Институт внутренних аудиторов

А в чём вопрос? <br>Правильно ли понимает обе концепции Ваш коллега?<br>Или правильно ли их понимаете Вы?<br>Или кто правее в своём понимании?<br><br>Если вопрос в сравнении IA и ERM, то разработчики обрисовали различия в Приложении Ц к ERM. Различие примерно такое же как между автомобилем и его двигателем. <br><br>Единственное, с чем сразу не могу согласиться, так это с утверждением "модель ERM COSO не применима для банков". Просматривается в нём некоторый банковский шовинизм )<br>ERM можно применить к чему угодно. С точки зрения подхода, нет никакой разницы между банком и артелью землекопов.

Еще очень интересно:<br>1) кто - как интерпретирует понятие "внутренняя среда" и какие ключевые, базовые элементы системы внутреннего контроля выделяет;<br>2) насколько удобна и функциональна по Вашему мнению типовая модель карты рисков в виде двухмерной матрицы "Убытки -вероятность", и насколько существенно она должна быть переработана для практического применения в повседневной деятельности с учетом широкого спектра банковских операций.<br><br>Это вопросы дискуссионые, участие принимают все желающие, если таковые будут. И это только "для затравки".<br><br>Если я нарушил своим постом Правила форума и это будет расценено как флуд, прошу меня простить. Но для меня, молодого специалиста (24, опыт 2 года) эти вопросы очень важны. Ибо о понятийном аппарате и концептуальных моментах нужно договориться еще до выхода в открытое плавание, на берегу.    

vkorovin , благодарю Вас за участие!<br><br>По порядку. <br><br>Я сам - внутренний аудитор, сотрудник СВК. Мой старший коллега, разумеется - тоже. <br><br>Все те недостатки классического ВК - это все имеет место быть. И я уже давно задумывался над тем, что мы ориентированы в основном на комплаенс, по сути, что идет не на первом месте даже по 242-П. Однако неясность того, каким образом, за исключением выявления рисков в проверяемых процессах, способствовать достижению цели номер один - эффективности и целесообразности операций, заставляло меня мириться с текущей ситуацией, делая лишь редкие попытки обратить на этот факт внимание.<br><br>В принципе, если с моделью COSO IC все более-менее понятно, то с COSO ERM у меня уже не все так ясно, скорее больше вопросов, чем ответов - в части именно функционала СВК. Понятно, что наше место - это мониторинг системы ВК, но каким образом его осуществлять (в рамках COSO ERM) с необходимостью достижения цели номер один, если предположить, что выявление рисков в бизнес процессах - это еще не исчерпывающая функция СВК по цели номер один?<br><br>Таким образом, возникает вопрос о необходимости независимой оценки эффективности достижения бизнес-целей. Если с экономической эффективностью, суть которой - рентабельность, все "просто", то с эффективностью достижения целей, особенно если они выражены в долях рынка или месте в рейтинговой таблице (по каким либо параметрам), уже "несколько" сложнее... В чем тут измерять эффективность? Какие затраты и как их учитывать? С чем соотносить не имеющие денежное выражение "свойства" (характеристики) прошлого состояния и текущего при оценке динамики и эффективности?<br><br>Вопросы, обозначенные мною выше, остались пока без ответа (про интерпретацию внутренней среды и удобство в использовании карты рисков в ее классическом представлении – масштаб потерь – вероятность).<br><br>Может быть, я глубоко заблуждаюсь, и сложность эти вопросы представляют только для меня, сотрудника с небольшим опытом (2 года в СВК, 3 в банках (это же и общий стаж, неделю, как мне 25 исполнилось)… Я буду Вам очень признателен за ответы на эти наверное простые для Вас, профессионалов с большим опытом, вопросы.   <br>

Suis , благодарю Вас за ответ!<br>То, что управление рисками (идентификация, оценка, мониторинг, минимизация и контроль) - задача менеджмента и владельцев бизнес-процессов - несомненно (вопросов с этим не было). Также как и по функции СВК (мониторинг системы управления рисками). Вот только если мы оцениваем "насколько хорошо он это делает", мы должны уметь риск идентифицировать, оценить сам риск и результативность и эффективность мер по его минимизации, а не только собрать и проанализировать информацию по наличию организационных мер и их соответствию требованиям ЦБ РФ и международных актов и документов (Базель, COSO, различные стандарты). Как можно оценить эффективность мер по минимизации какого либо риска, если не уметь его количественно измерить (в рублях) с соотнесением к затратам на его минимизацию? А вот здесь уже начинаются сложности (для меня): оценка риска в денежном эквиваленте, "стоимость" (ден.ед.) мер по его минимизации, какова их эффективность - сколько риска "было" до принятия мер  - сколько "стало" (сумма - вероятность), и можно ли эффективность повысить, и как это сделать? Потому как по ЦБ-шным рекомендациям, к примеру, можно только определить наличие "стандартных условий" для управления рисками и мер по минимизации, а никак не эффективность (результаты/затраты).<br>Кстати, как относить результат, который (по Вашему же определению) не всегда может иметь денежное выражение, к затратам ("всегда деньги") и при этом делать заключение о собственно эффективности? А ведь согласно общеизвестному эйнштейновскому "все познается в сравнении" судить об эффективности можно только в сравнении с чем-то. Что с чем сравнивать (и для оценки эффективности бизнес-процессов, включая и управление рисками, и достижения любого вида целей)?<br><br>Насчет карты рисков. Во-первых, понятно, что это графический способ визуализации системы рисков организации в координатах масштабы потерь - вероятность, и что представление различных вариаций (возможных событий) одного вида риска в рамках этой модели нецелесообразно (она не для этих целей просто). Но даже если брать самый "верхний" уровень -как соотносить "высокий" риск понесения незначительных потерь с "незначительным" риском понесения потерь катастрофических, находящихся на карте у разных (перпендикулярных друг к другу) осей как бы в зеркальном отражении? В первом случае высока вероятность, во втором - она чрезвычайна мала, но потери - огромные. Что требует более пристального внимания - то, что случается часто и причиняет умеренные убытки, или то, что может и не произойти вовсе, но если случится - то это обернется фатальным кризисом для организации? Как оценивать эффективность (результат/затраты) управления риском с незначительной вероятностью реализации и катастрофическими последствиями? Умножать величину потерь на вероятность в этих "противоположных" по сути случаях и соотносить с затратами на их минимизацию (управление ими) будет на мой взгляд - не самым верным решением.<br><br>А насчет интерпретации таких понятий как "внутренняя среда" и "философия управления рисками" я спрашивал не случайно. Несмотря даже на наличие определения, донести до членов СД их суть и то, каким образом они находят (должны) проявление и воплощение в реальной повседневной деятельности организации (банка, в моем случае), представляется задачей весьма непростой. Сразу возникает недоумение: "философия управления рисками"... - о чем это он? У нас нет какого то документа? нескольких? Хорошо, разработаем документы... Внутренняя среда... - это тоже какие-то документы, по-видимому? Разработать! -... - Этические ценности?.. Но у нас же есть кодекс, чего не хватает то?..  ... И как в таких случаях быть? Делать вывод о том, что это - моя недостаточная профессиональная компетентность (а может и "педагогические способности"?  ), что я не могу быстро взять и внедрить в "светлые" головы менеджеров и членов СД современные подходы к управлению (и не только рисками) и понимание базовых понятий (элементов) этих систем управления? Или что я жду от компании (банка) среднего уровня, точнее от его менеджмента, чего-то сверхвозможного, идеального? Если мне пришлось очень долго доказывать (но, что приятно, успешно в конечном итоге) коллеге, выше меня на голову (точнее на две, по статусу), что внутренняя среда - это не только и не столько система документов.<br>Поэтому то я и задал здесь вопрос об интерпретации (вашего, уважаемые, более опытные коллеги, понимания) этих базовых понятий COSO (IC и ERM).