Операционный аудит: контроль денежных средств и процессов

На чём фокус операционного аудита

Финансовая отчётность показывает результат. Операционный аудит спрашивает, каким маршрутом этот результат получился. Между отгрузкой и деньгами, между заявкой на закупку и платежом, между складской карточкой и себестоимостью стоят люди, права доступа, исключения и ручные правки. Именно там собственник обычно теряет контроль, даже если P&L «в целом нормальный».

Типовые блоки: Order-to-Cash (заказ → отгрузка → счёт → оплата → дебиторка), Procure-to-Pay (заявка → выбор поставщика → приход → акт → платёж), управление запасами, казначейство, ИТ-доступы к банк-клиенту и учётной системе. Можно добавить производство, логистику или сервисный цикл — если именно там живёт экономика компании. Нельзя начинать «со всего сразу»: иначе отчёт станет картой процессов без приоритета.

Для владельца критерий тот же, что в управленческом аудите: находка должна менять решение. Если процесс «некрасивый», но не влияет на cash, маржу и возможность вывода средств, он идёт в хвост. Если процесс позволяет одному человеку инициировать, согласовать и оплатить — он идёт в начало, даже при небольших суммах.

Контур контроля денежных средств

Казначейство — первая линия, потому что именно здесь расхождение «прибыль есть, денег нет» становится проверяемым. Сверка начинается не с красивого cash flow statement, а с банковских выписок по всем счетам, включая «забытые», валютные, счета ИП собственника, через которые «временно проводили обороты», и эквайринг.

• сверка выписок с управленческим cash и с оборотами 51/52 счетов;
• права подписи, токены, мобильные подтверждения, список лиц с правом создавать платёжку;
• наличие второй руки на платежах выше порога и на платежах tied-сторонам;
• платежный календарь versus фактические списания: что систематически вытесняет приоритеты;
• кассовые разрывы при заявленной прибыльности: где застревают деньги.

Отдельный слой — связанный контур. Займы владельцу, аренда у родственников, «агентские» на ИП менеджеров, платежи поставщикам с совпадающими адресами и телефонами. Сами по себе связанные операции не преступление. Проблема возникает, когда они невидимы в управленке, не имеют рыночной логики и не проходят через тот же контроль, что платежи независимым контрагентам.

Если в компании один человек видит банк, 1С и согласование заявок, операционный аудит почти наверняка найдёт не «злой умысел», а конструкцию, в которой злоупотребление слишком дёшево. Для собственника это вопрос архитектуры контроля, а не вопрос доверия к конкретному сотруднику.

Закупки: где прячется маржа

Procure-to-Pay — классическое место потерь в mid-market. Формально есть заявка, счёт и акт. Фактически поставщика выбирает тот же человек, который закрывает документы и торопит оплату. Конкурс отсутствует или имитируется. Цена «как вчера», хотя рынок снизился. Номенклатура дробится, чтобы не пересечь лимит согласования собственника.

Рабочие процедуры в этом блоке:

• концентрация топ-20 поставщиков и динамика цен по повторяющимся позициям;
• совпадение реквизитов, адресов, директоров с сотрудниками и связанными лицами;
• оплаты без прихода, приходы без заявок, акты задним числом;
• ручные корректировки себестоимости и пересорт на складе без audit trail;
• авансы поставщикам, которые живут дольше операционного цикла.

Собственнику не обязательно превращать закупки в корпоративный тендерный комитет. Достаточно нескольких контрольных точек: независимый список поставщиков по критичным категориям, порог второй подписи, запрет оплаты без прихода выше порога, ежемесячный отчёт по отклонениям цен. Операционный аудит как раз показывает, какие из этих точек отсутствуют и сколько это примерно стоит.

Продажи и дебиторка: где прибыль не становится деньгами

Order-to-Cash ломается иначе, чем закупки. Скидки живут в переписке. Отгрузка уходит раньше, чем согласован лимит клиента. Менеджер закрывает план выручкой, которую потом не собирают. Возвраты и бонусы ретро не попадают в управленческую маржу. Для отчёта всё выглядит как рост, для казначейства — как замороженный оборотный капитал.

Проверка смотрит связку «заказ — отгрузка — счёт — оплата — просрочка». Если выручка растёт быстрее сборов, вопрос не в «рынке», а в качестве дебиторки и в полномочиях коммерческой службы давать отсрочку. Если крупные клиенты имеют индивидуальные условия, которых нет в договоре, покупатель в будущей сделке или банк в ковенантах зададут тот же вопрос — только уже с дисконтом.

Склад и запасы как скрытое финансирование убытка

«Мёртвые» запасы — удобный способ не признавать потерю маржи. Товар есть в карточке, его нет в ликвидности. Незавершёнка растёт, потому что брак не закрывают. Пересорт позволяет закрывать период без инвентаризации. Для собственника это прямой удар по cash и по любой будущей нормализации EBITDA: покупатель или кредитор вычтут неликвид из стоимости быстрее, чем менеджмент успеет объяснить «сезонность».

Минимальный операционный тест: свежая инвентаризация критичных позиций, возраст запасов, сверка с отгрузками, правила списания, кто может менять количество и себестоимость в системе. Если менять может тот же человек, что отвечает за результат склада, контроль отсутствует независимо от регламента на бумаге.

Типовые зоны потерь

Повторяющийся набор, который имеет смысл держать в голове до старта, а не после толстого отчёта:

• завышенные закупки и устойчивые «премии» посредникам;
• неучтённые скидки и ретро-бонусы клиентам;
• неликвид и пересорт;
• ручные корректировки без следа и без второго согласования;
• совмещение ролей «инициировал — согласовал — оплатил»;
• зависимость процесса от одного сотрудника, без которого «1С не закроется».

Операционный аудит не обязан сразу квалифицировать это как мошенничество. Часто это просто система, которая никому не принадлежит. Для владельца экономический эффект тот же: маржа утекает, а отчёт это маскирует.

Что получает собственник

Пакет должен быть исполнимым:

• карта процессов с red flags и указанием, где ломается контроль;
• выборка транзакций с пояснением суммы, периода и ответственного контура;
• оценка влияния на cash и маржу — хотя бы в диапазонах, без театральной точности;
• рекомендации по контрольным точкам: платежи, закупки, склад, доступы;
• план на 90 дней: что закрыть в первую очередь, кто владелец, какой индикатор на контрольной точке.

Связка с другими форматами прямая. Если вопрос шире процессов — прибыльность, мост отчётности, качество управленки — это уже управленческий аудит. Если вопрос «проверить всё перед продажей» — см. аудит перед продажей. Операционный контур остаётся правильным стартом, когда собственник чувствует утечку, но не видит её в отчёте.

Как начать за две недели, не разворачивая «аудит всего»

Если собственник не готов к комплексному контуру, стартовать можно с казначейства и топ-закупок. За десять рабочих дней обычно хватает: выписки, список подписантов, топ-20 поставщиков, топ-20 платежей tied-сторонам, список людей с доступом к банк-клиенту. Этого достаточно, чтобы понять, есть ли конструктивный провал контроля или речь о точечных исключениях.

Такой экспресс не заменяет операционный аудит. Он отвечает на более узкий вопрос: можно ли оставлять текущий платёжный контур без изменений. Если ответ «нет», следующий шаг — расширить P2P и склад. Если ответ «контур живой, но маржа всё равно хуже плана», фокус смещается в O2C и себестоимость, а не в новые регламенты казначейства.

Доступы и учётная система как часть процесса

Операционный контроль существует не в Word-регламенте, а в правах 1С, банк-клиента и почты, через которую уходят согласования. Если главный бухгалтер может править закрытый период, а менеджер склада — себестоимость, регламент о «четырёх глазах» ничего не стоит. Поэтому в периметр входят матрица доступов, журнал изменений критичных справочников и ответ на вопрос, кто реально может сделать проводку «задним числом».

Для собственника это часто неприятный слой: он обнаруживает, что «так исторически сложилось». Историчность не отменяет риск. Покупатель и банк прочитают ту же матрицу как слабость контроля. Исправление дешевле до внешней проверки, чем в Q&A сделки.