Процесс управления рисками организации состоит из восьми взаимосвязанных компонентов. Так как они являются составной частью процесса управления, их содержание определяется тем, как руководство управляет организацией. К этим компонентам относятся:
• Внутренняя среда. Внутренняя среда представляет собой атмосферу в организации и определяет, каким образом риск воспринимается сотрудниками организации, и как они на него реагируют. Внутренняя среда включает философию управления рисками и риск-аппетит, честность и этические ценности, а также ту среду, в которой они существуют.
• Постановка целей. Цели должны быть определены до того, как руководство начнет выявлять события, которые потенциально могут оказать влияние на их достижение. Процесс управления рисками предоставляет «разумную» гарантию того, что руководство компании имеет правильно организованный процесс выбора и формирования целей, и эти цели соответствуют миссии организации и уровню ее риск-аппетита.
• Определение событий. Внутренние и внешние события, оказывающие влияние на достижение целей организации, должны определяться с учетом их разделения на риски или возможности. Возможности должны учитываться руководством в процессе формирования стратегии и постановки целей.
• Оценка рисков. Риски анализируются с учетом вероятности их возникновения и влияния с целью определения того, какие действия в отношении них необходимо предпринять. Риски оцениваются с точки зрения присущего и остаточного риска.
• Реагирование на риск. Руководство выбирает метод реагирования на риск - уклонение от риска, принятие, сокращение или перераспределение риска, - разрабатывая ряд мероприятий, которые позволяют привести выявленныйриск в соответствие с допустимым уровнем риска и риск-аппетитом организации.
• Средства контроля. Политики и процедуры разработаны и установлены таким образом, чтобы обеспечивать «разумную» гарантию того, что реагирование на возникающий риск происходит эффективно и своевременно.
• Информация и коммуникации. Необходимая информация определяется, фиксируется и передается в такой форме и в такие сроки, которые позволяют сотрудникам выполнять их функциональные обязанности. Также осуществляется эффективный обмен информацией в рамках организации как по вертикали сверху вниз и снизу вверх, так и по горизонтали.
• Мониторинг. Весь процесс управления рисками организации отслеживается и по необходимости корректируется. Мониторинг осуществляется в рамках текущей деятельности руководства или путем проведения периодических оценок.
Управление рисками организации не является линейным процессом, в котором один компонент оказывает влияние на следующий. Он является многонаправленным, циклическим процессом, в котором почти все компоненты могут воздействовать и воздействуют друг на друга.
Взаимосвязь между целями организации и компонентами процесса управления рисками.
Существует прямая взаимосвязь между целями, или тем, чего организация стремится достичь, и компонентами процесса управления рисками организации, представляющими собой действия, необходимые для их достижения. Данная взаимосвязь представлена на трехмерной матрице, имеющей форму куба.
Четыре категории целей – стратегические, операционные, цели в области подготовки отчетности и соблюдения законодательства -представлены на верхней грани куба, восемь компонентов – горизонтальными рядами, а подразделения организации – вертикальными рядами. Данная диаграмма отражает способность организации рассматривать управление рисками во всей его полноте или же по категориям целей, компонентам, подразделениям, или на более низком уровне.
Эффективность
Определение «эффективности» процесса управления рисками является предметом субъективного суждения, формирующегося в результате оценки наличия и эффективности функционирования восьми компонентов управления рисками. Таким образом, эти компоненты также служат критериями эффективности процессауправления рисками. Чтобы компоненты присутствовали и эффективно функционировали, должны отсутствовать значительные недостатки, и риск должен быть сведен к пределам, не выходящим за рамки риск-аппетита данной организации.
Эффективность процесса управления рисками по каждой из четырех категорий целей дает совету директоров и руководству организации разумную гарантию того, что они владеют информацией, в какой степени достигнуты стратегические и операционные цели организации, а также того, что отчетность предприятия является достоверной, а применяемое законодательство и нормативные акты соблюдаются.
Все восемь компонентов процесса управления рисками не могут функционировать одинаково в каждой организации. Их применение на предприятиях малого и среднего бизнеса, например, может быть менее формализовано и менее структурировано. В то же время, небольшие предприятия могут иметь эффективную систему управления рисками только в том случае, если каждый из компонентов в ней присутствует и должным образом функционирует.
Ограничения
Несмотря на то, что процесс управления рисками привносит важные преимущества, он имеет и определенные ограничения. Помимо отмеченных выше факторов, ограничения связаны с тем фактом, что персональное суждение при принятии решений может быть ошибочным. Безусловно, решения о методе реагирования на риск и создание средств контроля должны учитывать соотношение затрат и результат, однако проблемы могут возникнуть из-за простых человеческих ошибок. Например, контрольные процедуры могут быть не выполнены из-за сговора двух или более лиц, а руководство может пренебречь решениями по управлению рисками. Данные ограничения не позволяют совету директоров и руководству иметь абсолютную уверенность в достижении целей организации.