Юлия Хачатурян, генеральный директор Nika, risk plan

Статья опубликована в журнале «Кадровые решения». 2022

Из этой статьи вы узнаете ответы на следующие вопросы:

• Что такое внутренний контроль?
• Для чего он необходим организации?
• Как организовать систему внутреннего кадрового контроля в организации и минимизировать риски, связанные с работниками?

Что такое внутренний контроль?

Министерство Финансов РФ в Информации N ПЗ-11/2013 «Организация и осуществление экономическим субъектом внутреннего контроля совершаемых фактов хозяйственной жизни, ведения бухгалтерского учета и составления бухгалтерской (финансовой отчетности)» (далее по тексту – Информация N ПЗ-11/2013) дает следующее определение внутреннего контроля.

Внутренний контроль — процесс, направленный на получение достаточной уверенности в том, что экономический субъект обеспечивает:

• эффективность и результативность своей деятельности, в том числе достижение финансовых и операционных показателей, сохранность активов;
• достоверность и своевременность бухгалтерской (финансовой) и иной отчетности;
• соблюдение применимого законодательства, в том числе при совершении фактов хозяйственной жизни и ведении бухгалтерского учета.

Для чего организации необходим внутренний контроль?

Осуществлять внутренний контроль в организации следует не только потому, что соответствующее требование есть в законодательстве (см. ст. 19 закона от 06.12.2011 № 402-ФЗ), но и потому что это является ее насущной потребностью.

Внутренний контроль, что очевидно из его определения, позволяет организации решить три основные задачи:

• Правовую: обеспечить соблюдение организацией действующего законодательства и локальных нормативно-правовых актов,

• Управленческо-бухгалтерскую: гарантирует качество внутренней и внешней отчетности.
• Экономическую: получить прибыль, обеспечив стабильное развитие компании и минимизировав возможные потери, сохранить активы.

При отсутствии внутреннего контроля в организации ее экономические показатели всегда будут хуже, чем при его наличии. Так, например, она будет нести убытки из-за действий недобросовестных работников и может не получить доходы, на которые могла бы рассчитывать

Пример 1.

Директор организации, занимающейся ремонтом, не являлся ее учредителем. Каждому потенциальному клиенту, обратившемуся в нее, он советовал поручить ремонт другой фирме (владельцем которой был брат директора), в которой, с его слов, цены на подрядные работы гораздо ниже.  В сговоре с недобросовестным директором организации были два наемных менеджера, которые вели аналогичную агитационную деятельность среди заказчиков. Таким образом, выручка, которую должна была получать эта компания, оказывалась выручкой фирмы близкого родственника директора, которому не приходилось тратиться на рекламу, чтобы привлечь новых клиентов. В случае наличия в организации, где трудился недобросовестный директор, внутреннего контроля, таких потерь удалось бы избежать.

Как соотносятся внутренний контроль всей организации с внутреннем контролем по кадровому направлению?

Внутренний контроль всей организации условно можно разделить на внутренний контроль по отдельным направлениям, одним из которых является направление, связанное с персоналом, соблюдением трудового законодательства и работой кадровой службы (далее по тексту – «внутренний кадровый контроль»). Т.е. внутренний кадровый контроль -часть внутреннего контроля организации.

Пример 2.

Одной из задач внутреннего контроля является обеспечение соблюдение действующего законодательства и локальных нормативно-правовых актов. Внутренний кадровый контроль позволяет обеспечить соблюдение нормативно-правовых актов в области трудового права.

Пример 3.

Другой задачей внутреннего контроля является экономическая (обеспечение прибыли, сохранение активов). Экономические показатели организации могут ухудшиться по причинам, которые можно разделить на две группы:

• внешние (пандемия, санкции, изменение курса валют и пр.)
• внутренние. Так, производство может терпеть убытки (или просто осуществлять траты, которых можно было бы избежать) из-за того, что его работники выносят с предприятия все, что плохо лежит; или менеджер по закупкам приобретает некачественное оборудование, на ремонт которого уходят немалые деньги, так как берет откаты, или на организацию накладывают штрафы из-за ошибок кадровой службы и т.д.

Внутренний кадровый контроль может помочь полностью или частично устранить внутренние причины ухудшения экономических показателей предприятия.

Пример 4.

Еще одной задачей внутреннего контроля является обеспечение достоверности и своевременности финансовой и иной отчетности. Для достижения этой задачи необходимо в том числе и правильно определить размер задолженности работников перед организацией:

• работник может причинить вред имуществу работодателю,
• пройти обучение за счет работодателя и уволиться, не отработав положенный срок,
• работнику могут быть выплачены излишние денежные суммы.

Для правильного определения величины задолженности работника надо разобраться, действительно ли, согласно действующему трудовому законодательству, работник должен компенсировать работодателю ущерб и в каком размере.  

Как внутренний кадровый контроль связан с иными видами внутреннего контроля?

Представим себе, что кадровая служба в организации отлично работает, не совершает ошибок, в ней налажен контроль за соблюдением действующего трудового законодательства. Однако, внутренний контроль по другим направлениям не осуществляется. Или, предположим обратную ситуацию – эффективный внутренний контроль отсутствует только в кадровой службе. К чему это может привести? Разберемся на конкретном примере.

Пример 5.

Работник ломает производственный станок после шести часов вечера (фактическое окончание рабочего дня). В соответствии с пунктом 8 ст.243 ТК РФ сотрудник в этом случае (так как ущерб причинен вне рабочее время) несет полную материальную ответственность за прямой действительный ущерб, причиненный организации.  Иначе говоря, он должен выплатить фирме действительную стоимость станка, если тот не подлежит ремонту.

Вариант 1. Из-за того, что внутренний контроль по кадровому направлению налажен плохо, в кадровых документах – бардак. В трудовом договоре написано, что рабочий день заканчивается в 19.00, в локальных-нормативных актах, в том числе в Правилах внутреннего трудового распорядка – в 18.00 или наоборот, возможна ситуация, когда в трудовом договоре указано окончание рабочего дня — 19.00, а в ЛНА – 18.00.  И в первом, и втором случае из-за путаницы в кадровых документах работник может доказать, что причинил ущерб работодателю в рабочее время и получить с сотрудника полную стоимость станка – не получится. Он будет нести ограниченную, а не полную материальную ответственность.

Вариант 2.  Внутренний контроль по кадровому направлению налажен отлично, в отличие от внутреннего контроля бухучета. Если остаточная стоимость станка будет занижена из-за погрешностей в бухучете – то организации будет сложнее взыскать ущерб с работника. Конечно, можно привлечь оценщика для оценки стоимости станка, но оплата его услуг тоже является дополнительными тратами для организации.

Этот пример демонстрирует, что все локальные направления внутреннего контроля связаны между собой.  И если одно направление развито отлично, а другое плохо – в целом состояние системы внутреннего контроля организации можно оценивать как неудовлетворительное.

Как задачи внутреннего контроля связаны между собой?

Задачи внутреннего контроля связаны между собой. Так, например, нарушение трудового законодательства зачастую влечет необходимость для организации заплатить штрафы. А, значит, и бухгалтерская прибыль организации уменьшится на соответствующие суммы. А искажение данных учета организации (см. Пример 5) может мешать ей взыскать причиненный работниками предприятия ущерб, что негативно скажется на экономических показателях. 

Как организовать систему внутреннего кадрового контроля в организации?

Создание системы внутреннего контроля, в том числе кадрового, начинается с формирования (или проверки наличия) элементов внутреннего контроля. Их, согласно Информации N ПЗ-11/2013, всего 5. Это:

• Ø  контрольная среда (совокупности принципов и стандартов деятельности организации);

• оценка рисков;

• Ø  информация и коммуникация;
• оценка внутреннего контроля.

Остановимся более подробно на каждом из этих элементов.

• Элемент 1 внутреннего контроля — контрольная среда (совокупность принципов и стандартов деятельности организации)

Например, в стандарты деятельности организации, связанные с персоналом, могут входить следующие:

• Недопущение мошенничества в организации.
• Создание действенной системы контроля за материальными активами организации. Наличие в организации эффективной и понятной системы привлечения работников к индивидуальной и коллективной материальной ответственности.
• Соблюдение действующего трудового законодательства. Своевременное ознакомление с изменениями трудового законодательства работников кадровой службы юридическим департаментом… 

• Элемент 2 внутреннего контроля — оценка рисков

Объясним вначале, что такое риски организации на конкретных примерах.

Пример 6. 

Если организация оплачивает обучение сотрудников – есть риск того, что некоторые из них, не отработав после окончания обучения срок, продолжительность которого указана в ученическом договоре, уволятся, а суд, куда обратится работодатель за взысканием средств, потраченных на обучение работников, его не поддержит.

Кроме того, в случае выигрыша работодателя в суде остаются риски того, что в процессе исполнительного производства вернуть свои деньги работодателю не удастся.

 То есть, при худшем варианте развития событий для организации она фактически потеряет деньги, потраченные на обучение сотрудников. Кроме того, возможно, работодателю придется оплатить обучение новых сотрудников.

Это и есть риски компании.

Пример 7.

Менеджер отдела закупок гипотетически может получить откат и приобрести для организации плохое оборудование, в связи с чем она будет вынуждена осуществлять лишние траты на его ремонт.  Кроме того, пока оборудование будет в нерабочем состоянии, организация не будет производить изделия, благодаря продаже которых компания получает выручку. Также, рабочим организации, которые будут ждать, пока оборудование заработает, необходимо будет оплатить время вынужденного простоя. Таким образом, организация получит меньше прибыли, чем могла бы.

Разберемся теперь, как работать с кадровыми рисками.

Общий алгоритм работы со всеми кадровыми рисками организации будет следующим. 

• 1. Первым этапом при создании системы внутреннего контроля, связанного с персоналом и возможным несоблюдением норм трудового права, будет определение всех кадровых рисков, которые могут возникнуть в деятельности организации. 
• 2. Следующий шаг — необходимо определить причину возникновения каждого риска и дать качественную и количественную оценку рискам, то есть оценить:
• вероятность наступления негативных событий;
• последствия (в том числе экономические) реализации каждого риска.

Определение последствий предполагает ответ на вопрос: что будет, если худшие ожидания оправдаются)?

• 3. Чтобы систематизировать эту информацию, составляют матрицу рисков, в которую в табличной форме заносят следующие сведения:
• а) описание риска,
• б) наименование области или процесса, который подвержен риску,
• в) количественную и качественную оценку риска.

Приведем пример качественной и количественной оценки риска.   

Продолжение Примера 7.  

• Денежная оценка риска:
• Возможные траты на ремонт составят 1 млн. рублей за год.
• Неполученная выручка от продажи непроизведенной в результате простоя оборудования продукции составит 5 млн. рублей за год.
• Оплата простоя – 3 млн. рублей за год.
• Сумма страховых взносов с фонда оплаты труда за простой – 900.000 рублей за год.
• Вероятность возникновения риска по десятибалльной шкале: 7 из 10-ти баллов.

Обратите внимание! Впоследствии важно оценить возможность минимизации выявленных рисков. Например, в описанном в Примере 7 случае можно сделать так, чтобы у менеджера по закупкам была минимальная мотивация поддаться соблазну. Для этого существуют разные способы. Так, система премирования может быть разработана с учетом следующих нюансов. Если у оборудования существенные поломки не по вине работников возникают в течение первых двух лет после ввода станков в эксплуатацию – квартальная (годовая  премия) менеджеру по закупкам не выплачивается.

Методы оценки рисков

Для того, чтобы выявить все возможные риски и дать правильную оценку им, на практике используют различные методы. Например, метод «Дельфи». Суть его применения при оценке рисков организации состоит в следующем. Нескольким экспертам предлагают описать риски той или иной ситуации и оценить их величину.  Ни один из экспертов не подписывает свое заключение. Таким образом, никто не знает, кто из специалистов, оценивавших ситуацию, какую точку зрения высказал. Затем отбираются два экспертных заключения, которые отражают две крайние точки зрения на проблему и с ними знакомят всех «оценщиков». Эта процедура помогает специалистам, которые не увидели каких-то рисков ситуации или недооценили их, пересмотреть свои позиции с учетом новой информации. И, наоборот, те эксперты, которые видели все в черных тонах, возможно, поймут, ознакомившись с заключением, автор которого считает, что риски незначительны, что все не так печально. После этого эксперты вновь пишут заключения, а затем вновь отбираются те два из них, в которых отражены крайние позиции и с ними знакомят других специалистов. Так делается несколько раз, пока эксперты не придут к одному знаменателю.

Пример 8

В сеть крупных фитнес-центров тренеров принимают на работу по гражданско-правовому договору. Для оценки величины рисков переквалификации договоров с тренерами в трудовые в качестве экспертов приглашают трех юристов предприятия, начальника кадровой службы и его заместителя, налогового консультанта. Эксперты высказывают свою точку зрения относительно того, почему договоры ГПХ в данном конкретном случае могут быть переквалифицированы в трудовые, какова вероятность переквалификации, с какими негативными последствиями в случае переквалификации столкнется организация.  

Что делать с рисками?

Затем руководство организации принимает решение, что оно будет делать с рисками того или иного вида. Риски можно попытаться:

• устранить;
• минимизировать;
• подстраховаться на случай возникновения неприятной ситуации
• или принять риски на себя, то есть просто смириться с их наличием.

В каких случаях последняя тактика оправдана? Например, если потери при неблагоприятном сценарии развития событий будут невелики или минимизировать риски невозможно. Минимизируют, как правило, наиболее существенные риски организации.

• Элемент 3 внутреннего контроля — процедуры внутреннего контроля

Процедуры внутреннего контроля — это действия, направленные на минимизацию рисков организации.

После составления Матрицы рисков на ее основе составляют Матрицу процедур внутреннего контроля.

Помимо граф, которые были в Матрице рисков, в Матрицу процедур добавляются следующие:

• наименование и описание процедуры внутреннего контроля, с помощью которой будут минимизированы последствия риска;
• исполнитель процедуры внутреннего контроля;
• периодичность осуществления процедуры внутреннего контроля;
• документы (на основании которых осуществляется процедура внутреннего контроля).

При желании организация может дополнить этот документ и другими сведениями.

Существует обширный арсенал процедур внутреннего контроля. В этой статье мы рассмотрим лишь три из них:

• 1. Санкционирование сделок и операций, обеспечивающее подтверждение правомочности совершения их.

Пример 9. Менеджер по закупкам должен осуществить покупку оборудования. Требования, которым оно должно соответствовать, описаны в технической заявке. Санкционирование сделки осуществляется главным инженером. В том случае, если недобросовестный менеджер по закупкам, получив вознаграждение от компании-продавца, решится на закупку плохого товара, договор из-за отсутствии визы главного инженера просто не будет подписан. 

• 2. Разграничение полномочий и ротация обязанностей.

Как правило, лица, осуществляющие мошеннические действия в организации, не любят уходить в отпуск или болеть. За время их отсутствия и замены их другими сотрудниками их правонарушения могут вскрыться. Чтобы минимизировать риски совершения мошеннических действий сотрудниками организации применяют такую процедуру внутреннего контроля как ротация.

Пример 10. Менеджера по закупкам производственного оборудования на какой-то период переводят на работу менеджером по закупкам мебели и иных товаров для офиса. (Впрочем, часто, чтобы минимизировать риски возникновения мошенничества, достаточно следить за тем, чтобы соблюдался график отпусков и работников своевременно отправляли отдыхать😊)

• 3. Процедуры контроля фактического наличия и состояния объектов, в том числе физическая охрана, ограничение доступа, инвентаризация.

Пример 11. Так, для минимизации рисков хищения работниками строительных материалов в организации-генеральном подрядчиком, используют такие методы как заключение договора о коллективной материальной ответственности, охрана строительной площадки, еженедельная инвентаризация материалов и пр.

• Четвертый элемент внутреннего контроля — информация и коммуникация

Как пишет Минфин в Информации N ПЗ-11/2013, говоря об информации и коммуникации, персонал экономического субъекта должен быть осведомлен о рисках, относящихся к сфере его ответственности, об отведенной ему роли и задачах по осуществлению внутреннего контроля и информированию руководства.

Пример 12

Так, в локальных нормативных актах может быть указана обязанность сотрудников кадровой службы сообщать руководству организации о рисках принятия тех или иных решений, связанных с персоналом.

• Последним, пятым, элементом внутреннего контроля является его оценка.

Для проведения оценки можно пригласить как внешних консультантов, так и создать отдел внутреннего аудита в своей организации.

• Обратите внимание!

Порядок осуществления внутреннего контроля необходимо закрепить в его документах. Для этого можно разработать единый локальный нормативный акт, в котором будут собраны все нормы организации, которые касаются внутреннего контроля, а можно и соответствующие правила осуществления внутреннего контроля описать в разных документах организации: положениях, приказах и т.д.

Можно ли создать совершенную систему внутреннего кадрового контроля в организации?

Итак, мы разобрались, как создать систему внутреннего кадрового контроля в организации. Может ли она быть совершенной и гарантировать работодателю отсутствие любых рисков?

Западные школы, в которых обучаются внутренние аудиторы, утверждают, что нет. В организации можно создать оптимальную систему внутреннего контроля. Но обеспечить такой внутренний контроль при которой работники не будут, например, по забывчивости (или умышленно) выносить канцелярские товары из организации или, наоборот, никто не совершит крупного мошенничества – невозможно.

И для этого есть, как минимум, две причины:

• Во-первых, разработка и внедрение системы внутреннего контроля требует осуществления определенных, а иногда и значительных затрат. Поэтому если потери от отсутствия контроля в какой-то сфере работы предприятия незначительны, считается, что контролем в этой сфере можно пренебречь.

Пример 13.

Не стоит заставлять охрану просматривать видео, снятые на камеры, установленные внутри организации, чтобы выяснить, кто унес шариковую ручку или карандаш. Тем более, не нужно проводить расследование с целью выявления виновных и привлечения их к материальной ответственности.

• Во-вторых, любую систему внутреннего контроля можно обойти путем сговора трех сотрудников. Естественно, речь идет не о трех произвольно взятых работниках организации, а о тех из них, которые так или иначе ограничивают полномочия друг друга.

Пример 14.  

Для приема рядовых работников в организации разработан стандартный шаблон договора, который не может быть изменен по желанию работника. Однако при приеме на должность заместителей генерального директора, кандидат имеет право внести изменения в договор, касающиеся объема его полномочий, размера компенсаций при увольнении и т.д. Поправки должны быть согласованы с финансовым директором, руководителем кадровой службы, начальником юридического отдела. Некоторые из поправок, которые были внесены новым заместителем руководителя организации в договор, явно создавали основу для его злоупотреблений. Но ему удалось найти свой подход к каждому из трех визирующих договор специалистов и те «не заметили» рисков.    

Пример 15. Организации предлагается заключить крупную, но опасную сделку. Ее риски должны оценить руководитель службы безопасности, финансовый директор и юрист.  Каждый из этих сотрудников получил некую денежную сумму от контрагента, заинтересованного в подписании договора, достаточную для того, чтобы закрыть глаза на риски.

Минфин России также считает, что внутренний контроль организации может оказаться не столь эффективным, как этого бы хотелось, по трем причинам:

• в силу изменений экономической конъюнктуры или законодательства, возникновения новых обстоятельств вне сферы влияния руководства организации;
• из-за превышения должностных полномочий руководством или иным персоналом компании, включая сговор персонала (см. Примеры 14-15);
• из-за возникновения ошибок в процессе принятия решений, осуществления фактов хозяйственной жизни, ведения бухучета, в том числе составления бухгалтерской отчетности.

Надеемся, что с помощью наших рекомендаций вам удастся создать оптимальную и действенную систему внутреннего контроля.