Стандарты и требования

Стандарт не заставляет делать лишнее, он экономит время. Вместо того чтобы придумывать структуру процесса и словарь терминов заново, компания берет проверенную рамку и настраивает ее под себя. Спор о том, что считать риском и как называть уровни оценки, снимается ссылкой на общий документ.

Второй смысл в разговоре наружу. Аудитор, акционер, банк и биржа читают одни и те же документы. Методология, написанная в терминах ГОСТ Р ИСО 31000 и ГОСТ Р 51897, проходит проверку заметно быстрее авторской конструкции, какой бы стройной та ни была.

Наша команда участвует в разработке этих стандартов в техническом комитете 010 «Менеджмент риска» Росстандарта, поэтому в методологии мы опираемся на них не по формальному признаку, а понимая, что и почему в них написано.

Стандарт короткий, около двадцати страниц, и делится на три части. Принципы отвечают на вопрос, каким должно быть управление риском, чтобы приносить пользу. Структура описывает, что компания должна создать вокруг процесса, от обязательств руководства до оценки и улучшения. Процесс задает сам порядок работы с риском.

Процесс из стандарта и есть та последовательность, которая потом ложится в регламент. Определение области применения и критериев, идентификация, анализ, сравнительная оценка, обработка риска. Сквозными через все шаги идут обмен информацией с заинтересованными сторонами, мониторинг и документирование.

Две вещи из стандарта чаще всего пропускают при внедрении. Первая, критерии риска, то есть заранее определенные границы, по которым риск признается приемлемым. Без них сравнительная оценка превращается в спор о вкусах. Вторая, обмен информацией, который в стандарте идет параллельно всему процессу, а в жизни сводится к рассылке протокола постфактум.

Статья 87.1 закона об акционерных обществах устроена так, что ответственность за наличие системы лежит на совете директоров. Именно он утверждает внутренние документы, определяющие политику в области управления рисками и внутреннего контроля, и внутренние документы по внутреннему аудиту.

Из этого следует практический вывод. Методология, которую не рассматривал и не утверждал совет, юридически не закрывает требование, каким бы качественным ни был документ. И наоборот, утвержденная политика, по которой никто не работает, закрывает требование формально и не закрывает по сути, что обнаруживается при первой же проверке.

Рабочий порядок такой. Сначала описывается процесс, затем под него пишется методология, затем она проходит совет, и только после этого имеет смысл говорить о зрелости. Как это делается по шагам, разобрано на странице разработки корпоративной методологии, а проверить текущее состояние помогает оценка зрелости по ГОСТ Р 70350.