Как управлять рисками системно: чек-лист для совета директоров

Во многих российских компаниях управление рисками налажено фрагментарно: риски собраны, но не связаны между собой, оценки проведены, но не привязаны к стратегии компании. Разбираемся, из чего состоит системный риск-менеджмент, и предлагаем чек-лист из 18 вопросов, на которые совет директоров должен получить честный ответ.

Коротко о главном

Говорить о системе управления рисками можно при наличии четырех признаков: риски учитываются при постановке стратегических целей и распределении ресурсов; риск-менеджмент встроен в операционные процессы, а не живет в отдельном подразделении; культура открытого обсуждения рисков пронизывает всю организацию; информация о рисках поступает к тем, кто принимает решения, своевременно и в понятном формате.

Чек-лист состоит из пяти блоков: стратегия и целеполагание, процессы и интеграция, культура и люди, инфраструктура и данные, мониторинг и пересмотр. Если на большинство вопросов ответ «да» или «в процессе», система имеет шансы на системность. Если преобладают «нет» и «не знаем» — это зоны ближайшего развития.

Системное управление рисками невозможно без готовности первого лица и совета директоров реально им заниматься.

Четыре признака системного управления рисками

Системное управление рисками означает не просто сбор рисков в реестр, а встраивание риск-менеджмента в корпоративное управление и принятие решений на всех уровнях компании.

Система состоялась, если одновременно выполняются четыре условия:

• риски учитываются при постановке стратегических целей и распределении ресурсов;
• риск-менеджмент не живет своей жизнью в отдельном подразделении, а встроен в операционные процессы;
• культура открытого обсуждения рисков пронизывает всю организацию;
• информация о рисках поступает к тем, кто принимает решения, своевременно и в понятном формате.

Блок 1. Стратегия и целеполагание

Вопрос 1. Связаны ли риски со стратегией?

Утверждая стратегию развития, необходимо задать вопрос: «Какие риски могут помешать достижению этих целей, и готовы ли мы их принять?». Если риски живут в отдельном реестре, а стратегия — в другом документе, бизнес-модель компании может очень скоро оказаться несостоятельной.

Вопрос 2. Учитываются ли риски при распределении капитала и бюджетировании?

Указано ли в бюджете на следующий год, какие ресурсы выделены на управление приоритетными рисками, или все деньги уходят на достижение целей, а на риски выделяется по остаточному принципу?

Вопрос 3. Определен ли аппетит к риску в очевидных и измеримых показателях?

Позволяет ли он определить допустимый уровень волатильности прибыли, максимальное кредитное плечо, допустимую долю потери выручки?

Реклама 16+

Составляйте и отправляйте бухгалтерскую отчетность в Контур.Экстерне. А бухгалтерский модификатор поможет автоматически построить управленческие отчеты для руководителя на основе бухучета.

Попробовать

Блок 2. Процессы и интеграция

Вопрос 4. Встроены ли процедуры управления рисками в ключевые бизнес-процессы?

Проверяется ли рисковая составляющая при запуске новых продуктов, при заключении крупных сделок, при выходе на новые рынки?

Вопрос 5. Существует ли единая методология оценки рисков в бизнес-подразделениях?

Методология должна быть стандартизирована, но при этом гибкой, чтобы учитывать специфику каждого подразделения.

Вопрос 6. Как учитываются взаимосвязи рисков?

Есть ли понимание, как операционный риск может перерасти в стратегический, как рыночные изменения повлияют на кредитные риски, как климатические риски скажутся на цепочках поставок? Система должна видеть не только отдельные риски, но и их комбинации.

Вопрос 7. Проводятся ли стресс-тесты и сценарный анализ?

Проверяется ли устойчивость компании к различным внутренним и внешним сценариям?

Блок 3. Культура и люди

Вопрос 8. Могут ли рядовые сотрудники прямо сообщить о потенциальных рисках?

Открытая корпоративная культура — фундамент системного риск-менеджмента. Без нее вся система держится на бумаге.

Вопрос 9. Включены ли показатели управления рисками в систему мотивации руководителей?

Если KPI менеджеров завязаны только на финансовых результатах, они будут игнорировать риски ради выполнения плана. Бонусы руководителей должны зависеть также от того, насколько соблюдаются лимиты, выполняются антирисковые мероприятия и отсутствуют инциденты.

Вопрос 10. Проводится ли регулярное обучение сотрудников в области риск-менеджмента?

Обучение должно охватывать не только специалистов по рискам, но и линейный персонал — для понимания своей роли в управлении рисками.

Реклама 16+

Переведите онлайн-обучение в Контур.Толк

Бесплатный доступ для новых пользователей

Зарегистрироваться

Блок 4. Инфраструктура и данные

Вопрос 11. Есть ли в компании единая система сбора и консолидации информации о рисках?

Если информация о рисках хранится только в Excel-файлах, которые рассылаются по почте, это может стать серьезной проблемой. Автоматизация критически важна для системности.

Вопрос 12. Получает ли совет директоров отчеты о рисках с периодичностью, адекватной скорости изменения бизнес-среды?

Как часто рассматриваются дашборды с ключевыми индикаторами риска (KRI)?

Вопрос 13. Как проверяется достоверность данных, на которых основаны оценки рисков?

Насколько они полные и актуальные?

Вопрос 14. Учитываются ли внешние источники информации о рисках?

Изменения в законодательстве, макроэкономике, действиях конкурентов, технологических трендах — системный подход требует постоянного сканирования внешней среды.

Блок 5. Мониторинг и пересмотр

Вопрос 15. Как часто пересматривается карта рисков?

Риски не статичны. Раз в квартал (а по некоторым — чаще) необходимо пересматривать актуальность, вероятности и влияние. Карта рисков, утвержденная год назад и с тех пор не менявшаяся, перестает быть актуальной.

Вопрос 16. Отслеживается ли выполнение планов мероприятий по управлению рисками?

Недостаточно запланировать «снизить риск». Нужно контролировать, выполнены ли шаги, достигнуты ли целевые остаточные уровни. Комитет по аудиту должен получать отчеты о прогрессе.

Вопрос 17. Анализируются ли реализовавшиеся риски и инциденты?

Каждый сбой, каждый убыток, каждое нарушение — это возможность научиться. Проводится ли разбор причин, делаются ли выводы, вносятся ли изменения в систему или инциденты замалчиваются и забываются?

Вопрос 18. Проводится ли бенчмаркинг с другими компаниями отрасли?

Использование лучших практик позволяет избежать ситуации, когда компания изобретает велосипед вместо того, чтобы опереться на уже проверенные решения.

Как интерпретировать результаты

Если на большинство вопросов получен ответ «да» или «в процессе», система управления рисками имеет шансы на системность. Если преобладают «нет» и «не знаем» — это зоны ближайшего развития, и именно с них стоит начать.

Немаловажно и другое: определить для себя, есть ли готовность первого лица и совета директоров реально управлять рисками. Системное управление рисками невозможно без лидерства сверху.