Внедрение "продвинутой" аналитики для нужд внутреннего аудита. Часть 1.

Тема недостаточного использования аналитики данных внутренним аудитом активно продвигается в исследованиях различных консультантов последние лет восемь. При этом, согласно тем же исследованиям, растет только процент руководителей внутреннего аудита, понимающих необходимость усиления экспертизы аналитики данных. Прирост же компаний, которые усилили за этот период экспертизу, если и есть, то гомеопатический. Является ли аналитика данных чем-то новым и трудно постижимым? Нет. Другие функции активно эксплуатируют и развивают использование аналитики. Является ли она новой для внутреннего аудита? Методологические основы аналитики данных были заложены еще в конце 80-х прошлого века. Тогда же появилась концепция непрерывного аудита (continuous auditing) и первое специализированное программное обеспечение. Но тогда на пути прогресса стоял аналоговый формат информации – все в основном было в бумажном виде. Сейчас такой проблемы нет. Может аналитика, вопреки мнению консультантов, не является полезной? Аналитика, безусловно, не является решением всех жизненных проблем, но имеет огромный потенциал. Доказательством тому служат впечатляющие результаты использования аналитики другими функциями. Что же такое аналитика данных и почему же проваливаются попытки ее внедрения в функции внутреннего аудита?
Начнем с определений.

Аналитика данных определяется как процесс проверки, очистки, преобразования и моделирования данных с целью выделения полезной информации, предложения выводов и поддержки принятия решений. 

Для понятия «продвинутая аналитика» нет четкого определения, так как это субъективный термин, придуманный консультантами. Под ним подразумеваются подходы выходящие за пределы «классической» аналитики, используемой аудиторами т.е. агрегирования, фильтрации, сортировки и объединения данных. Что является венцом «продвинутой» аналитики? Мнения у консультантов также разнятся. Например, компания PWC в одном исследовании называет пять уровней зрелости аналитики данных и наивысшим уровнем считает непрерывный аудит, а в другом своем исследовании дорисовывает шестой уровень в виде предсказательной аналитики. Ну да не будем погружаться в фантазии консультантов, а остановимся на том, что существует множество методов, более продвинутых, чем распространённый сейчас (и неизменный уже лет 25) «классический» подход.
Теперь о причинах отсутствия прогресса. Согласно исследованиям различных консалтинговых компаний наиболее распространёнными трудностями при внедрении аналитики руководители внутреннего аудита называют:

• Отсутствие экспертизы
• Низкое качество данных
• Трудности в выборе программного обеспечения
• Боязнь инвестировать во внедрение аналитических систем

Если внимательно посмотреть на указанные причины, то корневой из них является только «отсутствие экспертизы». «Низкое качество данных» говорит об отсутствии навыков работать с имеющимися данными (возможно плохо структурированными или неструктурированными, сильно распределенными в системе или большего, чем умеют обрабатывать аудиторы, объема). Последние две «трудности выбора ПО» и «боязнь инвестировать» говорят скорее об отсутствии четкого понимания что именно ожидается от внедрения аналитики и каковы цели.  И это, на мой взгляд, является одной из самых главных причин. К ней я бы еще добавил завышенные ожидания от технологий и представление, что для внедрения нужно лишь купить соответствующее программное обеспечение и отправить сотрудников на тренинг по его использованию.
В основном, такая ситуация складывается из-за отсутствия опыта. Также «помогают» консультанты, которые рекомендуют просто «взять и начать использовать аналитику данных».
Пример из жизни. Руководство компании приглашает консультантов оценить эффективность функции внутреннего аудита и предложить рекомендации по ее повышению. При оценке функции внутреннего аудита консультанты оценивают и зрелость процесса аналитики данных. При этом используется классическая пятиуровневая модель зрелости процессов. Первый уровень зрелости процесса – это процесс в зачаточном состоянии, пятый – идеальный оптимизированный процесс.   При презентации результатов руководство слышит от консультантов следующее: «…Помимо прочего, мы также хотим отметить достаточно низкий уровень использования аналитики данных на уровне 1.5 из 5 возможных. Мы рекомендуем повысить уровень использования аналитики. Это существенно повысит результативность функции, охват аудита и скорость его проведения».

Тот же подход в обобщенном виде используется и в исследованиях. При этом, консультанты «забывают» упомянуть несколько нюансов. Например, при представлении результатов оценки конкретной функции, показать средний и лучший показатели по отрасли. Которые обычно достаточно далеко от заветного пятого уровня. Забывают иногда также упомянуть, что переход с одного уровня на другой занимает определенное время и рост усилий и затрат с повышением уровня не линейный, а растет по экспоненте. И для конкретной компании возможно не целесообразно достигать пятого уровня зрелости, а целевое состояние (с учетом текущих и обозримых потребностей компании) должно быть ниже.

В реальности же, внедрение аналитики данных – это не покупка программного продукта и тренинга для сотрудников, а реализация целой программы действий. Первое – определить цель, что конкретно мы хотим получить в результате. Далее, исходя из поставленной цели нужно:

• Оценить навыки, необходимые команде для достижения цели
• Выбрать соответствующие технологии и программное обеспечение
• Продумать нюансы организации процесса (доступ, безопасность, документирование, управление изменениями и т.д.)
• Определиться с методом оценки результата реализации программы
• Провести пилот (опционально)

Давайте рассмотрим каждый пункт подробнее.
Итак, первое и самое главное – постановка цели. Необходимо четко определить, что мы хотим получить в результате. И, если целей несколько, установить приоритеты. Например, в первую очередь мы хотим сосредоточится на рисках. Если да – то на выявлении новых или на более глубоком понимании существующих и для каких целей?  Например, повысить эффективность внутреннего контроля. Или уделить больше внимания противодействию мошенничеству. А может быть больше сосредоточится на обеспечении регуляторных/нормативных/договорных требований?
Другой пример, когда нас устраивает наша работа с рисками и мы хотим сосредоточится на производительности компании. Это может быть повышение продаж, сокращение затрат, повышение эффективности процессов и т.д.
Еще один набор целей лежит в области эффективности работы самой функции аудита и будет полезен как при фокусе на риски так и на производительность. Первый пример, повысить навыки визуализации данных. С одной стороны, этот навык упрощает понимание данных, с другой, повышает качество коммуникации с руководством и акционерами. Другой пример, у нас проблема с получением данных и их качеством. В большинстве случаев обе эти проблемы обусловлены отсутствием навыков по извлечению данных из различных источников и преобразованию в необходимый вид / формат для дальнейшей обработки.  Еще один пример, нам необходимо собирать и обрабатывать большое количество данных и мы хотим повысить наши навыки в этом направлении. 

При этом, цель должна быть SMART, т.е. конкретной, измеримой, достижимой, релевантной и определенная по времени. Это даст как минимум 50% успеха.
В результате мы получаем желаемую цель или набор целей. Если их несколько, и мы не можем реализовывать все цели одновременно (так и есть в большинстве случаев) – нужно определить их приоритетность. 
Исходя из целей мы определяем какого вида данные нам понадобится обрабатывать. Например, мы больше работаем с случившимися событиями и нас интересуют исторические данные. Или мы фокусируемся на том, что происходит сейчас, и обработке данных в реальном времени. А может быть нас интересуют события будущих периодов и нам нужна предсказательная аналитика.
Все это повлияет на определение необходимых навыков и выборе технологий и программного обеспечения.

В следующий раз пройдемся по подбору персонала и выборе модели сорсинга, а также по выбору программного обеспечения и технологий.