Управление рисками является современной, динамично развивающейся управленческой технологией.
Риск - потенциальная, численно измеримая угроза потери части своих ресурсов, недополучения доходов или появления дополнительных расходов и/или обратное – возможность получения значительной выгоды (дохода) в результате осуществления предпринимательской деятельности в условиях неопределенности.
В условиях изменяющейся бизнес-среды именно риск-менеджмент является основой обеспечения гарантии достижения целей, непрерывности и безопасности бизнеса. Каждое бизнес-решение связано как с рисками, так и с потенциальными возможностями, позволяющими получить дополнительное конкурентное преимущество.
Корпоративная система управления рисками это один из основных элементов управления компании. Она реализуется на всех уровнях управления и позволяет:
- выявить угрозы в бизнес-процессах и информировать о них акционеров;
- обеспечить снижение рисков до установленного целевого уровня;
- обеспечить более высокую инвестиционную привлекательность через раскрытие нформации о рисках и методах управления ими;
- повысить уровень управления и качество принимаемых решений;
- повысить уверенность руководства и акционера в надежности и стабильности методов ведения бизнеса.
Последнее десятилетие отмечено повышенным вниманием бизнес-сообщества к вопросу риск-менеджмента. В первую очередь это относится к наиболее развитым странам мира. Прокатившаяся череда банкротств и крупных финансовых потерь иностранных компаний («Enron», «WorldCom», Pacific Gas & Elictric, Financial Corp. Of America, Texaco и др.), которые могли бы быть предотвращены, стала одной из основных причин возрастания за рубежом роли риск-менеджмента в системе управления предприятием.
В США (1987), Великобритании (1992, 2001), Австралии (1992), Японии (1997), Канаде (1997) на национальном уровне разработаны стандарты и руководящие положения по управлению рисками, отвечающие на многие фундаментальные вопросы: что есть риск, какие риски существуют, в чем сущность управления рисками, как построить процесс риск-менеджмента на предприятии? В России с 1 января 2006 года действует положение, которое предусматривает наличие системы внутреннего контроля у организаций, ценные бумаги которых включаются в списки фондовой биржи.
Существует несколько общепринятых принципов построения системы внутреннего контроля. Наибольшую известность имеет модель, разработанная Комитетом спонсорских организаций - COSO, согласно которой система внутреннего контроля состоит из 5 компонентов: контрольная среда; система выявления и оценки рисков; информационная среда и система коммуникаций; контрольные процедуры; мониторинг. Каждый из этих компонентов имеет отношение ко всем категориям бизнес-целей: стратегическим, операционным, целям отчетности и соответствия требованиям законодательства.
В октябре 2004 года появилась новая разработка COSO - модель ERM («риск-менеджмент»), которая объединила в себе как компоненты системы внутреннего контроля, так и системы управления рисками. Таким образом, управление рисками это процесс более обширный, чем внутренний контроль. Он включает и развивает систему внутреннего контроля, трансформируя ее в более эффективную форму, больше ориентированную на риск.
Особенность «риск-менеджмента» заключается в том, что управление рисками приобретает широкий характер и координируется в рамках всей организации. Современное понимание риск-менеждмента базируется на «концепции приемлемого риска». Целью процесса управления риском является придание максимальной устойчивости всем видам деятельности компании путем удержания совокупного риска (ожидаемого уровня потерь) в пределах определенных стратегией развития.
Отсутствие адаптированных к российским условиям подходов к построению системы управления рисками является одним из основных препятствий для встраивания процесса риск-менеджмента в процесс управления российских компаний.
Устойчивое и эффективное развитие железнодорожного транспорта в долгосрочном периоде определяется способностью заблаговременно выявлять, оценивать и предупреждать негативное воздействие внешних факторов. Глобализация мировой экономики и интеграция России в мировые экономические процессы, неравномерность темпов развития различных отраслей экономики, усиливающаяся конкуренция на рынке транспортных услуг, интенсивное внедрение инноваций и «прорывных» научно-технических разработок оказывают существенное влияние на условия работы нашей компании.
В целях обеспечения своевременной адаптации железнодорожного транспорта в январе 2007 года в нашей компании утверждена функциональная стратегия управления рисками. Создание данного механизма в долгосрочной перспективе существенно снизить уровень неопределенности развития, обеспечит повышение доверия со стороны частного капитала и крупнейших международных инвесторов по совместным проектам и создаст основу для долгосрочного конкурентного преимущества на перспективу до 2030 года.
Исходя из разработанной миссии, руководство компании устанавливает стратегические цели и определяет соответствующие им тактические цели. В соответствии с целями компании риски можно разделить на четыре категории: стратегические, соотнесенные с миссией компании; операционные, связанные с эффективным и результативным использованием ресурсов; в области подготовки достоверной отчетности; в области соблюдения законодательства.
- Современная модель внутреннего аудита как средство стратегического управления компанией
- 1. Роль и задачи внутреннего аудита в разветвленной структуре холдинга
Внедрение интегрированной системы управления рисками базируется на трех взаимосвязанных элементах: разработка процедур выявления рисковых событий, совершенствование системы внутреннего контроля, осуществление мониторинга и оценки эффективности систем внутреннего контроля и управления рисками. Одним из условий обеспечения разумной гарантии достижения целей является создание риск-ориентированного внутреннего аудита, который выполняет разнообразные задачи:
- оценивает систему внутреннего контроля в части достоверности информации, соблюдения законодательства, сохранности активов, эффективности и результативности деятельности отдельных операционных и структурных подразделений.
- проводит анализ и оценку эффективности системы управления рисками и предлагает методы снижения рисков.
- оценивает соответствие системы корпоративного управления компании принципам корпоративного управления.
- предлагает методы снижения рисков.
Одним из важнейших направлений деятельности внутреннего аудита становится аудит информационных систем (информационных технологий).
Виды деятельности по управлению рисками в компании можно разделить в соответствии с функциями, которые может выполнять внутренний аудит:
Первая группа включает ключевые роли внутреннего аудита, заключающиеся в предоставлении совету директоров и комитету по аудиту объективных гарантий эффективности ее деятельности, обеспечения уверенности в надлежащем управлении бизнес-рисками и в том, что система внутреннего контроля работает эффективно.
Вторая группа - это консалтинговые функции по улучшению управления рисками, которые может взять на себя внутренний аудит, если он не участвует в фактическом управлении рисками, то есть не имеет менеджерской ответственности.
Третья группа представляет собой роли, которые не должен брать на себя внутренний аудит: навязывание процессов управления рисками, отчетность по управлению рисками и принятие решений с выдачей гарантий.
Внутренний аудит может многое, но не является универсальным решением всех проблем компании.
Например, внутренний аудит:
- не может ликвидировать или идентифицировать все случаи человеческих ошибок или злоупотреблений, но может минимизировать их вероятность и увеличить вероятность их скорого обнаружения посредством аудита систем/процедур;
- не может аудировать каждый бизнес-процесс каждый год, но может оптимизировать выбор проверяемых областей/подразделений на основе проведения предварительного риск-анализа;
- не должен разрабатывать процедуры для подразделений/отделов компании, поскольку это отрицательно влияет на независимость внутреннего аудита, но может анализировать процедуры, разработанные другими подразделениями или отделами, на предмет их эффективности в рамках системы внутреннего контроля компании.
Компании необходима трансформация внутреннего аудита в инструмент оценки рисков со смещением акцентов от контроля отдельных операций к оценке рисков в деятельности компании в целом. Традиционный внутренний аудит – это контроль по факту, т.е. предметом его анализа являются уже наступившие рисковые события. Риск-ориентированный внутренний аудит предполагает также и предупредительный контроль, т.е. выявление потенциальных проблемных ситуаций и выработку рекомендаций по их недопущению.
Какие задачи должен решать внутренний аудит в области управления рисками?
Во-первых, внутренние аудиторы в ходе различных видов аудитов предоставляют аудиторские рекомендации, позволяющие предотвратить риск или снизить его до приемлемого уровня.
Во-вторых, внутренние аудиторы проводят оценку надежности и эффективности системы управления рисками.
В-третьих, внутренние аудиторы при соблюдении определенных условий могут помогать менеджменту в разработке и внедрении системы управления рисками компании. Однако здесь, как и в случае с системой внутреннего контроля, следует иметь в виду, что анализ и управление рисками - это задача менеджмента компании, в решении которой внутренний аудит оказывает содействие менеджменту.
Итак, целью внутреннего аудита является помощь органам управления компании в осуществлении эффективного контроля над различными звеньями (элементами) системы внутреннего контроля. Под главной задачей внутренних аудиторов следует понимать обеспечение удовлетворения потребностей органов управления в части предоставления контрольной информации по различным интересующим их вопросам. Под общей же функцией внутренних аудиторов следует понимать:
- оценку адекватности систем контроля — осуществление проверок звеньев управления (контроля), предоставление обоснованных предложений по устранению выявленных недостатков и рекомендаций по повышению эффективности управления;
- оценку эффективности деятельности — осуществление экспертных оценок различных сторон функционирования организации и предоставление обоснованных предложений по их совершенствованию. Деятельность внутренних аудиторов для органов управления организацией имеет информационное и консультационное значение.
К основным задачам службы внутреннего аудита относятся:
- проверка достоверности и сопоставимости показателей бухгалтерского, управленческого учета и другой хозяйственной информации;
- оценка эффективности финансово-хозяйственной деятельности предприятия и соответствия деятельности менеджмента интересам владельцев;
- оценка адекватности и эффективности системы внутреннего контроля, ее соответствия степени потенциального риска, присущего разным сферам деятельности предприятия;
- проверка уровня соблюдения законодательных и нормативных актов, внутренних распоряжений и инструкций, договорных условий;
- проверка обеспечения сохранности товарно-материальных ценностей, принадлежащих предприятию;
- обеспечение постоянного контроля за соблюдением сотрудниками установленного документооборота, процедур проведения операций, функций и полномочий согласно возложенным на них обязанностям;
- проверка надежности и эффективности информационных систем и систем коммуникаций предприятия;
- оценка действенности контроллинга рисков и адекватности мероприятий по управлению рисками;
- выявление сфер потенциальных убытков, благоприятных условий для мошенничества, злоупотреблений и незаконного присвоения финансовых и материальных ценностей.
Современные отечественные предприятия постоянно находятся под угрозой незаконных действий своих сотрудников. Эти угрозы многообразны: прямое воровство, «откаты»-взятки, ведущие к закупкам по завышенным ценам, разглашение конфиденциальных сведений, инсайдерской информации, «увод» внутренних информационных баз данных, «работа на себя» с использованием материальной и интеллектуальной собственности работодателя и многое другое. При этом специалисты выделяют две основные причины потерь, связанных с действиями персонала, - плохая организация контроля и учета на предприятии и недостаточная мотивация сотрудников. Поэтому одним из главных способов минимизации подобных рисков является разработка системы внутреннего контроля, создающей ко всему прочему атмосферу коллективной ответственности и предполагающей неотвратимость наказания за незаконные действия.
Роль внутреннего аудита особенно важна для холдинговых компаний, имеющих разветвленную филиальную сеть. Значимость внутреннего аудита определяется необходимостью для компании получать своевременную и объективную информацию о деятельности филиалов/дочерних компаний. Филиалы, дочерние и зависимые общества, в свою очередь, также получают немалую пользу от внутреннего аудита. Во-первых, происходит ознакомление в рамках всей компании с «лучшими практиками» в работе отдельных подразделений, носителем которых, в силу специфики деятельности, является внутренний аудит. Во-вторых, внутренний аудит способствует более глубокому пониманию филиалами, дочерними и зависимыми обществами политик и процедур ОАО «РЖД».
Развитие холдинговых структур, объединяющих в своем составе промышленные предприятия, научно-исследовательские, торговые, кредитные, инвестиционные и т.д. организации, требует комплексного и формализованного контроля над денежными потоками, системой управления и финансовым состоянием каждой бизнес-единицы, входящей в структуру группы. Эти цели могут быть успешно достигнуты при рационально организованной системе внутреннего контроля.
Внутренний аудит именно та функция, которая призвана участвовать в оценке надежности и эффективности системы внутреннего контроля (не только финансового, но и операционного контроля, контроля за соблюдением политик и процедур), в процессе управления рисками, с которыми сталкивается компания (например, при выведении на рынок новых продуктов, внедрении новых информационных систем, реструктуризации бизнеса), в процессе корпоративного управления. Если целью внешнего аудита является получение мнения аудитора о достоверности финансовой отчетности, то внутренний аудит — это постоянный нацеленный на будущее процесс, задача которого содействовать руководству компании в достижении поставленных целей наиболее эффективным образом.
- 2. Разграничение функций внутреннего аудита и риск-менеджмента в системе управления рисками
Правильно оценивать риски и управлять без взаимодействия внутреннего аудита и риск-менеджмента крайне сложно. Однако, слаженная работа этих подразделений возможна лишь при четком распределении между ними полномочий и функциональных обязанностей. Только в этом случае можно будет рассчитывать на синергетический эффект от объединения усилий двух служб в области управления рисками.
Для того, чтобы правильно поставить задачи подразделениям внутреннего аудита и риск-менеджмента, необходимо определить особенности функционирования каждого из них.
Риск-менеджер выявляет риски, принимает решения о разработке мер по их минимизации на всех уровнях управления – от дочернего предприятия до генерального директора, – а также контролирует исполнение этих мер. Кроме того, для постоянного мониторинга угроз риск-менеджер ведет карту (регистр) рисков компании, что позволяет свести воедино и оценить угрозы на стратегическом и операционном уровнях.
Внутренний аудитор проводит независимую оценку системы внутреннего контроля и системы управления рисками в областях соответствия внешним регуляциям. Также он определяет достоверность отчетности для внешних потребителей, эффективность бизнес-процессов и реализации стратегии. Для такого анализа аудитору приходится оценивать риски, выявленные в ходе проведения внутренних проверок, определять толерантность (допустимость) к угрозам, а также оценивать эффективность контрольных процедур и принимаемых мер по снижению уровня опасности.
Получается, что общая задача и риск-менеджмента, и внутреннего аудита – это оценка рисков. Вместе с тем хотел бы учесть, что каждое из этих подразделений использует различные подходы к такому анализу.
