Внедрение ICFR №3. Идентификация и оценка рисков

В предыдущей статье я пришел к выводу, что формализованные и стандартизированные бизнес-процессы позволяют легче выявить слабые места или недостающие средства внутреннего контроля, которые необходимо добавить или изменить для эффективной защиты бизнеса от ошибок в финансовой отчётности, снижения влияния внешних негативных событий или мошенничества персонала.

Какие шаги необходимо предпринять для начала процесса идентификации и оценки рисков? Какое определение риска применимо к бизнес-процессу?

Риск бизнес-процесса — это потенциальный (немонетарный) или реализованный (монетарный) негативный результат, который влечет убытки или иные негативные последствия для руководства или акционеров.

Подход к оценке рисков

Для определения того, какие риски являются значимыми или незначимыми для компании и требуют постоянного мониторинга, необходимо определить критерии оценки рисков. Обычно учитываются два фактора:

• Существенность (потенциальные потери для компании в денежном выражении, например в долларах США);
• Вероятность.

Существенность. Например, уровни существенности могут быть следующими:

• Незначительная — менее 50 тыс. долл. США;
• Средняя — от 50 тыс. до 150 тыс. долл. США;
• Существенная — более 150 тыс. долл. США.

В некоторых случаях уровень существенности может быть связан с оценкой существенности при аудите (должна быть проведена сверка с программами внутреннего/внешнего аудита). Однако он может отличаться в зависимости от приоритетов руководства в области контроля. Обычно уровень существенности аудита выше, поскольку в большинстве случаев цель аудита — подтвердить достоверность финансовой отчётности компании во всех существенных аспектах.

Вероятность (пример)

Иногда отдельный случай может быть несущественным, но если, например, он происходит 20–30 раз в месяц, совокупный негативный эффект (потери) может быть весьма значительным для компании.

Помимо двух вышеуказанных критериев компании учитывают также неденежные факторы риска, которые могут негативно повлиять на бизнес:

а) вопросы охраны труда, техники безопасности и окружающей среды;

б) репутация.

На основе оценки всех критериев компания может разделить уровень приемлемости риска на 3 зоны:

• Критическая (красная);
• Средняя (желтая);
• Зеленая (приемлемая).

Пример приведен ниже:

Для практических целей все критерии могут быть взвешены, а общая оценка может быть проведена с использованием коэффициентов.

В зависимости от ключевых интересов и ценностей акционеров и руководства отдельные критерии или факторы могут привести к критической зоне, даже если они не существенны в денежном выражении. Например, акционер дорожит своей репутацией и любую негативную публикацию оценивает как критический инцидент. Или акционер очень чувствителен к текучести кадров, т.е. процент текучести может быть критическим фактором оценки риска.

Для эффективной работы системы оценки рисков необходимо формализовать описанный процесс в виде внутренних процедур и регулярно пересматривать все критерии.

Идентификация рисков в бизнес-процессе

Как только определены потенциальные негативные последствия, чувствительные для бизнеса, следующий шаг — анализ формализованного бизнес-процесса и критическая оценка потенциальных рисков на каждом этапе. Существует два способа выявления слабых или отсутствующих средств контроля и рисковых мест в процессе:

1) получить статистику монетарных негативных событий/рисков;  

2) рассмотреть процесс с точки зрения лучших практик.

Первый подход называется управлением инцидентами, и мы обсудим его отдельно в одной из следующих статей.

Второй подход охватывает различные надежные источники информации о рисках, относящихся к различным областям бизнес-процессов. Такими источниками могут быть программы аудита, материалы из надежных источников, таких как Ассоциация сертифицированных экспертов по мошенничеству, Институт внутренних аудиторов и другие.

Всем выявленным рискам можно присвоить номера и нанести их на карту бизнес-процессов. Кроме того, все риски и их краткое описание включаются в соответствующую матрицу рисков. Классификация типа риска не обязательна, но важна. Примеры: оценка, отсечка, точность, добросовестность и другие.

Контрольные процедуры и риски

После идентификации рисков бизнес-процессов важно определить, поддерживаются ли они и снижаются ли соответствующими контрольными процедурами.

Контрольные процедуры могут быть различных типов: а) превентивные; б) детективные; в) предупреждающие; г) мониторинговые.

Превентивный контроль — контроль, предотвращающий неправомерные действия или ошибки. Например, поле ввода данных имеет ограничение по максимальному количеству цифр для ввода суммы счёта, что предотвращает ошибку бухгалтера при вводе неверного значения.

Детективный контроль — включает действия по выявлению возможных ошибок. Например, перед закрытием кассового счёта бухгалтер выполняет сверку данных учёта, банковской выписки и других источников информации.

Предупреждающий контроль — предупреждает участников процесса о риске.

Мониторинговый контроль — включает действия по мониторингу для подтверждения правильности результата. Например, после закрытия отчётного периода финансовый контролер выполняет аналитическое сравнение выручки за отчётный и предыдущий периоды и соответствующий факторный анализ для подтверждения роста/снижения. Контролер должен определить все существенные логические объяснения: например, рост цены реализации на XX%, рост объёмов на XX%, изменение структуры продаж на XX%. Если после процедуры мониторинга остаются неясные расхождения, это может сигнализировать о потенциальной проблеме с отсечкой (неучтенный счёт).

Контроль может быть автоматическим или ручным.

Если при документировании бизнес-процесса вы правильно, шаг за шагом, зафиксировали бизнес-процесс, скорее всего, вы уже описали существующие контрольные процедуры. В этом случае необходимо выделить и пронумеровать средства контроля на карте процесса и внести их в матрицу рисков и средств контроля.

Содержание матрицы рисков может различаться в зависимости от приоритетов владельца матрицы.

Обычно матрица включает описание риска, оценку риска, название контрольной процедуры, описание, тип, периодичность, исполнителя контроля, статус контроля (активный или запланированный) и иную информацию (например, задействованная ИТ-система, ссылки на внутренние процедуры и др.). Пример матрицы рисков приведен ниже.

После формализации бизнес-процесса, идентификации рисков и соответствующих контрольных процедур, снижающих эти риски, следующим шагом является оценка эффективности системы контроля. Эта тема будет рассмотрена в следующей статье.