на соблюдении каких принципов основана самооценка рисков и контрольных процедур

Информационное и организационное обеспечение процессов самооценки операционных рисков

«Управление в кредитной организации», 2012, N 4

Так как область операционного риск-менеджмента в России еще очень молодая, практика управления операционными рисками в банках существенно различается даже в рамках одного и того же инструмента. В основу модели самооценки рисков, которая рассматривается в статье, положен опыт одной из крупнейших международных банковских групп, в значительной степени адаптированный к российским реалиям. Ноу-хау, разработанные российской дочерней компанией, были включены в стандарты банковской группы.

Концепция RCSA

По своей сути RCSA является моделью управления операционными рисками, в основе которой лежит восходящий принцип (bottom-up approch). Процесс анализа и управления рисками осуществляется на уровне структурного подразделения или отдельно взятого бизнес-процесса, а полученные результаты консолидируются на более высоком уровне, например на уровне отдельного направления деятельности или даже кредитной организации в целом. Это позволяет построить риск-профиль всего банка или каждого основного бизнес-направления, а также служит более глубокому пониманию факторов операционного риска.

Под профилем риска понимается список угроз, которым подвержена заданная область (направление деятельности или банк в целом). Риск-профиль включает в себя количество рисков, их виды, информацию о потенциальных потерях и последствиях, а также решения, принятые по рискам.

Таким образом, при системном подходе RCSA используется не только как инструмент оценки рисков, но и как комплексный инструмент, имеющий целью именно управление операционными рисками. Иными словами, он включает такие процессы, как:

Более того, как это будет видно из списка источников информации для заполнения матриц RCSA, подобный подход не только учитывает информацию о будущем, но и частично отражает функционал базы данных по операционным рискам, то есть включает информацию о прошлых событиях. Рассмотрим более подробно целесообразность внедрения в кредитной организации столь комплексного и достаточно ресурсоемкого инструмента управления операционными рисками.

В настоящей статье под матрицей понимается формализованная табличная форма, состоящая из определенного количества строк и столбцов.

При правильной организации и информационном обеспечении RCSA позволяет решить ряд нетривиальных задач и способствует в достижении банком широкого спектра целей.

Во-первых, RCSA помогает бизнес-подразделениям понять, какие риски присущи их деятельности и какие контрольные меры нужны для управления этими рисками. Принципиально, что оценка рисков проводится непосредственно сотрудниками подразделений, так как никто лучше их не знает оцениваемую область.

На графике распределения величины потерь по операционным рискам значение функции приближается, но никогда не достигает нуля, поэтому кривая, ее иллюстрирующая, называется кривой с «длинным хвостом». Риски «длинного хвоста» имеют минимальную вероятность, но являются критическими для дальнейшего ведения бизнеса, так как несут в себе слишком большие потенциальные потери.

В-третьих, RCSA позволяет определять и контролировать действия, направленные на достижение оптимального уровня подверженности рискам, так как дает возможность наглядно соотнести потенциальные убытки и вероятность реализации риска с ресурсоемкостью мер, необходимых для управления риском. При агрегировании информации об отдельных рисках и контрольных мерах RCSA дает общую картину подверженности рискам как отдельного продукта или процесса, так и банка в целом.

В-четвертых, RCSA направлена на оптимизацию контрольных мер с целью наиболее эффективного решения поставленных перед бизнесом задач, в том числе способствует выявлению:

Важно отметить, что RCSA существенно повышает культуру управления рисками, так как позволяет удостовериться, что бизнес-подразделения не только понимают риски, которые присущи их деятельности, но и, что более важно, полностью контролируют их. Здесь стоит сделать акцент на повышении уровня сознательности и личной ответственности сотрудников. Ведь зная оборотную сторону медали какого-либо действия, сотрудник примет уже намного более взвешенное решение, чем если бы он руководствовался исключительно бизнес-планами без оценки возможных последствий своих действий.

Наконец, подобный комплексный подход к самооценке рисков и контрольных мер позволяет обеспечить системность в управлении операционными рисками, а также должный масштаб такой работы. Это, по сути, снижает системные риски самого подхода, что, в свою очередь, напрямую влияет на достижение каждой из перечисленных выше целей RCSA.

Информационное обеспечение процессов самооценки операционных рисков

Информационное обеспечение RCSA

При заполнении матриц ответственным лицам необходимо включить в RCSA риски, выявленные посредством широкого перечня источников. Ниже приведен минимальный список источников информации, который обычно доступен большинству банков. Если же есть возможность его расширить, банку следует это сделать, ведь от информации, заложенной в модель, напрямую зависит качество полученных результатов.

Самым важным и емким источником информации для выявления и оценки операционных рисков является профессиональное суждение сотрудников подразделения, где осуществляется RCSA. В первую очередь выявляются и оцениваются риски «длинного хвоста», большей частью еще не реализовавшиеся, но способные существенно повлиять на деятельность банка. Экспертно идентифицируются и менее существенные риски, обычно присущие слабым местам внутренних процессов, но способные повлечь за собой достаточно крупные периодические убытки. Особенно на начальных этапах внедрения RCSA в банке подразделение по операционным рискам плотно взаимодействует с бизнес-подразделениями. С одной стороны, очень часто из-за сильной вовлеченности в процесс бизнесу бывает сложно абстрагироваться от оперативной деятельности и увидеть важные потенциальные риски, еще ни разу до этого не реализовавшиеся. С другой стороны, глубокое погружение в процесс, на которое способен бизнес, позволяет выявить специфические риски, которые очень сложно увидеть со стороны, в том числе и подразделению по операционным рискам. Таким образом, объединение результатов анализа бизнес-процессов, проведенного подразделениями изнутри, с оценкой маловероятных, но существенных рисков «длинных хвостов», информация о которых обычно поступает бизнес-подразделениям от подразделения по операционным рискам, позволяет достичь синергии и построить наиболее полную картину происходящего, хотя и недостаточную для пренебрежения остальными источниками информации.

Если в банке уже внедрены и эффективно функционируют ключевые индикаторы риска (Key Risk Indicators, KRI), то в матрицы RCSA необходимо включать риски, отражаемые «красными» показателями KRI. Включать ли «желтые» значения индикаторов в матрицы самооценки, банк должен определить самостоятельно исходя из собственного риск-аппетита, а также понимая, что это должно быть целесообразно и оправданно.

В матрицы RCSA нужно также включать риски, генерируемые изменениями во внутренних процессах: риски трансформации и реорганизации внутренних процессов, изменения организационной структуры кредитной организации или профиля ее деятельности. В основном они возникают при слияниях, поглощениях и объединениях нескольких банков, приобретении новых направлений бизнеса и интеграции их в основную деятельность банка, а также при пересмотре краткосрочной и среднесрочной стратегий развития кредитной организации.

Не меньшее значение для процесса самооценки имеет информация о рисках новых продуктов и процессов, но здесь есть один нюанс. При внедрении нового процесса и (или) продукта оценка операционных рисков разбивается на два равнозначных блока: 1) оценку рисков, присущих непосредственно процессу разработки, утверждения, внедрения и запуска нового продукта или процесса; 2) оценку операционных рисков, которые будут присущи новому продукту или процессу после его полноценного запуска.

Важным источником информации об операционных рисках являются акты внутренних проверок, проведенных службой внутреннего контроля, службой безопасности, комплаенс-подразделением и другими соответствующими подразделениями банка. Замечания, зафиксированные в ходе таких проверок, по сути, уже являются выявленными рисками, которые необходимо включить в матрицу RCSA для последующей оценки и управления.

Неотъемлемой частью информации об операционных рисках, присущих определенной сфере деятельности банка, являются исторические данные. Это в первую очередь информация о существенных событиях операционных рисков, которые произошли в банке и имеют прямое отношение к области, подлежащей оценке. Эти события, как правило, уже содержатся во внутрибанковской базе данных, и важно не копировать все эти данные в матрицы RCSA, а обратить внимание на степень существенности событий для деятельности банка с точки зрения размера или частоты потерь вследствие какого-то события. Несмотря на обычно установленный в банках уровень существенности, в базе данных все равно достаточно часто регистрируются незначительные для деятельности банка события, которые в силу этой своей незначительности масштабированных на год (или больший срок) потерь в матрицы самооценки включаться не должны.

Помимо внутренних событий операционных рисков, важно включать информацию о внешних по отношению к банку событиях, которые позволяют в значительной степени учесть риски «длинных хвостов». Информация о внешних событиях операционных рисков может быть получена из открытых источников или из специализированных баз данных, которые предоставляются профильными поставщиками на возмездной основе. Подобные базы обычно содержат уже «обезличенные» и масштабированные события.

Сценарный анализ, в случае наличия такого инструмента в банке, тоже может внести существенный вклад в оценку рисков. В большинстве случаев такой анализ отражает риски непредвиденных и экстремальных потерь.

Организационное обеспечение процесса внедрения RCSA в банке

Внедрение RCSA в банке начинается с разработки внутренней регламентирующей документации, ее последующего согласования и утверждения. В зависимости от масштабов банка и специфики его внутреннего документооборота это может быть политика, методика, процедура, положение или регламент. Если руководствоваться характером задач, которые должен выполнять документ, то обычно создается регламент либо положение. После утверждения внутреннего нормативного документа о проведении самооценки необходимо разработать подробный план его внедрения в банке.

Процесс разработки и внедрения инструмента самооценки рисков и контрольных мер целесообразно разделить на несколько последовательных этапов. В общем виде они представлены на рис. 2.

Этапы организации внедрения RCSA

Первым шагом является так называемый мэппинг RCSA (mapping). Область, подлежащая оценке, определяется службой операционных рисков на основании текущей организационной структуры, направлений деятельности банка и спектра его продуктов. Как правило, эта область совпадает со сферой деятельности ключевого самостоятельного структурного подразделения, каким-либо продуктом или внутрибанковским бизнес-процессом. Процесс формирования общебанковского списка RCSA включает следующие общие действия:

Следующим шагом в организации процесса разработки и внедрения инструмента самооценки рисков и контрольных мер является проведение обучения сотрудников банка. Это один из самых важных этапов внедрения процесса, так как напрямую влияет на качество заполнения матриц самооценки. Службе операционного риск-менеджмента необходимо разработать программу обучения, определить список сотрудников, которым необходимо будет пройти тренинги, а также создать систему проверки эффективности обучения. Наилучшим вариантом будет сегментирование сотрудников в зависимости от их вовлеченности в процесс заполнения матриц RCSA. Так, например, владельцам RCSA и владельцам рисков нужны более детальные программы обучения, чем лицам, ответственным за выполнение планов действий, ведь уровень их вовлеченности в процесс самооценки отличается, равно как и степень возложенной на них ответственности.

Службе управления операционными рисками нужно помнить, что обучение сотрудников следует начинать с высшего руководства банка: эти сотрудники в первую очередь должны понимать суть, цели и задачи самооценки рисков и контрольных мер, ведь без их поддержки и сотрудничества крайне сложно рассчитывать на успешное внедрение RCSA в планируемые сроки. Владельцам рисков, контрольных мер и планов действий при заполнении матриц очень сильно помогут наглядные пошаговые инструкции, содержащие подробное описание каждого термина и понятия, которые могут встретиться в процессе самооценки. Также не следует забывать о новых сотрудниках, которые придут в банк уже после проведения основных тренингов и семинаров: информацию об инструментах управления операционными рисками, используемых в банке, а также общую информацию о RCSA им можно представить в рамках программ адаптации новых сотрудников.

Третьим шагом организации процесса самооценки является непосредственно заполнение подразделениями матриц самооценки рисков и контрольных мер.

Рассмотрим более подробно структуру отдельно взятой матрицы.

Матрица содержит полную информацию об определенном риске: формулировку или описание конкретного риска. Далее идут все используемые в банке классификации риска, в том числе в соответствии со всеми уровнями иерархии библиотеки рисков в случае ее наличия. Затем оцениваются частота реализации риска, ожидаемые и максимальные потери по риску, а также приводятся комментарии и уточнения экспертов. Решение по риску на данном этапе не принимается, так как это возможно только после получения полной информации о риске, а именно о наличии и эффективности соответствующих контрольных мер.

Для каждого риска должны быть указаны контрольные меры, которые необходимы для его снижения и (или) принятия оперативных действий в случае его реализации. Каждая контрольная мера обязательно должна отвечать ряду жестких требований. Контрольные меры классифицируются по степени своего влияния на уровень риска, а также определяются рекомендации по использованию различных типов контроля в комплексе. Эффективность каждого типа контроля оценивается по двум параметрам: насколько эффективно он спроектирован и как выполняется; затем контроль оценивается в целом, чтобы в случае необходимости принять решение о необходимости разработки плана корректирующих действий. После оценки всей совокупности контрольных процедур принимается решение по риску, например о его принятии, передаче или снижении.

Структура матрицы RCSA в виде схемы показана на рис. 3.

Структура матриц RCSA

Более подробно следует остановиться на управлении каждым выявленным риском посредством разработки планов корректирующих действий по неэффективным контрольным процедурам. План действий формируется как последовательность конкретных действий определенных людей в четко установленные сроки. Полный перечень всех планов действий сводится службой операционного риск-менеджмента в единый реестр, который периодически обновляется. Таким образом, реестр позволяет решить ряд важных для банка задач:

Следующим этапом организационного обеспечения процесса внедрения RCSA в банке является обязательное согласование заполненных таблиц со всеми участниками процесса. Готовый файл в первую очередь согласовывается со службой операционного риск-менеджмента, которая проверяет правильность и корректность заполнения, а также контролирует полноту и применимость указанных в файле рисков, контрольных мер и планов корректирующих действий. После согласования файла с подразделением по операционным рискам владелец RCSA должен согласовать матрицу со всеми сотрудниками, которые указаны в ней в качестве владельцев рисков, контрольных мер и планов действий. Это обязательное требование, которое должно неукоснительно соблюдаться. Человек, назначенный ответственным за какой-либо процесс, должен, во-первых, быть проинформирован об этой ответственности, а во-вторых, принять эту ответственность на себя.

Так как детальное описание построения системы обновления матриц выходит за рамки настоящей статьи, охарактеризуем этот процесс кратко. Выстраивать систему поддержания матриц в актуальном состоянии лучше всего ранжируя их по степени потенциального влияния на деятельность банка. Для этого вводятся индикаторы по наиболее существенным для RCSA параметрам и разрабатываются триггеры, отражающие текущий ранг матрицы по принципу светофора (зеленый/желтый/красный). Все критерии внепланового обновления должны быть учтены в ежемесячном реестре обновлений RCSA, который ведется службой операционных рисков. В зависимости от количества критериев периодичность обновления RCSA может составлять от 3 до 12 месяцев. Подробное описание критериев и алгоритмов ранжирования матриц является темой отдельных статей.

Главные принципы эффективной организации внедрения RCSA

Эффективность внедрения реально функционирующего инструмента оперативного управления операционными рисками определяет ряд ключевых факторов. Так, при организации процесса самооценки риск-менеджеру нужно уделить первостепенное внимание следующим вопросам:

Источник

Корреляция процессов самооценки с процедурами внутреннего аудита

Основные выводы в этой статье подтверждают предпосылку, что формирование и развитие научно обоснованной методики самооценки, применяемой для целей внутреннего аудита и внутреннего контроля, теоретические основы которой находятся лишь в начальной стадии формирования, позволят не только снизить корпоративные риски, но и повысить инвестиционную привлекательность компании, что является конкурентным преимуществом организаций, осуществляющих деятельность в любой сфере деятельности.

Структура корпоративного управления компании, так же как и влияние корпоративного управления на эффективность бизнеса, становятся в последнее время предметом широкой научной дискуссии. Неразделённость функций собственности и управления хотя и вызывается объективными причинами, однако бросает вызов классической теории корпоративного управления [8, 13]. С начала 80-х гг. XX в. много внимания уделяется эмпирическому выявлению зависимости между количеством акций в руках инсайдеров и корпоративной эффективностью. После выхода в свет широко известной работы исследователей Р. Морка, А. Шляйфера и Р. Вишну [13, p.293 – 315] мнения учёных насчёт влияния собственности инсайдеров на эффективность деятельности компании разделились. Ряд исследований структуры собственности компаний привел их авторов к выводу об отсутствии ее сколько-нибудь значимого влияния на стоимость компании или другие показатели эффективности деятельности [8, p.171–177; 6]. Представители другой точки зрения утверждают, что инсайдерская собственность положительно влияет на эффективность деятельности компании [7, p.53–64;18, p.457–467]. Третий тип исследований выявил немонотонное влияние: оно положительно для небольших пакетов акций в руках менеджеров и отрицательно для больших пакетов [13, p.293–315].

Одним из ключевых факторов, влияющих на эффективность корпоративного управления, является роль совета директоров и роль независимого директора, если таковой все же вошёл в состав совета директоров. Наряду с вкладом в повышение инвестиционной привлекательности, компании-собственники ожидают от внешних директоров помощи в разработке бизнес-стратегии, развитии отношений с потенциальными инвесторами и внешним миром в целом, привлечении новых крупных клиентов и источников финансирования. Тем не менее ряд компаний может привлекать независимого директора исключительно исходя из формальных требований.

Независимость директоров является не только и не столько финансовой проблемой, как полагают многие специалисты, сколько социокультурной. Для компаний англосаксонского мира несовпадение интересов отдельных акционеров и групп акционеров, конкуренция и борьба между ними, в том числе в формате совета директоров, совершенно нормальны. Иная картина присутствует в компаниях стран с неразвитой рыночной экономикой, высокой коррупционной составляющей и в странах с узурпированием власти либо в руках одного лица, либо узкой, строго ограниченной группой лиц. Там любое отклонение от консенсуса воспринимается как кризис в управлении [23, p.66].

Современное развитие экономики, возросшая конкуренция, наличие негативных внешних и внутренних факторов стало серьёзным стимулом к внедрению в компаниях структуры, имеющей независимую оценку, позволяющую определить текущие проблемы компании и построить стратегическую линию развития, обеспечивающую минимизацию возможных рисков. Внутренний аудит в соответствии с задачами, возложенными на него функциями, требованиями к уровню компетентности сотрудников, все увереннее занимает эту нишу.

Тем не менее рассчитать и обосновать ценность внутреннего аудита достаточно сложно по ряду объективных причин [20]:

Часто рекомендации внутренних аудиторов по поводу усовершенствования деятельности организации ограничиваются только областью, в которой был проведён аудит. В ряде случаев проверенным секторам не предоставляется возможность обдумать предлагаемые усовершенствования, хотя иногда они могли бы привести к повышению уровня ответственности, в результате они по этой причине отвергаются. Практика показывает [20], что в отдельных случаях гораздо эффективнее «проявить доверие» к областям, подвергшимся проверке, и позволить им действовать самостоятельно, а не акцентироваться на непосредственном вкладе службы аудита в решение проблемы. Это поможет повысить мотивацию и личную заинтересованность во внедрении новых рекомендаций.

Несмотря на отсутствие чётких критериев определения эффективности внутреннего аудита, выраженных в стоимостных единицах, международные регуляторы усиливают оценочную характеристику в области внутреннего аудита. Так, в частности, Базельский комитет по банковскому надзору (Committee on Banking Supervision of the Bank for international Settlements, BCBS) в декабре 2011 г. опубликовал консультативный документ «Функция внутреннего аудита в банках» (The Internal Audit Function in Banks, CBSBS 2011, revsd Internal Audit in Banks and the Supervisor’s Relationship with Auditors, BCBS 2001), который обсуждался до марта 2012 г. В разработке документа приняли участие ведущие экономисты, представители крупного бизнеса, а также ведущие аудиторские компании мира. Основная цель данного документа – обосновать необходимость пересмотра функции внутреннего аудита в кредитных организациях с точки зрения банковского регулятора. Последний мировой финансовый кризис и его негативные последствия на мировую экономику стали основной из причин предложения о пересмотре и изменении функции внутреннего аудита. Учитывая опыт лучшей мировой практики, этот документ рекомендует наделить внутренних аудиторов кредитных организаций существенными полномочиями и большей степенью независимости, которая позволит внутренним аудиторам играть более активную роль в сфере принятия решений по тактике и стратегии развития банков.

Исходя из возложенных на внутренний аудит функций по защите компании в документе особо подчёркивается, что внутренний аудит должен быть независимым и иметь возможность оценивать риски, влияющие на организацию (Principle 1, IAF in Banks, BCBS 2011).

Вышеназванный консультативный документ выводит функцию независимости внутреннего аудита на совершенно иной уровень, чётко определяя роль внутреннего аудита в компании, дистанцируя внутреннего аудитора от руководящих органов управления компании и их влияния на вынесение оценки внутреннего аудитора по тому или иному вопросу, связанному с сегментом проверки. Принцип 2 (Principle 2, IAF in Banks, BCBS 2011) устанавливает, что функция внутреннего аудита должна быть независима от аудируемой деятельности. Одним из ключевых моментов при установлении независимости внутреннего аудитора становится вопрос о его вознаграждении, которое не может зависеть от финансовых показателей как отдельного аудируемого объекта (филиала, подразделения, управления, отдела, отдельных видов операций), так и организации в целом.

Усиление роли внутреннего аудита в процессе управления компанией налагает на данную структуру компании повышенные требования к уровню проводимых проверок, их результатам, которые могут существенно повлиять на будущие риски компании. В связи с этим крайне актуальным становится вопрос о проведении самооценки, которая в современных условиях играет немаловажную роль в деятельности компании ввиду того, что представляет собой важный ресурс для саморазвития организации. Важно подчеркнуть, что, несмотря на широкий спектр нормативных и регулирующих документов в данной области, содержание понятия самооценки не отличается однообразием трактовки, хотя и демонстрирует при этом общие черты и компоненты дефиниции. Так, например, в соответствии с руководством по самооценке Европейского Фонда управления качеством (European Foundation for Quality Management, EFQM, 1992) самооценка определяется как всеобъемлющий, систематический, регулярный анализ результатов и самой деятельности организации относительно модели делового совершенства. Однако практика свидетельствует, что метод самооценки не обязательно ограничивается конкретной моделью. В связи с этим полагаем более целесообразным трактовать процесс самооценки (Control Self-Assessment; CSA) в рамках данного исследования как всесторонний и систематический анализ деятельности организации и ее результатов по сравнению с выбранным эталоном.

Самооценка может дать общее представление о деятельности организации и степени зрелости её системы менеджмента. Она также способна помочь в выявлении областей, требующих совершенствования и (или) инновационного подхода, и в установлении очерёдности осуществления последующих действий, направленных на минимизацию рисков компании.

Внутренний аудит и самооценка являются весьма действенными инструментами стабилизации процесса управления качеством и повышения эффективности корпоративного управления в современной организации. Однако, как показывает анализ теоретических источников, некоторые исследователи, несмотря на существующие научные разработки ведущих международных научно-исследовательских, профессиональных организаций и комитетов-регуляторов, научные исследования по теории, методике и практике разработки и использования метода самооценки во внутреннем аудите как отдельной области научных знаний, либо затрудняются указать принципиальную разницу между внутренним аудитом и самооценкой, либо недооценивают потенциал последней в ряду перечисленных явлений, оправдывая это его рекомендательным характером, определённым Международными стандартами аудита (ISA), в отличие от внутреннего аудита как обязательной процедуры. Это требует более подробного определения данных процессов и выявления аспектов их корреляции.

Развитие системы оценки внутреннего контроля в мире находится в самом начале пути – у компаний пока ещё нет чёткого понимания целей и задач оценивания. Между тем метод системы внутренних оценок может быть использован менеджментом и внутренним аудитом для определения эффективности системы управления рисками и процесса контроля. Система внутренних оценок – это непрерывный процесс, внедрение которого даёт уверенность, что цели бизнеса будут достигнуты, а стратегии реализованы.

Наличие инструмента самооценки внутреннего контроля не всегда является обязательным в разных государствах мира, как, например, в России. Тогда как на Западе самооценка необходима для соответствия требованиям Закона Сарбейнса-Оксли [17]. Использование этого инструмента даже на добровольных началах даёт высокие результаты. Кроме того, система самооценки может использоваться и компаниями, акции которых котируются на других биржах (LSE, РТС и др.), и непубличными компаниями.

Нужно заметить, что принятый в 2002 г. в США Закон Сарбейнса-Оксли явился беспрецедентным регулирующим актом в данной области по масштабам обязательств, накладываемых на публичные компании, и оказал важнейшее влияние на развитие системы внутреннего аудита и контроля, развитие теории риска и его оценки как в американской науке и практике, так и в рамках мировой практики в целом. Так, в частности, гл. 404 «Оценка руководством системы внутреннего контроля» потребовала от публичных компаний определения рисков, связанных с составлением финансовой отчётности, подтверждения проведения соответствующих контрольных процедур и оценки их эффективности, устранения недостатков контрольных процедур, а также проведения повторной проверки и документирования её результатов (Sarbanes-Oxley Act of 2002, Title IV, Sec. 404). Такое существенное ужесточение требований к финансовой отчётности все же требует сегодня от большинства компаний Европы подтверждения состояния системы внутреннего контроля – в том числе с помощью внедрения системы внутренних оценок.

Многочисленные опросы, проводимые ведущими аудиторскими компаниями [16,17 и др.] по результатам обеспечения соблюдения закона Сарбейнса-Оксли показали, что служба внутреннего аудита непосредственно руководила реализацией работы по выполнению требований г. 404 Закона Сарбейнса-Оксли в более чем половине компаний. В более чем 80% случаев внутренний аудит обеспечивал все или часть задействованных ресурсов, что в очередной раз подтвердило тот факт, что никакой другой сотрудник компании не может быть лучше осведомлён о системе внутреннего контроля и не способен столь же эффективно разработать методологию проверки и оценки рисков, а также самооценки.

На сегодняшний день внутренний аудит в состоянии решать гораздо более масштабные задачи и играть более заметную роль, нежели та, что предусматривалась для контрольно-ревизионных служб. Во многих компаниях мира успешно функционируют отделы IT-аудита, экологического аудита и другие подразделения. Развитие отдельных отраслей бизнеса за счёт агрессивного роста приводит к тому, что департаменты аудита начинают принимать активное участие в слияниях и поглощениях. Также появилась серьёзная тенденция вовлекать внутренний аудит в проекты реинжиниринга бизнес-процессов, организации системы внутреннего контроля, подготовки к внешнему аудиту.

Основная проблема, с которой сталкиваются руководители служб внутреннего аудита при участии в подобных проектах, – необходимость избегать конфликта интересов, сохранять объективность и независимость.

Для выполнения новой роли, возложенной на внутренний аудит, важно использовать результаты самооценки для получения информации о рисках и контролях с целью последующего планирования аудитов. Самооценка становится неотъемлемым инструментом для определения областей высокого риска, способствует улучшению процесса кооперации и сотрудничества менеджмента и собственников бизнес-процессов, способна существенно сократить затраты на внутренний аудит при её эффективном использовании.

Определим основные сущностные и процессуальные различия между самооценкой и внутренним аудитом. Они заключаются в том, что внутренний аудит представляет собой своего рода «внешний» мониторинг по отношению к бизнес-процессу, в то время как самооценка является «внутренним» мониторингом бизнес-процесса, в рамках которого собственник бизнеса оценивает себя сам и свои функции. Самооценивание связано с детальным углублением в бизнес-процессы и операционные риски, в то время как внутренний аудит в большей степени призван выявлять системные ошибки и общие проблемы. Поэтому максимальный эффект, по мнению специалистов-практиков зарубежных компаний и холдингов (напр., [22]), достигается при одновременном использовании этих двух инструментов. Например, оценка организации системы внутреннего контроля делается внутренним аудитом, а результаты самооценки покажут, насколько эффективно работают отдельные сферы контроля.

Применение метода самооценки признается современной наукой и практикой [14,11,19,3 и др.] результативным методом оценки эффективности внутреннего контроля и отдачи от него, но при этом инструментом, не заменяющим процедуры внутреннего аудита.

Самооценка помогает менеджменту и собственникам бизнеса повышать эффективность систем контроля и управления рисками, а также управлять ими в рамках текущих процессов. В том числе существенно снижать затраты на управление рисками с учётом имеющихся системных ограничений.

Для собственников и акционеров современных предприятий и компаний преимущества метода самооценки заключаются в повышении эффективности корпоративного управления. Внедрение системы внутренней оценки способно оказывать позитивное влияние и на сотрудников компании – повышать эффективность выполнения ими текущих обязанностей, уровень корпоративной культуры, а также уровень дисциплинированности и ответственности [22]. На основе полученных результатов проведения самооценки служба внутреннего аудита получает информацию о рисках и может планировать последующие аудиторские проверки, а также получает возможность сократить затраты на внутренний аудит [9, p.29].

Самооценка типологизируется внутренними аудиторами по отношению к проверяемым операциям следующим образом, в очередной раз подчёркивающим симбиоз данных процессов:

Для внутреннего аудита ценность самооценки также очень высока – на основе полученных результатов служба внутреннего аудита получает информацию о рисках и может планировать последующие аудиторские проверки. Внешний аудитор использует результаты самооценки для получения описания системы внутреннего контроля, определения областей высокого риска. В ряде случаев инструмент самооценки используется для соответствия законодательству или принятым стандартам.

Результаты эмпирических исследований (напр., [3]) свидетельствуют, что эффективное использование системы самооценки улучшает процессы кооперации и сотрудничества менеджмента и собственников бизнеса и сокращает затраты на внутренний аудит до 80% [9, p.29].

Внедрение метода самооценки при работе внутренних аудиторов требует подробного анализа уже существующего в мировой практике положительно зарекомендовавшего себя методологического аппарата с целью его адаптации в национальных условиях и условиях деятельности отдельного хозяйственного объекта, разработки инновационного инструментария и его реализации.

Современный организационный менеджмент в любой сфере бизнеса, кроме стандартизированных процедур по управлению и реализации процессов, выделяет не менее важную составляющую управленческой деятельности – это работа по совершенствованию. Успешное развитие компании в текущих экономических условиях возможно только при выполнении условия, что функционал каждого её работника кроме осуществления основной деятельности включает в себя также непрерывное осуществление функции совершенствования. Именно данная функция, по мнению специалистов-практиков и менеджеров ведущих компаний мира, дает возсожность оптимизировать деятельность как отдельного сотрудника, так и компании в целом, позволяя выявлять «больные» или «отжившие свой век» процессы и являясь источником развития бизнеса [12].

Конъюнктура управления бизнес-процессами в современных условиях требует от каждого собственника компании широкого внедрения риск-ориентированного подхода, риск-минимизирующих методических инструментов как отдельных сегментов, так и эффективной системы корпоративного управления компанией в целом. В связи с этим представляется очевидным, что формирование и развитие научно обоснованной методики самооценки, применяемой для целей внутреннего аудита и внутреннего контроля, теоретические основы которой находятся в начальной стадии формирования, позволят не только снизить корпоративные риски, но и повысить инвестиционную привлекательность компании, что является конкурентным преимуществом организаций, осуществляющих деятельность в любой сфере деятельности.

Список литературы

3. Hubbard, L. (2000) Control Self-Assessment: A Practical Guide by Larry Hubbard. Altamonte Hull, J.C. (1995). Options, Futures and Other Derivatives. New Jersey. Prentice Hall.

4. International Standards for the Professional Practice of Internal Auditing (2011). Altamonte Springs, Florida. Institute of Internal Auditors.

6. Kesner, I.F. (1988) Directors’ Characteristics and Committee Membership: An Investigation of Type, Occupation, Tenure, and Gender // TheAcademy of Management Journal, No 31, р. 66–84.

7. Kim, W.S., Lee, J.W. еt Francis, J.C. (1988) Investment Performance Of Common Stocks In Relation To Insider Ownership // Financial Review, № 23, 1, Février, р. 53—64.

8. Lloyd, W.P., Jahera, Jr. J.S. еt Goldstein, S.J. (1986) The Relation Between Returns, Ownership Structure, And Market Value // Journal Of Financial Research, № 9, 2, Été, р. 171—177.

9. McKeever, J. (2007) McKeever CCSA Study System. N.Y. Pleier Corporation.

10. McNamee, D. (1998) Internal Auditing: Basics and Best Practices. Altamonte Springs, Florida. Institute of Internal Auditors.

12. Mescon, M., Albert, M., Khedouri, F (1985). Management: Individual and Organizational Effectiveness. N.Y. Harpercollins College Div.

13. Morck, R., Shleifer, A. and Vishny, R. (1988) Management Ownership and Market Valuation: an Empirical Analysis // Journal of Financial Economics, № 20, р. 293—315.

14. Roth, A. V. (1996). Achieving strategic agility through economies of knowledge. Strategy & leadership 24, No. 2:30 – 37.

15. Sarbanes-Oxley Act of 2002. Corporate responsibility. Public Law 107–204—July 30, 2002 (107th Congress). 15 USC 7201 note. Retrieved from the US Securities and Exchange Commission

16. Sarbanes-Oxley Act of 2002: Deloitte & Touche Comparative Report 2002 – 2005.

17. Sarbanes-Oxley Act of 2002: Earnst&Young Review (2002). L. Earnst&Young.

18. Schellenger M.H., David D. (1989) Wood and Ahmad Tashakori.Board of director composition, shareholder wealth, and dividend policy // Journal of Management, № 15, р. 457—467.

19. Selim, G.M., Com, M., Com, B. (1998) Risk Management: Changing the Internal Auditor’s Paradigm. Altamonte Springs, Florida. The IIA Research Foundation.

21. Андреева, А. (2006) Перспективы развития самооценки контроля в России, Alcoa.

22. Андреева, А. (2008) CCSA Eastern Ventures Holdings Достижения компании в зеркале самооценки// Атлас страхования. № 10. С.45 – 50.

23. Степанова, А.Н. (2007) Корпоративное управление и корпоративные результаты: эмпирические доказательства на опыте стран с растущим рынком капитала// Корпоративные финансы. № 4. С.64 –75.

© Интернет-проект «Корпоративный менеджмент», 1998–2021

Источник