Международные стандарты управления рисками

Международные стандарты управления рисками: ISO 31000, COSO ERM — структура и применимость

В условиях перманентной глобальной нестабильности, характеризующейся высокой волатильностью рынков, геополитической турбулентностью и стремительной цифровой трансформацией, а также возрастающей неопределенности, вызванной каскадными эффектами «черных лебедей», управление рисками претерпело фундаментальную эволюцию. Оно трансформировалось из узкоспециализированной, сугубо технической функции, традиционно замыкавшейся на отделах страхования или внутреннего аудита, в неотъемлемый, сквозной элемент стратегического менеджмента. Сегодня это системная дисциплина, пронизывающая все уровни корпоративной иерархии и напрямую влияющая на долгосрочную жизнеспособность бизнеса. Для систематизации данных сложных процессов международным сообществом разработан ряд стандартов, наиболее авторитетными и широко признанными из которых являются ISO 31000 и COSO ERM. Несмотря на их общую целевую установку — обеспечение непрерывного создания, эффективной защиты и долгосрочного сохранения ценности организации, — данные методологии демонстрируют существенные концептуальные различия в своей архитектуре, терминологическом аппарате и методологическом подходе к интеграции рисков в бизнес.

ISO 31000 представляет собой международный стандарт, устанавливающий общие, не зависящие от отрасли принципы и руководящие указания по управлению рисками. Ключевой характеристикой стандарта является его предельная универсальная применимость к организациям любой отрасли (от тяжелой промышленности до креативных индустрий), любого масштаба (от микропредприятий до транснациональных корпораций) и любого географического расположения.
Структурная модель стандарта:
Принципы. Фундаментальная основа, на которой выстраивается вся система управления рисками. Стандарт регламентирует, что эффективный риск-менеджмент должен быть глубоко интегрированным в повседневную деятельность, структурированным и последовательным, адаптивным к изменениям, всеобъемлющим и комплексным, а также динамичным. Кроме того, он должен в полной мере учитывать человеческий фактор (когнитивные искажения, поведение людей) и культурные особенности с единственной целью — создания и защиты ценности.
Рамки (Framework). Этот компонент описывает механизмы глубокой интеграции управления рисками в ключевые бизнес-процессы. Он охватывает каскадирование ответственности от совета директоров до линейных менеджеров, внедрение риск-ориентированного мышления в процессы принятия управленческих решений, формирование корпоративной культуры, где открытое обсуждение угроз поощряется, а не замалчивается, и выстраивание прозрачных каналов коммуникации.
Процесс. Ядро стандарта, определяющее четкий, итеративный алгоритм работы с рисками:
Определение контекста - всестороннее установление внутренних и внешних параметров, в которых функционирует организация, фиксация стратегических целей, границ анализа и ожиданий заинтересованных сторон (стейкхолдеров).
Оценка риска, включающая три последовательных этапа:
Идентификацию - систематическое выявление, каталогизацию и описание рисковых событий, которые могут способствовать или препятствовать достижению целей.
Анализ - углубленное определение природы, корневых источников, вероятности возникновения и потенциальных последствий (как негативных, так и позитивных — возможностей) рисков с использованием количественных и качественных шкал.
Сравнение результатов анализа с установленными критериями приемлемости (риск-аппетитом) для принятия обоснованного решения о дальнейшей обработке риска.
Обработка риска (Treatment) - осознанный выбор и практическая реализация мер по модификации риска. Стандарт выделяет четыре классические стратегии: избегание (полный отказ от деятельности, генерирующей риск), снижение (внедрение контрольных процедур для уменьшения вероятности или последствий), передача (аутсорсинг или страхование) и принятие (сознательное решение ничего не предпринимать, если риск находится в пределах аппетита).
Мониторинг и пересмотр - непрерывный контроль эффективности внедренных мер, отслеживание динамики внешней и внутренней среды, а также выявление новых, ранее неочевидных рисков.
Коммуникация и консультирование - систематическое, двустороннее взаимодействие с внутренними и внешними заинтересованными сторонами на всех этапах процесса для обмена информацией и получения экспертной поддержки.
Стандарт ISO 31000 носит исключительно рекомендательный характер, не содержит жестких требований для сертификации организации и представляет собой скорее концептуальную философию и общую методологическую рамку, чем пошаговую инструкцию.

COSO ERM (Committee of Sponsoring Organizations of the Treadway Commission — Enterprise Risk Management) — это модель, разработанная в США, исторически ориентированная на финансовый сектор, аудит и требования регуляторов (в частности, закона Сарбейнса-Оксли). Редакция 2017 года концептуально сместила фокус с традиционного контроля и минимизации потерь на глубокую интеграцию управления рисками со стратегическим планированием, анализом бизнес-модели и проактивным созданием ценности.

Архитектура модели - куб из пяти взаимосвязанных компонентов и двадцати принципов
В отличие от линейного, последовательного процесса ISO, COSO ERM базируется на сложной матричной структуре, часто визуализируемой в виде куба. Модель включает пять взаимосвязанных компонентов, которые реализуются через двадцать детально прописанных принципов:
Управление и культура (Governance and Culture). Этот компонент закладывает фундамент всей системы. Он включает в себя осуществление надзора со стороны совета директоров, формирование независимых контрольных структур (комитетов по аудиту и рискам), четкое определение организационных структур, а также развитие культуры этичного поведения и открытого, безбоязненного обсуждения рисков.
Стратегия и постановка целей (Strategy and Objective-Setting). Это ключевое, фундаментальное отличие модели COSO. Управление рисками здесь не следует за стратегией, а синхронизировано с ней. На этом этапе организация определяет свой аппетит к риску (риск-аппетит), оценивает, как альтернативные стратегии влияют на профиль риска, и устанавливает бизнес-цели с учетом выявленных угроз и возможностей.
Результативность (Performance). Этот компонент в значительной степени соответствует классическому процессу управления рисками: идентификация и приоритизация существенных рисков, их количественная и качественная оценка, выбор и реализация мер реагирования (избегание, принятие, снижение, передача), а также внедрение контрольных процедур для мониторинга их исполнения.
Анализ и пересмотр (Review and Revision). Данный блок посвящен оценке эффективности самой системы управления рисками. Организация должна регулярно анализировать, насколько адекватно она реагирует на изменения бизнес-среды, и вносить необходимые корректировки в свои процессы, модели оценки и аппетит к риску.
Информационные системы, коммуникация и отчётность (Information, Communication, and Reporting). Обеспечение лиц, принимающих решения, релевантной, точной и своевременной информацией о рисках. Этот компонент также включает налаживание вертикального и горизонтального обмена данными, а также подготовку комплексной отчетности о рисках для совета директоров, инвесторов и внешних регуляторов.

Выбор конкретной методологии определяется стратегическими целями организации, ее стадией зрелости, сложившейся корпоративной культурой и жесткими требованиями регуляторной среды.

Философия
ISO 31000
Универсальный, всеобъемлющий и гибкий подход к управлению рисками как к неотъемлемой части менеджмента. Рассматривает риск как любой эффект неопределенности на цели.
COSO ERM
Фокус на управлении рисками для повышения операционной эффективности, надежного сохранения активов, предотвращения мошенничества и успешной реализации заявленной стратегии.
Структура
ISO 31000
Гибкая, высокоуровневая, основанная на наборе принципов, общих рамках и итеративном процессе. Оставляет пространство для адаптации под контекст.
COSO ERM
Более жесткая, предписывающая и детализированная, основанная на строгой матрице из 5 компонентов и 20 принципов, требующих доказательства их внедрения.
Основной фокус
ISO 31000
Создание и защита ценности в самом широком смысле, включая репутационные, экологические и социальные аспекты.
COSO ERM
Синхронизация рисков со стратегией и производительностью (KPI), защита от мошенничества, ошибок в финансовой отчетности и операционных сбоев.
Сертификация
ISO 31000
Сертификация организации не предусмотрена (доступна сертификация для отдельных специалистов — Certified ISO 31000 Risk Manager).
COSO ERM
Сертификация организации не предусмотрена, однако модель часто используется регуляторами (в частности, SEC и PCAOB в США) как де-факто основа для требований к аудиту и внутреннему контролю.
Целевая аудитория
ISO 31000
Организации любой юрисдикции, стремящиеся к систематизации риск-менеджмента без избыточной бюрократии. Широко применяется в Европе, Азии, Латинской Америке и государственном секторе.
COSO ERM
Крупные публичные корпорации, компании, торгующиеся на биржах, и организации финансового сектора, требующие строгой структурированной модели для детальной отчетности перед советом директоров, внешними аудиторами и регуляторами. Преобладает в Северной Америке.


В современной практической деятельности зрелые организации, обладающие высоким уровнем управленческой культуры, зачастую не ограничиваются механическим выбором одного стандарта, а формируют гибридную, синергетическую систему. Заимствуя философскую гибкость, универсальность и акцент на культуру из ISO 31000, они одновременно применяют жесткую, структурированную детализацию COSO ERM для построения конкретных, измеримых процессов, в частности в области стратегического планирования, бюджетирования, управления капиталом и формирования глубокой отчетности для совета директоров. Комплексное понимание сильных, взаимодополняющих сторон обеих методологий позволяет выстроить наиболее эффективную, устойчивую и адаптивную систему управления рисками, способную не только защищать организацию от угроз, но и использовать неопределенность как источник конкурентного преимущества.