Структура положения
Проверенная последовательность разделов.
- Общие положения, назначение документа, область действия, основания разработки, термины
- Цели и задачи системы внутреннего контроля
- Принципы организации, в том числе разделение полномочий и разумная достаточность
- Элементы системы, среда, оценка рисков, процедуры, информация, мониторинг
- Распределение ответственности, совет директоров, исполнительное руководство, владельцы процессов, подразделение контроля
- Порядок разработки и утверждения контрольных процедур
- Порядок мониторинга и самооценки, периодичность и формы
- Порядок выявления и устранения недостатков, сроки, эскалация
- Отчетность, кому, что и с какой периодичностью
- Заключительные положения, пересмотр, ответственность за актуализацию
Что писать в самых спорных разделах
| Раздел | Что обычно пишут | Что стоит написать |
|---|---|---|
| Цели | Пересказ определения из внешнего источника | Три группы целей и то, как они соотносятся с целями конкретной компании |
| Ответственность | Перечень органов без конкретики | Кто утверждает процедуры, кто проверяет выполнение, кто эскалирует и в какой срок |
| Мониторинг | Мониторинг осуществляется на постоянной основе | Формы самооценки, периодичность, кто сводит результаты, куда они попадают |
| Недостатки | Недостатки подлежат устранению | Классификация по существенности, сроки устранения по каждому классу, порядок продления срока |
| Отчетность | Отчет представляется руководству | Состав отчета, периодичность, адресат, что происходит, если отчет показывает ухудшение |
Ошибки, которые делают документ мертвым
- Положение переписано из чужого документа вместе с чужой оргструктурой и чужими должностями
- Термины расходятся с политикой управления рисками, одно и то же называется по-разному
- Обязанности возложены на подразделения, а не на должности, спросить не с кого
- Нет ни одного срока, поэтому невозможно установить нарушение
- Документ на сорок страниц, из которых тридцать пять это теория внутреннего контроля
- Не указан порядок пересмотра, и через три года положение описывает несуществующую компанию
Связь с политикой управления рисками
Два документа обязаны быть согласованы, потому что описывают одну конструкцию с разных сторон. Практически это означает три требования. Единый глоссарий, один термин с одним значением в обоих документах. Непротиворечивое распределение ролей, в частности одинаковое понимание трех линий защиты. И явная ссылка, положение о контроле указывает, что контрольные процедуры проектируются исходя из рисков, выявленных в порядке, установленном политикой управления рисками.
Если компания начинает с нуля, писать их стоит одновременно и одним автором. Разработка порознь с последующим согласованием занимает больше времени и почти всегда оставляет расхождения.
Частые вопросы
В публичном обществе принципы определяет совет директоров, само положение обычно утверждает исполнительный орган. Порядок закрепляется в уставе и во внутренних документах.
Рабочий диапазон от десяти до двадцати страниц. Все конкретное выносится в приложения, формы самооценки, классификатор недостатков, шаблон матрицы.
Желательно. Это разные предметы регулирования и разные адресаты. Объединенный документ получается либо поверхностным, либо неудобным.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
