COSO ERM

COSO ERM это концептуальная модель управления рисками организации, разработанная американским Комитетом организаций-спонсоров Комиссии Тредвея. В действующей редакции модель называется «Управление рисками организации. Интеграция со стратегией и результативностью деятельности».

Модель выросла из другой известной работы того же комитета, посвященной внутреннему контролю, и это объясняет ее характер. COSO мыслит категориями контрольной среды и подотчетности, тогда как ИСО мыслит категориями процесса и контекста.

Полезны как чек-лист, даже если компания работает по ИСО.

• Руководство и культура, роли органов управления, ценности, привлечение и развитие людей
• Стратегия и постановка целей, риск-аппетит, оценка альтернативных стратегий, цели деятельности
• Результативность, выявление, оценка, приоритизация рисков, реагирование и портфельный взгляд
• Анализ и пересмотр, оценка существенных изменений, анализ рисков и результативности, улучшение
• Информация, коммуникация и отчетность, работа с данными, каналы информирования, отчеты по рискам

Практический ответ, ГОСТ Р ИСО 31000 как основу, COSO как источник идей. Причина прагматичная. Методология со ссылкой на национальный стандарт проходит проверку аудитора, регулятора и госзаказчика без дополнительных объяснений. Методология со ссылкой на американскую модель потребует перевода и защиты.

При этом две вещи из COSO стоит взять почти всегда. Первое, портфельный взгляд, то есть обязательство смотреть на совокупность рисков, а не только на отдельные. Второе, явную связку риск-аппетита со стратегией и с оценкой альтернатив при принятии решений. В тексте ИСО это подразумевается, но выражено гораздо мягче.