Контроль за руководством компании

Контроль деятельности руководителя организации в 2022 году: главные нарушения и 8 способов противодействия

По заявкам клиентов решил консолидировать весь опыт в одном месте. Данная статья касается любой организации, где руководитель не является единственным учредителем. Если нет контроля над руководителем, в 90% случаев Вы лишитесь своих денег и контроля над бизнесом. Такова реальность и особенность менталитета в России. 

• 10 главных нарушений директоров
• 8 способов контроля деятельности руководителя
• Как противодействовать руководителю?

10 главных нарушений директоров

Чаще всего проблемы возникают по причине непонимания их существования. Неконтролируемая работа директора несет целый букет проблем. А успешное развитие организации резко повышает риск, что успехи эти будут не Ваши. Наверное, перечислю, к чему приводит беспечность соучредителей, партнеров, инвесторов, спонсоров, членов организации и.т.д:

• Полная потеря управления — захват;
• Обнуление организации и перевод деятельности под собственную компанию руководителя;
• Нарушение Уголовного кодекса и разделение ответственности с учредителями;
• Крупные налоговые претензии;
• Крупные прямые хищения;
• Систематическая «обналичка» в собственных интересах;
• Откаты;
• Нецелесообразные оплаты в личных целях;
• Дисквалификация учредителей вместе с руководителем;
• Просто лень, неэффективность, имитация бурной деятельности и жизнь на окладе;
• Много всего интересного прочего…

Правда заключается в том, что одного взгляда на пару операций достаточно для выявления нарушений. Даже эксперты и аудиторы не нужны. Просто никто никуда не смотрел.Почему руководители обманывают нас?

Важно! Вы сами участвовали в назначении руководителя и несете субсидиарную ответственность. Большая часть проблем — это внутренние дела организации. Когда все уже случится, очень трудно будет что-то доказывать. А разбирательства в суде, полиции и прокуратуре зачастую несут риски для учредителей (участников) не меньше, чем руководителю. Это очень важно понимать.

Именно по этой причине неконтролируемые руководители идут на нарушения. Они понимают, что выявлены они будут нескоро, а если будут — они переходят к шантажу и угрозам о совместной ответственности. В итоге все заканчивается ничем или «понятийными разборками» и уголовным кодексом.

Хотел бы в заключении напомнить старую истину. Человек слаб, даже самые сильные из нас поддаются искушению, разница только во времени, которое необходимо демону.

Итак перейдем к главному. Как этого не допустить.

Контроль должен быть простым и постоянным. Очень важен баланс. Вы должны постоянно получать определенные данные или иметь возможность обратиться к ним без руководителя! Очень важно не превращать управление организацией в бюрократический ад. Тогда руководитель сбежит просто по причине невозможности работать и себя реализовать.

1. По возможности держите уставные документы у себя. Для финансово – хозяйственной деятельности достаточно сканов. Оригиналы необходимы для смены уставных документов (вас, например), смены банковской карточки, продления полномочий и других только очень важных действий. Так у Вас будет возможность узнать, зачем нужны уставные. Учтите, что если руководитель оставляет у себя все уставные документы, их восстановление занимает очень длительный срок, а без них вы фактически не сможете сменить руководителя. Все это время организация будет под контролем руководителя или полностью парализована.
2. Подписка на изменения в ЕГРЮЛ с уведомлением на телефон. Часто оспорить или принять меры можно только в 1-3 дня. Важнейшие изменения в организации происходят со сменой данных компании в ЕГРЮЛ . Также они могут показать риски, которые руководитель пропустил. Подписка позволит в момент изменений узнать о следующем:  смена руководителя, смена учредителей, смена адреса, внесение сведений о недостоверности адреса, руководителя, учредителя,смена размера уставного капитала или введение дополнительных учредителей.
3. Доступ к просмотру расчетного счета. Важнейший инструмент. На любого человека можно оформить доступ к расчетному счету без права подписи. Вы сможете видеть все зачисления и списания, контрагентов, основания платежей и главное — их суммы. Современные банки также позволяют установить такой доступ на телефон, показывают простую финансовую отчетность, рейтинг контрагентов (выявляя потенциальные однодневки). СМС уведомление о всех списаниях и зачислениях позволяет не только оперативно следить за деятельностью организации, но и оценивать рискованность финансовой политики руководителя.
   Данный инструмент основной для выявления прямых нарушений. Сам факт теневого наблюдения за всеми операциями будет сдерживать руководителя от неправомерных действий.
4. Ограничение крупной сделки. Возможно ввести ограничения крупной сделки, когда любой договор, сделка или соглашение выше определенной суммы должны проходить согласование с дополнительными органами управления организации. Руководитель не сможет разом вывести все деньги или правомерно подписать крупные «кабальные» договоры. Обычно крупной сделкой назначается суммы 0,5-2 млн рублей. Зависит от оборотов самой организации, частоты их возникновения, возможности выживания организации при потере такой суммы.
5. Подконтрольный бухгалтер. Бывает так, что выявить нарушения некомпетентному человеку сложно, а хищения происходят небольшими суммами, но систематически. Назначать дополнительного проверяющего или аудитора дорого. Но Вы можете сами назначить бухгалтера в организацию или заключить договор с бухгалтерской организацией вроде нашей. Главное, что Вы его наняли и от вас зависит оплата его труда и продолжение работы, что это не брат, сват, «надежный» знакомый руководителя. В рамках работы бухгалтер доложит о серьезных нарушениях руководителя, самому руководителю об этом знать не обязательно. А у вас будет достаточно времени, чтобы принять меры. 
6. Ежегодный внутренний аудит. Компетентный аудитор — это не бухгалтер. Они специализируются на выявлении нарушений, рисков, недостоверности. Аудит может выявить некомпетентность Вашего руководителя, поправить его в некоторых действиях. Вы получите рекомендации, которые позволят вашей организации стабильно развиваться. Опытные аудиторы находят даже самые хитрые и запутанные комбинации и дыры. Опытные руководители это знают. Простое появление аудитора приводит иногда к исчезновению (болезни, зарубежному отпуску, бегству) руководителя или бухгалтера. А проверка даже еще не началась. Обычные бухгалтеры на это неспособны.
   Но есть один минус – цена. Стоимость полноценного аудита с анализом составляет 200-500т.р. Если оборот более 1 млрд, аудит может составлять до 0,3% от оборота.
7. Создание группы компаний. Если обороты немаленькие, не кладите все яйца в одну корзину. Создайте несколько организаций с разными руководителями. Во-первых, здоровая конкуренция всегда на пользу и не дает расслабиться. Во-вторых, один из руководителей может выбыть по уважительной причине (или не очень), а вы рискуете остаться вообще без управления. Если руководителей несколько, всегда будет лицо, которое оперативно сможет компетентно включиться.
8. Должностные инструкции. Руководитель должен знать, чего от него хотят и как именно он должен работать. Это глобальный документ, который описывает, что может, а что нет руководитель. В чем заключается приоритет развития, какие ценности и ограничения существуют в организации. Какие обязательные действия он должен совершать в процессе своей трудовой деятельности и что делать нежелательно или запрещено. Документ внутренний и гибкий. Он может и должен меняться вместе с развитием организации. Главное, без перегибов и в рамках закона и нормальной логики. Человек, поставивший подпись под документом, потом не скажет, что этого не было и ему этого не говорили.

Часто бывает так, что директор удерживает уставные документы, препятствует проведению собрания и смены руководителя (себя любимого). Пока он есть в ЕГРЮЛ как руководитель, он может действовать как руководитель!

Но некоторые действия можно и нужно сделать:

• Заблокировать банковскую карточку. Если у Вас контрольный голос, явитесь в банк и заблокируйте карточку. Банки очень боятся таких историй, даже если у Вас нет контрольного голоса, банк может самостоятельно заблокировать карточку сам, после вашего заявления. Особенно если представлены подтверждения нарушений руководителя.
• Сообщить ключевым контрагентам о прекращении полномочий руководителя и начале его смены в ЕГРЮЛ. 
• Сменить бухгалтера на подконтрольного и получить под контроль ЭЦП для сдачи отчетности.
• Начать внутренний аудит или привлечь специалиста, у которого был опыт в подобной ситуации.

Важно! Не звать без разбора налоговую, полицию и прокуратуру! Если делать это, то осознано с помощью адвоката и аудитора.

Остались вопросы?

Звоните или пишите в наш чат!

Internal auditing is an independent, objective assurance and consulting activity designed to add value and improve an organization’s operations. It helps an organization accomplish its objectives by bringing a systematic, disciplined approach to evaluate and improve the effectiveness of risk management, control and governance processes.^[1] Internal auditing might achieve this goal by providing insight and recommendations based on analyses and assessments of data and business processes.^[2] With commitment to integrity and accountability, internal auditing provides value to governing bodies and senior management as an objective source of independent advice. Professionals called internal auditors are employed by organizations to perform the internal auditing activity.

The scope of internal auditing within an organization may be broad and may involve topics such as an organization’s governance, risk management and management controls over: efficiency/effectiveness of operations (including safeguarding of assets), the reliability of financial and management reporting,^[3][4] and compliance with laws and regulations. Internal auditing may also involve conducting proactive fraud audits to identify potentially fraudulent acts; participating in fraud investigations under the direction of fraud investigation professionals, and conducting post investigation fraud audits to identify control breakdowns and establish financial loss.

Internal auditors are not responsible for the execution of company activities; they advise management and the board of directors (or similar oversight body) regarding how to better execute their responsibilities. As a result of their broad scope of involvement, internal auditors may have a variety of higher educational and professional backgrounds.

The Institute of Internal Auditors (IIA) is the recognized international standard setting body for the internal audit profession and awards the Certified Internal Auditor designation internationally through rigorous written examination. Other designations are available in certain countries.^[5] In the United States the professional standards of the Institute of Internal Auditors have been codified in several states’ statutes pertaining to the practice of internal auditing in government (New York State, Texas, and Florida being three examples). There are also a number of other international standard setting bodies.

Internal auditors work for government agencies (federal, state and local); for publicly traded companies; and for non-profit companies across all industries. Internal auditing departments are led by a chief audit executive (CAE) who generally reports to the audit committee of the board of directors, with administrative reporting to the chief executive officer (In the United States this reporting relationship is required by law for publicly traded companies).

History of internal auditing[edit]

The internal auditing profession evolved steadily with the progress of management science after World War II. It is conceptually similar in many ways to financial auditing by public accounting firms, quality assurance and banking compliance activities. While some of the audit technique underlying internal auditing is derived from management consulting and public accounting professions, the theory of internal auditing was conceived primarily by Lawrence Sawyer (1911–2002), often referred to as «the father of modern internal auditing»;^[6] and the current philosophy, theory and practice of modern internal auditing as defined by the International Professional Practices Framework (IPPF) of the Institute of Internal Auditors owes much to Sawyer’s vision.

With the implementation in the United States of the Sarbanes–Oxley Act of 2002, the profession’s exposure and value was enhanced, as many internal auditors possessed the skills required to help companies meet the requirements of the law^{[citation needed]}. However, the focus by internal audit departments of publicly traded companies on SOX related financial policy and procedures derailed progress made by the profession in the late 20th century toward Larry Sawyer’s vision for internal audit. Beginning in about 2010, the IIA once again began advocating for the broader role internal auditing should play in the corporate arena, in keeping with the IPPF’s philosophy.^[7]

Organizational independence[edit]

While internal auditors are hired directly by their company, they can achieve independence through their reporting relationships. Independence and objectivity are a cornerstone of the IIA professional standards; and are discussed at length in the standards and the supporting practice guides and practice advisories. Professional internal auditors are mandated by the IIA standards to be independent of the business activities they audit. This independence and objectivity are achieved through the organizational placement and reporting lines of the internal audit department. Internal auditors of publicly traded companies in the United States are required to report functionally to the board of directors directly, or a sub-committee of the board of directors (typically the audit committee), and not to management except for administrative purposes.

The required organizational independence from management enables unrestricted evaluation of management activities and personnel and allows internal auditors to perform their role effectively. Although internal auditors are part of company management and paid by the company, the primary customer of internal audit activity is the entity charged with oversight of management’s activities. This is typically the audit committee, a committee of the board of directors.
Organizational independence is effectively achieved when the chief audit executive reports functionally to the board. Examples of functional reporting to the board involve the board:^[8]
Approving the internal audit charter; Approving the risk based internal audit plan; Approving the internal audit budget and resource plan; Receiving communications from the chief audit executive on the internal audit activity’s performance relative to its plan and other matters; Approving decisions regarding the appointment and removal of the chief audit executive; Approving the remuneration of the chief audit executive; and Making appropriate inquiries of management and the chief audit executive to determine whether there are inappropriate scope or resource limitations.

Role in internal control[edit]

Internal auditing activity is primarily directed at evaluating internal control. Under the COSO Internal Control Framework, internal control is broadly defined as a process, effected by an entity’s board of directors, management, and other personnel, designed to provide reasonable assurance regarding the achievement of the following core objectives for which all businesses strive:

• Effectiveness and efficiency of operations.
• Reliability of financial and management reporting.
• Compliance with laws and regulations.
• Safeguarding of Assets

Management is responsible for internal control, which comprises five critical components: the control environment; risk assessment; risk focused control activities; information and communication; and monitoring activities. Managers establish policies, processes, and practices in these five components of management control to help the organization achieve the four specific objectives listed above. Internal auditors perform audits to evaluate whether the five components of management control are present and operating effectively, and if not, provide recommendations for improvement.

In the United States, the internal audit function independently assesses management’s system of internal control and reports its results to top management and the company’s audit committee of the board of directors.

Role in risk management[edit]

Internal auditing professional standards require the function to evaluate the effectiveness of the organization’s Risk management activities. Risk management is the process by which an organization identifies, analyses, responds, gathers information about, and monitors strategic risks that could actually or potentially impact the organization’s ability to achieve its mission and objectives.

Under the COSO enterprise risk management (ERM) Framework, an organization’s strategy, operations, reporting, and compliance objectives all have associated strategic business risks – the negative outcomes resulting from internal and external events that inhibit the organization’s ability to achieve its objectives. Management assesses risk as part of the ordinary course of business activities such as strategic planning, marketing planning, capital planning, budgeting, hedging, incentive payout structure, credit/lending practices, mergers and acquisitions, strategic partnerships, legislative changes, conducting business abroad, etc. Sarbanes–Oxley regulations require extensive risk assessment of financial reporting processes. Corporate legal counsel often prepares comprehensive assessments of the current and potential litigation a company faces. Internal auditors may evaluate each of these activities, or focus on the overarching process used to manage risks entity-wide. For example, internal auditors can advise management regarding the reporting of forward-looking operating measures to the board, to help identify emerging risks; or internal auditors can evaluate and report on whether the board and other stakeholders can have reasonable assurance the organization’s management team has implemented an effective enterprise risk management program.

In larger organizations, major strategic initiatives are implemented to achieve objectives and drive changes. As a member of senior management, the chief audit executive (CAE) may participate in status updates on these major initiatives. This places the CAE in the position to report on many of the major risks the organization faces to the audit committee, or ensure management’s reporting is effective for that purpose.

The internal audit function may help the organization address its risk of fraud via a fraud risk assessment, using principles of fraud deterrence. Internal auditors may help companies establish and maintain Enterprise Risk Management processes.^[9] This process is highly valued by many businesses for establishing and implementing effective management systems and ensuring quality is maintained & professional standards are met^[10] Internal auditors also play an important role in helping companies execute a SOX 404 top-down risk assessment. In these latter two areas, internal auditors typically are part of the risk assessment team in an advisory role.

Role in corporate governance[edit]

Internal auditing activity as it relates to corporate governance has in the past been generally informal, accomplished primarily through participation in meetings and discussions with members of the board of directors. According to COSO’s ERM framework, governance is the policies, processes and structures used by the organization’s leadership to direct activities, achieve objectives, and protect the interests of diverse stakeholder groups in a manner consistent with ethical standards. The internal auditor is often considered one of the «four pillars» of corporate governance, the other pillars being the board of directors, management, and the external auditor.^[11]

A primary focus area of internal auditing as it relates to corporate governance is helping the audit committee of the board of directors (or equivalent) perform its responsibilities effectively. This may include reporting critical management control issues, suggesting questions or topics for the audit committee’s meeting agendas, and coordinating with the external auditor and management to ensure the committee receives effective information. In recent years, the IIA has advocated more formal evaluation of corporate governance, particularly in the areas of board oversight of enterprise risk, corporate ethics, and fraud.
See also § Three lines of defence below.

Audit project selection or «annual audit plan»[edit]

Based on the risk assessment of the organization, internal auditors, management and oversight boards determine where to focus internal auditing efforts. This focus or prioritization is part of the annual/ multi-year annual audit plan. The audit plan is typically proposed by the CAE (sometimes with several options or alternatives) for the review and approval of the audit committee or the board of directors. Internal auditing activity is generally conducted as one or more discrete assignments.

It should be adapted to the specific purpose of audit, and the selection of audit method must be adapted to its specific purpose. Otherwise, it will deviate from the purpose of the audit.^[12]

Internal audit execution[edit]

A typical internal audit assignment^[13] involves the following steps:

1. Establishing and communicating the scope and objectives of the audit to appropriate members of management.
2. Developing an understanding of the business area under review – this includes objectives, measurements & key transaction types and involves interviews and a review of documents – flowcharts and narratives may be created, if necessary.
3. Describing the key risks facing the business activities within the scope of the audit.
4. Identifying management practices in the five components of control used to ensure that each key risk is properly controlled and monitored. An internal audit checklist^[14] can be a helpful tool to identify common risks and desired controls in the specific process or specific industry being audited.
5. Developing and executing a risk-based sampling and testing approach to determine whether the most important management controls are operating as intended.
6. Reporting issues and challenges identified and negotiating action plans with the management to address these problems.
7. Following-up on reported findings at appropriate intervals. Internal audit departments maintain a follow-up database for this purpose.

Audit assignment length varies based on the complexity of the activity being audited and internal audit resources available. Many of the above steps are iterative and may not all occur in the sequence indicated.

In addition to assessing business processes, specialists called information technology (IT) auditors review information technology controls.

Internal audit reports[edit]

Internal auditors typically issue reports at the end of each audit that summarize their findings, recommendations, and any responses or action plans from management. An audit report may have an executive summary – a body that includes the specific issues or findings identified and related recommendations or action plans, and appendix information such as detailed graphs and charts or process information. Each audit finding within the body of the report may contain five elements, sometimes called the «5 C’s»:

1. Condition: What is the particular problem identified?
2. Criteria: What is the standard that was not met? The standard may be a company policy or other benchmark.
3. Cause: Why did the problem occur?
4. Consequence: What is the risk/negative outcome (or opportunity foregone) because of the finding?
5. Corrective action: What should management do about the finding? What have they agreed to do and by when?

The recommendations in an internal audit report are designed to help the organization achieve effective and efficient governance, risk and control processes associated with operations objectives, financial and management reporting objectives; and legal/regulatory compliance objectives.

Audit findings and recommendations may also relate to particular assertions about transactions, such as whether the transactions audited were valid or authorized, completely processed, accurately valued, processed in the correct time period, and properly disclosed in financial or operational reporting, among other elements.

Following are the steps about how continuous improvement can be achieved through audit findings.

• Develop CAPAs to address quality issues.
• Train users or employees to develop effective audit processes or procedures.
• Maintain steady and healthy relation with suppliers, vendors, users, auditors and audit bodies.

Under the IIA standards, a critical component of the audit process is the preparation of a balanced report that provides executives and the board with the opportunity to evaluate and weigh the issues being reported in the proper context and perspective. In providing perspective, analysis and workable recommendations for business improvements in critical areas, auditors help the organization meet its objectives.

Quality of internal audit report^[15][edit]

• Objectivity – The comments and opinions expressed in the report should be objective and unbiased.
• Clarity – The language used should be simple and straightforward.
• Accuracy – The information contained in the report should be accurate.
• Brevity – The report should be concise.
• Timeliness – The report should be released promptly immediately after the audit is concluded, within a month.

Strategy[edit]

Internal audit functions may also develop functional strategies described in multi-year strategic plans. Professional guidance on building an Internal Audit strategic plan was issued by the Institute of Internal Auditors in July 2012 via a Practice Guide called Developing the Internal Audit Strategic Plan.^[16] A key aspect of developing IA strategy is understanding the expectations of stakeholders, such as the audit committee and top management. This helps guide the IA function in its mission of helping the organization address the risks it faces. Specific topics considered in IA strategic planning include:

• Scope and emphasis: An IA function may be involved in addressing risks related to financial reporting, operations, legal and regulatory compliance, and the company strategy. There may also be special topics of interest to stakeholders that change considerably year-to-year.
• Portfolio of services: IA functions may provide traditional audit assurance across the risk spectrum as well as consulting project support in a variety of areas such as project management, data analysis, and monitoring of major company initiatives. Larger audit functions may establish specialty areas to handle their service portfolio.
• Competency development: The stakeholder expectations around scope and service portfolio determine what competencies the function needs, which drives decisions regarding hiring of specific skills and training programs. The internal audit function is often used as a «management training ground» to provide employees with a deeper knowledge of the company’s operations before they are rotated into a management position.^[17]
• Technology: IA functions use a variety of technology tools/software to support audit process workflow, statistical analysis, and obtaining data from systems.

Building the IA strategy may involve a variety of strategic management concepts and frameworks, such as strategic planning, strategic thinking, and SWOT analysis.^[16]

Other topics[edit]

Measuring the internal audit function[edit]

The measurement of the internal audit function can involve a balanced scorecard approach.^[18] Internal audit functions are primarily evaluated based on the quality of counsel and information provided to the audit committee and top management. However, this is primarily qualitative and therefore difficult to measure. «Customer surveys» sent to key managers after each audit engagement or report can be used to measure performance, with an annual survey to the audit committee. Scoring on dimensions such as professionalism, quality of counsel, timeliness of work product, utility of meetings, and quality of status updates are typical with such surveys. Understanding the expectations of senior management and the audit committee represent important steps in developing a performance measurement process, as well as how such measures help align the audit function with organizational priorities.^[19][20]
Independent peer reviews are part of the quality assurance process for many internal audit groups as they are often required by standards.^[21] The resulting peer review report is made available to the audit committee.

Reporting of critical findings[edit]

The chief audit executive (CAE) typically reports the most critical issues to the audit committee quarterly, along with management’s progress towards resolving them. Critical issues typically have a reasonable likelihood of causing substantial financial or reputational damage to the company. For particularly complex issues, the responsible manager may participate in the discussion. Such reporting is critical to ensure the function is respected, that the proper «tone at the top» exists in the organization, and to expedite resolution of such issues. It is a matter of considerable judgment to select appropriate issues for the audit committee’s attention and to describe them in the proper context.

Audit philosophy[edit]

Some of the philosophy and approach of internal auditing is derived from the work of Lawrence Sawyer. His philosophy and guidance on the role of internal audit was a forerunner of the current definition of internal auditing. It emphasized assisting management and the board in achieving the organization’s objectives through well-reasoned audits, evaluations, and analyses of operational areas. He encouraged the modern internal auditor to act as a counsellor to management rather than as an adversary. Sawyer saw auditors as active players influencing events in the business rather than criticizing all degrees of errors and mistakes. He also foresaw a more desirable auditor future involving a stronger relationship with members of audit committee and the board and a divorce from direct reporting to the chief financial officer.^[22]

Sawyer often talked about «catching a manager doing something right» and providing recognition and positive reinforcement. Writing about positive observations in audit reports was rarely done until Sawyer started talking about the idea. He understood and forecast the benefits of providing more balanced reporting while simultaneously building better relationships. Sawyer understood the psychology of interpersonal dynamics and the need for all people to receive acknowledgment and validation for relationships to prosper.^[22]

Sawyer helped make internal auditing more relevant and more interesting through a sharp focus on operational or performance auditing. He strongly encouraged looking beyond financial statements and financial-related auditing into areas such as purchasing, warehousing and distribution, human resources, information technology, facilities management, customer service, field operations, and program management. This approach helped catapult the chief audit executive into the role of a respected and knowledgeable adviser who was thought to be reasonable, objective, and concerned about helping the organization achieve the stated goals.^[22]

Three lines of defence[edit]

The «Three Lines of Defence Model»
^{[23]
[24]
[25]
[26]}
is a framework outlining the relationship between business functions, risk management, and internal audit, delineating how responsibilities should be divided; it is designed «to assure the effective and transparent management of risk», by making accountabilities clear. The terminology is analogized from the military «Line of defence» (and the concept of defence in depth).

• Under the first line of defence, risks are managed and controlled day-to-day. Here customer-facing operational management has «ownership, responsibility and accountability for directly assessing, controlling and mitigating risks».^[24] Its value ^[26] is that it comes «from those who know the business, culture and day-to-day challenges» (see also Internal control § Operating staff); at the same time, however, this Line may lack independence.
• The second line of defence consists of the independent functions of Risk Management, Compliance, and Operational Risk. This line of defence monitors and facilitates the implementation of effective risk management practices by the first line, providing «oversight and challenge»;^[24] and also assists the «risk owners» in producing and interpreting risk-related reporting. Although separate from those responsible for delivery, it is not independent of the management chain.^[26] (See, re banking, Middle office.)
• The third line of defence is internal audit, reporting directly to the Board of directors. Internal audit reviews and reports on both the first and the second lines of defence, providing objective and independent assurance, ^[26] per § Role in corporate governance above.

Under later iterations of the model,^[26] assurance from «external independent bodies» is seen as a fourth line of defence; here the external auditor, and others, provide assurance and insights to the Board and are «clearly seen to be independent».

The «last line of defence» ^[27] against risk is that of capital, as a sufficient quantum «ensures that a firm can continue as a going concern even if substantial and unexpected losses are incurred»;^[27] see Risk capital, Regulatory capital, Financial risk management, and Going concern § Management’s plans.

Disruptive innovation[edit]

Internal audit plays a critical role maintaining effective control mitigating emerging risks. Businesses will increase risk or bypass opportunity if auditors do not address disruption-related risks.^[28] Michael G. Alles has discussed that Big Data is a disruptive innovation that auditors must incorporate in practice.^[29] A 2019 study, Internal Auditors’ Response to Disruptive Innovation, reports on the evolution of internal audit to react to changes. Disruptions examined include data analytics, agile processes, cloud computing, robotic process automation, continuous auditing, regulatory change, and artificial intelligence.^[30]

See also[edit]

• Certified Information Systems Auditor
• Chartered Institute of Internal Auditors
• Committee of Sponsoring Organizations of the Treadway Commission (COSO)
• Fraud deterrence
• Institute of Internal Auditors
• International Auditing and Assurance Standards Board
• International Register of Certificated Auditors
• IS audit
• Operational auditing
• Risk-based internal audit

References[edit]

Сейчас часто говорят о повышении устойчивости ведения бизнеса. В условиях непредсказуемости, руководители задаются вопросами:
“Как защитить компанию от влияния внешних факторов и насколько это возможно?”, “Нужно ли планировать деятельность и как это лучше делать?”.

В этой статье я буду говорить о внутренних факторах, влияющих на бизнес компании: о том фундаменте, на котором должна стоять компания, чтобы обеспечить устойчивость и
эффективность своей деятельности. Если этот фундамент не построить осознанно и «с умом», то компания может «развалиться» еще задолго до того, как наступят неконтролируемые
события, влияющие на бизнес.

Речь пойдет о внутреннем контроле, как он строится в компании и какую роль выполняет в управлении. А также какие нюансы стоит учесть при создании системы внутреннего контроля
(СВК) и кто этим должен заниматься в организации.

Методология создания системы внутреннего контроля

О внутреннем контроле много говорят, пишут, консультируют. В компаниях появляются внутренние контролеры и целые структурные подразделения внутреннего контроля. Регулирующие
органы выпускают нормативные акты, посвященные внутреннему контролю в организациях различных сфер деятельности.

Но, исходя из моего опыта работы, внутренний контроль в компаниях не всегда построен должным образом и выполняет свою роль. На мой взгляд, часто не хватает системного подхода при
создании эффективной системы внутреннего контроля в компании.

Например, в компаниях с холдинговой структурой принятие многих решений завязано на головной компании, что неминуемо влечет за собой затягивание процессов. Из-за чего
оперативность принятия решений и скорость выполнения производственных задач уходят на второй план в угоду тотального контроля. Система контроля слишком «хороша» и руководство
компаний забывает про делегирование полномочий (хотя доверие к персоналу со стороны руководства — самый мощный стимул продуктивности, инициативы и результативности).

По моему мнению, чтобы создать или развить СВК в компании, необходимо, прежде всего, единое понимание ее назначения всеми сотрудниками компании, включая руководство и
собственников. Чтобы понять, для чего нужна система внутреннего контроля и из чего она состоит, рассмотрим операционную деятельность компании в динамике.

Какую роль выполняет СВК в системе управления

Компания в процессе ведения деятельности проходит 3 стадии:

• планирование;
• выполнения планов;
• стадия контроля.

На последней стадии контроля выявляются отклонения фактических данных от запланированных. И проводится анализ с точки зрения возможности достижения поставленных целей и задач.

При этом контроль осуществляется на каждой стадии функционирования компании и бывает 3-х видов:

• предварительный;
• текущий;
• и последовательный.

Операционную и контрольную деятельность пронизывает управленческая деятельность — это воздействие управляющей системы на объекты управления, исходя из информационного обмена и
результатов контрольной деятельности. Если во время контроля выявлены существенные отклонения, то руководство компании может скорректировать цели и внести уточнения в планы.

Исходя из описанной модели, можно сказать, что роль контроля в системе управления компанией определяет его основное назначение:

• выявить отклонения в деятельности объектов управления по сравнению с заданной целью управляющей системой;
• оценить отклонения с точки зрения возможности достижения целей;
• передать эту информацию субъектам управления для принятия решений и корректировки целей на новый период деятельности.

Выходит, что контроль играет роль «обратной связи» и содействует целенаправленной работе всех бизнес-процессов компании. А также эффективному использованию ресурсов, соблюдению
законодательства, и в конечном итоге — достижению целей, стоящих перед компанией в целом.

Тем самым образуется управленческий цикл, приведенный в схеме ниже.

В управленческом цикле контроль становится одним из эффективных средств управления

Важно! Контроль — это одновременно и самостоятельная функция управления и элемент, встроенный в операционную деятельность, который обеспечивает оптимальный ход каждого
бизнес-процесса.

Стратегические и тактические цели организации можно достичь лишь грамотным управлением, которое должно сопровождаться проведением внутреннего контроля.

Чем внутренний контроль отличается от контроля вообще?

Прежде всего, внутренний контроль — это контроль, осуществляемый внутренними ресурсами компании. В противоположность внешним видам контроля, таким как: законодательное
регулирование, контроль со стороны внешних контролирующих и проверяющих органов, внутренний контроль проводят по инициативе собственника компании, силами ее внутреннего
персонала. Он направлен на обеспечение бесперебойной работы всех бизнес-процессов и на достижение целей компании.

Важно отметить, что современный подход к организации внутреннего контроля предполагает не только контроль, который обеспечивает:

• достижение запланированных показателей;
• отсутствие отклонений и нецелевого использования денежных средств;
• соблюдение законодательства;
• достоверность внутренней и внешней отчетности.

Но и систему выявления резервов повышения эффективности деятельности организации, и контроль соблюдения интересов собственников и инвесторов.

На Западе, после серии громких банкротств крупных корпораций, долгое время разрабатывались вопросы организации надежных систем внутреннего контроля и повышения уровня
корпоративного управления.

В отечественных компаниях стали приводить системы корпоративного управления, в том числе внутреннего контроля, в соответствие с общепринятой практикой стран с развитой
экономикой, только в процессе интеграции стран СНГ в мировую экономику. На процесс также повлияло постепенное дистанцирование собственников от оперативного управления. При этом,
приходится адаптировать западный опыт к нашим условиям, учитывать специфики организаций и национальный менталитет.

Развитие внутреннего контроля в нашей стране обусловлено рядом факторов. Помимо того, что контроль — это необходимый инструмент управления компанией, который обеспечивает
«обратную связь» и процесс принятия решений, при создании СВК необходимо также учитывать следующие моменты:

• организация и проведение внутреннего контроля предопределены действующим национальным законодательством;
• внутренний контроль выступает субъектом контроля за финансово-хозяйственной деятельностью экономического субъекта и управленческими структурами компании, а также
  объектом — при внешнем контроле.

Что учесть при создании СВК и кто за это отвечает

Обозначим еще несколько важных аспектов, которые должны понимать в процессе создания СВК руководство компании и ее сотрудники.

1. Внутренний контроль в деятельности компании должен пронизывать всю систему управления:
   • от постановки стратегических и тактических целей и задач;
   • до конкретной операции приобретения, использования и обеспечения сохранности любого ресурса.
2. Внутренний контроль в системе управления компанией — это регулирующий элемент системы управления компанией и его роль:
   • реализовывать управленческие решения с учетом вероятных угроз и возможностей;
   • оценивать их адекватность поставленным целям и эффективность;
   • показывать реальное положение дел в компании.
3. Внутренний контроль — это не цель, а средство достижения целей компании. И он должен быть адаптирован к специфике ее деятельности.
4. Ответственность за организацию внутреннего контроля лежит на руководстве компании. При этом надлежащее функционирование СВК обеспечивают не только наличием внутренних
   регламентирующих документов по СВК, но и скоординированными действиями буквально всех сотрудников компании. А для этого важно создать определенную среду и корпоративную
   культуру, которые задаются «сверху» от руководства компании и ее собственников.

Какое место занимает СВК в общей системе управления компанией и какую роль в ней выполняет — представлено в схеме ниже.

В следующем материале рассмотрим основные этапы создания СВК в компании: как определить текущую модель системы внутреннего контроля и что такое риск-ориентированный подход (РОП),
как оценить зрелость СВК и создать правила для ее эффективной работы. И кому все это можно поручить в компании.