Управление рисками

1-Начальный

2-Повторяемый

3-Сформированный

4-Управляемый

5-Оптимизированный

Риск-аппетит

-

-

И

А  М  С

Л

Оценка риска

Д

В  Ж  К  П  Х

-

-

О

Единая терминология

-

Х

И  Н

Ф

Г

Использование информации о рисках

Д  Е  У

В  Ж  К  П  Т

Н  Р

-

Б  О

 Обозначение

Описание характеристики

А

4

Риск-аппетит

Менеджмент и Совет директоров определяют риск-аппетит в виде, понятном для всех сотрудников

Б

5

Использование

Риски привязаны к целям организации на каждом уровне. Далее, информация о рисках доводится до всех сотрудников на постоянной основе, оплата труда и выплата бонусов зависит от выполнения КПЭ, расчет которых зависит от оценки выявленных рисков

В  

2

Использование

Оценка

Менеджмент использует информацию о рисках при наличии, но единая терминология отсутствует. Могут существовать разные реестры рисков и различающиеся критерии для оценки рисков, в зависимости от цели оценки рисков. Критерии оценки рисков могут учитывать воздействие и вероятность, и быть простыми, например, высокий, средний, низкий.

Г

5

Терминология

Организация полностью, от Совета директоров до операционного менеджмента, руководителей низшего звена и сотрудников, имеют общее понимание терминов, используемых в процессе управления рисками (например, риск, риск-фактор, контроль, воздействие, вероятность и т.д.), и используют единую терминологию при обсуждении рисков.

Д

1

Оценка

Использование

Внутренние аудиторы могут проводить оценку рисков для сбора информации о рисках для проведения проверок внутреннего аудита, для использования структурными подразделениями контроля / комплаенса, предоставляющими внутренние гарантии, и/или для использования менеджментом. Менеджмент не вкладывает средства в найм и обучение персонала навыкам организации и проведения оценки рисков, и внутренние аудиторы могут быть единственными сотрудниками, хорошо разбирающимися в оценке рисков. Риски оцениваются при необходимости; например, топ-менеджмент может провести оценку рисков, связанных с предлагаемой ими стратегией организации один раз в год. Для больших и дорогих проектов может проводиться оценка рисков по требованию (при необходимости).

Е

1

Использование

Информация о рисках не агрегирована или распространяется за пределами подразделения, осуществляющего оценку рисков.

Ж

2

Оценка

Использование

Подразделения контроля / комплаенса, предоставляющие внутренние гарантии, регулярно проводят оценку рисков по своим функциональным направлениям либо для использования менеджментом. Менеджмент вкладывает средства в найм и обучение персонала навыкам организации и проведения оценки рисков. Оценка рисков проводится при необходимости, в том числе для существенных рисков по мере их возникновения, по сравнению с подходом с использованием риск- ориентированного плана проверок внутреннего аудита.

И

3

Риск-аппетит

Терминология

Подразумевается использование риск-аппетита, но отсутствует формализация понятия в документах и его определение. Топ-менеджмент может иметь сходные идеи об уровне риска, который считается приемлемым для организации.

К

2

Оценка

Использование

Внутренние аудиторы проводят оценку рисков для сбора информации для проведения проверок внутреннего аудита, для использования структурными подразделениями контроля / комплаенса, предоставляющими внутренние гарантии, и/или для использования менеджментом. Менеджмент не вкладывает средства в найм и обучение персонала навыкам организации и проведения оценки рисков. Риски оцениваются последовательно, но отсутствует стратегический всеобъемлющий план для такой деятельности. Для больших и дорогих проектов может проводиться разовая процедура оценки рисков.

Л

5

Риск-аппетит

Когда риск-аппетит утвержден Советом директоров, менеджмент и ключевые сотрудники внедряют его использование во всей организации в той форме и на том уровне детализации, который позволяет принимать управленческие решения

М

4

Риск-аппетит

Топ-менеджмент и Совет директоров устанавливают риск-аппетит, но в недостаточно четком виде. Риск-аппетит может быть понятен или непонятен всем сотрудникам организации

Н

3

Терминология

Использование

Менеджмент использует информацию о рисках при наличии, в большинстве случаев используется единая терминология. Существуют многочисленные реестры рисков и критерии для оценки рисков.

О

5

Использование

Оценка

Менеджмент использует установленную процедуру для оценки рисков, документирует информацию о рисках, проводит мониторинг эффективности деятельности по сравнению с КПЭ, рассчитанными с учетом оценки рисков. Менеджмент внедрил процедуры, согласно которым существенными рисками и их оценкой занимаются с момента их возникновения, а не в период или после очередной запланированной оценки рисков.

П

2

Оценка

Использование

Подразделения контроля / комплаенса, предоставляющие внутренние гарантии, могут проводить оценку рисков по своим функциональным направлениям либо для использования менеджментом. Менеджмент не вкладывает средства в найм и обучение персонала навыкам организации и проведения оценки рисков. Может проводиться оценка рисков при необходимости. Например, топ-менеджмент может запросить оценку рисков для крупного капитального проекта, который вызывает значительную подверженность риску для организации.

Р

3

Использование

Существенные риски привязаны к целям организации. Информация о рисках последовательно доводится до топ-менеджмента, оплата труда топ-менеджмента и выплата бонусов могут быть привязаны к выполнению КПЭ, расчет которых зависит от оценки выявленных рисков. Информация используется для улучшения процесса управления рисками в организации в целом

С

4

Риск-аппетит

Топ-менеджмент и Совет директоров уделяют внимание риск-аппетиту, информация о риск-аппетите документируется, но не доводится до всех сотрудников организации. Пересмотр данных о риск-аппетите осуществляется непоследовательно.

Т

2

Использование

Риски могут быть привязаны к целям департамента или проектной команды, но не всегда открыто рассматриваются на высшем уровне в организации.

У

1

Использование

Информация о рисках иногда агрегирована или распространяется за пределами подразделения, осуществляющего оценку рисков.

Ф

4

Терминология

Топ-менеджмент последовательно запрашивает и использует в работе информацию о рисках, используемая терминология хорошо всем известна и используется повсеместно в организации. Критерии управления рисками всем понятны и используются во всей организации

Х

2

Оценка

Терминология

Менеджмент использует имеющуюся информацию о рисках, но в различных терминах, либо понимаемых по-разному. Могут существовать разные реестры рисков и различающиеся критерии для оценки рисков, в зависимости от цели оценки рисков. Критерии оценки рисков упрощенные, например, высокий, средний, низкий.