Стандартизация системы управления рисками инновационных предприятий

Введение

На всех стадиях жизненного цикла реализации инновационных проектов предприятия разрабатывают различные мероприятия с целью снижения вероятности наступления рисков. Современные системы управления рисками основываются на совокупности методик, которые, в свою очередь, базируются на многообразных российских, международных и отраслевых стандартах [1–4] (Nesmiyanov, Danilkin, 2016; Strelnik, 2014; Kravchenko, 2011; Walker Paul, William, Shenkir, Barton, 2002). Национальные стандарты, действующие на сегодняшний день, касающиеся менеджмента рисков, имеют четкую взаимосвязь с международными стандартами. Также разработано большое количество отраслевых стандартов, ориентированных на сегмент деятельности самой организации [5–8] (Legeyda, 2018; Stavrova, Avvyasov, 2020; Kapustina, 2018; Gabrielyan, 2015).

Целью статьи является анализ системы существующих стандартов в области управления рисками в мировом и государственном масштабе, описание сущности и назначения стандарта.

Научной новизной статьи является сформированная в результате анализа нормативной базы риск-менеджмента система современных международных и национальных стандартов управления рисками предприятия, а также представлена структура государственных стандартов Российской Федерации, состоящая из наименования стандарта, его цели и характеристики.

Основные международные стандарты формируются независимой неправительственной международной организацией ISO (International Organization for Standardization), созданной в 1946 году. На сегодняшний день в данную организацию входят 165 членов – участников. ISO составляет международные стандарты управления рисками, на базе которых члены организации формируют свои национальные и отраслевые стандарты [9].

Одним из основополагающих международных стандартов является ISO Guide 73:2009* Менеджмент риска. Словарь. Руководство по использованию стандартов (ISO Guide 73:2009 «Risk management – Vocabulary – Guidelines for use in standards», IDT). В нем содержится определение основного терминологического аппарата, в процессах и структурах, связанных с управлением рисками, а также последовательность действий при организации системы управления [10].

Стандарт IEC 31010:2019 Управление рисками – методы оценки рисков (Risk management – Risk assessment techniques) был введен Техническим комитетом в 2019 году, который включает в себя описание методов оценки рисков, используемых при принятии решений в области управления рисками при условиях неопределенности. Данная стратегия издана взамен IEC 31010:2009 и в отличие от предыдущего издания содержит более глубоко проработанный механизм планирования, внедрения, проверки используемых методов, а также увеличено количество и диапазон применяемых методик [11].

Стандарт ISO 31000:2018 Управление рисками – Рекомендации (Risk management – Guidelines) включает рекомендации в области управления рисками, которые могут возникнуть в результате деятельности организации. Положительной чертой данного стандарта является его обобщенность и применимость для любой организации вне зависимости от ее отраслевой принадлежности [12]. На рисунке 1 представлена система стандартов управления рисками.

Рисунок 1. Система стандартов управления рисками

Источник: составлено авторами.

Комитет спонсорских организаций Committee of Sponsoring Organizations of the Treadway Commission (COSO), организованный в США, ставит перед собой задачу выхода на лидирующие позиции в области управления рисками предприятия, контроля и предотвращения мошеннических операций. В результате анализа лучших практик в области управления рисками COSO сформировало свод правил Enterprise Risk Management (COSO ERM). Первый документ был издан в 2004 году, второй (Enterprise Risk Management. Integrating with Strategy and Performance) – в 2017 году. Существенные изменения относительно самой природы риска в данных сборниках отсутствуют, но имеются различия к самому подходу управления рисками. В издании 2004 г. риск-менеджмент понимается как деятельность, проводимая руководителями организации и всеми ее сотрудниками, основанная на стратегии развития самой организации. Руководство по управлению рисками, выпущенное данной организацией в 2004 г., предоставляет возможность грамотной проработки модели управления рисками предприятия (ERM), при ее компетентном использовании организацией позволяет своевременно оценивать и улучшать модель управления рисками. Данная модель представлена в виде трехмерной матрицы, имеющей форму куба (рис. 2).

Рисунок 2. Модель управления рисками предприятия (ERM) COSO 2004

Источник: [13].

Верхняя грань куба содержит четыре основные цели, на лицевой стороне изображены восемь компонентов, необходимых для достижения поставленных целей. Данная модель раскрывает процесс управления по следующим этапам.

Первый этап подразумевает понимание руководством компании ее внутренней среды. Под внутренней средой подразумевается атмосфера внутри компании, восприятие и реакция сотрудников организации на риски. Данный этап включает изучение не только управления риска, но и понятия риск-аппетита, которое характеризует объективность, моральные ценности, корпоративную культуру и среду, в которой они содержатся. Риск-аппетит в данном стандарте подразумевает тот риск, на который организация готова пойти. При более глубоком изучении модели ERM стоит подчеркнуть слабую проработку экзогенных факторов, то есть факторов внешней среды. На данном этапе больше акцентируется внимание на эндогенных факторах. В то же время такие показатели, как конкурентная среда, мнение всех заинтересованных сторон на риск-аппетит и всю компанию в целом, играют не менее важную роль в процессе управления риском.

Ключевым элементом для второго этапа является постановка целей, которые должны быть определены до момента выявления событий, которые могут повлиять на достижение поставленных целей. Благодаря данному этапу руководство компании может грамотно сгенерировать цели, непосредственно связанные с миссией организации и ее риск-аппетитом.

Этап третий основан на установлении событий, возможностей, влияние которых может оказать отрицательный результат. На данном этапе рассматриваются как экзогенные, так и эндогенные события, воздействие которых постоянно увеличивается в связи с увеличением различного рода связей и экономических отношений хозяйствующих субъектов. При грамотной проработке данных событий управление рисками организации, ее возможности могут быть учтены в момент создания стратегии. В случае фокусировки внимания организации только на внутренних факторах возникает вероятность выявления только операционных рисков и дееспособность проведения соответствующего анализа стратегических опасностей. Особую роль здесь также играет скорость реагирования на выявленные опасности и принятие решений.

Оценка рисков прорабатывается на четвертом этапе данной модели. Непосредственный анализ, идентификация, вероятность наступления рисковых событий и их влияния способствуют проработке действий, которые необходимо будет предпринять. При выборе метода оценки рисков подчеркивается необходимость совокупного использования качественных и количественных методов. При управлении возникающими рисками необходимо оценивать не только сопряженный риск, его последствия, но и резидуальные риски, которые могут остаться после принятых всех необходимых воздействий.

Метод, согласно которому организация будет реагировать на риск, определяется на пятом этапе модели ERM COSO. К данным методам можно отнести уклонение от риска, его принятие, сокращение или перераспределение. Кроме того, на данном этапе разрабатываются ряд мероприятий, которые могут способствовать приведению данных рисков к их допустимому уровню, либо риск-аппетиту организации.

Контроль над рисками осуществляется на шестом этапе. Выработанные процедуры сформированы таким образом, чтобы обеспечить обоснованную гарантию эффективного реагирования на возникающие риски. Этап седьмой представляет собой информацию и коммуникацию. Для четкого выполнения функциональных обязанностей сотрудниками организации необходим сбор своевременной информации о рисках. Обмен данной информацией необходимо осуществлять не только по вертикали данной организации, но и по горизонтали.

Заключительным восьмым этапом процесса управления организации является мониторинг рисков. Мониторинг проводится в качестве периодических проверок или в течение всей деятельности организации. Для достижения поставленных целей управление рисками организации постоянно отслеживается и корректируется в случае необходимости.

Управление рисками организации происходит не как линейный процесс, где один компонент воздействует на другой, а является многонаправленным и имеет циклический характер. Данный фактор обоснован тем, что все компоненты могут не только взаимодействовать друг с другом, но и влиять друг на друга. Данная модель демонстрирует возможность организации оценивать управление рисками во всех его сегментах или по отдельно взятым категориям.

Таким образом, согласно модели управления рисками предприятия (ERM), COSO 2004 возникают 128 различных вариантов управления рисками, и при правильной проработке данных вариантов возникает возможность минимизировать или нивелировать возможные негативные события [14].

В своде правил управления рисками COSO 2017 г. отражены современные тенденции риск-менеджмента. В стратегии COSO 2017 г. больше проработана модель управления рисками предприятий и ее взаимосвязь с ожиданием заинтересованных лиц. Риск рассматривается как элемент управления, а не отдельная ее составляющая в рамках деятельности всей организации, а также позволяет организации лучше анализировать и предвидеть наступление рисковых событий, понимая, что изменения создают возможности для дальнейших действий, а не просто возможность возникновения кризисов. Данная стратегия отвечает современным тенденциям и призывает уделять больше внимания управлению рисками при создании стратегии управления и ее результативности. Обновленная стратегия включает в себя 5 компонентов и 20 процессов. Данные компоненты охватывают весь жизненный цикл: от управления до мониторинга. Данные методы могут применяться для различных организаций, вне зависимости от их масштабов и территориальной привязки. Грамотное использование данной методики позволит организации создание квалифицированной системы управления рисками и связанной с ее стратегическими целями [15]

Таблица 1

Структура управления рискам предприятия COSO ERM (2017)

Структура управления рисками предприятия, предложенная Committee of Sponsoring Organizations (COSO), представляет собой систему взаимосвязанных компонентов, первым из которых является культура и управление. Управление ориентирует деятельность организации, усиливает важность корпоративного управления рисками, устанавливает необходимые надзорные функции. Культура относится к этическим ценностям персонала, его понятийному аппарату в области рисков, квалифицированности и самоотдачи. Второй компонент – стратегия и постановка целей – заключается в непосредственном управлении рисками предприятия, стратегическом планировании, включающем определение риск-аппетита. При реализации стратегии бизнес-цели служат основой для выявления, оценки и своевременного реагирования на риск. Эффективность является третьим компонентом данной стратегии и представляет собой выявление рисков, которые впоследствии могут значительно повлиять на реализацию стратегии и бизнеса в целом. Цели должны быть определены и оценены своевременно. Риски ранжируются по степени серьезности в зависимости от склонности рисковых событий, после чего организация выбирает необходимые меры реагирования и принимает необходимые меры. Результаты этого процесса сообщаются не только руководителям организации и сотрудникам, но и всем заинтересованным лицам.

В основе четвертого компонента лежит непосредственный обзор и проверка, заключаемая в анализе производительности проектов. Организация изучает качество проводимой системы управления рисками и ее функционирование с течением времени для внесения необходимых корректировок. Заключительным, пятым компонентом является информация, коммуникация и отчетность в связи с тем, что управление рисками предприятия требует постоянного процесса получения и обмена необходимой информации как от внешних, так и от внутренних источников на всех плоскостях деятельности организации [16].

Особого внимания заслуживает стандарт управления рисками, сформированный Федерацией европейских ассоциаций риск-менеджеров (FERMA). Данный стандарт представлен как руководство к деятельности организации как в краткосрочной, так и долгосрочной перспективе. Одно из отличий стандартов FERMA от COSO лежит в основе его терминологии, так, FERMA придерживается терминологии ISO/UES Guide 73. Риск-менеджмент представлен как основной компонент стратегического управления, включающий постановку целей организации, анализ, контроль, оценку продуктивности деятельности организации, а также стимулирование всего персонала в виде поощрений.

В соответствии со стандартом FERMA риски подразделяют по воздействию внешних факторов (финансовые риски и стратегические риски) и внутренних факторов (операционные риски и опасности). Процесс риск-менеджмента FERMA представлен семью этапами, на протяжении которых происходит постоянный аудит и внесение изменений в случае необходимости:

1-й этап: постановка стратегических целей и задач организации.

2-й этап: оценка рисков. Данный этап базируется на ISO/IES и включает не только анализ рисков, но и качественную и количественную оценку. Процесс анализа рисков начинается с идентификации максимального количества рисков, которым может быть подвержена организация. При идентификации собирается полный пакет информации о самой организации, рынке, в которой она осуществляет свою деятельность, законодательной, социальной базе, а также отрасли ее принадлежности. Далее происходит непосредственное описание рисков. Сбор данной информации дает возможность выявления преобладающих рисков для их дальнейшего изучения. Данный этап подчеркивает свою значимость на всех этапах жизненного цикла проектов. При большом количестве существующих методик измерения рисков необходима его качественная проработка и выбор инструмента измерения в зависимости от запросов самой организации. Последующим шагом данного этапа является составление «карты рисков», которая дает возможность для выявления зон риска на предприятии, а также определяет необходимость внесений изменений, и определить зоны ответственности. После анализа рисков необходимо провести их качественную и количественную оценку, что позволит определить значимость рисков и мероприятия по их устранению или минимизации для каждого конкретного предприятия.

3-й этап: составление отчета о рисках, включающего угрозы и возможности. Данный отчет имеет первоначальный характер, повторный отчет будет реализован на 6 этапе данного процесса.

4-й этап: принятие решений по первоначально составленному отчету.

5-й этап: мероприятия по непосредственному управлению рисками, которые представляют собой выявление всех приоритетных рисков, основанных и связанных с целями организации, контроль риска, его экономический эффект, расходы, которые могут возникнуть при минимизации рисковых событий, а также расходы на его ликвидацию или минимизацию и непосредственно мероприятия по предупреждению рисковых событий. Основа финансирования рисков представляет собой страхование, однако стоит учитывать, что не все риски подлежат страхованию. Также на этом этапе отслеживается деятельность организации с точки зрения ее законодательной деятельности.

Как уже было сказано, 6-й этап представляет собой повторный внутренний и внешний отчет о рисках. Внутренний отчет составляется для руководства организации, ее структурных единиц. Внешний отчет предназначен для сторонних заинтересованных лиц и содержит систему корпоративного управления, методологию управления рисками.

Последний, 7-й этап данного процесса – мониторинг. Управление рисками организации представляет собой эффективную систему в том случае, когда имеется четкий механизм контроля и своевременного оповещения. Любая организация подвержена внешним и внутренним воздействиям и находится в постоянном развитии. В связи с этим подчеркивается необходимость постоянного аудита на всех этапах жизненного цикла. Благодаря непрерывному мониторингу организация может анализировать эффективность проводимых мероприятий, обеспечивать соответствующий уровень информации, а также накапливать свой уникальный опыт для ведения последующей деятельности в области управления рисками [16].

Далее рассмотрим национальные стандарты Российской Федерации. Краткая характеристика изученных нами стандартов приведена в таблице 2.

Таблица 2

Характеристика национальных стандартов Российской Федерации

Стандарт ГОСТ Р 51897–2011 является основным с точки зрения терминологии менеджмента риска. Данный стандарт совпадает с международным документом ISO Guide 73:2009 «Менеджмент риска. Словарь. Руководство по использованию в стандартах» (ISO Guide 73:2009 «Risk management – Vocabulary – Guidelines for use in standards», IDT). Основная цель стандарта ГОСТ Р 51897–2011 – это представление единого понятийного терминологического аппарата менеджмента риска и корректности его использования. Данный документ рассчитан для практического использования в деятельности предприятий по управлению рисками, а также разработчиков стандартов и иной нормативной документации в области менеджмента риска как на межгосударственных, национальных уровнях, так и непосредственно для организаций, ориентированных на подобный род деятельности.

Государственный стандарт ГОСТ Р 56275–2014 ориентирован на установление принципов и руководства управления проектами, содержащими неопределенность и ведущих к возможным рискам. Улучшение качества принимаемых решений возможно за счет учета проектных рисков, что, в свою очередь, оказывает положительное влияние на дальнейшие перспективы развития проекта и, как следствие, увеличение прибыльности. В то же время данный стандарт не используется в целях сертификации и не является приоритетным перед отраслевыми стандартами. Настоящий стандарт можно использовать на проектах любой масштабности и внедрять на любом этапе жизненного цикла при условии соответствующей подготовки.

Национальный стандарт ГОСТ Р 52806–2007 целенаправлен на менеджмент рисков проектов. В данном документе риск-менеджмент представлен как неотъемлемая часть деятельности предприятий, различных секторов экономики и предназначен для более качественного управления в области принятия решений, руководствуясь предложенными вариантами.

Национальный стандарт ГОСТ Р ИСО 31000– 2019 содержит руководство по менеджменту рисков организаций на всех уровнях управления вне зависимости от отрасли. Целью данного стандарта является повышение ценности организации путем разработок, внедрения, модернизации структуры менеджмента риска организации.

В стандарте ГОСТ Р 58771 – 2019 содержатся основные рекомендации руководства по выбору технологий и дальнейшего их применения для оценки рисков и неопределенности при решении широкого спектра задач. Данные технологии могут быть использованы для содействия при принятии решений в случаях неопределенности, предоставления информации о конкретных рисках и в рамках процесса управления рисками.

Заключение

Проведенный обзор международных и национальных стандартов, действующих на сегодняшний день в области менеджмента риска, позволяет сделать вывод, что современная система стандартизации обеспечивает предприятиям руководство к решению вопросов в области управления рисками. Однако международная система стандартизации не учитывает специфику отдельного государства, при этом дифференциация стран по качественным и количественным рискам может быть существенная.

Целесообразно отметить, что эффективность использования стандартов управлениями рисками зависит не столько от работы в конкретный момент времени или анализа прошлых событий, сколько в необходимости предвидеть критические события в будущем. В краткосрочной перспективе для любого предприятия особое значение имеет проверка адекватности и уточнение методик оценки риска и принятия решений, а также переоценка риска по текущему регистру, мониторинг и контроль над выполнением поставленных контрольных процедур. В долгосрочной же перспективе актуальной задачей становится разработка стратегии управления бизнесом, учитывающей уровень риска, и переход с модели бизнеса, сфокусированной только на прибыли, на операционную риск-ориентированную модель.

Важно понимать, что диапазон рисков инновационного предприятия увеличивается и эволюционируют, поэтому целесообразно внедрять динамичную практику и постоянно совершенствовать модель риск-менеджмента.

Динамика внесения изменений в нормативную базу, регулирующую риск- менеджмент, достаточно интенсивна, в настоящее время стандарты корректируются практически ежегодно, что свидетельствует о непрерывной работе по совершенствованию системы управления рисками как в России, так и за рубежом. Безусловно, система управления рисками основана на взаимосвязи событий, при которых возникает вероятность наступления рискового события, и реакций предприятия на них. Данная взаимосвязь представляет собой многоэлементную систему и обуславливает рациональность применения подходов к управлению рисками на предприятии.