Служба внутреннего аудита как ресурс совета директоров: статья 2010 года

Это продолжение статьи из предыдущего номера, где речь шла о том, что личная ответственность члена совета директоров становится реальной. Здесь — ответ на следующий вопрос: а что директору с этой ответственностью делать практически.

Ответ, который я дал в 2010 году, оказался тем, чем я занимаюсь до сих пор. Служба внутреннего аудита — это ресурс совета директоров, которому совет может делегировать большую часть своих наблюдательных и мониторинговых функций. Не контролёр при менеджменте, а инструмент директора.

Почему эта статья важна сегодня

Пятнадцать лет спустя я веду исследование о ценности профессии внутреннего аудитора, и главный вывод исследования уже виден: ценность определяет тот, кто смотрит. В глазах одних служба внутреннего аудита — затратное подразделение и помеха, в глазах других — страховка компании и партнёр бизнеса.

Эта статья 2010 года — ранняя попытка показать ценность функции тем, кто способен её распознать: совету директоров. В ней нет ни слова о находках и количестве проверок. Вся логика построена от обязанностей директора: вот что вы обязаны контролировать, вот почему физически не справитесь сами, вот кто внутри компании уже умеет это делать профессионально и по международным стандартам.

Если переводить на сегодняшний язык, это разговор с «коллекционером» — тем единственным собеседником, который видит в работе аудитора не издержку, а свой собственный ресурс. Аргументация с тех пор почти не изменилась, что меня одновременно радует и настораживает.

Что устарело, а что нет

Устарели ссылки. Международные профессиональные стандарты внутреннего аудита, на которые я опирался, в 2024 году заменены новой редакцией — Global Internal Audit Standards. Изменился и перечень сертификаций The IIA. Но требования к функции, описанные в статье, в новой редакции стандартов не ослабли, а усилились: появились отдельные требования к взаимодействию с советом директоров.

Не устарело главное: совет директоров по-прежнему не имеет физической возможности самостоятельно отслеживать риски, контроль, соблюдение законодательства и корпоративное управление. А значит, вопрос «кому делегировать мониторинг» никуда не делся.

Эта статья также опубликована в базе знаний Института внутренних аудиторов, в разделе статей российских авторов.

Служба внутреннего аудита — ресурс эффективной работы современного совета директоров

Павел Викторов, к.э.н., Certificate of Director Education, Certified Public Accountant, Certified Internal Auditor, директор по внутреннему аудиту CTC Media, Inc., член АНД и NACD

В статье «Современные тренды в корпоративном управлении: обязанности и ответственность членов советов директоров», опубликованной в 29 номере журнала «Независимый директор», приведены примеры повышения требований к членам советов директоров публичных компаний. Личная финансовая ответственность члена совета директоров по результатам судебных решений из маловероятной в прошлом становится совершенно реальной в будущем, если он исполняет свои обязанности ненадлежащим или сугубо формальным образом и интересы акционеров не соблюдены.

От членов советов директоров, особенно независимых, сегодня ожидают более полного выполнения всего спектра их обязанностей, уже не ограничивая его анализом и утверждением бизнес-решений и сделок. Современные требования к работе члена совета директоров предполагают выполнение им направляющих (direct), наблюдательных (oversight) и мониторинговых (monitor) функций по отношению к работе исполнительного руководства, а также систем управления рисками, систем внутреннего контроля, корпоративного управления и эффективности управления работой организации. Члены совета директоров также должны контролировать аспект соблюдения компанией законодательства, нормативных документов и листинговых требований.

Именно такой уровень требований к членам советов директоров можно обнаружить в публично доступных официальных документах компаний Wimm-Bill-Dann Foods, X5 Retail Group N.V. и CTC Media, Inc., которые определяют наблюдательные и мониторинговые функции предметно и подробно:

• Стратегическое планирование: анализ и одобрение корпоративных планов, стратегий и целей.
• Мониторинг выполнения планов и эффективности работы: компании и исполнительного руководства.
• Управление рисками: система управления рисками, риски, присущие бизнесу, и мероприятия по их снижению.
• Система внутреннего контроля: корпоративная среда, политики и процедуры, обеспечивающие достоверность финансовой отчётности, соблюдение законодательства, внутренних нормативных документов и договорных обязательств.
• Программы делового поведения и этики и многие другие.

Непосредственно за текущее управление компанией, в том числе в перечисленных выше областях, отвечает исполнительное руководство. Совет директоров осуществляет мониторинг и несёт ответственность за то, что исполнительное руководство выполняет свои обязанности и управляет компанией в интересах акционеров.

Помимо тех обязанностей, которые возложены на всех членов советов директоров, ряд дополнительных функций выполняют члены его профильных комитетов: комитета по аудиту, комитета по компенсациям, комитета по корпоративному управлению и назначениям.

К сожалению, членство в советах директоров и профильных комитетах остаётся работой, на которую не выделяется много времени, в то время как спектр обязанностей расширяется, а личная финансовая ответственность растёт.

Использование службы внутреннего аудита

Поскольку качественно выполнить весь спектр мониторинговых функций, возложенных на членов советов директоров, очень сложно, а самостоятельно ни один директор с этой задачей просто физически не справится, то актуальным становится привлечение независимых экспертов. Источником профессиональных экспертов, способных эффективно содействовать членам советов директоров и профильных комитетов в выполнении мониторинговых функций, может оказаться служба внутреннего аудита (СВА). СВА обычно создаётся как подразделение компании, административно подчинённое её исполнительному руководителю, но функционально отвечающее перед советом директоров. Функциональная подчинённость СВА совету директоров поддерживает организационную независимость и объективность СВА.

Внутренний аудит давно признан за рубежом как востребованная функция. Институтом внутренних аудиторов (The Institute of Internal Auditors) — международной профессиональной ассоциацией — были разработаны обязательные Международные профессиональные стандарты внутреннего аудита (далее МПСВА), четыре программы профессиональной сертификации, а также база знаний, обеспечивающие весомую поддержку советам директоров.

При правильно организованной работе службы внутреннего аудита и обеспечении её ресурсами (в том числе квалифицированными кадрами), достаточными для соблюдения МПСВА, члены совета директоров получают следующие преимущества:

• совет директоров может фактически делегировать большинство своих мониторинговых и наблюдательных функций службе внутреннего аудита, функционально подотчётной совету директоров;
• внутренний аудит может служить для совета директоров источником объективной и независимой от исполнительного руководства информации о работоспособности и эффективности систем управления рисками, внутреннего контроля и корпоративного управления, ответственность за мониторинг которых возложена на совет директоров.

Ряд важнейших функций совета директоров пересекается с прямой ответственностью службы внутреннего аудита: управление рисками, система внутреннего контроля, корпоративное управление (оценка эффективности). Рассмотрим эти направления более подробно.

Управление рисками

Оценка системы управления рисками. Согласно МПСВА: «Внутренний аудит должен оценивать работоспособность процессов управления рисками и способствовать их совершенствованию». Причём служба внутреннего аудита в состоянии делать это максимально системно, последовательно и организованно, используя признанные на международном уровне и доказавшие свою работоспособность модели, например, такие как интегрированная модель «Управление рисками организации» комитета спонсорских организаций Комиссии Тредвея (COSO), 2004. Служба внутреннего аудита способна дать полезные рекомендации по совершенствованию существующей системы управления рисками или построению её с нуля, если таковая отсутствует.

Оценка рисков. Согласно МПСВА: «Внутренний аудит должен оценивать риски, связанные с корпоративным управлением, операционной деятельностью организации и её информационными системами…». На практике СВА оценивают риски многократно.

• Во-первых, разрабатывая годовой аудиторский план, СВА ранжирует все возможные риски и угрозы, которые могут помешать компании достичь её ключевых целей: стратегические, операционные, репутационные, достоверности финансовой отчётности, несоблюдения законодательства и другие.
• Во-вторых, планируя аудиторскую проверку, СВА способна провести более тщательный анализ и выявить риски в рамках конкретного бизнес-процесса, подразделения или иной предметной области.
• В-третьих, при подготовке отчётов и подведении итогов каждой из аудиторских проверок СВА обобщает риски с высоким остаточным уровнем, то есть недостаточной степенью управления и слабыми внутренними контролями.
• В-четвёртых, остаточные риски снова переоцениваются в ходе отслеживания внедрения аудиторских рекомендаций и действий, согласованных руководством.

Обширнейшая информация о рисках компании, получаемая службой внутреннего аудита, может существенно облегчить совету директоров выполнение их собственных обязанностей по мониторингу как системы управления рисками, так и рисков компании.

Система внутреннего контроля

Согласно МПСВА: «Внутренний аудит должен содействовать организации в поддержании работоспособной системы внутреннего контроля, оценивая её эффективность и результативность и содействуя её постоянному совершенствованию». Под «контролем» понимаются «действия… по управлению рисками и повышению вероятности достижения поставленных целей и выполнения задач».

Из всех подразделений компании служба внутреннего аудита является самым компетентным в оценке системы внутреннего контроля. В рамках моделей, признанных в международной практике, контроль целостно рассматривается сразу на нескольких уровнях: на уровне организации (Entity Level Controls), а также на уровне бизнес-процессов и детальных операций во всём спектре рисков и целей компании.

Контроль над подготовкой финансовой отчётности. Оценка и тестирование контроля над подготовкой финансовой отчётности службой внутреннего аудита позволяет повысить уверенность в их работоспособности, снизить объём тестирования внешним аудитором и стоимость услуг по внешнему аудиту финансовой отчётности. Отличное знание бизнеса компании помогает внутренним аудиторам быть эффективнее внешних аудиторов в выявлении недостатков и формировании рекомендаций.

Контроль операционной деятельности. Осуществляя мониторинг контрольных процедур, обеспечивающих эффективность и результативность операционной деятельности компании, СВА оценивает:

• соблюдение действующих операционных политик, процедур, регламентов и бизнес-процессов компании;
• достаточность формализации и регламентации ключевых бизнес-процессов;
• оптимальность используемых критериев принятия бизнес-решений с точки зрения максимизации выгод для компании.

Контроль за соблюдением законодательства и внутренних нормативных документов. Всё большую важность для публичных компаний приобретает мониторинг соблюдения законодательных требований. Служба внутреннего аудита обладает знанием передовых способов не только обнаружения нарушений законодательства, но и эффективных программ предотвращения таковых.

Контроль в ИТ. Сравнительно новым, но важным направлением являются информационные технологии, в которых как в зеркале отражается вся деятельность любой современной компании. Контрольные процедуры и приёмы физического разделения обязанностей, успешно работавшие в прошлом, больше не эффективны без тщательного разграничения прав, доступа и обязанностей уже и в информационной среде. Новые области компетенций СВА помогают предотвратить возможные злоупотребления, утечку конфиденциальной информации и риски потери работоспособности для ИТ-инфраструктуры.

Корпоративное управление

Согласно МПСВА: «Внутренний аудит должен давать оценку и соответствующие рекомендации по совершенствованию корпоративного управления…».

Программы делового поведения и этики. СВА, опираясь на информацию, собираемую в ходе своей деятельности, формирует базу знаний о значимых элементах и факторах успеха, необходимых для того, чтобы программы делового поведения и этики в организации были не просто формальностью, а реально работали.

Обеспечение эффективного управления деятельностью организации. В рамках оценки управления деятельностью организации СВА оценивает организационную структуру компании, чёткость постановки целей и задач, закрепления функций за подразделениями и обязанностей за сотрудниками компании, а также то, насколько системы мотивации стимулируют персонал к достижению целей компании, а также возможные конфликты интересов. СВА выявляет возможности для совершенствования системы управления деятельностью организации, тем самым оказывая поддержку совету директоров в мониторинге эффективности организации работы компании.

Консультационные направления

Относительно новыми направлениями работы СВА являются консультационные услуги: реинжиниринг бизнес-процессов, создание системы управления качеством (QMS), управление эффективностью работы компании на основе сбалансированных показателей (Balanced Scorecard). Использование в консультационных услугах СВА теории ограничений позволяет компаниям устранять ресурсные ограничения, мешающие полностью реализовать их потенциал.

Использование в консультационных услугах СВА современных методов управления проектами на основе PMBOK позволяет компаниям, инвестирующим в широкомасштабные и капиталоёмкие проекты, существенно повысить вероятность своевременного и качественного достижения запланированных целей проектов с минимальным превышением бюджетов.

Поддержка комитетов советов директоров

СВА часто функционально подотчётна комитету совета директоров по аудиту, но она также в состоянии оказать поддержку комитетам совета директоров по корпоративному управлению и по компенсациям — по вопросам соблюдения принципов корпоративного управления в компании или соответствия выплат высшему руководству достигнутым результатам компании и суммам, ранее одобренным компенсационным комитетом.

Заключение

В условиях расширяющихся обязанностей членов советов директоров и единства основных областей их ответственности с функционалом службы внутреннего аудита, последняя является значительным резервом для советов директоров, способным принести пользу компании и акционерам.

Автор будет рад получить Ваши комментарии к настоящей статье по электронной почте.

Как это выглядело в журнале

Страницы 13–16 выпуска. Нажмите, чтобы открыть полосу крупно.

Что из этого работает сегодня

Если вы член совета директоров или комитета по аудиту, практический вывод короткий: у вас уже есть подразделение, которому можно делегировать мониторинг, и вопрос только в том, в состоянии ли оно это делать. Проверяется это внешней оценкой качества — независимым заключением о соответствии функции обязательным требованиям стандартов, которое совет получает раз в пять лет.

Если вы руководитель внутреннего аудита, то здесь — готовая аргументация для разговора с советом, причём не о себе, а об их обязанностях. Доводить такой разговор до решений я помогаю как внешний эксперт для внутреннего аудита.

А о том, во что обходится формальное исполнение обязанностей директора сегодня, — в статье о субсидиарной ответственности.