Консультационный аудит: основные подходы

В статье рассмотрены вопросы идентификации консультаций со стороны службы внутреннего аудита, обозначены основные подходы к оказанию службой внутреннего аудита консультационных услуг, а также намечены пути повышения эффективности внутреннего аудита.

В последнее время тема предоставления консультаций со стороны внутреннего аудита становится особенно актуальной. Так, в «Обзоре профессии» за 2014 г., составленном специалистами компании PwC¹, отмечается, что наибольшую ценность для компании представляют внутренние аудиторы из числа «доверенных консультантов» руководства, что является наиболее продвинутой формой работы внутренних аудиторов, в отличие от «поставщиков гарантий». Есть мнение², что согласно международной практике в зрелых иностранных компаниях, где хорошо развиты все три линии защиты, соотношение рабочего времени на консалтинг и гарантии на сегодня выглядит примерно как 40/60. В российской практике это соотношение несколько выше в пользу гарантий. Так, по мнению директора Некоммерческого партнерства «Институт внутренних аудиторов» Алексея Сонина³, в 2004 г. такое отношение для российских организаций составляло 5/95. В последнее время наблюдается тенденция по нормативному закреплению функции внутреннего аудита. Например, для кредитных организаций были внесены изменения в Положение Банка России № 242-П⁴ в части разграничения функций службы внутреннего контроля (СВК) и службы внутреннего аудита (СВА). Можно предположить, что роль СВК как второй линии защиты будет возрастать и оказание консалтинговых услуг со стороны СВА в кредитных организациях будет особенно актуальным. Что это такое – консультации со стороны внутреннего аудита? Насколько они развиты и необходимы в настоящее время? На эти и другие вопросы постараемся ответить в этой статье.

Согласно определению «внутренний аудит» – это деятельность, которая включает в себя предоставление как гарантий, так и консультаций⁵. Среди специалистов по внутреннему аудиту есть мнение, что консультации со стороны внутреннего аудита – это внеплановые проверки, выполненные по поручению их основных клиентов – высшего исполнительного руководства и совета. С одной стороны, действительно выполнение таких проверок повышает клиентоориентированность СВА, делает услуги внутреннего аудита более востребованными, повышает ценность и влияние СВА в организации. В этом плане их можно назвать «консультациями». С другой стороны, с точки зрения деления деятельности внутреннего аудита на гарантии и консультации согласно Международным профессиональным стандартам внутреннего аудита (МПСВА) такой подход представляется не совсем верным.

Все аудиторские проверки можно разделить на плановые и внеплановые по принципу того, планировались ли они в начале периода, или заказ на проверку был получен в течение периода. На наш взгляд, не совсем правильно идентифицировать все внеплановые проверки как консультации, а все плановые – как гарантии (проведение оценки деятельности). Внутренний аудит может как давать советы и рекомендации в ходе плановых проверок (т.е. оказывать консультации), так и проводить оценку деятельности (т.е. предоставлять гарантии) в ходе внеплановых. Часто бывает так, что в ходе внеплановых проверок внутренние аудиторы, наоборот, следуя пожеланиям клиентов – заказчиков аудита, сосредотачиваются на оценке рисков и системы внутреннего контроля, т.е. являются «поставщиками гарантий».

Обратимся к определению гарантий и консультаций согласно МПСВА. Так, гарантиями является «объективный анализ имеющихся аудиторских доказательств в целях представления независимой оценки процессов корпоративного управления, управления рисками и контроля в организации», а консультациями – «деятельность по предоставлению клиенту советов, рекомендаций и т.д., характер и содержание которой согласовываются с клиентом, нацеленная на оказание помощи и совершенствование процессов корпоративного управления, управления рисками и контроля, исключающая принятие внутренними аудиторами ответственности за управленческие решения». Поставив рядом два эти определения, обнаружим основное отличие: гарантии подразумевают «независимую оценку процессов», а консультации – «предоставление советов и рекомендаций, направленных на оказание помощи и совершенствование процессов». Однако на практике по результатам аудиторских проверок, т.е. проведения независимой оценки (предоставления гарантий), внутренний аудит практически всегда дает рекомендации по исправлению ситуации, которые также направлены на совершенствование процессов, в т.ч. процессов внутреннего контроля и управления рисками, что не противоречит определению консультации. Более того, согласно Стандартам 2100, 2110, 2120, 2130⁶ подразумевается, что внутренние аудиторы обязаны давать такие рекомендации, если считают, что текущий уровень риска неприемлем для организации и должны быть выполнены корректирующие действия со стороны менеджмента.

В литературе по внутреннему аудиту⁷ подробно рассматривается вопрос о различиях между гарантиями и консультациями, которые можно обобщить в следующей таблице:

Таблица 1 Различия между гарантиями и консультациями

Когда внутренние аудиторы предоставляют гарантии, они отвечают на вопрос: «А все идет так, как положено?», при этом для них объективность и независимость СВА стоят на первом месте. При оказании консультации есть риск утраты независимости и объективности, т.к. аудиторы принимают большее участие в изменениях процесса. Но при этом возрастают требования к профессиональной компетенции аудиторов. При предоставлении гарантий основной клиент СВА – это некое третье лицо, заказывающее оценку какого-либо процесса, при консультировании заказчик задания и объект аудита может быть одним лицом. Выполнение задания по консультированию – относительно добровольное дело аудиторов, они могут отказаться от выполнения задания по «уважительным причинам», в отличие от заданий по гарантиям. Однако, по нашему мнению, одно из главных отличий – это то, что рекомендации по результатам консультаций могут не исполняться объектом аудита.

Приняв это в качестве основного ориентира, предлагаем более четкое определение понятия «консультация» для использования в практике внутреннего аудита. Так, в качестве гарантий предлагается считать такую оценку деятельности и рекомендации по результатам ее проведения, которые направлены на снижение риска и улучшение системы внутреннего контроля до некоторого «нулевого», приемлемого уровня. До этого уровня рекомендации обязательны для исполнения, их неисполнение критично для организации. Сверх него любые предложения по улучшению процессов, в т.ч. не только управления рисками и внутреннего контроля, но и, как правило, бизнес-процессов, являются консультациями. Рекомендации по ним – это рекомендации в чистом виде, клиентами / объектами аудита они могут исполняться по собственному усмотрению (см. рис.1).

Рис. 1. Гарантии и консультации

Таким образом, предлагаемое нами определение консультаций уточняет определение из МПСВА: «деятельность по предоставлению Клиентам СВА советов и рекомендаций по совершенствованию процессов организации, направленная на повышение эффективности и результативности деятельности, усиление систем управления рисками и внутреннего контроля сверх критичного для организации уровня».

Следующие, встающие перед СВА при предоставлении консультаций, вопросы также рассматриваются в исследованиях по внутреннему аудиту⁸, но не имеют четких ответов для практиков:

• Нужно ли разделение продуктов по предоставлению гарантий и консультаций?
• Как распределить ресурсы между заданиями по гарантиям и консультациям для повышения эффективности каждого вида заданий?
• Насколько далеко можно «уходить» в предоставление консультаций без ущерба объективности и независимости службы внутреннего аудита?
• Каковы риски и выгоды предоставления консультаций?

Для того чтобы ответить на первый вопрос, определим основных клиентов и продукты СВА. Клиент СВА – заказчик аудита в лице высшего исполнительного руководства либо совета; получает от СВА по итогам выполнения аудиторских заданий какой-либо продукт: акт проверки, аудиторский отчет, аудиторское заключение и т.д. При этом достаточно сложно выделить объективные критерии качества этого продукта. Главное, чтобы заказчик аудита остался доволен работой аудиторов, и в данном случае возможно проведение оценки степени удовлетворенности клиента как в целом, так и по отдельным критериям. Примерные критерии, которые важны для клиента, как правило, известны аудитору, но совсем не помешает добавить в анкету «свободный» вопрос о том, что волнует клиента в первую очередь и каковы его предложения по улучшению деятельности СВА. Пример подобной анкеты приведен на рис. 2.

Рис. 2. Анкета для опроса клиента СВА

В качестве ориентира для вопросов анкеты может быть использован стандарт МПСВА 2420 «Качество сообщений: Сообщения должны быть точными, объективными, ясными, полными, конструктивными, краткими и своевременными». Так, например, основная масса клиентов СВА, как правило, желает, чтобы рекомендации СВА были направлены на предотвращение системных рисков и проблем, а не на выявление их после того, как они уже случились. Это соответствует тому, что сообщения должны быть своевременными, т.е. такими, которые «сделаны в необходимые сроки в зависимости от важности вопроса, чтобы дать возможность исполнительному руководству принять соответствующие меры по исправлению ситуации». Чем раньше дано сообщение, в идеале до того, как наступило рисковое событие, тем большую пользу оно принесет заказчику аудита.

Для клиента бывает также важным, чтобы рекомендации по результатам аудитов рассматривались с участием проверенных подразделений и имели альтернативы, что соответствует критериям конструктивности («помогают клиенту и организации и предлагают необходимые улучшения, если необходимо») и объективности («достоверные и беспристрастные сообщения, которые появляются в результате справедливой и сбалансированной оценки всех относящихся к делу фактов и обстоятельств»).

По результатам анкетирования выявятся области, которые наиболее интересны заказчику аудита, и вопрос о необходимости разделения продуктов на гарантии и консультации может быть решен исходя из принципов, обозначенных выше. Основной из них – это то, что рекомендации для объектов аудита не носят обязательного характера, т.к. существующие риски приемлемы. Так, например, если клиенту более важны «эффективность и результативность процессов», а не «состояние системы внутреннего контроля» и «текущий уровень риска», то для некоторых аудиторских заданий целесообразно выделение отдельного консультационного продукта СВА с рекомендациями по повышению эффективности процесса. Если же интересы клиента находятся в области «соответствия нормативным актам» или «достоверности отчетности/информации», то это уже в большей мере относится к предоставлению гарантий и работа над отдельным консультационным продуктом вряд ли будет оправдана.

При консультировании значимым является не только содержание консультационного продукта, но и его форма. На первом этапе продуктами по консультациям могут быть те же аудиторские отчеты, в которых присутствуют как выявленные недостатки системы внутреннего контроля, так и предложения по повышению эффективности бизнес-процессов. Однако эти два разных по сути фактора могут по-разному восприниматься клиентом – заказчиком задания: одно говорит о том, что «все плохо и надо что-то исправить», а другое – о том, что «есть возможности для улучшения».

Разделение рекомендаций СВА на «предложения по исправлению недостатков» и «предложения по использованию возможностей» позволит повысить «эмоциональный счет» СВА в глазах клиентов. При этом сама форма консультации на первоначальном этапе может быть стандартной: в виде служебной записки, отчета, переписки по электронной почте, вплоть до устной коммуникации. Но в дальнейшем имеет смысл предоставлять консультации в виде отдельного продукта, к примеру, в виде отчета с элементами дизайна.

Для менеджмента также могут быть интересны такие нечасто используемые СВА «консультационные продукты», как:

• индивидуальные коммуникации (устные консультации, переписка через корпоративную электронную почту, онлайн-консультирование, коучинг) и т.п.;
• служебные записки в адрес руководства подразделений о возможных путях улучшения деятельности, повышения эффективности и результативности;
• инициативные предложения по улучшению бизнес-процессов;
• методы контроля и мониторинга деятельности (в т.ч. автоматизированные) и т.п.;
• обучающие мероприятия (тренинги, учебы), памятки, разъяснения и т.п.;
• результаты проектов с участием специалистов СВА;
• какие-либо новые продукты.

Отдельный продукт по консультациям может потребовать отдельного процесса по созданию такого продукта, отличного от типичного процесса предоставления гарантии. Такой процесс будет, в первую очередь, отличаться характером этапа согласования с объектом аудита выявленных замечаний и рекомендаций. Здесь важно, прежде всего, учесть мнение владельца процесса, предложить альтернативные рекомендации. От этого будет зависеть их «принятие» клиентом и дальнейшая реализация. С целью предложения наилучших решений также немаловажным является проведение бенчмаркинга (т.е. сравнения с лучшими практиками, как внешними, так и внутренними). Кроме этого, для устранения риска утраты объективности и независимости СВА при выявлении неприемлемых рисков целесообразно предусмотреть шаги – «переходы» от консультации к гарантии. Для того чтобы обратить внимание клиентов на предлагаемые улучшения процессов, выявленные в ходе проведения проверок, предусмотреть «обратные» шаги – от гарантии к консультации.

В целом, предлагаемые изменения процессов «Гарантия» и «Консультация» представлены в табл. 2.

Таблица 2. Изменения процессов

Второй вопрос «Как эффективно распределить ресурсы между гарантиями и консультациями?» также немаловажен.

Основные ресурсы СВА – трудовые, т.е. сотрудники, их знания, опыт, желание что-то изменить. Если выделить отдельные консультационные продукты СВА, то активность сотрудников по созданию таких продуктов может быть невысокой. Здесь могут возникнуть следующие риски:

• у сотрудников не будет времени на консультации из-за высокой интенсивности проведения проверок;
• сотрудниками это будет восприниматься как неосновная деятельность, т.е. не будет являться для них приоритетом;
• сотрудники не будут видеть практической реализации предложенных инициатив, и, как следствие, у них будет снижаться мотивация на создание консультационных продуктов.

Если первое из этих нежелательных явлений может быть устранено путем выделения дополнительных трудозатрат на консультирование за счет резерва на внеплановые проверки, то для устранения двух оставшихся необходимо выделение отдельного процесса по предоставлению консультаций и его регламентирование.

На первоначальном этапе внедрения изменений возможно выделение рабочей группы из числа наиболее инициативных и квалифицированных сотрудников из разных подразделений СВА. В задачи этой группы будет входить апробация новых методов работы на практике, разработка оптимальной схемы процесса и продуктов по консультациям, преодоление сопротивления изменениям со стороны остальных сотрудников СВА.

Интересна практика по созданию «ключевых точек контакта» – «доверенных консультантов» руководства, которыми могут быть члены такой рабочей группы. Это сотрудники, специализирующиеся в определенном направлении бизнеса и выполняющие следующие функции:

• информирование руководителя СВА обо всех важных изменениях в курируемой сфере, как внутренних (процессы), так и внешних (регулирование и надзор);
• регулярные встречи с руководителем направления бизнеса для обсуждения консультаций со стороны СВА;
• инициирование обращения руководителя направления за консультированием в СВА по вопросам совершенствования контрольной среды.

Для «ключевых точек контакта» должны быть иные приоритеты деятельности, а именно в первую очередь предоставление консультаций, а не гарантий. Соответственно, для таких сотрудников будут повышенные требования к набору компетенций, иные подходы к обучению и повышению квалификации. Предполагается, что они будут наиболее полно вовлечены в участие в коллегиальных органах в качестве наблюдателей: рабочих группах, комитетах по бизнес-процессам и т.д., будут вникать во все процессы подразделения, участвовать в производственных учебах, знать все проблемные зоны, открыто обсуждать их и искать пути решения с сотрудниками и руководителями подразделений, практиковать гемба – выходы на участки работы с целью непосредственного ознакомления с процессом.

Кроме того, необходимо отметить психологическую составляющую. Клиенты СВА – объекты аудита – будут более благосклонно относиться к тому, что определенная группа аудиторов ассоциируется у них именно с предоставлением консультаций, что не предполагает проверку их деятельности. Ведь любая проверка может закончиться не совсем положительно, вплоть до наложения дисциплинарных взысканий.

Еще один вопрос: «Насколько далеко можно «уходить» в предоставление консультаций без ущерба объективности и независимости?» – из числа ключевых в предоставлении консультаций со стороны СВА.

Задания по предоставлению консультаций могут быть разные – от оперативной оценки процесса до участия в проекте по внедрению в него каких-либо существенных изменений. Основным ограничением для СВА должно стать недопущение утраты объективности и независимости. В положении об СВА должно быть указано, что аудиторы не вправе участвовать в совершении операций и других сделок и осуществлять деятельность, подвергаемую проверкам.

В мировой практике это решается путем определения подходов к проведению консалтинга, исключающих утрату СВА объективности и независимости. Так, в Практических указаниях к МПСВА 1000.С1-3⁹ говорится, что СВА при оказании консультаций должна выполнять действия по уменьшению возможности утраты объективности внутренних аудиторов и независимости аудиторской функции в целом. Для этого нужно четко разграничить те действия, которые являются по сути советами и рекомендациями менеджменту, и те, которые по сути являются обязанностью менеджмента, т.е. принятие решений по рекомендациям СВА.

Ответ на четвертый вопрос: «Каковы основные риски и выгоды предоставления консультаций?» представлен в табл. 3:

Таблица 3. Основные риски и выгоды от оказания консультаций

Обозначенные риски и меры по их минимизации частично уже были рассмотрены выше. Так, для того чтобы исключить риск утраты объективности и независимости, необходимо определить четкие «правила игры» по консультированию и разграничить ответственность СВА и высшего менеджмента. Риск утраты репутации в случае отсутствия необходимых компетенций может быть снижен путем более близкого взаимодействия СВА с подразделениями, создания «ключевых точек контакта», т.е. определения сотрудников, являющихся прообразом «доверенных консультантов» исполнительного руководства. Если в ходе консультирования выявляются существенные риски, мимо которых внутренний аудитор не может и не должен пройти в силу соблюдения МПСВА, то это может быть решено путем внесения изменений в саму схему процесса оказания консультации. В этом случае переход на аудиторскую проверку, т.е. гарантию, должен происходить «автоматически», исходя из установленных правил и процедур. Возможная нехватка ресурсов может быть разрешена путем проведения грамотного планирования трудозатрат в начале периода, выделения отдельного резерва времени именно на оказание консультаций. При наличии заинтересованности со стороны заказчиков аудита в качественных консультациях это не должно составить особого труда.

Предложенные выше меры также будут способствовать увеличению выгод от оказания консультаций. В частности, разделение процессов и продуктов по гарантиям и консультациям увеличит добавленную стоимость каждого вида продуктов и улучшит отношения с операционным менеджментом. Для профессионалов высокого класса появится дополнительная внутренняя мотивация к решению сложных и важных задач, стоящих перед исполнительным руководством организации, что также будет способствовать их карьерному развитию в будущем. В целом, все это должно привести к повышению влияния СВА на организационные процессы, ее востребованности со стороны менеджмента и совета директоров.

¹ Повышение эффективности деятельности на основе продуманного плана: проект внедрения изменений. Исследование современного состояния профессии внутреннего аудитора / PwC, 2014, с. 4.

² Андреева Н.С. Регламенты внутреннего контроля и внутреннего аудита: что общего и в чем различия? // Внутренний контроль в кредитной организации. 2014. № 3.С 3.

³ Сонин А. М. Зачем компании внутренний аудит? Прим.2.

⁴ Положение об организации внутреннего контроля в кредитных организациях и банковских группах: Банк России 16.12.2003 № 242-П.

⁵ «Внутренний аудит является деятельностью по предоставлению независимых и объективных гарантий и консультаций, направленных на совершенствование деятельности организации. Внутренний аудит помогает организации достичь поставленных целей, используя систематизированный и последовательный подход к оценке и повышению эффективности процессов управления рисками, контроля и корпоративного управления». См.: Международные основы профессиональной практики внутреннего аудита./ Институт внутренних аудиторов.

⁶ Международные профессиональные стандарты внутреннего аудита./ Институт внутренних аудиторов.

⁷ Anderson Urton. Chapter 4 "Assurance and consulting services". Development and Practice Aids. The Institute of Internal Auditors.

⁸ Anderson Urton. Chapter 4 "Assurance and consulting services". Development and Practice Aids. The Institute of Internal Auditors.

⁹ Practice Advisory 1000.C1-3 Additional Considerations for Consulting Engagements in Government Organizational Settings. Interpretation of Standard 1000.C1 (and other related Consulting Implementation Standards) from the International Standards for the Professional Practice of Internal Auditing. [an error occurred while processing this directive]

Версия для печати