Управление рисками (Risk Management) перестало быть исключительно защитной функцией и превратилось в стратегический инструмент создания стоимости. В современной корпоративной управленческой модели функциональная область управления рисками представляет собой специализированную организационную структуру и набор процессов, обеспечивающих систематический подход к выявлению, оценке, мониторингу и управлению неопределенностью, влияющей на достижение целей организации.

Как указано в Политике по управлению рисками АО «Qazaqstan Investment Corporation» (утв. Советом директоров , ред. от ), управление рисками, это «совокупность культуры риск-менеджмента, возможностей практик и скоординированных действий, направленных на определение и достижение стратегических целей Общества с учетом риска». Данная статья подробно разбирает архитектуру этой функциональной области.

Понятие и место в системе корпоративного управления

Функциональная область управления рисками — это не изолированный отдел, а встроенный элемент всех бизнес-процессов. Согласно принципу «трех линий защиты» (Three Lines of Defense), принятому международными стандартами (IIA, Basel Committee, ISO 31000), эта область реализуется через:

• Первую линию защиты (Владельцы рисков / Бизнес-подразделения): Непосредственно принимают риски в рамках операционной деятельности, владеют ими и несут ответственность за управление ими на ежедневной основе.
• Вторую линию защиты (Функция управления рисками / Risk Management Function): Специализированное подразделение (Департамент управления рисками, CRO), которое разрабатывает методологию, политики, обеспечивает независимую экспертизу, агрегированную отчетность и консультирует бизнес.
• Третью линию защиты (Внутренний аудит): Обеспечивает независимую уверенность в эффективности работы первых двух линий.

Ключевой документ, регламентирующий деятельность этой области — Политика по управлению рисками. Она определяет:

• Видение, цели и задачи системы управления рисками (СУР);
• Структуру управления рисками (роли, комитеты, ответственность);
• Основные компоненты СУР;
• Принципы систематического и последовательного подхода.

Архитектура функциональной области (Гovernance & Structure)

Органы управления и контрольные комитеты

Эффективная функциональная область требует четкого разделения полномочий на уровне верха:

1. Совет директоров / Наблюдательный совет: Утверждает Политику, Риск-аппетит (Risk Appetite) и стратегию управления рисками. Несет окончательную ответственность за СУР.
2. Комитет по рискам (Risk Committee) при Совете директоров: Курирует реализацию политики, рассматривает ключевые риск-профили, одобряет лимиты и пределы риск-аппетита.
3. Исполнительный орган (Правление / CEO) и Комитет по управлению рисками (РКУ / ALCO / Кредитный комитет и др.): Осуществляет операционное управление рисками в рамках установленных лимитов.
4. Директор по рискам (Chief Risk Officer — CRO): Глава функциональной области. Должен иметь прямой доступ к Совету директоров/Комитету по рискам для обеспечения независимости от бизнес-линий (первой линии защиты).

Риск-аппетит (Risk Appetite), фундамент области

Как отмечено в Политике АО «QIC» (Приложение 1), определение риск-аппетита является ключевым этапом (п. 4 «Определение целей и риск-аппетита»). Функциональная область отвечает за:

• Разработку Рамочного заявления о риск-аппетите (Risk Appetite Statement — RAS);
• Каскадирование качественных и количественных лимитов по уровням (корпоративный, дивизиональный, продуктовый);
• Мониторинг использования лимитов (трафик-световые индикаторы: зеленый/желтый/красный);
• Процедуры эскалации при превышении лимитов.

Процесс управления рисками (Risk Management Process)

Сердце функциональной области, цикл управления рисками, стандартизированный ISO 31000 и отраженный в Политике (пп. 5–10). Функциональная область обеспечивает методологическую поддержку и контроль за прохождением этого цикла во всех подразделениях.

Идентификация рисков (Identification)

Задача: Выявить, распознать и описать риски, способные помешать достижению целей.

• Инструменты: Реестры рисков (Risk Registers), самооценка рисков и контролов (RCSA, Risk Control Self-Assessment), сессии мозгового штурма, анализ инцидентов, сканирование внешней среды (PESTLE, горизонтное сканирование), анализ новых продуктов/проектов (New Product Approval Process).
• Классификация: Стратегические, операционные, финансовые (рыночный, кредитный, ликвидности), соблюдения (compliance), репутационные, ИТ/кибер-риски, ESG-риски.

Оценка рисков (Assessment / Analysis & Evaluation)

Задача: Понять природу риска и определить его уровень.

• Качественная оценка: Матрицы рисков (Вероятность x Влияние), экспертные суждения, тепловые карты (Heat Maps).
• Количественная оценка: VaR (Value at Risk), стресс-тестирование, сценарийный анализ, модели PD/LGD/EAD (для кредитных рисков), Monte Carlo симуляции.
• Оценка контролов: Анализ эффективности существующих контрольных мер (Control Effectiveness Assessment) для определения остаточного риска (Residual Risk).

Реагирование на риски / Управление рисками (Response / Treatment)

Выбор стратегии приведения риска в соответствие с риск-аппетитом:

• Избегание (Avoidance): Отказ от деятельности, порождающей риск.
• Снижение (Mitigation/Reduction): Внедрение/усиление контрольных процедур, диверсификация, хеджирование, страхование, BCP/DRP планы.
• Принятие (Acceptance/Retention): Осознанное решение удерживать риск в пределах аппетита (с мониторингом).
• Передача (Transfer/Sharing): Страхование, аутсорсинг, деривативы, структурирование сделок.

Результат фиксируется в Планах управления рисками (Risk Treatment Plans) с ответственными, сроками и KPI.

Контрольные действия (Control Activities)

Согласно Политике (п. 8), контрольные действия — это политики, процедуры и практики, обеспечивающие выполнение решений по управлению рисками. Функциональная область классифицирует их по типу:

• Превентивные (Preventive): Блокируют ошибку/мошенничество (сегрегация обязанностей, лимиты полномочий, технические блокировки в системах).
• Детективные (Detective): Выявляют факт возникновения (сверки, аудит логов, аномалии в транзакциях, инвентаризации).
• Корректирующие (Corrective): Устраняют последствия (планы восстановления, процедуры возврата средств, дисциплинарные меры).
• Директивные (Directive): Устанавливают правила (политики, регламенты, инструкции, обучение).

Информация и коммуникация (Information & Communication)

Функциональная область строит систему отчетности (п. 9 Политики):

Мониторинг и пересмотр (Monitoring & Review)

Непрерывный процесс (п. 10 Политики) включает:

• Отслеживание KRI (Key Risk Indicators) — ведущих индикаторов риска.
• Проверку актуальности реестров рисков (ревизия минимум раз в год или при изменении стратегии/среде).
• Валидацию моделей оценки рисков (Model Validation / Backtesting).
• Независимый обзор эффективности СУР (Internal Audit, внешние консультанты).

Ключевые компетенции и ресурсы функциональной области

Для качественного функционирования области управления рисками необходимы:

Человеческий капитал

• CRO и старшая команда: Стратегическое мышление, навыки коммуникации с Советом, глубокое знание бизнеса и регуляторики.
• Специализированные команды: Кредитные риски, Рыночные риски / ALM, Операционные риски / BCM, Моделирование и валидация, ИТ-риски / Кибербезопасность, ESG-риски, Соответствие (Compliance — часто отдельная функция, но тесно связанная).
• Внедренческие риск-менеджеры (Embedded Risk Managers / Risk Champions): Специалисты, сидящие в бизнес-подразделениях (первая линия), но методологически подчиненные CRO (дotted line).

Технологическая платформа (GRC / RMIS)

Автоматизация рутинных процессов: сбор данных для реестров, расчет KRI, workflow согласования планов мероприятий, инцидент-менеджмент, реестр политик, отчетность. Интеграция с Core-банкингом, ERP, CRM, BI-системами.

Методологическая база (Framework)

• Политика управления рисками (верхний уровень).
• Методологии по видам рисков (Кредитная политика, Политика рыночного риска, Методология ОР/RCSA, Политика стресс-тестирования).
• Регламенты комитетов и инструкции по эскалации.
• Таксономия рисков (единый словарь рисков для всей организации).

Современные тренды и вызовы для функциональной области

1. Цифровизация и Data-Driven Risk Management: Переход от статичных отчетов к предиктивной аналитике, использованию Big Data, AI/ML для выявления аномалий (AML, мошенничество, ранние сигналы дефолта).
2. Интеграция ESG и климатических рисков: Внедрение климатических стресс-тестов, учет переходных и физических рисков в кредитных политиках и риск-аппетите (требование регуляторов и инвесторов).
3. Устойчивость операционной деятельности (Operational Resilience): Смещение фокуса с простого управления операционными рисками на обеспечение способности бизнеса продолжать критически важные услуги при сбоях (ICT риски, третьи стороны, кибератаки). Регуляция: DORA (ЕС), требования ЦБ РФ / НБ РК.
4. Управление рисками третьих сторон (TPRM / Vendor Risk Management): Аутсорсинг критических функций требует полноценного жизненного цикла управления рисками контрагентов (Due Diligence, мониторинг SLA, планы выхода).
5. Культура риска (Risk Culture): Функциональная область отвечает за обучение, тональность сверху (Tone at the Top), механизмы whistleblowing, стимулирование прозрачности сообщения о проблемах.

Ключевые показатели эффективности (KPI) функции управления рисками

Как измерить успех функциональной области?

• Покрытие реестрами рисков: % ключевых бизнес-процессов/продуктов с актуальными реестрами.
• Своевременность исполнения планов мероприятий: % задач по снижению рисков выполненных в срок.
• Соответствие Риск-аппетиту: Количество и продолжительность превышений лимитов (Limit Breaches).
• Качество прогнозирования: Точность моделей (Backtesting results), отсутствие «черных лебедей» внутри аппетита.
• Зрелость культуры риска: Результаты опросов персонала, количество саморепортинга инцидентов;
• Стоимость функции vs Предотвращенные потери: ROI риск-менеджмента (сложно считать напрямую, но оценивается через снижение волатильности результатов).
• Отсутствие существенных замечаний от Регулятора и Внутреннего аудита.

Функциональная область управления рисками, это «нервная система» организации, обеспечивающая чувствительность к угрозам и возможностям. Ее эффективность определяется не количеством написанных политик, а тем, насколько глубоко процессы идентификации, оценки и управления рисками встроены в ежедневное принятие решений на всех уровнях — от Совета директоров до операционного сотрудника.

Как верно подчеркивается в Политике АО «Qazaqstan Investment Corporation», «управление рисками не является отдельной функцией или функцией отдельного структурного подразделения Общества, а является неотъемлемой частью каждого бизнес-процесса Общества и функциональных обязанностей каждого работника Общества». Успех функциональной области измеряется устойчивостью бизнеса к шокам, стабильностью финансовых результатов и доверием стейкхолдеров.

Данная статья подготовлена на основе общих принципов корпоративного управления рисками (ISO 31000, COSO ERM, Basel Committee principles) и с учетом положений Политики по управлению рисками АО «Qazaqstan Investment Corporation» (утв. , ред. от ).