• Причина «человеческий фактор» – удел ленивых и некомпетентных. Я всегда до упора отказываюсь указывать в качестве причин проблем человеческий фактор (халатность, умысел и т. д.). Логика проста – раз такому фактору позволили повлиять на ситуацию, значит, этому не препятствовал тот или иной контроль. Разумеется, в ряде случаев причиной негатива является именно человеческий фактор, однако не стоит легко скатываться к его использованию по поводу и без повода. Во многих ситуациях влияние человеческого фактора можно в значительной степени избежать. Однако аудитору надо быть готовым к тому, что российские управленцы склонны любой свой провал объяснять человеческим фактором. Они всегда с радостью готовы назначить крайнего, только бы не напрягаться по поводу процессного решения проблемы. Никто не хочет признать, что новый человек имеет как минимум такие же шансы повторить промах, если проблема не в нем, а в системе. Данный факт, несомненно, раздражает, однако такова реальность.

• Хороший отчет сообщает о том, чего пользователь не знает. Если аудитор догадывается о том, что его отчет не будет открытием для пользователей, у него есть шанс представить материал в альтернативном ракурсе. Также стоит иметь в виду один любопытный факт – соображающий управленец никогда не признается в том, что он чего-то не знал до аудиторского отчета. Особенно это касается компаний, в которых корпоративная культура носит садомазохистский характер, а высший менеджмент падок на карательные выходки. Кроме того, даже если отчет получился не сенсационным, всегда справедливо обратить внимание на то, что аудитор должен не только искать что-то новое, но и подтверждать существующие подозрения или позицию менеджмента в отношении того или иного вопроса. Просто не стоит увлекаться таким подтверждением.

• Нужно искать самый эффективный формат отчета – самый лучший формат будет у следующего отчета. Практика не приводит к совершенству, только совершенная практика приводит к совершенству[19]. Основное затруднение представляет то, что многие пользователи отчета не знают, что именно им нужно или больше подходит. В этом случае можно воспользоваться мудростью Стива Джобса, который говорил: «Часто люди не знают, чего хотят, пока им это не покажешь». При случае стоит подгрузить пользователя отчета по поводу полезности и целесообразности именно такого формата отчета. Однако необходимо понимать, что любой формат рано или поздно приедается. По этой причине и для поддержания интереса к отчетам внутреннему аудитору необходимо экспериментировать со структурой и форматом отчета.

• Размер имеет значение, но:

а) количество пунктов, чувство тяжести от документа в руке способствуют приливу гордости, но намного больший эффект на пользователей окажет расчет экономического эффекта. В большинстве случаев решающее значение имеет все-таки качество отчета, а не его размер;

б) на практике размер отчета часто обратно пропорционален вероятности адекватного исполнения приведенных в нем рекомендаций. Большинство отчетов так или иначе подвигают на перемены. Однако подавляющее большинство людей сопротивляются переменам, в разной степени, но все-таки сопротивляются. Поэтому чем меньше будет предложено перемен тем проще будет их реализовать на практике. Тем более если авторитет ПВА пока еще скромен.

• Неисполнение плана мероприятий означает фатальную дискредитацию внутреннего аудита в компании – репутация зарабатывается годами, а теряется за мгновения. Отчет – это только начало. Процесс разработки и, тем более, исполнения плана мероприятий часто задача намного более нетривиальная.

• Следите за знаками. Например, один из ключевых показателей востребованности работы ПВА – пользователи в активном ожидании отчета ПВА (вопросы о статусе, привязка ряда будущих управленческих решений к результатам отчета, руководство компании идет на выделение дополнительных ресурсов и т. д.). Часто только такие знаки и могут служить обратной связью в отношении полезности отчета ПВА. Обратная связь крайне важна для повышения качества отчетов.

• Ищите возможность для получения обратной связи по отчету. В первую очередь это касается обратной связи от представителей объекта аудита. По сути, перед отправкой отчета пользователям он должен пройти как минимум одно рассмотрение у представителей объекта аудита. В первую очередь это необходимо для обеспечения контроля качества отчета, т. к. представители объекта аудита заинтересованы в минимизации отраженного в нем негатива. С технической точки зрения до получения такой обратной связи отчет правильнее называть проектом отчета, после получения и внесения необходимых корректировок – финальным отчетом.

В отчете внутренний аудитор описывает недостатки и предлагает подходы к их устранению. Подходы обычно описываются в разделе «Рекомендации». В зависимости от уровня профессиональной подготовки аудитора рекомендации могут быть как весьма детальными и практичными (например, детальное описание процедуры), так и весьма абстрактными (например, шедевры из серии «усилить контроль…» или «повысить исполнительскую дисциплину…»). Правильный внутренний аудитор должен прилагать максимум усилий для минимизации абстракций. Правильные рекомендации не только отвечают на вопрос «что?», но и содержат ответ на вопрос «как?». Для формирования правильных рекомендаций внутренний аудитор обычно проводит множество обсуждений вариантов устранения недостатков как во время работы в поле, так и в процессе формирования отчета (до момента формирования финального отчета). Таким образом, в разделе «Рекомендации» внутренний аудитор указывает свою позицию по управлению теми или иными недостатками, которая в той или иной степени согласована с позициями прочих заинтересованных сторон (в первую очередь с руководством объекта аудита).

В большинстве случаев количество и содержание рекомендаций в отчете отличаются от количества и содержания рекомендаций в плане мероприятий. Основная причина расхождений в том, что в силу различных причин не все рекомендации внутреннего аудитора попадают в план мероприятий. В условиях российской школы менеджмента ситуация с планом мероприятий превращается в парадокс. С одной стороны, в соответствии с международными стандартами внутреннего аудита именно менеджмент объекта аудита несет ответственность за управление рисками, внутренний аудит лишь помогает в организации или улучшении процессов управления рисками. В крайнем случае менеджмент может вообще ничего не делать, а просто, как говорится, принять на себя риск. С другой стороны, если российскому менеджменту дать право самому определять, что делать, а что нет, в большинстве случае в числе последнего окажутся рекомендации аудитора. В связи с этим в российских условиях наиболее правильным представляется подход, когда внутренний аудит при формировании плана мероприятий действует более декларативно и самостоятельно, чем это предписывается международными стандартами. Декларативность в основном проявляется в принуждении к включению рекомендаций в план мероприятий, в том числе при административной поддержке высшего руководства и/или пользователей отчета. Самостоятельность в целом проявляется в том, что ряд мероприятий внутренним аудиторам лучше выполнять самостоятельно при участии представителей объекта аудита, чем полагаться исключительно на сотрудников объекта аудита.