В прошлой статье про архитектуру СБ среди практических рекомендаций была такая: раздельные KPI и бюджеты для операционного и аналитического контура — у каждого свой P&L и свои показатели эффективности, иначе общая система оценки превращается в конкуренцию за ресурсы между контурами.
Это легко сформулировать как принцип, но сложнее — наполнить содержанием. Какими именно должны быть эти показатели, чтобы они отражали реальную пользу, а не просто активность? В этой статье — про метрики аналитического контура: как считать «выхлоп» от его работы в деньгах, а не в отчётах об инцидентах.
Многие собственники убеждены, что у них «не воруют» — потому что годами не видели ни одного факта хищения, а ключевые люди в компании работают давно и пользуются доверием. Логика простая: если бы воровали, мы бы заметили.
Но отсутствие фактов — это отсутствие механизма, который мог бы их зафиксировать, а не отсутствие потерь. И когда в компании появляется СЭБ и начинает закрывать дыры в контроле — на закупках, на дебиторке, на списаниях, — первая реакция собственника часто не «слава богу, нашли», а недоверие: «откуда эти цифры, может, вы сами их придумали, чтобы оправдать бюджет?»
Разговор здесь обычно идёт на двух разных языках. СЭБ говорит про риски, уязвимости, потенциальные угрозы — а собственник слышит абстракции, которые невозможно сопоставить со строкой расходов в P&L. Бизнес принимает решения в цифрах: выручка, маржа, дебиторка, затраты. Если СЭБ не переводит свою работу в эти же координаты, любой разговор о бюджете превращается в «вопрос веры» — а веры обычно не хватает, особенно когда речь о повторном расходе год за годом.
Поэтому единственный язык, на котором СЭБ может обосновать свой бюджет, — это деньги: сколько выявлено, сколько из этого реально превращено в возврат и сколько потерь не возникло благодаря работе подразделения. Дальше — как это считается на практике.
Почему это решается реактивно
В моём личном опыте это правило подтверждается почти без исключений. За все приглашения на собеседования и проекты, где речь шла о трансформации СБ, создании службы внутреннего контроля или СЭБ «с нуля», решение в 99% случаев принималось уже после того, как обнаруживалось крупное хищение — настолько заметное в цифрах, что его невозможно было игнорировать. Не системная работа аудита, не превентивный анализ финансиста выявлял проблему первым — её выявляла сама проблема, когда становилась слишком большой, чтобы её не заметить.
Только один раз было иначе. На одном из мест работы операционный директор холдинга, которого только что пригласили в компанию, сказал прямо: для того, чтобы навести порядок и дать совету учредителей результат, который от него ждут, ему нужна СЭБ — не потому, что что-то уже случилось, а потому, что без неё он не может быть уверен в цифрах, которыми управляет.
И даже в этом единственном случае, где решение было превентивным, картина оказалась не менее показательной. В первые месяцы работы СЭБ вскрыла сразу несколько проблем разного масштаба и характера: отлаженную схему хищений на реализации квартир, попытку сотрудника среднего звена заработать «сверху» на одной из сделок (зафиксированную с поличным), системные потери на списании материалов в объёме сотен миллионов сум, попытку обмана иностранного партнёра на сумму в сотни тысяч долларов — и просроченную более года дебиторскую задолженность на десятки миллиардов сум, по сокращению которой системной работы не велось вообще.
То есть даже там, где руководство осознанно решило не дожидаться «большого пожара», масштаб уже накопленных проблем оказался сопоставим с тем, что в других компаниях обычно всплывает только после громкого скандала. Разница лишь в том, что здесь это стало стартовой точкой системной работы, а не её единственным результатом.
Эта разница в подходах — между «потушить пожар» и «не допустить пожара» — и есть разница между реактивной и системной безопасностью. Но чтобы убедить совет учредителей выбрать второй путь, нужно говорить не про пожары, а про деньги: сколько компания теряет ежегодно из-за отсутствия системы, даже если сейчас «тихо». Именно для этого нужны метрики.
Базовая формула: экономический эффект
Рабочая модель здесь простая: экономический эффект (ЭЭ) СБ — это сумма возмещённого и предотвращённого ущерба за период. Именно эту сумму логично сопоставлять с бюджетом подразделения, получая базовый коэффициент отдачи. Но дьявол в деталях — каждая из составляющих (выявленное, возмещённое, предотвращённое) считается по-разному и легко подменяется одна другой в отчётности, если СБ хочет показать себя в лучшем свете.
Выявленное и взысканное — разные вещи
Возьмём дебиторскую задолженность. СЭБ провела проверку контрагентов, по выгрузке из 1С нашла группу компаний с признаками аффилированности с менеджерами по продажам, у которых просрочка тянется месяцами без претензионной работы. Сумма выявленной «токсичной» дебиторки — условно 800 млн сум. Это факт, подтверждённый документами, и его легко красиво подать в отчёте.
Но реально взыскано из этой суммы может быть 150 млн — через претензии, переговоры, частичную реструктуризацию. Остальное либо в судах годами, либо безнадёжно. Если в отчёте фигурирует только цифра «800 млн выявлено», собственник делает вывод об эффективности СБ, который не подтверждается движением денег на счетах. А если через год СБ снова показывает «выявлено 800 млн» по тем же контрагентам — доверие к отчётности обрушивается полностью.
Поэтому правило простое: выявленное и взысканное — это два разных показателя, и оба должны идти в отчёт отдельными строками, с указанием периода и динамики перехода из одной категории в другую. Коэффициент покрытия (взыскано / выявлено) — отдельная метрика, по которой можно сравнивать периоды и подразделения между собой.
Предотвращённый ущерб — самая спорная метрика
Это показатель, который чаще всего вызывает скепсис у бизнеса, и не зря. Если потеря не наступила, её размер — это оценка, а не факт. СБ, заинтересованная показать свою ценность, обычно считает по максимальному сценарию; бизнес-функция, чьи процессы проверялись, — по минимальному или нулевому. Разница может составлять порядки.
Выход — не отказ от показателя (тогда СБ теряет мотивацию к профилактике и просто ждёт, когда убыток случится, чтобы его «возместить»), а заранее согласованные с финансовой службой правила расчёта. Например, через призму бюджета: если СБ доказала, что запланированные расходы можно сократить или не нести вовсе, разница между планом и фактом — это и есть предотвращённый убыток, подтверждённый бухгалтерскими цифрами, а не гипотезой.
Дела, переданные в правоохранительные органы: количество — не показатель
Отдельный блок метрик — материалы, переданные в УВД, прокуратуру, суды: сколько по административным составам, сколько по уголовным. Здесь для Узбекистана есть специфика, о которой важно говорить прямо.
В условиях, где правоприменение часто непредсказуемо, а судебные процессы могут идти годами без результата, само количество переданных материалов — это метрика активности, но не метрика эффективности. Можно «накрутить» отчёт десятком обращений, ни одно из которых не дойдёт до возбуждения дела или приговора, и формально показать рост показателей.
Поэтому здесь нужна не одна цифра, а воронка: сколько материалов передано → сколько принято к производству → сколько дошло до возбуждения дела (по статьям — административным и уголовным отдельно) → по скольким есть итоговое решение (штраф, возврат активов, приговор). Только на последнем этапе появляется реальный экономический эффект, который можно сложить с возмещённым ущербом. Всё, что застряло на промежуточных этапах, — это статистика процесса, а не результата, и собственнику важно уметь отличать одно от другого.
Что в итоге смотреть собственнику
Если свести это в простую конструкцию, набор вопросов к отчёту СБ выглядит так: сколько выявлено и сколько из этого реально взыскано (с динамикой за периоды); как рассчитан предотвращённый ущерб и согласована ли методика с финансовой службой; какая доля переданных в правоохранительные органы материалов дошла до результата, а не осела на этапе «находится на рассмотрении».
Такой подход не делает СБ дешевле — но делает её работу прозрачной и проверяемой, а значит, защищённой от первого же вопроса «а что мы получаем за эти деньги».
Важная оговорка: всё описанное выше — это метрики аналитического контура. У операционного контура — охраны, видеонаблюдения, контроля доступа, реагирования на нарушения на местах — другая логика и другие показатели, в основе которых профилактика и принцип наказуемости. Не стоит путать одно с другим и тем более обесценивать труд операционного блока, пытаясь применить к нему эти же метрики, — это отдельная тема, и я разберу её в следующей статье.