Аудит и оценка эффективности корпоративного управления рисками
Опубликовано в журнале «Внутренний аудитор»
Оценка эффективности управления рисками, как, наверное, и оценка любого бизнес-процесса, сложный и нетривиальный рецепт, который состоит из нескольких важных ингредиентов: понимание целей управления рисками, критериев оценки и анализа фактуры. Об этом и поговорим.
А. Понимание целей управления рисками
Эксперты АНО ДПО «ИСАР» занимаются изучением особенностей управления рисками в компаниях реального сектора уже более 15 лет, и за это время многое поменялось в управлении рисками. Вот несколько современных трендов, которые должен понимать каждый внутренний аудитор перед началом формирования плана проверки эффективности управления рисками:
Цель управления рисками — это не эффективное управление рисками.
За редким исключением рисков, которыми необходимо управлять потому, что такие указания есть в действующем законодательстве (риски, связанные с охраной труда, экологией, противодействие коррупции и т.д.), «бизнес»-рисками, стратегическими, операционными, проектными рисками не управляют. На этом, обычно, у среднестатистического аудитора логика рушится. Читайте дальше, скоро все станет понятно. Я с вами лишь делюсь тем, что обсуждают и публикуют лучшие риск- менеджеры по всему миру.
В современной практике управление рисками рассматривается не как процесс и тем более не как система (общепринятый термин «система управления рисками» вообще противоречит всей идеологии управления рисками и международным стандартам, поэтому в АНО ДПО «ИСАР» он никогда не используется), а как инструмент принятия решений.
Это означает, что управление рисками должно быть не самостоятельным обособленным процессом со своими входами, выходами и документами, а встроено в процессы принятия решений и бизнес-процессы организации и риски должны анализировать не раз в квартал или полугодие, как это делается сейчас, а в момент подготовки любого важного решения. Это важно!
С точки зрения эффективной практики управления рисками, наличие политики, регламента управления рисками и обширного реестра рисков, который регулярно обновляется, но при этом стратегия, бюджет или инвестиционные решения принимаются без учета рисков является примером неэффективного управления рисками. А принятие инвестиционного решения только после валидации допущений менеджмента и анализа нескольких или нескольких тысяч сценариев, при отсутствие каких-либо отдельных отчетов о рисках, наоборот, считается эффективным риск-менеджментом.
Поэтому, одним из первых и наиболее важных тестов эффективности управления рисками в организации является уровень интеграции процессов выявления, анализа и управления рисками в процессы принятия управленческих, инвестиционных и операционных решений. Мы называем это «риск-менеджмент 2». Примером такого подхода может послужить крупная российская государственная структура, направленная на инвестиции в развитие высоких технологий, в которой все инвестиционные решения принимаются только после проведения независимой оценки рисков и их влияния на ключевые показатели проекта. Другой пример: крупная авиакомпания, в которой каждое стратегическое решение должно иметь несколько альтернативных вариантов, при этом каждый вариант оценивается с точки зрения рисков, влияющих на успех его реализации.
Константин Дождиков, директор по управлению рисками ООО «УК «РОСНАНО»: «Для ООО «УК «РОСНАНО» очень важно чтобы каждое инвестиционное решение принималось с учетом рисков. Поэтому в отношении инвестиционных решений проводятся обязательные процедуры выявления и оценки рисков. При этом выявляют и оценивают риски как проектные команды, которые ведут проект, так и отдельные функциональные подразделения, которые пристально анализируют юридические, финансовые, технологические и др. аспекты сделки и проекта. Это обеспечивает более объективный и независимый анализ рисков инвестиционных решений».
Цель риск-менеджмента 2 – поддержка и информирование руководителей о рисках в процессе принятия решений. Задача риск-менеджера – сделать риски понятными и их влияние на цели или решение оцифрованным, чтобы позволить человеку, принимающему решения, сделать осознанный выбор, основанный на полной информации. Бывший глава риск-менеджмента LEGO на английском называет это intelligent risk taking, а Норман Маркс, автор и гуру риск-менеджмента, называет «риск-менеджмент 2» informed and intelligent risk taking. Хотите больше независимых точек зрения? Мы специально подобрали 11 наиболее полезных книг по управлению рисками, которые рассказывают именно о риск-менеджменте 2 и о многочисленных недостатках традиционного для России подхода к управлению рисками: https://riskacademy.blog/2017/01/14/my-favourite-risk-management-books
В таком контексте задача внутреннего аудитора – оценить, насколько управление рисками интегрировано в процессы принятия решений и насколько руководители эту информацию в процессе принятия решений используют, а также качество анализа рисков.
Но, если есть «риск-менеджмент 2», то есть и «риск-менеджмент 1»?
Помимо основной цели риск-менеджмента – информировать руководителей, принимающих решения, – есть и еще одна задача – удовлетворить требования к риск-менеджменту со стороны акционеров, регуляторов и проверяющих. Поэтому существует «риск-менеджмент 1». Риск-менеджмент 1 – это набор действий и документов, направленный на презентацию информации о рисках организации в формате, установленном внешними заинтересованными сторонами. К сожалению, требования к риск-менеджменту 1 очень сильно отличаются от инструментов и практик, которые используются в риск-менеджменте 2. И, несмотря на многолетнюю работу экспертов АНО ДПО «ИСАР» с представителями Министерства экономического развития и Счетной Палаты, требования к риск-менеджменту пока далеки от реальных инструментов, которые мы, риск-менеджеры, используем. Поэтому риск-менеджеры часто дублируют или генерируют набор документов, специально для регуляторов, которые в целом бесполезны для принятия решений и управления организацией. Что еще хуже, в контексте риск-менеджмента 1, риск-менеджеры вынуждены использовать инструменты (такие как оценка рисков через ущерб и вероятность, документация рисков в реестрах и формирование карт рисков), которые дают заведомо ложные и не полные данные.
Любовь Фролова, директор АНО ДПО «ИСАР»: «Исследование практики управления рисками в государственных и частных структурах в развитых странах, проведенное АНО ДПО «ИСАР», показало, что страны, которые делают упор на интеграции управления рисками в процессы принятия решений и культуру организации, достигли более высокого уровня зрелости. Российская же нормативная база пока находится в достаточно незрелом состоянии. Несмотря на то, что некоторые государственные структуры активно развивают тематику управления рисками (ведомства, которые сейчас внедряют «риск-ориентированный» надзор), в некоторых случаях эта работа никак не синхронизирована с принципами ГОСТ Р ИСО 31000, а часто прямо противоречит положениям международного стандарта. Это существенное отличие от западной практики, где ISO 31000 является основополагающим документом по управлению рисками для всех организаций.»
Однако не все так плохо. Банки, рейтинговые агентства и страховые компании все еще поощряют риск-менеджмент 1, поэтому можно снизить стоимость страхования и улучшить условия привлечения финансирования даже с помощью риск-менеджмента 1.
Задача внутреннего аудитора в этом случае убедиться, что «потемкинская деревня» под названием риск-менеджмент 1 не сильно отвлекает менеджмент от работы, риск-менеджеры не заставляют руководителей заполнять безумные реестры рисков на 50 колонок и, при этом, все пункты, требуемые регулятором, выполнены. Хорошие риск-менеджеры делают все документы риск-менеджмента 1 сами. Аудиторы также должны убедиться, что риск-менеджмент 1, какой бы он ни был, приносит пользу компании через снижение страховых премий и снижение стоимости финансирования.
В следующей статье мы поговорим о критериях оценки, изменившихся стандартах по управлению рисками ISO31000:2018 и COSO:ERM 2017 и о конкретных процедурах, которые должны предпринять аудиторы для оценки эффективности управления рисками. Мы даже дадим вам конкретную модель зрелости с более 30 критериями, взвешенными по важности, которую используем сами, когда оцениваем управление рисками в компаниях по всему миру.
Источник
Способы оценки управленческого риска
ГОСТ Р ИСО/МЭК 31010-2011
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
МЕТОДЫ ОЦЕНКИ РИСКА
Risk management. Risk assessment methods
* По данным официального сайта Стандартинформ
ОКС 03.100.01. — Примечание изготовителя базы данных.
Дата введения 2012-12-01
Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0-2004 «Стандартизация в Российской Федерации. Основные положения»
Сведения о стандарте
1 ПОДГОТОВЛЕН Автономной некоммерческой организацией «Научно-исследовательский центр контроля и диагностики технических систем» (АНО «НИЦ КД») на основе собственного аутентичного перевода на русский язык международного стандарта, указанного в пункте 4
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 10 «Менеджмент риска»
4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 31010:2009* «Менеджмент риска. Методы оценки риска» (ISO/IEC 31010:2009 «Risk management — Risk assessment techniques»).
* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. — Примечание изготовителя базы данных.
Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2004 (подраздел 3.5).
При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительных приложениях ДА и ДБ
5 ВВЕДЕН ВПЕРВЫЕ
Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок — в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет
Введение
Практически все организации сталкиваются с необходимостью оценки риска для снижения количества опасных событий и достижения поставленных целей.
Цели организации могут затрагивать различные аспекты ее деятельности: от стратегии до выпуска конкретной продукции, разработки процессов и проектов. Цели могут быть определены в социальной, экологической, технологической, коммерческой, финансовой и экономической областях, а также в области репутации организации, ее безопасности и социального, культурного, политического воздействия на население.
Всей деятельности организации соответствует риск. Менеджмент риска помогает в принятии решений в условиях неопределенности и возможности возникновения событий или обстоятельств (плановых и непредвиденных), воздействующих на достижение целей организации.
Менеджмент риска включает применение логических и системных методов для:
— обмена информацией и консультаций в области риска;
— установления области применения при идентификации, анализе, оценке и обработке риска, соответствующего любой деятельности, процессу, функции или продукции;
— мониторинга и анализа риска;
— регистрации полученных результатов и составления отчетности.
Оценка риска является частью процесса менеджмента риска и представляет собой структурированный процесс, в рамках которого идентифицируют способы достижения поставленных целей, проводят анализ последствий и вероятности возникновения опасных событий для принятия решения о необходимости обработки риска.
Оценка риска позволяет ответить на следующие основные вопросы:
— какие события могут произойти и их причина (идентификация опасных событий);
— каковы последствия этих событий;
— какова вероятность их возникновения;
— какие факторы могут сократить неблагоприятные последствия или уменьшить вероятность возникновения опасных ситуаций.
Кроме того, оценка риска помогает ответить на вопрос: является уровень риска приемлемым, или требуется его дальнейшая обработка? Настоящий стандарт основан на успешно применяемых методах оценки риска и не содержит новых, неапробированных понятий и методов.
Настоящий стандарт является основополагающим стандартом в области менеджмента риска и предназначен для предприятий различных отраслей промышленности. Нормативные документы, содержащие методы и критерии оценки риска для конкретных отраслей, должны соответствовать требованиям настоящего стандарта.
1 Область применения
Настоящий стандарт разработан в дополнение к ИСО 31000 и содержит рекомендации по выбору и применению методов оценки риска.
Оценка риска, выполненная в соответствии с настоящим стандартом, применима при выполнении других элементов процесса менеджмента риска.
В настоящем стандарте представлены методы оценки риска и даны ссылки на другие международные стандарты, в которых более подробно описано применение конкретных методов оценки риска.
Настоящий стандарт не предназначен для целей оценки соответствия и использования в качестве обязательных или договорных требований.
Стандарт не содержит конкретных критериев для принятия решения по анализу риска и указаний по применению методов анализа риска в конкретной ситуации.
Настоящий стандарт допускает использование других методов оценки риска с учетом их применимости в конкретной ситуации.
Примечание — Настоящий стандарт не связан с аспектами безопасности. Стандарт является основополагающим стандартом в области менеджмента риска, любые ссылки на безопасность носят справочный характер. При введении в действие требований безопасности следует руководствоваться положениями Руководства ИСО/МЭК 51.
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты*:
* Таблицу соответствия национальных стандартов международным см. по ссылке. — Примечание изготовителя базы данных.
Руководство ИСО 73:2009 Менеджмент риска. Словарь. Руководящие принципы для использования в стандартах (ISO Guide 73:2009, Risk management — Vocabulary — Guidelines for use in standards)
ИСО/МЭК 31000:2009 Менеджмент риска. Общие принципы и руководство (ISO 31000:2009, Risk management — Principles and guidelines)
3 Термины и определения
В настоящем стандарте применены термины и определения по Руководству ИСО/МЭК 73.
4 Понятие оценки риска
4.1 Цели и преимущества
Основной целью оценки риска является представление на основе объективных свидетельств информации, необходимой для принятия обоснованного решения относительно способов обработки риска.
Оценка риска обеспечивает:
— понимание потенциальных опасностей и воздействия их последствий на достижение установленных целей организации;
— получение информации, необходимой для принятия решений;
— понимание опасности и ее источников;
— идентификацию ключевых факторов, формирующих риск, уязвимых мест организации и ее систем;
— возможность сравнения риска с риском альтернативных организаций, технологий, методов и процессов;
— обмен информацией о риске и неопределенностях;
— информацию, необходимую для ранжирования риска;
— предотвращение новых инцидентов на основе исследования последствий произошедших инцидентов;
— выбор способов обработки риска;
— соответствие правовым и обязательным требованиям;
— получение информации, необходимой для обоснованного решения о принятии риска в соответствии с установленными критериями;
— оценку риска на всех стадиях жизненного цикла продукции.
4.2 Оценка риска и структура менеджмента риска
Оценка риска, установленная в настоящем стандарте, соответствует структуре и процессу менеджмента риска, установленным ИСО 31000.
Структура менеджмента риска предусматривает установление политики, процедуры и организационных мероприятий, направленных на внедрение менеджмента риска во всех подразделениях организации.
Организация должна официально сформулировать политику и стратегию в области менеджмента риска, а также применять соответствующие методы оценки риска.
Ответственные за оценку риска должны знать:
— область деятельности и цели организации;
— уровень приемлемого риска и способы обработки неприемлемого риска;
— способы интеграции процессов оценки риска в процессы менеджмента организации;
— методы оценки риска и способы их применения в процессе менеджмента риска;
— систему подотчетности, распределения ответственности и полномочий в области оценки риска;
— требуемые и доступные ресурсы для выполнения оценки риска;
— способы регистрации и анализа оценки риска.
4.3 Оценка риска и процесс менеджмента риска
4.3.1 Общие положения
Оценка риска является основным элементом процесса менеджмента риска, включающего в соответствии с ИСО 31000 следующие элементы:
— обмен информацией и консультации;
— установление области применения менеджмента риска;
— оценку риска (включая идентификацию риска, анализ риска и сравнительную оценку риска);
— мониторинг и анализ риска.
Являясь основным элементом процесса менеджмента риска, деятельность по оценке риска должна быть интегрирована в другие элементы этого процесса.
Источник
