Напомню, что в предыдущей серии (Внутренний контроль. Часть 3) мы рассматривали, что такое контрольная процедура (КП) и дали её определение. Рассказали на примерах, чем она отличается от просто руководящих указаний. Следующий шаг в изучении внутреннего контроля – научиться отличать «хорошую» КП от «плохой». Зачем это надо? А потому что работа внутреннего аудитора (как её понимает большинство оных), заключается в оценке контрольных процедур. Но есть один ньюанс.
Конечная цель аудитора – оценить систему внутреннего контроля, а она состоит из контрольных процедур, как дом из кирпичей. И вот берёт внутренний аудитор выборочно каждый сотый или тысячный кирпич и начинает его оценивать – измерять размеры, форму, цвет, запах, химический состав, плотность и твердость. Оценив таким образом 100 кирпичей, приходит к заключению о состоянии всего дома – системы внутреннего контроля. Дом хороший – говорит он, потому что из 100 проверенных кирпичей 98 оказались без дефектов, а два дефектных, пишет рекомендацию, надо заменить.
И как-то остаётся за кадром, что даже из очень качественного кирпича может быть построено совсем непрочное и неудобное здание. Выдержит ли оно даже слабое землятресение или развалится от вибраций от проезжающего мимо трамвая? «Сидите, тут, разлагаете молекулы на атомы, забыв что разлагается картошка на полях» …
Поэтому оценка КП – необходимое, но недостаточное условие для оценки эффективности СВК в целом. Давайте перечислим остальные оценки, которые должны быть сделаны – если по-хорошему:
- Оценка соответствия технологий внутреннего контроля уровню технологий бизнеса (о чём мы говорили в первой части марлезонского балета). Если в вашей высоко технологичной компании, с высокой степенью автоматизации процессов, внутренний контроль реализован на бумажных регламентах, а аудитор ходит с Экселем, проводит интервью, и изучает бумажные документы – потому что больше ничего не умеет – то у меня для вас плохие новости. Внутренний контроль у вас на уровне древнеегипетской цивилизации, и эффективность бизнеса – на том же самом уровне.
- Оценка корпоративной культуры. Как бы мы не автоматизировали контрольные процедуры, люди в процессах присутствуют – со своей врождённой ленью, желанием украсть, сделать поменьше, а получить побольше и так далее. Ну, особенности конструкции у них такие. Так вот, оценка состояния корпоративной культуры (о которой мы говорили во второй части марлезонского балета) позволяет нам оценить вектор приложения их сил – в интересах бизнеса, или в интересах себя любимого (а бизнес пусть сдохнет). Компания, в которой корпоративная культура не очень, поначалу развивается очень неплохо («с каждой старушки по гривенничку»), но на каком-то этапе начинает разваливаться, как UBER, погрязает в корпоративных скандалах всех видов, менять имя (чтобы не узнали), менеджмент – пачками, и теряет позиции в бизнесе. Поэтому, если ваши аудиторы не аудируют корпоративную культуру (и даже плохо понимают, что это такое) – у меня для вас плохие новости.
- Оценка прохождения сигналов в системе управления. Много раз наблюдал, как ценное указание с самой вершины корпоративного олимпа, дойдя сверху вниз до низовых исполнителей через многочисленные уровни управления, теряло и смысл, и актуальночть. Проблема называется «испорченный телефон». Комада «Эх, ухнем!» преобразуется в «Ух ты какой» и делается совсем не то, что намечалось. Причина может быть как в отдельных корпоративных идиотах, так и в общей системе организации распространения информации.
Причём, при передаче информации в обратном направлении, искажения бывают ещё больше – ведь у каждого исполнителя есть свои собственные интересы, которые накладывают, как говорится. В результате, важнейшие корпоративные решения принимаются на основании информации, крайне далёкой от реальности, но зато отвечающей личным интересам отдельных сотрудников (примеров – тьма). И если ваша система внутреннего контроля не предусматривает специальных мер против этого бедствия, а аудиторы только измеряют «кирпичики», то у меня для вас опять плохие новости – ваш корпоративный корабль, бль, плывёт «без руля и ветрил», а капитан крутит штурвал, который был позаимствован на детской игровой площадке.
Я сейчас перечислил только три из пяти самых важных тем, которые должны быть проверены при оценке системы внутреннего контроля, кроме оценки «кирпичей». А тему «купи кирпич» мы продолжим в пятой части нашего представления, о почтеннейшая публика.