Риск-культура и контрольная среда

Риск-культура и контрольная среда

Риск-культура отражает основные ценности, поведение и модель принятия решений всеми органами управления и работниками организации. Риск-культура включает в себя желаемое поведение по отношению к риску, а также все элементы контрольной среды организации, такие как стиль руководства, корпоративная культура, этические ценности, организационная структура, подотчетность и ответственность руководителей направлений, структурных подразделений, компетентность и развитие работников, открытая коммуникация и т.д. Риск-культура влияет на решения линейных руководителей и работников, даже если они сознательно не принимают во внимание риски, присущие их ежедневной деятельности.

Формирование риск-культуры, разделяемой всеми работниками организации, является основополагающим фактором при обеспечении эффективного управления рисками с целью реализации стратегии и достижения бизнес-целей организации.

Совет директоров и исполнительные органы организации призваны подавать личный пример в разделении ценностей, поведенческой модели принятия решений, демонстрации и поддержании надлежащих практик управления рисками, то есть формировать поведенческую среду с учетом ожиданий заинтересованных лиц, социальных и этических норм и правил поведения.

Совет директоров и исполнительные органы призваны определять желаемую риск-культуру организации в целом, а ценности организации, в свою очередь, обуславливают ожидаемое поведение при принятии повседневных решений для целей соответствия ожиданиям заинтересованных лиц.

Для формирования риск-культуры рекомендуется развивать и повышать компетенцию работников (обучение, управление стрессом и давлением), совершенствовать систему мотивации (вознаграждение эффективной деятельности), обеспечивать условия и поддерживать взаимодействие участников (открытая коммуникация).

Кроме того, организации рекомендуется на регулярной основе повышать уровень информированности всех участников СУРиВК относительно реализуемой политики в области управления рисками и внутреннего контроля, что позволит всем органам управления и работникам на всех уровнях четко понимать роль и значение данной системы для деятельности организации, их непосредственную роль и функции в ней. Недостаточная информированность работников о рисках может увеличить вероятность нарушений в процессах, контроле, системах и риск утечки и (или) утери конфиденциальной информации. Для повышения уровня информированности и внедрения благоприятной риск-культуры в организации рекомендуется обращать внимание на модели поведения, демонстрируемые как советом директоров, так и исполнительными органами организации.

Уровень зрелости риск-культуры определяется общностью целей, ценностей, этических норм и терминологии; их единообразным пониманием и применением; ориентированностью на обучение; своевременной, открытой и честной коммуникацией; признанием ценности эффективного управления рисками; индивидуальной и коллективной ответственностью.

Риск-аппетит

Организации целесообразно применять риск-аппетит для:

установления запретов и разрешений по величине риска, связанных с достижением бизнес-целей;
единого понимания приемлемых рисков на всех уровнях управления организацией;
достижения стратегических и операционных целей за счет контроля риска в пределах допустимых границ.

Риск-аппетит (приемлемый уровень риска) отражает общекорпоративный подход к определению приемлемости рисков для организации. После утверждения риск-аппетита все управленческие решения, включая формирование финансового плана и бюджета, рекомендуется принимать с учетом установленного риск-аппетита. Для учета риск-аппетита на разных уровнях принятия решений в организации рекомендуется определить подход к его каскадированию по уровням организационной структуры организации, а также определить показатели - измеримые и контролируемые метрики отклонения от целей бизнеса:

толерантность к риску (допустимый уровень риска) - отклонение от конкретной цели, которое организация и заинтересованные стороны готовы принять в рамках воздействия неподконтрольных организации обстоятельств;
лимиты на риск - пороговые значения рисков, связанные с конкретными показателями (например, ключевыми индикаторами риска).

Заявления о риск-аппетите целесообразно формулировать исходя из целей организации, в том числе на очередной период бизнес-планирования, среднесрочную или долгосрочную перспективу.

Риск-аппетит может быть выражен качественно и (или) на основе количественных показателей. Качественное выражение риск-аппетита подразумевает, что риск-аппетит не имеет четких количественных показателей, то есть представляет собой общее заявление о том, что допустимо, приемлемо или неприемлемо для Общества в процессе реализации своей миссии и достижения поставленных целей.

Помимо качественного выражения риск-аппетита организации также рекомендуется разрабатывать количественные показатели с учетом стратегии, бизнес-целей, анализа прошлых и текущих целевых показателей. Количественные показатели риск-аппетита могут быть выражены посредством целевого показателя, диапазона значений, верхнего или нижнего предела.

Пример. Шкала оценки воздействия риска на деятельность организации

Воздействие риска на деятельность	Описание воздействия на деятельность
Минимальное	Несущественные негативные последствия для деятельности организации, выражающиеся в отсутствии потерь или незначительных потерях и не приводящие к затруднению бизнес-процессов (услуг) организации: возможные финансовые потери менее 0,5 млн. руб.; деловая репутация организации не затронута; отсутствует нарушение организации договорных обязательств с клиентами и/или требования законодательства Российской Федерации и нормативных документов Банка России; отсутствует нарушение функционирования основных (критичных) и вспомогательных бизнес-процессов организации.
Незначительное	Минимальные негативные последствия для деятельности отдельных бизнес-процессов организации, приводящие к затратам на восстановление отдельных функций подразделений организации и незначительному нарушению функционирования и простою отдельных бизнес-процессов (услуг) организации: незначительное нарушение функционирования одного или несколько вспомогательных процессов организации (не приводит к полной остановке затронутых процессов); возможные финансовые и материальные потери составляют от 0,5 до 2,5 млн. руб.; ущерб репутации незначителен и может быть скомпенсирован встречными статьями или заметками (отмечены единичные случаи формирования в СМИ статей сомнительного содержания (отсутствие прямых негативных отзывов), отсутствие существенного снижения доверия со стороны клиентов/контрагентов/партнеров организации; отсутствие нарушений организации требований законодательства Российской Федерации и Банка России.
Среднее	Средние негативные последствия для деятельности организации, выражающиеся в высоких потерях и/или приводящие к частичной приостановке одного из основных бизнес-процессов организации и/или приостановке нескольких вспомогательных процессов организации: возможные финансовые и материальные потери составляют от 2,5 до 50 млн. руб.; незначительное снижение деловой репутации организации (распространение негативной информации об организации, снижение уровня доверия со стороны некоторых клиентов/контрагентов/партнеров, не приводящих к отказу от сотрудничества; нарушение организации договорных обязательств перед клиентами/контрагентами/партнерами, приводящее к незначительным претензиям с их стороны; незначительное нарушение организации требований законодательства Российской Федерации и нормативных актов Банка России без претензий (или с незначительными претензиями, например, предписание, предупреждение).
Значительное	Высокие негативные последствия для деятельности организации, выражающиеся в значительных потерях и/или приводящие к приостановке (значительному нарушению функционирования) нескольких основных бизнес-процессов (услуг) организации: возможные финансовые и материальные потери составляют от 50 до 100 млн. руб.; серьезное ухудшение деловой репутации организации и возможный отток клиентов/партнеров организации (распространение негативных отзывов в печатных и электронных СМИ в виде отдельных небольших статей, бесед, потеря доверия со стороны некоторой части клиентов и/или партнеров, отказ некоторых партнеров или клиентов от сотрудничества); значительное нарушение организации договорных обязательств перед клиентами/контрагентами/партнерами организации, которые начинают выдвигать официальные претензии/судебные иски к организации; значительное нарушение организации требований законодательства Российской Федерации и нормативных актов Банка России с возможными претензиями (штрафами, иными санкциями) со стороны Банка России.
Катастрофическое	Критические негативные последствия для деятельности организации, выражающиеся в максимальных потерях и/или приводящие к долговременной остановке деятельности организации (большинства или всех основных бизнес-процессов): возможные финансовые и материальные потери превышают 100 млн. руб.; потеря деловой репутации организации (распространение в СМИ развернутых статей и репортажей негативного содержания в отношении организации; клиенты/контрагенты/партнеры готовы полностью отказаться от услуг организации и приостановить финансирование); грубое нарушение организацией договорных обязательств перед клиентами с возможным расторжением значительной части договоров; грубое нарушение организацией требований законодательства Российской Федерации и нормативных актов Банка России и как следствие значительные претензии со стороны Банка России вплоть до исключения из государственного реестра некредитных финансовых организаций (отзыв лицензии или приостановленние лицензии.

При выборе параметров для определения риск-аппетита целесообразно рассмотреть возможность использования:

стратегических параметров, таких как новые продукты, которые следует или не следует разрабатывать, показатели стратегических проектов и капитальных инвестиций;
финансовых параметров, таких как выручка, доходность активов, доходность капитала, целевой рейтинг кредитоспособности и целевое соотношение заемного и собственного капитала;
операционных параметров, таких как объем производства, реализация продукции, размер издержек, экологические требования, целевые показатели безопасности, качества и взаимодействия с клиентами.

Ограничения и допущения риск-аппетита

При применении концепции риск-аппетита организации рекомендуется учитывать ее ограничения и допущения, такие как:

соответствие риск-аппетита ключевым стратегическим целям организации и наличие связи с ними;
формулирование риск-аппетита посредством обозначения четких и понятных ориентиров для принятия решений, но не подробных инструкций к действию. Риск-аппетит целесообразно сформулировать таким образом, чтобы не оставалось сомнений и исключалась двусмысленность толкования;
изменяемость риск-аппетита - рекомендуется пересматривать риск-аппетит на регулярной основе (как минимум ежегодно) для оценки его соответствия текущей ситуации с учетом изменений внешней и внутренней среды, готовности организации принимать риск за прошедшее время, пересмотра стратегии, бизнес-планов, ключевых показателей деятельности организации.
каскадирование риск-аппетита на все уровни принятия решений.