Про организацию работы внутреннего аудита

Внутренний аудит – профессия, ошибки в которой не приводят к катастрофическим последствиям для любой организации. Хотя теория «трех линий защиты» и говорит о том, что внутренний аудит – последний бастион для выявления возможных ошибок на предыдущих уровнях. Возможная интерпретация: если уж внутренний аудит пропустил – то больше и некому что-то выявить, и не выявится оно никогда. Кстати, из этой теории можно сделать далеко идущий вывод о том, что внутренний аудит отвечает в компании за всё. Но это неправда, ошибки внутреннего аудита – это никак не ошибки в управлении организацией, а ошибки в предоставлении гарантий. То есть, когда мы, случайно или специально, не заметили чего-то плохого – вина, конечно, наша прослеживается. Но все стандарты многажды говорят о том, что коренные причины – это не к нам.

Тем не менее, ошибок, так часто упомянутых в первом абзаце, в работе хочется избежать. Эта статья посвящена тому, как для этого можно использовать CRM. Не систему управления взаимоотношениями с клиентами, о которой, уверен, подумали большинство читателей, а crew resource management – «управление возможностями экипажа» в переводе википедии. Пришло в этот мир из авиации, где ошибки дороги во всех смыслах.

Яндекс богат так же, как и google. Поиском на русском, скорее всего, Вы наткнетесь на статью в ЖЖ Дениса Оканя. Кстати, человека не так давно попросили из авиакомпании «Победа» за достаточно «тонкий» глум в отношении нового летного директора (тоже гуглится отдельно), но это не умаляет его заслуг в части популяризации своего видения обучения пилотов, причем забесплатно. Чтиво интересное, тот, кто авиацией интересуется – и так знает, кто не интересуется – можете почитать, но только если нет аэрофобии.

Из авиационного CRM нас не будет интересовать так называемое «осознанное неподчинение», ссылка на которое завершает в википедии описание CRM и ведет на статью «разумное неповиновение» про собак-поводырей и других служебных животных. Безусловно, бывают случаи, в том числе и в нашей с экспертом практике, когда ты либо имеешь совесть хоть как-то пытаешься соблюдать стандарты, либо подчиняешься руководителю. Лично меня по этому поводу руководитель впрямую называла «неуправляемым», а эксперта сайта – «не далеко ушедшим». Такое тоже имеет место во внутреннем аудите, но это, скорее, мемуары авторов, а не рекомендации, достойные вынесения на всеобщее обсуждение.

Интересовать нас будет идеология взаимодействия между сотрудниками в ходе проведения проверки. Идеология состоит в том, что в кабине рабочей группе необходимо обеспечить такую ситуацию, чтобы ошибочное действие было бы выявлено на самом раннем этапе и, соответственно, исправлено в разумное время. Ответственность за это выявление, опять же, лежит не только на руководителе проверки / эксперте / руководителе подразделения внутреннего аудита, но и на всех членах рабочей группы. Может показаться странным, особенно когда один из руководящих придурковат: первыми на мысль приходят выражения «не по Сеньке шапка», «не по зарплате спрос» и т.п. Но ничего странного нет, в экипаже из двух человек всегда есть пилотирующий, а есть контролирующий, в этом и состоит один из ключевых элементов CRM. Когда членов рабочей группы больше, чем два человека, руководитель либо эксперт проверки должен понимать, когда и кого нужно проконтролировать в большей степени. Ниже попытаюсь показать, как этот принцип применяется к разным этапам жизни аудитора. При этом «пилотирующего» заменю на «исполняющего» для того, чтобы не думали, что внутреннего аудитора приравниваю к романтической (как кажется издалека, но это не так) профессии пилота. А «контролирующий» пусть остается им же.

Планирование.

Касается как планирования деятельности на год, так и планирования конкретной проверки. Проблема планирования, если говорить очень широко – мы планируем что-либо не исходя из риск-ориентированного подхода. Многолетние наблюдения и собственная деятельность показывает, что очень часто (особенно в случае планирования проверки аудитора с 10-летним стажем) применяется подход «пойду туда, куда всегда ходил» (либо потому, что умею, либо потому, что точно что-то найду).

Проторенные дороги, конечно, комфортны. Как при движении на автомобиле, так и при проведении проверки опытным аудитором. Но для внутреннего аудита в организации в целом – плохо. Потому что, безусловно, существуют заказчики внутреннего аудита, которых устраивает описание одного и того же в течение 10 лет, но всё-таки цель существования внутреннего аудита – не отчёты, а улучшения. Поэтому если программы 10 лет не менялись – значит, что-то делается не так.

Исходя из ожидаемого поведения исполняющего, то есть осуществляющего планирование внутреннего аудитора, становится очевидным, что нужно сделать контролирующему. Повторяться не буду, написано на сайте:

• при планирование работы на год – здесь, каноничный подход нужно «сдобрить» подходом на основании денежных потоков;
• при планировании задания – здесь, проверить, что все разделы из подходов к формированию программы тематического аудита включены (стратегические установки, планирование и далее по списку).

А вообще планирование очень интересно осуществлять большим коллективом с отбор идей и т.п., но это уже другие технологии. 

Исполнение.

При проведении проверки есть несколько типовых проблем, которые с использованием подхода CRM можно если не полностью устранить, то минимизировать ошибки. 

Пример 1. Общение. Идеальная картина мира – это ходить на интервью вдвоем, но для работодателя это в два раза дороже, чем ходить на интервью по одному. Тем не менее, такие случаи бывают, когда уважаемый руководитель готов, например, только сегодня и только после работы. И здесь могут возникать ошибки, которые идеально решаются при принятии модели исполняющий/контролирующий: сбор полной информации (один смотрит в глаза, другой – за остальными вербальными и невербальными признаками), максимальная эффективность (один интервьюирует, другой мониторит время, чтобы осталось для выполнения полного плана интервью), и это не говоря о помощи при возникновении споров (контролирующий внезапно выступает судьей). Вообще, проведение интервью вдвоем – отдельная большая тема, у пранкеров Вована и Лексуса очень интересно, бывает, проходят …

Пример 2. Исполнителя (аудитора) что-то зацепило. Это означает, что он, как грибник, не может уйти с поляны, пока хоть какие-то грибы ищутся. Особенно в случае, если на другую поляну не ходил никогда (то есть никогда другую область не проверял). В этом случае дружеский руководящий рык позволяет вернуть исполняющего в исходное лоно плана работ.

Пример 3.  Зашоренность взгляда исполнителя. Бывает так, что аудитор не халтурит, не бездействует, но что-то происходит не так. Лечится регулярным контролем в ходе проверки, обсуждением предварительных результатов и командным подкидыванием новых идей.

Подготовка отчета.

В жизни встречаются толстые труды (100+ страниц), например, внешних аудиторов. В написании участвует страшно подумать сколько человек, каждый по своему участку, а руководитель проверки даже не пытается как-то это причесать с точки зрения читабельности, контролируя лишь наличие раздела и отступы в абзацах. Однако для нормального внутренне-аудиторского отчета менеджер проекта, как правило, переписывает исходные тезисы коллег в своих формулировках и в унифицированном стиле. Сами понимаете, именно здесь кроется максимальная эффективность распространения принципа CRM на деятельность внутреннего аудита.

Потому что контролирующими могут стать все. И так и нужно делать – отчет должны прочитать как можно большее количество допущенных сотрудников, причем в полном объеме. И, в идеале, каждый должен проконтролировать менеджера проекта по всему тексту.

Напоследок – банальность. Сколько не вычитывал своих собственных отчетов, после проверки корректора всегда находятся 1-2 ошибки (при этом читаю, как правило, не менее трех раз – в бумаге, в word и в pdf). Работаю в небольшом подразделении, но если служба большая по численности – совет: назначьте 1-2 человек, которые будут грамотны и читать всё. Карма в глазах читателей при виде грамотного текста поднимается.

Итоги.

Подведу итоги буквальной цитатой из труда уважаемого КВС-инструктора. «Контролируйте действия коллеги всегда, когда это возможно». Всё приведенное в этом опусе – это не про контроль качества в понимании Сойера или стиля больших аудиторских компаний с выделенным методологом, который, с одной стороны, сам никуда не выезжает, с другой – к которому «не подъедешь». Это про взаимодействие равноправных членов команды, пусть и занимающих разные должности, от младшего специалиста до начальника. Советы для реализации:

• для рядовых аудиторов – не бояться. При сохранении должного чинопочитания в общении нормальный руководитель / эксперт проверки обижаться не будет, а оппонирование приведет к улучшению всего отчета, а также Вашему карьерному продвижению. Но и мозги заклевывать руководителям не стоит, меру нужно знать;
• для руководителя – во-первых, не перебдеть в части попыток контроля всего-всего в ходе проверки, иначе пара исполняющий/контролирующий превращается в двух исполнителей без контроля. Убиться – не убьетесь, не самолет, но прилететь может прилично. Во-вторых – прислушивайтесь к своим подчиненным, идиотские и даже полуидиотские решения могут быть поправлены на всех этапах.

И, отметьте, что, в зависимости от нагрузки и хода проверки, исполняющий и контролирующий в ходе проверки могут меняться местами несколько раз.

А самая идеальная картина, когда есть кто-то из руководства, кто дает комментарии ровно два раза: к программе проверки и итоговому отчету. Очень эффективно, потому что взгляд не замыливается.