Рубрика: Risk management

– Навеяно и стимулировано статьёй Романа Макеева (https://svk4u.ru/?page_id=4641) и всем моим пожизненным опытом.

Как планировать работу внутреннего аудита? Нужен ли план с датами начала и окончания аудита, с расчётом потребных ресурсов (то есть аудиторов), человеко-часов и диаграммами Ганта?

С этого я начинал когда-то, будучи довольно молодым и зелёным руководителем внутреннего аудита. Начитался о том, что план должен строиться на основе оценки риска. Правда о том, как оценивать эти риски, никто не озаботился написать. Но таковы стандарты ВА – сказано мудрым филином, что мышки должны стать ёжиками, а вот как именно – это уже тактика, а ею мудрый филин не занимается.

Шли годы, были проведены сотни аудитов и расследований и наступило прозрение, что планировать работу внутреннего аудита не надо – от слова совсем. Если вы после этих моих слов уже отошли от инфаркта, выписались из больницы и прошли полный курс реабилитации, то читайте дальше.

Что мы имеем в реальности:

1. Количество ресурсов у внутреннего аудита на порядок или два меньше, чем необходимо для сколь-нибудь чувствительного охвата окружающей реальности. Если запланировать всё, что нужно, и встать рядом с этими планами, то ваше микроскопическое существо на фоне планов будет незаметно без мелкоскопу.
2. Жизнь в лице генерального директора и СД постоянно дарит нам сюрпризы. То председателю СД прислали анонимку на начальника транспортного цеха, и требуется разобраться, покарать невиновных и наградить непричастных в течение недели. То Иван Иванович, начальник снабжения, вусмерть разосрался с Иваном Никифоровичем, который технический директор. И генеральный, который тоже директор, с криком «ату его» будет вас науськивать покусать одного или другого.

И такая дребедень целый день, как сказал поэт. В общем, свои планы аудитор может распечатать на мягкой бумаге в трех экземплярах согласно количеству кабинок в туалете.

3. Вам зачем нужны даты начала и окончания аудита каждого процесса? Вы подумайте, только головой. Возможно, они нужны проверяемым, чтобы вовремя обновить запасы валидола и вазелина. А вам-то зачем? Всё равно из-за внеплановых работ все даты поплывут, и потом надо будет корректировать план, чтобы он был достойно выполнен. Вместо того, чтобы планировать нереальное и потом подгонять планы под реальность, подвесьте интригу. Чтобы не знали проверяемые, когда к ним придут и придут ли вообще в этом году. Такая русская рулетка. А ваши сотрудники будут потихоньку сливать инсайд снабженцам или сбытовикам, что к ним едет ревизор. Вот так совсем просто можно поднять престиж внутреннего аудитора в компании. Жизнь заиграет красками.
4. Риск-ориентированный подход, говорите? Ой, только не надо мне рассказывать про оценку рисков по методу светофора. Он же метод блондинки. Лучше не позорьтесь. Оценивать риски никто ещё не научился. Потому что если бы такой человек появился, он бы стал миллиардером в течение года, оценивая риски в целях личной наживы. И весь ваш внутренний и внешний аудит ему бы никуда не упал. А те клоуны, которые называют себя риск-менеджерами, и рисуют всякие вары, – так это они попросту соврамши.
5. Да и к чему оценивать риск того, ворует ваш начальник снабжения или технический директор или нет? Конечно, воруют. Это не риск, а факт, как говорил мой знакомый из Норникеля. Воруют (я имею в виду под словом «воруют» не ст.158 УК, а широкий спектр деяний и злоупотреблений) все, всегда и везде. Там, где только есть возможность. Поэтому ткни пальцем в случайного менеджера, и если он после аудиторской проверки будет на свободе, то это не его заслуга, а ваша недоработка.

В общем, подводим итого.

В следующий раз, когда пойдёт разговор о планировании работы ВА, подсуньте вашему начальнику эту статеечку. Пусть не утруждается расчётами человеко-часов. Человечки все известны, их часы сочтены, а работы – просто океан вычёрпывать бумажными стаканчиками.

Для оценки рисков заведите себе специальный белый кубик с черными точечками. Когда появится время куда-то сходить на проверку, подбрасываете кубик, и, согласно выпавшему номеру, посещаете фигуранта. Сколько вы на него времени потратите – зависит от объёма его деяний. Иногда, копнув только для порядка, обнаруживаешь, как сперли 500 млн. долларов. И такое бывало. Но это отдельная долгая и печальная история.

А вы – живите проще, живите веселее. И будет вам счастье.

«Это человеческий фактор” – говорят нам менеджеры, когда надо списать на обстоятельства непреодолимой силы свой очередной провал. И разводят руками.

А на самом деле, так ли этот мифический “ЧФ” непреодолим? Что это такое? А если разобраться, из чего он состоит? Какова его роль в системе внутреннего контроля и обеспечении безопасности бизнеса? Можно ли на него повлиять? Что для этого надо делать? Как оценивать (аудировать) устойчивость вашего бизнеса к “человеческому фактору”?

Когда все возможности для оправданий менеджером исчерпаны, он разводит руками и говорит «Это человеческий фактор» с таким видом, как будто человеческий фактор – нечто неизбежное-непреодолимое, как мировая революция и землетрясение одновременно.

Предполагается, что никто не будет задавать дальнейших вопросов, как и почему это произошло, и что делать, чтобы больше такого не случилось.

Так что такое человеческий фактор? Это синоним халатности, разгильдяйства, невнимательности, бестолковости?

По умолчанию предполагается, что человек действовал не так, как должен, находясь в здравом уме и твердой памяти.  И в результате случилось то самое – например, Чернобыльская катастрофа. Ну никто же не может предусмотреть, что выкинет то или иное человекообразное. Нажмёт не на ту кнопку, уснёт, когда не надо, замешкается от волнения и так далее.

Так проблема выглядит невооружённым глазом. Но если посмотреть на проблему внимательнее, то мы увидим некоторые интересные детали. Которые приведут нас к ещё более интересным выводам.

Да, человек имеет недостатки и особенности, по сравнению с автоматами и роботами. На его решения и действия влияют особенности работы его мозга, который может принимать неверные решения или не принимать их вовремя по разным причинам.

Самые частые из них:

– эмоциональное возбуждение, когда лимбическая система блокирует работу неокортекса в значительной степени и решения принимаются «на эмоциях»; сюда же относится воздействие на человека средствами социальной инженерии;

– человек действует из своих убеждений, предубеждений, не видит и не хочет видеть очевидное;

– так называемые «ментальные ловушки». Например, что 13,999 меньше, чем 14,000, хотя разница лишь в погрешности измерения.

– усталость от длительной непрерывной нагрузки, нехватки кислорода, когда мыслительные способности снижаются ниже уровня, необходимого для принятия правильных решений («голова не работает»).

– снижение способности принимать правильные решения под воздействием алкоголя, лекарств и других химических соединений.

– самоуверенность, самонадеянность как результат отсутствия знаний и опыта и переоценки своих сил и способностей.

Так вот, теперь самое время дать определение, что такое человеческий фактор. Я предлагаю такое определение:

«Человеческий фактор – это риск того, что особенности поведения и мотивации человека, его психологические и физиологические свойства не предусмотрены системой внутреннего контроля».

В моём определении впервые утверждается, что единственная причина проявления эффекта «человеческого фактора» – недостатки системы внутреннего контроля. Поясню подробнее. Сегодня любая сложная система является биотехнической системой, состоящей из двух компонент – человека и машины (под словом «машина» понимаем любую технику – компьютер, механизм, сеть, интернет вещей и так далее). В современной системе не только машина работает под управлением человека, но и одновременно и человек контролируется «машиной».  Машина контролирует поведение человека и управляет им в той или иной мере. И не всегда понятно, кто кого больше контролирует и у кого больше прав в таком контроле.

Причём по мере развития технического прогресса, управление человеком со стороны системы возрастает. И становится непонятно, как система, которая задумывалась как облегчающая жизнь человеку, на самом деле усложняет её. Вспомним, для примера,  систему антисваливания на Boeing 737 MAX. Она успешно противостояла действиям пилотов по управлению самолётом и в двух случаях сделала это настолько успешно, что теперь весь мировой парк этих Боингов стоит на приколе и ожидает, когда программное обеспечение самолёта доработают до такой степени, чтобы оно учитывало нормальную реакцию пилота на возникающие обстоятельства.

У меня есть ощущение, что наша ежедневная жизнь состоит из какой-то постоянной борьбы с разными системами, в попытках сделать что-то очень простое и естественное – например, положить деньги на мобильный телефон.

Проблема в том, что современные системы создаются без учёта реальных ситуаций, которые могут возникнуть у потребителя, а также от безудержного зуда внедрить «искусственный интеллект» для принятия решений где надо и не надо… Но это отдельная тема.

Поэтому, когда вы слышите выражение «человеческий фактор», то его надо переводить как «недостатки системы внутреннего контроля в области учета особенностей человека как части такой системы».

И теперь, когда у нас есть определение ЧФ и понимание, что это такое, нам осталось сделать совсем немного: научиться с ним бороться. То есть уменьшать риск возникновения «человеческого фактора» как причины сбоя системы.

Наверное, все находят естественным, когда сиденье водителя автобуса или самолёта проектируется так, чтобы соответствовать требованиям эргономики. Чтобы человек смог проработать в нем несколько часов, и без боли в спине.

Тогда почему тогда при разработке контрольных процедур никто и никогда не оценивает их с точки зрения риска «человеческого фактора»? Изучая отдельные контрольные процедуры, невозможно понять, как такую контрольную процедуру можно было сделать и надеяться, что «человеческий фактор» однажды не проявит себя в полной мере.

Что же нужно для того, чтобы минимизировать влияние «человеческого фактора» на работу биотехнической системы? Несколько основных правил:

… продолжение следует – в моем докладе «Человеческий фактор и внутренний контроль» на нашей ежегодной конференции “Комплексная безопасность бизнеса и противодействие хищениям”