5 тревожных сигналов сбоя системы внутреннего контроля

Каждый бизнес сталкивается с рисками: человеческие ошибки, мошенничество, неэффективные процессы. По данным ACFE (2024), компании ежегодно теряют 5% выручки из-за мошенничества, а 46% организаций (PwC, 2023) страдают от операционных сбоев, вызванных человеческими ошибками. Однако проблемы часто становятся заметны только тогда, когда компания уже теряет деньги, доверие клиентов или становится объектом регуляторного расследования.

Как понять, что система внутреннего контроля (СВК) дала сбой? Ниже представлены 5 ключевых тревожных сигналов, основанных на COSO Internal Control Framework — международном стандарте управления рисками и внутренним контролем.

1. «Сюрпризы» в отчетности

Почему это опасно?
Такие расхождения могут быть признаками:

• ошибок в учете и бюджетировании,

• преднамеренного искажения данных (например, «украшение» результатов),

• недостаточного контроля за финансовыми потоками или ERP-системой.

По COSO:

• Признак слабой информационной среды и коммуникации между подразделениями.

• Возможен недостаточный контрольный фокус на отчетности.

• Компонент: Информация и коммуникация.

Как решить:

• Автоматизировать сверки и контроль ключевых финансовых индикаторов.

• Использовать data analytics для анализа отклонений в режиме близком к реальному времени.

• Внедрить практики financial forensics для выявления аномалий.

2. Ошибки сотрудников всплывают слишком поздно

Почему это опасно?

• Приводит к перерасходам, репутационным потерям, санкциям.

• Повышает стоимость исправления ошибок (cost of non-quality).

• Может свидетельствовать о «токсичной» культуре, где сотрудники боятся сообщать о проблемах.

По COSO:

• Недостаточная мониторинговая активность, отсутствие раннего предупреждения и контроля.

• Компонент: Мониторинг.

Как решить:

• Внедрить непрерывный мониторинг критичных процессов (continuous controls monitoring).

• Использовать внутренний аудит в роли стратегического партнера, а не просто «ревизора».

• Обеспечить обучение сотрудников выявлению и сообщению об ошибках.

3. Процессы зависят от людей, а не регламентов

Почему это опасно?

• Возникает «узкое горлышко» — ключевой человек = ключевой риск.

• Отсутствует институциональная память.

• Высокий риск злоупотреблений (fraud triangle: возможность + мотивация + рационализация).

По COSO:

• Слабая контрольная среда, неформализованные процедуры, отсутствие разделения обязанностей.

• Компонент: Контрольные процедуры / Контрольная среда.

Как решить:

• Регламентировать процессы (SOPs, RACI-модели).

• Проводить кросс-обучение и создать матрицу замещаемости.

• Разделить функций (segregation of duties), особенно в чувствительных зонах: бухгалтерия, закупки, казначейство.

4. Руководство узнаёт о проблемах последним

Почему это опасно?

• Угроза «стратегической слепоты».

• Повышенный риск управленческого искажения информации (management override of controls).

• Нарушение принципов «прозрачности» и отчетности.

По COSO:

• Отсутствие эффективной обратной связи, слабый риск-менеджмент на уровне подразделений.

• Компонент: Оценка рисков / Информация и коммуникация.

Как решить:

• Внедрить «горячую линию» для анонимных сообщений (whistleblowing).

• Проводить регулярные совещания по управлению рисками (risk committee).

• Формировать культуру «нулевой терпимости» к сокрытию информации.

5. Проверки всегда выявляют нарушения

Почему это опасно?

• Контроль носит реактивный, а не превентивный характер.

• Признак формального подхода к внутреннему контролю («галочка вместо действия»).

• Возможна системная уязвимость к мошенничеству.

По COSO:

• Отсутствие зрелой контрольной среды, слабая этическая культура, недостаточная интеграция контроля в операционную деятельность.

• Компонент: Контрольная среда.

Как решить:

• Переход от формального к риск-ориентированному подходу.

• Проведение регулярных превентивных контрольных мероприятий.

• Обязательное расследование корневых причин (root cause analysis) выявленных нарушений.

COSO Internal Control Framework: что это?

COSO (Committee of Sponsoring Organizations of the Treadway Commission) — широко признанная международная концепция, применяемая для построения надежной, адаптивной и эффективной системы внутреннего контроля, включая процесс оценки рисков. Подходит как для крупных публичных, так и для менее крупных частных компаний.

5 ключевых компонентов COSO:

1. Контрольная среда — основы: этика, честность, компетентность, культура.

2. Оценка рисков — систематическая идентификация, анализ и реагирование.

3. Контрольные процедуры — политики и действия по минимизации рисков — превентивные и детективные.

4. Информация и коммуникация — своевременность, полнота, прозрачность.

5. Мониторинг — регулярная оценка и адаптация системы контроля.

Финальный акцент: предупрежден — значит вооружен

Игнорирование компонентов и соответствующих им принципов внутреннего контроля может привести к:

• финансовым потерям,

• мошенничеству,

• регуляторным санкциям,

• потере репутации и доверия инвесторов и клиентов.