Содержание, интегрированность и признаки зрелости

Интегрированное управление рисками в компании проявляется в том, что:

• руководители подразделений самостоятельно идентифицируют и оценивают риски в своем периметре ответственности;

• существенные решения по проектам, инвестициям, безопасности, закупкам, ресурсному обеспечению или изменению процессов принимаются с учетом анализа рисков;

• сценарный подход и оценка неопределенности используются при финансовом планировании и бюджетировании;

• значимая информация о рисках своевременно доводится до исполнительных органов и совета директоров.

В такой системе  первая линия  отвечает за управление рисками в процессах,  вторая линия  – за методологию, мониторинг и специализированные требования, а  третья линия  – за независимую оценку достаточности всей системы. При этом внутренняя координация между линиями становится не менее важной, чем формальное разграничение ролей.

Для оценки того, действительно ли управление рисками в организации интегрировано в систему принятия решений, можно использовать несколько групп метрик.

Метрики стратегического уровня

К ним относится наличие в стратегии разделов о ключевых рисках и мерах по их минимизации, связи риск-аппетита со стратегическими целями, а также о регулярном мониторинге соблюдения риск-аппетита. Если риск-аппетит не только утвержден, но и реально используется как ориентир для управленческих решений, это является одним из наиболее убедительных признаков зрелости системы.

Метрики качества принятия решений

О зрелости свидетельствует документально подтверждаемая практика рассмотрения рисков в рамках работы совета директоров, инвестиционных и проектных комитетов. Это может выражаться в наличии протоколов, содержащих перечни рисков и мероприятий по их митигации, в применении обязательных форм оценки рисков по проектам, использовании сценарного моделирования при финансовом планировании, а также в учете критичности ресурсов для бизнеса при выстраивании контрольных процедур.

Коммуникационные метрики

Зрелая система предполагает наличие нескольких каналов передачи информации о рисках: горячих линий, управленческой отчетности, регулярных совещаний, корпоративных коммуникаций. При этом важен не только факт существования таких каналов, но и их реальное и эффективное использование, а также наличие доверительной среды, в которой сотрудники не опасаются сообщать о рисках и проблемах.

Метрики развития

Интегрированность системы проявляется и в способности организации учиться на отклонениях и инцидентах, извлекать и изучать уроки, а не ходить по одним и тем же граблям. К соответствующим признакам относятся регистрация и расследование инцидентов, анализ коренных причин, внесение изменений во внутренние документы и контроли, ретроспективный анализ финансовых моделей и управленческих решений, а также высокая дисциплина исполнения рекомендаций внутреннего аудита.

Взвешенная оценка по совокупности указанных метрик позволит «замерить» реальный уровень интегрированности управления рисками в организации и сформировать план его дальнейшего развития и повышения качества.

Статья написана при участии: Ирины Долгушевой, директора по внутреннему аудиту, внутреннему контролю и управлению рисками «АШАН Ритейл Россия», Татьяны Кутаковой, заместителя директора департамента внутреннего аудита ПАО «Аэрофлот», и Наталии Шалаевой, начальника отдела внутреннего аудита ПАО «Совкомфлот»