Система внутреннего контроля в организации: защищаем активы, укрощаем бизнес-риски, ловим нечестных сотрудников

Система внутреннего контроля: что это и какие задачи решает

Система внутреннего контроля (СВК) – это то, что делают собственники и сотрудники компании, чтобы:

Про важность внутреннего контроля написано в нормативке. В таблице показали, в какой именно и что.

Таблица 1. Внутренний контроль в организации: где про него в нормативке

СВК создают собственники и руководство, доводят до подчиненных и реализуют сообща. Если начальнику наплевать на внутренний контроль и он даже рад бардаку, потому что пользуется ресурсами компании для себя, – эффективной СВК не будет. Если среди сотрудников заведется враль, вор или бездельник – качество СВК опять просядет. Создание системы, которая пресекает злоупотребления и ошибки, – это общая забота всех, кто трудится в организации.

Элементы системы внутреннего контроля: пять блоков с контрольным функционалом

СВК включает пять элементов.

Чтобы СВК была эффективной, нужно организовать и поддерживать работу каждого из пяти элементов. Давайте разберемся, из чего они состоят и что будет, если «забить» на их качество.

Элемент 1. Контрольная среда, или начальство всему голова

Контрольная среда – это трансляция того, как правильно работать, идущая от собственников и начальства к подчиненным. Она определяющая в том, чтобы СВК в компании появилась и хорошо функционировала. Через систему правил руководитель говорит подчиненным: делайте так, иначе накажу эдак.

Из чего состоит элемент и когда эффективен

Принципы и стандарты контрольной среды охватывают пять направлений.

Первое – участие собственников в управлении бизнесом. В небольших компаниях собственник часто сам руководит компанией – создал ООО и всем там заправляет. В крупных организациях, таких как Газпром, собственников или акционеров много, но директор один. Причем для директорства ему не нужно быть собственником. Поэтому контролирующая роль собственников важна, прежде всего, в больших корпорациях. Сводится к проверке того, как руководство компании тратит деньги, которые акционеры вложили в бизнес. Чтобы это проверить, зовут независимых аудиторов, создают ревизионные комиссии из числа акционеров, запрашивают отчеты о финансово-хозяйственной деятельности.

Если в малом или среднем бизнесе выбрана такая же модель – один финансирует, другой управляет – тогда финансист должен контролировать управленца. Например, получить доступ к бухгалтерской системе, ежеквартально проверять отчеты о прибыли или утверждать планы продаж.

Набор контрольных инструментов может быть другим. О том, каким именно, нужно договориться в письменных соглашениях или регламентах. Если не прописать меры взаимного контроля, а потом не следовать им, директор может начать мухлевать и собственник из-за этого финансово пострадает.

Второе – этические принципы. В крупных компаниях их оформляют кодексами этики. Там пишут, как отвечать разгневанным клиентам, можно ли брать от них подарки и как накажут за мат на рабочем месте.

В мелких фирмах с кодексами не заморачиваются и обычно транслятором того, что можно, а чего нельзя, будет сам руководитель. Если он врет направо и налево, материт всех в хвост и гриву, а еще не скрывает неформальных отношений с секретарем, то это и будет примером поведения для сотрудников.

В общем, суть такая: если начальнику важна честность подчиненных, он сам должен быть таким. Если не может, тогда контрольная среда будет «хромой».

Третье – стиль управления. Можно замордовать работников микроменеджментом. А можно излишне поверить в их сознательность и в итоге заполучить неуправляемую толпу, решающую в рабочее время личные проблемы. Искусство управленца в том, чтобы отыскать что-то посередке – тот самый демократический стиль, при котором сотрудники самостоятельны, но не разнузданны.

Четвертое – оргструктура и распределение полномочий. Встречали компании, где куча народу, но даже простой вопрос решается неделями? А видели такие, где один бухгалтер тащит на себе плюсом работу кадровика, секретаря и даже юриста, потому что пишет претензии поставщикам и исковые в суд? Если встречали и видели, тогда по опыту знаете – в таких местах бардака больше, чем контроля.

В организациях с раздутым штатом на одно решение нужно сто подписей от всех начальников. Пока их соберешь, вопрос запросто утратит актуальность. А там, где все везет одна замученная «лошадка», временные проволочки и ошибки возникнут из-за усталости сотрудника и того, что его внимание распыляется на десятки вопросов.

И еще момент: когда работников мало, то в одних руках могут оказаться исполнение операций и контроль за ними. К примеру, главбух ведет кассу или снабженец заведует складом. Это плохо, потому что материально ответственных никто не проверяет. В таких ситуациях кассовая наличка может пойти на личные траты главбуха, а снабженец может подменить новые товары со склада старьем из своего дома.

Пятое – кадровая политика. На ключевые, а потому денежные позиции ставят некомпетентных родственников? Руководители отделов боятся за свое место, а потому выживают перспективную молодежь? Нормативка меняется по сто раз в год, но директор жалеет денег на курсы и профессиональную периодику? Тогда в компании останутся лишь бестолковые, старые и ни к чему не стремящиеся люди. Это не лучшее окружение для эффективной контрольной среды.

В идеале нужно так:

Что бывает, когда эффективность элемента проседает

Поучимся на чужих промахах, чтобы избежать их в своей контрольной среде. Вот три антипримера про ошибки начальства, которые снижали эффективность процессов в компании или даже приводили к денежным потерям.

Первый – «Я вам не доверяю». Соосновательница рекламного агентства Digital Bands Ева Кац раньше перепроверяла за сотрудниками тексты и баннеры для всех креативов. В итоге перегружала работой себя, лишала коллег мотивации и тормозила сдачу проектов клиентам, потому что без ее финального «Ок» реклама не запускалась. Ценой такого гиперконтроля были: уставший начальник, который закопался в рутине; замученные сотрудники, которые больше не верят в себя; падение дохода, которое вызвано долгими внутренними согласованиями.

Чтобы не потерять бизнес, Ева пересмотрела стиль управления. Разбила команду на проекты и передала ответственность за них вновь нанятым менеджерам. Свое участие свела к общению с ними и проверке результата рекламной кампании в целом.

Второй – «Верю вам, как себе». Директор компании из сферы интернет-торговли E-tiketka Арвидас Алутис налаживал дистанционную работу с коллегами и обжегся на излишнем доверии им. Кто-то отлично трудился в офисе, но, став удаленщиком, снизил продуктивность, взял в приоритет домашние дела и даже ходил по магазинам во время онлайн-совещаний.

Чтобы взбодрить сотрудников, Арвидас сделал вот что:

Третий – «Возьму на работу по блату». Директор «Сервисной логистической компании» Владимир Иевлев однажды взял на работу главбуха по знакомству. Этого человека порекомендовал сотрудник. И хотя он не казался лучшим на фоне еще двух претендентов с работного сайта, но выбрали его, потому что было неловко игнорировать рекомендацию. В итоге присоветованный главбух за пару лет накосячил так, что загнал бизнес в убытки. Увольняли его по итогам аудиторской проверки.

Теперь Владимир оценивает всех кандидатов в сотрудники одинаково – исходя из их профессионализма. Никакой форы у рекомендованных нет.

Что почитать про управление бизнес-процессами

Мы давно и много пишем про разные аспекты управления. Вот подборка материалов, которая может быть вам полезна. Посмотрите:

Элемент 2. Оценка рисков, или подкладываем соломку

С бизнес-рисками лучше работать на упреждение. Сперва проанализировали, где тонко. Потом придумали, как подлатать, чтобы не порвалось. Такой подход лежит в основе второго элемента СВК.

Из чего состоит элемент и когда эффективен

Элемент состоит из потенциальных рисков конкретного бизнеса. Эффективен, когда варианты их предотвращения срабатывают. Вот как это может быть.

Таблица 2. Примеры бизнес-рисков: какие бывают и что с ними делать

Если в компании вот так подстилают соломку, чтобы снизить остроту уже случившихся или еще не наступивших проблем, то со вторым элементом СВК все в порядке.

Что бывает, когда эффективность элемента проседает

И опять антипримеры. Сейчас про то, что не учли и где не подстраховались, а потому пришлось судиться, терять репутацию или деньги.

Первый – «Назовем бренд по-японски». «ЁбиДоёби» доставляет суши и роллы с 2016-го. На начало 2024-го сеть работает в 139 городах РФ. Выходит, бизнес давнишний, а бренд раскрученный.

Да, название явно на грани, но ведь когда-то чиновники зарегистрировали компанию именно с ним. А через шесть лет передумали – решили, что не соблюдаются моральные принципы из п. 5 ст. 1473 ГК РФ. Поэтому с 2022-го бизнес судится с налоговиками и дошел до Верховного суда. Судей из низших инстанций не убедил довод про то, что «ЁбиДоёби» – это не русский матюк, а перевод на японский для фразы «День недели – суббота».

Мораль: ветер перемен очень переменчив. То, что вчера казалось юморным, сегодня ломает скрепы, а потому подлежит устранению. Если не хотите бегать по судам и, возможно, терять имя компании, заранее просчитывайте риски.

Второй – «У нас появился клон». Надежный продавец техники с 20-летней историей стал получать требования о возврате денег за непоставленный товар. Однако таких покупателей в базе продавца не было, предоплата от них не поступала.

Оказалось, это ушлые дельцы зарегистрировали фирму с таким же названием, открыли счет в том же банке и создали сайт с аналогичным ассортиментом. Разница с предприятием-оригиналом была лишь в ИНН.

Покупатели по поиску выходили на надежную компанию – узнавали, что она существует давно, у нее много активов и ей можно верить. А за покупками шли в поддельный интернет-магазин, потому что у настоящей организации не было сайта.

Мошенники отправляли по заказам с сайта договоры и счета с реквизитами, в которых все было от оригинальной фирмы и лишь расчетный счет от клона. На него и поступали деньги обманутых клиентов. Так получалось, потому что банкиры сверяли только название и номер счета получателя, а ИНН игнорировали.

Честный бизнес понес репутационный ущерб. Чтобы такого не случилось, достаточно было:

Третий – «Хотели сохранить упрощенку». Собственники ООО, которое поставляло продукты питания в детсады, решили сэкономить на налогах. Компания превысила лимит по доходам для упрощенцев, но чтобы остаться на УСН, часть бизнеса отписали на ИП.

Этот ИП был одним из учредителей ООО. ИП и ООО заключали с детсадами аналогичные договоры – совпадали условия поставки, адреса доставки и порядок расчета. Первичку от ООО подписывал ИП. Продукты везли одним и тем же покупателям на машинах, арендованных у одного МУП. Товары лежали на одном складе, а отчетность сдавалась с одного IP. Налоговики справедливо увидели здесь дробление бизнеса и доначислили налоги на 7,4 млн руб.

Чтобы такого не происходило, нужно оптимизировать налоги с умом, изучая риски и выбирая законные подходы. О том, как это делать, мы писали в статьях:

Что почитать про бизнес-риски

Перевели деньги фирме-однодневке, написали на рекламном баннере «Мы лучшие», не вышли на среднеотраслевую рентабельность. За такое накажут банкиры с антимонопольщиками, а налоговики вызовут на беседу или придут «в гости». В разных статьях мы писали про эти риски. Почитайте наши публикации, чтобы уберечься от ненужных проблем:

Элемент 3. Информация и коммуникация, или без учета нет порядка

В этом элементе сидят все виды учета – бухгалтерский, налоговый, управленческий. А еще в нем живут информационные потоки: от руководства к сотрудникам с рабочими задачами, от сотрудников к руководству с отчетами о сделанном, от продавца к покупателями с ценами, от заказчиков к подрядчикам о сроках оплаты и т.п.

Из чего состоит элемент и когда эффективен

Составляющие элемента даны в его названии – это информация и коммуникация. Если информация оперативна и достоверна, а коммуникация не как в игре «Глухой телефон», то с этой частью СВК все хорошо.

Вот четыре основных блока «Информации и коммуникации».

Первый – сбор данных о фактах хозяйственной жизни в первичке. Первичные документы нужны для ведения бухучета и подсчета налогов. Они должны быть настоящими, а не фальшивыми; по реальным сделкам, а не по мнимым; по всем хозяйственным операциям, а не по каким-то избранным.

Задача СВК – отслеживать эти моменты. Если не отслеживать, то чеки в авансовых отчетах окажутся липовыми, поставщики в накладных – выдуманными, а часть операций пройдет «мимо кассы», к примеру, зарплата в конвертах.

В нынешние времена лучше так не химичить. Налоговики по плану на 2024-й должны собрать налогов на 14% больше, чем в 2023-м. А потому только дайте им повод придраться – обдерут как липку налоговыми доначислениями, штрафами и пенями.

Но если уже пришли обдирать, тогда вот вам в помощь наша статья «Выездная налоговая проверка: как встретить контролеров и чего ждать в процессе». В ней рассказали могут ли инспекторы осматривать помещения, вызывать на допрос и какие документы вправе запросить.

Второй – обработка первички в учетной программе. По отдельным накладным, приходным кассовым ордерам или банковским выпискам не узнать, как развивается бизнес и сколько налогов ему платить. Поэтому первичка обрабатывается в учетной программе – цифры из нее сводятся, чтобы подсчитать совокупные доходы, расходы, активы и долги.

Задача СВК – сделать так, чтобы учетная программа не сбоила, вовремя обновлялась, а сотрудники умели ею пользоваться. Для сложных продуктов, навроде «1С:ERP Управление предприятием», освоение методом тыка не сработает. Значит, руководитель должен решить и эту задачу – не только выделить деньги на покупку программы, но и наладить ее внедрение. О том, как это сделать, читайте в статье «Бюджетирование в 1С: ошибки и успешный опыт внедрения на примерах».

Третий – подготовка отчетности. Бухгалтерскую и налоговую нужно сдавать налоговикам и они ее проверяют. Если наврать с цифрами или опоздать с отправкой, то от инспекторов прилетит по шапке.

Управленческая отчетность никуда не сдается. Ее можно даже не составлять. Но тогда не будет информационной основы для того, чтобы определить:

Задача СВК – наладить подготовку нужных отчетов без вранья в цифрах и без проволочки по срокам.

Четвертый – понимание сотрудниками рисков, которые связаны с их работой. Бухгалтер должен знать, что чеки в авансовых отчетах бывают поддельными и проверять их подлинность через сайт ФНС. Кладовщик должен понимать, что ключи от склада нельзя никому доверять – даже директору, иначе что-нибудь пропадет. Кадровик должен быть в курсе, что в его ведении – персональные данные сотрудников, поэтому нельзя разбрасывать лишь бы где папки с личными делами. Юрист должен помнить, что если проворонить срок исковой давности по дебиторке, то с должника ничего не получишь даже через суд, поэтому претензии и исковые нужно готовить вовремя.

Задача СВК – довести до бухгалтера, кладовщика, кадровика, юриста и других коллег, где находятся зоны особого риска и как их проходить без потерь для бизнеса. То есть без фальшивых расходов, разворованных активов, утечки персональных данных, забытых долгов, неправильно посчитанных налогов и прочих злоключений.

Что бывает, когда эффективность элемента проседает

Когда с «Информацией и коммуникацией» не ладится, тогда приходят налоговые инспекторы и «кусают за бочок» – цепляются за ошибки в первичных документах и декларациях, навешивают миллионные санкции. Вот три истории.

Первая – «Попались на бардаке в документах». Компания купила основные средства и предъявила по ним НДС к возмещению. Налоговики сравнили данные из ее декларации с декларацией поставщика, нашли там расхождение по этой покупке, а потому пришли с осмотром.

Оказалось, что купленное оборудование – якобы новое по договору – уже использовалось, местами повреждено, а какое-то вообще не работает. А еще поставщик не прислал счет на оплату и товарно-транспортную накладную, выставил только счет-фактуру.

Инспекторы решили, что сделка фиктивна, а потому доначислили НДС и насчитали штраф и пени. Всего накапало санкций на 1,7 млн руб.

Скорее всего, тут и вправду какая-то мутная операция, но ведь иногда налоговики придираются и к честным сделкам. Чтобы не придирались, специалисты советуют вот что:

Вторая – «Схитрили с налоговыми расходами». Компания добывает уголь и для этого проводит буровзрывные работы. Траты на них и на взрывчатку бухгалтеры признают косвенными. В налоговом учете так выгодно делать, потому что расходы списываются сразу и уменьшают налог на прибыль.

Налоговики изучили технологию добычи угля и решили, что без взрывов тут никак. Значит, траты на них – это прямые расходы и списывать их нужно с отсрочкой – в месяц продажи угля.

Компания все еще судится с налоговиками, но если проиграет, то придется признать завышение налогового убытка аж на 511 млн руб. Следом прилетят доначисления, пени и штрафы тоже на страшные суммы.

Третья – «Оформили первичку абы как». Бухгалтерия строительно-монтажной компании оформляла первичку с ошибками. К примеру, накладные на списание материалов выписывали не в день совершения операции, а позже; по накладным списывали одни материалы, а в актах о приемке выполненных работ в строительстве указывали другие; не подписывали накладные у ответственных лиц.

Для налоговиков такие ошибки – подарок, а для компании – снятие расходов и вычетов, а потому доначисление по налогу на прибыль и НДС. Вместе с пенями и штрафами вышло на 31,5 млн руб.

Что почитать про информационную систему

Посмотрите нашу подборку про учет и налоги. В ней нет бухгалтерского хардкора, зато есть общие моменты, которые полезно знать руководителю:

Элемент 4. Процедуры внутреннего контроля, или все посчитали и за всеми подсмотрели

Чтобы на склад не залезли воры, мы вешаем замок на дверь и нанимаем сторожа. Чтобы компьютер не взломали хакеры, устанавливаем антивирус. Чтобы не связаться с фирмой-однодневкой, собираем досье на потенциального партнера.

Замок, сторож, антивирус и досье на мутную контору – это процедуры внутреннего контроля. То есть конкретные дела, которые помогают не растерять активы, информацию и репутацию.

Из чего состоит элемент и когда эффективен

Вот три группы, в которые умещаются все контрольные процедуры.

Таблица 3. Примеры процедур внутреннего контроля: что к ним относится и зачем нужны

В таблице показали лишь некоторые процедуры контроля. В реальности их намного больше – например, где-то платежи на сумму свыше миллиона одобряет только гендир; где-то помещения на ночь сдают на сигнализацию, а с утра заходят в них по специальным карточкам; где-то ставят на ПК программы, чтобы знать какие файлы отправляют сотрудники и о чем общаются по email.

Что бывает, когда эффективность элемента проседает

Тогда везде бардак, много пыли и зовут «душнилу». Вот скрин с реальной вакансией, в которой отчаяние или безумие работодателя, не справляющегося с сотрудниками:

Вакансия со спорным функционалом, но мы не о ней, а о том, что без эффективных и продуманных мер контроля начинается кавардак. И порча настроения подчиненным тут не поможет.

А вот что еще бывает, когда контрольные процедуры сбоят, – рассказываем три истории.

Первая – «Когда ворует главбух». Главный бухгалтер, сотрудник службы безопасности и кассир придумали мошенническую схему: выдавали работникам двойные зарплаты с уговором, что часть денег они вернут кассиру обратно. Возвращенные деньги преступники делили меж собой. Так зарабатывали на чужом бизнесе по 2–3 млн руб. в месяц на всю шайку.

Чтобы не привлекать внимание к теневому доходу, хитрая главбухша приезжала в компанию на старом авто. А шиковала втихаря – за несколько лет работы в должности построила три дома.

Схема раскрылась, когда в организации стали внедрять новую финансовую систему. Противясь переменам, главбух распустила слухи среди работников, что из-за изменений бизнес развалится и всех уволят. Начальство решило узнать о причинах саботажа сотрудницы. Так и вышли на то, что главный финансовый контролер сама ворует по-черному.

Вторая – «Когда мошенничают официанты». Руководитель ресторана заметил падение доходов при том, что посетителей меньше не становилось. Стал разбираться и по записям видеонаблюдения обнаружил, что деньги клиентов забирают официанты. Они приносили гостю пречек с суммой заказа, получали по нему оплату, но итоговый чек не пробивали. Затем удаляли заказ из системы, а деньги клиента забирали себе.

Третья – «Когда жульничают рабочие». На молокозаводе сотрудникам бесплатно давали по литру молока в день – так поощряли их за лояльность компании. Но работники вместо благодарности одарили работодателя мухлежом. Стали вместо молока наливать себе сметаны и продавать ее по знакомым.

Схему обнаружили финансисты компании, когда увидели странное падение по выработке сметаны. От бóльших убытков бизнес спас управленческий анализ. Когда-то его наладили и постоянно отслеживали не только стоимостные, но и физические показатели производства.

Что почитать про анализ и инвентаризацию

Последняя история показывает, что анализ – отличный инструмент контроля в умелых руках. Вот несколько статей, которые помогут увидеть проблемы бизнеса до того, как он начнет дышать на ладан:

Элемент 5. Оценка системы внутреннего контроля, или контролируем контролеров

Однажды установленная система видеонаблюдения ломается. Однажды купленный антивирус устаревает. А когда-то кристально честный работник может начать воровать. Чтобы вовремя замечать и латать такие бреши в СВК, нужно мониторить ее работоспособность и эффективность, то есть контролировать систему контроля.

Делается это так: сначала ищут уязвимости, а потом чинят или меняют то, что сбоит. К примеру, приглашают на инвентаризацию внешнего аудитора и оказывается, что на складе полно недостач. А раньше их как будто бы не было, потому что работники вместо подсчета активов пили чай, а в инвентаризационных описях в колонку «По факту» переписывали цифры из столбца «По учетным данным». Значит, теперь инвентаризировать активы будут аутсорсеры или свои же сотрудники, но под прицелом видеокамер.

Поиск уязвимостей и их починка в эффективной СВК ведутся непрерывно. Для этого:

Контроль для контролеров в каждом бизнесе свой. Для компании со ста сотрудниками он не такой же, как для той, где работают тысячи. Для производства – иной, нежели в консалтинге. Поэтому единого рецепта про то, что проверять, не дадим, зато поделимся тестом оценки СВК. В нем 91 вопрос, по которым проанализируете эффективность каждого из пяти элементов и системы в целом. Если выйдете на высокий уровень – все в порядке, если на низкий – нужны перемены, а то бизнес загнется.

Конечно, тест формален. Мы не могли учесть в нем специфику каждой организации. Но если каких-то вопросов вам не хватает или что-то кажется лишним – корректируйте и полу́чите чек-лист под свою компанию.

Скачивайте тест СВК по ссылке >> Fail-Otsenka-sistemy-VK. А на скриншоте смотрите, что вас ждет внутри файла.

Комментарии 0