Аудит системы управления рисками - это регулярная проверка того, как в компании устроена работа с рисками: какие риски учтены, кто за них отвечает, какие меры применяются и работают ли они. Проверка смотрит на систему целиком, а не на отдельные эпизоды. На выходе владелец получает список пробелов и понимание, что менять.
Ключевое слово здесь - регулярная. Компания растёт, меняются клиенты, поставщики, команда, а вместе с ними меняется набор рисков. Система, собранная два года назад, к сегодняшнему дню частично устарела. Аудит показывает, где именно.
Для такой проверки не нужен штатный риск-менеджер. Владелец или руководитель проводит первичную диагностику сам, а к внешним специалистам идёт, когда появляется конкретная задача.
Оговорка о фактуре: единого отраслевого стандарта, который закреплял бы именно термин «аудит системы управления рисками» и его разграничение с разовой оценкой и консалтингом, в открытых источниках нет. Ниже - рабочее определение и практическое разграничение, а не цитата из нормативного документа.
Что такое аудит системы управления рисками и чем он не является
Чем аудит отличается от разовой оценки рисков
Разовая оценка рисков - это срез на конкретную дату. Вы садитесь, выписываете риски, расставляете их по вероятности и влиянию, что-то решаете по самым острым. Через неделю документ ложится в папку. Это полезно, но это не аудит.
Пример. Оценка показала риск: уход ключевого клиента. Дальше в отчёте ничего. Никто не проверил, кто отвечает за работу с этим клиентом, как часто с ним встречаются, есть ли план на случай разрыва, что произойдёт с выручкой, если он уйдёт в понедельник.
Аудит проверяет как раз механику: есть ли владелец у риска, есть ли меры, выполняются ли они, обновляется ли список, знает ли команда, что делать при срабатывании. Простой реестр рисков для первого разбора реально собрать за один вечер, разбор анализа рисков для малого бизнеса показывает, как это делается по шагам.
Чем аудит отличается от консалтинга
Консалтинг - это помощь в решении задачи: консультант предлагает схему, помогает её собрать, иногда остаётся на сопровождении. Аудит - независимая проверка того, что уже есть. Он отвечает на вопрос «как у нас устроено и где дыры», а не «как надо сделать».
Порядок часто обратный тому, к которому привыкли. Консультант приходит с готовым решением и хочет его применить. Аудитор сначала смотрит, работает ли то, что уже собрано в компании, и только потом говорит, что имеет смысл менять. Иногда после проверки выясняется: менять нужно не систему, а исполнение. Регламенты есть, но их никто не соблюдает.
Аудит проводят своими силами. Для первичной диагностики хватает чек-листа и разговоров с командой.
Зачем бизнесу аудит системы управления рисками: 3 практические задачи
Как аудит выявляет слепые зоны
Слепые зоны - риски, которые не попали в поле зрения. Их не обсуждали, по ним нет мер, и о них никто не помнит, пока не рванёт.
Типичные примеры: уход ключевого сотрудника, который держит всю работу с клиентами в голове; единственный поставщик, которого нечем заменить; база данных без резервной копии; доступы уволенных сотрудников, которые никто не закрыл.
Пример. Компания закупала комплектующие у одного поставщика четыре года. Срывы были, но мелкие. В какой-то момент поставщик ушёл с рынка, и работа встала на неделю: искали замену, согласовывали условия, проверяли качество. В списке рисков этой зависимости не было, потому что «он же всегда нас выручал». Аудит вскрывает такие связи, проверяя, у каждого ли критичного процесса есть альтернатива. Как устроена проверка поставщиков и договоров, подробно разбирает аудит закупок.
Как оценить адекватность текущих мер
Меры бывают избыточными и недостаточными. Оба варианта стоят денег.
Избыточные: руководитель согласовывает каждую трату от 500 рублей, на процесс без риска наняты два проверяющих, по мелочам идут ежедневные отчёты. Время уходит, риски не снижаются.
Недостаточные: крупные контрагенты проверяются на глаз, договоры подписывают без просмотра условий оплаты, доступ к деньгам есть у нескольких человек без разделения ролей.
Аудит сравнивает затраты на меры с уровнем риска. Риск высокий, а мер нет: это пробел. Риск низкий, а контроль жёсткий и тормозит работу: меру упрощают.
Где бизнес теряет деньги и время из-за рисков
Потери редко выглядят как одна большая авария. Чаще это регулярные утечки:
- простои из-за сбоев в поставках или технике;
- штрафы и пени по договорам и обязательствам;
- отток клиентов из-за повторяющихся срывов сроков;
- время руководителя на тушение пожаров вместо развития.
Пример. Отдел продаж обещает сроки, производство не успевает, клиент уходит к конкуренту. Каждый эпизод стоит части выручки, но катастрофой не выглядит. Аудит показывает, что сбои повторяются по одной причине, и работа с этой причиной убирает часть потерь.
Считайте потери по каждому случаю: сколько денег, часов команды и внимания руководителя он забирает за месяц. Станет видно, какие риски дороже всего.
Признаки того, что аудит системы управления рисками пора проводить
Ниже - практические наблюдения, а не выводы отраслевого исследования: подтверждённых публичных данных, которые связывали бы эти триггеры с необходимостью аудита, найти не удалось.
Рост компании и запуск новых направлений
Пока в команде пять человек, риски держатся на памяти основателя. При 20 сотрудниках и двух направлениях это перестаёт работать.
Что меняется при росте: ответственность размывается, новые люди не знают негласных правил, процессы становятся длиннее, появляются узкие места. Старые меры вроде «я всё проверю сам» физически не выполняются.
Запуск нового направления добавляет риски, которых раньше не было: новый рынок, новые контрагенты, другая регуляторика, валютные расчёты, незнакомая команда. Аудит на этом этапе показывает, что из старой системы переносится, а что требует новых мер.
Конфликты в команде и повторяющиеся сбои
Конфликты часто растут из неясной ответственности за риски. Продажи и производство спорят, кто виноват в срыве сроков, потому что у риска «срыв срока» нет владельца. Никто не отвечает за то, чтобы реальные сроки обсуждались до подписания договора.
Повторяющиеся сбои - самый честный индикатор. Если одна и та же проблема всплывает третий раз за квартал, меры не работают или их нет. Разовые героические решения её не убирают.
Аудит проводят не только тогда, когда всё горит. Профилактическая проверка перед ростом или сменой направления обходится дешевле, чем восстановление после сбоя.
Как провести аудит системы управления рисками своими силами: пошаговый чек-лист
Ниже порядок действий для первичной диагностики. Его проходят за один-два подхода, специальная подготовка не нужна.
Шаг 1: Определите границы аудита
Не проверяйте всё сразу. Возьмите 2-3 процесса, от которых зависит выручка: продажи, поставки, деньги, работа с ключевыми клиентами. Если бизнес держится на одном поставщике, начинайте с закупок.
Шаг 2: Соберите список рисков по каждому процессу
Пройдите по этапам процесса и на каждом спросите: что может пойти не так? Записывайте всё, включая маловероятное. Для продаж это уход ключевого клиента, срыв сделки на финальном этапе, ошибка в договоре, задержка оплаты. Для поставок: срыв сроков, рост цены, брак, уход поставщика.
Подойдёт список на 15-20 строк в любом виде. Главное - записывать: без списка половина рисков забудется к концу разговора.
Шаг 3: Оцените вероятность и влияние
Простая шкала: вероятность низкая, средняя, высокая; влияние низкое, среднее, высокое. Первыми в очереди идут риски с высокой вероятностью и высоким влиянием. Риск потери ключевого клиента обычно со средней вероятностью и высоким влиянием: случается не каждый месяц, но бьёт по выручке сильно.
Шаг 4: Проверьте, есть ли меры и ответственные
По каждому риску из верхней части списка ответьте на три вопроса: что мы делаем, чтобы он не сработал; кто за это отвечает; когда меру последний раз проверяли. Ответственного нет - это слепая зона. Пример: у риска «сбой оборудования» должен быть регламент обслуживания и человек, который его соблюдает, а не «все понемногу».
Шаг 5: Оцените адекватность мер
Сравните стоимость меры с ценой риска. Ежедневные отчёты по расходам на 300 рублей при низком риске - перебор. Отсутствие проверки контрагента при контракте на треть годовой выручки - провал. Меры соразмерны риску или нет, видно как раз на этом шаге.
Шаг 6: Выявите слепые зоны
Проверьте, все ли критичные процессы попали в список. Отдельно поговорите с сотрудниками: с какими проблемами они сталкиваются каждую неделю, что мешает работать. Люди на местах знают про сбои раньше руководителя. Частая находка: никто не отслеживает зависимость от одного клиента, который даёт 40% выручки.
Шаг 7: Составьте план действий
По каждому пробелу назначьте действие, ответственного и срок. Не пытайтесь закрыть всё: выберите 2-3 самых критичных. Пример: найти и протестировать запасного поставщика в течение месяца, назначить владельца риска и дату проверки результата.
Чек-лист даёт первичную диагностику, а не полноценный аудит. Этого хватает, чтобы увидеть картину и понять, где узкие места. Если нужно копнуть глубже в процессы, посмотрите аудит бизнес-процессов: там разобран порядок разбора процессов по шагам.
Что делать после аудита: как использовать результаты
Проверка без последствий бесполезна. Порядок такой:
- Приоритизируйте. Возьмите риски с высокой вероятностью и высоким влиянием, остальные отложите.
- Назначьте владельцев. У каждого риска из верхней части списка должен быть один конкретный человек.
- Введите изменения, а не опишите их. Мера работает, когда встроена в регулярный процесс: еженедельная сверка сроков, проверка контрагента до подписания, ротация доступов.
- Запланируйте повторный пересмотр: разумный ориентир - раз в 6-12 месяцев или раньше, если сменилось направление, выросла команда, поменялись ключевые контрагенты. Это практическое правило, а не требование стандарта.
Пример. После проверки компания ввела ежеквартальный пересмотр ключевых рисков и назначила ответственных. Реестр обновляется на встрече руководителей раз в квартал и занимает меньше часа.
Разовый аудит устаревает так же быстро, как и оценка рисков. Система живёт, пока её пересматривают.
Частые вопросы об аудите системы управления рисками
Нужен ли аудит, если бизнес маленький?
Да, в упрощённом виде. Масштаб проверки зависит от числа процессов, а не от размера компании: чем больше процессов затрагивает выручка, тем шире список. Конкретные нормы времени в стандартах не закреплены - ориентируйтесь на свои процессы и доступное время.
Сколько времени занимает аудит системы управления рисками?
Единых нормативов нет: сроки зависят от того, насколько процессы описаны и сколько людей нужно опросить. Если процессы вам понятны, первичная диагностика проходит быстро; когда описаний нет, разговоры с командой и сбор данных растягиваются. Внешняя проверка обычно занимает больше времени, чем самостоятельная.
Можно ли провести аудит без риск-менеджера?
Да. Штатный специалист нужен для сложных случаев: несколько юрлиц, валютные операции, жёсткая регуляторика. Владелец малого бизнеса закрывает первичную диагностику сам, а внешних специалистов подключает под конкретную задачу.
Чем аудит отличается от оценки рисков?
Оценка отвечает на вопрос «какие у нас риски». Аудит отвечает на вопрос «работает ли система, которая этими рисками управляет»: есть ли владельцы, меры, регулярность, обновление списка. Оценка входит в аудит, но не заменяет его.