Матрица рисков и контролей

Матрица рисков и контролей это таблица, где по строкам идут риски процесса, а по каждому риску перечислены контрольные процедуры, которые его закрывают. Для каждого контроля указано, кто выполняет, когда, какой оставляет след и насколько он эффективен по результатам тестирования.

Ценность в двух вещах, которые видны только в таком виде. Первое, разрывы, риски без единого контроля. Второе, избыточность, риски, на которых висит по четыре процедуры при умеренном влиянии.

• Есть ли риск высокого уровня без предупреждающего контроля. Это первый приоритет
• Есть ли контроль без риска. Обычно это унаследованная процедура, которую можно убрать
• Есть ли риск, закрытый только ручными контролями одного человека. Это уязвимость по замещению
• Совпадают ли ключевые контроли матрицы с тем, что реально тестировал аудит за год

Матрица это вход сразу для трех процессов. Для планирования проверок внутреннего аудита, он идет туда, где высокий риск и слабые контроли. Для программы автоматизации, кандидаты на автоматизацию это ручные контроли на высоких рисках с большим объемом операций. Для оптимизации процессов, избыточные контроли снимаются и процесс ускоряется без роста риска.

Строить матрицу сразу по всей компании не нужно и почти всегда бесполезно. Разумно начать с трех-четырех процессов, где сосредоточены деньги и обязательства, закупки, платежи, продажи и договорная работа, отгрузка и склад. Остальное добавляется по мере необходимости.