Юлия Хачатурян, генеральный директор Nika, risk plan

Статья опубликована в журнале «Справочник экономиста» в 2022 году

Из этой статьи вы узнаете:

для чего необходим внутренний контроль организации,
из каких элементов он состоит,
как осуществляется оценка рисков в организации.

Экономические причины, по которым внутренний контроль необходим организации

Обязанность хозяйствующих субъектов осуществлять внутренний контроль совершаемых фактов хозяйственной жизни установлена статьей 19 Федерального закона «О бухгалтерском учете» от 06.12.2011 № 402-ФЗ. Но осуществлять внутренний контроль в организации стОит не только потому, что соответствующее требование есть в законодательстве, но и потому что это является ее насущной потребностью. С экономической точки зрения, основными задачами деятельности любой организации являются достижение определенных достижение финансовых и операционных показателей и сохранность активов. Основным таким показателем, безусловно, является прибыль.

Если речь идет о коммерческой организации, то можно сказать, что если ее прибыль из года в год растет – то, значит, компания, достаточно успешно ведет свою деятельность. Напомним, что в соответствии со ст. 50 ГК РФ, коммерческие организации – это юридические лица, которое преследующие извлечение прибыли в качестве основной цели своей деятельности. Они могут быть как государственными, так и негосударственными.

Учитывая, что согласно той же статье 50 ГК РФ, некоммерческие организации не ставят основной целью извлечение прибыли, для определения успешности их работы с экономической точки зрения, можно ориентироваться на другие показатели – например, увеличение объема проданных услуг, финансовую стабильность и т.д.

Экономические показатели организации могут ухудшиться по причинам, которые формально можно разделить на две группы:

внешние;
внутренние.

Например, резкое изменение курса валют, мировой финансовый кризис, пандемия являются внешними причинами, негативно влияющими на стабильность работы организации. Если же производство терпит потери из-за того, что:

его работники выносят с предприятия все, что плохо лежит;
или на организацию постоянно накладывают штрафы контролирующие органы из-за того, что бухгалтерия или кадровая службы забывают сдавать отчеты;
или менеджер по закупкам приобретает некачественное оборудование, на ремонт которого уходят немалые деньги, так как берет откаты

— то, безусловно, причинами возникающих у компании проблем, являются внутренние.

Почему причины, по которым могут ухудшиться экономические показатели организации, делятся на внешние и внутренние весьма условно?

Вспомним март-август 2020 года. Пандемия ознаменовалась локдауном и снижением покупательской способности населения. Предугадать данный сценарий развития событий было несложно. 30 января 2020 года ВОЗ объявила о чрезвычайной ситуации в области общественного здравоохранения, имеющей международное значение. Россия не была первой страной, куда пришел коронавирус. Все знали о том, какие меры предпринимаются в других странах, чтобы замедлить развитие эпидемии.

Руководство некоторых российских организаций уже в феврале продумывало план действий на случай негативного развития событий. В других же компаниях над вопросом: «Что делать в кризисной ситуации?» задумались только тогда, когда по телевизору было официально объявлено о локдауне.

Выиграли в итоге те организации, которые смогли оперативно перестроить свою работу и предложить потребителям то, что необходимо в коронавирус – например, услуги по курьерской доставке.

Условно говоря, все негосударственные компании, с точки зрения их способности минимизировать негативные последствия пандемии можно поделить на три группы:

те, кто оказался готов к негативным последствиям пандемии и нашел возможности для зарабатывания денег организацией в изменившихся условиях (т.е. заранее подготовились к работе в условиях пандемии);
те, кто просчитал негативные последствия пандемии заблаговременно, но в силу особенностей бизнеса не смог перестроить его таким образом, чтобы сгладить негативные последствия;
те, кто понял, что пандемия пришла в Россию только в самый последний момент.

Очевидно, что причинами бед организаций, входящих в третью группу, являются не только внешние, но и внутренние — отсутствие специалистов, которые могут просчитать возможные внешние риски и предложить пути их минимизации.

При отсутствии внутреннего контроля в организации ее экономические показатели всегда будут хуже, чем при его наличии, она будет нести убытки из-за действий недобросовестных работников, например, и может не получить доходы, на которые могла бы рассчитывать.

Пример 1. Директор организации, занимающейся ремонтом, не являлся ее учредителем. Каждому потенциальному клиенту, обратившемуся в нее, он советовал поручить ремонт другой фирме (владельцем которой был брат директора), в которой, с его слов, цены гораздо дешевле. В сговоре с недобросовестным директором организации были два наемных менеджера, которые вели аналогичную агитационную деятельность среди заказчиков. Таким образом, выручка, которую должна была получать эта компания, оказывалась выручкой фирмы близкого родственника директора, которому не приходилось тратиться на рекламу, чтобы привлечь новых клиентов. В случае наличия в организации, где трудился недобросовестный директор, внутреннего контроля, таких потерь удалось бы избежать.

Что такое внутренний контроль?

Министерство Финансов РФ в Информации N ПЗ-11/2013 «Организация и осуществление экономическим субъектом внутреннего контроля совершаемых фактов хозяйственной жизни, ведения бухгалтерского учета и составления бухгалтерской (финансовой отчетности)» (далее по тексту – Информация N ПЗ-11/2013) дает следующее определение внутреннего контроля.

Внутренний контроль — процесс, направленный на получение достаточной уверенности в том, что экономический субъект обеспечивает:

а) эффективность и результативность своей деятельности, в том числе достижение финансовых и операционных показателей, сохранность активов;
б) достоверность и своевременность бухгалтерской (финансовой) и иной отчетности;
в) соблюдение применимого законодательства, в том числе при совершении фактов хозяйственной жизни и ведении бухгалтерского учета.

Иначе говоря, задачами внутреннего контроля является не только достижение организацией определенных экономических показателей и сохранность активов, о чем я писала в первой части статьи, но и обеспечение корректного ведения бухгалтерского учета и соблюдение законодательства компанией.

Самостоятельные ли это задачи или они взаимосвязаны друг с другом?

Пример 2 Допустим,данные бухгалтерского учета не позволяют достоверно определить остаточную стоимость основных средств организации. Работник сотрудников ломает производственный станок после окончания рабочего дня. В соответствии с пунктом 8 ст.243 ТК РФ работник в этом случае несет полную материальную ответственность за прямой действительный ущерб, причиненный организации. Иначе говоря, он должен выплатить фирме действительную стоимость станка, если тот не подлежит ремонту. Но, если данные бухучета не позволят бухгалтеру определить стоимость станка – то вряд ли организация сможет взыскать ущерб с работника. Значит, она понесет убытки и получит меньшую прибыль, чем ту, на которую могла бы рассчитывать, если бы данные бухучета отражали реальную стоимость активов.

Этот пример демонстрирует, что первая и вторая задачи внутреннего контроля связаны между собой. Искажение данных бухучета организации будет мешать ей достигнуть высок экономических показателей.

Третья задача тоже связана с первой. Нарушение законодательства зачастую влечет необходимость для организации заплатить штрафы, выплатить компенсации пострадавшим от неправомерных действий организации лицам и т.д. А, значит, и прибыль организации уменьшится на соответствующие суммы.

Можно ли создать совершенную систему внутреннего контроля в организации?

В организации можно создать оптимальную систему внутреннего контроля. Но обеспечить такой внутренний контроль при которой персонал не будет, например, по забывчивости (или умышленно) выносить канцелярские товары из организации или, наоборот, никто не совершит крупного мошенничества – невозможно. И для этого есть, как минимум, две причины:

Во-первых, любую систему внутреннего контроля можно обойти путем сговора трех сотрудников. Естественно, речь идет не о трех произвольно взятых работниках организации, а о тех из них, которые так или иначе ограничивают полномочия друг друга.

Пример 3. Организации предлагается заключить крупную, но опасную сделку. Ее риски должны оценить главный инженер, финансовый директор и юрист. Каждый из этих сотрудников получил некую денежную сумму от контрагента, заинтересованного в подписании договора, достаточную для того, чтобы закрыть глаза на риски.

Во-вторых, разработка и внедрение системы внутреннего контроля требует осуществления определенных затрат. Поэтому если потери от отсутствия контроля в какой-то сфере работы предприятия незначительны, считается, что контролем в этой сфере можно пренебречь.

Пример 4. Не стоит заставлять охрану просматривать видео, снятые на камеры, установленные внутри организации, чтобы выяснить, кто унес шариковую ручку или карандаш.

Вышеописанной позиции придерживаются западные школы внутренних аудиторов. Минфин России также считает, что внутренний контроль организации может оказаться не столь эффективным, как этого бы хотелось, по трем причинам:

а) в силу изменений экономической конъюнктуры или законодательства, возникновения новых обстоятельств вне сферы влияния руководства организации;
б) из-за превышения должностных полномочий руководством или иным персоналом компании, включая сговор персонала;
в) из-за возникновения ошибок в процессе принятия решений, осуществления фактов хозяйственной жизни, ведения бухучета, в том числе составления бухгалтерской отчетности.

Элементы внутреннего контроля

Внутренний контроль состоит из пяти элементов:

· контрольной среды (совокупности принципов и стандартов деятельности организации);
оценки рисков;
процедур внутреннего контроля;
· информации и коммуникации;
оценки внутреннего контроля.

Остановимся на некоторых из этих элементов более подробно.

Оценка рисков.

В первой части статьи мы рассказывали о причинах, по которым организация может не достигнуть тех экономических показателей, которых могла бы и хотела достигнуть.

Причина недостижения организацией экономических показателей…

Например, менеджер отдела закупок получил откат и приобрел для организации плохое оборудование, в связи с чем она вынуждена осуществлять лишние траты на его ремонт. Кроме того, пока оборудование стоит, организация не производит изделия, благодаря продаже которых компания получает выручку.

Риск

Теперь представим себе, что менеджер еще не взял откат за покупку плохого оборудования. Но гипотетически лицо, занимающее соответствующую должность, может это сделать. В таком случае мы говорим о том, что существуют риски того, что менеджер по закупкам будет совершать злоупотребления.

Задача того, кто участвует в разработке системы внутреннего контроля, минимизировать такие риски, сделать так, чтобы у менеджера было как можно меньше возможностей поддаться соблазну. Для этого существуют разные способы, о которых мы расскажем чуть позже.

Риски, с которыми может столкнуться организация, многообразны и могут быть связаны и с персоналом, и с контрагентами, и с иными субъектами, с которыми организация взаимодействует.

Пример 5 (Риски, связанные с персоналом).

Если организация оплачивает обучение сотрудников – есть риск того, что некоторые из них, не отработав после окончания обучения срок, продолжительность которого указана в ученическом договоре, уволятся. Конечно, работодатель может обратиться в суд за взысканием средств, потраченных на обучение работников, с них. И, тем не менее, гарантии работодателю, что даже в случае выигрыша в суде организация сможет после исполнительного производства вернуть свои деньги – никто не даст. То есть, при худшем варианте развития событий для организации она фактически потеряет деньги, потраченные на обучение сотрудников. Кроме того, возможно, работодателю придется оплатить обучение новых сотрудников.

Пример 6. (Риски, связанные с контрагентом). Контрагент должен выполнить погрузо-разгрузочные работы для организации. В штате контрагента для выполнения этой работы нет достаточного числа специалистов, но подрядчик обещает привлечь недостающий для работы персонал по гражданско-правовому договору. Однако свое слово он не сдерживает и присылает для осуществления погрузочно-разгрузочных работ людей, которые официально не оформлены в компании-подрядчике.

Приехавшие с выездной налоговой проверкой представители ФНС, доначисляют налог на прибыль организации на основании ст. 54.1 НК РФ со ссылкой на то, что контрагент не мог выполнить своими силами такой объем работ, а третьих лиц он к выполнению заказа не привлекал.

Соответственно, одним из первых этапов при создании системы внутреннего контроля, будет определение всех рисков, которые могут возникнуть в деятельности организации. Для этого предварительно описывают бизнес-процессы организации. Затем их рисуют в виде схемы. После этого следует определить, какие риски присущи тому или иному бизнес-процессу организации.

Следующий шаг — необходимо определить причину возникновения каждого риска и дать качественную и количественную оценку рискам, т.е. оценить:

вероятность наступления негативных событий;
последствия (в том числе экономические) реализации каждого риска.

Определение последствий предполагает ответ на вопрос: Что будет, если самые худшие ожидания оправдаются?

Как правило, для того, чтобы систематизировать данную информацию, составляют матрицу рисков, в которую в табличной форме заносят следующие сведения:

а) описание риска
б) наименование области или процесса, который подвержен риску
в) количественную и качественную оценку риска

Для того, чтобы выявить все возможные риски и дать правильную оценку им, на практике используют различные методы. Например, метод «Дельфи». Суть его применения при оценке рисков организации состоит в следующем. Нескольким экспертам предлагают описать риски той или иной ситуации и оценить их величину. Ни один из экспертов не подписывает свое заключение. Таким образом, никто не знает, кто из специалистов, оценивавших ситуацию, какую точку зрения высказал. Затем отбираются два экспертных заключения, которые отражают две крайние точки зрения на проблему и с ними знакомят всех «оценщиков». Эта процедура помогает специалистам, которые не увидели каких-то рисков ситуации или недооценили их, пересмотреть свои позиции с учетом новой информации. И, наоборот, те эксперты, которые видели все в черных тонах, возможно, поймут, ознакомившись с заключением, автор которого считает, что риски незначительны, что все не так печально. После этого эксперты вновь пишут заключения, а затем вновь отбираются те два из них, в которых отражены крайние позиции и с ними знакомят других специалистов. Так делается несколько раз, пока эксперты не придут к одному знаменателю.

Пример 7

В сеть крупных фитнес-центров тренеров принимают на работу по гражданско-правовому договору. Для оценки величины рисков переквалификации договоров с тренерами в трудовые в качестве экспертов приглашают трех юристов предприятия, начальника кадровой службы и его заместителя, налогового консультанта. Эксперты высказывают свою точку зрения относительно того, почему гражданско-правовые договоры в данном конкретном случае могут быть переквалифицированы в трудовые, какова вероятность переквалификации, с какими негативными последствиями в случае переквалификации столкнется организация.

Затем руководство организации принимает решение, что оно будет делать с рисками того или иного вида. Риски можно попытаться устранить; минимизировать; подстраховаться на случай возникновения неприятной ситуации или принять риски на себя, то есть просто смириться с их наличием. В каких случаях последняя тактика оправдана? Например, если потери при неблагоприятном сценарии развития событий будут невелики или минимизировать риски невозможно. Минимизируют, как правило, наиболее существенные риски организации.

После этого, как правило, на основе Матрицы рисков составляют Матрицу процедур внутреннего контроля. Помимо граф, которые были в Матрице рисков в Матрицу процедур добавляются следующие:

наименование и описание процедуры внутреннего контроля, с помощью которой будут минимизированы последствия риска;
исполнитель процедуры внутреннего контроля;
периодичность осуществления процедуры внутреннего контроля;
документы (на основании которых осуществляется процедура внутреннего контроля).

При желании организация может дополнить этот документ и другими сведениями.

Процедуры внутреннего контроля —

это действия, направленные на минимизацию рисков организации. Существует достаточно обширный арсенал процедур внутреннего контроля. В этой статье мы рассмотрим лишь три из них:

санкционирование сделок и операций, обеспечивающее подтверждение правомочности совершения их.

Пример 8. Менеджер по закупкам должен осуществить покупку оборудования. Требования, которым оно должно соответствовать, описаны в технической заявке. Санкционирование сделки осуществляется главным инженером. В том случае, если недобросовестный менеджер по закупкам, получив вознаграждение от компании-продавца, решится на закупку плохого товара, договор из-за отсутствии визы главного инженера просто не будет подписан.

разграничение полномочий и ротация обязанностей.

Как правило, лица, осуществляющие мошеннические действия в организации, не любят уходить в отпуск или болеть. За время их отсутствия и замены их другими сотрудниками их правонарушения могут вскрыться. Чтобы минимизировать риски совершения мошеннических действий сотрудниками организации применяют такую процедуру внутреннего контроля как ротация.

Пример 9. Менеджера по закупкам производственного оборудования на какой-то период переводят на работу менеджером по закупкам мебели и иных товаров для офиса.

процедуры контроля фактического наличия и состояния объектов, в том числе физическая охрана, ограничение доступа, инвентаризация.

Следующим элементом внутреннего контроля является информация и коммуникация.

Как пишет Минфин в Информации N ПЗ-11/2013, «качественная и своевременная информация обеспечивает функционирование внутреннего контроля и возможность достижения им поставленных целей. Основным источником информации для принятия решений являются информационные системы экономического субъекта. Качество хранимой и обрабатываемой в них информации может существенно влиять на управленческие решения экономического субъекта, эффективность внутреннего контроля. Коммуникация представляет собой распространение информации, необходимой для принятия управленческих решений и осуществления внутреннего контроля. Например, персонал экономического субъекта должен быть осведомлен о рисках, относящихся к сфере его ответственности, об отведенной ему роли и задачах по осуществлению внутреннего контроля и информированию руководства.»

Последним элементом внутреннего контроля является его оценка.

Для проведения оценки можно пригласить как внешних консультантов, так и создать отдел внутреннего аудита в своей организации.

Документация

Порядок осуществления внутреннего контроля необходимо закрепить в его документах. Для этого можно разработать единый локальный нормативный акт, в котором будут собраны все нормы организации, которые касаются внутреннего контроля, а можно и соответствующие правила осуществления внутреннего контроля описать в разных документах организации: положениях, приказах и т.д.