Архітектура замість аудиту: Наталя Лаврик про систему, у якій фрод просто не має де відбутися

Класичний аудит запізнюється завжди. На цій незручній думці побудована книга, яку цього року випустила Наталя Лаврик — заступник фінансового директора Wilmar International, однієї з найбільших агропромислових груп світу.

За понад двадцять років роботи в міжнародних корпоративних фінансах вона прийшла до висновку, що традиційні моделі контролю описують втрати, але не вміють їх зупиняти. У відповідь на це вона розробила власну методику — Clear Finance Architecture (CFA-Method), у якій контроль не виконує окрема людина, а виконує сама фінансова система компанії. Помилкова чи зловмисна транзакція в ній просто не може відбутися — її не пропускає структура.

— У книзі ви досить різко порівнюєте традиційний аудит із роботою патологоанатома. Це не надто жорстко щодо колег по професії?

— Патологоанатом — фахівець високого класу. Просто його клієнт уже не може скористатися висновком. Так само з аудитом: він приходить, коли період закритий, цифри здані, рішення ухвалені. Можна детально описати, чому компанія втратила гроші. Повернути їх з опису — не можна. Двадцять років працюючи в різних юрисдикціях, я бачила одне й те саме: щоразу, коли аудитор фіксував втрату, ставало очевидно, що її можна було побачити за пів року. Просто ніхто не дивився туди, куди треба, і не тоді, коли треба.

— Що означає «не туди»?

— Фінансова функція у великій компанії — це чотири, п'ять, шість окремих світів. Казначейство живе своїм циклом, податковий відділ — своїм, бухгалтерія закриває періоди, управлінська звітність будує власні моделі. Кожен дивиться на одну й ту саму транзакцію зі свого ракурсу. А між цими ракурсами є простір — і саме в ньому роками можуть жити помилки. Не тільки помилки. Виведення капіталу майже ніколи не виглядає як виведення капіталу. Воно виглядає як маркетинговий контракт, складна структура хеджування, комісія посереднику у третій країні. Класичні методи цього не ловлять, бо шукають у звичних місцях.

— Тобто проблема не в людях, а в самій конструкції.

— Саме так. Це й був той момент, коли в мене почала складатися методологія. Я довго перечитувала стандарти — IFRS, COSO, SOX — і ніяк не знаходила відповіді на просте питання: а що відбувається між підрозділами? Стандарти добре описують ролі. Хто за що відповідає, у якій послідовності, з якими повноваженнями. Але стик між цими ролями не описаний ніким. У моїй практиці саме там і виникали найбільші втрати.

— І ви почали малювати цю схему самостійно.

— Малювати — правильне слово. Я роками робила схеми на полях звітів, на дошках у переговорних. Поступово склалася структура з шести компонентів: формалізація правил і політик (Policy & Process Mapping), розмежування фінансових контурів (Financial Contour Separation), інтеграція з ERP через автоматичні контрольні точки (Automated Checkpoints), безперервна аналітика з системою алертів (Continuous Analytics & Alerts) і окремий блок про застосування методу у M&A-угодах, де ризики мають свою специфіку. Це й є Clear Finance Architecture.

— У чому принципова відмінність вашого підходу від звичних моделей контролю?

— У класичній моделі контроль — це людина, яка щось перевіряє. У моїй — це властивість самої системи. Уявіть живий організм. Він не вирішує щоразу, пропускати інфекцію чи ні. Він просто влаштований так, що чужорідне не приживається. У книзі я вживаю термін «цифровий імунітет». Правила прописуються один раз і живуть усередині ERP. Якщо платіж не відповідає цим правилам — він не йде далі. Без обговорень, без винятків, без «давайте якось вирішимо це питання». Усі контури спираються на єдину базу даних — Single Source of Truth — і перевіряють одне одного. Спробуйте поправити цифру в одному блоці — її одразу відкине сусідній.

— Звучить як модель саме для жорстко зарегульованих ринків.

— Вона з ними й виросла. США сьогодні — найвимогливіше середовище у світі для фінансових порушень, і логіка там проста: непрозора компанія — це загроза не лише її акціонерам, а й системі загалом. Тому штрафи серйозні, репутаційна шкода буває фатальною, а персональну відповідальність CFO ніхто не списує. У серйозному Due Diligence досвідчений інвестор давно не дивиться лише на цифри. Він дивиться на логіку контролю за ними. Якщо ця логіка тримається на доброчесності окремої людини — інвестор спокійно йде шукати інший актив. CFA-Method я будувала як спільну мову, якою компанія може говорити одночасно з американським регулятором, європейським аудитором і азійським міноритарним акціонером.

— У такій моделі змінюється сама роль CFO.

— Радикально. Раніше від фінансового директора чекали підтвердження достовірності. Він стояв у кінці процесу й відповідав за те, що цифри правильні. У новій моделі він на початку. Його робота — спроєктувати середовище, у якому з грошей компанії просто не може зникнути нічого незапланованого. Це я в книзі й називаю переходом від обліку до стратегічного захисту капіталу. Інший масштаб мислення. І, чесно кажучи, фактично інша професія.

— З чого ви радите починати компаніям, які думають: ми б теж хотіли так, але як підступитися?

— Без жодних дорогих рішень. Сядьте і випишіть, як рухається інформація про фінанси між відділами. Де вона переходить із системи в систему. Де хтось править руками. Де є людина, яка може в Excel поставити іншу цифру — і ніхто цього не побачить до закриття кварталу. Коли ви це візуалізуєте, слабкі місця проявляться самі, без консультантів. Це найдешевша діагностика з можливих. Далі вже питання архітектурне: як зробити так, щоб система контролювала себе сама, не покладаючись на пильність окремих людей.