Правильность. Основной вопрос, на который нужно ответить для достижения данной цели контроля, – это «как?». Если для оценки обоснованности необходимо оценить соотношения, то для оценки правильности требуется сравнение с эталоном. Чаще всего контролируют правильность цифр. Обоснованность часто ситуативна, т. е. сейчас это обоснованно, а завтра нет. Правильность более универсальна, так как часто подчиняется общим правилам.
Полнота. Эта цель контроля при прочих равных условиях является, пожалуй, наиболее редкой. Чтобы оценить полноту, необходимо ответить на вопрос «есть ли что-то еще?». Контроль полноты может осложняться отсутствием точного представления о конечном значении. Контроль полноты относится исключительно к количественным характеристикам.
Своевременность. Основной вопрос, на который нужно ответить для достижения данной цели контроля, – это «когда?». Чтобы обеспечить своевременность, необходимо создать условия для того, чтобы конкретное событие произошло в конкретный момент. По этой причине понятие своевременности всегда связано либо с действием, либо с бездействием. Контроль своевременности – это прямой контроль порядка использования такого ключевого ресурса, как время.
Соответствие. Это довольно специфичная цель контроля. Отчасти она напоминает контроль правильности, однако при контроле соответствия в первую очередь обращают внимание на форму, а не на содержание. Соответствие часто означает именно внешнее, формальное соответствие. Оценить соответствие – значит ответить на вопрос «насколько?» или «в какой степени?».
Сохранность. Это также специфичная цель контроля. Контроль сохранности в первую очередь направлен на обеспечение физической целостности и сохранение исходных физических свойств объекта контроля. По этой причине в большинстве случаев контроль сохранности связан с понятиями, характеризующими движимое и недвижимое материальное имущество. Часто, чтобы оценить контроль сохранности, нужно ответить на вопрос «как?».
Может показаться, что шести базовых целей контроля маловато, особенно с учетом того, что они формируют практически исчерпывающий перечень целей контроля для любого процесса и любой системы. Однако не стоит забывать, что шесть целей контроля образуют 120 сочетаний. Это особенно важно в связи с тем, что на практике очень часто цели контроля присутствуют в различных сочетаниях. Например, при формировании параметров бюджета необходимо обеспечить как обоснованность параметров, так и их правильный расчет и подготовку к определенному моменту. Таким образом, в данном примере мы имеем сочетание трех целей контроля, а это приводит к созданию определенного дизайна сочетания контрольных процедур, который отличается от дизайна каждой контрольной процедуры в отдельности. Кроме того, не стоит забывать, что структура и содержание контроля очень сильно зависят от структуры и содержания объектов контроля, например процессов. А ведь даже одинаковые процессы могут сильно отличаться друг от друга в зависимости от различных факторов, например таких элементарных, как владельцы процессов.
Также хотелось бы обратить внимание на еще пару нюансов. Первый касается понятия «достоверность». Ряд аудиторов считают, что достоверность – это отдельная цель контроля. Однако она, по сути, всего лишь сочетание нескольких целей контроля – обоснованности, правильности, полноты и в меньшей степени своевременности.
Второй нюанс касается понятия «авторизация». В соответствии с определением, данным в Википедии, «авториза́ция (от англ. authorization – разрешение, уполномочивание) – предоставление определенному лицу или группе лиц прав на выполнение определенных действий; а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий». Классическим примером авторизации является подпись сотрудника на документе, согласующего осуществление определенных действий определенным лицом в будущем. В последнее время понятие авторизации все чаще ассоциируется с компьютерными программами, но суть от этого не меняется и заключается в том, что авторизация не является контролем, а в идеале представляет собой только свидетельство проведения определенного контроля. Однако нередко люди, осуществляющие авторизацию, не совсем представляют себе, какие именно контрольные действия они должны осуществить, а само построение процесса оставляет это им на откуп. По этой причине необходимо расшифровывать и уточнять, проведение каких контрольных действий и в каком объеме означает авторизацию.
Принцип пирамиды приоритетов
Данный принцип основывается на постулатах теории ограничений (Theory of Constraints). Одним из фундаментальных понятий теории ограничений является понятие так называемого бутылочного горлышка (bottleneck) или, другими словами, узкого места в процессе, мешающего достижению цели процесса. По аналогии в большинстве случаев набор контрольных процедур любого процесса может быть выстроен в пирамиду контрольных процедур, расставленных на основе их приоритета. Приоритет определяется способностью контрольной процедуры влиять на достижение целей процесса. Можно утверждать, что в каждом процессе существует одна-две ключевые контрольные процедуры, в отсутствие которых любые усилия по контролю процесса будут напрасны. Возьмем, например, процесс «Закупки». Он начинается с процедур формирования обоснованной потребности в закупках. Отсутствие или неэффективность контроля обоснованности на данном этапе ведет к формированию необоснованной потребности и ряду негативных последствий, таких как затоваривание складов (покупают больше, чем нужно, и не то, что нужно), воровство (если заказано больше, чем нужно, то можно часть заказанного получить только на бумаге), неэффективное расходование ресурсов (если заказали больше, чем нужно, то можно особо не экономить). Эти последствия можно отчасти нивелировать, например проводить более регулярные и масштабные инвентаризации с целью выявления невостребованных остатков ТМЦ и организации их реализации. Однако такие меры не имеют профилактического характера, влекут за собой дополнительные расходы и сами по себе обладают лишь определенной степенью надежности.
Основной вывод, который следует из данного принципа, заключается в том, что правильный аудитор должен всегда фокусировать свою деятельность на оценке контрольных процедур в порядке убывания их приоритетности. До тех пор пока не будут налажены ключевые контрольные процедуры процесса, процесс всегда будет работать с пониженным КПД, независимо от состояния менее приоритетных контрольных процедур. Конечно, в практике внутреннего аудита возникают ситуации, когда внутренние аудиторы не могут особо повлиять на структуру и содержание ключевых контрольных процедур (например, владельцы процесса на особом положении у владельца компании). В этом случае им необходимо способствовать созданию максимально действенных компенсирующих контрольных процедур, а также воспользоваться принципом охотника (см. далее). Однако в подавляющем большинстве случаев система компенсирующих контрольных процедур имеет ограниченный эффект и обычно связана с дополнительными затратами.
Принцип адаптивности системы контроля
Правильная система внутреннего контроля должна подстраиваться как к изменениям целей процессов, так и к изменениям их структуры и содержания. С течением времени значимость одних контрольных процедур может падать, а других – повышаться. Факты изменения процессов и/или их целей должны привлекать внимание аудитора. В таких случаях высока вероятность обнаружения расхождения между темпами изменения процесса и темпами изменения системы внутреннего контроля данного процесса.
