Во многих компаниях комплаенс воспринимается как пункт календаря: приближается аудит, начинается подготовка, собираются документы, процесс закрывается, и жизнь продолжается. Изъян такого подхода в том, что аудит смотрит назад. После объявления проверки количество того, что ещё можно исправить задним числом, весьма невелико. Поэтому внутренний контроль — не подготовительное мероприятие, а постоянно работающая система.
Контроль — вопрос проектирования, а не недоверия
При словах внутренний контроль первым делом вспоминают уровни согласования и количество подписей. Между тем хорошо спроектированная система контроля не замедляет работу, а обеспечивает выявление ошибки там, где она обходится дёшево. Ошибка в платеже, обнаруженная на этапе согласования, исправляется почти бесплатно; та же ошибка, всплывшая через три месяца при сверке, стоит и денег, и репутации.
Поэтому при проектировании контроля вопрос звучит не сколько нужно подписей, а в каком месте процесса ошибку дешевле всего поймать. Ответ обычно не в дополнительном согласовании, а в более ранней проверке.
Незадокументированный процесс — это отсутствующий процесс
Многие механизмы контроля в компании реально работают, но существуют только в головах конкретных сотрудников. Пока эти люди на местах, система выглядит надёжной. Когда один из них уходит, порядок работы контроля, распределение проверок и обработка исключений превращаются в область, которую никто не знает целиком.
Именно это и изучает аудитор: не наличие контроля, а возможность подтвердить, что он применялся последовательно. Выполненный, но не задокументированный контроль с точки зрения аудита считается невыполненным.
Аудит измеряет не то, что вы сделали, а то, что вы можете подтвердить.
Из чего состоит постоянно работающая система соответствия
- Процессы и контрольные точки описаны письменно, актуальны и доступны
- Разделение полномочий: согласование, исполнение и учёт закреплены за разными людьми
- Порядок работы с исключениями определён заранее и фиксируется при возникновении
- Регулярный внутренний пересмотр и отслеживание выявленного по списку с ответственным
- Механизм отслеживания изменений законодательства и их переноса в процессы
У работы над соответствием есть побочный эффект, которого большинство компаний не ожидает: по мере того как процессы становятся письменными, операции ускоряются. Когда ясно, кто и что делает и когда, ожидание сокращается. В SAFARI CONSULTING мы подходим к внутреннему контролю и подготовке к аудиту именно так, выстраивая соответствие как работающий порядок, а не как нагрузку.