Олег Шмунис Аудитор, Калининград Даже без природных катаклизмов во многих странах систематически происходят ситуации массовой гибели граждан и значительных финансовых потерь, утверждает Олег Шмунис. Постфактум можно узнать только субъективные мнения о причинах, а ведь их можно было своевременно предотвратить.
Олег Шмунис
Картину «наступления на грабли» мы наблюдаем и в истории России. Яркими примерами в последние 100 лет могут служить повторно-однотипные (системные) события:
- войны;
- «вспышки» роста преступности и коррупции;
- огромные финансовые потери;
- высокий уровень смертности в мирное время;
- «утечка мозгов».
В настоящей статье вниманию читателей предлагаются практические основы и инновационные принципы организации системы внутреннего контроля и аудита (СВКиА), разработанные автором, применение которых препятствует образованию множества однообразных «шишек на лбу» и позволяет существенно повысить конкурентные преимущества.
Детализация рисков, причин, последствий
Риски постоянно присутствуют в любой системе, начиная с Вселенной и заканчивая броуновским движением.
Для применения любой методологии СВКиА необходимо понимать, что такое риск и что такое факторы риска, потенциальные последствия и реализованный риск.
Существует множество определений понятия «риск». В современном экономическом словаре (Райзберг Б.А., Лозовский Л.Ш., Стародубцева Е.Б., «ИНФРА-М», 2006) «Риск – опасность возникновения непредвиденных потерь ожидаемой прибыли, дохода или имущества, денежных средств, других ресурсов в связи со случайным изменением условий экономической деятельности, неблагоприятными обстоятельствами.
Измеряется частотой, вероятностью возникновения того или иного уровня потерь…».
В «Таможенном кодексе таможенного союза» от 16.04.2010 («Собрание законодательства РФ», 13.12.2010, № 50, ст. 6615) дается определение: «риск – степень вероятности несоблюдения таможенного законодательства таможенного союза и (или) законодательства государств – членов таможенного союза».
Как видно из приведенного выше примера, кардинально разные источники дают две важные стороны определения риска: опасность отклонения от ожидаемого положительного результата; вероятность отклонения. Для простоты примем за аксиому, что риск – это опасность утраты ценности (жизни, имущества, репутации и т.д.).
Реализация риска – свершившийся факт полного или частичного ущерба (морального/материального/физического). Понятие «частичный ущерб» используется при прогнозировании нарастания объема потерь, возникших во время протекания процесса реализации риска, и выгодно звучит для оправдания грубых упущений и смягчения наказания.
Важно не путать понятия «риск» и «реализация риска». Риск, как вода, она даже в нашем организме, а реализованный риск – это затопление, недопущение которого прямая функция СВКиА.
Фактор риска – причина, вызывающая реализацию риска. Важно понимать, что сначала активизируется причина, затем, если не принять вовремя адекватные меры по ее устранению, наступает фаза реализации риска.
Течь в трубе соседа сверху – причина, которая в отсутствие жильцов привела к реализации риска — разрушению гипсокартонного потолка квартиры ниже.
Меры противодействия реализации риска бывают предупреждающие (превентивные) и исправляющие. Профессионально построенные СВК – это меры предупреждающие.
Удовлетворительно функционирующие сегодня СВК штатно устраняют причины до реализации риска, если только недостатки/нарушения не были выявлены аудитом. Оценка неудовлетворительного состояния СВК выносится, если аудит выявляет нарушения в СВК или, что еще хуже, констатирует факт реализации риска.
К примеру, выявление аудитором недоимки по налогам, не установленное СВК, еще не привело к штрафным санкциям пруденциального органа, но уже является реализованным риском, который состоялся из-за неэффективности СВК.
Последующий контроль, чаще всего, является одним из пагубных инструментов исправления ситуации после реализованных рисков и наблюдается в «ленивых» СВК, системно работающих только по констатации фактов периодически повторяющегося ущерба. К примеру, сегодня в Москве автобусы оборудованы системой допуска в автобус после оплаты билета, исправив «ленивую» СВК, в которой прижился реализованный риск в виде «зайцев».
Необходимо хорошо понимать, что СВК непригодна, если штатной ситуацией является устранение последствий реализации риска, что мы наблюдаем в банковском кредитовании, на пешеходных переходах, школьном образовании, эпидемиях гриппа и бесконечном множестве других из года в год повторяющихся процессов в жизнедеятельности деятельности человека.
Для определения зависимости риска от факторов применяют статистические методы теории вероятности. В случае интуитивного определения значимости той или иной причины ориентируются на статистические данные, а при их отсутствии – на экспертные оценки уровня влияния причины на риск (по методу «светофора»: высокое, среднее, слабое).
Вероятность реализации риска – статистический прогноз наступления ущерба. Для его расчета обычно используются методы теории вероятности или экспертных оценок.
Вероятностная величина реализованного риска – прогнозируемый объем ущерба. Целесообразно прогнозировать нарастание ущерба с временным шагом от начала до полного завершения реализации риска.
Это необходимо в дальнейшем для применения различных по стоимости элементов СВК, вступающих в борьбу по мере развития событий (от «крема для загара» до «пересадки кожи»).
Событие – общее название для определения начала активного состояния фактора, процесса частичной или полной реализации риска. Очевидно, что событие не всегда приводит к реализации риска при принятии адекватных мер.
Оценка вероятности активирования любого события позволяет оценить опасность каждого риска и видеть перспективу. Однако в ранжировании на первый план выходит величина ущерба (последствие реализации риска).
Вместе с тем необходимо учитывать вероятность реализации риска, так как несколько десятков малосущественных видов рисков могут в совокупности нанести невосполнимый ущерб.
Существует бесконечное множество классификаций рисков, которые ориентированы на различные сферы деятельности социума, под которым будем понимать гражданское общество/коллектив/домохозяйство. Часто применяются такие названия рисков, как риск для жизни и здоровья, коммерческий риск, политический риск, операционный риск, правовой риск, пруденциальный риск, регулятивный риск.
Практически всегда, в детализации, от общего переходят к частности – производят последующую детализацию (конкретизацию, расшифровку) риска:
- риск травмы ноги нападающего футболиста;
- риск перехода потребителей с бензина на газ;
- риск утраты депутатом доверия избирателей и коллег;
- риск ошибки в финансовых расчетах;
- риск признания условия страхования титула ничтожным;
- риск выявления нарушений внеплановой проверкой надзорного органа с последующим вынесением административного наказания;
- риск изменения условий лицензирования в связи с присоединением регулятивного органа к другому регулятивному органу.
Детализация рисков требует умеренности, как процесс округления в числах, иначе мы выйдем на молекулярный уровень, к примеру, в проблемах экономики, политики и быта.
Оптимальным видится пошаговая детализация, в ходе которой определяется корневой риск, расщепляемый на составляющие более мелкие риски. При необходимости и они раскладываются на более мелкие элементы, что постепенно приводит к древовидной 2-3-уровневой структуре детализации риска.
Обязательно параллельно проводится работа по идентификации (выявлению) причин и потенциальных последствий. Анализ причины является более важным по сравнению с изучением риска, так как устранение всех причин приводит к уничтожению риска или его потенциала.
Профессионально созданные СВКиА основаны именно на выявлении и устранении причин, вызывающих риск.
Определиться с причинами далеко не просто. Поэтому следует вводить понятие фундаментальной (материнской) причины, нахождение которой осуществляется дедуктивным методом, начав с видимой причины, анализа ее факторов, и постепенно перейдя к некой группе причин, которые считаем «с округлением» материнскими.
Благодаря тому, что подавляющее большинство причин – «человеческий фактор», исследователь быстро продвигается к цели, перебирая персоны, занятые в процессах, анализируя их влияние на активирование причин рисков.
Таким образом, создание СВК всегда начинается с построения дерева (матрицы) рисков, которое включает в себя: риски; причины, порождающие их, потенциальные (прогнозируемые) последствия.
К ним относятся не только классические оценки, по примеру страховых компаний, но и:
- имиджевые потери, к примеру, снижение количества клиентов;
- политические издержки (к примеру, утрата дружественных связей между государствами);
- утраченные конкурентные позиции (к примеру, потеря уникальности продуктов, доли на рынке) и другие, важные для конкретного социума преимущества, не связанные с бухгалтерским учетом.
Наиболее популярным из-за простоты методом оценки рисков, причин и последствий является экспертный метод, основанный на мнениях профессионалов с многолетним опытом, в основном, практиков. Данный подход является грубой настройкой и дает погрешность.
Коротко и понятно о СВКиА
Сразу исключаю у читателя иллюзию, что профессионально организованная СВКиА выступит панацеей от всех проблем.
Традиционное мнение об СВКиА следующее: предназначена для защиты от риска полной или частичной утраты ценностей, что осуществляется через прогнозирование и выявление негативных событий, уничтожение причин рисков и совершенствование самой системы.
Система внутреннего контроля (СВК) сегодня многоликое понятие. В супермаркете мы наблюдаем работу сотрудников службы внутреннего контроля (служба ВК), напоминающую открытый шпионаж за покупателями.
В российских банках она незаметна для клиентов и занимается проверками качества исполнения работниками внутренних правил.
Примером СВК неискусственного характера является иммунная система нашего организма, которая всегда активна и демонстрирует свою защитную функцию при гриппе, порезе и т.п. событиях.
Применяемая сегодня методология СВК содержит только оборонительные элементы, напоминающим иммунную систему.
Согласно законодательству РФ аудит направлен на проверку достоверности финансовой отчетности. Однако полноценный аудит охватывает все элементы СВК, включая информационную безопасность, качество продукции, отказоустойчивость информационных систем, проверку дневника школьника родителями и т.д.
Поэтому в рамках настоящей статьи под аудитом будем подразумевать внутренний аудит. Продолжая сравнение с человеческим организмом, аудит – это диагностика состояния иммунной системы и вынесение рекомендаций для ее улучшения.
Внедренные ранее модели СВКиА обладают конкретными функциями, основанными, в лучшем случае, на риск-ориентированном подходе:
- в части СВК: ведение детализированного перечня рисков, причин/условий реализации риска, последствий от реализации, типовых рекомендаций по предотвращению/исключению повторения события; иммунизация (внедрение элементов); диагностика (проверка качества); совершенствование;
- в части Аудита: установление не выявленных СВК нарушений; генерация рекомендаций по устранению выявленных нарушений; оценка деятельности службы ВК.
Контроль над контролем, скажет читатель, и он будет прав, если бы не тот факт, но наш мир очень далек от совершенства.
В зависимости от политики высшего органа социума СВК сегодня встречается в формах:
- Элементарная форма работы СВК – проверка и инициирование устранения проблемы. Пример: «большая красная кнопка» на заводском конвейере служит для остановки его движения, если рабочий заметил брак или нечто необычное (к примеру, выходец из СССР в Германии ради шутки подбросил гайку другому сборщику-коренному немцу, который, несмотря на негативные финансовые последствия для предприятия, остановил конвейер, когда закрутил все элементы и увидел излишек).
- Классическая форма СВК – проверка, установление вероятности события, его причин и последствий, разработка рекомендаций по устранению и исключению повторения события, проверка исполнения рекомендаций (шуточное название системы «украл, выпил, в тюрьму»). Многие авторы СВКиА называют данную форму «риск-ориентированной», так как она унитарно выполняется функцию «щита, от которого отскакивает риск; лекаря, заживляющего раны после реализованного риска».
Пример: бухгалтером в платежном поручении вместо 169689114 руб. занесено 196989114 руб. Перед подписанием ЭЦП главный бухгалтер согласно требованиям приказа о проведении процедур СВК проверил документ и выявил ошибку, пр