В кабинетах многих российских генеральных директоров словосочетание «система внутреннего контроля» (СВК) до сих пор вызывает зевоту. Для большинства это папки с пыльными регламентами, которые достают перед проверкой ЦБ или налоговой, а всё остальное время они просто занимают место на сервере.
Но что, если посмотреть на модель трех линий защиты не как на требование регулятора, а как на оптимальный способ спасти компанию и собственников от негативных последствий? В условиях, когда ошибка в закупках может стоить годового бюджета, а зависшая IT-система — недельной выручки, правильная настройка этих самых «линий» отделяет прибыльный бизнес от неудачников.
Суть модели «трех линий защиты»
Главная ценность концепции - разграничение ответственности и четкое разделение функций владения риском, его мониторинга и независимой проверки. Это исключает ситуацию, когда бизнес сам себя контролирует без внешнего объективного взгляда.
Первая линия: Бизнес-подразделения (Владельцы риска)
Это операционный уровень: производственные цеха, отделы продаж, закупки, HR, IT-разработка. В российской практике исторически сложилось так, что ответственность за риски часто пытаются переложить на профильные службы безопасности или юристов. Модель «трех линий» жестко закрепляет иное:
- Менеджеры первой линии принимают решения о принятии рисков в рамках своих полномочий.
- Они обязаны встраивать контрольные процедуры непосредственно в бизнес-процессы (например, проверка контрагента перед отгрузкой товара, двойное подтверждение платежа).
По сути, на этом уровне идея заключается в том, что компания перестает платить за чужие ошибки из своего кармана. Когда менеджер знает, что лимиты заблокированы внутри ERP-системы, он не сможет отгрузить товар сомнительному контрагенту ради выполнения плана. Результат - минус один кассовый разрыв и отсутствие судов с безнадежными дебиторами.
Российская специфика: на этом уровне критически важно преодолеть ментальность «авось». Контроль должен быть автоматизирован внутри информационных систем, чтобы минимизировать человеческий фактор при рутинных операциях.
Вторая линия: Функциональные контроли (Мониторинг и методология)
К ней относятся служба управления рисками (СУР), отдел комплаенс, финансовый мониторинг, юридический департамент, информационная безопасность и казначейство. Их задача - не выполнять работу бизнеса, а устанавливать правила игры:
- Разработка методик оценки рисков, определение лимитов и триггеров.
- Мониторинг соблюдения аппетитов к риску, утвержденных Советом директоров.
- Консультирование первой линии по сложным кейсам.
Вторая линия традиционно «нелюбима» бизнесом. Считается, что эти специалисты только и умеют, что говорить «нет». При правильном применении модели их задача меняется. Они переводят абстрактные угрозы на язык денег, понятный совету директоров.
Фраза «у нас слабый контроль доступа на склад» звучит как белый шум. А вот фраза «отсутствие контроля означает простой производства на 5 дней и прямой убыток в … миллионов рублей» - это уже повод немедленно выделить бюджет на систему контроля. Вторая линия экономит вам деньги, подсвечивая дыры в процессах до того, как через них утечет вся маржа.
Российская специфика: вторая линия несет основную нагрузку по взаимодействию с регуляторами (ЦБ РФ, Росфинмониторинг). В компаниях с госучастием именно здесь концентрируется основной бюрократический аппарат, отвечающий за отчетность перед государством. Кроме того, вторая линия отвечает за соблюдение требований импортозамещения ПО и защиту критической информационной инфраструктуры (КИИ).
Третья линия: Внутренний аудит (независимая гарантия)
Служба внутреннего аудита (СВА) подчиняется напрямую Совету директоров (Комитету по аудиту) и функционально независима от исполнительного руководства (Генерального директора).
Аудиторы проверяют реальное функционирование и эффективность как первой, так и второй линий и оценивают надежность системы внутреннего контроля в целом.
Независимый внутренний аудит существует не для того, чтобы искать мелкое воровство кладовщиков. В настоящее время в российской практике, одна из важнейших ее функций - защита первого лица от субсидиарной ответственности. Наше законодательство стало жестким: если собственник или гендиректор не выстроил работающую систему контроля, при банкротстве он будет отвечать своим личным имуществом. Наличие реально независимой третьей линии, которая докладывает напрямую Совету директоров, а не главе компании - это единственный юридически значимый аргумент в суде, доказывающий, что вы сделали всё возможное для предотвращения убытков.
Российская специфика: главная проблема СВА в отечественных компаниях - конфликт интересов, когда директор по внутреннему аудиту назначается генеральным директором. Для работоспособности модели необходимо прямое утверждение бюджета и плана аудита Советом директоров, минуя топ-менеджмент.
Алгоритм запуска модели в компании
- Диагностика текущего состояния.
Проведение воркшопов с руководителями направлений для выявления того, кто де-факто занимается контролем сегодня. Зачастую выясняется, что первая линия отсутствует, а весь контроль сосредоточен в бухгалтерии. - Формализация риск-аппетита.
Совет директоров должен перевести абстрактные опасения в цифры. Например: «Простой производства более 5 дней недопустим, так как это стоит нам … млн рублей выручки». Только после этого у менеджеров первой линии появляется понятная метрика для принятия решений. - Перераспределение штатной численности.
Сокращение избыточных ревизионных отделов и передача полномочий по оперативному контролю на места (первая линия) с сохранением за штабными службами только методологической роли. - Создание каналов эскалации.
Четкий регламент: при каком уровне отклонения менеджер обязан остановить процесс и доложить на вторую линию, а когда вопрос выносится на Комитет по рискам. - Синхронизация планов.
План работы Службы внутреннего аудита на год должен строиться на основе карты рисков, сформированной второй линией, но утверждаться независимо.
«Три линии защиты» - как инструмент устранения конфликта интересов
В отечественной бизнес-культуре, где исторически сильны неформальные связи, высокая дистанция власти и склонность к централизации решений на уровне генерального директора, риск сговора или сокрытия операционных проблем крайне велик.
1. Разделение функций «Исполнение», «Контроль» и «Проверка»
В классической российской структуре часто возникает ситуация, когда руководитель подразделения сам ставит задачи, сам их выполняет и сам же отчитывается об их успешности. Это создает идеальную среду для манипуляций отчетностью.
Первая линия (бизнес-подразделения) преследует цель извлечения прибыли. Их интерес - максимизация результата здесь и сейчас. Конфликт интересов заложен в самой природе бизнеса: ради выполнения плана менеджер может проигнорировать риск.
Вторая линия (риск-менеджмент, комплаенс) лишена KPI по прибыли. Ее сотрудники получают бонусы за качество идентификации рисков и соблюдение лимитов. Они физически не могут быть материально заинтересованы в сделке, которую одобряют, что исключает личную заинтересованность в обходе правил.
Третья линия (внутренний аудит) вообще исключена из операционной деятельности. Аудитор не несет ответственности за финансовый результат, его единственный заказчик - Совет директоров. Ему безразлично, будет ли сделка прибыльной, ему важно, соблюдена ли процедура ее одобрения.
2. Изменение вектора подотчетности
Главный конфликт интересов в российских компаниях - подчиненность всех контрольных служб исполнительному руководству (генеральному директору). Если директор службы внутреннего аудита или риск-менеджмента назначается приказом CEO, он становится частью управленческой команды и теряет объективность и независимость.
Корректная имплементация модели трех линий требует разделения административного и функционального подчинения:
- Административно (бюджет, кадры, рабочее место) вторая и третья линии могут подчиняться топ-менеджменту.
- Функционально (утверждение планов проверок, оценка эффективности, право прямого доклада) они замыкаются на Совет директоров или Комитет по аудиту.
Это гарантирует, что при выявлении нарушений со стороны самого генерального директора или членов правления, контролеры второй и третьей линий не побоятся эскалировать проблему собственникам компании.
3. Внедрение роли «Оппонента»
Конфликт интересов часто носит скрытый характер: менеджеры разных уровней вступают в сговор ради получения общих бонусов. Вторая линия защиты выступает в роли обязательного проверяющего. Любая крупная инициатива первой линии (например, закупка дорогостоящего оборудования у связанного лица или выдача крупного кредита) должна пройти через фильтр независимой оценки рисков. Поскольку у риск-менеджера нет интереса в закрытии сделки, он вынужден искать в ней уязвимости. Это разрушает горизонтальные коррупционные цепочки внутри менеджмента.
4. Прозрачность и автоматизация доказательной базы
В российских реалиях конфликт интересов часто маскируется ссылками на «устные распоряжения руководства». Модель трех линий вынуждает формализовать процессы. Чтобы первая линия могла доказать выполнение своих обязанностей, а вторая - обосновать претензии, внедряются процессы мониторинга и архив доказательств.
Когда каждое действие логируется в информационной системе, скрыть личную заинтересованность менеджера (например, выбор конкретного поставщика вопреки тендерным правилам) становится технически невозможно, так как отклонение от регламента мгновенно фиксируется второй линией.
Типичные конфликты и их разрешение в рамках модели
Продажи давнему контрагенту без предоплаты -Менеджер хочет выполнить план продаж и получить бонус, игнорируя кредитный риск.
- Первая линия обязана запросить лимит.
- Вторая линия блокирует сделку, если превышен аппетит к риску, невзирая на планы продаж.
- Третья линия проверяет, не было ли исключений сделано по звонку сверху.
Закупка ИТ-оборудования - Руководитель отдела закупок имеет личный интерес в выборе аффилированного поставщика.
- Процедура тендера регламентирована второй линией (комплаенс). Выбор победителя протоколируется.
- Внутренний аудит (третья линия) проводит пост-аудит обоснованности выбора единственного источника.
Сокрытие операционных убытков - Топ-менеджмент боится падения акций и давления акционеров, скрывая потери.
- Служба внутреннего аудита (независимая от менеджмента) в ходе ежегодной проверки финансовой отчетности неизбежно выявляет резервы, созданные некорректно, и сообщает об этом напрямую Комитету по аудиту.
Таким образом, модель трех линий превращает управление конфликтами интересов из вопроса личной порядочности руководителей в вопрос системной архитектуры компании. Она делает невыгодным и технически сложным нарушение этических норм, создавая систему сдержек и противовесов, которая работает автономно от персоналий, находящихся у руля.
Модель трех линий эффективно работает только тогда, когда каждая сторона понимает свою выгоду. Бизнес-подразделения получают четкие границы дозволенного и не боятся проявлять инициативу. Штабные службы получают рычаги влияния без ругани в коридорах. А собственники спят спокойно, зная, что между их капиталом и хаосом стоят три работающих барьера, а не стопка бумаги с надписью «Политика управления рисками».
Если Генеральный директор начинает получать отчеты об убытках не постфактум, а видит предиктивные индикаторы от второй линии до того, как риск материализовался - это означает, что модель перестала быть теоретической надстройкой. В современной экономике выживает не тот, кто избегает рисков, а тот, кто их видит, измеряет и осознанно принимает быстрее конкурентов. Эффективная система внутреннего контроля становится значимым конкурентным преимуществом, обеспечивающим доверие акционеров и устойчивость бизнеса.
