Что написано в норме
Статья 87.1 Федерального закона от 26.12.1995 № 208-ФЗ «Об акционерных обществах» устанавливает, что для оценки надежности и эффективности управления рисками и внутреннего контроля в обществе осуществляется внутренний аудит. Порядок его осуществления определяется внутренними документами общества.
Для публичных акционерных обществ норма усилена. В публичном обществе должны быть организованы управление рисками и внутренний контроль, а совет директоров обязан определять принципы и подходы к их организации. Кроме того, в публичном обществе для проведения внутреннего аудита должно быть образовано отдельное структурное подразделение или соответствующие функции переданы по договору.
Кого что касается
Практическая расшифровка.
| Тип общества | Управление рисками и внутренний контроль | Внутренний аудит |
|---|---|---|
| Публичное акционерное общество | Обязательны, принципы определяет совет директоров | Обязателен, отдельное подразделение или внешний исполнитель |
| Непубличное акционерное общество | По решению общества, но внутренний аудит предполагается статьей | Осуществляется, порядок в уставе и внутренних документах |
| Общество с ограниченной ответственностью | Норма не распространяется напрямую | Не требуется по этому закону |
| Компания с госучастием | Дополнительно требования директив и отраслевых актов | Обычно жестче общих требований |
Отдельно стоит помнить, что требования к организациям финансового сектора устанавливаются актами Банка России и они существенно подробнее.
Что на практике проверяют по этой норме
- Наличие решения совета директоров о принципах и подходах к организации управления рисками и внутреннего контроля
- Наличие утвержденных внутренних документов, политики или положения
- Наличие подразделения внутреннего аудита или договора о передаче функций
- Подчиненность внутреннего аудита, функциональная совету директоров, а не исполнительному органу
- Регулярность отчетности перед советом директоров и наличие протоколов
- Раскрытие сведений о системе в годовом отчете общества
Что делать компании, которая под норму попала недавно
Порядок работ отработан и укладывается в квартал. Сначала решение совета директоров о принципах, это рамочный документ на две страницы. Затем политика управления рисками и положение о внутреннем контроле, они пишутся параллельно и должны быть согласованы между собой по терминам и ролям. Затем положение о внутреннем аудите с описанием подчиненности и полномочий.
Только после документов имеет смысл заниматься реестром и оценками. Обратный порядок, когда сначала собирают риски, а потом пишут документы под собранное, приводит к тому, что документы описывают случайно сложившуюся практику, а не осознанную конструкцию.
Частые вопросы
Прямого административного штрафа за отсутствие управления рисками нет. Последствия наступают через раскрытие информации, требования биржи, претензии акционеров и оценку добросовестности действий директоров при возникновении убытков.
Закон требует организации управления рисками, но не предписывает конкретной оргструктуры. Функция может быть совмещена, важно, чтобы она была определена и обеспечена полномочиями.
Закон прямо допускает передачу функций внутреннего аудита по договору. Это распространенная практика для компаний среднего размера.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
