Введение в финансовую безопасность компании и методы ее диагностики
Высокие геополитические риски и растущая неопределённость развития мировой экономики повышают значимость инструментария аналитических процедур и искусственного интеллекта в выявлении рисков, их диагностики и снижении угроз финансовым интересам и деловой репутации компании. Кроме того, практика показывает, что применяемые методы диагностики недостаточно эффективны.
Результаты глобальных исследований [1] финансовых преступлений и мошенничества доказывают, что компании разных отраслей по-разному подвержены данным рискам. Например, строительство лидирует по фактам и объему искажения финансовой отчетности, занимая 2 место (25%) после коррупции (47%), что объясняется структурой отрасли, в которой большую долю составляет малый и средний бизнес, пробелами в законодательстве, наличием льгот, высокой долей теневой и коррупционной составляющей. Зарубежные исследования, представленные в отчете ACFE (Association of Certified Fraud Examiners) также подтверждают, что строительная отрасль отличается высоким уровнем искажения финансовой отчетности (16%) [2,3].
В этой связи развитие аналитики финансовой безопасности компаний в различных отраслях, способствующей диагностике рисков корпоративного мошенничества и финансовой несостоятельности, представляет высокую актуальность и значимость, обусловленную их влиянием на результативность системы государственных закупок, взаимоотношения с контрагентами, достоверность аудиторского подтверждения их деловой репутации.
Цель статьи заключается в раскрытии сущности аналитических инструментов диагностики рисков финансовой безопасности компаний, основанных на концепциях профессиональных стандартов аудита [4] и подготовки финансовой отчетности, что обеспечивает уверенность для заинтересованных сторон. При этом важно учитывать, что понятие финансовой безопасности компании достаточно многоаспектно, включает целую совокупность количественных и качественных характеристик, проявляющихся во влиянии неопределенности бизнес-среды, стабильности, устойчивом развитии, платежеспособности, оборачиваемости, способности обеспечивать эффективную стратегию, быстро реагировать на изменения, быть конкурентоспособной и добросовестной компанией, противодействии угрозам корпоративному мошенничеству [5].
Кризисы и санкции, структурная перестройка, перепрофилирование, увеличение отраслевых, финансовых и нефинансовых рисков существенно влияют на финансовую безопасность компаний. Аналитику и диагностику финансовой безопасности следует рассматривать с позиции концепции устойчивого развития, ориентированной на стейкхолдеров, а также с позиции рискориентированного подхода к вероятности финансовой несостоятельности бизнеса и корпоративного мошенничества (угрозы финансовых потерь в результате мошеннических действий), а также с учетом отраслевых и иных институциональных особенностей компаний. При этом на достоверность диагностики и оценки рисков финансовой безопасности в значительной степени влияет релевантность используемых показателей и методов. Проводимые исследования [5] подтверждают, что отраслевые и секторальные риски, прежде всего, влияют на операционную эффективность компаний, а ее показатели могут служить индикаторами финансовой безопасности. Наиболее эффективным инструментарием оценки рисков финансовой безопасности мировым опытом признаются такие аналитические процедуры [6], как отраслевой анализ, выявление факторов и рисков финансовой безопасности; оценка и прогнозирование рисков вероятности банкротства с использованием логистической регрессии; диагностика рисков корпоративного мошенничества на основе индикаторов, оценивающих вероятность искажений показателей финансовой отчетности [5]. В то же время, достоверность полученных оценок зависит от качества проведенного отраслевого анализа, позволяющего выявить риски финансовой состоятельности и корпоративного мошенничества как агрегированного результата действия риск-факторов в условиях высокой турбулентности современной экономики.
Корпоративное мошенничество в условиях цифровой экономики
Одним из критериев устойчивого развития компании является обеспечение безопасности бизнеса, включая защиту от корпоративного мошенничества и коррупции со стороны сотрудников, контрагентов и других стейкхолдеров. Система финансовой безопасности защищает компанию от производственных убытков, снижения качества продукции, потери прибыли, ухудшения репутации, снижения эффективности бизнеса. С корпоративным мошенничеством сталкиваются как небольшие компании, так и крупные корпорации, при этом риски возрастают по мере повышения должности преступника, доступа к конфиденциальной информации, расширения должностных полномочий. Цифровизация бизнес-процессов с одной стороны, способствует увеличению возможностей выявления и предупреждения службой безопасности случаев корпоративного мошенничества, а с другой стороны, возрастают и риски осуществления мошеннических действий [7,8].
Корпоративное мошенничество в российском и международном законодательстве определяется как преступление, базирующееся на обмане и совершаемое с целью получения экономических выгод, умышленное, продуманное неправомерное действие сотрудников компании, связанное непосредственно с их должностным положением и обязанностями, направленное на получение личной выгоды и удовлетворения собственных интересов, вопреки интересам компании, путем хищения ее активов с умышленным воздействием на финансово- хозяйственную деятельность. В 1953 г. американский социолог Д.Тресси разработал систему, объясняющую корпоративное мошенничество с точки зрения трех составляющих: давления (стимула), возможности и оправдания, получившую название «треугольник мошенничества». Давление происходит из-за наличия факторов, заставляющих совершать мошеннические действия. Это может происходить со стороны инвесторов, которые обладают определенными ожиданиями в отношении финансовых результатов, или личное давление менеджмента, оплата труда которого зависит от полученных результатов. Возможность появляется, когда в компании отсутствует либо слабая система внутреннего контроля, локальные нормативные акты по идентификации и диагностике недостаточно разработаны. Сотрудник пользуется доверием, или знает о конкретном недостатке внутреннего контроля, что при наличии первого фактора (давление) повышает его соблазн пойти на мошенничество. Оправдание является конечным звеном в системе. Если присутствуют два остальных фактора, то для совершения мошеннического поступка необходимо личное оправдание. Если личные качества сотрудника, его ценности, уровень воспитания позволят оправдать свои действия, то мошенничество в отношении компании, в которой он работает, будет осуществлено.
Существует несколько основных риск-факторов, которые приводят к корпоративному мошенничеству: слабый контроль управления в системе менеджмента; наличие финансовых нарушений, которые носят регулярный характер; отсутствие формализованных процедур, предусматривающих правила взаимодействия внутри компании [7].
Корпоративное мошенничество может принимать разные формы в зависимости от того, какие слабые места существуют в компании и какие способы смогут найти сотрудники, чтобы извлечь из этого свою выгоду. Обычно их действия подпадают под три основных категории: коррупция, мошенничество с отчетностью и присвоение активов. В зоне риска обычно находятся сферы, где сложно контролировать расходы организации: инвестиционные проекты; капитальное строительство; финансы и операции с наличными средствами; закупки и снабжение; продажи; благотворительность; логистика. В конкретных бизнес-процессах присутствуют свои факторы риска. Например, в операционных процессах: существенные отклонения фактических значений показателей от запланированных в операционном бюджете; нетипичные недостачи или корректировки на складе; необоснованные расходы; необъяснимые колебания уровня брака; избыточные закупки, наличие значительных остатков материалов и готовой продукции, низкая оборачиваемость товарно-материальных ценностей; избыточные пени, неустойки, не предусмотренные условиями договоров. В бухгалтерском учете и отчетности: проводки без документального подтверждения; необъяснимые корректировки в дебиторской задолженности, кредиторской задолженности, выручке или расходах; проводки сделаны сотрудником, который обычно этим не занимается; нетипичные проводки сделаны в конце финансового периода [9].
В процессе документооборота: отсутствуют первичные документы, необходимые подписи в первичных документах, имеются копии документов вместо оригиналов, содержатся исправления в инвентаризационных ведомостях, отсутствуют подписи членов комиссии при проведении инвентаризации; имеются расхождения при сверках задолженности с поставщиками и покупателями, содержатся изменения в документах, внесенные вручную [10]. Наиболее значимые финансовые и нефинансовые потери компании от корпоративного мошенничества для компании проявляются в виде потери репутации, снижения качества продукции, утраты деловых связей с партнерами, снижения эффективности деятельности, замедления темпов роста бизнеса, ухудшения климата в коллективе, снижения конкурентоспособности, кредитоспособности и инвестиционной привлекательности, потери активов и прибыли, увеличения обязательств и расходов [9].
Среди методов противодействия корпоративному мошенничеству в целях обеспечения финансовой безопасности компании используются следующие [11]:
- антикоррупционная комплаенс-программа как система правил и процедур, направленных на предотвращение коррупционных проявлений, которая позволяет компаниям не только защитить себя от возможных рисков, но и повысить свою репутацию в глазах клиентов, партнеров и государственных органов;
- Кодекс этики как ключевой элемент антикоррупционной комплаенс-программы, содержащий правила поведения сотрудников, морально-этические нормы;
- процедура проверки «третьих лиц», обеспечивающая дополнительный контроль за деятельностью компании для выявления случаев коррупции среди контрагентов и партнеров, включающая предварительную проверку платежеспособности, финансовой устойчивости, благонадежности, репутации на рынке, наличия аффилированности с третьими лицами и компаниями;
- внутренний контроль за ведением бухгалтерского учета, обеспечивающий предупреждение финансовых манипуляций: неправильное отображение проводок, некорректное отображение статей доходов и расходов компании с целью приукрашивания финансовой отчетности и сокрытия финансовых махинаций;
- разграничение конфиденциальности доступа к информации;
- обучающие программы для персонала по противодействию коррупции (как следует себя вести в ситуациях, когда безопасность компании находится под угрозой, и как можно предотвратить потенциальные случаи мошенничества со стороны других сотрудников, контрагентов и т.д.;
- анонимное информирование или «горячая линия» о появлении подозрительных операций, запросов, действий сотрудник;
- постоянное обучение, обобщение и обмен лучшим опытом выявления случаев корпоративного мошенничества, практических методов распознания и противодействия ему;
- понимание неотвратимости и прозрачности системы наказания за совершение мошеннических действий.
Аналитические процедуры выявления рисков корпоративного мошенничества
Для выявления рисков мошенничества используются различные аналитические процедуры.
Процедуры анализ финансовых данных (табл.1): финансовых отчетов, сверка данных и выявление аномалий в финансовых показателях, что может указывать на возможное мошенничество; необычных или сомнительных транзакций, несоответствий в финансовой отчетности, неправильных учетных записей и неожиданных изменений в финансовых показателях.
Таблица 1
Примеры процедур анализа финансовых данных на наличие признаков корпоративного мошенничества
Процедуры анализа данных о клиентах и поставщиках: анализ целостности и достоверности информации о клиентах и поставщиках, сверка данных с публичными источниками, анализ необычных или подозрительных транзакций. В настоящее время работу службы экономической безопасности невозможно представить без использования сервисов информационно- поисковых систем «Контур.Фокус», «Интегрум», «СПАРК» и др. по проверке контрагентов, экспресс-оценке рисков, поиску аффилированности между компаниями и физическими лицами.
Процедуры анализа данных мониторинга внутреннего контроля: анализ результативности системы внутреннего контроля компании для выявления слабых мест, которые могут создавать возможности для мошенничества, например, возможности заключения фиктивных контрактов с контрагентами. В связи с этим необходимо создать прозрачную систему заключения сделок с контрагентами, а также не только внутренний, но обязательно и внешний аудит проверки договоров на их корректность.
Процедуры анализа поведенческих показателей: идентификация аномалий в поведении сотрудников или контрагентов, таких как неадекватная или необычная активность, частые изменения карьерных позиций или повышения, необъяснимое обогащение. За данными процессами должны следить руководители отделов, подразделений, дочерних предприятий и т.д. При обнаружении каких-либо подозрительных признаков они должны сообщить в службу безопасности для дополнительной проверки сотрудника. К данным признакам также может относиться: работа в выходные, активное лоббирование интересов какого-либо поставщика, низкий процент выполнения KPI, анализ наличия у сотрудника активов, не соответствующих уровню зарплаты, обращений, поступивших по горячей линии, данных с камер видеонаблюдения, беседы с увольняющимися сотрудниками [12].
Процедуры аудита безопасности информационных систем: проверка систем безопасности, установка протоколов мониторинга, обнаружение потенциальных уязвимостей и анализ журналов событий для выявления подозрительной активности. Для этого необходимо применение специализированного программного обеспечения, которое может анализировать данные, выявлять аномалии или несоответствия, в частности искусственный интеллект способен выявить лучше, чем человек, определенные махинации в различных системах [13, 14, 15].
Процедуры вовлечения внешних экспертов: заключение соглашений о сотрудничестве с агентствами, специализирующимися на выявлении мошенничества, чтобы проводить внешние ревизии для выявления потенциальных рисков и уязвимостей организации, а также для проведения независимого расследования.
Применение аналитических процедур искусственного интеллекта
Цифровая трансформация расширяет возможности диагностики финансовой безопасности и прежде всего, корпоративного мошенничества за счет аналитических процедур и использования искусственного интеллекта. Искусственный интеллект повышает результативность диагностики за счет более глубокого анализа информации, повышения безопасности и конфиденциальности, а также риск-ориентированного подхода [14]. В то же время анализ практик применения аналитических процедур с включением искусственного интеллекта выявил комплекс проблем, связанных с сохранением целостности, достоверности и безопасности информационных массивов, что создает потенциальные угрозы бизнесу, создавая новые риски для внутреннего контроля. Кроме того, адаптация системы внутреннего контроля к постоянным изменениям в IT-сфере и соответствующих нормативных актах требует постоянного развития цифровых компетенций и навыков корректировки управленческих и организационных процедур. Поэтому переход к цифровой диагностике должен внедряться поэтапно, чтобы избежать сбоев в операционной деятельности бизнеса, успевать своевременно обучать кадры новым методам проведения IТ-тестирования, а также непрерывным изменениям в технологической сфере, информационных и коммуникационных технологиях, информационной безопасности, которые являются обязательными для эффективного IТ-контроля в динамично меняющейся бизнес-среде [16,17,18]. Процесс цифрового обновления способен трансформировать управление корпоративными рисками, направив его к мониторингу в режиме реального времени, подтверждению предсказательных данных, сокращая вероятность финансовых потерь. Искусственный интеллект требует большей прозрачности финансового учета, что как раз и ожидает совет директоров, чтобы принимать более обоснованные стратегические решения на основе более эффективных процедур подготовки финансовой информации, которые также снизят риск манипуляций с отчетностью и повысят уровень корпоративного управления. Одной их продвинутых практик применения аналитических процедур контроля с участием искусственного интеллекта считается опыт компании ООО «ВК» (рис.1).
Обозначения: СВК – система внутреннего контроля, КП – контрольные процедуры
Рис. 1. Архитектура настройки аналитических процедур контроля с участием искусственного интеллекта
Компания использует собственный программный продукт VK GRC, включая аналитику, в частности, оценку полноты и достоверности информации, сравнение фактических и плановых показателей, выявление «отклонений», оценку эффективности работы компании и ее бизнес-процессов, рекомендации по совершенствованию контрольных процедур с использованием различных цифровых технологий, в том числе машинного обучения и Big Data [19].
Таким образом, цифровизация деятельности службы финансовой безопасности способствует повышению операционной эффективности средств диагностики, внедрению «непрерывного» контроля и своевременной идентификации рисков. Накопление эмпирического опыта способствует формированию базы лучших практик, что позволяет всем организациям, пользуясь такой базой, быстрее преодолевать собственные проблемы цифровизации, больше уделять внимание развитию профессиональных навыков специалистов в области финансовой кибербезопасности как главного негативного фактора цифровой экономики [20]. Аналитические процедуры диагностики, в том числе с использованием искусственного интеллекта, обеспечивают снижение нагрузки на сотрудников, оптимизируют расходы компании, а также формируют фокус возможных проблем ведения бизнеса. Использование цифровых технологий в системе финансовой безопасности и управления рисками корпоративного мошенничества позволяет выработать более эффектную стратегию внутреннего контроля безопасности компании.
