Александр Филатов - Управление рисками, аудит и внутренний контроль

Оценку рисков необходимо проводить ежегодно, а в случае высокой подверженности конкретным рискам соответствующую сферу деятельности нужно оценивать чаще. Если совет директоров считает те или иные риски особенно значимыми, он может отслеживать и переоценивать данные риски на каждом заседании совета директоров. Таким образом во время финансового кризиса поступали многие компании, столкнувшиеся с кредитными и инвестиционными рисками.

Некоторые компании строят так называемые «тепловые карты» рисков (см. Приложение 4), выделяя красным цветом наиболее значимые и вероятные риски в особую группу, требующую повышенного внимания со стороны совета директоров и высшего руководства.

Важным шагом является определение риск-аппетита компании. При установлении риск-аппетита совет директоров должен основываться на собственном бизнес-суждении, а также учитывать ряд дополнительных факторов:

– На каком этапе жизненного цикла находится компания? Вполне естественно, что стартапы по своей природе больше подвержены риску, чем более зрелые компании.

– Мнение основных заинтересованных сторон. Акционеры, кредиторы, держатели облигаций и пр. могут иметь различное мнение о риск-аппетите. Совет директоров должен учитывать их мнение при установлении риск-аппетита.

– Факторы внешней среды. Например, рецессия в экономике или существенное изменение в регулировании, кардинальные структурные изменения в отрасли могут существенно повлиять на риск-аппетит.

Самая простая рекомендация в отношении установления уровня риск-аппетита: «не откусывайте больше, чем Вы можете проглотить» . Для компаний разных отраслей и разной стадии жизненного цикла риск-аппетит может быть сформулирован количественно (в сумме возможных потерь, предельных значениях или коридорах коэффициентов и пр.) либо в качественном выражении (путем описания). Например:

– достаточность капитала для покрытия ущерба определенного уровня;

– предельно допустимые значения по покрытию долга (долг/EBITDA);

– платежеспособность: компания должна быть в состоянии обеспечивать выполнение своих обязательств;

– структура доходов: компания считает критичной потерю более определенного процента доходов или хочет установить предельный процент зависимости доходов от одного или нескольких крупных клиентов.

Четвертый элемент – выработка реакции на риск –предполагает выработку стратегии реагирования на каждый выявленный риск. Базовые стратегии реакции на риск обычно предполагают:

– Избегание риска – руководство компании в таком случае решает не начинать или прекратить проекты или виды деятельности, приводящие к риску, выходящему за пределы риск-аппетита.

– Минимизация риска – руководство компании в таком случае предпринимает меры для уменьшения воздействия или вероятности риска путем разработки и внедрения соответствующей стратегии, плана действий, соответствующих контрольных процедур. В этом случае в ряде компаний также оценивается уровень остаточного риска – риска после применения контрольных процедур и мероприятий по снижению риска.

– Принятие риска – руководство компании в таком случае решает, что минимизация риска не является возможной или экономически оправданной, а выгоды, получаемые от проектов, процедур или видов деятельности, стоят принимаемого риска.

– Передача риска (перенос риска) – разделение с другой стороной возможных потерь или преимуществ от риска.

Ответственность за разработку мероприятий по управлению приоритетными рисками несут руководители и/или прочие ключевые работники подразделений, в наибольшей степени влияющих на управление данными рисками.

Контроль за реализацией мероприятий по управлению ключевыми (приоритетными) рисками должен осуществлять совет директоров, а контроль за рисками «желтой» и «зеленой» зоны находится целиком в зоне ответственности менеджмента, который должен обеспечить адекватность контрольных процедур для управления всеми рисками.

Таким образом, следующим важным элементом системы управления рисками являются процедуры контроля,обеспечивающие удержание рисков в приемлемом диапазоне. Для адекватного внедрения процедур контроля совету директоров необходимо:

1. Создать необходимую инфраструктуру, позволяющую обеспечить эффективность контрольных процедур:

– процедуры контроля реализуются на всех уровнях управления;

– контрольные мероприятия встроены в ежедневные операции;

– обеспечено адекватное разделение обязанностей и отсутствие конфликтов интересов при выполнении персоналом своих обязанностей.

2. Убедиться в том, что в компании осуществляются периодические проверки соответствия всех областей̆ деятельности установленным политикам и процедурам.

3. Убедиться в адекватности, полноте и достоверности финансовой и управленческой отчетности, информации на всех уровнях управления.

4. Обеспечить соответствие деятельности законодательству.

Различают несколько форм контрольных процедур: предварительный контроль, текущий контроль, последующий контроль.

Предварительный контроль может включать:

– назначение ответственного исполнителя;

– установление стандартов качества;

– установление строгих процедур составления тендерных и коммерческих предложений расчетов стоимости строительства;

– создание системы управленческого учета и отчетности.

Текущий контроль может предусматривать:

– проверку материалов и товаров по мере прохождения ими производственного процесса;

– обеспечение обратной связи производств и ответственных лиц по выполнению плановых показателей в разрезе смены, дня, месяца, квартала, года;

– обеспечение обратной связи со служащими по показателям качества в ходе процесса производства;

– создание системы оценки функционирования бизнеса;

– мониторинг ключевых показателей деятельности (эффективности).

Последующий контроль может включать:

– проверку качества готовой продукции и услуг сотрудниками службы качества с целью определения степени брака;

– оценку объемов производства продукции с целью определения размеров премии подразделению за выполнение ключевых показателей эффективности (КПЭ) и плановых заданий.

Адекватная система мониторингатакже является необходимым элементом эффективной системы управления рисками. В этой связи совет директоров может инициировать создание системы раннего предупреждения – системы ключевых индикаторов риска, которые сигнализируют о приближении рисковых событий. Набор таких индикаторов достаточно уникален для конкретной компании, но может включать следующие признаки 6: