Система внутреннего контроля: возможности и автоматизация процессов

Система внутреннего контроля помогает организации связать цели, риски, контрольные процедуры, ответственных и доказательства выполнения. Её задача — не увеличить число проверок, а сделать критичные отклонения видимыми и обеспечить предсказуемую реакцию: остановить операцию, запросить подтверждение, направить задачу владельцу или запустить корректирующие меры.

Такое решение используется в финансах, закупках, продажах, производстве, управлении доступом и других процессах. Оно дополняет учётные и операционные системы: получает из них события и показатели, проводит контроль по правилам и сохраняет историю решений.

Контроль проектируют от защищаемой цели и риска; доказательство подтверждает не факт заполнения формы, а выполнение конкретной процедуры.

Какие проблемы решает система

• контрольные процедуры описаны в регламентах, но не встроены в ежедневные операции;
• одни и те же проверки выполняются вручную в разных подразделениях;
• невозможно быстро подтвердить, кто, когда и на каком основании принял решение;
• нарушения фиксируются постфактум, когда операцию уже сложно исправить;
• результаты проверок хранятся в таблицах и не связаны с рисками и процессами;
• корректирующие меры назначаются, но сроки и результат не контролируются;
• руководство видит число замечаний, но не остаточный риск и повторяемость причин.

Автоматизация особенно полезна для повторяемых проверок, которые опираются на структурированные данные и имеют формальный результат. Экспертное суждение также можно включить в маршрут, но система не должна подменять его непрозрачным баллом.

Из чего состоит решение

Как тестировать контроль, а не собирать отметки

Период, популяцию, критерий и способ выбора фиксируют до вывода об эффективности, чтобы результат можно было воспроизвести.

Сначала формулируют утверждение, которое должен подтвердить тест. Например: каждый платёж сверх лимита получил второе согласование до исполнения. Затем определяют полную популяцию операций, период и поля, позволяющие проверить критерий без субъективной трактовки.

Выборка зависит от риска и неоднородности операций. Случайный набор полезен для общей оценки, целевой — для редких или критичных сценариев. Если в популяции есть разные подразделения, типы операций или способы обхода правила, их нельзя смешивать так, чтобы существенный сегмент исчез из проверки.

Каждое отклонение проходит путь «факт — причина — влияние — действие». Отсутствие одного согласования может означать единичную ошибку, неверную настройку маршрута или сознательный обход. Только после анализа можно решить, работает ли контроль, требуется ли расширить выборку и какое изменение снизит остаточный риск.

Предупреждающие и выявляющие контроли

Предупреждающий контроль не позволяет провести операцию без обязательного условия: заполненного реквизита, доступного лимита, разделения полномочий или согласования. Выявляющий контроль находит отклонение после события: дубликат платежа, необычную скидку, просрочку или расхождение данных.

Слишком жёсткая блокировка может остановить законную операцию. Поэтому для исключений задают отдельный маршрут: основание, уровень полномочий, срок действия и последующий контроль.

Роли пользователей

Владелец процесса отвечает за результат и устраняет системные причины. Владелец риска принимает решение о допустимом уровне и реакции. Исполнитель контроля выполняет процедуру и прикладывает доказательство. Функция внутреннего контроля поддерживает методику и мониторинг. Внутренний аудит независимо оценивает устройство и работу контролей. Руководитель рассматривает существенные отклонения и утверждает меры.

Роли следует разделять не только в регламенте, но и в правах системы. Пользователь не должен единолично инициировать, утвердить и подтвердить собственную критичную операцию, если процесс требует разделения полномочий.

Интеграции и место в ИТ-ландшафте

Система внутреннего контроля редко является единственным источником данных. Она получает операции и справочники из ERP, CRM, систем закупок, кадрового учёта и управления доступом, а затем возвращает статус проверки, блокировку, задачу или решение.

Для каждой интеграции необходимо определить:

• какое событие запускает контроль;
• какие данные считаются первичными;
• что происходит при недоступности источника;
• как исключаются повторные события;
• где хранится итоговое решение и доказательство;
• кто расследует расхождение между системами.

Показатели системы внутреннего контроля

• доля контролей, выполненных в срок;
• число пропусков и отмен с указанием основания;
• частота срабатывания по процессу и риску;
• доля ложных срабатываний;
• время от выявления нарушения до решения;
• просроченные корректирующие меры;
• повторяемость одинаковых причин;
• остаточный риск после выполнения мер.

Большое число срабатываний не всегда означает хороший контроль. Возможно, правило настроено слишком широко и сотрудники привыкают формально закрывать предупреждения. Метрику оценивают вместе с тяжестью риска и качеством реакции.

Как проходит внедрение

1. Выбрать процесс. Для первого этапа нужен заметный риск, понятный владелец и доступные данные.
2. Описать фактические операции. Зафиксировать точки решения, исключения и ручные обходы.
3. Построить матрицу. Связать цель, риск, контроль, владельца, частоту и доказательство.
4. Расставить приоритеты. Не автоматизировать все проверки одновременно; начать с критичных и повторяемых.
5. Настроить маршрут. Добавить роли, сроки, эскалации и обработку исключений.
6. Подключить данные. Проверить качество источников и сценарии отказа интеграций.
7. Запустить пилот. Сравнить результаты системы с ручной проверкой и скорректировать правила.
8. Масштабировать. Подключать новые процессы после подтверждения полезности первого контура.

Типичные ошибки

Автоматизируют регламент без проверки

Устаревшая или противоречивая процедура превращается в жёсткий маршрут. Сначала нужно понять риск и ожидаемое решение.

Каждое отклонение блокирует операцию

Система создаёт очереди и обходные пути. Реакция должна зависеть от существенности и полномочий.

Нет доказательства выполнения

Статус «проверено» не показывает, что именно видел исполнитель. Доказательство и комментарий должны быть частью задания.

Замечание закрывают без проверки меры

Факт выполнения задачи не подтверждает снижение риска. Нужен отдельный шаг оценки результата.

Контроли не пересматривают

Процесс и данные меняются, а правило продолжает давать ложные срабатывания или пропускает новый риск.

Чек-лист выбора решения

• риски, процессы и контроли связаны в единой модели;
• поддерживаются автоматические и ручные процедуры;
• есть правила назначения по ролям и полномочиям;
• исключение требует основания и имеет срок действия;
• доказательства хранятся вместе с результатом контроля;
• нарушения связаны с причинами и корректирующими мерами;
• интеграции имеют обработку ошибок и повторов;
• аналитика показывает существенность, сроки и повторяемость;
• изменения правил версионируются;
• доступ и действия пользователей журналируются.

Частые вопросы

Чем система внутреннего контроля отличается от GRC?

GRC — более широкий контур управления, рисков и соответствия. Система внутреннего контроля может быть его частью и фокусироваться на процедурах в конкретных процессах.

Заменяет ли система внутренний аудит?

Нет. Она предоставляет данные и историю, а аудит сохраняет независимую оценку устройства и фактической работы контролей.

Можно ли начать без полного реестра рисков?

Да, с ограниченного процесса. Но для каждого автоматизируемого контроля всё равно нужно сформулировать риск, цель и владельца.

Какие контроли автоматизировать первыми?

Повторяемые, критичные и опирающиеся на доступные данные: лимиты, полномочия, дубликаты, обязательные реквизиты и сроки.

Как обрабатывать исключения?

Отдельным маршрутом с основанием, ограниченным уровнем полномочий, сроком действия и последующим анализом.

Как понять, что контроль эффективен?

Он своевременно предотвращает или выявляет существенный риск, не создаёт неоправданных задержек, а его результат можно подтвердить.

Похожие записи:

Итоги конференции CNews «Роботизация бизнес-процессов 2021» 3 мифа о BPM и BPMS Comindware — Один из Первых Успешных Выпускников Сколково 2021 Нотация BPMN 2.0: ключевые элементы и описание