Азы внутреннего контроля
Обычно руководители компаний уверены, что в их организации системы внутреннего контроля надежны и защищают ее от рисков и форс-мажорных обстоятельств. Часто эта уверенность не лишена оснований. Тем не менее иногда следует перепроверять, все ли необходимые меры приняты.
Характерен пример одного из российских банковских депозитариев, руководитель которого был убежден, что в его "вотчине "все обстоит наилучшим образом. Он сам руководил разработкой информационных систем, участвовал в написании процедур работы подразделений, на ключевых постах работали профессиональные и лояльные ему люди.
Казалось, все было замечательно, пока в депозитарии не была проведена очередная плановая проверка. Когда проверяющие (сотрудники одного из государственных органов) рассказали руководителю о результатах своей работы, он впервые усомнился в надежности принятых им процедур контроля. Это малоприятное открытие заставило его провести специальную проверку, в результате приглашенные для этой цели консультанты обнаружили недостатки в организации работы депозитария, самыми невинными из которых были банальные ошибки в документах, допущенные по невнимательности сотрудников и никем до этого не выявленные. В случае появления судебных исков депозитарию пришлось бы произвести огромные выплаты. Реакция руководителя депозитария была предельно жесткой: "В следующий раз вы здесь не встретите кое-кого из наших сотрудников ", - сказал он на прощание консультантам.
Чтобы избежать подобных досадных "открытий" и "силовых" решений, нужно прежде всего провести диагностический анализ системы внутреннего контроля, включающий изучение уже существующей системы, выявление рисков и подготовку рекомендаций по дальнейшему совершенствованию контроля.
Следующий этап - подготовка отчета, соответствующего Положению об аудиторских стандартах N70. Этот отчет, называемый SAS-70, является общепринятым руководством по оценке состояния и эффективности систем внутреннего контроля компании.
Ведение подобной отчетности рекомендуется таким компаниям, как, например, трастовые подразделения банков и страховых компаний, ипотечные компании, депозитарии и организации, предоставляющие услуги по обработке информации. Работа по подготовке SAS-70 позволит руководству получить важную информацию об уже существующих системах внутреннего контроля, а сам отчет станет одной из главных составляющих эффективной стратегии.
После завершения работы над отчетом самое время провести анализ организационной структуры, начиная с анализа распределения полномочий между заместителями руководителя компании и заканчивая самыми маленькими структурными единицами организации. Это поможет выявить и детализировать основные риски "сверху донизу ".
И наконец, последним по порядку, но отнюдь не по значимости действием должна стать организация эффективной работы подразделений внутреннего аудита и управления рисками. Необходимо правильно поставить цели и задачи этим подразделениям, подобрать высококвалифицированных сотрудников и разработать детальные процедуры их работы, а также утвердить стратегию развития этих подразделений в целом.