COSO ERM (Enterprise Risk Management)

COSO ERM (Enterprise Risk Management) — рамка управления рисками на уровне всей организации, разработанная Комитетом спонсорских организаций Комиссии Тредуэя (COSO). Её главная мысль: риск — не отдельная комплаенс-процедура и не реестр для отчётности, а часть выбора и исполнения стратегии. Актуальная редакция называется «Enterprise Risk Management — Integrating with Strategy and Performance» (2017): пять взаимосвязанных компонентов и двадцать принципов, которые проходят путь от управления и культуры до отчётности о рисках, культуре и результатах. В этой статье разобрано, что именно написано в первоисточнике, как отличить живую систему управления рисками от «бумажной», где рамка ограничена и как использовать фрейм OrgDevTools для первых шагов.

Что такое COSO ERM и когда рамка нужна

Обычно риски ведут по функциям: финансовые — у финансистов, ИТ-риски — у ИТ, операционные — у операционного блока. COSO ERM предлагает смотреть на риски целиком, в связи с целями и стратегией, и отвечать на вопросы: сколько риска мы готовы принять ради целей, какие риски угрожают именно этим целям, кто отвечает за каждый и как это отражается в отчётности перед руководством и советом директоров.

Рамка подходит компаниям, где решения о стратегии и инвестициях принимаются с участием совета директоров или инвесторов, где регулятор или аудитор требуют системы управления рисками и где важно, чтобы риск-функция не была изолированной. Для небольших компаний рамка задаёт словарь и последовательность, а не обязательный набор процедур. Смежные методы: модель внутреннего контроля COSO, ключевые индикаторы риска (KRI), парадигма управления рисками, матрица классификации решений по рискам, анализ операционных рисков и FMEA.

Происхождение и исследовательская база

COSO — частная инициатива, которую совместно спонсируют и финансируют пять организаций: Американская ассоциация бухгалтеров, Американский институт дипломированных бухгалтеров (AICPA), Financial Executives International, Институт управленческих бухгалтеров и Институт внутренних аудиторов. Комитет вырос из Комиссии Тредуэя, изучавшей недобросовестную финансовую отчётность в США в 1980-е годы. Первая рамка COSO по внутреннему контролю вышла в 1992 году, а «Enterprise Risk Management — Integrated Framework» — в 2004 году.

В октябре 2014 года COSO объявил о пересмотре редакции 2004 года. Автором и руководителем проекта стала компания PwC; для сбора мнений сформировали консультативный совет из представителей бизнеса, науки, государственных органов и некоммерческих организаций, провели глобальный опрос (около 900 ответов) и публичные обсуждения. Причины пересмотра, как сказано в приложениях к рамке: с 2004 года усложнились риски, появились новые угрозы, а советы директоров стали внимательнее к надзору и просят более качественной отчётности о рисках. В новой редакции добавлено больше о роли ERM в постановке и исполнении стратегии, усилена связь с результатами деятельности, учтены ожидания по управлению и надзору. Название изменили на «Integrating with Strategy and Performance».

Управлять рисками — значит учитывать их при выборе стратегии, а не составлять реестр после того, как решение принято и деньги потрачены.

Академическая теория: устройство рамки COSO ERM 2017

Пять компонентов и двадцать принципов

Рамка сохраняет пять компонентов, но переименовывает и упорядочивает их так, чтобы они соответствовали типичной бизнес-модели: «Управление и культура» (Governance and Culture), «Стратегия и постановка целей» (Strategy and Objective-Setting), «Результаты» (Performance), «Обзор и пересмотр» (Review and Revision), «Информация, коммуникации и отчётность» (Information, Communication, and Reporting). Всего в рамке двадцать принципов, сгруппированных по компонентам. При пересмотре часть принципов объединили: например, три принципа о культуре и ценностях свели в один — «Демонстрирует приверженность основным ценностям», а принципы об учёте риска при постановке целей и о допустимых отклонениях в результатах — в один принцип «Формулирует бизнес-цели».

Практическая логика компонентов такая. Управление и культура задают тон и надзор совета директоров и определяют желаемую культуру. Стратегия и постановка целей связывают анализ контекста, риск-аппетит, оценку альтернативных стратегий и формулирование бизнес-целей. Результаты охватывают выявление рисков, оценку их серьёзности, приоритизацию, реагирование и формирование портфельного взгляда. Обзор и пересмотр — проверка существенных изменений, анализ результатов и рисков и улучшение самой системы ERM. Информация, коммуникации и отчётность — использование данных и технологий, обмен информацией о рисках и отчёты о рисках, культуре и результатах.

Риск-аппетит, допустимое отклонение и ёмкость риска

Риск-аппетит — объём и вид риска, который организация готова принять в стремлении к целям. Рядом стоят понятия допустимого отклонения (tolerance) — допустимое отклонение результата от цели — и ёмкость риска (risk capacity) — максимум, который организация способна выдержать. Аппетит нужно определять до выбора стратегии: он помогает оценивать альтернативные стратегии и ставить цели с учётом того, сколько риска они несут.

Профиль риска и портфельный взгляд

Профиль риска — сводный взгляд на риски, связанные с конкретной стратегией или бизнес-целью, на определённом уровне организации (в целом, подразделение, функция) или аспекте бизнес-модели (продукт, услуга, география). Он объединяет целевые показатели результата, оценку совокупной величины риска при разных уровнях результата, риск-аппетит и допустимое отклонение. Портфельный взгляд — суммарный обзор рисков на уровне организации: он показывает, находится ли риск по целям внутри аппетита и ёмкости или превышает аппетит, оставаясь в пределах ёмкости. Авторы рамки подчёркивают различие подходов: если приоритизировать риск по абсолютной серьёзности («риск-центричный» взгляд), можно выбрать не тот риск, а если смотреть на него через цель бизнеса, то видно, что организация ещё в пределах аппетита.

Культура и оценка серьёзности

Рамка уделяет культуре видное место: приводятся примеры того, как культура влияет на практики ERM и решения, включая влияние предвзятости руководства. В финальной редакции уточнён принцип оценки серьёзности риска — он теперь прямо ориентирован на влияние на достижение целей и стратегии, добавлено описание тепловых карт в контексте целей и обсуждение количественных подходов. Что касается информации и технологий, в компоненте «Информация, коммуникации и отчётность» уменьшен акцент на информационных системах и усилена роль данных и развивающихся технологий, а также отчётности по целям в поддержку решений.

Связь с внутренним контролем и другими рамками

Вопросы мошенничества рамка ERM 2017 не рассматривает подробно: это область «Internal Control — Integrated Framework». Обе рамки дополняют друг друга: внутренний контроль отвечает за то, чтобы процессы работали по правилам, а ERM — за то, чтобы риски учитывались при выборе целей и стратегии. Международный стандарт ISO 31000 предлагает близкую по духу, но отличающуюся по структуре модель — поэтому выбирать между ними стоит с учётом требований регулятора и практики отрасли.

Ключевые идеи и принципы COSO ERM

1. Принцип: риск встроен в стратегию

   Риски рассматриваются при выборе стратегии и постановке целей, а не только при их исполнении. Оценка альтернативных стратегий включает вопрос: сколько риска несёт каждая и вмещается ли она в аппетит.

2. Принцип: риск-аппетит определяют явно

   Аппетит формулируют до выбора стратегии и связывают с целями. Без него неясно, какой уровень риска в реестре приемлем, а какой требует действий.

3. Принцип: серьёзность риска измеряют по влиянию на цели

   Один и тот же риск по-разному важен для разных целей. Приоритизация должна отвечать на вопрос «как это повлияет на достижение наших целей», а не только «насколько велик риск сам по себе».

4. Принцип: у каждого значимого риска есть владелец

   Риск без владельца никто не отслеживает. Владелец отвечает за реагирование, мониторинг и информирование руководства.

5. Принцип: портфельный взгляд

   Риски складываются и взаимодействуют; полезно смотреть на их совокупность по уровням организации, а не только на отдельные строки реестра.

6. Принцип: культура и надзор задают основу

   Без поддержки совета директоров и руководства, без желаемой культуры и приверженности ценностям система превращается в формальность.

7. Принцип: система улучшается

   Рамка предполагает пересмотр при существенных изменениях, анализ результатов и рисков и улучшение самих практик ERM.

Как внедрить COSO ERM: пошаговая инструкция

Практическая последовательность такая. Начните с governance: закрепите за советом директоров и руководством надзор за рисками и определите операционную структуру. Опишите желаемую культуру и основные ценности. Проанализируйте бизнес-контекст: внутренние и внешние факторы, влияющие на цели. Сформулируйте риск-аппетит — на уровне организации и по ключевым целям — с допустимыми отклонениями. Оцените альтернативные стратегии с точки зрения рисков и сформулируйте цели. Выявите риски, угрожающие целям, оцените их серьёзность по влиянию на цели и приоритизируйте. Определите реагирование (принять, снизить, передать, избежать, использовать возможность) и назначьте владельцев с планами и сроками. Постройте портфельный взгляд и профили риска для важных целей. Определите порядок мониторинга и отчётности: периодичность пересмотра реестра, каналы информирования и адресатов. Пересматривайте систему при существенных изменениях и после событий.

Пример из практики: Lehman Brothers и риск-аппетит как «мягкий» лимит

Как пример того, что бывает, когда аппетит существует формально, часто приводят Lehman Brothers. По докладу независимого следователя по делу о банкротстве Lehman (доклад Валукаса, 2010), банк сознательно превышал собственные общекорпоративные лимиты и относил лимит риск-аппетита к «мягким», а не к обязательным ограничениям для руководства: вместо того чтобы менять бизнес-решения, когда лимиты превышались, руководство корректировало сами лимиты; кроме того, в 2006–2007 годах риск-функция подчинялась руководителю бизнес-линии, а не напрямую высшему руководству. Оговорка: описание основано на кратком пересказе выводов следователя, а не на полном тексте многотомного доклада; причины краха Lehman были многообразны и не сводятся к одной, а пример показывает именно разрыв между декларированным аппетитом и реальными решениями.

Ограничения, слепые зоны и критика COSO ERM

Типовые ошибки при внедрении COSO ERM

1. Ошибка 1: риск-менеджмент существует отдельно от стратегии.

   Риски оцениваются и документируются, но не влияют на выбор стратегии и целей; ERM работает как отчёт задним числом.

   Как избежать

   включить оценку рисков в процесс выбора стратегии и постановки целей и требовать её результатов при утверждении решений.

2. Ошибка 2: риск-аппетит не сформулирован или размыт.

   Формулировки вроде «умеренный риск» не позволяют решить, какой риск приемлем; лимиты превращаются в «мягкие».

   Как избежать

   задать аппетит и допустимые отклонения по целям в измеримых терминах и определить, что происходит при превышении.

3. Ошибка 3: реестр без владельцев и планов.

   Риски перечислены, но ни за какой не отвечает конкретный человек; реагирование не описано.

   Как избежать

   назначить владельца, план реагирования и срок для каждого значимого риска и пересматривать их.

4. Ошибка 4: приоритизируют только по абсолютной серьёзности.

   Внимание уходит на самый большой риск, хотя цель, которой он угрожает, ещё в пределах аппетита; более важные риски остаются незамеченными.

   Как избежать

   оценивать риски в связи с целями и смотреть на профиль риска и портфельный взгляд.

5. Ошибка 5: реестр не пересматривают.

   Реестр создан один раз; новые рыночные, технологические и регуляторные риски в него не попадают.

   Как избежать

   установить регулярность пересмотра и триггеры (существенные изменения, инциденты, новые стратегии).

6. Ошибка 6: риск-функция подчинена бизнесу, чьи риски оценивает.

   Независимость теряется: оценка рисков смягчается ради целей руководителя бизнес-линии.

   Как избежать

   обеспечить прямой доступ риск-функции к высшему руководству и совету директоров.

7. Ошибка 7: копируют рамку без адаптации.

   Компания вводит все двадцать принципов формально; ресурсы уходят на документы, а не на решения.

   Как избежать

   внедрять соразмерно масштабу и рискам: начинать с аппетита, реестра, владельцев и регулярной отчётности.

Метрики: как оценивать зрелость управления рисками

Универсальных нормативов нет; фиксируйте динамику по своим данным:

• Покрытие: доля стратегических целей, для которых определены риски и профиль риска.

• Владельцы: доля значимых рисков с назначенным владельцем и планом реагирования.

• Аппетит: число целей с измеримым аппетитом и допустимым отклонением и число случаев его превышения.

• Реакция на превышение: время от превышения лимита до решения и доля решений, изменивших бизнес, а не сам лимит.

• Регулярность: доля рисков, пересмотренных в срок; число новых рисков за период.

• Влияние на решения: число стратегических и инвестиционных решений, принятых с учётом оценки рисков.

Аппетит к риску, который меняют вместе с превышением лимита, — не аппетит, а формальность.

План внедрения COSO ERM по неделям

1. Неделя 1: аппетит и стратегия

   Определите, кто отвечает за надзор, сформулируйте риск-аппетит и допустимые отклонения по ключевым целям.

2. Неделя 2: реестр рисков

   Выявите риски, угрожающие целям, оцените их серьёзность по влиянию на цели и приоритизируйте.

3. Неделя 3: владельцы и реагирование

   Назначьте владельцев значимых рисков, определите реагирование, сроки и метрики.

4. Неделя 4: мониторинг и отчётность

   Установите регулярность пересмотра реестра, формат отчёта для руководства и триггеры внепланового пересмотра.

   Далее: раз в квартал пересматривайте реестр и профили рисков, а раз в год — сам аппетит и практики ERM.

Как реализовать план COSO ERM с помощью фрейма «COSO ERM» в OrgDevTools

Фрейм состоит из двух вкладок — «Диаграмма» и «Итоги». На диаграмме четыре блока: «Риск-аппетит и стратегия» (сколько риска компания готова принять ради стратегических целей), «Реестр рисков» (выбор из общего справочника «Риски»), «Владельцы и реагирование» (кто отвечает за каждый риск и какой план реагирования) и «Мониторинг и отчётность» (регулярность пересмотра реестра, кому докладывается). На вкладке «Итоги» показаны вердикт и кнопка задачи «Назначить владельца риска из реестра» с числом рисков в описании.

• Неделя 1 — аппетит: запишите формулировки риск-аппетита и связанные с ними цели.

• Неделя 2 — реестр: выберите или добавьте риски из справочника.

• Неделя 3 — владельцы: запишите владельцев и планы реагирования.

• Неделя 4 — мониторинг: опишите регулярность пересмотра и отчётность и создайте задачу по назначению владельца.

Вердикт строится по ступеням: аппетит не заполнен — предложение начать с него; аппетит есть, а реестр пуст — предупреждение; в реестре есть риски, но не заполнены владельцы и реагирование — предупреждение; владельцы есть, а мониторинг не описан — предупреждение; иначе — подтверждение, что ERM выстроена, с числом рисков.

Чего фрейм не делает. Он не оценивает серьёзность и вероятность рисков, не строит тепловые карты, профили риска и портфельный взгляд и не связывает конкретные риски с конкретными владельцами: реестр — это список из справочника, а «Владельцы и реагирование» — свободный текст. Он не проверяет, что аппетит измерим или что его превышение приводит к решениям; вердикт лишь фиксирует, что блоки заполнены. Двадцать принципов рамки и пять компонентов во фрейме не представлены.

Книги и материалы по теме COSO ERM

COSO — «Enterprise Risk Management: Integrating with Strategy and Performance» (2017). Актуальная рамка: пять компонентов, двадцать принципов, приложения о профилях риска и ролях.

COSO — «Enterprise Risk Management — Integrated Framework» (2004). Предыдущая редакция рамки, полезна для понимания эволюции подхода.

COSO — «Internal Control — Integrated Framework» (1992, обновлена в 2013). Рамка внутреннего контроля, с которой ERM тесно связана.

Anton R. Valukas — Report of Examiner, In re Lehman Brothers Holdings Inc. (2010). Документ о банкротстве Lehman, включая разбор риск-менеджмента.