ГОСТ Р 70350

К концу двухтысячных двадцатых в российских компаниях системы управления рисками были построены почти везде, где есть совет директоров. При этом качество этих систем различалось радикально, от работающего механизма до папки регламентов.

Возник запрос на способ измерения. Совету директоров и акционеру нужен ответ, работает ли функция и куда уходит ее бюджет. Стандарт дает язык для этого разговора и набор элементов, по которым оценка производится.

Логика стандарта охватывает всю систему, а не только реестр.

• Наличие и качество внутренних документов, методология, положения, регламенты
• Организационное устройство, полномочия функции, подчиненность, ресурсы
• Качество процесса, идентификация, оценка, реагирование, мониторинг
• Интеграция с ключевыми процессами, планированием, инвестициями, закупками, проектами
• Отчетность и информирование органов управления
• Компетенции персонала и риск-культура
• Результативность, то есть влияние системы на достижение целей

Внешняя оценка зрелости, которую заказывают у консультанта, отвечает на тот же вопрос, но добавляет две вещи. Первое, сравнение с практикой других компаний отрасли, чего внутри не получить. Второе, независимость мнения, что имеет значение при разговоре с советом директоров.

Разумная схема такая. Самодиагностика по стандарту ежегодно, внешняя оценка раз в два-три года или перед существенным изменением, выходом на биржу, сменой акционера, крупной сделкой.