От формального наличия к реальной эффективности: как внутреннему аудиту оценить систему управления рисками и внутреннего контроля

В компании может быть утверждена политика управления рисками, сформирован реестр рисков2, назначены владельцы рисков, определен риск-аппетит, разработаны матрицы рисков и контролей, а на совет директоров регулярно выносится отчетность по рискам. Формально система существует.

Но означает ли это, что рисками действительно управляют?

Для внутреннего аудитора этот вопрос принципиален. Проверить наличие элементов системы относительно несложно. Значительно труднее дать обоснованный ответ на другой вопрос: позволяет ли действующая система своевременно выявлять существенные риски, принимать по ним решения и удерживать уровень риска в пределах, приемлемых для организации?

Именно здесь проходит граница между оценкой формального соответствия и оценкой реальной эффективности системы управления рисками и внутреннего контроля (СУРиВК).

Актуальность такой постановки вопроса возрастает. Профиль рисков организаций меняется быстрее, чем традиционные годовые циклы их оценки при этом цифровые риски относятся к числу наиболее быстро растущих.

В таких условиях качество СУРиВК определяется уже не количеством разработанных документов и даже не только исполнением отдельных контрольных процедур. Все большее значение имеет способность системы замечать изменение риска, своевременно реагировать на него и предоставлять руководству информацию, необходимую для принятия решений.

С ЧЕГО НАЧИНАТЬ ОЦЕНКУ

Одна из распространенных ошибок – начинать аудит СУРиВК с запроса положения об управлении рисками, реестр рисков и матрицы контролей. Эти документы нужны. Но начинать лучше не с них.

Первый вопрос внутреннего аудитора должен звучать иначе: какие цели организация считает наиболее значимыми и какие события могут помешать их достижению?

Риск существует не сам по себе, если эта связь теряется, управление рисками довольно быстро превращается в административную процедуру: подразделения раз в квартал актуализируют таблицы, меняют оценки с «высокого» уровня на «средний», добавляют мероприятия, но управленческие решения живут отдельно от реестра рисков.

Поэтому при оценке СУРиВК полезно двигаться не от документа к документу, а по следующей цепочке: цель → риск → допустимый уровень риска → меры реагирования → ключевые контроли → остаточный риск → мониторинг → решение.

Если на одном из участков этой цепочки связь теряется, это уже повод для дополнительного анализа. Например, организация обозначила обеспечение бесперебойной деятельности как стратегически важную цель. В реестре рисков присутствует риск остановки критичных информационных систем. Определены резервирование инфраструктуры и план аварийного восстановления. На первый взгляд с... ✂