Главная

Контакты

Случайная статья

• Автоматизация
• Антропология
• Археология
• Архитектура
• Биология
• Ботаника
• Бухгалтерия
• Военная наука
• Генетика
• География
• Геология
• Демография
• Деревообработка
• Журналистика
• Зоология
• Изобретательство
• Информатика
• Искусство
• История
• Кинематография
• Компьютеризация
• Косметика
• Кулинария
• Культура
• Лексикология
• Лингвистика
• Литература
• Логика
• Маркетинг
• Математика
• Материаловедение
• Медицина
• Менеджмент
• Металлургия
• Метрология
• Механика
• Музыка
• Науковедение
• Образование
• Охрана Труда
• Педагогика
• Полиграфия
• Политология
• Право
• Предпринимательство
• Приборостроение
• Программирование
• Производство
• Промышленность
• Психология
• Радиосвязь
• Религия
• Риторика
• Социология
• Спорт
• Стандартизация
• Статистика
• Строительство
• Технологии
• Торговля
• Транспорт
• Фармакология
• Физика
• Физиология
• Философия
• Финансы
• Химия
• Хозяйство
• Черчение
• Экология
• Экономика
• Электроника
• Электротехника
• Энергетика

Основы формирования системы управления рисками на основе комплаенс-контроля в деятельности хозяйствующего субъекта

УДК 334

В.И.Тихон

Студентка, 1 курс магистратура

Финансовый Университет при Правительстве РФ

г.Москва, РФ

Научный руководитель:

С.Н.Кашурников

Доцент, канд.полит.наук

Финансовый Университет при Правительстве РФ

г.Москва, РФ

Основы формирования системы управления рисками на основе комплаенс-контроля в деятельности хозяйствующего субъекта

Аннотация

В настоящее время на российском рынке организациям, которые стремятся быть успешными в долгосрочной перспективе, вне зависимости от специфики и масштабов деятельности, необходимо поддерживать культуру соответствия требованиям внешних и внутренних норм и правил, предъявляемых со стороны государства и иных заинтересованных сторон в адрес данных организаций, а также учитывать их потребности и ожидания.

Опыт международных организаций демонстрирует положительный эффект от внедрения систем комплаенс-контроля, что является стимулом для развития и адаптации данного вида контроля в бизнесе России. Рассмотрим сущность комплаенс-контроля и его место в системе управления организацией.

Ключевые слова

Комплаенс, управление рисками, комплаенс-контроль, внутренний контроль, комплаенс-риски

В общем виде термин «комплаенс» в переводе с английского языка означает согласие, соответствие.

Международная ассоциация комплаенса (International Compliance Association) трактует термин «комплаенс» через соответствие, как «обеспечение соответствия деятельности установленным требованиям и стандартам» .

Аналогично, в международном стандарте ИСО 19600:2014 «Системы управления соответствием. Руководящие указания» под «комплаенс» понимается выполнение (соблюдение) организацией всех требований, предъявляемых к ней и ее деятельности. Различать в данном контексте следует две группы требований:

- требования, которые установлены внешними субъектами и которые организация должна соблюдать в обязательном порядке (например, требования национального и международного законодательства, нормативно-правовых актов);

- и требования, которые не обязательны к исполнению и которые организация может устанавливать у себя самостоятельно (например, регламенты проведения процедур, оказания услуг, иные внутренние локальные акты).

Возвращаясь к терминологии, но уже в части определения «комплаенс-контроля» отметим, что на сегодняшний день однозначного определения сущности «комплаенс-контроля» не сформулировано. Обобщая мнения различных отечественных и зарубежных авторов, следует выделить организационный, нормативный, этический и рисковый подходы  к определению данного термина.

В нормативном подходе сущность «комплаенс-контроля» раскрывается через соблюдение требований, норм и правил. К авторам данной концепции относятся В. В. Силакова, О. А. Сафонов, Р. Мухаметшин и другие. Отличительной особенностью нормативного подхода является акцент на соответствии нормативно-правовому регулированию и последствиях, которые возникают в случае нарушений – потеря деловой репутации и финансовые потери, отзыв лицензий или получение запрета на осуществление определенного вида деятельности и т. д.

Данный подход применяется в России. Так, в правовом поле Российской Федерации под «комплаенс-контролем» понимается «…внутренний контроль за соответствием деятельности на финансовых рынках законодательству о финансовых рынках в кредитной организации…» .

В следующем подходе сущность «комплаенс-контроля» раскрывается через управление комплаенс-рисками, основой которых выступают операционный, правовой и репутационный риски:

-в части операционного риска – финансовые потери в связи с несоблюдением организацией и ее работниками внутренних и внешних требований, увеличение числа злоупотреблений работниками организации;

-в части правового риска – убытки в виде штрафов, пеней, неустоек в связи с несоблюдением организацией и ее работниками регуляторных требований, наступление ответственности (в том числе уголовной);

-в части репутационного риска – ухудшение (потеря) деловой репутации организации, ее учредителей и работников на рынке в связи с распространением, опубликованием материалов о несоблюдении внутренних и внешних требований в средствах массовой информации.

К авторам данной концепции относят Г. П. Бортникова, В. Э. Керимова и М. Г. Орлову.

Что касается трактовки комплаенс-риска в банковской сфере в России, то российский мегарегулятор в соответствии с Положением Банка России от 16 декабря 2003 г. № 242-П «Об организации внутреннего контроля в кредитных организациях и банковских группах» определяет комплаенс-риск иначе, сужая его трактовку и относя потерю деловой репутации к правовому риску. Так, комплаенс-риск – это «риск возникновения у кредитной организации убытков из-за несоблюдения законодательства Российской Федерации, внутренних документов кредитной организации, стандартов саморегулируемых организаций, а также в результате применения санкций и (или) иных мер воздействия со стороны надзорных органов».

Таким образом, опираясь на проанализированный материал и полагаясь на собственный практический опыт в данной области, можно выделить и сформулировать следующие сущностные характеристики комплаенс-контроля:

-комплаенс-контроль – это учет интересов общества (учет внешних норм);

-комплаенс-контроль – это оптимизация внутренних норм в зависимости от уровня стохастичности среды (чем среда переменчивей, тем меньше норм);

-комплаенс-контроль – это усиленное внимание к злоупотреблениям (взятничество, воровство, неуплата налогов и т. д.);

-комплаенс-контроль – это формализация бизнес-процессов (движение к цифровой экономике).

При этом необходимо учитывать практику ведения бизнеса в России, а также отрасль, в которой осуществляет свою деятельность организация. Внедрение в российские организации зарубежной практики (опыта) будет тогда целесообразным и эффективным, когда хозяйствующие субъекты будут получать определенную выгоду от этого.

Под комплаенс-контролем в данной работе следует понимать концепцию управления организацией, базирующуюся на обеспечении соответствия нормам права и этическим стандартам ведения бизнеса. При этом несоблюдение данной концепции в организации ведет к возникновению и реализации операционных, правовых и репутационных рисков со всеми вытекающими из этого последствиями – финансовыми и репутационными потерями, отзывом лицензий, получением запрета на осуществление определенного вида деятельности и т. д.

В части определения места «комплаенс-контроля» в деятельности организации, в том числе ее системе управления, однозначной позиции на сегодняшний день не выработано. Опираясь на субъективные оценки авторов, приведенных выше, под комплаенс и комплаенс-контролем могут пониматься «концепция, метод, технология, подход, процесс или система». В этой связи проведем уточнение места «комплаенс-контроля» в деятельности организации посредством сравнительного анализа комплаенс-контроля с иными видами контролей, принятых в организациях (смотри таблицу 1).

Таблица 1. Сравнительный анализ видов контролей в организации

Источник: составлено автором

Представленные в таблице 1 данные свидетельствуют о достаточно близкой связи комплаенс-контроля с внутренним контролем в целом: общими являются объект и цель рассматриваемых контролей – достижение организацией стабильного поступательного развития. При этом только комплаенс-контроль ориентируется на будущее, так как позволяет заблаговременно подготавливаться к изменениям во внешней и внутренней среде регулирования.

Беря во внимание материалы сравнительного анализа и предложенное выше авторское определение комплаенс-контроля, его место в общей системе управления организацией можно определить как основу корпоративной культуры и политики ведения бизнеса в целом.

Таким образом, в рамках данного пункта работы:

- были определены сущностные характеристики комплаенс-контроля;

- дано авторское определение термина «комплаенс-контроля»;

- определено место комплаенс-контроля в системе управления организации.

Все перечисленное необходимо для выстраивания системы управления рисками на основе комплаенс-контроля. Ведь обеспечение комплаенс-контроля является результатом выполнения организацией своих обязательств перед третьими лицами, в частности перед обществом, и становится регулярным и устойчивым посредством внедрения его в культуру организации, а также в поведение и отношение людей, работающих в ней.

Обеспечение комплаенс-контроля выступает не просто основой деятельности организации, но также возможностью для успешного и устойчивого развития в будущем, выявления и применения мер реагирования на риски.

Рассмотрим сущностные характеристики риска и практику организации системы управления рисками в деятельности хозяйствующих субъектов.

Сегодня единого подхода к толкованию термина «риск» еще не сформировано. В различных источниках информации, в том числе периодической литературе отечественных и зарубежных авторов, встречается множество интерпретаций рассматриваемого термина. Такая многогранность обусловлена наличием субъективных оценок авторов, считающих выбранное или данное ими определение наиболее комплексным, отражающим сущностные характеристики риска.

 Так, следует выделить следующие распространенные и наиболее часто употребляемые определения термина «риск»:

-риск – это возможность наступления неблагоприятных последствий в результате совершения действия или бездействия (рационалистический подход);

-риск – это процесс принятия решения организацией (субъективный подход, с позиции осуществления деятельности конкретным субъектом хозяйственной деятельности в условиях неопределенности среды функционирования);

-риск – это «вероятность возникновения события, которое окажет отрицательное воздействие на достижение поставленных целей»;

-риск – это «влияние неопределенности на цели организации»;

-риск – это «комбинация вероятности события и его последствий».

Более широкое и точное определение дается В. И. Авдийским, где под риском следует понимать «потенциальную возможность возникновения управляемого события в условиях неопределенности среды осуществления экономической деятельности, которая поддается количественной и качественной оценке».

Обобщая изложенный материал, в данной работе предлагается рассматривать термин «риск» как вероятность возникновения события, имеющего неблагоприятные последствия, выраженные в виде финансовых и репутационных потерях, не достижении целей организации, в результате осуществления последней деятельности в условиях неопределенности внешней и внутренней среды. Обоснованием использования именно такого определения является, в первую очередь, комплексность восприятия риска в изложенном контексте, а также отражение его основных сущностных характеристик:

-объективность проявления;

-управляемое событие;

-вероятность возникновения;

-неопределенность последствий;

-негативный окрас последствий;

-ситуация риска – неопределенность внешней и внутренней среды функционирования организации;

-источник риска – деятельность организации в совокупности;

-факторы риска – внешняя и внутренняя среда организации.

Любая система управления рисками включает в себя минимум две составляющие: организационную и методологическую, к которой в том числе относится нормативно-методическая база. В части организационной составляющей необходим пересмотр существующей или создание новой организационной структуры. Ясное и однозначно воспринимаемое распределение обязанностей и ответственности между различными уровнями управления организации – залог построения эффективной системы управления рисками.

На сегодняшний день наиболее распространенной формой организации деятельности по управлению рисками является реализация принципа «трех линий защиты». Данное распределение полномочий подразумевает следующее:

- первая линия защиты – представлена работниками (подразделениями) организации, выполняющими различные бизнес-процессы и непосредственно управляющими рисками, присущими данным бизнес-процессам;

- вторая линия защиты – представлена работниками (подразделениями) организации, выполняющими методологические и контрольные функции в деятельности по управлению рисками;

- третья линия защиты – представлена работниками (подразделениями) организации, выполняющими независимую оценку системы управления рисками.

Важным аспектом при этом является необходимость принятия мер, направленных на предотвращение возможного конфликта интересов, в случае временного совмещения полномочий, относящихся к разным «линиям защиты», представленным выше.

Описанная ситуация характерна в основном для организаций малого и среднего бизнеса, где ресурсы под цели создания системы управления рисками и непосредственно самого управления рисками сильно ограничены. В таком случае рекомендуется организовывать систему управления рисками либо на основе реализации принципа «двух линий защиты», где отсутствует необходимость в проведении независимой оценки системы управления рисками силами самой организации, либо посредством распределения полномочий среди работников организации.

Как правило, в функционал работников (подразделений), осуществляющих деятельность по управлению рисками входит:

- разработка нормативно-методической базы;

- выявление рисков и их своевременная оценка;

- составление единого перечня рисков (реестра рисков и т. д.);

- разработка и применение мер реагирования на риски;

- мониторинг и контроль рисков;

- формирование и ведение специальных баз данных по рискам;

- подготовка и доведения до сведения заинтересованных сторон риск-ориентированной отчетности;

- обеспечение непрерывности деятельности по управлению рисками.

Заметим, что залогом построения эффективной системы управления рисками (в части организационной составляющей) является также обеспечение независимости работников (подразделений), осуществляющих деятельность по управлению рисками, заключающееся в прямой подчиненности высшему исполнительному органу организации (например, генеральному директору, совету директоров и т. д.).

В части механизма управления рисками в рамках обозначенных ранее полномочий работников (подразделений), осуществляющих деятельность по управлению рисками, выделяют следующие наиболее стандартизированные процессы по управлению рисками:

- идентификация рисков;

- оценка рисков;

- реагирование на риски;

- мониторинг рисков;

- подготовка отчетности по полученным данным.

Таким образом, система управления рисками – это механизм взаимодействия работников (подразделений) организации, целью которого является выявление и анализ рисков всех областей (направлений, сфер) деятельности организации с последующей их митигацией и составлением риск-ориентированной отчетности.

Мы рассмотрели вопросы управления рисками и построения системы управления рисками в деятельности организаций. В связи с чем интересен вопрос, какова практика субъектов хозяйственной деятельности в части построения системы управления комплаенс-рисками и управления ими

Выделяют несколько подходов к построению системы управления комплаенс-рисками: сегментарный и сплошной .

Сегментарный подход к построению системы управления комплаенс-рисками предполагает выделение областей (направлений) деятельности организации, характеризующихся высоким уровнем комплаенс-риска, и проведение их детального анализа. Рассматриваемый подход дает наиболее полное представление о развитии и соблюдении требований в части выделенных областей (направлений) деятельности организации, позволяет разработать план мероприятий (программу) по минимизации выявленных комплаенс-рисков, сформировать предложения и рекомендации по устранению негативных последствий от реализации данных комплаенс-рисков и совершенствованию деятельности по управлению комплаенс-рисками.

Сплошной подход к построению системы управления комплаенс-рисками предполагает выделение и анализ комплаенс-рисков в рамках всех работ (услуг, продуктов), которые есть в деятельности организации. Рассматриваемый подход дает комплексное представление о соблюдении организацией требований, предъявляемых к качеству, своевременности выполнения (оказания, предоставления) и количеству работ (услуг, продуктов), то есть деятельности организации в целом.

Заметим, что как в первом, так и во втором подходах существуют определенные явные недостатки и ограничения. В связи с чем, с целью их нивелирования и оптимизации деятельности организации в части построения системы управления комплаенс-рисками целесообразным видится применение комплексного подхода (отражающего основные идеи сегментарного и сплошного подходов), заключающегося в следующем.

При построении системы управления комплаенс-рисками необходимо:

- выделять области (направления) деятельности организации, характеризующиеся высоким уровнем комплаенс-риска ;

- выделять работы (услуги, продукты), присущие данным областям (направлениям) деятельности организации, характеризующимся высоким уровнем комплаенс-риска;

- проводить детальный анализ выделенных областей (направлений) деятельности организации и работ (услуг, продуктов), присущих данным областям (направлениям), с целью выявления значимых комплаенс-рисков;

- разрабатывать меры реагирования на выявленные комплаенс-риски;

- формировать предложения и рекомендации по совершенствованию деятельности по управлению комплаенс-рисками.

Итак, проанализировав существующие подходы к построению системы управления комплаенс-рисками и предложив комплексный подход, следует заметить, что деятельность по управлению комплаенс-рисками, как и деятельность по управлению рисками организации в целом, имеют аналогичные, схожие этапы в управлении и также должны базироваться на определенных стандартах и рекомендациях компетентных органов.

Так, для более детального изучения вопроса в части управления рисками организации в целом и управления комплаенс-рисками, а также формирования концепции управления рисками на основе комплаенс-контроля проведем сопоставительный анализ двух стандартов, стандарта по управлению рисками ISO 31000:2009  и стандарта по комплаенсу ISO 19600:2014  (смотри таблицу 2).

Таблица 2. Сопоставительный анализ стандартов

Источник: составлено автором

Как видно из таблицы, рассматриваемые стандарты тесно увязаны между собой, особенно в части семи элементов процесса управления. Данная общность стандартов, а также проведенный ранее анализ практик построения системы управления рисками и системы управления комплаенс-рисками позволяют сделать вывод об использовании в настоящее время организациями единого подхода к управлению, как рисками организации в целом, так и комплаенс-рисками.

При этом в части управления комплаенс-рисками (осуществления комплаенс-контроля) следует выделить некоторые особенности стандарта ISO 19600:2014:

- во-первых, стандарт по менеджменту соответствия акцентирует внимание пользователей на взаимоувязке идентифицированных обязательств по соблюдению требований соответствий с внутренними документами организации;

- и, во-вторых, в соответствии с указанным стандартом комлпаенс-риски следует подразделять на значимые (ключевые) риски, управление которыми осуществляется в рамках семи процессов, обозначенных выше, и другие риски, управление которыми подразумевает под собой использование различных организационно-контрольных мероприятий (например, проверки, аттестация работников, чек-листы и т. д.).

Первый этап управления рисками на основе комплаенс-контроля – выделение областей (направлений) деятельности организации, характеризующихся высоким уровнем риска, с учетом существующих внутренних контролей в организации. На данном этапе, как правило, подразумевается следующая последовательность действий:

- анализ правовой и хозяйственной деятельности организации, в том числе действующих внутренних контролей;

- выявление наиболее значимых зон ответственности организации перед обществом, третьими лицами;

- определение ключевых областей (направлений) деятельности организации, подверженных наибольшему риску, в том числе работ (услуг, продуктов), присущих данным областям.

Информация, необходимая для успешного завершения данного этапа и перехода на следующий, включает нормативно-правовые документы, регулирующие функционирование организации, внутренние регламенты и локальные акты, финансовую отчетность, данные бухгалтерского и управленческого учета, иные справочные материалы, необходимые для детального анализа деятельности.

Основным инструментарием на данном этапе управления рисками выступает сбор, обработка и анализ данных, агрегирование полученной информации.

Второй этап заключается в проведении идентификации рисков, присущих выделенным ранее областям (направлениям) деятельности организации, в том числе работам (услугам, продуктам). Главным источником данных для идентификации внутренних рисков являются результаты предыдущего этапа управления, а также описания бизнес-процессов (операций, шагов) и регламенты выполнения работы, оказания услуг; для идентификации внешних рисков – обзоры отраслевых рынков, открытые источники информации в сети Интернет, судебная практика, мнения экспертов.

Стоит отметить, что при идентификации рисков, присущих высокорискованным областям (направлениям) деятельности организации, в дополнении руководствоваться следует целями организации, а точнее событиями, способными повлиять на недостижение указанных целей (в соответствии с авторским определением «риска», данным ранее).

 Основным инструментарием на втором этапе управления рисками являются различные виды анализа – SWOT-анализ, PEST-анализ, синтез, индукция.

Оценка идентифицированных рисков и выделение на ее основе значимых рисков – третий этап, заслуживающий пристального внимания со стороны работников (подразделений), осуществляющих деятельность по управлению рисками. На данном этапе необходимо использование как математического аппарата, так и экспертных оценок. Связано это с выделением количественных и качественных методов оценки рисков.

Для начала обозначим, что уровень риска есть комбинация вероятности реализации данного риска и величины воздействия риска на цели организации.

В части определения вероятности реализации риска в зависимости от условий неопределенности внешней и внутренней среды функционирования организации выделяют следующие методы и способы оценки:

- в условиях полной неопределенности – экспертные оценки работников, осуществляющих деятельность по управлению рисками (например, метод Дельфи);

- в условиях частичной неопределенности – анализ сценариев, анализ дерева событий, в том числе с использованием инструментария теории вероятностей и математической статистики, моделирования методом Монте-Карло. Например, определить вероятность реализации риска с использованием анализа сценариев.

- в условиях определенности – расчетно-аналитический метод.

В части оценки величины воздействия риска на цели организации выделяют такие методы, как анализ воздействия на бизнес, анализ причин и последствий, причинно-следственный анализ и другие. В зависимости от наличия у организации статистической информации и возможности ее надлежащим образом обработать и проанализировать обозначенные методы оценки можно сгруппировать следующим образом.

Количественный подход к оценке величины воздействия риска основывается на численном определении риска, то есть использовании математического аппарата совместно с обработкой и анализом достаточно большого объема информации .

Качественный подход к оценке величины воздействия риска основывается на использовании описательного механизма, то есть использовании профессиональных экспертных суждений, аналогий и т. д.

Четвертый этап управления рисками на основе комплаенс-контроля – разработка и принятие мер реагирования на значимые риски, в том числе организационно-контрольных мероприятий в части обеспечения комплаенс-контроля. Из существующего множества способов управления рисками, начиная от принятия риска и заканчивая уклонением от риска, субъектам хозяйственной деятельности следует разрабатывать и применять такие меры реагирования на риски, которые позволят им не только минимизировать данные риски, но также обеспечить эффективность управления рисками, в том числе с точки зрения соотношения выгод и затрат.

К стандартизированным мерам реагирования на риски организации относятся правовая экспертиза документов, обучение и мотивация персонала, внедрение процессного управления, создание резервов (в зависимости от целей организации – по сомнительным долгам, перспективные и иные) и другие.

Мониторинг рисков выступает неотъемлемым элементов любой системы управления рисками, в том числе системы управления рисками на основе комплаенс-контроля, и является пятым этапом управления рисками. При этом порядковый номер этапа, присвоенный в данной работе мониторингу рисков, не означает, что мониторинг рисков следует проводить в строгой последовательности после принятия мер реагирования на риски. Мониторинг – это постоянный процесс, осуществляемый работниками, ответственными за данный участок работы в деятельности по управлению рисками.

Важным аспектом данного этапа управления рисками является проведение контроля и анализа трендов на регулярной основе.

Шестой этап – составление риск-ориентированной отчетности на основе полученных на предыдущих этапах управления рисками данных. К риск-ориентированной отчетности относятся:

- паспорт риска;

- перечень рисков;

- реестр рисков;

- карта рисков;

- формы мониторинга рисков;

- годовой отчет о рисках.

Наконец, заключительным этапом управления рисками на основе комплаенс-контроля является анализ и оценка эффективности выполняемых мероприятий, процессов по управлению рисками, в части соблюдения регуляторных и этических требований, формирование предложений и рекомендаций по совершенствованию деятельности по управлению рисками.

Таким образом, описанные выше мероприятия представляют собой в совокупности систему управления рисками на основе комплаенс-контроля, позволяющую в перспективе, при ее внедрении и адаптации в конкретном хозяйствующем субъекте, обеспечивать его бесперебойное функционирование.