Про аренду репутации и субсубсубсубподряд.

Всё страньше и страньше! Всё чудесатее и чудесатее! Всё любопытственнее и любопытственнее! Всё страннее и страннее! Всё чудесится и чудесится!
Льюис Кэрролл «Алиса в Стране чудес»

Консалтинг в условиях кадрового голода все чаще идет на достаточно сомнительные решения. Деньги сегодня важнее, чем репутация завтра.  Пара свежих историй на тему и пара советов покупателям услуг.

История первая: … в доме, который построил Джек.

На днях мне предлагали принять участие в проекте для аутсорсинговой компании. Необходимо было наладить систему контролей, организовать ее внешнюю оценку и отчетность для потребителей услуг. Продажу осуществила представитель «Большой четверки» где-то на западе. Для реализации «на местах» решили кого-то привлечь. Достаточно распространённая практика, пока все нормально. Но дальше что-то пошло не так. Кому-то местному захотелось выступить посредником и, за часть денег, нанять еще кого-то. И пошло, поехало.  Пожалуй, сейчас я не восстановлю всю цепочку передач. Где-то в этой цепочке появилась компания из одного человека, созданная месяц назад, которая подряжала фрилансера, который пытался привлечь меня. Сколько еще участников до первичного исполнителя – я так до конца и не разобрался. Но если бы я дал согласие на участие в этом абсурде, то был бы как минимум субсубсубпорядчиком.
Очевидно, что данный подход чреват как для покупателя, так и для продавца. Покупатель, который заплатил за качество и опыт известной компании, получит ораву бесполезных прихлебателей и неопытных дешевых исполнителей, которые придут подзаработать учась. Вероятность завершения проекта качественно и в срок - крайне мала. Для продавца данный подход – это серьезный репутационный риск. Когда проваливаются проекты, мало кто помнит фамилии исполнителей, но все помнят название компании, с которой был заключен договор. Спросить что-то с субсубсубподрядчиков вряд ли получится, да и репутацию этим не поправишь. А репутация для таких компаний – это почти все.

История вторая. Репутация в аренду, недорого.

Финансовый кризис и кадровый голод достаточно сильно подрезали возможности компаний уровня «Большой четверки», что неблагоприятно отразилось на их качестве услуг. Все чаще в сообществе звучат фразы, что «четверка уже не та», а значит и незачем платить больше. Компаниям «второго эшелона» это открыло прекрасные перспективы участия в тендерах, где раньше шансов выиграть было не много. Но в тендерах нужно показать опыт и знания. У «Четверки» - пускай и пошатнувшаяся, но репутация и опыт большого количества успешных проектов. А аргумента «я так тоже могу» не достаточно. Можно, конечно, взять субподрядчиков с нужно квалификацией. Но им придется отдать практически все, да и свои сотрудники опыта не наберутся. Что же делать? А давайте возьмем репутацию в аренду!
На этой неделе звонит HR менеджер из компании «второго эшелона». Так, мол, и так, учувствуем в тендере и для квалификации не хватает сертификатов. Можно мы вас заявим в нашей команде? Делать ничего не нужно – мы все сами. Ошарашенный этим «предложением», спрашиваю, почему, по их мнению, это могло бы быть мне интересно?  HR менеджер бодренько заявляет, что мой интерес в деньгах за аренду моих сертификатов. Готовы оплатить полгода…  В общем, какой конкретно сертификат им был нужен я так не спросил.  И сколько, по их мнению, стоит моя репутация, тоже.  Вежливо отказался, чем вызвал неподдельное удивление HR менеджера, и попрощался. Второй раз меня ошарашил знакомый из «четверки», который, услышав мою историю, сообщил, что сейчас это – нормальная практика.
Видимо, я слишком консервативный и старомодный. Знаю значение слова «неэтично» и помню времена, когда репутация чего-то да стоила. А сертификаты … пускай пока лежат.  Без аренды.

Что с этим делать?

Риски, связанные с привлечением субподряда или заменой команды на менее квалифицированную, существовали всегда. Но вероятность реализации этих рисков при таком подходе растет многократно. Хорошая новость в том, что средство, которое подходило раньше, сгодится и сейчас. В тендерной документации требуем раскрытия информации по квалификации команды с детализацией участия (роль, задачи, часы) каждого члена команды в проекте. Всю эту историю потом детально отражаем в договоре. И прописываем механизмы на случай, если консультант хочет кого-то менять. Т.е. как и кому консультант озвучивает намерения, как оценивается квалификация кандидатов на замену, кто принимает финальное решение.
Также прописывает пункт о том, можно ли привлекать субподряд. Если да – кому конкретно, механизмы утверждения каждого члена команды. Ну и запрет на дальнейшую передачу. По большому счету, в субподряде нет ничего плохого, если он грамотно обоснован и контролируется.

Те же линии, только в профиль (дополнение)

Institute for Internal Controls - Ukraine & Belarus chapter любезно повозил меня носом за предыдущий пост. Мол, «критично, актуально, своевременно», но где предложения? Согласен, призыв к действию потерялся в эмоциях.

Пока это проект и документ находится в стадии широкого обсуждения, еще не поздно что-то поменять. Или сохранить. Кому что ближе. То, что я сейчас наблюдаю в сообществе - неравнодушные раскололись на два лагеря. Одна часть пытается удержать за эту модель и не хочет ничего менять потому, что «это -  очень серьезные изменения» и «так сразу резко нельзя».  Вторая настроена радикально и предлагает серьезный пересмотр вместо косметических обновлений.

Лично я больше склоняюсь к позиции второй группы, поскольку,  проблемы, на которые все жалуются, лежат в самой сути модели:

 

Название

Для начала, нужно перестать называть это защитой. Этот комментарий витает последние лет шесть. Катализатором послужил выпуск публикации «Три линии защиты в эффективном риск-менеджменте и контроле». Управление рисками - это не про defense, это скорее про offense. Слово defense сразу формирует образ реактивного поведения и определяет риск сугубо как негативное воздействие. Хотя риск, как мы помним, имеет двойственную природу. Добавление слова «проактивный» в текст модели помогает очень слабо. Кто-то скажет, что суть важнее названия. Я считаю, что название должно отражать суть.

 

Количество линий

В модели «трех линий» куча ролей, не относящейся ни к одной из линий. Почему их игнорируют и упрямо называют тремя линиями? Потому, что три – сакральное число?   Дело даже не в количестве линий. В сообществе неоднократно рисовали и 5 линий и даже 7 линий. Сама суть в том, как роли, принадлежащие той или иной линии, взаимодействуют друг с другом.  

 

Количество ролей и распределение на линиях

Количество ролей в модели просто огромное и все разделены заборчиками. Один отвечает за пуговицы, второй – за рукава и т.д. Это очень дорого, особенно в крупном бизнесе!  А коммуникации между всеми этими ролями? На практике они гораздо сложнее, чем нарисовано на картинке, с которой так трепетно не хочет расставаться Институт. Может, если их все отобразить графически, будет гораздо легче понять, что эти коммуникации сложны и запутаны, а роли – избыточны? И, возможно, дать более детальную информацию о вариантах совмещения ролей? Что-то более внятное, чем use your professional judgement.

В общем, если вы согласны или не согласны, но тема вам не безразлична – пишите рабочей группе IIA. Срок приема комментариев – до 19 сентября.

Проект документа и ссылка на предоставление обратной связи тут https://global.theiia.org/about/about-internal-auditing/Pages/Three-Lines-of-Defense-Review-Exposure-Document-and-Survey.aspx

 

IIA пересматривает модель «трех линий защиты» - те же линии, только в профиль?

Институт внутренних аудиторов наконец услышал нарастающую с каждым годом критику модели трех линий защиты (3 lines of defense) и выкатил для всеобщего обсуждения пересмотренный документ. Решит ли он насущные потребности бизнеса?

Начинается документ с перечисления былых заслуг модели. Мол, за 20 лет почти везде внедрена, простая, легко объяснить и легко понять, красиво распределены роли.  Но что поделать, время идет, капризный менеджмент придумывает с каждым годом все новые требования. Даже выпущенная в 2013 году публикация «Три линии защиты в эффективном риск-менеджменте и контроле» вызвала только дополнительную волну критики. Мол, негибкая модель и ее реактивный подход мало чем помогает в эффективном риск-менеджменте.  И вообще – риск-менеджмент – это не про защиту, сколько линий не нарисуй.  Пришло наконец время подогнать модель под новые потребности. Даешь расширение скопа модели - с защиты ценностей в создание ценности!

Начало отличное, идем дальше. А дальше у нас по документу – проверенная временем картинка с беглым описание модели, за которыми следует Анализ модели. И тут начинают закрадываться смутные сомнения. Почему-то анализ рассматривает исключительно сильные стороны модели и предлагает варианты как их можно еще усилить. Т.е. недостатков вроде как бы нет вообще. Может за счет усиления сильных сторон удастся избавиться от слабых? Всех раздражает реактивность модели – давайте впишем слово «проактивность».  Внутренний аудит не соответствует ожиданиям – напишем «стратегический партнер» и «доверенный советник».   Модель негибкая и ограниченная – давайте размоем линии.  Это вообще отельная тема. Как «смещение стратегического фокуса». Никто из членов рабочей группы не смог дать четкое определение что же это значит, он оно однозначно должно дать нужную гибкость. Два размытых абзаца рассуждений: о масштабируемости, в зависимости от размера и зрелости компаний, и возможности в отдельных случаях размывать линии, - приводят нас к глубокому выводу о том, что в конце концов, все зависит от обстоятельств.  Только это никак не помогает цели сохранить модель простой и понятной. А дописанное слово «проактиность» не делает таковой модель.

Дальнейший текст документа по сути – прежний документ. С малой толикой косметики и гомеопатическими правками, которые не достойны отдельного разбора.   

В целом документ формирует устойчивое восприятие того, что рабочая группа не заинтересована в существенных изменениях. Вместо этого изо всех сил старается убедить нас в том, что «наша дохлая лошадь гораздо лучше, быстрее и дешевле». Главное – бережно сохранить то, что мы впаривали менеджменту последние 20 лет. Ведь иначе будут неприятные вопросы. А их никто не любит.

продолжение поста тут

Не лучшие практики ИТ-аудита

Недавно ISACA и Protiviti выпустили 5-е совместное исследование практик ИТ-аудита под названием «Глобальный взгляд на лучшие практики ИТ-аудита».  Обе компании достаточно уважаемые и с огромным опытом в области как ИТ так и аудита.  И именно поэтому исследование вызвало у меня столько недоумения. Не буду теребить тему того, что слово «лучшие» в контексте «практик» совсем не уместно. Это «ведущие», причем в смысле «наиболее распространённые на текущий момент». Но это перфекционистические бантики. А вот что действительно вызывает непонимание, так это позиционирование ИТ-аудита, как какого-то отдельного направления, которое должно взаимодействовать с аудитом. Да и взгляд на оценку ИТ-рисков тоже вызывает вопросы. Но давайте все по порядку. Выжимки сквозь призму субъективного восприятия.

Резюме для руководителей

Обычно этот раздел документа пишется для не имеющих времени и не желающих вникать в технические детали руководителей. В него включаются основные мысли, которые мы хотим до этих самых руководителей донести.
В исследовании этот раздел состоит из вступления о быстроразвивающихся технологиях и рисках кибер-безопасности, мало отличающееся от вступлений предыдущих исследований. После чего идет 6 наиболее важных по мнению ISACA и Protiviti наблюдений:

1. Новые технологии, инфраструктурные изменения в ИТ, а также вопросы информационной безопасности – наиболее распространённые технические проблемы, с которыми сталкиваются ИТ-аудиторы. 
2. Поиск квалифицированных ресурсов (в сфере ИТ-аудита) – по-прежнему проблема. 
3. Во многих организациях ИТ-аудит подотчетен руководству мимо руководителя внутреннего аудита, что делает его работу неэффективной.
4. Оценка ИТ-рисков абсолютно необходима.
5. ИТ аудит нужно больше вовлекать в ИТ-проекты на ранних стадиях.
6. Большая часть лидеров ИТ-аудита не могут объяснить сложные технические проблемы не-технической аудитории.

На этом резюме для руководителей внезапно заканчивается. На какие мысли руководителей должен был натолкнуть этот неструктурированный поток сознания – остается загадкой. Лично меня это натолкнуло на следующие мысли:

1. Если задать вопрос про технические проблемы и предложить список ответов, логично, что выбирать будут те области, в которых их больше всего. Поэтому тренд такой стабильный.
2. Проблема в поиске квалифицированных ИТ аудиторов - это часть общей проблемы поиска квалифицированного персонала для внутреннего аудита вообще. К тому же ситуация усугубляется тем, что для эффективной работы ИТ аудитор должен обладать совокупностью навыков, крайне редко сочетаемой в одной личности.
3. Почему во многих компаниях ИТ аудит держится особняком – более-менее понятно. Не всегда понимание со стороны руководителя функции зачем же нужно это направление. Да и наблюдение номер 6 (неспособность к коммуникациям) говорит само за себя. Но вот почему сами исследователи позиционируют ИТ аудит как отдельный вид деятельности и пишут (в тексте исследования) о взаимоотношениях между внутренним аудитом и ИТ-аудитом – для меня большая загадка. Кто как не ISACA должна понимать, что ИТ – это функция поддерживающая бизнес, и которую нельзя рассматривать как что-то отдельное от бизнеса? И почему тогда ИТ-аудит – это не часть единого внутреннего аудита, рассматривающего работу бизнеса (и поддерживающие его технологии) как единое целое?
4. То же самое про риски. Какие такие ИТ-риски у компании? Если что-то случается в ИТ – каков конечный эффект? Пострадает ИТ или бизнес, который эти ИТ поддерживает? Почему они должны оцениваться отдельно, а не комплексно с остальными?
5. В сочетании дефицита квалифицированных кадров и неспособностью доносить ими технические проблемы до не-технического руководства, рекомендация побольше вовлекать ИТ-аудиторов в начальные фазы ИТ-проектов кажется несколько преждевременной.
6. Неспособность доносить до руководства свои мысли – это всегда к неэффективности функции. Сложные технические вопросы не при чем. Дело сугубо в понимании проблемы и способности общаться. Тут если не можешь объяснить вопрос на уровне, понятном твоей бабушке – значит ты вопросом не владеешь.

Само исследование разбито на 5 разделов. Пройдемся по ним.

Наиболее популярные сейчас технические проблемы

Первый раздел показывает динамику популярности технологических проблем за последние три года (согласно этому и предыдущим исследованиям). Затем идут две страницы текста рассуждений о важности технологий, разнообразии существующих проблем, и важности человеческого фактора, написанного в лучших традициях индусского кода. Заканчивается раздел неожиданной мыслью о том, что в современном мире аудитор должен стать мостом, соединяющим пропасть между бизнесом и ИТ.

ИТ-аудит по отношению к внутреннему аудиту

Раздел посвящен развернутому обсуждению наблюдения номер 3 из резюме для руководителей и его последствий. Повторятся не буду. В конце раздела приводятся рекомендации лидерам и специалистам ИТ-аудита, некоторые из которых вызывают откровенное недоумение. Например, рекомендация «работать с руководством и правлением для обеспечения того, чтобы ИТ-аудит работал как независимая и беспристрастная функция в организации». От кого независимым? От внутреннего аудита? Почему ИТ-аудит не должен быть неотъемлемой частью внутреннего? И почему в существенные наблюдения не попал тот факт, что только 65% опрошенных руководителей функции внутреннего аудита обладают достаточной компетенцией для того, чтобы обсуждать технические вопросы с аудиторским комитетом? Не в этом ли истинная причина положения ИТ-аудита? А абсурдная рекомендация «стараться, чтобы минимум 20% аудиторских проверок было направлено на ИТ». С какого потолка взята эта цифра? Куда делось риск-ориентированное планирование?

Оценка ИТ-рисков

Еще один раздел из серии «мысль размытая на страницу». Единственный полезный совет – интегрировать оценку ИТ-рисков (а правильнее бизнес-рисков технического характера) в ERM.

Аудиторский план

Дважды перечитал раздел, пытаясь уловить канву, но не смог. Длинный раздел с пересказом кто как отвечал на вопросы на тему кто сколько тратит времени и ресурсов, на какие задачи и кто куда вовлечен. С промежуточными обобщениями из серии «средняя температура по больнице». В конце раздела – рекомендации никак не связанные с наблюдениями - делать ИТ-аудит по стандартам и вовлекать специалистов. И повтор опуса про «независимый ИТ-аудит».

Навыки и возможности

Последний раздел также представляет собой длинное перечисление ответов у кого сколько ресурсов, планируется набор новых, есть ли сертификаты, сколько денег тратится на обучение и т.д. В конце набор «ценных» рекомендаций на тему того, что нужно покупать тренинги, всем по сертификату CISA и 40 часов профессионального обучения в год.

В сухом остатке

В целом исследование представляет собой длинный (почти 50 страниц) набор плохо структурированного текста. Много наблюдений без выводов и немного рекомендаций мало связанных с наблюдениями.  Концовка в стиле «кипи купи наши услуги!» только усугубляет негативное восприятие и невольно наводит на мысль, что навязывание покупки услуг – единственная цель исследования. 

Обзор изменений стандартов внутреннего аудита 2017 – курс на проактивность.

2017 год не за горами и вскоре вступят в силу обновленные международные стандарты внутреннего аудита. Пока представители локальных чаптеров корпят над их переводом, решил сделать обзор изменений.
Правок в тексте достаточно много. В глаза бросается более проактивная роль руководителя внутреннего аудита (Chief Audit Executive) в частности и функции в целом. Пройдемся сначала по руководителю внутреннего аудита (дальше по тексту CAE), а потом по всему остальному.

Изменения касательно CAE

Независимость и объективность

Стандарт 1110.A1 (деятельность внутреннего аудита должна быть свободна от влияния в определении объемов аудиторских процедур, их выполнения и коммуникации результатов) дополнился требованиями к CAE раскрывать попытки влияния правлению и обсуждать последствия.
Появился новый стандарт 1112 – Роли CAE вне внутреннего аудита. В случае наличия ролей у CAE вне внутреннего аудита (например в комплайенс, риск-менеджмент) стандарт требует обеспечить механизмы, ограничивающие влияние этих ролей на независимость и объективность CAE.

Программа качества

Интерпретация 1300 (Программа обеспечения и улучшения качества) дополнилась пожеланием к CAE активно привлекать правление к надзору за программой обеспечения и улучшения качества.
Аналогичное дополнение появилось также и в 1312 (Внешняя оценка), где CAE должен активно «поощрять» правление проводить внешнюю оценку для того, что снизить риск конфликта интересов.
В 1320 (Отчетность по программе обеспечения и улучшения качества), который требует от CAE коммуницировать результаты работы программы менеджменту и правлению, появилось детальное содержание такой отчетности:

• Частота и объем внешней и внутренней оценки.
• Квалификация и независимость оценщика (ов) или группы по оценке, в том числе потенциальные конфликты интересов. 
• Выводы оценщиков.
• План корректирующих действий.

Стандарты деятельности

Изменилась интерпретация 2010 (Планирование). Теперь CAE, при разработке риск-ориентированного плана, не «принимает во внимание существующие подходы по управлению рисками, если они есть, или использует свое профессиональное мнение», а «консультируется с высшим руководством и правлением для понимания организационной стратегии, ключевых бизнес-инициатив, ассоциированных с ними рисков и процессов управления рисками».
Стандарт 2050 из «Координации» превратился в «Координацию и доверие». Теперь CAE должен не только координировать деятельность и обмениваться информацией с другими внутренними и внешними поставщиками аудиторских и консалтинговых услуг для того, чтобы исключить дублирование усилий и обеспечить адекватное покрытие, но и оценивать компетентность и объективность других поставщиков, если планирует полагаться на их работу.
Интерпретация стандарта 2060 (Отчетность высшему руководству и правлению) теперь содержит перечень того, что CAE должен включать в отчетность высшему руководству и правлению:

• Устав внутреннего аудита.
• Независимость деятельности внутреннего аудита.
• Аудиторский план и факт выполнения.
• Требуемые ресурсы.
• Результаты аудиторской деятельности.
• Соответствие Кодексу этики и Стандартам, а также план действий по устранению любых существенных несоответствий.
• Ответы менеджмента на риск, которые по мнению CAE, могут быть неприемлемы для организации.

Другие изменения

1130 (Влияние на независимость или объективность) дополнился 1130.A3, который разрешает внутреннему аудиту предоставлять аудиторские услуги в областях, где ранее предоставлялись консалтинговые, при условии, что предмет консалтинга не влияет на объективность команды.

Интерпретация 1300 (Программа обеспечения и улучшения качества) дополнилась уточнением, что внешний оценщик должен оценить соответствие Кодексу этики и Стандартам и может дать комментарии по операционным и стратегическим вопросам.

В интерпретацию стандарта 2000 (Управление деятельностью внутреннего аудита) добавлен еще один критерий эффективности управления деятельностью аудита. Теперь, помимо прочего, она считается эффективной, если учитывает тенденции и возникающие проблемы, которые могли бы повлиять на организацию.
2100 (Сущность работы внутреннего аудита) дополнено предложением о том, что репутация и польза внутреннего аудита повышаются, когда аудиторы проактивны и их оценки предлагают новые идеи и учитывают влияние в будущем.

В стандарте 2110 (Корпоративное управление) к перечню того, что должно попадать под оценку аудиторских процедур и предоставление рекомендаций, добавилось еще два пункта (причем в начало списка):

• Принятие стратегических и операционных решений.
• Надзор за управлением рисками и контролем.

Стандарт 2200 (Планирование аудиторского задания) дополнился требованием о том, что план должен учитывать стратегию компании, бизнес-цели и риски, релевантные к аудиторскому заданию. Об этом же говориться и в 2450 (Общие выводы) касательно выводов.
Согласно 2330 (Документирование информации) теперь информация, которые внутренние должны документировать для подтверждения результатов аудиторского задания, должна быть не только релевантной, но еще и достаточной, надежной и полезной.

 

В целом, достаточно здравая идея запихнуть очевидные вещи в стандарты, чтобы попробовать расшевелить приверженцев старой школы  "мы всегда так работали и все было хорошо". Посмотрим что из этого выйдет на практике.

 

P.S.

Перестановки абзацев, изменение регистра букв, замену слов синонимами и вставки ссылок на IPFF  оставлю для самостоятельной проработки истинным перфекционистам. ;)