы,
БЕССМЫСЛЕННА!»

Это, кстати, и о приоритете предварительного контроля над текущим и последующим.

Принцип полноты интересуется: «А везде ли мы посмотрели, где надо было посмотреть?» Это о необходимом количестве контрольных точек, которые в итоге дадут нам желаемый результат и обеспечат максимальную степень той самой эффективности.

Этот принцип является одним из ключевых инструментов для обеспечения эффективности и результативности процессов управления! Он предполагает сбор, анализ и использование всей необходимой доступной информации для принятия решений, что позволяет повысить качество принимаемых решений, выявлять проблемы на ранних стадиях, оценивать результаты деятельности и определять направления для улучшения. Без надежной и актуальной информации контроль будет затруднен, если не парализован вовсе, а его результаты окажутся ошибочными. Поэтому важно уделять внимание качеству данных, проверять их достоверность, актуальность и своевременность.

В одной организации я столкнулся с авторитетной дамой, повышавшей свою значимость, придерживая поступающую информацию. Она, как бы невзначай, передавала ее коллегам только после того, как они докладывали вышестоящему руководителю устаревшие сведения. И вот тогда появлялась она, вся такая компетентная и на голову более профессиональная!

Все бы ничего, если бы дело не происходило в службе безопасности одной из крупнейших российских компаний, где такие игры чреваты серьезными последствиями для бизнеса в целом.

НО! Здесь надо быть аккуратным, выбирая между полнотой информации и теми выгодами, которые принесет ее получение. Если наш полновесный контроль создает проблемы для контролируемого процесса и/или бизнеса в целом, то его, очевидно, следует изменить.

Пример: контролер по охране труда приходит в цех и приглашает прораба в каптерку проверить сменный журнал и наряды-допуски. Оставшийся в цехе рабочий без пригляда прораба забывает снять страховочный тормоз, запуская двигатель. В итоге сошедшая с рельсов вагонетка убивает его.

Так вот, проверяющий вполне мог дождаться окончания манипуляций или посетить цех в перерыве.

Принцип регулярности (непрерывности) говорит о проведении проверок или измерений на постоянной основе для качественного отслеживания динамики процессов и показателей. При этом регулярность контроля может быть разной, в зависимости от специфики процесса и поставленных задач.

Поэтому важно определить оптимальную частоту контроля, которая позволит своевременно реагировать на изменения, но не будет избыточной и не потребует больших затрат ресурсов. Слишком частый контроль будет избыточным и потребует больших затрат ресурсов, а слишком редкий — не позволит своевременно реагировать на отклонения. Помните пример про ракету?

По моим наблюдениям, однажды формально проведенная или пропущенная инвентаризация ТМЦ уже на следующий год станет поводом и мотивацией для хищений.

Экономичность контроля. Контроль неизбежно отнимает ресурсы, поэтому затраты на контроль должны приближать организацию к поставленным целям. А затраты бывают разными, кроме финансов они состоят из затрат времени, расходуемого на сбор, передачу и анализ информации, на отвлечение от прямых обязанностей проверяемых, из затрат на инструменты и оборудование для осуществления контроля, и т. д. и т. п.

Преимущества контроля должны перевешивать
затраты на его функционирование.

В итоге, если суммарные затраты на контроль превосходят создаваемые им выгоды, следует задуматься о целесообразности такого контроля или же изыскать менее затратный способ. Или, как вариант, ввести менее тщательный контроль, который будет срабатывать только при наличии заметных отклонений. Основная проблема состоит в том, чтобы определить порог этих отклонений, которые в любом случае должны быть существенно ниже критичного уровня.

Очевидно, что остановка процесса сталелитейного производства будет стоить дороже, чем нарушения, выявленные при сверке с фактом лимитно-заборных карт на отпуск сырья в производство.

Таким образом,

уровень эффективности и экономической целесообразности контроля должен быть увязан с качественным управлением потенциальными рисками.

Экономичность практически неразрывно соседствует с понятием избыточности контроля.

Это когда в организации, которой нужно всего лишь построить одноэтажную пристройку к гаражу, создают Управление капитального строительства, пишут многотомный сборник с положениями, регламентами и блок-схемами, а всего надо было взять по договору ГПХ одного отставного прораба на период строительства, чтобы он за шабашниками присматривал, а подпись под актом выполненных работ не он, а директор, после личной приемки построенного, поставил.

Принцип прозрачности (простоты) предполагает определенность параметров контроля (что именно и как именно подлежит проверке?). Понимание контролируемыми того, что они должны делать и о чем отчитываться, предполагает стремление соответствовать этим параметрам. А доведение результатов до сотрудников в идеале позволяет им улучшать свои навыки и повышать качество работы и способствует отношению доверия к результатам контроля и принятым на его основе решениям.

Поэтому идея, лежащая в основе желания сделать процесс контроля наглядным и видимым, не в том, чтобы фиксировать ошибки или хищения, а в том, чтобы предотвратить их. Замысел в том, что работники, зная о том, что контроль существует и действует эффективно, будут сознательно стремиться избегать ошибок и умышленных нарушений. Это само по себе увеличит возможность контроля сблизить реальные результаты с желаемыми.

У данного принципа есть полезный побочный эффект, так как понимание механизма контроля помогает снизить вероятность ошибок и злоупотреблений, связанных с неправильным использованием или сокрытием информации.

Удивительный пример наглядной демонстрации важности данного принципа я наблюдал, беззаботно попивая кофе на летней веранде одной очень популярной сети кофеен.

Управляющая вышла на улицу проверить работу уборщицы. Та к этому времени до блеска отмыла с мылом и насухо протерла все ограждения веранды. Уличив момент, когда уборщица отвернулась, управляющая нагнулась и указательным пальцем провела по полу, жирно испачкав его. После этого она подошла к уборщице, провела по чистому ограждению средним пальцем и, быстро загнув его, с недовольным видом сунула той под нос грязный указательный палец.

Пример, конечно, утрированный, и вряд ли управляющая преследовала в данной ситуации какую-то материальную выгоду, скорее — просто самоутверждалась за чужой счет. Но вот если бы уборщица видела и понимала процесс проверки, то фокус с подменой пальца не прошел бы.

Справедливости ради обмолвлюсь, что иногда все же отсутствие понимания у контролируемых сути контрольной процедуры бывает полезно компании.

Средневековый шотландский математик и алхимик Джон Непер (кстати, изобретатель логарифмов) по вполне очевидной причине слыл у окружающих колдуном. Тем более что, являясь еще и астрономом, жил в башне.

Так вот, Непер, будучи далеко не бедным человеком, использовал эти слухи к своей пользе, как бы невзначай доведя до сведения своих работников, что имеет особого черного петуха, который умеет разоблачать воров.

Заподозренного в воровстве слугу он заставлял войти в комнату и погладить петуха. Правда, перед этим Непер мазал перья птицы золой. Если слуга был нечист на руку, то он избегал гладить петуха и выходил из комнаты с чистыми руками. Естественно, тут его хозяин сразу понимал, что слуга, очевидно, лукавит.

Принцип своевременности (релевантность информации) печется о максимальной пользе незамедлительного представления информации о выявленных отклонениях для сведения и нужд менеджмента, уполномоченного принимать управленческие решения.

Своевременный контроль позволяет организации быстро реагировать на изменения внешней среды и адаптироваться к новым условиям, он помогает сохранять конкурентоспособность, снижать риски и повышать эффективность работы.

И главное, своевременный контроль позволяет выявлять проблемы на ранних этапах, до того, как они примут серьезный масштаб, что снижает затраты на их устранение (конечно, если этот контроль изначально не проектировался, как последующий).

Так, контроль полноты заполнения кодов бюджетной классификации важен в процессе заполнения платежной формы по налогу, а не в конце дня, когда этот платеж уже ушел не в тот бюджет.

Еще пример: выявление утечки хладагента в двигателе космической ракеты при предстартовой подготовке и вынужденная остановка старта куда актуальнее и своевременнее, чем срабатывание контрольного датчика утечки на третьей минуте полета, когда никакие исправления уже невозможны.

Принцип профессионализма и компетентности предусматривает, что сотрудники организации, осуществляющие процедуры внутреннего контроля, должны обладать достаточными знаниями и навыками для осуществления данных мероприятий, постоянно повышать свою квалификацию и быть в курсе новых методов и технологий в своей сфере деятельности.

Ряд авторов¹³ предлагает еще ряд принципов, с необходимостью которых сложно не согласиться:

1) принцип приоритета;

2) принцип соответствия;

3) принцип сохранности;

4) принцип адаптивности системы контроля.

Принцип приоритета говорит о том, что менеджмент должен выбирать контроль, начиная с наиболее важных и критичных процессов и показателей, которые оказывают наибольшее влияние на достижение целей организации (от более существенных к менее важным). Естественно, приоритетность всякий раз будет разной в зависимости от того, что собираемся контролировать.

Так, в производстве в первую очередь будет уделяться внимание проверке качества и контролю затрат выпускаемой продукции, которая пользуется наибольшим спросом у покупателей.

В контроле промышленной безопасности приоритетными будут процессы и оборудование, связанные с повышенным риском для здоровья работников и окружающей среды.

В комплаенсе (контроль соблюдения законодательства и нормативных требований) проверка в первую очередь проводится в областях, где нарушения будут иметь наиболее серьезные последствия для организации (остановка производства, арест счетов, штрафы и пени).

Соответствие¹⁴ в отличие от остальных принципов несколько субъективно, поскольку данный критерий требует необходимости совпадения конкретного контроля, как инструмента управления компанией, с потребностями и ожиданиями управляющего менеджмента и/или собственника.

Возвращаясь к примеру с банком, в который не пускали опоздавших с обеда, еще расскажу: хозяин банка, посетив офис проездом с отдыха в отпуск и увидев обеденный переполох, озадачил управляющую вопросом: «Это чо?»

Та обильно покраснела: «Ну вы же хотели, чтобы все было по-серьезному!»

Наклонившись с высоты своего двухметрового роста, собственник взял ее за загривок и тихо сказал на ухо: «Я сказал — кра-си-вень-ко!»

Субъективность соответствия также в том, что удовлетворенность управляющего менеджмента результатом существования контроля еще не говорит о его соответствии принципам обоснованности, эффективности, полноты и своевременности, рассмотренным выше.

Принцип сохранности устанавливает нижнее пороговое требование к создаваемому контролю, как минимум обязанному обеспечивать сохранность имеющегося имущества, информации, производственных и бизнес-процессов и т. д.

Один знакомый олигарх, уезжая по делам, напутствовал замов словами: «К моему возвращению чтобы хуже не было!.. Лучше — тоже!»

Потому что изменение любых переменных, в любую сторону, влечет диспропорцию системы в целом.
А ее к этому необходимо подготовить!

Очевидно, что структура каждого конкретного контроля зависит от контролируемого процесса и от владельцев этого контроля.

Так, вряд ли будет правильным требовать от оператора дробилки скальной породы осуществлять контроль за частотой колебаний молота (в силу образования и загруженности чисто механическими задачами), а верным будет поручить этот вопрос датчику автоматизированной системы с передачей информации в диспетчерский центр управления горно-перерабатывающей фабрики.

Принцип адаптивности (гибкости) предполагает постоянную работу с существующими контролями:

— по подстраиванию их структуры и содержания к изменениям в деятельности компании (производственной цепочке, планах руководства и т. д.). Изменение методов контроля должно происходить в зависимости от изменений в процессах и продуктах: если процесс или продукт меняется, то и методы контроля должны быть адаптированы к новым условиям;

— по постоянному совершенствованию процессов, систем и подходов к контролям с целью повышения их эффективности и результативности. По моему глубокому убеждению, контроли также жизненно важно регулярно пересматривать на предмет обновления, потому что пытливый ум сотрудников компании, а иногда и внешних любителей наживы, может со временем придумать пути и способы их обхода.

К примеру, в одном парфюмерном магазине стали обнаруживать флаконы дешевого контрафакта в упаковках дорогущих импортных духов. В поставщике сомневаться не приходилось — упаковки приезжали в опечатанном контейнере, с системой защиты от вскрытия, которой позавидует банк. Весь торговый зал и склад просматриваются камерами, но шмурдяк вместо божественного аромата появлялся снова и снова.

В итоге выяснили, что камера над кассой смотрит четко в опору несущей конструкции, перекрывая обзор манипуляций кассира. Просмотрев архив, увидели интересную картину, когда изначально полностью просматриваемая касса каждый день на протяжении пары недель постепенно меняет положение, медленно скрываясь из вида. Пошагово промотав запись, установили, что одна из сотрудниц каждый день как бы невзначай врезалась в прилавок с кассой, постепенно сдвигая его. Ее-то и застали за подменой товара, когда установили сбоку от кассы скрытую камеру.

— по выбору подходов к контролю, исходя из способности учитывать специфику каждого конкретного случая.

К примеру, с установкой автоматизированной системы на базе ГЛОНАСС, фиксирующей передвижение техники, заправки и сливы топлива, при контроле отпуска ГСМ первоочередное внимание теперь следует уделять отчетам системы и протоколам ошибок в работе контрольных датчиков, и только потом ведомостям отпуска топлива, присутствию водителя-заправщика и путевым листам.

Ориентируясь на вышеуказанные цели и принципы, менеджмент и внутренний аудит способны оценить качество и эффективность каждого конкретного контроля.

Контрольная среда

Неизбежно вокруг осуществляемой деятельности, устанавливаемых контролей и форм реагирования со стороны организации на риски складывается среда, характеризующая значение, придаваемое данной организацией сфере внутреннего контроля.

В теории эту многоплановую и многовекторную систему принято называть контрольной средой. По сути — это идеология организации в сфере внутреннего контроля, отношение ее руководства и сотрудников к системе в целом.

Это — неписанная Конституция, отдельные положения которой, касающиеся контрольной среды, могут быть частью:

а) стратегии компании, декларируемых ею целей и ценностей;

б) правил поведения (кодекс корпоративного управления, кодекс деловой этики);

в) организационной структуры компании;

г) функционала отдельных подразделений, должностных инструкций;

д) учетной политики;

е) кадровой политики, ключевых показателей эффективности, системы оплаты труда.

Одним из основных факторов этой идеологии является стиль работы руководства организации, которое своим уважительным отношением к контролям задает аналогичную установку для сотрудников. В переводной литературе это называется «тон сверху».

В таких условиях контрольная среда становится основой для эффективного внутреннего контроля, она обеспечивает дисциплину и согласованность работы всей системы.

Зрелая контрольная среда может нивелировать недостатки контроля отдельных процессов. Но неполноценность контрольной среды как системного и комплексного механизма неизбежно повлечет снижение эффективность любых идеальных контролей.

Одна из задач внутреннего аудитора — способствовать улучшению контрольной среды в своей компании. А она, в свою очередь, будет благотворно влиять на прозрачность и качество работы организации, приближать ее к достижению поставленных целей. Более того, благотворная контрольная среда способна упростить работу самого внутреннего аудитора, которому в таких условиях будет проще выявлять отклонения и ориентироваться в сложной, многоплановой структуре и деятельности компании.

Виды контролей

Классификаций контролей по разным признакам существует огромное количество. Мы рассмотрим основные.

По времени осуществления различают предварительный, текущий, заключительный контроль.

— предварительный контроль выполняется до начала контролируемого события и преследует цель обеспечения необходимых условий для бесперебойной и качественной работы основного контролируемого процесса. По сути, он предвосхищает будущие нежелательные ситуации, которые могут возникнуть после его начала.

Ранее приведенный пример с выявлением утечки хладагента в двигателе космической ракеты при предстартовой подготовке и вынужденная остановка старта — это пример предварительного контроля, предвосхищающего развитие аварийной ситуации и гибели ракеты после начала полета, когда никакие исправления уже невозможны.

Осуществляется предварительный контроль в соответствии с ранее установленными правилами и процедурами, строгое соблюдение которых помогает убедиться (но не гарантирует), что контролируемый процесс идет в заданном направлении. Если инструкции написаны четко, а формулировки доведены до подчиненных понятным образом, это повышает вероятность того, что процесс будет функционировать так, как было запланировано. А в процессе предварительного контроля загодя будут выявлены и устранены отклонения, которые могут помешать нормальной работе.

Так, промышленные организации устанавливают обязательный входящий (предварительный) контроль используемых ими материальных ресурсов. Делается это путем:

— определения стандартов минимально допустимого качества этих материалов;

— проведения проверок поступающих материалов (т. н. входящий контроль);

— выбора надежного поставщика, доказавшего возможность своевременной поставки материалов, соответствующих установленным требованиям.

Удивительно, но к предварительному контролю вполне относимо обеспечение неснижаемого остатка материальных запасов на складе, поскольку это гарантирует в дальнейшем бесперебойную работу производства, потребляющего эти материалы.

Средством предварительного контроля финансовых ресурсов является бюджет, который обычно ассоциируется с этапом планирования, а не контроля. В качестве предварительного контроля заранее выполненное бюджетирование дает уверенность в наличии необходимых денежных средств и того, что сделанный резерв на данную цель не будет неожиданно использован на другие нужды.

Инструкция по охране труда, техосмотр техники, входной контроль бетона на стройке, предполетная подготовка ракеты, проверка банковских реквизитов в окошке платежного терминала, проверка кандидата на работу службой безопасности — все это примеры предварительного контроля.

— текущий контроль осуществляется в ходе выполнения контролируемого события или процесса и включает наблюдение, проверку и оценку хода выполнения задачи в режиме реального времени. Такой контроль позволяет выявить и исправить ошибки и нарушения в самом начале их появления, чем способствует качественному выполнению работы (функционированию процесса).

Чаще всего (но далеко не всегда) объектом текущего контроля являются подчиненные сотрудники, а сам он — прерогативой непосредственного начальника. Тогда сообщение начальника подчиненным (обратная связь) о том, что они делают ошибки, позволяет своевременно скорректировать текущий рабочий процесс.

Так, прораб, стоящий над рабочими, изолирующими крышу — это текущий контроль.

Он позволяет выявить пропущенные в стадии предварительного контроля или вновь появляющиеся отклонения. Помимо этого, текущий контроль позволяет, по возможности, оперативно отреагировать и скорректировать процесс.

Автоматизированная система управления технологическим процессом, транслирующая на монитор в диспетчерскую параметры работы механизмов;

проверка заключаемого договора на соответствие законодательству;

контроль за соблюдением техники безопасности на рабочем месте;

контроль соблюдения санитарных норм на предприятии

— это тоже текущий контроль.

Ряд авторов отвязывают данный контроль от самого процесса, считая, что контроль, осуществляемый сразу после его завершения, тоже является текущим.

Это когда мастер выточил и принес на ОТК корпус новой гравицаппы, а контролер, измерив его, указал на нарушение установленных размеров. Теперь мастер учтет замечание, перенастроит управление станком и впредь будет тачать корпуса, строго соответствующие требуемому стандарту.

— заключительный контроль направлен на предотвращение выявленных ошибок и отклонений в будущем путем проверки качества выполненной работы.

В случае с данным контролем проблема уже возникла/нарушение произошло, мы выявляем их при сравнении с имеющимся стандартом (желаемым развитием событий) и принимаем решение о способах устранения отклонений.

Кстати, кроме всего, заключительный контроль предоставляет руководству организации информацию, необходимую для планирования. Сравнивая фактические и требуемые результаты, менеджмент способен оценить, насколько реалистичными были имеющиеся планы. Эта процедура, помимо информации о возникающих проблемах, позволяет и скорректировать будущие планы, чтобы избежать подобного.

Помните пример про розничную торговую компанию, где продавцы регулярно перевыполняли сильно заниженный план продаж и получали гигантскую премию за это?

Вот заключительный контроль, позволивший в первый раз за несколько лет выявить эту ситуацию, и позволил этот план, наконец, поменять, исключив затраты на необоснованное премирование.

Примерами заключительного контроля также являются:

— план-факт анализ;

— работа отдела ОТК;

— анализ эффективности работы сотрудников по результатам выполнения задач;

— проверка лабораторных работ студентов преподавателем.

Один знакомый олигарх в «благословенные» 90-е гг. изобрел еще и окончательный контроль.

Заскучав, он прогуливался по этажам своего офиса, заглядывая в принтеры/сканеры в коридорах в поисках забытых там документов. Находки молча сдавались начальнику службы безопасности. Молча, потому что наказание для провинившихся было только одно — мгновенное увольнение.

По степени воздействия контроля:

1) первичные:

— предупреждающий — для предотвращения нежелательного события.

То есть он сконструирован и направлен на:

— выявление и устранение потенциальных угроз и рисков до того, как они приведут к негативным последствиям;

— раннее обнаружение потенциальных проблем и угроз посредством постоянного мониторинга ситуации, анализа поступающей информации и максимально оперативного реагирования на возникающие проблемы.

Разделение обязанностей, проверка сальдо бухгалтерской программой, тендерная процедура, проверка правильности ввода данных, контроль доступа к информации — это он, предупреждающий контроль.

— устанавливающий — его вполне можно назвать видом предупреждающего.

Это процесс, при котором система или объект приводятся в определенное состояние, соответствующее требуемому.

Предполетная подготовка, настройка параметров, калибровка оборудования, установка новых компонентов, даже выставленная на утюге температура или температура на кондиционере — это все устанавливающий контроль.

Устанавливающий контроль увеличивает вероятность наступления желательного события не только приведением в определенное состояние, но и создавая условия для этого посредством доведения информации о правильном выполнении процедур: инструкции по заполнению форм, тренинги, стандарт подготовки финансовой отчетности и т. д.

— выявляющий — это процесс обнаружения возникших ошибок, нарушений и других негативных событий и своевременное принятие мер для их устранения. Он может включать в себя анализ данных, проверку документов, интервью с сотрудниками и другие методы.

Примерами выявляющего контроля также являются:

— инвентаризация;

— анализ финансовых отчетов на предмет ошибок и несоответствий;

— проверка соблюдения законодательства и нормативных требований;

— проведение внутреннего аудита;

— расследование мошенничества или других нарушений;

— сверка с контрагентом;

— сработавший датчик низкого уровня масла в машине;

— измерение температуры у понурившегося ребенка;

— корректирующий — нивелирует наступившее отрицательное событие, внося изменения с целью устранения выявленных отклонений от заданных параметров: автоматизированная программа контроля неснижаемого остатка на складе, автоматическое выключение механизма при падении уровня масла, система пожаротушения.

2) вторичные:

— компенсирующий — использование данного вида контроля позволяет компенсировать последствия несрабатывания (неэффективности) первичного контроля за счет снижения риска до уровня, который сделает его более управляемым.

К компенсирующему контролю основное требование — повышать уверенность в качественном функционировании контролируемого процесса. Такой контроль ни сам, ни в комплекте с другими компенсирующими контролями не позволит снизить риск до приемлемого уровня. Поэтому он имеет исключительно вспомогательный характер, действует в дополнение к первичным и лишь в целом способствует повышению управляемости процессом.

По сути, компенсирующий контроль позволяет ограниченно решать только единичные ситуации в расчете на то, что в дальнейшем будет проанализирована ошибка основного контроля и произведена его отладка.

В лифтовой шахте все видели мощные пружины в приямке? Это компенсирующий контроль на случай, если не сработают ловители (тормоза) кабины лифта. Он не решит проблему в целом, но способен минимизировать последствия данной конкретной аварии в расчете на то, что следом будет установлена причина поломки основных тормозов и восстановлена их работоспособность.

Некоторые авторы предлагают рассматривать компенсирующие контроли как альтернативу основным, но, на мой взгляд, есть весьма весомая разница в том, сработает ли лифтовый тормоз (основной контроль), и вас просто резко тряхнет, или, в качестве альтернативы (не дай бог!), придется прилететь на пружины с высоты n-дцатого этажа.

— взаимодополняющие контроли (комплиментарные). Ряд авторов выделяет их как вид, а по сути это — всего лишь эффект от совокупного воздействия первичных контролей.

К примеру, проверка контрагента сотрудниками Службы безопасности, проверка коммерческого предложения участника тендера на соответствие техническому заданию являются предварительными и предупреждающими контролями.

В их процессе предотвращается ситуация заключения договора с компанией-однодневкой, неплатежеспособной организацией или компанией, не способной предоставить организации качественные товары, работы или услуги.

Включение требований по охране труда в положения договора СМР с подрядной организацией будет предупреждающим и устанавливающим контролем, потому что увеличивает вероятность правильного поведения на строительной площадке.

Проверка работников организации на состояние алкогольного опьянения перед допуском на промышленную площадку является первичным, предупреждающим и выявляющим контролем. Такая процедура предупредит:

— появление на опасном производственном объекте неадекватных людей;

— их гибель или травмирование;

— выход из строя сложного технического оборудования и остановку производства.

Проверка своевременной поставки материалов контрагентом по одной классификации будет текущим, а по другой первичным выявляющим контролем. Он позволит в настоящем времени выявить и не допустить остановки производственного процесса.

Проверка раздельного хранения баллонов с кислородом и ацетиленом в процессе проведения газовой сварки будет текущим, первичным и корректирующим контролем. Здесь отрицательное событие — нарушение порядка хранения баллонов уже наступило, но пришедшая проверка сможет нивелировать риск взрыва, расставив баллоны по сторонам.

Сверка задолженности с контрагентом — первичный выявляющий контроль, но по первой классификации он — последующий, поскольку выявляется возможный пропуск платежей или наличие неотработанного аванса, но, как правило, выполняется такая сверка на конец года или при закрытии договора.

По объему вопросов, охватываемых контролем:

— общий охватывает все участки деятельности организации, предприятия, филиала.

Он включает в себя контроль за выполнением задач, управление рисками, обеспечение качества продукции и услуг, а также контроль за соблюдением законодательства и нормативных требований;

— специальный. Это контроль за конкретными процессами, функциями или областями и сферами деятельности организации: контроль качества продукции, контроль финансовых операций, контроль безопасности производства и другие виды контроля;

— самоконтроль является атрибутом эффективной деятельности конкретного специалиста: свериться с технологической картой, план-графиком, графиком платежей и т. д.

В зависимости от положения контролера по отношению к объекту контроля:

— внешний предполагает контроль со стороны иной организации (государственных контролирующих органов, заказчиков, головной или управляющей компании). Интерес внешних контролеров, как правило, состоит в соблюдении объектом проверки требований, предъявляемых ему извне: соблюдение организацией законодательства (государство), контрактных обязательств (контрагенты), повышение эффективности ее деятельности (головная компания, акционеры);

— внутренний осуществляют контролеры внутри компании, для которых, как правило, контроль — функция в структуре организации (отдел контроля качества, ревизоры, внутренний аудит).

По направленности:

— стратегический — с позиции выполнения долгосрочных целей это процесс оценки и коррекции стратегии организации с целью обеспечения ее долгосрочной конкурентоспособности и успешного достижения стратегических целей.

Он включает в себя анализ внешней среды, оценку конкурентоспособности, мониторинг выполнения стратегических планов и принятие решений о корректировке стратегии в случае необходимости;

— тактический — это процесс управления деятельностью и ресурсами (финансовыми, трудовыми, производственными, материальными) организации на уровне отдельных проектов, подразделений и бизнес-процессов.

Он включает в себя планирование, организацию, координацию и контроль выполнения, как правило, среднесрочных задач, а также мониторинг и оценку результатов деятельности;

— оперативный — по сути, ежедневный контроль, осуществляемый непосредственно в процессе выполнения работ или оказания услуг. Он направлен на своевременное выявление и устранение проблем, возникающих в процессе работы, а также на оптимизацию рабочих процессов.

Например, контроль качества продукции на производственной линии, мониторинг финансовых операций в режиме реального времени, контроль температуры и влажности в теплице для поддержания оптимальных условий роста растений, контроль давления в шинах автомобиля во время движения.

По видам деятельности: финансовый, производственный, маркетинговый, логистический и т. п.

По предмету: контроль технологии, охраны труда, безопасности и т. д.

С учетом стадии производственного процесса: входной контроль, операционный, готовой продукции, транспортирования, хранения и т. д.

И, наконец, классификация по степени значимости:

— ключевой контроль — это основной механизм управления, который используется организацией для эффективного и результативного выполнения своих задач.

Он включает процессы, политики, процедуры, структуры и другие элементы, направленные на обеспечение руководства, направления и координации деятельности организации.

В силу своей роли, ключевой контроль:

— закрывает бо́льшее число задач, чем другие контроли;

— способен контролировать даже нешаблонные события;

— контролирует области, подверженные риску мошенничества;

— может использоваться в качестве компенсирующего для других контролей;

— компенсирующий, применительно к этой классификации — просто не ключевой.

Причина, по которой мы так подробно рассматриваем виды контроля, в том, что внутреннему аудитору необходимо разбираться в архитектуре и взаимодействии процессов и контролей в организации. И чтобы оценить работу системы внутреннего контроля, и чтобы дать рекомендации для их наладки и поддержания работоспособности, и чтобы правильно проверить.

Более того, по опыту,

управляющий менеджмент предпочитает пользоваться последующими контролями (выявляющими, когда все уже случилось), в то время как ценность контролей именно в возможности предупреждения, то есть в работе на опережение рисков.
Предупреждающий контроль экономит деньги компании и ее собственников.

Ключевые контроли и риски информационных технологий

А еще есть так-и-и-ие контроли, которых ни осознать, ни пощупать, да и защищают они то, что не овеществлено, но стоит всего бизнеса. В общем, извините, но сейчас будет про контроли в информационных технологиях (ИТ). Темка так себе, даже для посвященных, но, раз говорим про контроли, то заглянем и сюда.

Уже сейчас у десятка-другого профессий, без которых раньше и жизнь представить было сложно: бухгалтеры, журналисты, графические дизайнеры, переводчики, редакторы и т. д., — пошел обратный отчет, положенный искусственным интеллектом. Теперь информационные технологии дают миру практически неограниченные возможности для роста и развития, но сталось так, что они же несут серьезные угрозы системных сбоев, хищений (денег, данных, технологий) и мошенничества.

Оговорюсь все же, что на мой взгляд, по крайней мере в настоящее время, основную угрозу наравне с внешним вторжением (хакеры, вирусы), представляют и собственные, казалось бы, доверенные инсайдеры. Взломать или повредить корпоративную информационную систему намного проще, уже имея разрешенный (пусть даже и ограниченный) доступ к ней.

Но вернемся к ИТ. Эта штука является уникальной сферой, где важна непрерывность контроля, в первую очередь по причине непрерывности самого процесса. Но на практике средствам контроля в ИТ уделяется недостаточно внимания, так как они неочевидны и часто остаются незамеченными (вроде как само собой разумеющиеся) или вообще неизведанными.

При этом информационные технологии — это быстро меняющаяся и совершенствующаяся среда, в которой новые риски и угрозы возникают с громадной скоростью. Посему оценка рисков, как и средства контроля ИТ, должны также постоянно оцениваться и совершенствоваться.

Тем более что помимо, собственно, самой ИТ-среды и инфраструктуры, информационные технологии в организации обеспечивают не менее, если не более значимую функцию — автоматизацию производства (основного процесса) и функционирование традиционных (все более и более автоматизируемых) контролей.

Сама ИТ-инфраструктура обычно включает:

— аппаратные средства — физические технические устройства, обеспечивающие обработку, сбор и передачу информации;

— программное обеспечение, приложения — цифровые продукты, позволяющие системам и пользователям использовать ИТ-оборудование (вводить и извлекать информацию);

— средства коммуникации — устройства и линии передачи информации;

— протоколы — набор правил и последовательности действий, определяющих порядок обмена данными, выбор способа передачи информации и обработки ошибок;

— данные — собственно, сама информация, существующая в разных цифровых форматах;

— людей, оперирующих информацией и взаимодействующих с физическими и логическими элементами ИТ-системы.

Изучение и понимание компонентов ИТ-инфраструктуры в конкретной компании позволяет прикинуть, где «тонко», и предположить, что там-то и «порвется» в первую очередь.

Такие места называются уязвимостями информационной среды. Тогда же, задумавшись об увиденном, мы способны как минимум порассуждать, а лучше — разобраться с тем, что имеющаяся у нас ИТ-архитектура все же должна включать хотя бы минимальные средства контроля, способные обеспечить системе и компании базовую безопасность, а нам — временную успокоенность (покой нам только снится).

Эти самые контроли в ИТ варьируются от письменных корпоративных политик до их воплощения в виде запрограммированных команд; от защиты физического доступа до возможности отслеживать действия и транзакции исполнителей и лиц, санкционирующих их; от автоматического редактирования бланка до анализа больших объемов данных.

Средства ИТ-контроля подразделяют на:

— общие — которые применяются ко всем компонентам, процессам и данным информационной системы организации. Они образуют основу информационного контроля: разработка и обслуживание приложений, управление пользователями, логическая и физическая безопасность, управление изменениями, резервное копирование и восстановление, обеспечение непрерывности;

— прикладные (предварительные, последующие и корректирующие) — они предотвращают появление ошибок, пропусков или инцидентов безопасности, или, если случилось, то блокируют развитие нежелательных последствий или восстанавливают работоспособность системы.

Туда же относятся средства защиты от доступа неуполномоченных пользователей, антивирусы, межсетевые экраны и системы предотвращения вторжений;

— технические средства контроля — они индивидуальны и применяются для конкретных программ, операционных систем, баз данных, включая шифрование и регистрацию данных;

— физические средства контроля и средства контроля среды — предназначены для защиты оборудования и каналов связи (размещение серверов в закрытых помещениях с ограничением доступа; обеспечение помещений устройствами обнаружения задымления и пожаротушения);

— средства контроля системного программного обеспечения — методы, позволяющие контролировать логический доступ к приложениям (права доступа; разделение обязанностей; оценка, тестирование, предотвращение, обнаружение и постоянный мониторинг проникновений; шифрование);

— средства контроля разработки и приобретения программ подразумевают наличие контролируемого организацией метода разработки или приобретения прикладных систем.

Отдельно хотелось выделить разделение обязанностей.

Оно является одним из ключевых средств контроля не только в ИТ, но здесь оно должно обеспечивать защиту от несанкционированного внесения изменений или нецелевого использования информации.

Пересекающиеся обязанности и зоны ответственности, когда одно лицо может получить доступ к информации, изменить данные или использовать их без разрешения или возможности обнаружения таких действий, недопустимо. Поэтому запросы на доступ, изменение или использование должны быть отделены от согласования (подтверждения, авторизации) данного действия.

А то получится, как в США, где один умник, имея неограниченный доступ к программному приложению, которое управляет распределением опционов, в течение года по одной, по две притырил акции своей компании на общую сумму около 8 млн долларов и попался только в результате внутреннего аудита через несколько лет.

Вот не знаю, хвалить ли тут внутренних аудиторов, докопавшихся до истины, или ругать за то, куда они смотрели на протяжении стольких лет?!

Мы не обязаны знать все о средствах ИТ-контроля или их технических нюансах, но должны представлять принципы работы и способы снижения основных рисков. Сами же средства контроля относятся к сфере деятельности специалистов, которые управляют конкретными рисками в информационной системе и сетевой инфраструктуре.

Неоднократно споткнувшись и обжегшись, специалисты в ИТ-безопасности собрали перечень универсальных средств контроля, которые, по-хорошему, должны присутствовать в любом приложении:

1) средства контроля ввода данных, используемые для проверки информации, вводимой в программу, на предмет отклонений за рамки заданных параметров.

Это когда вы пропустили одиннадцатый нолик в номере счета, и система не дает вам нажать «ОК», пока вы не поставите его на положенное место;

2) средства контроля обработки данных — они обеспечивают и контролируют предоставление прав определенным лицам на это (авторизация), а также полноту и точность обработки данных;

3) средства контроля вывода данных, которые анализируют, что было сделано с данными;

4) средства контроля целостности данных, которые отслеживают обрабатываемые или хранящиеся данные для обеспечения сохранения их последовательности и корректности;

5) контрольный журнал — «маленькая желтая книжечка», в которую система автоматом записывает всех, приложивших руку к изменению хранящейся информации и/или параметров программ или операционных систем, обеспечивающих хранение и обработку этой информации.

При желании более подробно получить представление о контролях вы сможете из документов:

— COBIT 2019 — это методология управления информационными технологиями, разработанная Международной ассоциацией по аудиту и контролю информационных систем. Она сделана с фокусом на информационную безопасность и управление киберрисками. В ней описаны цели и принципы управления, объекты управления, ИТ-процессы и требования к ним, определен инструментарий для их реализации;

— ISO/IEC 27000 Серия международных стандартов «Информационные технологии. Методы обеспечения безопасности. Менеджмент информационной безопасности». Они разработаны Международной организацией по стандартизации и Международной электротехнической комиссией, и устанавливают требования к системе информационной безопасности;

— NIST SP 800-53 Revision 5 «Контроли безопасности и приватности для федеральных информационных систем и организаций»¹⁵. Документ разработан американским Национальным институтом стандартов и технологий и содержит почти 250 страниц подробного описания контролей ИТ-безопасности и инструкций по их применению;

— ГОСТ Р ИСО/МЭК — отечественные национальные стандарты информационной безопасности;

— СТО БР ИББС — Стандарты Банка России в области информационной безопасности.

Все вышеописанные элементы и контроли, будучи изученными (наличествующие и отсутствующие) внутри информационной среды конкретной организации (желательно, чтобы это касалось всех ее автоматизированных процессов), и после этого положенные на бумагу называются Концепцией ИТ-контроля.

Поняв, из чего состоит ИТ-инфраструктура нашей компании и какие контроли ее защищают, можно приступать к оценке рисков.

Наш милый сердцу риск-ориентированный подход — без него теперь никуда!

Чтобы понять, с какими ИТ-угрозами может столкнуться организация:

1. Идентифицируют информационные активы, исходя из жизненного цикла информации, начиная с ее создания, через обработку, архивацию, хранение, передачу, удаление и до уничтожения данных.

Да-да, однажды информация устаревает, физические носители выходят из строя, и тогда необходимо обеспечить их надежную утилизацию.

Знаю одну крупную компанию, начальник ИТ которой продал старый ноутбук одного топ-менеджера вместо положенного ему по статусу уничтожения (ноутбука, не руководителя). И нажил для компании большие проблемы, так как потертая с диска информация была восстановлена заинтересованными умельцами и легла в основу весьма интересного оперативного материала.

Тогда же для каждого актива (в идеале) определяется работник, имеющий утвержденную руководством ответственность за вверенное и за выполнение требований информационной безопасности для данного актива в течение его жизненного цикла. Он получает гордое имя владельца актива, правда в данном понимании, будучи условным владельцем, не получает права собственности на сам актив.

2. Далее определяют, какая информация (данные), ее хранилища, программы и каналы обмена информацией являются ценными для организации и то, какие из них вызовут значительные нарушения в нормальных рабочих процессах и повлекут значимый ущерб в случае разглашения (дискредитации), повреждения или уничтожения.

Данная процедура именуется категорированием. ВСЯ информация получает маркировку (обычно исходя из уровня важности) и критерии для пересмотра уровня существенности через некоторое время. Отныне присвоенные категории автоматически дают понимание того, как обрабатывать информацию и защищать ее. Главное, не переборщить с важностью информации, когда излишняя бдительность затруднит доступ к ней настолько, что больше навредит, чем поможет нам.

По сути, это очень похоже на инвентаризацию информационных активов. Она поможет обеспечить не только эффективную защиту, но понадобится и для разработки информационной политики, планирования закупок, страхования и управления активами.

Итак, основные контроли в ИТ-сфере — это политики, процессы, инструменты и сотрудники, существующие в организации для обеспечения надлежащей защиты информационных ресурсов. Их можно объединить в пять основных функций:

— идентификация;

— защита;

— обнаружение;

— реагирование;

— восстановление (предотвращение потери данных).

Неотъемлемой составляющей средств ИТ-контроля и основой для обеспечения их надежности является информационная безопасность. Разумеется, являясь элементом системы внутренних контролей, информационная безопасность обязана быть приоритетом всех сотрудников организации.

По-хорошему, в более-менее крупной организации должна присутствовать регламентированная (существующая на бумаге) Политика ИТ-безопасности. И, среди прочего, она должна содержать конкретные санкции за ИТ-нарушения, поскольку рядовые пользователи равнодушны к ИТ-рискам: они их не видят и не понимают, а чаще всего рассчитывают на то, что есть специальные люди, которые за всем следят и уже все предусмотрели. Вот тогда-то регламентированные меры воздействия за неисполнение требований безопасности и становятся последним доводом для их исполнения.

Это важно потому, что в ИТ-безопасности стимулирование правильного поведения никогда не превзойдет ущерб от нежелательного. Поэтому установление правил доступа, определение прав на изменение или удаление данных здесь должны быть основаны на принципе:

«Все всегда запрещено, если и пока явно не разрешено».

Политика управления доступом должна быть четко сформулирована, с определением прав и ограничений для конкретных пользовательских ролей, задокументирована и должна периодически пересматриваться.

Здесь крайне интересно, что не доступ, а превентивные контроли при отмене или изменении статуса доступа (это чаще всего забывают сделать при увольнении или переводе сотрудника на другую должность) и оценка