Управление рисками предприятия

Управление рисками предприятия ( ERM ) в бизнесе включает методы и процессы, используемые организациями для управления рисками и использования возможностей, связанных с достижением их целей. ERM обеспечивает основу для управления рисками , которая обычно включает в себя выявление конкретных событий или обстоятельств, имеющих отношение к целям организации (угроз и возможностей), их оценку с точки зрения вероятности и масштаба воздействия, определение стратегии реагирования и процесс мониторинга. Выявляя и активно устраняя риски и возможности, предприятия защищают и создают ценность для своих заинтересованных сторон, включая владельцев, сотрудников, клиентов, регулирующие органы и общество в целом.

ERM также можно охарактеризовать как риск-ориентированный подход к управлению предприятием, объединяющий концепции внутреннего контроля , Закона Сарбейнса-Оксли , защиты данных и стратегического планирования . ERM развивается для удовлетворения потребностей различных заинтересованных сторон, которые хотят понять широкий спектр рисков, с которыми сталкиваются сложные организации, чтобы обеспечить надлежащее управление ими. Регуляторы и рейтинговые агентства усилили контроль над процессами управления рисками компаний.

По мнению Томаса Стэнтона из Университета Джонса Хопкинса, цель управления рисками предприятия не в том, чтобы создать больше бюрократии, а в том, чтобы облегчить дискуссию о том, какие риски являются действительно большими.

Определены рамки ERM

Существуют различные важные структуры ERM, каждая из которых описывает подход к выявлению, анализу, реагированию и мониторингу рисков и возможностей во внутренней и внешней среде, с которой сталкивается предприятие. Руководство выбирает стратегию реагирования на конкретные риски, выявленные и проанализированные, которая может включать:

1. Избегание: выход из деятельности, создающей риск.
2. Сокращение: принятие мер по снижению вероятности или воздействия, связанного с риском.
3. Альтернативные действия: принятие решения и рассмотрение других возможных шагов по минимизации рисков.
4. Разделить или застраховать: передача или разделение части риска для его финансирования.
5. Принять: никаких действий не предпринимается из-за решения о затратах и ​​выгодах.

Мониторинг обычно осуществляется руководством в рамках своей деятельности по внутреннему контролю, например, анализ аналитических отчетов или встреч комитета управления с соответствующими экспертами, чтобы понять, как работает стратегия реагирования на риски и достигаются ли поставленные цели.

Структура актуарного общества

В 2003 году Актуарное общество по несчастным случаям (CAS) определило ERM как дисциплину, с помощью которой организация в любой отрасли оценивает, контролирует, использует, финансирует и отслеживает риски из всех источников с целью увеличения краткосрочной и долгосрочной стоимости организации. своим заинтересованным сторонам». CAS концептуализировал ERM как процесс, охватывающий два измерения: тип риска и процессы управления рисками. Типы и примеры рисков включают в себя:

Опасный риск

Правонарушения, Материальная ответственность, Природная катастрофа

Финансовый риск

Ценовой риск, Активный риск, Валютный риск, Риск ликвидности

Операционный риск

Удовлетворенность клиентов, отказ продукта, честность, репутационный риск; Внутреннее браконьерство; Утечка знаний

Стратегические риски

Конкуренция, Социальная тенденция, Доступность капитала

Процесс управления рисками включает в себя:

1. Установление контекста: сюда входит понимание текущих условий, в которых организация работает, во внутреннем, внешнем контексте и контексте управления рисками.
2. Идентификация рисков: сюда входит документирование существенных угроз для достижения организацией своих целей и представление областей, которые организация может использовать для получения конкурентного преимущества.
3. Анализ/количественная оценка рисков: сюда входит калибровка и, если возможно, создание вероятностных распределений результатов для каждого существенного риска.
4. Интеграция рисков: сюда входит агрегирование всех распределений рисков, отражающих корреляции и эффекты портфеля, а также формулирование результатов с точки зрения влияния на ключевые показатели эффективности организации.
5. Оценка/приоритизация рисков: сюда входит определение вклада каждого риска в совокупный профиль риска и соответствующая расстановка приоритетов.
6. Обработка/использование рисков: сюда входит разработка стратегий контроля и использования различных рисков.
7. Мониторинг и анализ: сюда входит постоянное измерение и мониторинг среды рисков, а также эффективности стратегий управления рисками.

Структура COSO ERM

В «Интегрированной системе управления рисками предприятия» , опубликованной в 2004 году (новое издание COSO ERM 2017 не упоминается, а версия 2004 года устарела), ERM определяется как «… процесс, осуществляемый советом директоров, руководством и другим персоналом организации. , применяемый при разработке стратегии и в рамках всего предприятия, предназначенный для выявления потенциальных событий, которые могут повлиять на предприятие, и управления рисками в пределах его аппетита к риску , чтобы обеспечить разумную уверенность в достижении целей предприятия».

Структура COSO ERM состоит из восьми компонентов и четырех категорий целей. Это расширение Интегрированной системы внутреннего контроля COSO , опубликованной в 1992 году и дополненной в 1994 году. Восемь компонентов:

• Внутренняя среда
• Постановка цели
• Идентификация событий
• Оценка риска
• Реагирование на риски
• Контрольная деятельность
• Информация и коммуникация
• Мониторинг

Четыре категории целей (выделены дополнительные компоненты):

• Стратегия – цели высокого уровня, соответствующие миссии организации и поддерживающие ее.
• Операции – эффективное и результативное использование ресурсов
• Финансовая отчетность - достоверность оперативной и финансовой отчетности
• Комплаенс – соблюдение применимых законов и правил.

31000: новый международный стандарт

ISO 31000 — это международный стандарт по управлению рисками, который был опубликован 13 ноября 2009 года и обновлен в 2018 году. Вскоре после публикации (1 декабря 2009 года) (1 декабря 2009 года) последовал сопутствующий стандарт ISO 31010 — Методы оценки рисков вместе с обновленным словарем ISO по управлению рисками. Руководство 73. В стандарте изложены восемь принципов, основанных на главной цели – создании и защите стоимости.

Внедрение программы ERM

программы

Организации по своей природе управляют рисками и имеют множество существующих отделов или функций («функции управления рисками»), которые выявляют и управляют конкретными рисками. Однако каждая функция риска различается по своим возможностям и способу координации с другими функциями риска. Центральной целью и задачей ERM является улучшение этих возможностей и координации при одновременной интеграции результатов для обеспечения единой картины рисков для заинтересованных сторон и улучшения способности организации эффективно управлять рисками.

риска

Основные функции управления рисками в крупных корпорациях, которые могут участвовать в программе ERM, обычно включают:

• Стратегическое планирование - определяет внешние угрозы и конкурентные возможности, а также стратегические инициативы по их устранению.
• Маркетинг - понимает целевого клиента, чтобы обеспечить соответствие продукта/услуги требованиям клиента.
• Соответствие и этика — контролирует соблюдение кодекса поведения и руководит расследованием случаев мошенничества.
• Бухгалтерский / финансовый контроль - направляет оценку разделов 302 и 404 Сарбейнса-Оксли, которая определяет риски финансовой отчетности.
• Юридический отдел - управляет судебными разбирательствами и анализирует возникающие правовые тенденции, которые могут повлиять на организацию.
• Страхование – обеспечивает надлежащее страховое покрытие для организации.
• Казначейство - обеспечивает достаточность денежных средств для удовлетворения потребностей бизнеса, одновременно управляя рисками, связанными с ценами на сырьевые товары или иностранной валютой.
• Обеспечение оперативного качества — проверяет, что оперативные результаты находятся в пределах допусков.
• Управление операциями — обеспечивает ежедневную работу бизнеса и устранение связанных с ним препятствий.
• Кредит – гарантирует, что любой кредит, предоставляемый клиентам, соответствует их платежеспособности.
• Служба поддержки клиентов — обеспечивает оперативное рассмотрение жалоб клиентов и передачу информации об основных причинах для решения.
• Внутренний аудит – оценивает эффективность каждой из вышеперечисленных функций управления рисками и рекомендует улучшения.
• Корпоративная безопасность - выявляет, оценивает и снижает риски, связанные с угрозами физической и информационной безопасности.

внедрении ERM

Различные консалтинговые фирмы предлагают предложения по реализации программы ERM. Общие темы и проблемы включают в себя:

• Определение исполнительных спонсоров ERM.
• Создание общего языка рисков или глоссария.
• организации Описание склонности к риску (т. е. рисков, которые она примет и не примет)
• Идентификация и описание рисков в «инвентаре рисков».
• Внедрение методологии ранжирования рисков для определения приоритетности рисков внутри и между функциями.
• Создание комитета по рискам и/или директора по рискам (CRO) для координации определенных действий функций управления рисками.
• Установление ответственности за конкретные риски и меры реагирования.
• Демонстрация рентабельности усилий по управлению рисками.
• Разработка планов действий для обеспечения надлежащего управления рисками.
• Формирование консолидированной отчетности для различных заинтересованных сторон.
• Мониторинг результатов действий, предпринятых для снижения риска.
• Обеспечение эффективного покрытия рисков внутренними аудиторами, консалтинговыми группами и другими оценочными организациями.
• Разработка технической структуры ERM, обеспечивающей безопасное участие третьих сторон и удаленных сотрудников.

Роль внутреннего аудита

Помимо аудита информационных технологий, внутренние аудиторы играют важную роль в оценке процессов управления рисками в организации и пропаганде их постоянного совершенствования. Однако, чтобы сохранить организационную независимость и объективность суждений, профессиональные стандарты внутреннего аудита указывают, что это подразделение не должно брать на себя никакой прямой ответственности за принятие решений по управлению рисками на предприятии или за управление функцией управления рисками.

Внутренние аудиторы обычно проводят ежегодную оценку рисков предприятия, чтобы разработать план аудиторских мероприятий на предстоящий год. На практике этот план обновляется с различной частотой. Обычно это включает в себя анализ различных оценок рисков, выполненных предприятием (например, стратегических планов, сравнительного анализа конкурентов и нисходящей оценки рисков SOX 404 ), рассмотрение результатов предыдущих аудитов и интервью с различными высшими руководителями. Он предназначен для выявления проектов аудита, а не для выявления, определения приоритетов и управления рисками непосредственно для предприятия.

Текущие проблемы в ERM

Процессы управления рисками корпораций по всему миру находятся под все более строгим контролем со стороны регулирующих органов и частного сектора. Риск является неотъемлемой частью любого бизнеса. При правильном управлении он способствует росту и возможностям. Руководители борются с давлением бизнеса, которое может быть частично или полностью вне их непосредственного контроля, например, с проблемными финансовыми рынками; слияния, поглощения и реструктуризации; разрушительные технологические изменения; геополитическая нестабильность; и рост цен на энергоносители.

Закона Сарбейнса

Раздел 404 Закона Сарбейнса -Оксли 2002 года требовал, чтобы публичные корпорации США использовали систему контроля в своих оценках внутреннего контроля. Многие выбрали COSO систему внутреннего контроля , которая включает элемент оценки рисков. Кроме того, в новом руководстве, выпущенном Комиссией по ценным бумагам и биржам (SEC) и Советом по надзору за бухгалтерским учетом публичных компаний в 2007 году, повышенное внимание уделяется нисходящей оценке рисков и включено конкретное требование по проведению оценки риска мошенничества . Оценка рисков мошенничества обычно включает в себя определение сценариев потенциального (или уже произошедшего) мошенничества, связанного с ним воздействия на организацию, соответствующих мер контроля и любых действий, предпринятых в результате.

Правила корпоративного управления NYSE

Нью -Йоркская фондовая биржа требует, чтобы аудиторские комитеты ее листинговых компаний «обсуждали политику в отношении оценки рисков и управления рисками ». Соответствующий комментарий продолжается: «Хотя работа генерального директора и высшего руководства заключается в оценке и управлении подверженностью компании рискам, комитет по аудиту должен обсудить руководящие принципы и политику, регулирующие процесс, с помощью которого это решается. Комитет по аудиту должен обсудить основные финансовые риски компании и шаги, предпринятые руководством для мониторинга и контроля таких рисков. Комитет по аудиту не обязан быть единственным органом, ответственным за оценку и управление рисками, но, как указано выше, комитет должен обсуждать руководящие принципы и политику. управлять процессом оценки и управления рисками. Многие компании, особенно финансовые компании, управляют и оценивают свои риски с помощью механизмов, отличных от комитета по аудиту. комитет, но их не обязательно заменять комитетом по аудиту».

долга

Рейтинговое агентство Standard & Poor's (S&P) планирует включить ряд вопросов об управлении рисками в процесс оценки своих компаний. Это будет внедрено в финансовых компаниях в 2007 году. Результаты этого исследования являются одним из многих факторов, учитываемых при определении долгового рейтинга, который оказывает соответствующее влияние на процентные ставки, которые кредиторы взимают с компаний по кредитам или облигациям. 7 мая 2008 г. S&P также объявило, что начиная с 2009 г. оно начнет включать оценку ERM в свои рейтинги нефинансовых компаний. с первоначальными комментариями в своих отчетах в четвертом квартале 2008 года.

деятельности

Стандарты деятельности Международной финансовой корпорации сосредоточить внимание на управлении рисками и воздействиями в области здравоохранения, безопасности, окружающей среды и социальной сферы. Третье издание было опубликовано 1 января 2012 года после двухлетнего процесса переговоров с частным сектором, правительствами и организациями гражданского общества. Они были приняты банками «Принципы экватора» , консорциумом, состоящим из более чем 118 коммерческих банков в 37 странах.

данных

Правила конфиденциальности данных, такие как Европейского Союза , Общее положение о защите данных все чаще предусматривают значительные штрафы за неспособность обеспечить адекватную защиту личных данных отдельных лиц, таких как имена, адреса электронной почты и личная финансовая информация, или предупреждать затронутых лиц, когда данные конфиденциальность нарушена. Регламент ЕС требует от любой организации, включая организации, расположенные за пределами ЕС, назначить ответственного за защиту данных, подотчетного высшему управленческому уровню. если они обрабатывают персональные данные любого лица, проживающего в ЕС.

Актуарный ответ

общество по

В 2003 году Комитет по управлению корпоративными рисками Общества актуариев по несчастным случаям (CAS) опубликовал обзор ERM. В этом документе изложена эволюция, обоснование, определения и основы ERM с точки зрения актуариев по несчастным случаям, а также включены словарь, концептуальные и технические основы, реальная практика и приложения, а также тематические исследования.

У CAS есть конкретные заявленные цели ERM, в том числе быть «ведущим международным поставщиком учебных материалов, касающихся управления рисками предприятия (ERM) в сфере страхования от имущественного ущерба». и спонсировал исследования, разработки и обучение актуариев по несчастным случаям в этом отношении. CAS воздержался от выдачи собственных удостоверений; вместо этого в 2007 году Совет CAS решил, что CAS должен принять участие в инициативе по разработке глобального обозначения ERM и принять окончательное решение позднее.

актуариев

В 2007 году Общество актуариев разработало сертификат дипломированного аналитика корпоративных рисков (CERA) в ответ на растущую область управления корпоративными рисками. Это первый новый профессиональный сертификат, введенный SOA с 1949 года. Исследования CERA направлены на то, как различные риски, в том числе операционные, инвестиционные, стратегические и репутационные, в совокупности влияют на организации. CERA работают в средах, выходящих за рамки рынков страхования, перестрахования и консалтинга, включая более широкие финансовые услуги, энергетику, транспорт, средства массовой информации, технологии, производство и здравоохранение.

Для завершения учебной программы CERA, которая сочетает в себе базовую актуарную науку, принципы ERM и курс профессионализма, требуется примерно три-четыре года. Чтобы получить сертификат CERA, кандидаты должны сдать пять экзаменов, выполнить требования к опыту работы, пройти один онлайн-курс и посетить один очный курс по профессионализму.

CERA Global

Первоначально все CERA были членами Общества актуариев. но в 2009 году обозначение CERA стало глобальным специализированным профессиональным сертификатом, присуждаемым и регулируемым несколькими актуарными органами; например, дипломированный актуарий по корпоративным рискам Института и факультета актуариев .

См. также

• Актуарная наука
• Аирмик
• Базель III
• Риск выгоды
• Комитет спонсорских организаций Комиссии Тредвея
• Ценовой риск
• Кредитный риск
• Управление финансовыми рисками § Корпоративные финансы
• Управление качеством информации
• ИСО 31000
• Рыночный риск и стратегическое планирование
• Управление операционными рисками
• Предвзятость оптимизма
• Учет рисков
• Рентабельность капитала с поправкой на риск
• Аппетит к риску
• Инструменты управления рисками
• РискЛаб
• ISA 400 «Оценка рисков и внутренний контроль»
• Оценка рисков по SOX 404 сверху вниз
• Три линии защиты
• Полное управление безопасностью
• Управление веб-присутствием
• Модель Гордона – Леба для инвестиций в кибербезопасность
• Сертификаты:
  • Сертифицированный специалист по рискам ( Институт управления рисками )
  • Дипломированный актуарий по корпоративным рискам ( Институт и факультет актуариев )
  • Дипломированный аналитик корпоративных рисков ( Сообщество актуариев )

Внешние ссылки

• Томас Стэнтон (18 февраля 2017 г.). «Управление рисками предприятия» . Ютуб . TEDxJHUDC.
• Airmic/Alarm/IRM (2010) «Структурированный подход к управлению рисками предприятия (ERM) и требования ISO 31000»
• Хопкин, Пол «Основы управления рисками, 2-е издание» Коган-Пейдж (2012 г.) ISBN   978-0-7494-6539-1