Отчет о седьмой конференции «Корпоративные системы риск-менеджмента» (день 2)

26-27 марта портал CFO-Russia.ru, при поддержке Клуба финансовых директоров, провел седьмую конференцию «Корпоративные системы риск-менеджмента». На мероприятии выступили более 30 финансовых директоров и руководителей крупнейших отечественных и международных компаний. Представляем вашему вниманию отчет о втором дне конференции.

Первым представил свой доклад «Предотвращение мошенничества и сохранение доходов на объектах нефтяных компаний» Павел Брянцев, независимый эксперт. Он рассказал о способах сохранения доходов, выявления и пресечения случаев мошенничества в нефтегазовой отрасли; акцентировал внимание на важности автоматизации системы внутреннего контроля и снижение рисков хищений продукции, а также описал экспертные системы и обеспечение достоверности учетных операций.

«Экспертная система направлена на обеспечение достоверности учетных операций на всех этапах технологической цепочки:

• все процессы учета нефти и продуктов ее переработки на производственных объектах – от добычи УВС (автоматизированные групповые замерные установки, установки подготовки нефти) и его переработки (нефтеперерабатывающие заводы) до реализации нефтепродуктов (СИКН, коммерческие узлы учета, нефтебазы, топливозаправочные комплексы, АЗС/АЗК);
• оборот средств безналичной оплаты и элементов программы лояльности (нефтебазы, топливозаправочные комплексы, АЗС/АЗК);
• обеспечение целостности данных в учетных системах (все объекты учета)».

О моделировании влияния рисков на результирующие показатели компании рассказал Дмитрий Гампер, старший менеджер по управлению рисками ММК. Он обратил внимание на факторы рисков, оказывающих влияние на бюджетирование. А также спикер описал этапы и инструменты, применяемые для моделирования влияния рисков на результирующие показатели компании.

«Мы можем увидеть влияние отдельных рисков на результаты деятельности компании, разложить их до любого уровня детализации. Например, мы можем исключить влияние рыночных рисков, которые мало управляемы и посмотреть, насколько влиятельны именно внутренние риски. Такие возможности открывает перед нами данное моделирование. Для начала мы определяем наиболее вероятное значение параметров модели, с учетом влияния рисков, затем анализируем вероятность достижения запланированных показателей. Это позволяет нам выявить риски, оказывающие набольшее влияние на модель».

Следующей выступила Анна Корбут, начальник управления внутреннего аудита НефтеТрансСервис. Она рассказала о риск-ориентированном внутреннем аудите. Во время своего доклада спикер раскрыла следующие вопросы:

• риск-ориентированный внутренний аудит как один из компонентов риск-ориентированного подхода в управлении компанией;
• специфика в определении целей, факторов рисков и рисков бизнес-процессов, систем управления – формирование карт рисков по итогам аудиторских проверок;
• специфика анализа и отчетности в рамках риск-ориентированного внутреннего аудита.

«При выявлении риска используется понятие фактора риска, то есть, совокупности имеющихся обстоятельств и/или явлений, обусловливающих возникновение риска и влияющих на его характеристики – вероятность и последствия. Основной инструмент для выявления, оценки и контроля уровня рисков бизнес-процессов и систем управления – карта рисков бизнес-процессов и систем управления. Для ее создания используется аналитический подход, сопоставимые показатели (маркеры) для возможности отслеживания динамики и трендов, постановки приоритетов для подразделения внутреннего аудита и менеджмента. По итогам каждой аудиторской проверки как часть отчета составляется индивидуальная карта рисков бизнес-процесса. Затем индивидуальные карты рисков консолидируются в сводную карту рисков бизнес-процессов, которая пополняется новыми картами по итогам новых аудиторских проверок, и исключаются «старые» карты. После чего сводная аналитика доставляется комитете по аудиту в контексте динамики факторов рисков и рисков в целом».

Со специальным докладом «Новые требования ЦБ РФ к качеству данных и информационным системам, используемым банками для управления рисками» выступил Юрий Полянский, начальник отдела методологии моделирования рисков в Центральном банке РФ. Спикер представил некоторые международные стандарты качества данных и рассказал, почему их сложно внедрять в России. Он пояснил требования, предъявляемые к качеству данных и информационным системам, и их необходимость. А также описал методики и характеристики исследования и проверки данных и информационных систем.

«Одна из главных проблем требований к качеству данных в России – это небольшое количество российских стандартов и нежелание переводить и адаптировать международные. Конечно, существует ряд неофициальных переводов международных стандартов на русский язык, но они не подтверждены официально и не адаптированы к нашим реалиям. Наша система ГОСТов должна работать над этим. Сейчас сложно найти не только российскую версию этих стандартов, но даже английский вариант. Еще сложнее его перевести, не потому что мы не знаем английский язык, а потому что в документе содержится масса нюансов и в каждой строчке можно найти многообразие смыслов».

Вслед за выступлением Юрия Полянского состоялось интервью со сцены с Игорем Беликовым, директором Российского института директоров, которое провела Анна Корбут. В ходе беседы участники выяснили, как на управление рисками компании смотрит совет директоров. Также, Игорь рассказал, насколько снизилось качество информации о рисках за последние годы. Основной причиной этой тенденции он считает нежелание риск-менеджеров документировать свою деятельность: «Подавляющее большинство риск-менеджеров считают, что они практики, и необходимая формализация их работы воспринимается как нечто, отрывающее их от бизнеса».

Отвечая на вопрос о необходимости Кодекса корпоративного управления (документ, содержащий задачи и цели по управлению рисками, которые ставятся перед советом директоров и от имени совета директоров перед компаниями), спикер отметил: «Не стоит воспринимать какой-либо документ как некую панацею и надеяться, что нужно всего лишь придерживаться его и перед компанией откроются горизонты прекрасного будущего». Также Игорь отметил, что, несмотря на то, что Кодекс является «документом следующего уровня развития, революции он не совершил».

В ответах спикер подробно описал схему работы триады – внутренний аудит, риск-менеджмент и система внутреннего контроля. Он согласился, что она помогает улучшать эффективность корпоративного управления, но функции каждой из ее составляющих следует разграничивать.

И наконец, спикер назвал индикаторы, показывающие ему, что в компании есть культура управления рисками.

Следующей выступила Анастасия Демская, руководитель дирекции управления финансовыми рисками в ИНТЕР РАО ЕЭС. Она акцентировала внимание участников на управлении финансовыми рисками. Спикер выделила два ключевых риска нашего времени: валютный и процентный; и детально описала их оценку. Также она рассказала о способах предотвращения их реализации.

«Основных источников валютного риска несколько. Начнем с одной из составляющих валютного риска – риска операционного, который включает в себя убытки или отклонение прибыли от изменений рыночной конъюнктуры. Источником данного риска является несоответствие доходов и расходов. Например, выручка в валюте. Вы запланировали в бюджете курс, а он изменился. Вот вам отклонение итогового результата валютного риска. Аналогическая ситуация с денежными потоками, которые номинированы в валюте отличной от национальной. Также источником операционного риска является несоответствие активов/пассивов организации. Например, вы рублевая компания, но у вас есть валютный долг, который вам генерирует курсовую разницу в отчетности. До поры до времени этот риск является бухгалтерским, но когда приходит время погашать этот долг он реализуется в денежный. Также выделяют трансляционный риск. Для нашей организации он важен, потому что у нас много компаний в разных странах мира, функциональная валюта которых отличная от валюты группы. И вот этот трансляционный риск заключается в том, что мы переводим отчетности компании группы в валюте, которая номинирована отличной от валюты группы. И разница курса влечет отклонение от финансового результата».

Опытом антикризисного управления рисками на энергетическом предприятии поделилась Анна Толстых, директор по стратегии и управлению рисками RU-COM. Она рассказала, как управлять проектом масштабной реструктуризации бизнес-процессов и организационной структуры в условиях корпоративной среды, не склонной к изменениям. Спикер описала процесс создания команды, обратив внимание не важность мотивации персонала для участия в проекте. А также она поделилась опытом реинжиниринга, повышения прозрачности и автоматизации бизнес-процессов и управленческой отчетности для управления рисками бизнеса.

«Главной причиной автоматизации стало отсутствие одинаковых данных во всех подразделениях. Цифры чуть ли не в каждом отделе существенно отличались и приводили к неразберихе. Поэтому нужно было срочно внедрять систему оптимизация управленческой отчетности. Мы начали с инвентаризации бизнес-процесса и формирования управленческой отчетности во всех подразделениях: рабочие сессии, анализ, разработка схемы бизнес-процесса, анализ форм управленческой отчетности всех подразделений. Затем в сжатые сроки был разработан план-график оптимизации управленческой отчетности. И наконец, реализация данного плана».

После обеда состоялся круглый стол. В нем приняли участие Татьяна Фокина, начальник отдела управления рисками в Росатом, Тигран Малхасян, руководитель по комплаенсу в Вымпелкоме, Тогрул Аллавердиев, начальник управления по корпоративным рискам НЛМК, и Александр Соколов, начальник отдела корпоративных финансов и управления рисками ТрансКонтейнера. Участники обсудили способы взаимодействия внутреннего аудита и риск-менеджмента с руководством; подискутировали над вопросом «Как правильно расставить акценты при предоставлении информации руководству». А также поделились опытом выбора оптимальной модели принятия решений.

«Главных условий эффективного взаимодействия лиц, принимающих решения по внедрению элементов управления рисками в компании несколько. Во-первых, первое лицо компании поддерживает и определяет цели развития системы управления рисками. Во-вторых, признание менеджментом рисков и принятие ответственности за управление ими. В-третьих, полномочия по управлению отдельными рисками определены, в том числе необходимостью участия коллегиальных органов. Еще одно условие – это обязательная интеграция информации о рисках в действующие процессы принятия решений и отчетность для руководства. И наконец, информация о рисках должна сопровождаться информацией о дальнейших шагах по их управлению», – отметила Татьяна Фокина.

«Как правильно расставить акценты при предоставлении информации руководству? Один из главных моментов – ранжирование рисков по существенности, затем представление информации по классам рисков (с выделением системных решений в рамках одного класса). Следующие приоритеты – соотнесение стоимостной оценки рисков с риск-аппетитом (как совокупной, так и отдельных рисков), и расчет остаточного риска с обоснованием изменения уровня риска», – поделился Тогрул Аллавердиев.

«Для эффективного функционирования риск-менеджмента он должен регулярно проверяться не только изнутри, но и подвергаться внешнему контролю. Это может быть ревизионная комиссия, отдельные аудиторы, или держатели ценных бумаг. После формирования отчета по итогам проверки организации ревизионной комиссией, все замечания анализируются и распределяются в соответствии с картой рисков, по каждому замечанию назначается владелец риска, ответственный за его устранение и недопущение реализации в будущем», – уверен Александр Соколов.

Затем выступил Александр Тарасенко, глобальный ИТ-аудит, старший менеджер Билайна, с докладом «Кибер-риски: крепкий ли орешек». В своем докладе он ответил на следующие вопросы:

• Какие кибер-проблемы есть у всех компаний?
• Как эти проблемы могут реализоваться?
• Что им можно противопоставить?

А также спикер рассказал о Quick wins и готовом инструментарии для решения подобных проблем.

«Один из ключевых постулатов – это тот, кто имеет физический доступ к серверу, тот имеет доступ ко всему. И очень важно понимать, где ваша компания хранит данные. Вот, например, один из моих клиентов разместил дата-центр над автосервисом. Ладно он упустил из виду, что кто-то может пробраться оттуда и украсть какой-нибудь коммутатор за миллион долларов, но ведь там могла взорваться машина, и тогда все данные пропали бы безвозвратно. Физическая безопасность – это важная штука, особенно я понял, насколько она важна после моего визита в Пакистан. Там дата-центры серьезно охраняются, потому что существует угроза того, что кто-то придет и, расстреляв сотрудников, сможет взять все, что ему будет угодно. Конечно, в США данная проблема уже решилась, в России, к сожалению, нет. Поэтому нужно узнавать где будут находится ваши сервера, особенно если вы отдаете эти процессы на аутсорсинг».

С докладом «Оценка рисков. Как меняются приоритеты в карте рисков компании в текущих условиях» выступил Тимур Баязитов, старший аудитор департамента внутреннего аудита Волжской ТГК (КЭС Холдинга). Он рассказал о диагностике инструментов управления рисками и расстановке приоритетов в условиях изменений. Также спикер описал целевую модель управления рисками и представил изменениями системы управления рисками в компании. А также Тимур рассказал об обнаружении и диагностике ошибок в риск-менеджменте.

«Итак, у компании был неудачный опыт. Чтобы понять, что делать, нужно провести диагностику. В диагностике выделяем 2 направления: внешняя среда и внутренняя. Диагностика внешней среды предусматривает мониторинг деятельности других компаний. Например, мы встретились со знакомыми специалистами, компании которых находятся на разных стадиях развития риск-менеджмента, в том числе мы пообщались с предыдущим директором по рискам КЭС Холдинга. Это помогло нам взглянуть с нескольких сторон на риск-менеджмент в том виде, в котором он существовал и понять, где была допущена ошибка и почему он не прижился. Всегда лучше выслушать несколько сторон. Таким образом, мы собрали для себя реестр возможных рисков. Мы взяли источники российских отраслевых компаний, компаний, которые являются представительствами или частью зарубежных холдингов, отраслевые исследования по рискам, предыдущие регистры рисков компаний. Затем их объединили и составили некий список из 50 рисков, которые можно использовать по-разному: для построения стратегической модели; как справочник для выявления рисков либо как инструмент для воркшопов с менеджментом».

С заключительным докладом выступил Андрей Мишанов, заместитель главы отдела внутреннего аудита в Вертолетах России. Он рассказал о методах реагирования и оценки рисков мошенничества. В ходе своего выступления спикер поднял провокационные вопросы. Так, рассказывая об изменениях величины рисков мошенничества, он назвал кризис временем стервятников. Также он обратил внимание на отличия оценки рисков мошенничества в стабильной ситуации и в период экономических потрясений. Спикер поддержал идею «новые времена – новые правила игры», отметив необходимость изменения подходов к предупреждению и реагированию на риски мошенничества в условиях кризиса. А также поделился опытом эффективного сотрудничества финансистов с контрольными подразделениями и службой безопасности.

«Для того чтобы болезнь лечить, ее нужно признать. Я сторонник того, чтобы называть вещи своими именами, а не стыдливо говорить «у нас чуть-чуть злоупотребили». Правда, мои коллеги из нескольких крупных компаний делились собственным печальным опытом: «Мы выявили и наказали». Я спрашиваю: «Кого?». Они отвечают: «Нас». Соответственно, во-первых, нужно признать проблему, во-вторых надо оценить риск мошенничества. Для этого нужно посмотреть те факторы, которые делают его возможным. Затем их предупреждать, а если не получилось, наказывать виновных. Конечно, это дорогой и неприятный процесс. Виновные сотрудники должны привлекаться к дисциплинарной, административной или уголовной ответственности, иначе расследование мошенничества просто превратится в красивые, но бесполезные отчеты. На мой взгляд, одна из самых страшных вещей для мошенничества – не замечать его или относиться к нему недостаточно серьезно. В таком случае сотрудники понимают, что им ничего не угрожает и могут спокойно мошенничать дальше. Иногда происходят и вовсе недопустимые вещи, человека уличённого в мошенничестве не наказывают, а просто переводят на другую должность. Но, если это крыса, как бы незначительна не была должность, он все-равно придумает, как украсть у компании немного денег».

Отчет о первом дне конференции

Фотоотчет

Текст: Ирина Экзархо

Фото: Тэодолус Сунарджая