Службы внутреннего аудита сегодня существуют в большинстве крупных и многих средних российских компаниях. Немало руководителей компаний, где таких подразделений еще нет, задумываются об их создании. Интерес к внутреннему аудиту обусловлен, по нашему мнению, рядом факторов.
Во-первых, это желание и насущная необходимость для собственников и менеджмента упорядочить бизнес-процессы в компании, что во многих случаях может привести к весьма ощутимой экономии средств.
Во-вторых, потребность совета директоров (наблюдательного совета) в независимом и объективном источнике информации о состоянии дел в компании.
В-третьих, необходимость сокращения издержек на многочисленные контрольные подразделения в компании путем создания службы с широким спектром зон ответственности.
За последние годы внутренний аудит проделал большой путь в своем развитии и добился значимых успехов в вопросе признания со стороны высшего руководства компаний. Тем не менее сегодня внутренний аудит вновь оказался на пороге перемен. Эти перемены назревали давно, и кризис лишь ускорил процесс.
Могли внутренние аудиторы сделать больше, чтобы помочь своим компаниям не оказаться в нынешней нелегкой ситуации? Представляется, что могли. Для этого необходимо было, во-первых, сфокусироваться на наиболее значимых по степени своего воздействия на организацию рисках (рисках высокого уровня), в том числе стратегических. Во-вторых, необходимо было суметь довести до понимания заказчиков (совета директоров и высшего исполнительного руководства) то, что сами заказчики не всегда готовы были услышать и воспринять. Но именно в этом и заключается роль внутреннего аудита.
И здесь встает очень важный вопрос, ответ на который может определить последующий путь развития внутреннего аудита, - вопрос об уровне вовлеченности внутреннего аудита в дела компании или, иначе говоря, уровне воздействия на деятельность компании. Будет ли сфера внутреннего аудита ограничиваться традиционными областями - операционными, финансовыми и комплайенс рисками - или же внутренний аудит выйдет на уровень стратегических рисков? (Именно стратегические риски несут в себе наибольшие угрозы для компании, приводящие к значительным убыткам и банкротствам.) С другой стороны, готовы ли советы директоров и высшее исполнительное руководство компаний видеть внутренний аудит в этой роли?
Представим гипотетическую, а для некоторых руководителей служб внутреннего аудита - вполне реальную ситуацию, когда внутренний аудитор в первой половине 2008 года приходит к генеральному директору с разумной мыслью, что экономический рост не бывает бесконечным, пузыри (на фондовом рынке, кредитном рынке, рынке недвижимости и т.п.) имеют обыкновение лопаться, безудержный рост цен на сырье сменяется их резким падением. Поскольку эти закономерности никто не отменял и никто не опроверг, внутренний аудитор предлагает генеральному директору вместе поразмыслить над текущей ситуацией. Возможно, целесообразно было бы отложить или вовсе отказаться от очередной покупки убыточных иностранных предприятий на пике их стоимости, не начинать строительство нового производственного объекта, не заключать договор со 100% предоплатой на приобретение дорогостоящего оборудования, не выдавать миллиардный кредит под залог товарных запасов и т.п. Что бы на это ответил генеральный директор? Скорее всего, посоветовал бы внутреннему аудитору занять место генерального директора, если тот такой умный. Или же просто отправил бы внутреннего аудитора восвояси - ведь каждый должен заниматься своим делом. И поступил бы именно так, даже если бы разделял мнение аудитора. Потому что, прислушайся генеральный директор к мнению внутреннего аудитора, выскажи сомнения собственнику или на совете директоров, это привело бы к неудовольствию собственника, совета директоров с непредсказуемыми последствиями для генерального директора. Ведь в последние годы считалось дурным тоном не верить в наступление эры непрекращающегося роста.
Должен ли был внутренний аудитор довести свое мнение до совета директоров, если этого не сделал генеральный директор? И готов ли был совет директоров прислушаться к мнению внутреннего аудитора?
Ответ на первый вопрос определяется в каждом конкретном случае, прежде всего исходя из степени зрелости службы внутреннего аудита и уровня профессионализма внутренних аудиторов. Это в высшей степени ответственное решение для любого руководителя службы внутреннего аудита.
При ответе на второй вопрос представляется, что совет директоров еще в меньшей степени, чем менеджмент, был готов прислушаться к мнению аудитора.
Во-первых, потому что члены совета директоров ничем не рисковали, утверждая рискованные стратегии, предложенные менеджментом. Во-вторых, они не всегда были готовы выступить вразрез с мнением собственника, требовавшего экспансии на новые рынки, приобретения новых зарубежных активов, участия в новых проектах, роста показателей деятельности и т.д. (Вновь во всей остроте встал вопрос наличия действительно независимых директоров в советах директоров компаний.) А с собственником для компании, как известно, связаны самые большие возможности, но и самые большие риски. В-третьих, члены совета директоров в излишней степени полагались на мнение менеджмента в вопросе стратегических рисков, при этом не всегда обращаясь к внутреннему аудиту, чтобы услышать его точку зрения. Можно констатировать, что роль внутреннего аудита в вопросе управления рисками в значительной степени недооценивалась.
Для налаживания эффективного взаимодействия советов директоров и внутренних аудиторов в вопросе управления рисками необходимо выполнение ряда предпосылок. Первое - включение в советы директоров независимых директоров, независимых де-факто. Второе - желание совета директоров использовать потенциал службы внутреннего аудита. Наконец, важно, чтобы члены совета директоров понимали, что проблема не в контроле, а в рисках. Иными словами, риски первичны, в то время как контроль является ответом на риски, инструментом реагирования на риски. Именно поэтому внутренний аудит наряду со своей традиционной ролью в оценке надежности и эффективности системы внутреннего контроля может и должен играть более активную роль в вопросах управления рисками, в том числе и стратегическими рисками. При этом, безусловно, не подменяя менеджмент компании.
Формы и способы участия могут быть самыми разнообразными и зависят от степени зрелости системы управления рисками в компании. Начиная с участия в обсуждении соответствующих вопросов на заседаниях различных комиссий и комитетов, проведения рабочих встреч с руководителями различного уровня и заканчивая выступлением в роли локомотива при построении или реорганизации системы управления рисками. И, конечно же, проведение внутренним аудитом независимой оценки надежности и эффективности системы управления рисками на этапе, когда она начнет функционировать.