Рубрики
Business Internal Audit Internal control

Что важнее всего во внутреннем контроле (Часть 3)

Жалко, что пицца оказалась холодной.

Несколько раз замечал валяющиеся на дороге коробки с надписью «ДОДО ПИЦЦА» (для иностранцев поясню — в России мусор обычно выбрасывают прямо на дорогу, а не в урны). И, хотя ненавижу покупать готовую еду, решился таки. Решил стать жертвой научного эксперимента. Заказал пиццу в этой самой компании. ДОДО которая.

Приложение скачал, заказал (работает нормально, молодцы!). Пошел отсчет времени (молодцы!)  Периодически поглядывал – вот готовится, вот ожидает доставки, вот доставляется.

Курьер приехал очень вежливый, весь такой позитивный. Где они таких берут? (Молодцы!)

Привёз, кроме того, в подарок книжку «Додо книга» — в которой рассказывалась история компании. И вот это было самое ценное, что я получил. Конечно, стиль немного эпатажный, с намёком – «полюбуйтесь, какой я красавчик». Но в то же время это не жлобизм типа Тинькова. Совершенно откровенно о всей истории, проблемах, их решениях. Молодцы, конечно!

Но самое главное для нас сейчас не это. Главное – это процесс непрерывного совершенствования, который – в каждой странице этой книги. В ней ни разу не упоминается термин «процесс непрерывного совершенствования», «кайдзен» и т.д. Правда, видел слово «гемба», которое выдало с головой, откуда растут ноги у коммерческого успеха этого бизнеса.

И вот здесь я полностью согласен. Успех любого бизнеса возможен, только если в каждый процесс в нём зашит один очень важный контроль – непрерывное совершенствование. Что это такое?

Объясню просто. Это когда вы каждый день делаете своё дело хоть немного (совсем немного) лучше, чем вчера. Положили карандаши на столе удобнее, придумали новую классификацию файлов, стали на 1 секунду быстрее чистить картошку – неважно что. Но обязательно — каждый день, и – маленькими шагами. Это несложно.

И неважно, как вы это называете – НОТ, ISO9000 или Кайдзен. Главное – содержание. И поэтому, когда я провожу аудит, для меня самый главный вопрос – работает ли в этом процессе цикл непрерывных улучшений. Если работает – то неважно, насколько процесс плохой сейчас. Он станет самым лучшим через короткое время. Если нет – неважно, насколько он хорош сейчас. Он станет неконкурентоспособным тоже – через короткое время.

И благодаря пониманию этого, компания из Сыктывкара (это такой город, который на карте не видно; в русской классической литературе такие фигурируют под именем «Мухосранск»). Но она успешно развивается в бизнесе, где полно конкурентов. В масштабах всей страны. И в Москве под ногами уже валяются фирменные коробки с логотипом ДОДОпицца…

Жалко, что пицца оказалась холодной. Но, что примечательно, они собрали мой отзыв о заказе и даже выразили искреннее сожаление. Для России – это супер достижение. Был как-то случай. В Бургер Кинге, в Бельгии, накатал в приложении отзыв о холодном бургере. Получил в ответ предложение прийти и получить бесплатно бургер, какой пожелаю. Это я так, для примера. Для России неприменимо. Но стремиться к этому – надо!

А за книжку – отдельное спасибо. Кстати, рекомендую почитать всем.

На самом деле, это был разбор ответа на опрос: «Что самое важное во внутреннем контроле», вариант ответа номер 3: «Обеспечить цикл непрерывного совершенствования в каждом процессе». Так ответили 22% принявших участие в опросе.

Дополнение от 01.05.2019. Я же человек упорный и впечатлительный. Поэтому сегодня заказал снова Додо пиццу, чтобы проверить правильность впечатлений.

Ура! Пицца была горячей! И вкусной. Одно «но»: перепутали тип, размер, и в чеке вместо салата греческого был сок яблочный. Написал отзыв с оценкой два балла — я же человек упорный.

И случилось нечто странное для России. Во что я до сих пор не могу поверить. Потому что позвонил мне менеджер пиццерии, и предложил привезти правильный заказ, или вернуть деньги. Вот это — правильно! Договорились, что завтра в то же самое время они привезут мой заказ точно такой, как я просил.

Если бы было IPO этой самой пиццы, то я бы рекомендовал «покупать». Конечно, с учётом странового риска. Но, по слухам, они развернулись уже и в США. Не сомневаюсь: у них — получится.

Додо

Рубрики
Business Internal Audit Internal control

Что важнее всего во внутреннем контроле (Часть 2)

Вот такой опрос с такими результатами я провел на своём канале в Telegram. Продолжаем разбор ответов. Сегодня разбираем ответ номер 2.

Ответ номер 2: Увеличивать полноту контроля, охватывать возможно большее число нештатных ситуаций

Этот ответ, в качестве самой важной задачи внутреннего контроля, выбрали 16% ответивших. И естественно, ведь какой же это контроль, если он не полный?

Есть только один вопрос: контролей в любой операции может быть сколько угодно. Природа не ограничила количество контрольных процедур в процессе, также, как размер вселенной и человеческую глупость. Дайте мне самую простую операцию, и я предложу для неё ещё с десяток контролей, которые только увеличивают полноту охвата контролем. И получится как здесь.

Проблема в постоянном усилении и углублении внутреннего контроля только одна – он стоит денег.  Например, денег зарплату сотрудникам, занятым исполнением контрольных процедур. Но не это главное. А главное то, что перегруженные контролями процессы становятся неповоротливыми. И, перегруженная внутренними контролями, организация перестаёт слушаться руля и медленно идёт ко дну в море высококонкурентного рынка.

Так вот, совершенно справедливо озаботясь совершенствованием, расширением и углублением контрольных процедур в процессе, не забудьте предварительно принять во внимание несколько обстоятельств.

Первое. Обычно говорят, что стоимость контроля не должна превышать эффект от его применения. И подсчитывая потери от отсутствия контроля, допускают типичную ошибку. Она в том, что негативный эффект от отсутствия контроля берётся по максимуму, невзирая на реальность.

Например, вероятность того, что вам поставщик не поставит заказанные канцтовары на сумму 10 тыс. рублей, минимальна. Во-первых, поставщик мечтает работать с вами и дальше, и исходя из этой идеи будет выполнять свои обязательства максимально добросовестно. Во-вторых, максимальные потери от невыполнения обязательств составят 10 т.р. один раз. Что легко переживаемо для вашей организации. Зачем тогда выстраивать сложную систему согласования закупок и договоров для такого рода поставок?

Потому что при обосновании целесообразности контроля берётся объем закупок всех концтоваров и не только их, да ещё в годовом объёме, и получается «сумма потенциального ущерба» — совсем не маленькая. Но совершенно нереальная, потому что предполагает, что все поставщики будут не выполнять свои обязательства много раз и каждый раз целый год. Чего быть не может никогда.

Второе. Затраты на контроль сильно зависят от частоты его исполнения. И иногда выгоднее поставить контроль, выявляющий отклонения, на более поздних операциях процесса, который будет исполняться один раз, чем контроль на ранних стадиях, который будет исполняться 100 раз.

Например, можно контролировать качество каждого компонента, а можно – качество готовой продукции, собранной из этих компонент. И здесь надо ещё посчитать, что выгоднее, даже с учётом того, что часть продукции придется отправить в брак.

Третье. Внутренний контроль – это правила поведения для людей. А у людей главная мотивация – личная выгода. И если при желании человек может обойти внутренний контроль, то нужен ли такой контроль вообще? Прежде чем заставлять  сотрудника заполнять журнал учёта каких-либо событий, неплохо бы поинтересоваться тем, сможет ли он фальсифицировать ведение журнала с целью получения личной выгоды в любой форме. И остаться при этом незамеченным и ненаказанным. Если да, то в чём смысл такого контроля?

Я могу привести ещё с десяток правил, которые неплохо применять, когда хочется усилить и углубить внутренний контроль. Но это уже другая история…

Рубрики
Business Internal Audit Internal control

Что всего важнее во внутреннем контроле? (Часть 1)

Вот такой опрос с такими результатами я провел на своём канале в Telegram. А теперь самое интересное — разбор ответов. Сегодня разбираем ответ номер 1.

Ответ номер 1: Сократить затраты на контроль при сохранении результативности

Его выбрали меньше всего — 6% ответивших – что закономерно. Ключевая мотивация любого специалиста по внутреннему контролю – чем больше контролей, тем лучше. Хороших и разных. Хорошие нужны, чтобы был объём работ — оценивать их, разные — чтобы работа была результативной — находить в них разные недостатки. Чтобы потом написать отчёт, который, как известно, является основным продуктом жизнедеятельности аудитора и любого контролёра.

Хлебом его не корми, премию ему не плати, дай только ему найти, что ещё пары контрольных процедур (КП) не хватает в системе внутреннего контроля (СВК). Для полного его счастья. И поэтому в течение жизни организации количество контрольных процедур в системе ВК только увеличивается, а никак не уменьшается. Процесс необратим, как расширение вселенной или инфляция в экономике. Хотя теоретически обратный процесс возможен (коллапсирование вселенной в черную дыру, сокращение количества контрольных процедур в СВК, снижение цен) — в реальной жизни этих явлений никто не наблюдал.

Что интересно, отменой старых контрольных процедур, которые уже не нужны, никто не озабочен. Они как бы продолжают существовать, просто их никто не выполняет. И это влияет на отношение персонала к актуальным КП. Внутренний контроль начинает восприниматься персоналом как нечто существующее отдельно, мало применимое к жизни.

Я никогда не видел отчёта аудиторов, в котором бы оценивались затраты на выполнение контрольной процедуры – в минутах, процентах, деньгах и вообще в чём угодно. Аудитор всегда обсуждает только одно: есть или нет недостатки у данной КП, закрывает ли она все риски, выполняется ли она персоналом. Экономическая целесообразность контроля никогда не рассматривается. А зря.

В нормальной жизни организации затраты на внутренний контроль составляют примерно 30% от общих затрат на её деятельность. Это, конечно, средняя температура по больнице, но для понимания масштаба проблемы и резервов и она хороша.

Причём, чем больше организация, тем большего уровня внутреннего контроля она требует и тем выше затраты на него. Чтобы заставить большое количество людей действовать и взаимодействовать по определённым правилам, нужно эти правила придумать, согласовать, выучить и применять, не забывая время от времени насылать внутренний аудит для проверки исполнения.

Со временем в большой компании различных регламентов, работающих, полузабытых и забытых, становится настолько много, что они становятся тормозом для бизнеса. Сам проходил такую забавную ситуацию:  внести проект в бюджет нельзя до тех пор, пока он не утвержден, а утвердить его нельзя, пока он не внесен в бюджет. Так было написано в соответствующих регламентах по бюджетированию и инвестиционной деятельности. Которые никак не соприкасались в жизни.

Постепенно в таких больших компаниях до 80% времени сотрудников-управленцев начинает уходить на выполнение контрольных процедур — пояснительные, объяснительные, приказы, распоряжения, согласования, совещания, комитеты и т.д. Примечательно, что содержательная сторона дела уже никого не интересует. Потому что не до содержания уже. Главным из всех искусств для управленца становится соблюдение ритуалов (выполнение процедур внутреннего контроля).

И как только вы стали замечать такое в вашей организации, это значит одно:  сокращение затрат на внутренний контроль, его оптимизация стали для вашей организации самой важной задачей во внутреннем контроле. И вообще в жизни. Избыток внутреннего контроля убивает бизнес.

Что делать? Нужно пройтись по всем процессам, оценить затраты на выполнение контрольных процедур, найти неактуальные КП, и так далее. Кто хочет узнать, что и как делать подробно – пишите.

А в следующей части мы разберём другие ответы на вопрос «Что самое важное во внутреннем контроле?»

Почитать дополнительно:

1. Родословная кошки прилагается.

2. Внутренний контроль. Часть 5.

Рубрики
Business Events Intelligence Internal Audit Internal control Investigations IoT IT Risk management Social Engineering

Консультации, обучение, практика

На этом сайте всегда не хватало чего-то существенного. Думал я долго и внимательно, и наконец, после неоднократных намёков от читателей, понял: не хватает перечня тех услуг, которые можно получить от меня.

И сегодня (26.04.2019) я исправил выявленный недостаток и таки сделал эту страничку, которая ведёт в бескрайние кладези накопленных мной опыта и знаний в сфере безопасности бизнеса.

Итак, если вы — собственник или (и) менеджер бизнеса, любите доверять людям и получаете от этого настоящее удовольствие, то пока не поздно, вам пора бы к доктору (то есть ко мне) сдавать анализы. Анализы вашего бизнеса и ваших подчинённых на уровень антител к мошенничеству. Бывают и негативные результаты теста, но нечасто.

А Вы — ничего так себе, продолжайте доверять и думать не о том, как меньше терять, а о том, как больше зарабатывать. Позитивное мышление продляет жизнь. Вам, но не вашему бизнесу.

Но в доме надо иметь и мясные закуски, а именно человека, который страдает легкой формой шизофрении и паранойи одновременно, что есть признак профессиональной болезни специалиста по безопасности бизнеса.

В народной мудрости «то что вы ещё на свободе — не ваша заслуга, а наша недоработка» что-то всё-таки есть.

А если Вы — профессионал и вам надоели обычные тренинги и вебинары, на которых вы узнаёте нового чуть меньше, чем ничего – то добро пожаловать сюда. Даю гарантию того, что информация, которую вы получите от меня, опережает ту точку времени, в которой вы сейчас находитесь, лет на 5-10.

И не будет никакой тягомотины с COSO, тремя линиями обороны и прочей псевдонаукой. Я никогда не рассказываю то, что вы можете прочитать где-то ещё. Моё время дороже. Конечно, мои тренинги копируют, и потом, морща лоб, пытаются рассказать своими словами то, что удалось понять. Естественно, на первоисточник (меня) не ссылаются. Но получается весьма жидко. Хотя и дешево.

Поэтому, кому нужно содержание, а не форма — добро пожаловать сюда. Кстати, по форме проведения любая из ниже перечисленных тем может быть в любом формате – от индивидуальной консультации до тренинга, и от выполнения работы на аутсорсинге по разработке методик и нормативных документов до совместной работы в составе вашей команды по решению конкретных задач.

Почти каждой теме есть ссылка (иногда и не одна даже) – на неформальное описание, о чём там будем разговаривать. За более подробной информацией и официальной программой – обращайтесь: info@acfe-rus.org

Итак, приступаем.

1. Организация комплексной системы безопасности бизнеса коммерческой компании.

Это такая «организованная экскурсия» по системе безопасности бизнеса компании — как это должно быть. Какие подразделения, какие функции, проблемы взаимодействия, координации и KPI — и как их решать. Комплексная система безопасности бизнеса — это когда все функции защиты бизнеса скоординированы, риск-ориентированы и нет «дыр» и «нахлёста» функций в системе защиты бизнеса. Как создать, организовать, управлять. Самое главное из моего более чем 20-летнего опыта непрерывного совершенствования процессов защиты бизнеса.

Каждый специалист, работающий в определённом подразделении (риск-менеджмент, внутренний аудит, СЭБ) никогда не видел работу других подразделений защиты бизнеса «изнутри». Покажу, расскажу и посоветую. Обсудим внутреннюю кухню каждой функции. Наступит понимание и появится картинка системы безопасности бизнеса «с вертолёта», что сильно облегчает жизнь.

Что это даст компании: значительное сокращение расходов на выполнение функций, сокращение потерь из-за ситуаций «у семи нянек дитя без глазу», укрепление корпоративной культуры и бизнес-этики.

Уровень: руководители и старшие специалисты, хотя будет полезно на вырост  и начинающим специалистам. А, может быть, это как раз то, с чего им и надо начинать.

Развлекательно про проблему комплексной безопасности бизнеса:

— «Ребята, кто сшил костюм?»

         — -Надо, Федя, надо!

2. Профессиональное проведение интервью при расследовании. Здесь. И здесь.

3. Проведение внутренних расследований. Здесь. И здесь. И здесь. И здесь. И здесь. И здесь.

4. Оценка рисков и интеллидженс в обеспечении безопасности бизнеса.

5. Новый внутренний контроль. Новые технологии. Стандартизация и унификация. Здесь. И здесь. И здесь. И здесь. И здесь. И здесь. И здесь. И здесь. И здесь.

6. Внутренний аудит в коммерческой организации. Создание, организация работы, управление и развитие. Здесь. И здесь. И здесь. И здесь. И здесь. И здесь.

7. Психотехники для внутренних аудиторов. Здесь.

8. Внутренний аудит капитального строительства. Здесь.

9. Внутренний контроль и аудит. Курс для линейных менеджеров. Здесь. И здесь.

10. Аналитические методы выявления и расследования хищений. Здесь.

11. Создание системы противодействия хищениям в коммерческой компании.

12. Этика бизнеса. Корпоративная культура. Добросовестный бизнес. Здесь. И здесь. И здесь.

Ежегодная конференция по противодействию хищениям. Здесь. И здесь.

Ежегодная конференция: Информационная безопасность бизнеса — взгляд изнутри компании. Здесь. И здесь. И здесь.

Корпоративный университет. Курс: «Безопасность бизнеса».

Вот так проходит тренинг:

Рубрики
Business Ethics Society

Доклад на конференции: что такое недобросовестный бизнес

Если вам достался лимон, сделайте из него лимонад. Я всегда так и делаю. И вот, получил лимон от Аэрофлот в виде повреждённого багажа, и главное — в виде специально устроенных им препятствий по получению возмещения. Ожидание ответа по два месяца, многократное запрашивание одной и той же информации, требование документов, которые никак не могут препятствовать получению возмещения, или которые в принципе не могут существовать в природе — например: «сертификат, что чемодан не подлежит ремонту».

Стал советоваться с товарищами, что за нах, и оказалось, что в России вообще никто не знает, что такое добросовестный бизнес. Поэтому на прошедшей в Тюмени 18 апреля конференции рассказал собравшейся публике, главным образом из представителей госслужащих, что такое Unfair Commerce Practice Directive (UCPD) в ЕС — по нашему, указание о недобросовестной коммерческой практике. А короче — недобросовестный бизнес.

Привёл почтенную публику в состояние изумления (разрыва шаблона) специально подобранными примерами из судебной практики по UCPD. Они вдруг внезапно обнаружили, что те приёмы бизнеса, из реальной жизни, которые они испытывают каждый день на своей шкуре, и считают нормой, на самом деле — недобросовестный бизнес. За который надо наказывать.

Думаю, вам тоже будет интересно послушать доклад и посмотреть презентацию. Делается это так:

— скачивается презентация: здесь.

— запускается звуковое сопровождение: 

Слайдики придётся пролистывать самостоятельно.

 

 

Рубрики
Business Ethics Society

Что такое «unfair business»

Эта статья станет интересным сюрпризом для моих читателей из России. Они узнают, что такое «недобросовестный бизнес» и для кого-то, надеюсь, это изменит подход к ведению бизнеса. Особенно актуально для тех, кто собирается вести бизнес в Европейском союзе.

Все мы попадали в интересные ситуации. Например, подключившись к провайдеру интернет, за два клика, легко и непринуждённо, потом обнаруживали, что отключиться можно,  но только подав заявление лично в офисе, в нотариально заверенной форме, с трех до пяти, после дождичка в четверг.

Это и есть “unfair business”. Есть откровенный грабеж, есть мошенничество, и есть unfair business (недобросовестный бизнес). Откровенный грабеж и разбой – это с применением силы и угрозы для жизни. Мошенничество – это злоупотребление доверием. Вам обещают, вы верите, и вас обманывают. Денежки – тю-тю. А вот с “unfair business” – «нечестным бизнесом» всё интереснее.

Давайте поразбираемся вместе. Что это такое?

Например, рекламное письмо, которое стилизуется под официальное извещение от уполномоченных органов. Помните – «В вашем доме проводится замена батарей отопления»? Вы находите в своём почтовом ящике листовку, оформленную с имитацией извещения официального органа и создающую впечатление, что это неизбежно и обязательно. Многие старики пенсионеры попадаются и начинают звонить по указанному телефону, где им успешно впаривают совершенно ненужную замену батарей, окон, счетчиков и так далее.

Так вот, в Европе это признается Unfair Business Practice. За распространение таких листовочек любой попавшийся на уловку потребитель может подать в суд, и недобросовестный бизнесмен должен будет компенсировать потери в полном объёме, а если суд решит – то в двойном или тройном объёме. Как он часто и решает, чтобы было неповадно впредь.

Существует такое сокращение UCPD (Unfair Commercial Practices Directive) выпущенное Еврокомиссией в 2005 году и разъяснения к нему с примерами от 2016 года. Несколько примеров:

Недобросовестным бизнесом признаётся коллекторская деятельность, связанная с психологическим давлением на должника или ложное информирование должника о последствиях и тяжести последствий невозврата долга.

Если заключение договора с провайдером происходит за два клика, онлайн, а для расторжения надо лично идти в офис, на мэйлы не отвечают, дозвониться невозможно — это тоже недобросовестный бизнес.

Еще пример: владелец отеля сам пишет на своем сайте отзывы от якобы счастливых постояльцев. Это расценивается как введение в заблуждение потребителя и недобросовестное ведение бизнеса. При этом не имеет значения, сколько потребителей были введены в заблуждение.

Наблюдательный читатель заметил уже, наверное, что то, что в России считается нормой жизни, и используется повсеместно, в ЕС называется «недобросовестный бизнес» и преследуется весьма сурово.

Конечно, нет идеально устроенного мира, и почти любая компания на свой страх и риск нарушает правила добросовестного ведения бизнеса. Знаю только одну компанию, которую могу наградить вымпелом «За добросовестный бизнес» — это Амазон. Но Амазон – аномалия в мире современного бизнеса. Остальные шустрят потихоньку или не совсем потихоньку (кто ещё не попадал в суд). Но, конечно, с тем, что творится в России нет и сравнения.

В смысле добросовестного бизнеса Россия – это дикий запад времен освоения Америки. Кто выстрелил первый, тот и прав.

А чего они так озаботились добросовестным бизнесом на загнивающем западе? Ну, обманут пару сотен старушек, опять же – с каждой по полтинничку, а менеджеру премия за выполнение плана.

Дело всё в том, что эффективный бизнес может быть основан только на доверии потребителя и поставщика. Я много раз в России отказывался от покупок в интернет, когда требовали предоплату. Потому что понимал, что есть нехилый шанс потом долго искать свои деньги.

Кстати, как-то и в благовоспитанной Финляндии нарвался я на недобросовестный бизнес. На сайте фотомагазина заказал и оплатил объектив, который у них значился как имеющийся в наличии. Через две недели начал интересоваться судьбой своей покупки. Отвечают – в наличии нет. В конце концов месяца через три я его таки получил.

В том фотомагазине я больше никогда ничего не покупал. Но для Финляндии это исключение, а для России — норма.

А теперь рассмотрим мои приключения с компанией Аэрофлот, и вы сами можете решить, является ли бизнес Аэфрофлот добросовестным, ими нет.

История началась в самом начале февраля, когда прилетел в Москву и обнаружил, что у моего недешёвого чемодана с корнем вырвана ручка. За которую его возят по земле на колёсиках. Это надо же было умудриться оторвать, потому что в сложенном положении ручка полностью утоплена в корпус чемодана.

Тут же зафиксировал факт повреждения на стойке по розыску багажа, и подробно описал всё, что может быть связано с инцидентом.

Оказалось, что кроме этого, надо ещё заполнить заявку на сайте Аэрофлота, в которой содержалось то же самое, что уже было описано в аэропорту. Кроме того, надо было собрать кучу документов и фотографий и отправить все их в бумажном виде Аэрофлоту. Вы понимаете, что стоимость моего времени, которое я потратил на всё это, составила значительную часть стоимости нового чемодана.

Отправил. После этого наступила полная тишина. Я уже начал беспокоиться, дошло ли до Аэрофлота моё заказное письмо, но на почте сказали, что дошло. Тишина продолжалась.

И вот, наконец, 28 марта наступил знаменательный день (прошло всего-то без малого два месяца с момента подачи заявы). Я получил самое настоящее электронное письмо из Аэрофлота. В нем выражалось сожаление о моём существовании и меня информировали, что моя претензия передана на рассмотрение в отделение Аэрофлота в г. Брюсселе. И что указанное подразделение со мной непременно свяжется. Как только, то сразу.

Aeroflot mail 280319

После этого ничего не происходило до 12 апреля, то есть полмесяца. В письме мне также рекомендовалось самому поискать адреса и телефоны представительства на сайте. Я не понимал, зачем мне это надо, раз они сами свяжутся со мной. А вот через полмесяца понял, почему. Похоже, что они со мной связываться и не собирались.

И стал искать. Это ж так увлекательно – искать на сайте аэрофлота и периодически попадать на отсутствующие страницы, выпадающие меню на 50 пунктов, пробовать разные варианты выбора и получать каждый раз облом.

Отправил таки после детективных поисков письмо на адрес представительства с просьбой разъяснить, чего они там так долго думают. В ответ, что вы думаете? Тишина. Звоню по телефону – не берут. Поехал в аэропорт города Брюсселя, где они гнездятся под надписью Аэрофлот. Там оказалась милая девушка, которая меня долго и внимательно выслушала. А потом сказала, что она не при делах, просто билеты здесь оформляет.

А искомые персонажи – представители, сказала девушка, физически недоступны, потому что постоянно отправляют и принимают самолёты (к слову, из Москвы в Брюссель всего два-три рейса в день). Но, видимо, каждому самолёту надо помахать ручкой, уронить слезу. А потом и встретить достойно. Вот и неуловимы поэтому представители аэрофлота, и на звонки не отвечают.

Так вот, теперь вы знаете, что такое недобросовестный бизнес. И можете догадаться, по какой причине практически все инвестиции российских компаний в бизнес в ЕС заканчиваются epic fail.

А у меня вопрос к читателям в связи с прочитанным:

— Является ли бизнес Аэрофлота «добросовестным»?

— Что бы вы сделали дальше в такой ситуации?

 

Рубрики
Business Internal Audit

Настоящему мужчине всегда есть что сказать…

Все новогодние каникулы я трудился в поте лица, и писал заказуху. Заказал меня на этот раз журнал «Директор по безопасности». Тема сочинения была не совсем та. Нет, не «Как я провел лето». А «Внутренний аудит и служба безопасности».

Тема крайне интересная и сложная, поскольку проблему я знаю с обеих сторон баррикады. И руководил обеими, обагряя руки.

И таки, перечеркав десяток вариантов — в страшных мучениях, написал. Нет, не написал, а выродил. А главред  журнала Николай Дворецкий очень мягко и по существу отредактировал, после чего статья стала иметь вид, как и полагается в приличном обществе — где матом не плюются и на стены не писают.

Настоящему мужчине всегда есть что сказать. Главное, чтобы редактор хороший попался. Итак, все желающие могут скачать и прочитать (с любезного разрешения журнала «Директор по безопасности») мою статью про отношения между внутренним аудитом и СБ.

Статья здесь: Скачать и открыть

 

Рубрики
Business Risk management

Как оценивать риски

     Когда к вам пришел человек, и пытается учить вас, как оценивать риски — спросите его только три вопроса, и пусть он подробно расскажет.

     Вопрос 1. Как он заработал свой первый миллион долларов (оценивая риски, разумеется).

    Вопрос 2. Как он заработал свой второй миллион долларов — опять же, оценивая риски.

    Вопрос 3. Как он заработал свой третий миллион долларов. И, снова — оценивая риски.

Обязательно три раза — один раз можно заработать случайно, как Талеб. И потом ездить по миру с лекциями «как заработать миллион». Это называется «эффект сперматозоида» (читать здесь). То есть однократный эффект не канает.

    Да, и пусть наш герой подробно расскажет — как обогнал, как подрезал. И если расскажет — слушайте его потом внимательно — как оценивать риски. Если нет — гоните ссаными тряпками.

   Ну, не верю я в образ художника, который ради любви к искусству оценивает чужому дяде риски, и этот дядя зарабатывает на этом миллионы. А художник тем временем питается дошираком и выступает на конференциях и рассказывает, какой он крутой риск-менеджер. Если знаешь как заработать, оценивая риски — заработай. Личным примером, б… А потом учи других.

    Да, и это была самая полезная лекция по управлению рисками, которую вы слышали в своей жизни.

Да, и именно поэтому нанять на работу хорошего риск-менеджера стоит дорого. У вас столько денег не хватит.

    Вот вопросик от читателя поступил: — Мне кажется ваша логика утопией. По ней получается, что все кто не заработал не могут учить? Ну это же бред….

    Ответ: в общем случае те, кто учат, должны знать предмет лучше обучаемых. И в общем случае проверить это несложно. Учишь стрелять — вот тебе ружьё и мишень, покажи как умеешь.

С риск-менеджерами сложнее. Как оценить их качество? Складно пиз… рассказывать про вары умельцев до него и больше. Но к умению выявлять и оценивать риски это никакого отношения не имеет.

В то же время никто из этих риск-менеджеров ни разу не принёс компании никакой пользы, если не считать пользой красивые презентации с тепловыми картами рисков и всякими статистическими графиками.

В то же время странно, что умея оценивать риски, сей субъект ни разу не применил своё волшебное знание в целях личной наживы. А казалось бы, чего проще? Ну ладно. Это личное дело каждой отдельной компании — дежать попугая или нет.

Но когда ещё они берутся поучать других, как оценивать риски, наступает полный п-ц. Я просто не могу на это смотреть спокойно.

И вспоминаю классику:

» В половине двенадцатого с северо-запада, со стороны деревни Чмаровки, в Старгород вошел молодой человек лет двадцати восьми. За ним бежал беспризорный. — Дядя! — весело кричал он. — Дай десять копеек! Молодой человек вынул из кармана налитое яблоко и подал его беспризорному, но тот не отставал. Тогда пешеход остановился, иронически посмотрел на мальчика и воскликнул:

   — Может быть, тебе дать еще ключ от квартиры, где деньги лежат?

   Зарвавшийся беспризорный понял всю беспочвенность своих претензий и немедленно отстал.

    Молодой человек солгал: у него не было ни денег, ни квартиры, где они могли бы лежать, ни ключа, которым можно было бы эту квартиру отпереть. У него не было даже пальто. В город молодой человек вошел в зеленом, узком, в талию, костюме. Его могучая шея была несколько раз обернута старым шерстяным шарфом, ноги были в лаковых штиблетах с замшевым верхом апельсинного цвета. Носков под штиблетами не было. В руке молодой человек держал астролябию.»

Молодой человек был риск-менеджером.

Рубрики
Business Events Internal Audit Internal control IoT IT

Разделение прав и полномочий: как легко и непринуждённо получить перелом головного мозга

Вот такой опрос я провел неделю назад на моем телеграм-канале. А сейчас — разбор полётов, вопросов, ответов и проблемы SoD по существу — вплоть до разрыва шаблона.

Сначала посмотрите это короткое видео — кусок художественного фильма.

Да, это правда — я смотрю художественные фильмы глазами аудитора. И как аудитор, вижу не погоню, а хороший образец классического разделения прав и полномочий.

Сначала о том, что такое «разделение прав и полномочий» — так с ихнего на нижегородский переводится термин SoD – «Segregation of Duties». Проблема внутреннего контроля – это проблема контроля поведения людей. То есть как заставить их выполнять определённые правила.

И решение её путём SoD было найдено ещё во времена фараонов. Тогда, раз в два года отправлялись по владениям фараона сборщики налогов. И переписывали то, что есть у работяг. И назначали налог к уплате. А через некоторое время, вслед за ними, шли другие люди, по-нашему – контролёры. И проверяли, правильно ли посчитали предыдущие. Не подкупили ли кого, не обманули ли нашего обожаемого фараона.

Вот тогда впервые на практике появилось правило разделения прав и полномочий. Оно гласит: одни должны принимать решения (например – о закупке), другие должны принимать, перетаскивать и хранить материальные ценности, а третьи – отражать это всё в учёте.

И тогда не будет хищений, потому что для совершения этого нехорошего дела всем учитывающим-перетаскивающим надо будет сговориться между собой. А это сложно.

Во времена фараонов это, безусловно, было гениальное решение. Во-первых, других средств контроля не было – только что изобрели, слава богу, папирус, и появилась возможность хотя бы записывать разные интересные факты. Кто кому сколько должен, например.

А во-вторых, во времена фараонов, и далее во все времена, почти до наших дней, в случае подозрений в сговоре и воровстве подозреваемых можно было пытать. И тот, кто послабее, сознается. А при правильном подходе – любой сознается.

Но шли времена. Менялись нравы. Пытки запретили, религии отменили, геенны огненной за грех «не укради» в наше время никто не боится. И люди воспряли духом. Я лично и неоднократно в процессе расследования находил группы из пары десятков людей, которые весьма успешно сговорились и воровали миллионами. Не рублей. А что – шкуру сдирать, в случае чего, не будут. Ну, заведут дело, и что? Еще неизвестно, кто судье больше заплатит.

И принцип разделения прав и полномочий, как гарантия отсутствия хищений, канул в лету. Но наши аудиторы и контролёры этого не заметили. И продолжают находить и указывать менеджменту на недостатки отсутствия разделения прав и полномочий.

На этом месте у благоразумного и воспитанного на COSO внутреннего аудитора должен наступить разрыв шаблона, он же когнитивный диссонанс. Его же всю жизнь учили молиться на SoD, как на панацею от недостатков внутреннего контроля. И тут выходит покушение, можно сказать, на смысл его жизни. Такое трудно пережить.

Но тем не менее, попробую закрепить достигнутый эффект.

Со времен египетских фараонов прошло совсем немного времени, но технологии изменили жизнь человечества. Помните время, когда в метро надо было для прохода кидать в автомат увесистую монетку в 5 коп.? (Вес 5 граммов, сегодня: — стоит как лом примерно 2 рубля, как предмет коллекционирования – 100 руб., эквивалент покупательной способности – 50 рублей).

Так вот, немногие знают, что разделение прав и полномочий в самом идеальном виде существовало в метро ещё в 1960 году: один человек принимал оплату и выдавал билет, а другой проверял билеты при входе на платформу. Изначально вход в метро был только по бумажным билетам. В кассовых залах были пункты пропуска на которых стоял контролёр и гасил билет отрывая нижнюю часть билета, а верхнюю отдавал пассажиру.

Куда же эта система делась? Как оказалось, она была слишком затратной и медленной. Пришлось поставить автоматические турникеты. А сегодня даже автоматические турникеты на пригородных направлениях в Москве не выдерживают поток людей в часы пик.

Так вот, в тех бизнесах, где думают об эффективности, давно уже отказались от SoD в пользу применения ИТ технологий контроля. Например, грузчик отвозит на склад готовую продукцию из цеха и сам сканирует штрих-код на её упаковке. С точки зрения разделения прав и полномочий — есть где порезвиться внутреннему аудитору.

Конечно, грузчик может взять, и заныкать пару ящиков продукции, и не отсканировать её (оприходовать на склад). Но тут же возникнет разрыв в учёте выпуска продукции и её оприходованием, и если существует автоматический анализ производства и оприходования, то расхождение будет тут же выявлено. Проанализировав интервал времени между производством и оприходованием каждой единицы продукции, можно будет выявить момент времени, когда это произошло. А посмотрев камеры видеонаблюдения за эти даты, увидеть, как это происходило.

То есть разделения прав и полномочий в описанной ситуации нет, а хищение гарантировано исключено. Если всё контрольное оборудование работает нормально. А это приводит нас к двум неприятным для современного аудитора выводам.

Вывод 1. Хватит уже заниматься выявлением отсутствия разделения прав и полномочий, потому что вся эта проблема всё больше и успешнее решается с помощью ИТ-технологий.

Вывод 2. Чтобы обнаружить недостатки внутреннего контроля, аудитору теперь придётся залазить внутрь этих самых технологий. А для этого надо в них разбираться…

Впрочем, об этом я уже писал…

Читать можно здесь: http://bit.ly/2pFjrmi и http://bit.ly/2oXX0br , http://bit.ly/2oXZyGT

А подробнее про оптимизацию внутреннего контроля расскажу на тренинге 13-14 мая, который российское отделение ACFE проводит в содружестве со Сбербанком в г. Москве. Про это — здесь

Собственно разбор ответов на опрос:

Ответ 1. 58% Да, позволяет, и его надо использовать всегда.

Правильный ответ: Разделение прав и полномочий позволяет противодействовать хищениям далеко не всегда. В первобытном обществе это – единственный вариант решения проблемы. В современном обществе разделение прав и полномочий работает далеко не всегда. В наше время моральные принципы честного поведения во многом утрачены в обществе, и люди прекрасно умеют договариваться, чтобы украсть.

Ответ 2. 11% На практике это не даёт эффекта.

Практически правильный ответ. Во всех случаях самых крупных хищений они происходили в условиях, когда существовало правильное разделение прав и полномочий. Были и аудиторы, которые почему-то ничего не замечали, и финансисты, которые должны были формировать достоверную отчётность, и советы директоров, все из себя объективные и независимые. Помогло это как мертвому припарки.

Ответ 3. 31% Позволяет, но затраты на внутренний контроль становятся выше получаемого эффекта.

В этом ответе акцентируется внимание на экономической эффективности припарок. Действительно, для правильного разделения прав и полномочий нужно в 3 раза больше людей. Кто-то продаёт билетики, кто-то проверяет, кто-то принимает кассу, кто-то составляет отчётность. При последовательном и правильном применении разделения прав и полномочий экономика компании загнётся моментально.

Ответ 4. 0% А что это такое?

Отрадно, что все принявшие участие в опросе знают, что такое SoD. Или по крайней мере думают, что знают.

Рубрики
Не по делу Society

Придумайте подпись к рисунку

     Бельгия — страна, в которой издаётся больше всего комиксов на душу населения. И я долго не понимал, что за дурь такая. Потом понял, что в каждом комиксе есть несколько уровней смысла. Это как загадка, или как некая строка китайских иероглифов, которые каждый может интерпретировать по-своему, докапываясь до самого глубокого смысла. В каждой картинке несколько уровней смысла, и несколько разных интерпретаций. Первый раз смотришь — просто смешной рисунок. А через некоторое время доходишь до серьёзных смыслов.

Попробуйте — и вам станет интересно!