Компания заказывает регламенты, вводит согласования, назначает ответственных — и через год обнаруживает недостачу, которую никто не заметил. Это не парадокс и не невезение. Формальный контроль не просто бесполезен: он создаёт условия, в которых злоупотребление становится безопаснее, чем при полном отсутствии процедур. Разбираем, по каким признакам определяется неработающая система внутреннего контроля и во что она обходится компании

Что такое система внутреннего контроля

      Система внутреннего контроля — это не служба слежки и не бумажная волокита. Это совокупность процессов, правил и процедур, которая обеспечивает три вещи:
•уверенность собственника в том, что «бумажная» прибыль соответствует реальной;
•сохранность активов;
•предотвращение ошибок и злоупотреблений.
     Обратите внимание на порядок. Предотвращение злоупотреблений стоит третьим, а не первым. Без контроля даже добросовестный сотрудник может ошибиться, а недобросовестный — воровать систематически, но первая задача системы не в том, чтобы поймать вора. Она в том, чтобы подтвердить: цифры в отчётах соответствуют действительности. Без этого решения принимаются вслепую, а компания становится заложницей тех, кто формирует удобную отчётность.
     Технически СВК — это набор барьеров: разделение обязанностей, лимиты доступа, двойные подписи, регулярные сверки, инвентаризации. Каждый барьер по отдельности прост. Работает или не работает система целиком.
     У правильно выстроенной СВК есть побочный эффект, о котором обычно не думают. Регламенты, доработанные для целей контроля, убирают двойные операции. Автоматизация сверок ускоряет работу. Формализация ответственности устраняет участки, где все занимаются всем, но никто не отвечает. На первом этапе контроль действительно тормозит — это неизбежно и проходит. Дальше он становится условием, при котором компанию можно масштабировать без потери управляемости.

Плохая СВК — это не «много контроля»

     Распространённое заблуждение состоит в том, что контроля бывает мало или много, а задача — найти середину. Это неверная шкала.
     Плохая система внутреннего контроля — это не избыток контроля. Это неадекватный контроль: избыточный в одних местах и отсутствующий в других, дублирующий, формальный, не учитывающий реальные риски конкретного бизнеса, замедляющий процессы и создающий множество узких мест без какого-либо повышения защищённости.
     Компания, где перемещение товара со склада требует десяти подписей, может быть защищена хуже компании, где нужна одна. Всё зависит от того, что именно проверяет каждая из этих подписей — и проверяет ли вообще.

Пять признаков

     Признаки, по которым неработающую систему видно без углублённой проверки. Если узнаёте хотя бы три, система, скорее всего, существует только на бумаге.

1. Тотальное согласование

     Любое действие, вплоть до заказа канцелярии, проходит через три уровня начальства. Решение, которое должно приниматься за минуты, занимает дни. Это признак того, что контрольные точки расставлены не по риску, а по организационной структуре: согласует не тот, кто способен обнаружить нарушение, а тот, кто выше по должности.

2. Отчёты, которые никто не читает

     Отчётность формируется регулярно и в срок, объём её растёт, содержание — нет. Проверяется это одним вопросом: спросите руководителя, который получает отчёт, какой показатель изменился в нём сильнее всего за последний квартал. Если ответа нет, отчёт формируется для факта его существования.

3. Разделение обязанностей, доведённое до абсурда

     Чтобы переместить товар со склада, требуется десять подписей, но каждая из них — формальность: подписывающий не проверяет то, за что расписывается, и не несёт за это ответственности. Разделение обязанностей работает, когда разводятся действительно несовместимые функции — заказ, приёмка и списание, — а не когда подписей просто много.

4. Процедуры, не адаптированные под бизнес

     Требование инвентаризировать каждый карандаш соседствует с полным отсутствием контроля на отдельных этапах закупочной процедуры. Это верный признак того, что регламент был взят готовым и не пропущен через карту рисков конкретной компании. Контроль расставлен там, где его удобно расставить, а не там, где сосредоточены деньги.

5. Отсутствие обратной связи

     Контрольные процедуры выполняются, но никто не оценивает, работают ли они. Сколько раз контроль сработал за квартал? Сколько срабатываний подтвердилось? Что изменилось в процессе после? Если ответов нет, контроль ведётся ради контроля, и оценить его стоимость относительно результата невозможно.

Три системных дефекта

     Неработающая система не остаётся нейтральной. Она производит три последствия, и каждое обходится дороже, чем отсутствие процедур вовсе.

Паралич операционной деятельности

     Каждое действие требует согласования. Решения, которые должны приниматься за минуты, занимают дни. Сотрудники тратят время не на результат, а на прохождение процедур — и компания теряет в скорости там, где конкуренты выигрывают.
     Дальше включается кадровый механизм, и он дороже операционного. Эффективные сотрудники бюрократию не переносят: они либо уходят, либо — что случается чаще — начинают искать обходные пути. В системе остаются те, кто привык сидеть тихо, и те, кто научился извлекать выгоду из хаоса. Компания теряет главный ресурс, инициативных профессионалов, и почти никогда не связывает эту потерю с устройством контроля.

Культура обхода

     Когда процедура очевидно абсурдна, но её требуют, её выполняют формально. Задача смещается: сотрудник перестаёт думать о клиенте и о качестве и начинает думать о том, как закрыть процедуру.
     Так возникает ритуальный контроль: сотрудники имитируют исполнение, руководство имитирует управление, и обе стороны об этом знают. Контроль перестаёт восприниматься всерьёз — не потому, что сотрудники недобросовестны, а потому, что ежедневное столкновение с сотнями бессмысленных проверок обесценивает саму идею проверки.
     В компании, где контроль превратился в ритуал, складывается неформальная иерархия: авторитет получает тот, кто умеет обходить систему. За этой стадией следует другая — возникают устойчивые группы, классический пример которых кладовщик, бухгалтер и водитель. Субкультура начинает воспроизводить себя, втягивая новых сотрудников. Новичок в такой среде выбирает не между честностью и нечестностью, а между принятыми правилами и изоляцией.

Легитимизация подлогов

     Это самое дорогое последствие, и оно противоречит здравому смыслу.
     Проверяющий, который ежедневно обрабатывает сотни формальных процедур, не вникает в содержание — у него физически нет на это времени. Он проверяет комплектность документов. Отсюда следует правило, которое злоупотребляющий сотрудник усваивает быстрее, чем руководство: если оформить всё по бумагам, проверка не заметит подлога, даже если бумаги ложные.
     Чем больше процедур, тем легче спрятать истину за грудой документов. Формальный контроль не просто не мешает злоупотреблению — он его прикрывает: подложная операция, прошедшая десять согласований, выглядит надёжнее настоящей, прошедшей одно.

Эффект заражения

     Отдельный механизм касается не избыточного контроля, а отсутствующего — и приводит к тому же результату.
     Если на парковке нет ни охраны, ни камер, кражи начнутся рано или поздно. В компании происходит то же самое: первое злоупотребление обычно случайное и мелкое. Значение имеет не оно, а реакция на него. Когда нарушение не замечают — или замечают, но не реагируют, — остальные читают это как сигнал: здесь можно. Дальше пробуют другие.
     Практический вывод: отсутствие реакции на мелкое нарушение обходится дороже самого нарушения. Компания платит не за украденное, а за смещение нормы.

Кто контролирует контролёров

     Избыточная система порождает контролёров, и эти люди получают реальную власть: без их подписи процесс не идёт. Возникает коррупционная уязвимость, о которой при построении СВК обычно не думают:
   •контролёр может требовать вознаграждение за ускорение;
   •контролёр может не замечать нарушение за долю;
   •контролёр может сам участвовать в схеме, используя право подписи;
   •чем больше согласующих, тем больше точек, в которых можно договориться.
     В погоне за тотальным контролем компании регулярно забывают контролировать самих контролёров. При этом контролёр — сотрудник с расширенным доступом и правом остановить процесс, то есть человек с наибольшими возможностями по определению должности

Заговор молчания

     Есть фактор, который делает все перечисленные механизмы устойчивыми, и находится он не на уровне исполнителей.
     Первые лица часто не хотят знать о проблемах. Формулировка обычно звучит так: продаж нет, и мне ещё складом и бумажками заниматься? Гладкие отчёты удобны. Сотрудники это чувствуют — и перестают сообщать о нарушениях, иногда прикрываясь ценностями позитивного мышления и разговорами о доверии в команде.
     Так формируется заговор молчания: наверх поступает только та информация, которую наверху готовы принять. Система контроля при этом может формально существовать в полном объёме и даже проходить проверки.

Что это меняет на практике

     Содержание работы системы внутреннего контроля — не поимка нарушителя. Бизнес всегда сопряжён с рисками: операционными, финансовыми, репутационными. Значительную их часть можно идентифицировать, оценить и минимизировать — именно в этом состоит задача, а поимка вора является частным случаем.
     Проверка собственной системы начинается не с вопроса «достаточно ли у нас процедур», а с трёх других:
   1.Расставлены ли контрольные точки по фактическим рискам компании — или по организационной структуре?
   2.Проверяет ли каждая процедура что-то по существу — или подтверждает комплектность документов?
   3.Известно ли, сколько раз за последний квартал контроль сработал и что изменилось после?
     Если ответы неутешительны, задача состоит не в том, чтобы добавить процедур, а в том, чтобы заменить существующие минимально достаточным количеством работающих. Это, как правило, сокращает количество согласований, а не увеличивает его.

Разбор существующих контрольных процедур, определение минимально достаточного набора контрольных точек и встраивание их в процессы закупок, склада и производства — это содержание услуги «Контроль материального баланса». Работа ведётся совместно с вашими сотрудниками: контрольные процедуры разрабатывает тот, кому предстоит их исполнять.

Смежные материалы