COSO ERM

COSO ERM это концептуальная модель управления рисками организации. Слово «модель» здесь точнее слова «стандарт»: документ описывает, как устроено управление рисками и из чего оно состоит, но требований, которые можно проверить пунктом, в нем нет. Сертификации по COSO тоже не существует.

COSO это Комитет организаций-спонсоров Комиссии Тредуэя. За ним стоят пять профессиональных объединений США, Американская ассоциация бухгалтеров, Американский институт дипломированных бухгалтеров, Международная ассоциация финансовых руководителей, Институт внутренних аудиторов и Институт бухгалтеров по управленческому учету. Состав спонсоров объясняет характер модели, она написана языком отчетности, контроля и подотчетности перед советом директоров.

Действующая редакция называется «Управление рисками организации. Интеграция со стратегией и результативностью деятельности» и вышла в 2017 году. Она состоит из пяти компонентов и двадцати принципов.

Редакция 2004 года описывала управление рисками как надстройку над деятельностью. Ее рисовали кубом, и на практике это давало предсказуемый результат, риск-менеджмент жил отдельной жизнью, со своим реестром и своим циклом, слабо связанным с планированием.

Редакция 2017 года переставила акценты. Управление рисками описано как часть работы над стратегией и результатом, а не как отдельный процесс. Отсюда два главных вопроса модели, выдержит ли выбранная стратегия реальность и какие риски мы принимаем вместе с ней. Отсюда же и порядок компонентов, культура идет первой, а отчетность последней.

Практическое следствие простое. Если в компании обсуждение рисков происходит после утверждения планов, модель считает это дефектом устройства, а не дисциплины.

Практический ответ такой, ГОСТ Р ИСО 31000 как основу методологии, COSO как источник идей и как чек-лист. Причина прагматичная. Методология со ссылкой на национальный стандарт проходит проверку аудитора, регулятора и госзаказчика без дополнительных объяснений. Методология со ссылкой на американскую модель потребует перевода терминов и защиты выбора.

При этом две вещи из COSO стоит взять почти всегда. Первое, портфельный взгляд, то есть обязательство смотреть на совокупность рисков, а не только на отдельные строки реестра. Второе, явную связку риск-аппетита со стратегией и с оценкой альтернатив при принятии решений. В тексте ИСО это подразумевается, но выражено гораздо мягче.

Самый быстрый способ получить пользу от COSO это самооценка по двадцати принципам. Соберите руководителей второй линии и пройдите список, отмечая по каждому принципу одно из трех состояний, выполняется, выполняется частично, отсутствует.

Результат обычно выглядит одинаково. Компонент «Результативность» закрыт неплохо, потому что реестр рисков есть у всех. Провалы концентрируются в первом и втором компонентах, где живут культура, риск-аппетит и связь со стратегией, и в последнем, где живет отчетность.

Эти провалы и становятся планом работ на год. Такой план защищается перед советом директоров легче, чем абстрактное «внедрим систему», потому что каждая строка привязана к признанной мировой рамке.