Олег Крышкин - Настольная книга по внутреннему аудиту. Риски и бизнес-процессы

Второй нюанс касается понятия «авторизация». В соответствии с определением, данным в Википедии, «авториза́ция (от англ. authorization – разрешение, уполномочивание) – предоставление определенному лицу или группе лиц прав на выполнение определенных действий; а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий». Классическим примером авторизации является подпись сотрудника на документе, согласующего осуществление определенных действий определенным лицом в будущем. В последнее время понятие авторизации все чаще ассоциируется с компьютерными программами, но суть от этого не меняется и заключается в том, что авторизация не является контролем, а в идеале представляет собой только свидетельство проведения определенного контроля. Однако нередко люди, осуществляющие авторизацию, не совсем представляют себе, какие именно контрольные действия они должны осуществить, а само построение процесса оставляет это им на откуп. По этой причине необходимо расшифровывать и уточнять, проведение каких контрольных действий и в каком объеме означает авторизацию.

Данный принцип основывается на постулатах теории ограничений (Theory of Constraints). Одним из фундаментальных понятий теории ограничений является понятие так называемого бутылочного горлышка (bottleneck) или, другими словами, узкого места в процессе, мешающего достижению цели процесса. По аналогии в большинстве случаев набор контрольных процедур любого процесса может быть выстроен в пирамиду контрольных процедур, расставленных на основе их приоритета. Приоритет определяется способностью контрольной процедуры влиять на достижение целей процесса. Можно утверждать, что в каждом процессе существует одна-две ключевые контрольные процедуры, в отсутствие которых любые усилия по контролю процесса будут напрасны. Возьмем, например, процесс «Закупки». Он начинается с процедур формирования обоснованной потребности в закупках. Отсутствие или неэффективность контроля обоснованности на данном этапе ведет к формированию необоснованной потребности и ряду негативных последствий, таких как затоваривание складов (покупают больше, чем нужно, и не то, что нужно), воровство (если заказано больше, чем нужно, то можно часть заказанного получить только на бумаге), неэффективное расходование ресурсов (если заказали больше, чем нужно, то можно особо не экономить). Эти последствия можно отчасти нивелировать, например проводить более регулярные и масштабные инвентаризации с целью выявления невостребованных остатков ТМЦ и организации их реализации. Однако такие меры не имеют профилактического характера, влекут за собой дополнительные расходы и сами по себе обладают лишь определенной степенью надежности.

Основной вывод, который следует из данного принципа, заключается в том, что правильный аудитор должен всегда фокусировать свою деятельность на оценке контрольных процедур в порядке убывания их приоритетности. До тех пор пока не будут налажены ключевые контрольные процедуры процесса, процесс всегда будет работать с пониженным КПД, независимо от состояния менее приоритетных контрольных процедур. Конечно, в практике внутреннего аудита возникают ситуации, когда внутренние аудиторы не могут особо повлиять на структуру и содержание ключевых контрольных процедур (например, владельцы процесса на особом положении у владельца компании). В этом случае им необходимо способствовать созданию максимально действенных компенсирующих контрольных процедур, а также воспользоваться принципом охотника (см. далее). Однако в подавляющем большинстве случаев система компенсирующих контрольных процедур имеет ограниченный эффект и обычно связана с дополнительными затратами.

Правильная система внутреннего контроля должна подстраиваться как к изменениям целей процессов, так и к изменениям их структуры и содержания. С течением времени значимость одних контрольных процедур может падать, а других – повышаться. Факты изменения процессов и/или их целей должны привлекать внимание аудитора. В таких случаях высока вероятность обнаружения расхождения между темпами изменения процесса и темпами изменения системы внутреннего контроля данного процесса.

В большинстве случаев охотник физически не в состоянии играть по правилам добычи, так как большинство животных превосходят его по тем или иным физическим параметрам. По этой причине охотник не идет, что называется, в лобовую атаку, а создает условия, когда его шансы и шансы жертвы будут хотя бы приблизительно равны. Другими словами, он создает условия для победы.

Именно таким образом и должен действовать аудитор, когда при попытке внести изменения в систему внутреннего контроля процесса обстоятельства складываются явно не в его пользу. Например, внедрению контрольных процедур могут препятствовать отдельные сотрудники предприятия, обладающие большим влиянием. Бывает, что этому сопротивляется большинство сотрудников, например по причине низкой исполнительской дисциплины. В таких ситуациях планы мероприятий по улучшению внутренних контрольных процедур процессов могут игнорироваться в течение продолжительного времени либо выполняться формально. В этом случае следует действовать подобно охотнику, загоняющему дичь, т. е. ограничивать пути отступления. Необходимо последовательно ограничивать поле бесконтрольной деятельности за счет дозированных изменений как контрольных процедур, так и факторов, способствующих повышению их эффективности. Например, по процессу «Закупки», в случае отсутствия на предприятии процедуры проведения тендеров, можно ввести такую процедуру сначала только для крупных сделок, затем, как вариант, централизовать приобретение крупных позиций в управляющей компании и т. д. Если план по созданию выборочных контрольных процедур не срабатывает, можно зайти с другой стороны и приступить к наращиванию статистической базы доказанных последствий отсутствия процедуры тендеров. Основная цель такой базы – накопить критическую массу примеров, которые поднимут важность изменений на требуемый уровень. При этом полезно увеличивать за счет коммуникаций круг сторонников предлагаемых аудитором изменений и искать подходящий момент для того, чтобы снова инициировать отвергнутую поначалу волну изменений.

Аудитор должен помнить о том, что у каждого объекта аудита свой уровень восприимчивости изменений. Грубо говоря, в объект аудита невозможно втолкнуть больше изменений, чем он может переварить. В связи с этим соблюдение принципа охотника особенно важно. Во многом на уровень восприимчивости оказывают влияние качественные характеристики руководства объектов аудита.

Во многих ситуациях целесообразнее и проще стимулировать желательное поведение, чем пытаться искоренить нежелательное. Особенно это касается процессов, возможность эффективного контроля которых ограничена существенными и объективными факторами. Классическим примером является процесс производства. В большинстве случаев контроль процесса производства требует специфических знаний и навыков, которыми обладает не только не каждый аудитор, но и не каждый производственник. Например, можно бороться с завышенным расходом материалов, проводя внезапные инвентаризации, осуществляя сложные расчеты фактического использования материалов и/или нормативов расхода материалов, ограничивая выдачу материалов. При этом можно по каждому факту завышения устанавливать виновного и налагать взыскания. В то же время можно ввести доплату (премию) за экономию материалов (например, по сравнению с прошлыми периодами в пересчете на единицу продукции) при сохранении требуемого качества. Таким образом, получается, что в одном случае цель контроля достигается за счет наказания за неприемлемые действия, а в другом – за счет поощрения желаемых действий. В обоих случаях контроль объема используемых материалов требует дополнительных расходов, однако отдача от них практически всегда неодинакова. Часто преимущество одного способа перед другим можно выяснить только на практике.

Принцип пряника также полезно применять с целью смягчения сопротивления изменениям в целом. В российской управленческой практике карательный подход к насаждению желательного поведения почему-то более популярен. При этом забывают, что принуждение рождает ответную реакцию в виде агрессии (нацеленность на продолжение нарушений, но более изощренно) или апатии (полное отсутствие инициативы, стремления что-то менять). Предприятия, забитые под завязку такими сотрудниками, мягко говоря, обречены. В настоящий момент подобных предприятий в России множество и выживают они во многом благодаря своему монопольному положению, и/или наличию административного ресурса, и/или наличию поддержки от государства.