Про аудит, риски, контроли

Лёгкий (или не очень) дискомфорт и несколько серьезных оппонентов - признак, что мы все делаем верно? Если за годы работы во внутреннем аудите у вас не появилось пары серьезных профессиональных оппонентов, пора задуматься (да что с вами не так?)) Оговорюсь, речь не о конфликтах или личной неприязни, а в самой сути профессии. Хороший аудит неизбежно ставит под сомнение привычные подходы, принятые решения (в т.ч.управленческие), устоявшиеся взгляды, задает неудобные вопросы. Даже если мы делаем это корректно и профессионально, это, в любом случае, вряд ли вызывает восторг. Естественно, цель аудита не в создании "противников", но когда вы затрагиваете действительно важные вопросы, сопротивление - практически неизбежный побочный эффект. Это нормально и решается здоровыми коммуникациями и профессиональным подходом аудитора, хорошими наблюдениями и практичными рекомендациями. Вас могут "не любить", но приходить за советом, ценить как эксперта. А вот если ваши выводы никогда не вызывают сопротивления, все отчеты согласовываются легко (и радостно), возможно, вы выбираете самые "безопасные" темы, или слишком быстро соглашаетесь на компромиссы. Профессиональный аудитор не коллекционирует листы разногласий, но и не будет измерять качество своей работы количеством людей, которым было комфортно после проверки. Лёгкий дискомфорт (без токсичности), временами напряженные дискуссии и рабочие взаимодействия вместо дружеских - признак, что все идет как надо)) С пятницей, друзья! #InternalAudit #AuditLeadership #ProfessionalJudgment

У Norman Marks акцент на том, что ИИ может стать смертельной ловушкой для профессии внутреннего аудита (с переходом в специалистов по внутреннему контролю). Но мне кажется эта проблема существовала и до ИИ в виде привлечения аудита к несвойственным функциям…

У Norman Marks акцент на том, что ИИ может стать смертельной ловушкой для профессии внутреннего аудита (с переходом в специалистов по внутреннему контролю). Но мне кажется эта проблема существовала и до ИИ в виде привлечения аудита к несвойственным функциям (никто, кроме вас не справится/не можем доверять/нам спокойнее, когда через аудит прошло и т.д.) или даже спроса с аудита за то, что мы вообще-то должны оценивать, а не контролировать (легендарное "куда смотрел аудит" слышал, наверное каждый аудитор). Мы и сами не раз обсуждали в канале и смешение ролей, и риски профессии. Хочется здесь оставить классную фразу из его поста, которая 💯 вам откликнется: То, что мы можем, не значит, что должны. В обратную сторону, кстати, это тоже вроде работает, господа доверенные консультанты-аудиторы))) Умеем, практикуем, наносим пользу, но, на мой взгляд, это эталонная роль для второй линии. Хотите быть консультантом, почему тогда вы вн.аудиторы?... #мысли #понравилось

👁"Красота в глазах смотрящего" по-аудиторски) В нашей профессии есть интересный феномен - с одним и тем же набором данных, документов, доступов к людям и системам часто у разных аудиторов будут разные выводы, наблюдения, области внимания. И даже плюсы в процессах. Сейчас я не имею в виду чисто комплаенс-аудит, смысл которого проставить да/нет по определенному чек-листу. А именно полный аудит, с хорошим погружением в процессы. Со временем, нарабатывая опыт, у каждого аудитора формируется свой подход, свой взгляд, который считывается в программах, отчетах (не стиль написания в духе: "Саша хорошо пишет", а именно фокус - "кого что цепляет"). Что для одного важно, другой не заметит, и наоборот, кто-то пройдет мимо, а кто-то увидит потенциальный риск или крутое решение, которое можно масштабировать на всю компанию. Кто-то уцепится за очевидное, но малозначимое несоответствие, а кто-то - через цепочку мыслей подсветит то, что пока в зеленой (безопасной) зоне, но имеет потенциально огромное влияние. При этом, источники для выводов у обоих будут одни и те же. В чем тогда разница? Это не вопрос знаний "о предмете", а скорее широты или узости мышления. Уметь не только "смотреть", но и "видеть". 💪Хорошая новость - жизнь показывает, что аудиторское мышление можно круто прокачать, плохая - у всего есть срок, если эту мышцу не развивать, она атрофируется (тот случай, когда годы работы без развития больше вред, чем польза). Развивать аудиторское мышление - это не только изучать новые стандарты, отрасли или технологии. Очень полезно сравнивать свой взгляд (не формулировки, не в них дело) со взглядом других аудиторов: обсуждать кейсы, читать чужие отчеты, разбирать выводы коллег, задавать вопросы, думать, не только о том, что ты видишь, но и о том, что ты мог упустить. Недавно я писала о том, что хороший отчет - показатель качества аудита, хочется к этому добавить еще одну мысль: качественный аудит - это отражение качества мышления аудитора. Картинка из поста коллеги в LinkedIn, по итогам которого сформулировала свой. Делитесь, что или кто помогает вам расширять аудиторский кругозор, мышление, как вы пришли к тому, как вы сейчас мыслите, на что смотрите? #InternalAudit #AuditThinking #AuditReport

👍 Классный отчет Именно это я и имел в виду, просто другими словами)) слова коллеги, после того, как мы с ним финализировали отчет. Люблю работать с аудиторскими отчетами, реально считаю, что помогаю повышать их ценность и практичность (этап согласования драфта отчета). Как-то примерно считала - несколько сотен точно прошло через меня за эти годы. Сталкивалась с тем, что многие коллеги делают акцент на "умеет/не умеет писать". Это действительно важно для внутреннего аудитора (да и в целом, в корпоративном мире) - уметь выразить свою позицию письменно. И стоит этот навык прокачивать 💪 Но часто дело не столько в формулировках, сколько, в целом, в подходе. Хорошими получаются отчеты по итогам, где аудитор отлично разобрался в контексте, причинах, продумал как будут выполняться его рекомендации и какой эффект от них можно получить. А это уже зависит от самого процесса аудита, от коммуникаций, погружения, желания разобраться, умения задавать полезные вопросы и работать с информацией. Качественные отчеты - показатель качества аудита. Если есть сложности с формулировками, но аудит проведен хорошо, помочь отработать "красоту", подсветить важное легче и быстрее. Хуже, когда на этапе согласования отчета руководитель задает вопросы по процессу, на которые команда ответить не может, а это важно, требует довыяснения нюансов и может влиять на выводы. "Красивыми" текст отчета делают не буквы и их комбинация)), а смысл, польза, ясность Так-то можно и классный результат не заметить за туманными фразами и сложными конструкциями, но это уже тема для другого поста. ❓Коллеги, представьте, что вас попросили поделиться честным отзывом на отчет и у вас 10 минут на быстрый просмотр отчета, на что бы обратили внимание в первую очередь? ❓Классный отчет, чаще на вашей практике (не обязательно у вас, а вообще, из опыта), это - цель или средство? #внутреннийаудит #InternalAudit #InternalAuditReport

Простой вопрос и одновременно #hardchoice На практике аудиторы нередко сталкиваются с ситуациями, когда нет единого владельца процесса / риска или системы. "Важно, но это не к нам/не только к нам/мы можем свою часть подготовить". Иногда это срабатывает, но редко получается какой-то сильный вариант. Особенно, когда речь о такой корпоративной боли корпората как политики/регламенты, которые регламентируют деятельность многих подразделений / затрагивают деятельность всей компании. В итоге пока в жарких дискуссиях решается (назначается) "главный" за документ, все это время компания живет без четких правил игры. Встречала такое несколько раз по разным вопросам, но сегодня хочу поднять тему именно по политикам/правилам использования AI инструментам в компании и пообсуждать, кто на ваш взгляд должен быть владельцем внутреннего документа, какие вы знаете успешные и не очень успешные примеры? Из тех вариантов, о которых я знаю, владельцы политик и координаторы/инициаторы вопроса использования AI встречались среди: • ИБ • ИТ • риск-менеджмента • комплаенс • стратегов. Как думаете, к кому из этих (или ваш вариант) подразделений вопрос ближе всего и самое главное - почему? ❗️Вопрос, конечно, не только в том, чтоб написать политику и забыть о ней, имею в виду полноценное "владение", а не формальные 5-7 страниц текста.

Нет текучести - это круто или рано радоваться? Увидела в ленте интересную мысль о том, что не только высокая текучесть кадров - риск для компании, но и аномально низкие её значения. Мы практически не обсуждаем отсутствие текучести как риск (не оцениваем его), скорее это рассматривается как "успех" кадровой политики. С одной стороны стабильная команда - это накопленная экспертиза, понимание бизнеса и процессов, экономия ресурсов на адаптацию. С другой - пропадает эффект свежего взгляда, снижается приток новых идей, подходов, практики, нет обмена опытом в духе: "у нас было похожее, решали вот так..." Плюс "старичков" мало уже чем удивишь, многое кажется привычным фоном. Если рассматривать на примере аудиторской команды - наблюдений каких-то новых все меньше, нередко замечания / рекомендации становятся повторяемыми, риски и контроли известны. Это - верные признаки развития профессиональной слепоты. Вспомните, когда в последний раз к вам приходил новый человек, с другим опытом, из другой сферы (или вы сами были таким человеком). Замечали, как "свежая кровь" оживляет работу, добавляет профессиональных дискуссий и историй, новизны отчетам, программам? Процессы оставались те же, но появлялись новые наблюдения, предлагались новые решения, менялись подходы. Я точно не призываю вас поменять половину команды, чтобы запустить процесс профессионального обновления. Но, возможно, уже пора задуматься - как вы обеспечиваете приток новых идей, взглядов, практик, если текучесть низкая и команда практически не меняется годами? Могу ошибаться, но мне кажется для второй и третьей линий это очень актуальный недооцененный риск. Задумывались ли вы об этом, может есть какие-то примеры из окружения? #internalaudit #riskmanagement

Выйду в отпуск - напишу кучу постов какой-нибудь летней серии про аудит, чтоб легкое, но полезное. Не пишется, простите, друзья. Вернусь с новыми мыслями и идеями чуть позже. Всем лета, солнца, моря, счастливых детей)) А если уже были в отпуске или пока не светит, от души желаю успевать среди рабочих будней находить время для отдыха, солнца, перезарядки батарейки 🩵

Всего 2 года за помощь в отмывании 5,5 млн нарко долларов Бывший сотрудник розничного подразделения TD Bank NA, приговорен к 2м годам за получение взяток и содействие отмыванию более 5,5 миллионов долларов в Колумбии. В т.ч. открывал "левые" счета, разблокировал заблоченные из-за подозрительной активности карты. Источник ❗️Из важного, на что стоит, в очередной раз обратить внимание банковским внутренним аудиторам, AML-офицерам, антифрод специалистам, коллегам из ИБ: - как выстроены процессы открытия счетов, карт, какие там контроли; - как настроены блокировки в случае подозрительной активности и какой механизм их снятия (кем и на основании чего); - права и доступы в системах: что прописано, и что реально возможно (тестирование прав доступа); - какие триггеры настроены, кто и каким образом, в какой момент времени может узнать (случайно или это оперативное выявление) о несанкционированных действиях. Такие новости - источник для размышления и способ не наступить на #чужиеграбли #internalaudit #AML #статья

Коллеги, каждый день число ботов, которые хотят попасть в чат растет)) Всех удалять не успеваю, на утро они снова появляются. Если где-то пропускаю ваши заявки и не подтверждаю, пишите в личку @Katerina_proaudit и сразу представьтесь, пожалуйста, чтоб я вас добавила. Своим всегда рады 🤝