Работа устроена в обратном порядке относительно привычного. Сначала составляется карта рисков и определяется красная зона — направления, где вероятность и размер возможного ущерба сходятся. Затем проверяется, что из уже установленного в компании эти риски действительно закрывает: средства контроля инвентаризуются физически, предотвращающие проверяются попыткой обхода, обнаруживающие — на соответствие цели. И только после этого разрабатываются мероприятия, причём с расчётом затрат против размера предотвращаемого ущерба. Результат — карта рисков, план мероприятий с ответственными, сроками и индикаторами выполнения, формализованные маркеры контроля и еженедельный дашборд, по которому видно, что контроль даёт в рублях.

Работа совместная, а не внешняя: большинство шагов ваши сотрудники могут выполнить самостоятельно, наша функция — методология и независимая проверка. Мы не даём процессу свернуть в теоретизирование, освоение бюджета или сведение внутренних счетов. И мы не увеличиваем количество процедур: часть существующих по результатам работы отменяется, потому что за них платят, а нарушений они не выявляют. Задача — минимально достаточный набор работающих контрольных точек, а не максимальный набор формальных.

Отсутствие контроля дублей и бюджетного контроля: один и тот же счёт оплачивается дважды, иногда с последующей отправкой подложных реквизитов для возврата переплаты.
Бесконтрольная управленческая отчётность: завышение доходов и занижение расходов ради получения бонусов.
KPI «на вере»: начисление себе или связанным сотрудникам завышенных премий.
Искусственное завышение себестоимости через подложные накладные на расходы — с последующим выводом денежных средств.
Аренда у аффилированных лиц по завышенной цене без тендера, включая фиктивную аренду жилой недвижимости и транспорта в командировках.
Неправомерное списание дебиторской задолженности с перенаправлением платежей на реквизиты подконтрольной компании.
Несанкционированный доступ к счетам: перевод средств на свои реквизиты с одновременным списанием задним числом через счёт прочих расходов — банковские услуги, проценты по кредиту, командировочные на уволенного сотрудника.

Откаты: выбор более дорогого товара за личное вознаграждение, в том числе скрытое — не проходящее через счёт или карту.
Завышение объёма и качества фактически поставленного товара: акты приёмки подписываются без проверки.
Использование чужих документов при закупке дешёвых аналогов.
Закупка неликвидов — со скрытыми дефектами, с истёкшей гарантией — под видом срочной необходимости, с последующим списанием.
Дробление закупок для обхода порога тендера и заключения прямого договора с нужным контрагентом.
Закладывание в тендерную спецификацию уникальных параметров и сертификатов под конкретного производителя.
Пролонгация невыгодных контрактов без пересмотра условий: сначала закупка «без контракта», затем «мы уже закупили, для оплаты нужен договор».
Кража давальческого сырья через завышение норм расхода или неоприходование возвратных отходов.

Подлог инвентаризационных описей: сокрытие недостачи переносом на другие места хранения.
Вывоз материальных ценностей по фиктивным пропускам при отсутствии перекрёстного контроля на проходной.
Вывоз активов под видом списания: оборудование числится изношенным, фактически продаётся.
Сдача в аренду имущества компании — площадей, инструмента, оборудования — без оформления.
Занижение стоимости при продаже основных средств: разница между рыночной и продажной ценой присваивается.
Использование служебного транспорта в личных целях без компенсации топлива и износа.

Выдача материальной помощи подставным лицам — под видом сотрудников или их родственников.
Фиктивные обучения: тренинги не проводятся, деньги делятся.
Добавление в табель сверхурочных часов и выходов без реальной работы.
Руководитель бригады присваивает KPI уволенных подчинённых, искусственно поддерживая текучесть.

Заключение договоров с завышенными неустойками и заведомо невыполнимыми условиями в пользу контрагента — компания платит штрафы за предсказуемое неисполнение.
Пропуск сроков исковой давности: умышленное бездействие.
Отсутствие договоров с ключевыми контрагентами: работа на устных соглашениях допускает хищения без документальных следов.

Этап 1. Карта рисков · 2 недели
Задача этапа — определить красную зону: направления, где вероятность реализации риска и размер возможного ущерба сходятся. Всё остальное защищается по остаточному принципу.

Этап 2. Анализ существующих средств контроля · 2 недели
Ключевой этап, и он же самый недооценённый. Прежде чем что-то внедрять, нужно понять, что даёт уже установленное. Как правило, выясняется, что часть средств контроля не работает, а часть работает не там, где нужно.

Убеждение, что если средство контроля установлено — значит контроль есть.
Приписки в реестре: начальник охраны получает оплату за обслуживание ста камер, реально работают шестьдесят, остальные выключены или заклеены, но числятся.
Камера на складе висит так, что основной стеллаж от неё заслонён.
У отдела продаж правила реагирования по DLP вдвое слабее, чем у бухгалтерии, — вероятен сговор.

Этап 3. Мероприятия по красной зоне · 3 недели
Самый долгий этап. Каждое мероприятие проходит проверку на экономическую целесообразность: если затраты сопоставимы с предотвращаемым ущербом, решение пересматривается

Имитация активности: мероприятия формально разработаны, но дублируют уже существующие и неработающие контроли.
Перекладывание ответственности: мероприятия назначаются на подразделения, не имеющие полномочий или ресурсов.
Манипуляция оценкой: остаточный риск искусственно занижается, чтобы избежать дорогостоящих мер.
Бюджетные злоупотребления: под видом борьбы с риском красной зоны выделяются средства на системы, оборудование и консультации, выгодные конкретным лицам.
Сокрытие провалов: без чётких сроков и ответственных любое неисполнение списывается на неопределённость.
Выборочное применение: действительно опасные риски игнорируются, поскольку их снижение требует непопулярных решений.

Этап 4. Маркеры контроля · 2 недели
Маркер нужен не для того, чтобы поймать риск, а для того, чтобы о нём нельзя было спорить. Пока порог не зафиксирован письменно, его всегда можно доопределить постфактум — и почти всегда в свою пользу.

Что происходит без формализованных маркеров

«У нас маркером считается падение на 50%, а упало на 49% — значит, сигнала не было». Порог доопределяется после того, как ущерб уже нанесён.

«Благодаря моим действиям риск не реализовался» — при том, что действий не предпринималось. Проверить это невозможно.

«Мы знаем, виновного уволили». Быстрое увольнение назначенного ответственного закрывает вопрос, ущерб продолжает накапливаться, руководству не докладывают.

«Мы не обязаны хранить данные, которых нет в методике». Наступление риска в прошлом невозможно ни подтвердить, ни опровергнуть.

Этап 5. Дашборд для собственника и передача результата · 4 дня
Для контроля нужны деньги, а деньги выделяются тогда, когда показана отдача от предыдущих трат. Дашборд решает именно эту задачу: делает результат контроля видимым и измеримым, чтобы функцию не свернули через полгода.

Методология: как строить карту рисков, как проверять средства контроля, как формулировать маркер, который нельзя оспорить.

Проверка существующих средств контроля, включая тесты на обход и на уязвимость к инсайдерам с привилегиями.

Разбор выполненной работы и оценка остаточного риска.

Независимость: контроль того, чтобы работа не свелась к теоретизированию, освоению бюджета или сведению внутренних счетов.

Сбор реестра бизнес-процессов.

Первичная оценка вероятности и ущерба по направлениям.

Инвентаризация установленных средств контроля.

Подготовка проектов мероприятий по рискам красной зоны с ответственными и сроками.

Согласование плана с владельцами рисков и финансовой службой..

Камера на складе расположена так, что основной стеллаж от неё заслонён. Шлагбаум обходится сбоку. Антипассаж отключают на время пересменки, потому что иначе не успевают. Предотвращающие средства проверяются попыткой обхода, обнаруживающие — на соответствие цели, а не на факт наличия.

Наоборот: часть существующих процедур по результатам работы отменяется. Каждое мероприятие проходит проверку затрат против предотвращаемого ущерба, и то, что стоит дороже защищаемого, не внедряется. Цель — минимально достаточный набор контрольных точек, а не максимальный.

Уровнем. Внедрение системы внутреннего контроля — это рамка: карта рисков по всем направлениям, оценка существующих средств контроля, маркеры и дашборд. Контроль материального баланса — углублённая работа на одном участке: закупки, склад, производство, товародвижение. Обычно сначала строится рамка, затем прорабатываются участки красной зоны. Но можно и наоборот, если понятно, где именно теряются деньги.

Предмет работы — процессы и средства контроля, а не сотрудники. Большинство находок второго этапа вообще не про людей: камера направлена не туда, порог срабатывания задан формально, регламента по проверке самих средств контроля не существует. Такие вещи закрываются настройкой, а не кадровым решением.

Остаётся то, что сделано руками ваших сотрудников: карта рисков, план мероприятий с ответственными и индикаторами, утверждённые маркеры и дашборд. Работа считается завершённой не в момент передачи документов, а когда процедуры отработали без сбоев. Поддерживать их сможет тот, кто их и разрабатывал.

Начать можно со второго этапа: две недели, инвентаризация установленных средств контроля и проверка их работоспособности. На выходе — перечень того, что установлено, что из этого действительно работает и сколько стоит содержание неработающего. Этап самостоятелен: продолжение не является обязательным.

Внедрение системы внутреннего контроля

Что «Де Факто» может сделать для вас

Где компания теряет деньги

Этапы работы

Как устроена работа

Средство контроля есть — контроля нет

Вопросы и возражения

Материалы по теме

Узнайте, что даёт текущий контроль