Спор о том, кто в компании отвечает за риски, решается один раз простой схемой из трех уровней. Ее называют моделью трех линий защиты, и она отвечает не на вопрос «кто виноват», а на вопрос «кто что делает».
Первая линия — те, кто риск создает
Коммерция, производство, закупки, ИТ, кадры. Это подразделения, которые ведут операционную деятельность и вместе с ней порождают риски. Владелец риска всегда находится здесь. Он принимает решения, распоряжается ресурсами и отвечает за последствия.
Практическое следствие важнее самой схемы: если владельцем риска записан риск-менеджер, модель сломана. Управлять риском может только тот, у кого есть полномочия изменить процесс. Разбор того, как это выглядит в реестре, — в материале система управления рисками без бюрократии.
Вторая линия — те, кто задает правила
Риск-менеджмент, комплаенс, безопасность, контроль качества, служба непрерывности. Вторая линия разрабатывает методологию, сводит картину по компании, следит за лимитами и спорит с первой линией, когда та недооценивает риск.
Чего вторая линия не делает — не принимает решения за первую. Ее сила в аргументах и в праве эскалации, а не в праве вето. Как только вторая линия начинает управлять рисками вместо первой, система превращается в отчетность, а первая линия перестает считать риски своим делом.
Третья линия — те, кто проверяет первые две
Внутренний аудит. Его задача — независимо оценить, работают ли первая и вторая линии. Независимость обеспечивается подчинением: аудит отчитывается перед советом директоров или комитетом по аудиту, а не перед менеджментом, работу которого проверяет.
Именно поэтому третья линия не должна участвовать в построении системы, которую потом будет проверять. Это самый частый компромисс в небольших компаниях и самая частая причина, по которой аудит перестает находить проблемы.
Три типичных перекоса
- Вторая и третья линии совмещены. Риск-менеджмент сам строит систему и сам ее оценивает. Формально экономия, фактически — потеря независимой проверки.
- Первая линия не знает, что она первая. Руководители направлений уверены, что риски — это отдельная функция, к ним отношения не имеющая. Лечится не регламентом, а тем, что риски начинают обсуждать на управляющих комитетах до принятия решений.
- Линии есть, а эскалации нет. Вторая линия видит превышение лимита, сообщает, и ничего не происходит. Модель работает только если у эскалации есть адресат с полномочиями — см. риск-аппетит.
Как схема выглядит в организации с полноценными тремя линиями, показано в материале управление рисками в крупном банке.
Частые вопросы
Обязательна ли модель трех линий? Нет, это управленческая практика, а не требование закона для большинства компаний. Но регуляторы и аудиторы ориентируются на нее, и в поднадзорных организациях разделение линий проверяют.
Нужны ли три отдельных подразделения? Нет. В компании до тысячи человек вторая линия часто одна совмещенная роль. Важно разделение обязанностей и подчинения, а не число штатных единиц.
Где в этой схеме непрерывность бизнеса? Служба непрерывности относится ко второй линии: она задает методологию и сводит картину. Восстанавливают процессы их владельцы, то есть первая линия.