Все эти инструменты в разное время прибило к нашим берегам «ветром перемен» с условного Запада. При этом сюжет их появления в российской управленческой практике, по сути, очень напоминает истории обмена между «белым человеком» и «туземцем» к несоизмеримо большей выгоде первого по сравнению с последним.
Вот только что касается управленческих технологий, во многом роль «туземцев» была за нами. А ряд управленцев проявили себя как «туземцы» в кубе, присовокупив к этим трем «всадникам управленческого апокалипсиса» и остервенелое рвение в духе леммингов и «старый добрый» карго-культ.
Что не так: общая черта
Общее для этих трех инструментов – «кривой» перевод первоисточников, порой даже с искажением исходного смысла и созданием собственных терминов, отсутствующих в оригинале. Например:
- В одной из распространенных версий перевода стандарта ИСО 31000 «Риск-менеджмент», один из ключевых терминов «controls», переведен как «средства контроля», что противоречит смыслу исходного определения. Правильный перевод «меры по управлению рисками».
- Так широко используемое в российском внутреннем аудите слово «проверка» вообще отсутствует в западной методологии, где внутренний аудит не «проверяет», а «оценивает» и «анализирует».
Далее разберем парадоксальные нюансы каждого управленческого инструмента.
Риск-менеджмент
Артефакты vs универсальная операционная методология
В российской практике риск-менеджмента чаще всего вы столкнетесь с многословными рассуждениями на тему политики по риск-менеджменту, реестра рисков, вселенной рисков, идентификации и оценки рисков, паспорта рисков. Все это представляет собой то, что называется «артефактами». В независимости от масштабности и степени креативности (а скорее, кривотивности) собранной коллекции, все эти «артефакты» будут иметь практическую значимость, стремящуюся к нулю. В подавляющем большинстве случаев за ними следует пустота и отсутствие конкретного ответа на вопросы «что делать?» и «как делать?».
Нюанс в том, что, например, даже в той же кулинарии намного больше универсальной методологии, чем в риск-менеджменте. Последний, в его общераспространенном содержании, это больше философия, в лучшем случае его можно конвертировать в набор принципов. Но вы никогда не увидите нечто похожее на вразумительное пошаговое описание действий для достижения физически измеримого и практически ценного результата.
Другим словами, всего того, что можно назвать методологией операционной деятельности по управлению рисками. Да, есть такие методики, как «инструмент для оценки финансового риска VaR (ValueAtRisk)», но это всегда точечные и дискретные истории, обычно имеющие солидный перечень «противопоказаний» и «побочных эффектов». Наиболее продвинутым подходом в профессиональной среде сейчас считается интеграция управления рисками в процесс принятия решений. Но, опять же, в русскоязычных источниках вы мало где встретите даже упоминание об этом. И еще меньше про то, как именно это лучше делать.
Риск-менеджмент без рисков
Если вы присмотритесь к существующей «практике» риск-менеджмента повнимательнее, то скорее всего заметите один любопытный нюанс. В качестве его объектов выступают два типа рисков.
- Полноценные риски, что-то вроде изменений погоды, действий участников рынка, законодательных инициатив, форс-мажорных обстоятельств и тому подобного. Другими словами, это то, что происходит вне вашей компании, во внешней по отношению к ней среде. Это и представляет собой реальную неопределенность, а она и является мерой риска.
- Обстоятельства, которые изнутри вашей компании влияют на результаты как отдельных процессов, так и компании в целом. Однако, в большинстве случаев эти обстоятельства не создают значимой неопределенности. Другими словами, это часть повседневной управленческой работы по управлению отклонениями и изменениями. Например, возьмем такой «риск» как «некачественный ремонт». Если внутри компании, в какой-то момент, ремонт вдруг стал «некачественным», то все, что необходимо сделать, это установить причины данного отклонения. И выполнить ряд действий для возврата результатов процесса в диапазон значений, которые интерпретируются как «качественный» ремонт. Это повседневная управленческая задача – обеспечивать требуемое функционирование конкретного процесса. Для подавляющего большинства сценариев такого рода действий отсутствует практическая целесообразность использовать термин «риск».
Парадокс в том, что в российской версии риск-менеджмента (впрочем и на Западе тоже) акцент часто делается именно на втором типе рисков, которые то и рисками называть нет особой необходимости. А по-хорошему, настоящая ценность риск-менеджмента заключается именно в способности и возможности хоть как-то управлять полноценными, внешними рисками.
Почему «хоть как-то управлять»? Да потому что в большинстве случаев у вас больше шансов лишь своевременно и адекватно отреагировать на факт реализации риска и его последствия, чем повлиять на сам факт реализации. Отсюда и берет свое начало концепция, которую Нассим Талеб изложил в своей книге «Антихрупкость. Как извлечь выгоду из хаоса». По большему счету, даже с учетом всех современных возможностей и технологий, все прогнозирование и оценка рисков сводится к одной фразе – «Все может быть!». Отсюда, на первое место выходит скорость и адекватность реакции, а не точность прогнозов. Вкупе, с оптимальным состоянием процессов компании и ее корпоративной культуры.
Внутренний контроль
«Тот, кого нельзя называть…»
Парадокс в том, что из определения данного термина вам станет не сильно понятней, что собой представляет «внутренний контроль» даже если бы вы вдруг знали его. Звучит оно так:
«Внутренний контроль – это процесс, осуществляемый советом директоров, менеджментом и другим персоналом организации, направленный на обеспечение разумной уверенности в достижении целей, связанных с операционной деятельностью, подготовкой отчетности и комплаенс».
В чем же парадокс? Вместо словосочетания «внутренний контроль» подойдет еще множество слов, которые обозначают вещи или явления, способствующие «обеспечению разумной уверенности в…», поскольку много чего еще может этому способствовать, включая, например вовремя прозвеневший утром будильник.
Сам по себе данный термин вступает в прямой конфликт с термином «контроль» как одной из базовых функций менеджмента. Последний в отличие от первого имеет предельно четкое и конкретное определение с управленческой точки зрения как «процесс выяснения того, является ли что-то безопасным, правильным, достоверным или находится в том состоянии, в котором должно находиться» или, другими словами, сравнение/сопоставления итогового/фактического результата с плановым/ожидаемым. Управленческого хаоса добавляет тот факт, что частенько термин «внутренний контроль» используется как синоним термина «контроль» при том, что их суть существенно различается.
«Из тьмы веков» – история создания и появления
Все началось в 30-х годах прошлого века, когда концепция внутреннего контроля была впервые официально декларирована, что дало старт череде бурных эволюционных изменений как самого понятия, так и его функционального содержания. Опуская подробности, можно отметить два ключевых:
- «Внутренний контроль» — это во многом изобретение бухгалтеров.
- Его проникновение в управленческий инструментарий и сленг — это комбинация активности ряда заинтересованных частных и окологосударственных структур (в основном, американских), стечения обстоятельств, управленческого невежества, авторитета американских институтов, материальной заинтересованности сферы консалтинга и карго-культа.
Термин «внутренний контроль» исключительно искусственной природы, даже можно сказать, надуманный, поскольку для объектов и явлений, которые с его помощью пытаются обозначить и описать, есть свои исходные определения. А кроме того, он еще сбивает с толку и запутывает.
Например, очень часто адепты «внутреннего контроля» относят разделение обязанностей (segregation of duties) к одному из классических «внутренних контролей». Но, по сути, оно означает, что функции распределены и выполняются таким образом, что исключается возникновение конфликта интересов, помимо эффекта специализации и стандартизации. Другими словами, речь про организацию выполнения процесса, что является одной из ключевых функций менеджмента. Так зачем в это управленческое понятийное поле, где все уже имеет свои названия и свою логику, вводить новый термин весьма абстрактного содержания?
Ко «внутренним контролям» также принято относить: обучение сотрудников, документирование транзакций, письменные политики и процедуры и еще много чего подобного. Потому и неудивительно, что этот мирок «внутреннего контроля» вызывает стойкое отторжение среди представителей менеджмента. Тех, кому есть чем заняться, разумеется, и тех, кто знаком с многообразием управленческих учений и методологий от Деминга, Шухарта, Кови, Джурана, Питерса и других до кибернетики и общей теории систем.
Внутренний аудит
От сути к этикетке
Мало кто обращает внимание на любопытный факт, что в каком-то смысле внутреннего аудита не существует. Если задуматься, что такое «внутренний аудит»? С какого-то момента он превратился из функции в торговую марку. Исторически, начиная где-то с 50-х годов прошлого века, его функционал разрастался и в какой-то момент, где-то в начале 2000-х, окончательно «вышел из берегов».
Внутренний аудит от компании к компании может различаться кардинально, вплоть до самых мелочей, начиная от компетенций сотрудников и заканчивая тематикой работы. Это как если бы в одной компании отдел закупок покупал, а в другой – воровал и грабил, но при этом, и те и другие считались бы закупщиками. А в основе лежит одна единственная причина – суть функции. Внутренний аудит — это анализ существующей информации с целью ее оценки, изменения или создания новой информации. В данных обстоятельствах вполне можно считать внутренний аудит просто функцией бизнес-аналитики. Вопрос только в степени ее сложности. Самый примитивный уровень – ревизии (и не только финансовые), самый сложный – моделирование (например, для целей реинжиниринга процессов) и прогнозирование, особенно с использованием ИТ технологий.
Внутренний аудит – это одна из немногих профессий, где профессиональные стандарты описывают что угодно, но только не прямой функционал. Другими словами, если, скажем, хирург будет оперировать вас, руководствуясь протоколами – аналогом стандартов, в которых, упрощенно, будет предписываться выполнение тех или иных манипуляций в зависимости от состояния пациента и конкретного органа, то внутренний аудитор выполняет свою работу, основываясь исключительно на собственной интуитивной оценке информации, которая попадает в его распоряжение и какую он способен воспринять. Да, конечно, это один из возможных подходов к проведению анализа, но во внутреннем аудите он вне конкуренции.
Почему внутренний аудитория – это профессия-«лемминг»
Потому что сложно назвать профессию, которая так активно пытается себя самоуничтожить. Есть подозрения, что если бы не требования законодательства большинства стран, то судьба этой профессии в исходном виде была бы иной. В силу того, что внутренний аудит очень вовлечен в тематику первых двух «управленческих инструментов», у него есть склонность создавать результаты, ценность которых с управленческой точки зрения ничтожна. Что весьма логично, поскольку риск-менеджмент и «внутренний контроль» в общераспространенном виде — это во многом параллельная вселенная с исчезающе малой практической пользой.
Внутренний аудит полон парадоксов. Например, лучшие результаты работы во внутреннем аудите достигаются при выходе за рамки стандартов и общераспространенной методологии.
Причем, чисто технически, здесь все объяснимо – поскольку внутренний аудит это в основном аналитическая работа, то здесь мало кто умеет реализовывать результаты анализа на практике. По этой причине, те внутренние аудиторы, которые дерзают и достигают в этом успеха, вызывают невольное восхищение у коллег. И здесь кроется следующий парадокс – результаты работы внутренних аудиторов часто оторваны от реальности, но при этом мало кто из них стремиться исправить этот досадное обстоятельство. Внутренние аудиторы оценивают работу систем управления, но при этом часто мало что сами понимают в их функционировании, не знают ответа на вопрос «как?», но стандарты деятельности убеждают их в том, что это нормально и не их ума дело.
И наконец, самый фееричный парадокс. Наиболее мейнстримным трендом в этой профессии считается роль «помощника бизнеса» или «бизнес-партнера». Хорошая идея в целом, но при этом подавляющая часть внутренних аудиторов в России продолжает называть свою работу «проверкой». Как вам такой «бизнес-партнер», который вместо взаимодействия, тычет в ваши недостатки, при том, что многие из них порой являются таковыми исключительно в его воображении?
Вывод
Эти «управленческие инструменты» продолжают искать свой путь в управленческое сознание, при этом часто продвигаются в качестве «волшебной таблетки» от всех корпоративных хворей. У риск-менеджмента и внутреннего аудита, есть определенный смысл и потенциал, при правильном применении и переосмыслении. Внутренний контроль — это очень специфичная история, попытка поверхностной и дискретной монополизации части управленческого инструментария, условно, под новым флагом, причем неудобные вопросы про него активно задаются и на самом Западе. Если бы не пресловутый Закон Сарбейнса-Оксли, который касался исключительно финансовой отчетности, то возможно, о жизненной необходимости «внутреннего контроля» никто не слышал бы до сих пор.
Учитывая сегодняшние реалии, возможно, российская управленческая школа получила наконец-то так необходимую ей передышку от стороннего влияния, хотя инерция идолопоклонничества и карго-культа огромна. Весь вопрос как она ею воспользуется. Возврат к состоянию «до» явно не будет правильным решением. Но насколько она будет в состоянии создать что-то свое и, главное, лучшее с функциональной и управленческой точки зрения? Увидим, а, возможно, и поучаствуем. Успехов всем нам на этом тернистом пути!
Читайте также:
Зачем вам нужна рестроспектива по рискам? Риски они про будущие события. Вот туда и надо смотреть. Речь именно про внешние риски, за периметром компании.
"Риски" по типу "не выполнен объем продаж, потому что продажник уволился" это не риски, а девиации процессов, на которые надо просто реагировать и по возможности выстраивать процессы так, чтобы это происходило своевременно. Или вообще не влияло. Понимаю звучит как лозунг, но как есть.
Любой каприз. Это на усмотрение риск-менеджера, Но почему ему не нужен реестр рисков? И при чем здесь ретроспектива?
Вы что-то обсуждаете и спорите сами с собой?
Да, обучение важно. Что-то этому объективно мешает - на Ваш взгляд?
Есть стандарты для многих отраслей, хорошая литература, различные организации и конференции, лучшие практики, неплохие курсы. Учись, если хочешь, было бы желание.
Олег, прекрасная статья! Легко читается, у вас очень хороший слог!
Тема безусловная важная!
И очень важно для меня, Вы смогли обойтись без этих дурацких слов "кейс", "токсичность" и прочей муры.
В риск-менеджменте очень много штампов и непроработанных шаблонов. Принимал участие в оценке рисков в паре-тройке федеральных компаний. Некторые читатели даже не могут представить, с какими заблуждениями иногда приходилось бороться. И эти заблуждения преподносились с очень умным видом. Например: "Надо обязательно включить в реесрт падение рынкоа недвижимости в таком-то государстве" - это про строительство дороги.
И в целом с вашим подходом согласен. Внутренний контроль - это когда совсем делать нечего и надо людей занять ревизией.
Внешнее обучение, как это странно ни прозвучит, вторично. Нужен диалог внутри компании, желательно с участием собствеников и топов. Иначе тему риск-менеджмента сочтут за очередное мимолетное увлечение. А она сама по себе очень способствует такому восприятию.
Анатолий, приветствую!
Благодарю! За то, что тема Вам отозвалась и за пару штрихов из личного опыта.
"Падение рынка недвижимости" вполне себе полноценный риск (и внешний, как полагается). Но, конечно, стоит немного подумать, прежде чем увязывать его со строительством дороги. Очень ситуативно.
По моему опыту, отношение к риск-менеджменту зависит от отрасли и размера компании.
Кто-то в топ-менеджменте банков не слышал про Basel? Или менеджеры проектов не владеют базовыми знаниями профессии и не знают о проектных рисках? Вряд ли всё настолько плохо.
Впрочем, не всё сразу. Надеюсь, что и голос риск-менеджеров будет звучать всё громче, и слушать их будут более внимательно.
Полностью согласен с автором.
Про ценность внутреннего аудита. Не от хорошой жизни, а в прямой зависимости от уровня зрелости корпоративного упарвления, ВА часто вынужден заниматься несвойственныими ему функциями исполнителя контрольных функций. И это от ВА иногда прямо требует заказчик ибо не видит другой ценности от наличия такой службы.
Принято определять функцию внутреннего контроля как систему - система внутреннего контроля и т.д. Есть "золотой стандарт" системы внутреннего контроля по Базелю - три линии обороны, про которые так много писал и говорил глава ИВА Р.Чемберс, суть которой разделение системы на слои:
В российской действительности основная тяжесть фактически перенесена на 2 линию, которую постоянно пинает, взбадривает и стимулирует, в том числе в виде собственного участия в непосрественных "сражениях", 3 линия - внутренний аудит. С посылом: "Вы (2 линия обороны) не сражаетесь/не правильно и/или не эффективно сражаетесь, щась я вам покажу как нужно сражаться!" - и как та знаменитая бабка-ежка из сказаки, прыг на лопату и в печь. Бизнесу комфортно. Условно говоря, банально воруют с производства - так для есть безопасность, пусть ловят, мы тут причем? В закупках и продажах откаты и коррупция - это к комплаенс/экономической безопасности, пожалуйста. А если еще соотвествующий преславутый "тон сверху" имеется...
Помниться была статья Питер Бониш "Excuse me, how many lines of defence? The new financial Maginot lines . . ." - видимо такие же проблемы волнуют и за бугром.
Спасибо за статью, и за предыдущие.
В заголовок вынесена идея, что управленцы неумело пользуются инструментом, а по ходу статьи складывается впечатление, что само направление не оправдывает себя. Как будто новая статья пропитана разочарованием в работе с рисками и внутренним контроле. Это так не чувствовалось в предыдущих статьях.
Ольга, приветствую!
Благодарю за проницательный взгляд! Хм, Вы верно подметили, есть некоторая досада, что пришлось побиться лбом об стену прежде, чем понять как это можно использовать иначе. Отсюда и вывод - риск-менеджмент и внутренний аудит надо использовать, но с учетом критического переосмысления.
А вот внутренний контроль, да, это во многом инсинуация. Всегда было ощущение, что это несуразный какой-то упр инструмент, а потом погрузился в историю его возникновения и стало понятней, что "нет никакой ложки!". Есть контроль, управленческий контроль, на худой конец, владельческий контроль и конгтроль такого бихейвиористского характера (который продвигает Фридман например). А вот внутренний, извините. Но термин живучий.