Внутренний контроль как инструмент снижения риска несостоятельности (банкротства)

На сегодня понятие «внутренний контроль» приобретает новое значение не только в отношении крупных корпораций, для которых внутренний контроль и служба внутреннего аудита – неотъемлемая часть эффективной деятельности, но и иных хозяйствующих субъектов.

Потребность в построении и совершенствовании системы внутреннего контроля в компаниях связана с изменениями условий функционирования и экономических взаимоотношений с партнерами, в том числе в связи с введением санкций со стороны ряда государств, эмбарго России, закрытыми рынками иностранного капитала для ведущих национальных кре- дитных организаций, переориентацией на новые рынки сбыта, несущие в себе новые риски, в том числе рынки Азиатско-Тихоокеанского региона.

Количество и уровень рисков, которым подвержены российские организации, растет, мер, проводимых по снижению негативных последствий на государственном уровне, недостаточно, необходим качественный и эффективный внутренний контроль на уровне отдельных экономических субъектов. Менеджмент компаний фактически оказывается в ситуации, когда необходимо обеспечить рост бизнеса, снижая операционные, финансовые и иные риски при достижении наименьшей стоимости финансирования бизнеса [12].

В этой ситуации внутренний контроль должен быть направлен не только на предотвращение мошенничеств, защиту активов, выявление ошибок в финансовых документах, но и на обеспечение связи между мотивацией сотрудников и целями организации; повышение гибкости и прозрачности бизнеса, полноты и достоверности информации для менеджмента; создание эффективной структуры капитала, повышение эффективности инвестиционной деятельности; формирование корпоративной культуры предприятия; выявление системных ошибок.

В периоды экономического спада или кризиса возрастают и риски банкротства. На сегодня вероятность банкротства связана с дефицитом кредитного рынка (вынужденные сокращения объемов кредитования, ужесточение условий по выдаче кредитов, уменьшение числа кредитных организаций), а также с ограничением ресурсов, необходимых для деятельности организаций. Таким образом, в условиях нестабильной экономики необходимо оценивать свои риски наступления банкротства, в том числе связанные с коррупционной составляющей.

Рассматривая риск как событие, которое может произойти в будущем с определенной вероятностью и нанести определенный ущерб, необходимо отметить, что риск может быть результатом как действия, так и бездействия, и в связи с этим риск является неотъемлемой частью повседневной жизни [11, с. 10].

Основная сложность в построении процесса управления рисками заключается в двойственной природе риска. Это выражается в том, что риск является одновременно и риском, и фактором риска для других взаимосвязанных рисков.

Каждый риск обладает следующими свойствами [9, с. 41-44]:

• 1)    вероятность - с помощью определения вероятности риска происходит оценка шансов на то, что конкретное событие произойдет в течение рассматриваемого периода;

• 2)    сила воздействия - факт реализации конкретного риска определенным образом воздействует на деятельность компании (владельца риска). Это воздействие имеет негативный характер и принимает формы, обладающие качественными характеристиками (потеря репутации, ухудшение отношений, утрата доверия, снижение привлекательности и т.д.), и формы, обладающие количественными характеристиками (утрата доли рынка, финансовые потери, штрафные санкции и т.д.). С практической точки зрения, наиболее полезной является оценка силы воздействия, сочетающая стоимостную оценку потерь и оценку скорости наступления таких потерь (интегрированная оценка);

• 3)    управляемость - любая компания может в той или иной степени влиять на вероятность и силу воздействия своих рисков. Это влияние зависит от степени управляемости конкретного риска (управляемые и неуправляемые риски);

• 4)    взаимосвязанность (цепочки причинно-следственных связей) - в среде рисков широко распространен эффект домино. Многие риски образуют цепочки рисков, структуру которых чаще всего невозможно предугадать. Наличие многообразных взаимосвязей приближает систему рисков любого предприятия к детерминированно-хаотическим системам. В рамках таких систем возможна реализация эффекта бабочки. Не исключено, что изначальной причиной многих крупных негативных событий явилась реализация мелких и , на первый взгляд, незначительных рисков.

Риски тесно связаны с бизнес-процессами. Нельзя реализовать систему внутреннего контроля или проведение внутреннего аудита без риск-ориентированного подхода, посколь- ку факторы риска оказывают влияние на эффективность функционирования процессов предприятия. Система процессов всегда имеет одну цель – выполнение поставленных задач. Это должно обеспечить достижение ключевой цели любого коммерческого предприятия – увеличения своей стоимости.

Описание бизнес-процессов экономического субъекта может проводиться в разрезе направлений его деятельности, его юридической или организационной структуры, но в любом случае одновременно с описанием имеющихся рисков. Описание риска включает указание на потенциальное неблагоприятное внутреннее и (или) внешнее событие (факт, обстоятельство), порождающее риск; причину и вероятность его возникновения; возможные негативные последствия (ущерб), их количественную и (или) качественную оценку.

По результатам оценки рисков экономический субъект определяет наиболее существенные риски и принимает решения для минимизации их посредством организации и осуществления внутреннего контроля.

С целью систематизации принятых экономическим субъектом процедур внутреннего контроля, относящихся к определенным выявленным рискам и зафиксированных в соответствующих внутренних организационно-распорядительных документах, а также оценки полноты покрытия внутренним контролем выявленных рисков, как правило, составляется матрица рисков и процедур внутреннего контроля. Матрица рисков и процедур внутреннего контроля содержит [3]:

• 1)    описание риска, на минимизацию последствий которого направлен внутренний контроль;

• 2)    наименование области или процесса, который подвержен риску;

• 3)    наименование и краткое описание процедуры (процедур) внутреннего контроля, посредством осуществления которой (которых) минимизируются последствия риска;

• 4)    классификацию процедуры внутреннего контроля (если это необходимо для структурирования информации);

• 5)    ссылку на регламент осуществления процедуры внутреннего контроля (документ, в котором устанавливаются детальные требования к осуществлению внутреннего контроля);

• 6)    исполнителя процедуры внутреннего контроля (сотрудник или информационная система);

• 7)    частоту (периодичность) осуществления процедуры внутреннего контроля;

• 8)    входящие документы (на основании которых осуществляется процедура внутреннего контроля);

• 9)    исходящие документы (свидетельства осуществления процедуры внутреннего контроля).

Суть риск-ориентированного подхода состоит в том, чтобы понять, что в первую очередь мешает предприятию достичь цели, и найти наилучший способ снижения негативного воздействия. В рамках риск-ориентированного подхода О. Крышкин выделяет два базовых метода – упрощенный и продвинутый [9, с. 45-54]:

При использовании упрощенного метода основная задача заключается в формировании рейтинга рискованности процессов и выборе наиболее рискованных процессов для проведения проектов внутреннего аудита. Этот метод имеет одно существенное достоинство – его результаты могут быть наглядными, доступными для восприятия неподготовленными гражданами и относительно легкодоказуемыми.

Наиболее рискованным процессом считается тот, на достижение цели которого влияет максимальное количество факторов риска максимально негативным образом. Чтобы получить рейтинг рискованности, каждый выбранный для анализа процесс оценивается с точки зрения наличия и существенности определенного перечня факторов риска. Такой перечень формируется произвольно, так как каждая компания имеет свою специфику. Единственный критерий отбора – это прямое или опосредованное препятствование достижению процессами (или большей части анализируемых процессов) их целей.

При применении упрощенного метода имеется ряд особенностей:

• 1)    количество факторов риска ничем не ограничено. Необходимо учитывать, что до определенного момента увеличение количества факторов риска, используемых для анализа, повышает качество оценки;

• 2)    рейтинг и результаты оценки должны быть наглядными, например, в виде электронной таблицы (которая автоматизирует пересчет);

• 3)    системы оценки могут быть самыми разнообразными (баллы, выделение цветом, введение дополнительных балансирующих и корректирующих элементов);

• 4)    методика формирования рейтинга процессов должна обсуждаться с руководством организации.

Упрощенный метод предполагает следующую последовательность действий:

• 1)    формирование перечня процессов (подпроцессов, этапов подпроцессов);

• 2)    генерирование факторов риска (при этом рассматриваются факторы единственного риска ‒ риска недостижения цели процесса);

• 3)    оценка воздействия выбранных факторов риска на степень достижения цели процессов позволяет сформировать рейтинг рискованности процессов [1].

При использовании продвинутого метода за точку отсчета берется перечень рисков предприятия с оценкой как минимум их силы воздействия и вероятности, или карта рисков. Таким образом, формируется следующая цепочка действий: создание карты рисков, выбор наиболее существенных рисков, конвертирование рисков в систему внутреннего контроля. Риск чаще всего оценивают по следующей формуле:

• г = О *р,

где r – расчетное значение риска; O – оценка возможных последствий; p – вероятность наступления риска.

• О. Крышкиным выделены базовые способы идентификации рисков и оценки их параметров [10, с. 55]:

• 1)    эксперты (проведение интервью сотрудников компании для выяснения их мнения о существующих рисках и формирования оценки параметров этих рисков);

• 2)    статистика (изучение документальных источников для выявления фактов реализации рисков, а также факторов риска, способных привести к конкретным рискам);

• 3)    третья сторона (наем сторонней организации);

• 4)    вмененные риски (формирование перечня и оценка параметров рисков, часто встречающихся в условиях, аналогичных тем, в которых действует компания);

• 5)    процессы (использование упрощенного подхода, описанного выше).

Для определения рисков используются два основных подхода [9, 11]:

• 1)    использование укрупненных рисков (формулировка риска обычно не содержит причинно-следственной связи, она сопровождается расшифровывающим и уточняющим описанием; например, формулировка «риск аварий» может сопровождаться перечислением видов, мест и, возможно, причин, а также прочими уточняющими деталями);

• 2)    использование рисков с указанием на причинно-следственную связь (точечные риски) (формулировка риска содержит указание на причинно-следственную связь, во многих случаях дальнейшие объяснения не требуются, так как она достаточно точно описывает суть риска, например, формулировка «риск аварий вследствие несоблюдения режима эксплуатации оборудования»).

Основной целью формирования карты рисков является получение на выходе перечня рисков, расположенных в порядке убывания существенности.

Перечень может сопровождаться построением графика (рис.), на котором риски располагаются в соответствии с их вероятностью и силой воздействия. Классическим является вариант графика с зеленым (белым), желтым (серым) и красным (черным) секторами.

В зеленом (белом) секторе располагаются риски, вероятность которых относительно низка, а сила воздействия минимальна.

В красном (черном) секторе располагаются риски с максимальной вероятностью и максимальной силой воздействия.

Между зеленым (белым) и красным (черным) секторами располагается желтый (серый)

сектор, в котором находятся три группы рисков:

• 1)    риски со средней вероятностью и силой воздействия;

• 2)    риски с низкой вероятностью, но с большой силой воздействия;

• 3)    риски с высокой вероятностью, но с малой силой воздействия.

Рисунок ‒ Пример графического представления карты рисков

В красный (черный) сектор попадают риски, которыми трудно управлять, а именно:

• 1)    «внешние» риски (т.е. риски, которые зарождаются вне компании, но влияют на ее деятельность, например, риск неблагоприятного изменения законодательства);

• 2)    риски форс-мажорных обстоятельств;

• 3)    крупные риски, обусловленные совокупностью большого количества факторов риска (например, риск неадекватной бизнес-модели).

С точки зрения внутреннего контроля и аудита, риски, которыми трудно управлять, не представляют особого интереса как объект включения в план или программу аудита. На практике для указанной группы рисков формируется план мероприятий по минимизации их существенности (по возможности снизить вероятность и силу воздействия), а также план действий на случай реализации данных рисков.

Включение оценки рисков в систему внутреннего контроля осуществляется двумя способами [9, 11]:

• 1.    Определение приоритетного процесса (владелец данного процесса является одновременно владельцем выбранного риска). Применение этого способа предполагает, что исходный риск либо является точечным, либо представляет собой результат декомпозиции более крупного взаимосвязанного риска. Важно, чтобы в исходной карте, во-первых, каждый риск определялся как точечный либо укрупненный, во-вторых, для точечных рисков указывались владельцы.

• 2.    Определение кластера приоритетных процессов (владелец риска не может быть определен на этапе включения). Правильность определения приоритетных процессов зависит от осведомленности компании о существенных нюансах конкретного риска.

Оценка и включение рисков в структуру системы внутреннего контроля являются актуальной проблемой каждого экономического субъекта. Для крупных компаний эта проблема решается через автоматизацию расчета и выявления рисков.

На практике каждый риск имеет свою систему показателей, по которым оценивают его влияние на деятельность компании.

Эффективность риск-ориентированной системы внутреннего контроля в большинстве случаев можно оценивать через определение остаточного риска:

тг = 1т — с, где rr – остаточный риск; Ir – присущий риск; С – контроль.

Остаточный риск – это риск, остающийся после принятия руководством мер по реагированию на риск. Оценка проводится сначала в отношении присущих рисков [14].

Присущий риск – это риск для организации при отсутствии действий со стороны руководства по изменению вероятности или степени влияния данного риска [14].

Уровень остаточного риска сравнивается с оптимальным уровнем. Уровень остаточного риска выше оптимального является неприемлемым. Уровень остаточного риска ниже оптимального соответствует избыточному контролю [6].

Суждения об оптимальности уровня остаточного риска субъективны. На основании результатов оценки уровня остаточного риска ответственное лицо может принять решение о корректировке целей, об изменении (усилении или ослаблении) системы контроля или пренебречь полученными результатами.

Несмотря на все имеющиеся преимущества риск-ориентированной системы внутреннего контроля, не нужно забывать об ограничениях системы при ее реализации. Риск по умолчанию является неопределенным, и никто не может с точностью предсказать будущее. Даже эффективное управление рисками осуществляется на различных уровнях и в отношении различных целей, оно не может предоставить абсолютной уверенности в том, что сами по себе цели будут достигнуты, поскольку некоторые события выходят за пределы контроля руководства компании.

Таким образом, процесс внедрения риск-ориентированной системы внутреннего контроля в компании сложный, требует большого количества временных, трудовых и денежных ресурсов. Контроль должен быть неразрывно связан с деятельностью предприятия в целом.

Разработанные модели прогнозирования банкротства зачастую не учитывают и не могут учитывать всей специфики деятельности экономического субъекта, а также не отвечают на вопрос о наличии признаков преднамеренного или фиктивного банкротства. В связи с этим имеется необходимость включения в систему внутреннего контроля оценки рисков банкротства.

Риск-ориентированная система внутреннего контроля компании должна стать элементом системы корпоративного управления, включающим в себя весь диапазон процедур, методов и механизмов контроля, создаваемых и используемых Советом директоров, ревизионной комиссией, исполнительными органами управления, руководством и всеми работниками Общества, направленных на обеспечение разумных гарантий достижения поставленных целей. И если руководство организации принимает решение об организации риск-ориентированной системы внутреннего контроля, необходимо учитывать действие таких факторов, как: субъективность суждений; сбой работы системы; сговор должностных лиц; соотношение затрат и выгод; пренебрежение процедурами со стороны руководства [14].