Как создать внутренний аудит, который реально защищает бизнес
Внутренний аудит нужен не для галочки и не для красивого отчёта на полке.
Его задача проще и жёстче: вовремя увидеть, где компания теряет деньги, нарушает правила, принимает слабые решения или зависит от одного человека, который «всё держит в голове».
Хороший внутренний аудит помогает руководителю отвечать на несколько вопросов:
- где у нас слабые места;
- какие риски уже накопились;
- какие процессы работают только на бумаге;
- где сотрудники действуют без понятных правил;
- какие нарушения могут привести к штрафам, убыткам или конфликтам;
- что нужно изменить, чтобы компания стала управляемее.
Это не разовая проверка.
Это система наблюдения за бизнесом изнутри.
Что такое внутренний аудит простыми словами
Внутренний аудит — это независимая проверка процессов компании.
Аудитор смотрит не только бухгалтерию и документы. Он проверяет, как компания принимает решения, тратит деньги, заключает договоры, хранит данные, исполняет обязательства и контролирует сотрудников.
Главная задача аудита: не найти виноватого.
Главная задача: найти риск до того, как он превратится в ущерб.
Например, внутренний аудит может показать, что:
- договоры подписываются без проверки юриста;
- закупки проходят без понятного сравнения поставщиков;
- персональные данные клиентов хранятся без согласий;
- сотрудники работают по старым инструкциям;
- отчёты готовятся вручную и зависят от одного специалиста;
- руководитель узнаёт о проблеме только тогда, когда она уже стала конфликтом.
Для собственника это не мелочи.
Это точки, в которых бизнес может терять деньги, управляемость и репутацию.
Зачем компании нужен внутренний аудит
Внутренний аудит помогает руководству видеть реальное состояние компании.
Не по ощущениям.
Не по словам сотрудников.
Не по отчётам, которые подготовили «как обычно».
А по фактам, документам, цифрам и проверенным процессам.
У внутреннего аудита несколько рабочих задач:
- выявить риски до проверки, спора или убытка;
- проверить, исполняются ли внутренние регламенты;
- понять, где компания нарушает закон или договоры;
- оценить, насколько защищены деньги, документы и данные;
- найти слабые места в управлении;
- подготовить рекомендации, которые можно внедрить;
- проверить, исправлены ли найденные нарушения.
- Хороший аудит не должен превращаться в охоту на сотрудников.
Если аудит строится как наказание, люди начинают скрывать проблемы.
Если аудит строится как инструмент управления, сотрудники начинают показывать слабые места раньше, чем они становятся аварией.
Почему внутренний аудит часто не работает
Многие компании формально создают аудит, но не получают от него пользы.
Причина почти всегда одна: аудит существует на бумаге, но не влияет на решения.
Проверка прошла.
Отчёт написали.
Рекомендации разослали.
Через полгода выяснилось, что ничего не изменилось.
Такой аудит не защищает бизнес.
Он только создаёт видимость контроля.
Чаще всего внутренний аудит не работает из-за нескольких ошибок:
- нет независимости аудиторов;
- нет понятных стандартов проверки;
- нет сильного руководителя службы;
- отчёты написаны сложным языком;
- рекомендации невозможно применить;
- руководство не контролирует исполнение;
- аудиторы ищут нарушения, но не видят бизнес-процесс;
- сотрудники воспринимают проверку как угрозу.
Поэтому начинать нужно не с приказа о создании службы.
Начинать нужно с ответа на вопрос: какую пользу аудит должен давать руководителю?
Пять критериев сильного внутреннего аудита
Чтобы внутренний аудит приносил пользу, его нужно оценивать не по количеству проверок.
И не по толщине отчётов.
Смотреть нужно на другое:
- есть ли понятные стандарты;
- кто работает в службе аудита;
- насколько служба независима;
- какие результаты она даёт;
- умеет ли аудит смотреть на процессы со стороны.
Разберём каждый критерий отдельно.
Критерий 1. Стандарты аудита написаны так, чтобы ими пользовались
Сильный внутренний аудит начинается со стандартов.
Но стандарт — это не папка с тяжёлым текстом, который никто не читает.
Стандарт должен отвечать на простые вопросы:
- что проверяем;
- зачем проверяем;
- какие документы запрашиваем;
- какие признаки риска ищем;
- как фиксируем нарушение;
- как оформляем вывод;
- кто отвечает за исправление;
- как проверяем результат.
Хороший стандарт написан так, чтобы по нему можно было работать.
Не догадываться.
Не спрашивать у старшего коллеги.
Не трактовать каждый пункт по-своему.
А открыть документ и выполнить проверку по понятному алгоритму.
В стандарте должны быть:
- чек-листы;
- схемы процесса;
- формы запросов;
- шаблоны отчётов;
- примеры формулировок;
- критерии оценки риска;
- порядок согласования выводов;
- сроки исправления нарушений.
Частая ошибка компаний — поручать стандарты людям, которые хорошо пишут теорию, но плохо понимают практику.
В результате появляется документ с правильными словами, но без рабочего механизма.
Например, стандарт может требовать «проверить соблюдение договорной дисциплины».
Звучит солидно.
Но аудитору нужно другое:
- сколько договоров взять в выборку;
- какие виды договоров проверить;
- что считать нарушением;
- какие приложения запросить;
- как проверить полномочия подписанта;
- как сопоставить договор, акт, счёт и оплату;
- когда нарушение считать существенным.
- Без таких деталей стандарт не помогает.
Он только создаёт ощущение, что порядок есть.
Критерий 2. В службе аудита нужны не только опытные люди, но и правильная система обучения
Кадровый вопрос во внутреннем аудите всегда сложный.
Можно искать готовых специалистов.
Можно выращивать сотрудников внутри компании.
Оба пути рабочие, но у каждого есть риски.
Готовый аудитор быстрее включается в работу. Он знает методики, умеет читать документы, понимает контрольные процедуры и быстрее видит слабые места.
Но готового специалиста всё равно придётся переучивать под конкретную компанию.
У каждой организации своя специфика:
- структура управления;
- финансовые потоки;
- договорная модель;
- отраслевые требования;
- внутренние согласования;
- уровень автоматизации;
- культура принятия решений.
Человек может быть сильным аудитором, но не понимать конкретную отрасль.
И наоборот: сотрудник может хорошо знать компанию, но не владеть методикой аудита.
Поэтому часто разумнее строить смешанную модель.
Нужен сильный руководитель службы внутреннего аудита.
А часть команды можно обучать под задачи компании.
Это даёт несколько преимуществ:
- сотрудники сразу привыкают к нужной методике;
- команда работает по единым стандартам;
- меньше конфликта между «старой школой» и новым подходом;
- проще сформировать культуру независимой проверки;
- легче настроить регулярное обучение;
- можно вырастить специалистов под конкретные риски бизнеса.
Но такой подход требует времени.
Нельзя просто назначить сотрудника аудитором и ждать результата.
Ему нужны:
- обучение по методике аудита;
- понимание законодательства;
- знание внутренних процессов;
- наставник;
- практика на реальных проверках;
- разбор ошибок;
- понятные критерии оценки работы.
Профессионализм аудитора — это не только знание бухгалтерии или права.
Это умение задавать точные вопросы, видеть связь между документами, не поддаваться давлению и писать вывод так, чтобы руководитель понял риск.
Критерий 3. Аудит должен быть независимым, иначе им будут управлять проверяемые подразделения
Независимость — ключевое условие внутреннего аудита.
Если аудитор зависит от руководителя проверяемого подразделения, аудит теряет смысл.
Например, служба аудита проверяет закупки, но административно подчиняется директору по закупкам.
Что произойдёт?
С высокой вероятностью аудиторы начнут обходить острые темы.
Или формулировать выводы мягче.
Или согласовывать отчёт так долго, что риск потеряет значение.
Поэтому служба внутреннего аудита должна подчиняться собственнику, генеральному директору, совету директоров или иному органу, который стоит выше проверяемых подразделений.
Иначе подразделения начнут влиять на проверку.
Это может проявляться по-разному:
- не предоставляют документы;
- затягивают ответы;
- спорят с очевидными выводами;
- требуют убрать формулировки;
- давят через руководство;
- саботируют рекомендации;
- переводят вопрос в личный конфликт.
Независимость нужна не для статуса аудиторов.
Она нужна для защиты результата.
Аудитор должен иметь право:
- запрашивать документы;
- получать доступ к данным;
- проводить интервью;
- фиксировать несоответствия;
- докладывать руководству напрямую;
- контролировать исполнение рекомендаций.
Без этого служба аудита превращается в декоративный отдел.
Он вроде есть.
Но реально ничего не меняет.
Критерий 4. Результат аудита измеряется не количеством найденных нарушений, а предотвращёнными потерями
Плохой аудит меряет себя количеством нарушений.
Хороший аудит меряет себя снижением рисков.
Разница большая.
Можно найти сто мелких замечаний и не повлиять на бизнес.
А можно выявить один системный риск, который спасёт компанию от крупного убытка.
Например, аудит может обнаружить, что компания заключает договоры с подрядчиками без проверки полномочий и без анализа налоговых рисков.
На первый взгляд это просто процедурная проблема.
Но последствия могут быть серьёзными:
- спор по оплате;
- отказ в признании расходов;
- налоговые претензии;
- срыв поставки;
- невозможность взыскать убытки;
- конфликт с контрагентом.
Поэтому отчёт внутреннего аудита должен отвечать не только на вопрос «что нарушено».
Он должен показывать:
- почему это риск;
- к чему он может привести;
- где причина проблемы;
- кто отвечает за процесс;
- что нужно изменить;
- в какой срок это сделать;
- как проверить исправление.
Рекомендация должна быть практичной.
Плохо: «усилить контроль за договорной работой».
Хорошо: «утвердить чек-лист проверки договора до подписания, назначить ответственного за проверку полномочий контрагента, закрепить срок согласования договора — 3 рабочих дня, запретить оплату без подписанного договора и закрывающих документов».
В первом случае руководитель получает лозунг.
Во втором — управленческое решение.
Критерий 5. Внутренний аудит должен смотреть на компанию как профессионал и как внешний наблюдатель
Сильный аудитор знает процессы изнутри, но не срастается с ними.
Он должен уметь смотреть на привычные действия свежим взглядом.
В компании часто бывает так: все привыкли работать определённым образом.
Документы согласуются устно.
Доступы к системам передаются через сообщения.
Старые сотрудники знают, «как надо».
Новые сотрудники учатся у коллег, а не по регламенту.
Пока всё спокойно, кажется, что система работает.
Но при смене человека, споре, проверке или росте нагрузки выясняется, что процесса нет.
Есть привычка.
Внутренний аудит как раз и должен отделять рабочий процесс от привычки.
Он задаёт вопросы, которые внутри компании часто не задают:
- почему решение принимает именно этот сотрудник;
- где это закреплено;
- кто проверяет результат;
- что будет, если человек уйдёт;
- где хранится подтверждение;
- можно ли восстановить цепочку действий;
- кто несёт ответственность;
- можно ли автоматизировать этот участок.
Для этого аудит должен использовать не только интервью и документы.
Нужны аналитические процедуры:
- анализ данных;
- сравнение периодов;
- проверка отклонений;
- выборочная проверка операций;
- сопоставление договоров, актов и оплат;
- анализ повторяющихся ошибок;
- проверка доступов в информационных системах.
IT-инструменты здесь не роскошь.
Они помогают видеть то, что вручную найти трудно.
Например, можно быстро выявить:
- дублирующиеся платежи;
- операции с необычными суммами;
- закупки у связанных контрагентов;
- просроченные договоры;
- частые ручные корректировки;
- сотрудников с избыточными доступами;
- повторяющиеся ошибки в документах.
Так аудит перестаёт быть ручным просмотром папок.
Он становится аналитическим инструментом для руководителя.
Как выстроить внутренний аудит по шагам
Создание службы внутреннего аудита лучше начинать не с громкой реформы.
Нужно пройти несколько понятных этапов.
Шаг 1. Определить, какие риски компания хочет контролировать
Сначала нужно понять, что именно для компании опасно.
Для одной организации главный риск — финансы.
Для другой — персональные данные.
Для третьей — закупки.
Для четвёртой — лицензия, субсидия или государственный контракт.
Руководству нужно составить карту зон риска.
Например:
- договоры;
- закупки;
- касса и платежи;
- склад;
- персональные данные;
- кадровые документы;
- лицензируемая деятельность;
- работа с клиентами;
- информационная безопасность;
- отчётность;
- исполнение предписаний;
- взаимодействие с контролирующими органами.
Нельзя проверять всё одинаково часто и одинаково глубоко.
Ресурсы службы аудита ограничены.
Поэтому сначала проверяют то, где ошибка может стоить дороже всего.
Шаг 2. Утвердить положение о внутреннем аудите
Компании нужен документ, который закрепляет статус службы.
В положении нужно указать:
- кому подчиняется служба аудита;
- какие задачи она решает;
- какие права есть у аудиторов;
- какие документы они могут запрашивать;
- как проводится проверка;
- как оформляется отчёт;
- кто рассматривает результаты;
- как контролируется исполнение рекомендаций.
Этот документ защищает аудиторов от споров с подразделениями.
Если полномочия не закреплены, каждый запрос может превращаться в конфликт.
Шаг 3. Подготовить стандарты и чек-листы
После положения нужны рабочие инструменты.
Не общие фразы.
А конкретные документы, с которыми аудитор пойдёт на проверку.
Для каждой зоны нужен свой чек-лист.
Например, для проверки договоров можно включить такие вопросы:
- есть ли подписанный договор;
- совпадают ли стороны в договоре, акте и счёте;
- проверены ли полномочия подписанта;
- согласован ли предмет договора;
- указаны ли сроки;
- есть ли порядок оплаты;
- есть ли ответственность сторон;
- приложены ли закрывающие документы;
- соответствует ли оплата условиям договора;
- нет ли признаков дробления закупки;
- нет ли конфликта интересов.
Чек-лист не заменяет профессиональное мышление.
Но он не даёт пропустить базовые вещи.
Шаг 4. Составить годовой план проверок
Проверки должны быть плановыми.
Иначе аудит будет заниматься только пожарами.
Годовой план помогает распределить нагрузку и заранее определить приоритеты.
В плане можно указать:
- тему проверки;
- подразделение;
- период проверки;
- сроки;
- ответственных аудиторов;
- основание для проверки;
- ожидаемый результат.
Но план не должен быть мёртвым.
Если появляется новый риск, проверку нужно добавить.
Например, компания получила претензию, жалобу, требование контролирующего органа или резко увеличила расходы по одному направлению.
Это повод для внеплановой проверки.
Шаг 5. Провести проверку и зафиксировать доказательства
Аудит строится на доказательствах.
Не на слухах.
Не на эмоциях.
Не на словах «у нас всегда так было».
Аудитор должен собрать документы, данные и объяснения.
Обычно используются:
- анализ договоров;
- проверка первичных документов;
- интервью с сотрудниками;
- выгрузки из информационных систем;
- выборочная проверка операций;
- сопоставление данных из разных источников;
- анализ регламентов;
- проверка фактического исполнения процедур.
Каждый вывод должен подтверждаться.
Если в отчёте написано, что срок согласования договоров нарушается, нужно показать:
- какие договоры проверены;
- какие сроки установлены;
- какие фактические даты выявлены;
- сколько случаев нарушения найдено;
- в чём риск для компании.
Такой вывод трудно оспорить.
Шаг 6. Подготовить отчёт, который можно использовать
Отчёт внутреннего аудита должен быть понятен руководителю.
Не только аудитору.
Хороший отчёт включает:
- краткое описание проверки;
- перечень проверенных документов;
- выявленные нарушения;
- причины нарушений;
- оценку риска;
- возможные последствия;
- рекомендации;
- сроки исправления;
- ответственных лиц.
Главное — писать конкретно.
Плохо: «выявлены недостатки в системе контроля».
Хорошо: «в 7 из 20 проверенных договоров отсутствуют документы, подтверждающие полномочия подписанта со стороны контрагента. Это создаёт риск спора о действительности договора и затрудняет взыскание задолженности».
Такой текст сразу показывает проблему.
И сразу объясняет, почему её нельзя игнорировать.
Шаг 7. Проверить, что рекомендации исполнены
Без контроля исполнения аудит заканчивается отчётом.
А должен заканчиваться изменением процесса.
После проверки нужно отслеживать:
- что исправлено;
- какие документы утверждены;
- какие процедуры изменены;
- кто назначен ответственным;
- какие нарушения остались;
- почему сроки сорваны;
- нужен ли повторный аудит.
Рекомендации лучше вести в отдельном реестре.
В нём можно фиксировать:
- номер рекомендации;
- суть нарушения;
- подразделение;
- ответственное лицо;
- срок исполнения;
- статус;
- подтверждающие документы;
- комментарий аудитора.
Так руководство видит не только проблемы, но и движение по ним.
Частые ошибки при создании внутреннего аудита
Даже хорошая идея может сломаться на внедрении.
Вот ошибки, которые встречаются чаще всего.
Ошибка 1. Аудит создают «для проверки», а не для управления
Если руководство воспринимает аудит как формальность, сотрудники тоже будут относиться к нему формально.
Проверка пройдёт.
Ответы дадут.
Отчёт подпишут.
Но процессы не изменятся.
Чтобы аудит работал, руководитель должен использовать его результаты в управлении:
- менять регламенты;
- перераспределять ответственность;
- исправлять слабые места;
- принимать кадровые решения;
- усиливать контроль в рискованных зонах.
Ошибка 2. Аудиторы зависят от тех, кого проверяют
Это разрушает доверие к результатам.
Сотрудники быстро понимают, на кого можно надавить.
Руководители подразделений начинают спорить не с выводом, а с самим правом аудитора задавать вопросы.
Поэтому статус службы нужно закреплять сразу.
Иначе внутренний аудит будет постоянно доказывать своё право работать.
Ошибка 3. Отчёты пишут сложным языком
Сложный отчёт не выглядит профессиональнее.
Он хуже работает.
Если руководитель не понимает вывод с первого прочтения, шанс внедрения падает.
В отчёте нужно писать прямо:
- что произошло;
- где произошло;
- чем подтверждается;
- к чему может привести;
- что нужно сделать.
Без лишней терминологии.
Без размытых формулировок.
Без фраз вроде «имеются отдельные недостатки».
Ошибка 4. Рекомендации нельзя выполнить
Иногда аудиторы пишут рекомендации, которые выглядят правильно, но не учитывают реальность компании.
Например:
- нет бюджета;
- нет людей;
- нет технической возможности;
- срок слишком короткий;
- ответственность распределена неправильно;
- рекомендация не решает причину нарушения.
Такие рекомендации не внедряются.
И потом аудит выглядит бесполезным.
Рекомендация должна быть не только правильной.
Она должна быть выполнимой.
Ошибка 5. Проверяют документы, но не проверяют процесс
Документы могут быть в порядке.
А процесс — нет.
Например, регламент согласования договоров утверждён.
Но сотрудники его не используют.
Или политика по персональным данным есть.
Но согласия клиентов не собираются.
Или должностные инструкции подписаны.
Но фактические обязанности давно другие.
Поэтому внутренний аудит должен смотреть не только на наличие документов.
Он должен проверять, как они работают.