Три линии защиты

Каждый встречается регулярно.

• Вторая линия ведет реестр за первую. Риски становятся собственностью службы, а не бизнеса
• Третья линия участвует в построении процессов, которые потом сама проверяет. Независимость утрачена
• Первая линия не знает, что она первая линия. Формально модель есть, фактически рисками не занимается никто
• Вторая линия не имеет права оспорить решение первой. Функция превращается в секретариат
• Внутренний аудит подчинен генеральному директору. Проверять собственного руководителя он не сможет

Полное разделение на три линии оправдано начиная примерно с тысячи сотрудников. В компании меньшего размера штат на это не выделят, и попытка формально создать три подразделения приводит к трем людям с высокими должностями и без работы.

Рабочее решение выглядит так. Первая линия существует всегда, это руководители, никого дополнительно нанимать не надо. Вторая линия совмещается, часто это один человек, отвечающий за риски, внутренний контроль и комплаенс, с прямым доступом к генеральному директору. Третья линия передается на аутсорсинг или обеспечивается ревизионной комиссией с внешним экспертом. Главное сохранить не структуру, а принцип, тот, кто выполняет, не проверяет сам себя.

• В положении о подразделениях, обязанность руководителей выявлять и оценивать риски своих процессов
• В положении о риск-функции, право получать информацию и право выносить особое мнение на комитет
• В положении о внутреннем аудите, функциональная подчиненность совету директоров и порядок утверждения плана проверок
• В должностных инструкциях владельцев рисков, конкретные обязанности, а не отсылка к политике
• В регламенте комитета, порядок рассмотрения разногласий между первой и второй линиями