Стандарт COSO ERM: как выстроить управление рисками на предприятии

Как выстроить управление рисками на предприятии

Современные компании всё чаще опираются на готовые концептуальные схемы, помогающие внедрить у себя грамотную работу с неопределённостью. Такие схемы задают ориентиры и подсказывают, как должна выглядеть зрелая система управления рисками. Среди множества подобных ориентиров одним из ведущих сегодня признаётся стандарт COSO ERM. Именно он служит для многих организаций отправной точкой при построении собственных процессов работы с угрозами и возможностями.

Что представляет собой модель COSO ERM

Сам стандарт был создан американской некоммерческой структурой - Комитетом организаций-спонсоров Комиссии Тредвея, известным под аббревиатурой COSO. Эта структура появилась ради того, чтобы готовить рекомендации для корпоративного руководства по ключевым управленческим вопросам. В их число входят деловая этика, финансовая отчётность, внутренний контроль, риск-менеджмент, а также противодействие коррупции.

Разработанная модель риск-менеджмента быстро завоевала признание и вошла в число наиболее востребованных концепций управления рисками в мире. Она предлагает предприятиям целостный взгляд на то, как связать стратегию, повседневные решения и работу с неопределённостью. Благодаря такому подходу разрозненные действия объединяются в единый упорядоченный процесс.

Этапы процесса управления рисками

Согласно логике, изложенной в стандарте, управление рисками организации разворачивается в виде шести последовательных этапов:

1. Установление уровня риск-аппетита организации.
2. Улучшение процесса выработки решений при реагировании на возникающие угрозы.
3. Уменьшение количества непредвиденных событий и убытков в хозяйственной деятельности.
4. Выявление всей совокупности рисков и управление ими.
5. Использование открывающихся благоприятных возможностей.
6. Рациональное распоряжение капиталом.

Ради достижения намеченных целей и решения поставленных задач любая организация готова принять на себя определённую долю неопределённости. Именно этот уровень и называют риск-аппетитом. По сути, он представляет собой равновесие между потенциальной выгодой от внедряемых новшеств и сопряжёнными с ними опасностями.

Определение риск-аппетита относится к функциям высшего руководства. Обычно оно приходится на момент выбора из стратегических альтернатив - когда формулируются цели, отвечающие принятой стратегии, и параллельно разрабатываются механизмы управления соответствующими угрозами. С опорой на выбранный уровень аппетита затем выстраивается и сам процесс принятия решений по реагированию на риск: организация может предпочесть принятие угрозы, её сокращение, уклонение от неё либо перераспределение.

Чтобы сократить число неожиданных событий вместе с сопутствующими затратами и потерями, предприятию необходимо расширить собственные возможности по обнаружению потенциальных ситуаций и подбору ответных мер - в этом и заключается смысл третьего этапа. Следующий шаг связан с идентификацией рисков, которых в ходе хозяйственной деятельности возникает великое множество. Поскольку угрозы затрагивают самые разные стороны работы компании, ими требуется управлять в рамках интегрированного подхода, что повышает результативность реагирования сразу на многие воздействия.

Если руководство принимает во внимание все возможные события, а не только очевидные опасности, оно способно распознать среди них и потенциальные возможности. Отсюда вытекает активное использование благоприятных обстоятельств в рамках риск-менеджмента. Завершающий этап состоит в том, чтобы, опираясь на сведения, накопленные при управлении рисками, руководство корректно оценило общую потребность организации в капитале. Это позволяет оптимизировать распределение и применение финансовых ресурсов.

Компоненты процесса управления рисками

В соответствии со стандартом COSO ERM процесс работы с рисками складывается из восьми взаимосвязанных компонентов, содержание которых определяется принятой в организации манерой управления:

1. Внутренняя среда - формирование философии и ценностей риск-менеджмента, а также установление уровня риск-аппетита, от которого зависят восприятие угроз и характер ответных действий.
2. Целеполагание - выбор и постановка руководством целей, согласованных с миссией организации и её аппетитом к риску.
3. Идентификация событий - определение внутренних и внешних факторов, влияющих на достижение целей, с их последующим разделением на риски и возможности.
4. Оценка рисков - анализ угроз с учётом вероятности наступления и масштаба влияния, по итогам которого выбираются необходимые действия.
5. Реагирование на риск - приведение выявленной угрозы к допустимому уровню и к аппетиту организации через выбор конкретного метода (уклонение, принятие, сокращение или перераспределение) и разработку соответствующих мероприятий.
6. Средства контроля - создание таких политик и процедур, которые гарантируют своевременный и результативный отклик на возникающие угрозы.
7. Информация и коммуникации - своевременное выявление, фиксация и передача сведений внутри организации как по вертикали, так и по горизонтали, что помогает сотрудникам выполнять свои обязанности.
8. Мониторинг - постоянное отслеживание руководством всего процесса управления рисками с внесением необходимых корректировок по ходу текущей деятельности.

Таким образом, часть организаций - преимущественно из Северной Америки - строит работу с угрозами именно на основе модели стандарта COSO ERM. Этим и объясняется специфика того, как они распознают риски и реагируют на них.