Кратко

  • Исход для фирмы — административное урегулирование с признанием обстоятельств.В июне 2019 года KPMG признала факты, изложенные в предписании SEC, подтвердила указанное нарушение правил PCAOB, согласилась на порицание и предписание о прекращении противоправных действий, выплатила штраф в размере 50 млн долларов и приняла программу этики и добросовестности с независимой проверкой. Это не признание вины по уголовному делу.

  • Две линии поведения нужно рассматривать вместе, не смешивая их.Первая касалась конфиденциальной информации о планировании проверок PCAOB и работы над уже завершёнными аудитами. Вторая — обмена ответами и манипуляций с проходными баллами на внутренних учебных экзаменах. Методы различались, но в обоих случаях проверялось одно: способно ли давление из-за показателей вытеснить профессиональную добросовестность.

  • Индивидуальные дела со временем менялись.Согласительные предписания SEC содержат собственные выводы и санкции. Уголовное дело дало признания вины, вердикты присяжных и приговоры, но позднейшие судебные постановления отменили признания вины и судебные решения и прекратили обвинения после изменения закона о нематериальной информации регулятора. Исторические вердикты нельзя выдавать за действующие приговоры.

  • Исправление недостатков должно подтверждаться на уровне отдельных операций.Проверки при найме, журналы доступа к информации, история рабочей документации, контроль экзаменационных заданий, предписания о сохранении документов, протоколы расследований, дисциплина и оплата труда требуют независимого тестирования. Отчёт о существовании политики не доказывает, что она работает, когда давление проверок или карьерных ожиданий велико.

  • Комитеты по аудиту имеют законный интерес к получению гарантий.Им не следует добиваться конфиденциальной информации регулятора о выборке проверок. Им следует спрашивать, может ли фирма продемонстрировать полную изоляцию от такой информации, неизменяемые записи о завершении аудита, содержательную оценку обучения и защищённую эскалацию, когда речь идёт о старших руководителях качества.

Правовая карта начинается с предписания в отношении фирмы

Вобъявлении на уровне фирмы, опубликованном SEC, говорится, что KPMG выплатила штраф в размере 50 млн долларов для урегулирования обвинений в неправомерном использовании данных PCAOB и списывании на внутренних учебных экзаменах. Там же указана необычная процессуальная особенность: KPMG признала факты, изложенные в предписании Комиссии, и подтвердила, что действия фирмы нарушили правило PCAOB о добросовестности и дали основания для мер по разделу 4C Закона о биржах и правилу 102(e) Комиссии. Эти признания относятся к KPMG LLP в рамках данного административного производства.

Точность важна в обе стороны. Назвать урегулирование просто соглашением без признаний означало бы стереть признания, которые SEC прямо зафиксировала. Назвать его признанием вины — приписать фирме уголовную процедуру, которой она не проходила. Точное описание называет ответчика, административный документ, признания, штраф и обязательства. Оно также отделяет эти факты о фирме от обвинений, урегулирований и меняющихся исходов разбирательств в отношении отдельных лиц.

Предписание соединило две линии поведения, потому что обе касались добросовестности, которой рынок ожидает от аудиторов публичных компаний. Однако соединение не сделало их фактически тождественными. Информация о проверках проходила через людей, переходивших из регулятора в фирму, и использовалась в отношении отобранных аудитов. Нарушения на экзаменах включали внутренние экзаменационные материалы, обмен ответами между коллегами и уязвимость платформы тестирования.

Ответственный анализ прослеживает отдельных действующих лиц, системы, даты и доказательства, задавая общий управленческий вопрос: что происходило, когда стимулы делали незаслуженный результат проще, чем саму работу?

Эта правовая карта — первый урок контроля. Внутренняя отчётность должна снабжать каждый факт пометкой об источнике и процессуальном статусе: признание фирмы, вывод Комиссии, обвинение в адрес лица, урегулирование с лицом, исторический вердикт, отменённое судебное решение, заявление компании или независимая проверка. Без таких пометок совет директоров может получить риторически сильный, но юридически ненадёжный отчёт. Подотчётность зависит от сохранения различий, а не от того, чтобы сделать историю более суровой.

Предписание определяет два сбоя добросовестности, а не общий вердикт по каждому аудиту

Предписание SEC о прекращении противоправных действий— основной документ в отношении фирмы. В нём описаны полученные в 2015–2017 годах конфиденциальные сведения о выборке проверок, критериях и приоритетных направлениях; действия в отношении отдельных аудитов после выпуска отчётов; обмен ответами на внутренних курсах; а также манипуляции с экзаменационным сервером, позволявшие пользователям выбирать более низкий проходной балл. Выводы сделаны на основании предложения KPMG и прямо не обязательны для любых других лиц или организаций.

Та же граница защищает от преувеличений в отношении аудируемых компаний. Предписание не объявляло, что каждый аудит KPMG был некачественным, что каждое изменение файлов после выпуска отчёта было неправомерным или что каждый сотрудник списывал. В нём названы конкретные действия и сбои контроля. Качество аудита по каждому отдельному заданию остаётся самостоятельным вопросом доказывания. Фирма может пережить системный сбой, не провалив ни одного задания, точно так же, как чистая выборка проверки не может удостоверить каждое задание.

Предписание особенно важно, потому что в событиях с информацией о проверках фигурировала национальная группа, отвечавшая за качество аудита и профессиональную практику. Классическая модель трёх линий защиты даёт слабые гарантии, если старший контрольный персонал может влиять на те же метрики, по которым оценивают его функцию. Поэтому право собственности на контроль нуждается в четвёртом элементе: независимом хранении доказательств, используемых для оценки владельца контроля.

Переписку о проверках, данные о выборке, доступ к файлам аудита и метрики качества не должны иметь возможность менять в административном порядке руководители, чьё вознаграждение или статус зависят от результата.

Экзаменационная часть дела показывает то же самое в другой системе. Завершение обучения имело последствия, включая ограничения на аудиторскую работу и возможные эффекты для оплаты. Платформа позволяла менять проходной балл через параметр в ссылке, а ответы распространялись по электронной почте, на бумажных распечатках и через коллег. Урок не в том, что автоматическое тестирование слабо по своей природе. Урок в том, что контроль становится показным, когда личность, тайна заданий, логика подсчёта баллов, история попыток и согласование исключений не защищены как доказательства.

Конфиденциальность проверок защищает само измерение

Вобъявлении SEC 2018 года об обвинениях против шести бухгалтеровобъясняется, почему информация о выборке заранее была ценной. PCAOB использует проверки, чтобы оценить, соблюдали ли зарегистрированные фирмы применимые законы, правила и стандарты в отобранных аудитах. Если фирма заранее знает, какие завершённые файлы будут проверяться, и может провести по ним скрытый повторный пересмотр, выборка больше не измеряет обычную работу в обычных условиях.

Поэтому конфиденциальность — не церемониальное ограничение, защищающее предпочтение регулятора к секретности. Она сохраняет валидность метода надзора. Цель контроля сопоставима с защитой экзаменационных заданий до теста или с сохранением рандомизации в клиническом исследовании. Если измеряемая сторона узнаёт выборку заранее, более высокий результат может отражать подготовку к измерению, а не улучшение в самой совокупности.

Этот вывод меняет управление наймом. Привлечение опытных сотрудников регулятора может улучшить знание фирмой стандартов, методов проверок и общественных ожиданий. Риск — не сам приём на работу. Он возникает, когда фирма не выявляет непубличную информацию, которой может располагать новый сотрудник, не ограничивает доступ на время оценки обязательств, не запрещает запросы информации, не отслеживает необычные раскрытия и не даёт новому сотруднику безопасный путь для отказа влиятельным новым коллегам. Типовая формулировка о конфиденциальности слишком далека от реальных точек давления.

Защитимая кадровая документация должна показывать прежние обязанности кандидата; анализ конфликта интересов и периода «охлаждения»; письменные инструкции об информации прежнего работодателя; ограниченные системы и проекты; обучение руководителя найма и принимающей команды; подтверждения через заданные интервалы; а также поводы для расследования, если появляются материалы, связанные с проверками. Она также должна показывать, что коммерческие руководители и руководители качества не могут отменить эти меры в одиночку. Цель — получить легитимную экспертизу, не импортировав защищённую информацию другого института.

Первоначальные предписания в отношении отдельных лиц начинались с обвинений, кроме случаев урегулирования

Предписание за январь 2018 года в отношении Cynthia Holder и других ответчиковвозбудило состязательное производство и описало обвинительную цепочку, проходящую через бывших сотрудников PCAOB и руководителей национального офиса KPMG. На этом этапе обвинения в адрес ответчиков, не пошедших на урегулирование, ещё не были выводами. Brian Sweet, напротив, урегулировал своё административное дело отдельным документом.

Это различие — основа гигиены доказательств. Предписание о возбуждении производства может подробно описать доводы сотрудников Комиссии, но оно не превращает каждое обвинение в установленный факт. Более поздние урегулирования могут зафиксировать выводы для согласившегося ответчика в рамках этого производства. Уголовные признания или вердикты дают иные признания или определения. Каждое обновление должно относиться к своему человеку; его нельзя распространять задним числом на всех, кто назван в исходном описании.

Для аудиторской фирмы управленческий вывод состоит в том, что внутреннее расследование должно вести матрицу «ответчик — вопрос». В строках показаны люди и юридические лица; в столбцах — вменяемые действия, исходные материалы, статус опроса, кадровые меры, передача материалов регулятору, статус судебного разбирательства и окончательное решение. Это позволяет избежать двух типичных ошибок: принять предварительное подозрение за установленный факт и, наоборот, считать поздний провал уголовной теории доказательством того, что внутренние или профессиональные стандарты никогда не нарушались.

Кадровые решения также нуждаются в собственном задокументированном стандарте. Фирма может реагировать на нарушение политики или утрату доверия в рамках трудового права — это иной процесс, чем уголовное бремя государства. Но она должна фиксировать, на какие доказательства опиралась, давать возможность справедливого ответа, обеспечивать сопоставимость дисциплинарных мер и пересматривать публичные описания, если позднейшие разбирательства существенно меняют картину. Справедливость — не мягкость. Это контроль за точностью, границами и актуальностью решений, имеющих серьёзные последствия.

Урегулирование дела Sweet показывает, почему информация бывшего сотрудника регулятора требует активных мер контроля

Всогласительном предписании SEC по делу Brian Sweetсодержатся выводы, относящиеся лично к нему, в том числе о том, что перед уходом из PCAOB он копировал конфиденциальную информацию, а после перехода в KPMG раскрывал информацию, связанную с проверками. Он без признания и без отрицания выводов — за исключением вопроса о подсудности — согласился на предписание о прекращении противоправных действий и на лишение права выступать и практиковать перед Комиссией в качестве бухгалтера.

Процессуальное положение Sweet отличается от более позднего признания KPMG фактов предписания в отношении фирмы. Оно также показывает, почему политика, которая полагается только на самоограничение уходящего сотрудника регулятора, неполна. Принимающая фирма контролирует найм, ввод в должность, использование устройств, распределение по командам, запросы руководителей и доступ к файлам заданий. Система контроля должна рассматривать необъяснённое знание специфики выборки как исключение, требующее немедленной локализации, а не как полезную информацию для распространения, пока кто-то не докажет её происхождение.

Практические меры можно проверить. Следователи могут отбирать в выборку сотрудников, пришедших из органов регулирования и стандартизации, проверять декларации при приёме, сопоставлять прежние обязанности с закреплёнными клиентами, изучать журналы доступа в период планирования проверок и искать в переписке списки выборки или непубличные приоритетные направления. Тестирование должны проводить люди, независимые от руководителей практики, которые продвигали найм. Исключения должны сразу попадать к юристам, в службу этики и к совету директоров или в должным образом независимый комитет.

Фирма должна также отделять легитимные публичные знания от защищённых деталей. Открытые процедуры проверок, опубликованные отчёты и профессиональный опыт могут питать программы качества. Конкретные будущие выборки, непубличные приоритетные направления и конфиденциальные обсуждения в регуляторе — не могут. В обучении нужно использовать примеры, требующие от сотрудников классифицировать информацию и выбирать маршрут эскалации. Широкая инструкция «соблюдайте конфиденциальность» не показывает, узнают ли люди границу, когда раскрытие приходит в виде совета по карьере или неформального предупреждения.

Работа после выпуска отчёта должна быть видимой, атрибутируемой и проверяемой

Записи о конфиденциальной выборке важны, потому что сотрудники использовали упреждающее знание в отношении уже завершённых аудитов. Правила аудиторской документации могут допускать определённые дополнения или изменения после даты отчёта при соблюдении условий, но история должна ясно показывать, что изменилось, когда, почему и кем. Работа после выпуска отчёта не может незаметно стать частью тогдашнего основания для уже выпущенного заключения.

Поэтому эффективному хранилищу нужен неизменяемый журнал событий, а не только итоговый PDF. В нём должны фиксироваться первоначальное завершение, последующие обращения, изменённые объекты, коды причин, составитель, рецензент, подтверждающие доказательства и то, было ли известно о проверке или запросе. Расследования с привилегированным статусом могут иметь ограниченную видимость, не стирая след аудита. Административный доступ следует разделить так, чтобы руководитель качества не мог одновременно и санкционировать, и скрыть исключительное изменение.

Выборка должна начинаться с давления, а не со случайного удобства. Рецензенты должны отбирать задания, к которым обращались после выпуска отчёта, особенно в периоды уведомлений о проверках, запросов регулятора, предписаний о сохранении документов в связи с судебными спорами или вмешательств старших руководителей качества. Они должны воспроизвести каждое изменение и определить, подтверждалось ли оно документацией того времени. Они должны также выяснить, была ли работа выполнена заново, лишь уточнена или неправомерно представлена так, будто существовала раньше.

У комитета по аудиту узкая, но важная роль. Ему не следует требовать конфиденциальную информацию регулятора или вмешиваться в проверку. Он может спросить внешнего аудитора, как регулируются изменения после выпуска отчёта, какие исключения сообщаются внутри, проверяются ли журналы независимо и требовало ли раскрытия какое-либо обстоятельство, относящееся к их заданию. Ответ должен описывать операционные свидетельства, а не раскрывать конфиденциальный файл другого эмитента.

Безопасность экзаменов — это контроль качества аудита, а не удобство для HR

Всообщении SEC 2020 года о трёх бывших партнёрах по аудитупоказано, что обмен ответами продолжал порождать индивидуальные меры и после урегулирования в отношении фирмы в 2019 году. В сообщении описаны согласительные выводы по делам Timothy Daly, Michael Bellach и John Donovan, а также удаление сообщений и неточные ответы в ходе расследования KPMG. Все трое согласились на урегулирование без признания и отрицания выводов, кроме вопроса о подсудности, и получили разные сроки приостановления права практики.

Обязательное обучение часто считается доказательством того, что среда контроля коммуницирована. Этот вывод корректен, только если завершение курса демонстрирует индивидуальное освоение материала. Когда ответами обмениваются или проходные баллы можно менять, обучающая панель показателей измеряет доступ к обходному пути не меньше, чем знания. Риск особенно острый там, где та же запись о завершении определяет допуск к аудиторской работе.

Конструктивные меры включают банк заданий с контролируемым доступом; рандомизацию вопросов; подсчёт баллов на стороне сервера, который нельзя изменить параметрами пользователя; криптографически защищённый журнал попыток; ограничения на снимки экрана и печать там, где это законно; выявление аномалий по одинаковым паттернам ответов и нереалистичному времени прохождения; независимое согласование исключений; а также возможность оспорить некорректный вопрос, не распространяя его. Удалённое прокторирование может создавать риски для приватности и предвзятости, поэтому его не следует считать единственным решением.

Самое важное — фирма должна достаточно отделить обучение от наказания, чтобы поощрять честные сигналы. Если неудачная попытка мгновенно угрожает оплате или статусу, у сотрудников появляется более сильный стимул скрывать слабость. Зрелая программа предлагает исправление и пересдачу, оставляя дисциплинарные меры для нечестности. Показатель качества — не идеальный процент сдачи с первой попытки. Это то, осваивают ли специалисты требуемые знания и применяют ли их, и обнаруживает ли система манипуляции.

Предписание по делу Daly связывает экзаменационные нарушения с сохранением документов и честностью

Впредписании по делу Dalyописан запрос фотографий экзаменационных вопросов и ответов, удаление после уведомления фирмы о сохранении документов и неточный ответ в анкете, который он позднее исправил. В нём указано, что он согласился на урегулирование без признания и отрицания выводов, кроме вопроса о подсудности, и что через три года ему разрешено подать заявление о восстановлении права практики при соблюдении определённых условий.

Это дело содержит три стадии контроля: предотвращение, сохранение и реагирование на расследование. Слабость на первой стадии позволила распространить материалы. После начала расследования уведомление о сохранении создало чёткую обязанность. Затем анкета требовала правдивого ответа. Проверка только того, переделана ли экзаменационная платформа, упустила бы позднейшее поведение, которое определяет, может ли организация восстановить картину произошедшего.

Поэтому сохранение должно быть спроектировано, а не просто объявлено. Юридическая команда и команда информационной безопасности должны иметь полномочия приостановить плановое удаление, оперативно собрать относящиеся к делу рабочие сообщения и сохранить системные журналы. Круг лиц, на которых распространяется предписание о сохранении, должен отражать роли, команды и модели коммуникации, а не только имена, известные в первый день. Ответственные должны подтвердить получение предписания, сообщить об относящихся каналах и получить простой способ задавать вопросы, не редактируя и не удаляя материалы.

Следователям также нужен протокол исправлений. Человек, понявший, что его ответ был неполным, должен иметь возможность оперативно его исправить, с фиксацией времени и причины. Это не стирает первоначальный ответ, но создаёт более точную запись и может иметь значение для оценки умысла и сотрудничества. Цель системы — надёжное установление фактов, а не западня, в которой человека заставляют защищать первую ошибку.

Предписание по делу Bellach показывает, как иерархия искажает взаимную подотчётность

Предписание по делу Bellachрассматривает отправку им снимков экзамена ведущему партнёру по заданию и последующее удаление сообщений после уведомления о сохранении. В нём описаны профессиональные отношения и перспектива преемственности на ведущей роли — факты, важные для понимания давления, — при этом выводы сделаны на основании предложения самого Bellach и не обязательны для других лиц.

Контроль добросовестности часто исходит из того, что партнёры подают пример, а младшие сотрудники сопротивляются нарушениям. Более сложный сценарий — запрос, встроенный в наставничество, преемственность по заданию или оценку эффективности. Получатель может понимать и то, что запрос неправильный, и то, что отказ может повлиять на карьеру. Обучение с призывом «заявляйте о нарушениях» без изменения властной структуры оставляет этот конфликт неразрешённым.

Контроль должен делать определённые запросы сообщаемыми по самой конструкции. Канал этики должен позволять немедленную конфиденциальную консультацию; мониторинг преследования за сообщения должен сопоставлять кадровые назначения, оценки и результаты продвижения после таких сообщений; а запрос экзаменационных материалов от старшего руководителя должен запускать разбирательство без необходимости доказывать получателю более широкий замысел. Руководителей следует оценивать по тому, поднимают ли их команды вопросы, а не вознаграждать за отсутствие сообщений.

Та же логика применима к аудиторским суждениям. Сотруднику, оспаривающему агрессивный вывод, нужны маршрут эскалации вне иерархии задания, сохранённая запись вопроса и защита от незаметных карьерных последствий. Культура качества измерима тем, выживает ли инакомыслие. Анонимные опросы полезны, но доказательства на уровне отдельных дел — время реакции, решение, кадровые изменения и проверки на преследование — показывают, работает ли механизм при неравенстве власти.

Предписание по делу Donovan показывает, что обмен может стать командной нормой

Предписание по делу Donovanкасается получения ответов от подчинённых, распространения материалов внутри команды и неточного ответа следователям. Описанное поведение — не просто двусторонний обмен. Оно показывает, как обходной путь может нормализоваться в рабочей группе, пока индивидуальная статистика завершений не начинает выглядеть добросовестной.

Командную нормализацию трудно обнаружить, если мониторинг ищет только одного активного отправителя. Аналитика должна изучать кластеры: необычно похожие последовательности ответов, сконцентрированные окна завершения, повторяющиеся паттерны баллов по линиям подчинённости и передачу материалов вблизи сроков экзаменов. Эти индикаторы — не доказательство нарушений. Это сигналы риска для добросовестного расследования, с защитой от ложных срабатываний и неуместной слежки.

Управленческая отчётность не должна поощрять игры с показателями. Панель, которая ранжирует руководителей по своевременности завершения и проценту сдачи, не показывая пересдачи, флаги аномалий, качество вопросов или исправление пробелов, создаёт узкую цель. Сбалансированные показатели могут включать содержательные результаты оценки, наблюдаемое применение знаний в аудиторской работе, выявленные пробелы в обучении, своевременное исправление и качество реакции руководителя. Более низкий процент сдачи может быть более здоровым сигналом, если экзамен содержателен, а программа устраняет пробелы.

Дисциплинарные меры должны быть последовательными независимо от ранга. Фирме следует отображать факторы поведения — запрос, отправку, получение, манипуляцию системой, нарушение режима сохранения, ложное заявление, самостоятельное сообщение, сотрудничество и прежнюю историю — в задокументированной схеме. Индивидуальные обстоятельства по-прежнему важны, но необъяснимые различия между партнёрами и сотрудниками подрывают послание о добросовестности. Совет директоров должен получать анонимизированный анализ согласованности и рассматривать выбросы.

Позднейшие предписания SEC сохраняют профессиональные выводы, даже когда изменилось уголовное право

Предписание SEC по делу Thomas Whittleи отдельноепредписание по делу David Brittзавершили административные производства с выводами и профессиональными санкциями, относящимися к этим ответчикам. Их согласительные предписания опираются на полномочия Комиссии в отношении профессиональной практики и на записи, описанные в каждом документе.

Эти административные решения не следует смешивать с уголовным делом. Разные производства могут рассматривать пересекающееся поведение по разным элементам состава, стандартам доказывания и мерам. Позднейшее изменение теории собственности в деле о мошенничестве с использованием электронных средств связи не переписывает автоматически предписание о профессиональной добросовестности. И наоборот, предписание SEC нельзя цитировать так, будто это уголовный приговор.

Именно поэтому реестр подотчётности требует большего, чем одно поле «статус дела». В нём следует отслеживать инстанцию, ответчика, обвинение или вывод, формулировку согласия, санкцию, права на пересмотр, возможность восстановления и последующие изменения. У одного и того же человека может быть отменённый уголовный приговор и отдельное административное предписание. Актуальный отчёт должен точно показывать оба документа, а не выбирать тот, который поддерживает желаемую версию.

Советы директоров должны настаивать на такой дисциплине во внутренней юридической отчётности. Обновления статуса нуждаются в датировке, исходных документах и журнале изменений. Публичные заявления следует пересматривать при существенном изменении решения. Справедливость к людям и доверие регуляторов одинаково зависят от того, что устаревший ярлык не сохраняется после того, как юридическая картина изменилась.

Надзорное решение PCAOB расширяет взгляд на стимулы и надзор

Всогласительном предписании PCAOB 2022 года по делу Scott Marcelloустановлено, что он не обеспечил разумный надзор с целью предотвращения нарушений со стороны связанных лиц. В предписании рассматриваются давление из-за результатов проверок, информация, которая до него дошла, и шаги, которые, по выводу Совета, он не предпринял. Marcello согласился на урегулирование без признания и отрицания выводов, за исключением вопроса о подсудности Совету.

Надзор не сводится к передаче операционной ответственности подчинённым. Когда руководитель узнаёт, что команда может располагать конфиденциальной информацией о выборке, надзорные свидетельства должны показывать немедленную локализацию, эскалацию к юристам, защиту регулятора, приостановку доступа к затронутым файлам и задокументированное расследование. Ожидание определённости может позволить использовать предполагаемое преимущество и скомпрометировать само измерение.

Стимулы требуют такого же внимания. Результаты проверок — полезные индикаторы, но это выборка, определяемая отбором и методом проверки. Если продвижение, престиж или оплата сильно зависят от сокращения замечаний, метрика может вытеснить цель добросовестного аудита по всему портфелю. Руководителям нужны сбалансированные показатели, включающие устранение коренных причин, снижение повторяющихся недостатков, качество консультаций, укомплектованность персоналом, свидетельства открытых высказываний и результаты независимо отобранных внутренних обзоров.

Совет директоров должен также спрашивать, кто осуществляет надзор за национальной функцией качества. Независимость может требовать комитета с членами вне аудиторской практики, прямого доступа к внутреннему аудиту и этике и полномочий в отношении оценки руководителя качества. Ключевой тест — можно ли рассмотреть обоснованное обвинение против старших руководителей качества, не спрашивая разрешения у затронутой цепочки командования.

PCAOB также пришлось защищать свою сторону границы

Взаявлении председателя PCAOB о действиях DOJ и SEC в 2018 годуговорится, что Совет пересмотрел и усилил меры контроля в сфере информационных технологий и безопасности, а также протоколы комплаенса и этики после того, как узнал о предполагаемых нарушениях. Это важная институциональная граница: ответственность за защиту конфиденциальной информации о проверках лежала не только на принимающей фирме.

Данные надзора могут пересекать системы, устройства и трудовые отношения. Регулятору нужны доступ по принципу минимальных привилегий, контроль загрузок, мониторинг необычных запросов, ограничения вокруг увольнений, оперативное аннулирование доступа и обеспечение конфиденциальности после ухода сотрудника. Ему также нужны культурные меры, чтобы сотрудники могли сообщать о неправомерных запросах потенциальных работодателей или бывших коллег, не ставя под угрозу свою карьеру.

Фирма и регулятор не должны отвечать на это запретом любых переходов между ними. Передача экспертизы может улучшить и регулирование, и практику. Цель — управляемая мобильность: раскрытие переговоров, самоотвод там, где необходимо, ревизия доступной информации, сертификация при уходе, инструктаж принимающего работодателя и проверяемые ограничения. Любая коммуникация о непубличных выборках должна иметь обязательный маршрут эскалации с обеих сторон.

Независимая оценка может проверить этот стык, не раскрывая защищённого содержания. Рецензенты могут проверить, были ли отключены учётные записи ушедших, помечались ли массовые загрузки, проходили ли принимающие команды аттестации и расследовались ли исключения. Свидетельства должны показывать, что контроль обнаруживает поведение, а не только то, что политики его запрещают.

Уголовную историю нужно теперь излагать как историю, а не как действующий приговор

Вобъявлении DOJ 2018 года о предъявлении обвиненийсообщалось о предъявлении обвинительного заключения бывшим сотрудникам KPMG и PCAOB и об отдельном признании вины Brian Sweet. На момент подачи обвинительное заключение было обвинением, и обвиняемые сохраняли презумпцию невиновности. Признание Sweet было его собственным признанием и не доказывало всех обвинений против других.

Позднее присяжные вынесли вердикты в отношении David Middendorf и Jeffrey Wada, о чём говорится вобъявлении DOJ о судебном процессе в марте 2019 года, а Middendorf был приговорён в сентябре 2019 года, что зафиксировано в отдельномсообщении о приговоре. Эти источники — действительные свидетельства того, что произошло на этих процессуальных стадиях. Но это не конец хронологии.

После того как решение Второго округа по делу United States v. Blaszczak изменило подход к нематериальной информации регулятора в составе имущественного элемента мошенничества с использованием электронных средств связи, правительство добилось прекращения дел в апелляциях Middendorf и Wada. В более позднемпостановлении окружного суда по ходатайству в порядке coram nobis по тому же делузафиксировано, что обвинительные заключения по ним были прекращены с одобрения суда и что признание вины и решение по делу Thomas Whittle отменены; связанные постановления также предоставили правовую защиту другим бывшим ответчикам. Соответственно, эта статья не описывает те исторические результаты дел о мошенничестве как действующие приговоры.

Это позднейшее облегчение не стирает признание на уровне фирмы, зафиксированное SEC, и не превращает лежащее в основе использование информации в приемлемую аудиторскую практику. Оно меняет уголовный статус, потому что вменявшаяся теория собственности больше не поддерживала судебные решения. Это различие — образец подотчётного письма: поведение, профессиональные правила и элементы уголовного состава — разные вопросы. Фирма может учиться на поведении, честно признавая, что уголовные приговоры отменены или обвинения прекращены.

Обязательства с независимым консультантом требуют проверяемых критериев завершения

Предписание 2019 года обязало KPMG привлечь независимого консультанта для оценки мер контроля этики и добросовестности, оценки расследования экзаменационных нарушений в фирме и проверки соблюдения определённых обязательств. Оно требовало сотрудничества, доступа, рекомендаций, внедрения и сертификаций по заданному графику. Эти требования сильнее обещания исправиться, но их устойчивость зависит от того, что было проверено и какие доказательства сохраняются после завершения работы консультанта.

План работы консультанта должен охватывать управление, найм, конфиденциальную информацию, изменения файлов аудита, архитектуру экзаменов, выявление аномалий, сохранение документов, качество расследований, дисциплину, стимулы и преследование за сообщения. Отбор выборки должен быть независимым и смещённым в сторону давления: старшие сотрудники, сложные экзамены, периоды проверок, поздний доступ к файлам и задания с высокими последствиями. Руководство не должно иметь возможность исключать неудобные группы без задокументированного обоснования.

Завершение должно быть привязано к конкретным вопросам. По каждой рекомендации фирма должна фиксировать коренную причину, ответственного владельца, проектное решение, доказательства внедрения, рабочий тест, долю исключений, устранение исключений и принятие остаточного риска. Консультант должен иметь право не соглашаться, а совет директоров должен видеть неурегулированные пункты. Свидетельство о завершении без такого следа не может показать, работала ли рекомендация за пределами демонстрационной среды.

После обязательного периода внутренний аудит или другая независимая функция должны повторить ключевые тесты. Совет директоров должен установить опережающие индикаторы — необычный доступ, поздние события в рабочей документации, экзаменационные аномалии, исключения из режима сохранения и преследование за обращения на горячую линию — и индикаторы результатов, такие как повторяющиеся замечания проверок. Улучшение заслуживает доверия, когда доказательства сохраняются без непосредственного присутствия консультанта.

Прозрачность компании полезна, но остаётся самоописанием

Отчёт KPMG о прозрачности в США за 2018 годописывал структуру, управление, подход к контролю качества и инвестиции и сообщал, что фирма принимает решительные меры для укрепления качества аудита. Он важен как тогдашнее описание фирмой замысла и намерений. Но это не независимый вердикт об эффективности.

Эта граница важна, потому что отполированные описания управления могут сосуществовать со сбоями контроля. Отчёт может перечислять ценности, обучение, проверки и механизмы подотчётности, не показывая, как часто контроль давал сбои, кто мог его обойти или получали ли старшие руководители иное отношение. Заинтересованные стороны должны использовать отчёты компаний, чтобы находить обязательства, которые можно проверить, а не как замену самой проверке.

Будущая прозрачность была бы сильнее при стабильных, сопоставимых показателях: доля исключений в файлах аудита после выпуска отчёта; подтверждённые обращения по этике по рангам; сроки завершения расследований; выводы о преследовании; доля экзаменационных аномалий; результаты пересдачи после устранения пробелов; показатели оплаты руководителей качества; и объём независимой оценки. Приватность и справедливость требуют агрегирования, но агрегирование не должно удалять всю информацию, полезную для решений.

Фирма должна также объяснять существенные изменения методологии. Снижение доли аномалий может отражать лучшее поведение, более слабое выявление или изменённую тестовую совокупность. Рост обращений на горячую линию может отражать ухудшение культуры или больший уровень доверия. Описание должно соотносить эти возможности и раскрывать, кто подтвердил данные. Прозрачность становится подотчётной, когда посторонний может понять и показатель, и его ограничения.

Комитеты по аудиту должны просить доказательства, не добиваясь защищённой информации

Комитеты по аудиту назначают внешних аудиторов и осуществляют надзор за ними, но им не нужны — и они никогда не должны запрашивать — данные PCAOB о выборке проверок. Их вопросы о гарантиях должны касаться мер контроля в самой фирме. Работал ли кто-то из назначенных на задание недавно в органе регулирования аудита? Какие меры по конфликту интересов и конфиденциальности применялись? Были ли исключительные изменения файлов после выпуска отчёта? Как фирма предотвращает и выявляет манипуляции на экзаменах? Какая независимая функция проверяла эти меры?

Ответы должны сохранять конфиденциальность других клиентов и регулятора. Фирма может описать конструкцию мер контроля, анонимизированное тестирование, порядок работы с исключениями и то, существует ли обстоятельство, относящееся к эмитенту. Она может разрешить ознакомиться с отчётами о проверках на контролируемых условиях. Она не должна раскрывать списки выборки, другие задания или привилегированные материалы расследований лишь ради удовлетворения любопытства.

Комитеты должны также оценивать, испытывает ли команда задания нездоровое давление показателей. Уместные вопросы включают стабильность кадров, оплату, привязанную к проверкам, использование консультаций, нерешённые споры по бухгалтерскому учёту или аудиту, позднюю работу и текучесть на ключевых ролях. Это индикаторы риска, а не доказательство плохого качества аудита. Их ценность в том, чтобы провоцировать вопросы до того, как давление приведёт к упрощениям.

Наконец, комитет должен документировать основание для переназначения аудитора. Бренда, гонорара и предпочтений руководства недостаточно. В записи должны быть индикаторы качества, результаты по конкретному заданию, независимость, преемственность, контекст проверок и доказательства исправления недостатков. Документированное решение поддерживает институциональную память при ротации членов.

Устойчивая архитектура контроля делает добросовестность наблюдаемой

Интегрированная модель начинается с классификации данных. Материалы, конфиденциальные для регулятора, получают названного владельца, ограничения доступа, правила хранения и обязательную эскалацию при инцидентах. Сотрудники из регулятора получают индивидуально подобранные меры контроля. Репозитории аудита сохраняют неизменяемую историю. Обучающие платформы защищают содержание заданий и подсчёт баллов на стороне сервера. Предписания о сохранении приостанавливают удаление по всем релевантным каналам. Расследования имеют независимое управление и справедливые процедуры исправления.

Следующий слой — контроль стимулов. Руководителей качества не следует оценивать в основном по статистике проверок, на которую они могут влиять через отбор или подготовку файлов. Партнёров и сотрудников не следует толкать к обмену ответами карательными метриками первой попытки. Компенсационные комитеты должны проверять, поощряют ли показатели честное выявление слабости, своевременное исправление и содержательные консультации. Любой обход должен быть атрибутируемым и независимо проверяемым.

Третий слой — оспаривание. Служба этики, юристы, внутренний аудит и комитет совета директоров нуждаются в прямом доступе и полномочиях, когда речь идёт о старших руководителях аудита. Аналитика может выявлять необычные паттерны, но оценивать их должны люди — справедливо и с защитой приватности. Мониторинг преследования за сообщения должен продолжаться и после закрытия дела, потому что карьерные последствия могут проявиться в позднейших кадровых решениях и решениях о продвижении.

Последний слой — воспроизводимость. По выбранному в выборку найму, файлу аудита, попытке экзамена или расследованию независимый рецензент должен иметь возможность восстановить решение по исходным доказательствам. Если восстановление зависит от воспоминаний, неформальных сообщений или заверений старшего руководителя, контроль ещё не устойчив. Воспроизводимость превращает политику в подотчётность.

Тестирование контроля должно идти по сценариям, а не по оргструктуре

Достоверная программа тестирования должна сочетать два исторических пути с правдоподобными вариантами. Первый сценарий начинается, когда сотрудник регулятора вступает в переговоры о найме, и проверяет, активируются ли самоотводы, ограничения доступа и инструкции руководителя найма до того, как защищённая информация сможет переместиться. Второй размещает в контролируемом упражнении видимость подсказки о выборке проверки и проверяет, локализует ли получатель её и сообщает ли о ней, а не пересылает.

Третий выбирает завершённый аудит и пытается произвести исключительное изменение после выпуска отчёта, подтверждая, что репозиторий фиксирует попытку и требует надлежащего согласования.

Добросовестность в обучении требует аналогичных упражнений. Тестировщики могут создавать учётные записи с разными ролями, пытаться менять параметры баллов, повторно использовать ссылки, извлекать кэшированные ответы, превышать разрешённое число попыток и эксплуатировать административные привилегии. Они должны убедиться, что балл определяет сервер, а не браузер пользователя, и что уведомления поступают команде, независимой от людей, которых измеряют по статистике завершений.

Контролируемое сообщение с якобы ответами может проверить, сообщают ли о нём сотрудники, защищая их от провокации и гарантируя, что само упражнение не раскрывает подлинные экзаменационные материалы.

Готовность к расследованиям можно проверить, не дожидаясь нарушения. Командно-штабное упражнение должно определить ответственных за хранение, наложить предписания о сохранении на согласованные каналы коммуникации, собрать журналы аудита и экзаменов, урегулировать привилегированные вопросы, отработать исправление ответа на опросе и представить доклад независимому комитету. Наблюдатели должны фиксировать задержки, неясные полномочия и доказательства, которые могли бы быть утрачены. Исправление недостатков должно закрепляться за исполнителями и проверяться повторно, а не оставаться уроками в протоколах совещаний.

Сценарии должны ротироваться, потому что отрепетированный тест может стать ещё одной метрикой эффективности. Внутренний аудит, служба этики и команды технологического риска могут владеть разными компонентами, с периодической внешней проверкой. Совет директоров должен видеть и успешные результаты, и сбои контроля, включая то, менял ли ответ ранг руководителя. Находка в симуляции ценна, если она предотвращает реальный сбой; подавление её ради красивой панели повторяет проблему стимулов, которую призвана исправить программа.

Метрики качества должны отличать улучшение аудита от подготовки к проверке

Фирме нужны показатели, которые трудно улучшить, не улучшая саму работу. Примеры: повторяющиеся коренные причины по независимо отобранным аудитам, своевременность консультаций, укомплектованность с учётом риска, выполнение корректирующих действий, качество рабочей документации на дату первоначального архивирования и доля вопросов, которые внутренние обзоры выявляют до внешней проверки. Эти показатели должны анализироваться по всему портфелю, а не только по заданиям, которые могут привлечь внимание.

Результаты проверок остаются важными. Это внешние свидетельства об отобранной работе, и они могут выявить серьёзные недостатки. Но их следует показывать вместе с объёмом выборки, характеристиками отбора, годом проверки, сроками отчёта и ограничениями. Руководство не должно выводить успех по всей совокупности из лучшей выборки или считать худшую выборку доказательством провала каждого аудита. Сбалансированная интерпретация снижает давление с целью управлять выборкой вместо системы.

Структура вознаграждения должна использовать многолетние данные и независимую модерацию. Руководитель качества не должен выигрывать от позднего улучшения, которое зависит от особого внимания к известным файлам. Не должны наказываться и сотрудники за поднятие сложных вопросов, которые поначалу ухудшают метрику. Комитеты по пересмотру должны изучать случаи обхода правил и сопоставлять пояснения с исходными данными. Любое изменение оценки качества после оценочного периода должно сохранять исходное значение, причину, доказательства и согласовавшее лицо.

Качество аудита также имеет ограничения ресурсов. Чрезмерная нагрузка, быстрое продвижение, пробелы в навыках и сжатые сроки рецензирования могут повысить риск упрощений, даже когда формальные политики сильны. Данные об укомплектованности, текучести, очередях консультаций и поздних событиях в рабочей документации следует рассматривать вместе. Цель — не слежка сама по себе, а выявление мест, где обещания организации превышают ресурсы, необходимые для их честного выполнения.

Какие доказательства показали бы исправление

Доказательства исправления включали бы нулевой необъяснённый доступ к конфиденциальной информации о выборке; полные файлы адаптации сотрудников из регулятора; независимо отобранные события после выпуска отчёта; код подсчёта экзаменационных баллов под управлением изменениями; случаи аномалий, закрытые с задокументированной аргументацией; сверенные с источниками данных предписания о сохранении; анализ согласованности дисциплинарных мер; и протоколы совета директоров, показывающие оспаривание стимулов качества.

Сюда же относится и честная работа с негативными данными. Зрелая фирма всё равно будет находить исключения. Идеальная панель может указывать на слабое выявление. Полезные вопросы: находят ли исключения система, а не внешние наблюдатели; меняет ли ответ ранг; устраняются ли коренные причины по всей совокупности; влияют ли повторяющиеся вопросы на руководство и оплату.

Ни один отдельный результат проверки, отчёт консультанта или процент завершения обучения не могут доказать добросовестность. Выборки проверок ограничены; мандаты консультантов заканчиваются; тесты измеряют часть знаний. Гарантии становятся достоверными через сходящиеся свидетельства: журналы доступа, истории файлов, экзаменационные данные, расследования, кадровые результаты, внутренний аудит и результаты по заданиям.

Дело KPMG в конечном счёте касается легитимности института. Аудиторы просят рынки доверять заключениям, построенным на доказательствах, которые рынки не могут проверить сами. Эта привилегия зависит от того, покажет ли фирма, что защитит измерение регулятора, сохранит историческую запись аудита, честно проверит компетентность и расследует действия собственных руководителей без страха и пристрастия. Тест на подотчётность пройден только тогда, когда эти обязательства независимо наблюдаемы под давлением.