Аудит соблюдения регламентов (Regulatory Compliance Audit)

Аудит соблюдения регламентов (Regulatory Compliance Audit) — проверка того, насколько фактическая практика выполнения процессов соответствует утверждённым внутренним регламентам организации (см. отдельную статью «Регламентация процессов»), — принципиально отличается от аудита соответствия законодательству (см. отдельную статью), проверяющего выполнение внешних, установленных государством требований: здесь предметом проверки выступают собственные внутренние документы организации — регламенты, стандартные операционные процедуры, инструкции, — и вопрос состоит не в том, соответствуют ли они внешнему закону, а в том, реально ли им следуют на практике.

Задокументированный реальный кейс, показывающий, чем опасен разрыв между документированной процедурой и фактической практикой её соблюдения: трейдер парижского банка Société Générale Жером Кервьель имел чётко задокументированный лимит открытой позиции в 125 миллионов евро, который ежедневно должен был контролироваться риск-департаментом банка. По данным официального разбора инцидента, опубликованного самим банком, за 2007-2008 годы сработало 75 предупреждений систем контроля о его операциях — регламент формально существовал и формально фиксировал нарушения, — но Кервьель, используя знание внутренних процедур проверки, каждый раз убеждал сотрудников контролирующих подразделений фиктивными объяснениями и поддельными документами, что тревога ложная. Он накопил незадокументированные позиции на сумму, доходившую до 50 миллиардов евро — почти в полтора раза больше собственного капитала банка, — прежде чем 18 января 2008 года подозрительная операция всё же была прослежена до конца, и банку пришлось экстренно закрывать позиции в течение трёх дней, зафиксировав итоговый убыток в 4,9 миллиарда евро. Французская банковская комиссия наложила на Société Générale штраф именно за недостатки внутреннего контроля: процедуры проверки существовали в отдельных подразделениях, но не складывались в единую сквозную картину по банку в целом. Это прямая иллюстрация принципа: наличие задокументированного регламента и даже срабатывающих предупреждений ничего не гарантирует, если реальная практика проверки этих предупреждений допускает, что их можно обойти правдоподобным объяснением. Позднее выяснилось, что 75 отдельных предупреждений системы контроля — сами по себе значительное число сигналов — не привели ни к одной содержательной эскалации на уровень, который мог бы сопоставить их между собой и увидеть системный паттерн.

Происхождение и исследовательская база

Проверка соблюдения внутренних регламентов — одна из базовых функций внутреннего аудита организации, закреплённых в Международных стандартах профессиональной практики внутреннего аудита Института внутренних аудиторов (Institute of Internal Auditors, IIA) — согласно этим стандартам, внутренний аудит систематически оценивает и повышает эффективность процессов управления рисками, контроля и корпоративного управления, что напрямую включает проверку соответствия фактической практики утверждённым внутренним политикам и процедурам организации, а не только внешним регуляторным требованиям.

Ключевое различие двух типов проверки: аудит соблюдения регламентов проверяет разрыв между документом (что должно происходить согласно утверждённому регламенту) и практикой (что происходит фактически), тогда как аудит соответствия законодательству проверяет разрыв между практикой организации и внешними требованиями закона — регламент, ни разу не проверенный на предмет фактического соблюдения, рискует существовать только на бумаге, создавая ложное ощущение управляемости процесса при реальном расхождении с практикой.

Ключевой практический принцип аудита соблюдения регламентов, прямо связанный с ограничением регламентации как таковой (см. отдельную статью): регламент, не пересматриваемый регулярно, постепенно расходится с фактической практикой — именно систематический аудит соблюдения выявляет этот разрыв, показывая либо необходимость обучения сотрудников следовать устаревающему на практике регламенту, либо, напротив, необходимость обновить сам регламент, если найденное расхождение отражает реально более эффективный способ работы, найденный сотрудниками.

Ключевые идеи и принципы

1. Принцип: аудит соблюдения регламентов проверяет разрыв между документированной процедурой и фактической практикой, а не соответствие внешнему закону.

   Предметом проверки выступают собственные внутренние документы организации — соответствие им не гарантируется автоматически самим фактом их утверждения и требует систематической проверки на практике.

2. Принцип: выявленное расхождение между регламентом и практикой требует диагностики направления коррекции — обучить сотрудников или обновить регламент.

   Не каждое отклонение от регламента является нарушением, требующим исправления практики, — иногда отклонение отражает более эффективный способ работы, найденный сотрудниками, и в этом случае корректировать следует устаревший регламент, а не практику.

3. Принцип: регулярность аудита соблюдения регламентов определяет, насколько своевременно выявляется нарастающий разрыв между документом и практикой.

   Разовая проверка соблюдения фиксирует состояние на конкретный момент, но не гарантирует, что разрыв не начнёт нарастать вновь сразу после проверки, — требуется периодический, а не однократный аудит.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: интерпретируют любое отклонение от регламента как нарушение, требующее исправления практики.

   Аудит автоматически трактует выявленное расхождение как проблему сотрудников, не рассматривая возможность того, что отклонение отражает более эффективный способ работы, найденный на практике, и указывает на необходимость обновить устаревший регламент.

   Как избежать

   анализировать причину каждого выявленного расхождения перед определением, требуется ли коррекция практики или обновление самого регламента.

2. Ошибка 2: путают аудит соблюдения внутренних регламентов с аудитом соответствия внешнему законодательству.

   Организация смешивает два принципиально разных типа проверки в единый процесс, теряя специфику каждого — один касается собственных внутренних документов, другой — внешних требований закона.

   Как избежать

   явно разграничивать аудит соблюдения внутренних регламентов и аудит соответствия внешнему законодательству как отдельные, хотя и связанные процессы.

3. Ошибка 3: проводят аудит соблюдения регламентов как разовое мероприятие без регулярного повторения.

   Проверка соблюдения фиксирует состояние на конкретный момент, но без регулярного повторения не выявляет нарастающий разрыв между регламентом и практикой, возникающий со временем.

   Как избежать

   устанавливать регулярный цикл аудита соблюдения регламентов, синхронизированный с циклом пересмотра самих регламентов.

4. Ошибка 4: считают срабатывание предупреждения контроля равнозначным реальной проверке соблюдения регламента.

   В банке Société Générale за 2007-2008 годы контрольные системы формально сработали 75 раз, фиксируя нарушение лимита позиции трейдера, — но каждый раз проверяющий сотрудник принимал правдоподобное объяснение вместо самостоятельной проверки факта, и предупреждение закрывалось без реальной сверки с фактической практикой.

   Как избежать

   Проверять не факт формального закрытия предупреждения о нарушении регламента, а то, было ли реально проверено фактическое положение дел независимо от объяснений проверяемого сотрудника. Правило особенно критично для проверяющих, находящихся в постоянном рабочем контакте с проверяемым сотрудником, — личное доверие, накопленное за годы совместной работы, было именно тем фактором, который позволял Кервьелю раз за разом закрывать предупреждения правдоподобными, но непроверенными объяснениями.

5. Ошибка 5: контроль соблюдения регламента разнесён по отдельным подразделениям без сквозной картины по организации в целом.

   Каждое отдельное контролирующее подразделение Société Générale видело только часть операций трейдера и по отдельности могло счесть отклонение объяснимым — целостная картина систематического нарушения регламента лимитов складывалась только при сопоставлении данных всех подразделений вместе, которого на практике не происходило.

   Как избежать

   Собирать результаты проверки соблюдения регламентов из всех контролирующих подразделений в единую сводную картину, а не оставлять каждое подразделение с собственным изолированным взглядом на соблюдение.

План внедрения

1. Неделя 1: определить приоритетные регламенты для проверки соблюдения

   Сфокусироваться на регламентах с наибольшей критичностью или наибольшим предполагаемым риском расхождения с практикой.

2. Неделя 2: провести проверку фактической практики относительно документированных регламентов

   Собрать данные о реальном выполнении процессов и сопоставить с утверждёнными регламентами.

3. Неделя 3: диагностировать причины выявленных расхождений

   Определить для каждого расхождения, требуется ли коррекция практики или обновление регламента.

4. Неделя 4: внедрить корректирующие действия и установить регулярный цикл проверки

   Реализовать необходимые изменения и зафиксировать периодичность последующих проверок соблюдения.

   Далее: связь с регламентацией процессов — синхронизировать цикл аудита соблюдения с циклом пересмотра самих регламентов.

Как реализовать этот план с помощью фрейма «Аудит соблюдения регламентов (Regulatory Compliance Audit)» в OrgDevTools

Фрейм состоит из четырёх карточек на вкладке «Карточки», каждая соответствует одной неделе плана внедрения выше.

Неделя 1 — выбор приоритетных регламентов для проверки соблюдения.

Неделя 2 — карточка «Документ vs практика». Сюда вносится проверка фактической практики относительно регламентов — путаница аудита внутренних регламентов с аудитом внешнего законодательства прямо повторяет ошибку 2.

Неделя 3 — карточка «Диагностика расхождения». Сюда вносится диагностика причин — интерпретация любого отклонения как нарушения, требующего исправления практики (а не регламента), прямо повторяет ошибку 1.

Неделя 4 — карточка «Регулярность проверки». Внедрение корректирующих действий и регулярного цикла — проведение аудита как разового мероприятия прямо повторяет ошибку 3.

Вкладка «Итоги» явно предупреждает, если аудит спутан с проверкой внешнего законодательства.

Книги по теме

The Institute of Internal Auditors — «International Standards for the Professional Practice of Internal Auditing» (актуальная редакция). Официальные международные стандарты профессиональной практики внутреннего аудита, включая проверку соответствия внутренним политикам и процедурам.