Почему внутренний контроль в холдинге сложнее, чем в одной компании
Система внутреннего контроля в холдинге сталкивается с уникальными вызовами, отсутствующими в монолитной компании.
Разнородность процессов и систем. Дочерние общества, приобретённые в разное время, используют разные ERP-системы, разные процессы, разную учётную политику. Построение единой системы контроля поверх этой разнородности — нетривиальная задача.
Удалённые активы. Физическое расстояние между центром и «дочками» усложняет надзор. Как убедиться, что контроли в региональных офисах реально работают, а не только задокументированы?
Конфликт между контролем и автономией. Чрезмерный контроль центра подавляет предпринимательскую активность «дочек» и замедляет принятие решений. Недостаточный — создаёт риски мошенничества и ошибок. Нахождение баланса — постоянная управленческая дилемма.
Сложность мониторинга мошенничества. Мошенничество в холдинге может быть организовано через внутригрупповые сделки — механизм, недоступный в монолитной компании. Это требует специфических контролей для внутригрупповых операций.
Компоненты эффективной системы контроля холдинга
Тон сверху (Tone at the Top). Культура контроля начинается с поведения совета директоров и топ-менеджмента. Если лидеры нарушают правила — никакие процедуры не работают. Если лидеры демонстрируют последовательное соблюдение стандартов — культура контроля распространяется вниз.
Единые стандарты и политики. Группа контрольных политик, обязательных для всех дочерних обществ: антикоррупционная политика, политика конфликта интересов, финансовые полномочия, политика закупок. Дочерние общества могут иметь дополнительные политики, но не ниже группового минимума.
Централизованный внутренний аудит. Служба внутреннего аудита материнской компании имеет право и обязанность проводить проверки в любом дочернем обществе. Это важно: местный менеджмент не должен контролировать аудиторов, которые его проверяют.
Горячая линия и механизм расследования. Анонимный канал для сообщений о нарушениях (whistleblower mechanism). Независимая процедура расследования жалоб. Защита «информаторов» от преследования. Это не сигнализация — это ценный ранний индикатор проблем.
Бесплатная диагностика — результат за 5 минут
Правовая основа и практика внедрения СВК в холдинге
Кодекс корпоративного управления ЦБ РФ (рекомендации 2014 г.) прямо указывает на необходимость создания эффективной системы внутреннего контроля и управления рисками, в том числе в группах компаний. Для публичных акционерных обществ (ФЗ-208 «Об акционерных обществах», ст. 87.1) наличие службы внутреннего аудита является обязательным, а для холдингов, включающих ПАО, этот стандарт распространяется на всю группу.
Три линии защиты в холдинговом контексте. Модель трёх линий защиты (Three Lines of Defence) адаптируется для холдинга следующим образом. Первая линия — операционный менеджмент дочерних обществ, который несёт ответственность за контроли в повседневных процессах: авторизация платежей, сверка данных, контроль доступа к системам. Вторая линия — централизованные функции управления рисками и compliance на уровне корпоративного центра, которые устанавливают стандарты и мониторят их соблюдение. Третья линия — служба внутреннего аудита, подотчётная аудиторскому комитету СД материнской компании, с правом беспрепятственного доступа ко всем дочерним обществам.
Практика внедрения единых контрольных процедур. Наиболее эффективный подход — разработка группового «Руководства по внутреннему контролю» (Internal Control Manual), включающего: матрицу ключевых контролей по бизнес-процессам (закупки, продажи, казначейство, HR), требования к документированию и хранению подтверждающих документов, процедуры самооценки контрольной среды (Control Self-Assessment), график внутренних аудиторских проверок на 3 года. Каждое дочернее общество адаптирует руководство с учётом своей специфики, но базовые контроли — неизменны.
Оценка зрелости СВК. Зрелая система внутреннего контроля проходит несколько этапов: от реактивного (контроль как реакция на инцидент) через формализованный (документированные процедуры и регулярные проверки) к интегрированному (контроль встроен в бизнес-процессы и поддерживается IT-системами) и наконец к культурному (каждый сотрудник понимает свою роль в системе контроля). Большинство российских холдингов находятся на втором-третьем уровне зрелости.