ProfDirector

⬆️Шаблоны и документы по управлению рисками во всех направлениях Оценка рисков (Risk Assessment) 1. Реестр рисков 2. Матрица оценки рисков 3. Тепловая карта рисков 4. Шаблон оценки (скоринга) рисков 5. Чек-лист идентификации рисков Мониторинг рисков (Risk Monitoring) 1. Панель мониторинга рисков 2. Ключевые индикаторы риска (KRI) 3. Анализ тенденций рисков 4. Журнал инцидентов риска 5. Шаблон отчета по рискам Обработка рисков и контроль (Risk Treatment & Control) 1. План обработки рисков 2. Реестр контролей 3. План мероприятий по снижению рисков 4. Реестр остаточных рисков 5. Форма принятия риска Управление и комплаенс (Governance & Compliance) 1. Политика управления рисками 2. Процедура управления рисками 3. Чек-лист комплаенса 4. Чек-лист аудита и обзора рисков 5. Матрица ролей и ответственности Непрерывность бизнеса (Business Continuity) 1. Анализ воздействия на бизнес (BIA) 2. План обеспечения непрерывности бизнеса (BCP) 3. План аварийного восстановления (DRP) 4. План тестирования BCP/DRP 5. План кризисного управления Риски третьих сторон (Third-Party Risk) 1. Оценка рисков третьих сторон 2. Реестр рисков поставщиков 3. Обзор рисков поставщиков 4. Чек-лист комплексной проверки поставщиков (Due Diligence) 5. Отчет по рискам третьих сторон Операционный риск (Operational Risk) 1. Реестр операционных рисков 2. Трекер проблем и мероприятий 3. Оценка эффективности контролей 4. Журнал коммуникации по рискам 5. Отчет о событиях убытков Корпоративный риск (Enterprise Risk) 1. Заявление о риск-аппетите 2. Профиль корпоративных рисков 3. Оценка стратегических рисков 4. Журнал новых (emerging) рисков 5. Протоколы совещаний по обзору рисков Управление инцидентами и проблемами (Incident & Issue Management) 1. Процесс управления инцидентами 2. Отчет о крупном инциденте 3. Внутренний отчет об инциденте 4. Матрица эскалации 5. Трекер устранения проблем Дашборды рисков (Risk Dashboards) 1. Корпоративный дашборд рисков 2. Дашборд тепловой карты рисков 3. Дашборд комплаенс-рисков 4. Дашборд инцидентов риска 5. Дашборд эффективности управления риски

Документ ⬆️— это практическое руководство Audit Committee Handbook 2023 от подразделения Audit Committee Institute Ireland при KPMG Ireland. Оно посвящено тому, как должен работать аудиторский комитет (Audit Committee) компании, какие у него обязанности, как организовать надзор за финансами, рисками, внутренним контролем и аудитом. Основная цель документа Помочь членам совета директоров, аудиторским комитетам, CFO, внутренним аудиторам и руководству выстроить эффективную систему корпоративного управления и контроля. Документ применим как для публичных, так и непубличных компаний. О чем конкретно: Документ охватывает: Роль и принципы работы аудиторского комитета надзор за финансовой отчетностью; внутренний контроль; управление рисками; взаимодействие с внешним и внутренним аудитом; независимость членов комитета. Как формировать эффективный Audit Committee состав и независимость; требования к финансовой экспертизе; onboarding и обучение членов комитета; как председателю эффективно управлять комитетом. Контроль финансовой отчетности анализ финансовой отчетности; ключевые бухгалтерские оценки и суждения; выявление агрессивного «управления прибылью» (earnings management); контроль качества раскрытий. ESG и новые риски ESG-отчетность; киберриски; риски ИИ; соответствие регуляторным требованиям. Практические инструменты В приложениях есть готовые шаблоны и чек-листы: положение об аудиторском комитете (Terms of Reference), годовой план заседаний, пример risk register, whistleblowing policy, шаблоны internal audit plan/report, оценка работы внутреннего и внешнего аудита. Ключевая идея документа Audit Committee — это орган надзора, который не управляет компанией напрямую, а проверяет, что: финансовая отчетность достоверна; риски контролируются; система внутреннего контроля работает; аудит независим и эффективен; руководство не скрывает проблем.

Документ ⬆️— это подробный чек-лист для аудита систем искусственного интеллекта (AI Audit Checklist v2.0). Он предназначен для внутренних аудиторов, IT, risk/compliance и governance-команд, чтобы оценивать риски, контрольную среду и соответствие AI-систем требованиям. 🎯Основная цель документа Помочь компании проверить, насколько безопасно, законно и управляемо используется ИИ, включая: генеративный ИИ (GenAI), ML-модели, внешние AI-сервисы, внутренние модели и автоматизированные решения. ⁉️Что именно проверяет документ Чек-лист охватывает несколько крупных блоков контроля: 1️⃣AI Governance (управление ИИ) Проверяется: есть ли политика и стратегия использования ИИ, кто отвечает за модели, есть ли комитет по AI-рискам, как принимаются решения и управляются исключения. 2️⃣Legal & Compliance (право и комплаенс) Проверяется: соответствие законам и регуляторным требованиям, защита персональных данных, уведомление клиентов об использовании ИИ, механизмы оспаривания AI-решений, IP/licensing риски (датасеты, open source, GenAI outputs). 3️⃣Lifecycle / Inventory (жизненный цикл моделей) Проверяется: реестр AI-моделей, процесс approval перед запуском, risk-tiering (классификация рисков), контроль «теневого AI» (shadow AI), управление промптами для GenAI. 4️⃣Data Governance & Quality Проверяется: качество данных, происхождение данных (lineage), drift моделей, корректность входных данных, репрезентативность training data. 5️⃣Model Risk / Security / Monitoring (дальше по документу) Обычно включает: валидацию моделей, bias/fairness, безопасность моделей, контроль доступа, мониторинг ошибок, инцидентов и деградации качества. 📓Формат документа Это не теория, а практический аудиторский инструмент. Для каждого контроля есть: вопрос аудита («что проверить?»), критерий/ожидание («что считается хорошей практикой?»), как проверять (доказательства, тесты, документы), уровень риска (High / Medium / Low), примеры evidence. ‼️Кому полезен Документ особенно полезен для: внутренних аудиторов, IT audit / ITGC, risk & compliance, компаний, внедряющих GenAI, банков, fintech, страховых, HR-систем и других регулируемых отраслей

#внутреннийаудит Документ ⬆️— это подробная программа аудита IT General Controls (ITGC), то есть каталог проверок общих ИТ-контролей компании. Он предназначен прежде всего для аудиторов (в том числе не-ИТ аудиторов) и помогает оценить, насколько надежно и безопасно организовано управление ИТ, информационной безопасностью и ИТ-процессами в компании. 🎯Основная цель документа Дать аудитору готовый чек-лист и рабочую программу проверки ИТ-контролей, включая: ✔️какие риски есть в каждой области; ✔️какие должны быть контрольные процедуры; ✔️что проверять; ✔️какие документы запрашивать у компании; ✔️как фиксировать результаты аудита и выводы. ⁉️Какие области охватывает Документ покрывает практически всю систему управления ИТ и ИБ компании: 📊IT Strategy & Governance — ИТ-стратегия и управление Проверяется, есть ли ИТ-стратегия, связь с бизнес-целями, ИТ-архитектура, ИТ-портфель проектов, бюджет. 📊IT Management — управление ИТ и безопасностью Оценка: ИТ-рисков, политики безопасности, защиты данных, доступа пользователей, вирусной защиты, инцидентов ИБ, резервирования, физической безопасности серверных и ЦОД. 📊Process Organization — организация ИТ-процессов Управление патчами, SLA, подрядчиками, мониторингом, инцидентами, backup/restore и архивированием. 📊Change Management — управление изменениями Контроль изменений в ИТ-системах: заявки, тестирование, approvals, emergency changes, доступ к production. 📊Development Process — процесс разработки ПО Стандарты разработки, тестирование, документация. 📊Business Continuity — непрерывность бизнеса и disaster recovery Анализ влияния инцидентов, планы восстановления, тестирование DR/BCP. 📚Как устроен документ Для каждого раздела есть единая структура: риск → цель контроля → что тестировать → какие доказательства запросить → поле для вывода аудитора. Например, по управлению доступом документ предлагает проверить: есть ли модель ролей и прав; как выдаются/отзываются доступы; как обрабатываются joiners/movers/leavers; есть ли review прав пользователей; соблюдается ли segregation of duties (SoD). 🛠️Практический смысл Это фактически готовая методология ITGC-аудита / внутреннего контроля ИТ, особенно полезная для: ✔️внутреннего аудита; ✔️подготовки к внешнему аудиту; ✔️оценки зрелости ИТ-контролей; ✔️подготовки к требованиям SOX, ISO 27001, COBIT; ✔️оценки ИТ-рисков и кибербезопасности. 📣Документ напрямую ссылается на COBIT 2019 и ISO 27001:2022.

#управлениерисками Документ ⬆️— это практическое руководство по комплаенсу для малых и средних предприятий (SME/МСП), подготовленное Институтом Международной торговой палаты (ICC) в 2024 году. Его цель — объяснить бизнесу как выстроить базовую систему комплаенса, особенно в сфере антикоррупции, этики и соблюдения законодательства. Ключевая идея документа Комплаенс — это не только борьба с коррупцией, а более широкая система управления рисками и соблюдения правил бизнеса: законов, внутренних политик, этических стандартов, ESG, защиты данных, отношений с контрагентами и т.д. Для МСП комплаенс должен быть простым, пропорциональным рискам и реалистичным по затратам. Основные темы документа 1. Что такое комплаенс и зачем он нужен Документ объясняет, что комплаенс — это соблюдение законов, нормативных требований, внутренних политик и этических норм компании. Он нужен для: снижения юридических и финансовых рисков; предотвращения коррупции и мошенничества; защиты репутации; повышения доверия клиентов, инвесторов и банков. 2. Как построить комплаенс-программу Минимально эффективная программа должна включать 3 блока: Prevention (предотвращение) — политики, кодекс поведения, обучение; Detection (выявление) — мониторинг, каналы жалоб, whistleblowing; Correction (реагирование) — расследования и дисциплинарные меры. 3. Комплаенс должен быть “в ДНК компании” Авторы подчеркивают роль собственников и менеджмента: руководство должно “walk the talk” — подавать личный пример, формируя культуру честности и этики. Комплаенс — ответственность не только юристов, а всей организации. 4. Размер бизнеса не оправдание Даже маленькие компании должны иметь хотя бы базовую комплаенс-программу. Но она должна быть соразмерна рискам и ресурсам: не обязательно отдельный compliance officer — можно назначить ответственное лицо внутри компании. 5. Что должно быть в системе комплаенса Рекомендуются: кодекс поведения; антикоррупционная политика; due diligence контрагентов; обучение сотрудников; процедуры расследования нарушений; каналы сообщений о нарушениях; контроль и регулярный мониторинг. 6. Контрактные комплаенс-оговорки Документ предлагает примеры условий для договоров: антикоррупционные положения; обязательства по защите персональных данных; требования к трудовым стандартам; право аудита поставщиков и подрядчиков. Это особенно важно в цепочках поставок и международных контрактах. 7. Комплаенс как инвестиция, а не расходы Одна из главных идей документа: комплаенс — это не cost center, а business enabler. Хорошая система: помогает выигрывать тендеры; повышает шанс привлечения инвестиций; снижает вероятность штрафов и расследований; улучшает ESG-рейтинг и репутацию. 8. Риски отсутствия комплаенса Приводятся примеры многомиллиардных штрафов по антикоррупционным законам (например, FCPA США), которые применяются даже к иностранным компаниям. Игнорирование комплаенса может привести к: штрафам, исключению из финансируемых проектов, blacklist международных банков и организаций, репутационным потерям. Суть документа в одном предложении Для МСП комплаенс — это базовая система управления рисками и доверием, которую нужно строить не “для галочки”, а как часть устойчивого бизнеса. Для вашей практики (консалтинг/риск-менеджмент) этот документ можно использовать как framework для построения минимальной compliance system для SME — особенно как чек-лист: политики → роли → обучение → due diligence → мониторинг → реагирование.

#внутреннийаудит 🔥Краткое содержание документа (книги «The Operational Auditing Handbook»): ⬆️ Это практическое руководство по операционному аудиту бизнеса и ИТ-процессов. 📓Книга объясняет, как внутренний аудит помогает компаниям повышать эффективность, управлять рисками и улучшать управление. 🎯Основные идеи: Операционный аудит — это не только проверка финансов, а комплексная оценка: эффективности (достижение целей), эффективности процессов (использование ресурсов), экономичности (затраты). ✔️Аудит должен быть ориентирован на бизнес-процессы, а не только на отдельные функции или подразделения. ✔️Важна связь трёх элементов: управление (governance), управление рисками (risk management), внутренний контроль (internal control). ⁉️Что рассматривается в книге: ✔️Основы операционного аудита подходы, цели, область применения; роль внутреннего аудита в компании; концепция «3E» (эффективность, результативность, экономичность). ✔️Бизнес-процессы и аудит как выявлять и анализировать процессы; формирование «audit universe» (области аудита); причины слабых процессов и контрольных проблем. ✔️Управление, риски и контроль модели (например, COSO); инструменты: матрицы рисков, реестры рисков; оценка контрольной среды и комплаенса (включая SOX). ✔️Методы и инструменты самооценка контроля (CSA); benchmarking (сравнение с лучшими практиками); value-for-money аудит (оценка «цены-качества»). ✔️Аудит ключевых функций бизнеса финансы и бухгалтерия; закупки и контракты; производство и операции; маркетинг и продажи; HR, логистика, безопасность, экология и др. ✔️Аудит информационных технологий ИТ-стратегия и управление; безопасность данных; системы, сети, ПО; управление изменениями, резервное копирование и др. ‼️Главный вывод: Книга учит, что внутренний аудит должен: быть ориентирован на цели бизнеса, оценивать не только контроль, но и эффективность процессов, добавлять ценность, помогая улучшать операции и снижать риски.

Глобальные тенденции корпоративного управления на 2026 год⤵️ https://www.russellreynolds.com/en/insights/reports-surveys/global-corporate-governance-trends/2026

⬆️ Документ “From Guidance to Action: Exploring Practical Enterprise Risk Management” (COSO, 2026) — это практическое руководство по тому, как внедрять и использовать управление рисками на уровне компании (ERM) так, чтобы оно реально влияло на решения бизнеса, а не было формальной отчетностью. 📌 Основная идея документа Документ объясняет, как превратить ERM: из формального процесса (отчёты, heat map, списки рисков) в инструмент для принятия решений и управления стратегией Ключевой тезис: 👉 Риск-менеджмент должен помогать принимать решения, а не просто фиксировать риски. 📄 ERM: от методологии к реальным решениям (сжатое содержание документа COSO) 1. Зачем нужен этот документ Документ показывает, что классический подход к управлению рисками (ERM): перегружен отчетами слабо влияет на решения часто воспринимается как комплаенс 👉 Цель — сделать ERM инструментом управления бизнесом, а не отчетности. 2. Главная проблема ERM сегодня Во многих компаниях: есть реестры рисков, heat maps, RCSA но они не помогают принимать решения Типичные симптомы: информация приходит слишком поздно риски описаны абстрактно нет связи со стратегией нет триггеров действий 👉 Итог: ERM = «бумажная активность», а не управленческий инструмент. 3. Ключевая идея документа 👉 Риск = часть стратегии, а не отдельная функция Каждое стратегическое решение: содержит риски требует осознанных допущений должно иметь условия пересмотра 4. Как выглядит эффективный ERM ❌ Неэффективный ERM: списки рисков оценка «вероятность × влияние» отчеты ради отчетов реакция постфактум ✅ Эффективный ERM: встроен в принятие решений работает через: сценарии диапазоны (а не точные цифры) триггеры действий фокус на вопросах: что изменилось? что важно сейчас? что делать? 5. Как ERM создает ценность ERM работает в двух направлениях: 🛡 Защита (protection) снижение убытков предотвращение сбоев защита репутации 🚀 Создание ценности (creation) выбор лучших стратегий более быстрые решения ранние корректировки выявление возможностей 👉 Ключ: ERM должен улучшать решения, а не только снижать риски. 6. Практическая модель работы Эффективный ERM = «операционная система», состоящая из: 1. Точек принятия решений ERM должен быть: в инвестиционных решениях в стратегии в трансформациях 2. Регулярного ритма синхронизация с бизнес-процессами (не отдельный календарь) 3. Триггеров заранее определенные условия: когда пересматривать решение когда эскалировать 4. Четкой ответственности риск = ответственность бизнеса, не только risk-функции 7. Новый подход к оценке рисков Вместо: баллов и heat map Используется: сценарии (лучший / базовый / худший) диапазоны результатов ключевые допущения триггеры пересмотра 👉 Важно не «оценить риск», а понять, когда менять решение. 8. Risk Appetite (аппетит к риску) Проблема: часто это формальный документ Решение: 👉 превратить его в: конкретные границы измеримые пороги понятные действия 3 ключевых вопроса: Что мы готовы принять? Как поймем, что граница близко? Что сделаем при превышении? 9. Отчетность для руководства и совета Плохая отчетность: много данных мало смысла Хорошая отчетность: кратко фокус на изменениях четкий запрос к руководству Структура: что изменилось что важно что делаем что нужно от совета 10. Минимальная модель (если ресурсов мало) Даже с ограниченными ресурсами ERM может работать: Каждую неделю: Определить, что изменилось Сформулировать 1–2 ключевых решения Определить триггеры Назначить ответственных 👉 Главное — не объем, а качество сигналов. 11. 10 ключевых принципов (очень кратко) Связывать стратегию и риски Фокус на создании ценности Делать риск-аппетит практичным Смотреть на риски портфельно Приоритет — решения, не документы Измерять результат, не активность Управление = поведение, не процессы Встраивать ERM в бизнес Развивать открытость Постоянно учиться 🧠 Итог 👉 ERM эффективен, когда: помогает принимать решения ускоряет реакцию на изменения делает неопределенность управляемой 👉 ERM бесполезен, когда: это отчеты без действий формальные оценки без влияния

#управлениерисками 📘 Humanitarian Security Risk Management⬆️ Краткое содержание (executive summary) 1. 🎯 Назначение документа Руководство описывает, как гуманитарным организациям управлять рисками безопасности при работе в нестабильных и опасных условиях (конфликты, кризисы, бедствия). Ключевая идея: управление рисками — это не цель, а инструмент для обеспечения помощи людям. 2. ⚠️ Что такое риск и как им управлять Базовые понятия: Угроза (threat) — источник потенциального вреда Уязвимость (vulnerability) — степень подверженности угрозе Риск (risk) = угроза × уязвимость Остаточный риск — риск, который остается после всех мер Управление рисками включает: Выявление угроз Оценку вероятности и последствий Принятие мер по снижению риска Основные стратегии: устранение угрозы снижение вероятности снижение последствий 3. ⚖️ Баланс: миссия vs безопасность Организация всегда балансирует между: выполнением гуманитарной миссии защитой сотрудников 👉 Чем важнее программа (например, спасение жизней), тем больший риск допустим. Вводятся ключевые понятия: risk appetite — допустимый уровень риска risk threshold — граница, за которую нельзя выходить 4. 🛡 Duty of Care (обязанность заботы) Организация обязана: оценивать риски информировать сотрудников обучать и готовить их предотвращать инциденты реагировать на кризисы обеспечивать поддержку после инцидентов ❗ Невыполнение может привести к: юридической ответственности гибели или травмам сотрудников 5. 👤 Человеко-центричный подход Новая ключевая концепция документа: 👉 Риски зависят не только от места, но и от личности человека Факторы риска: национальность, раса пол и гендер религия здоровье и инвалидность социальный статус 📌 Один и тот же контекст может быть: безопасным для одних опасным для других ➡️ Вывод: безопасность должна быть индивидуализирована 6. 🌍 Контекст и экосистема Управление безопасностью происходит не изолированно, а в системе: внутри организации между гуманитарными агентствами во взаимодействии с государствами, армией, местными сообществами 📌 Важна координация и партнерство. 7. 🧠 Культура безопасности Эффективность зависит не только от процедур, но и от культуры: Признаки сильной культуры: сотрудники осознают риски безопасность обсуждается открыто инциденты не скрываются ответственность распределена 📌 Без культуры даже лучшие политики не работают. 8. 📡 Новые риски (современные тренды) Документ выделяет новые угрозы: дезинформация и пропаганда киберугрозы и слежка утечка данных цифровые атаки ➡️ Безопасность теперь включает цифровую сферу, а не только физическую. 9. 🧩 Практическая система управления Организация должна выстроить систему, включающую: политики и процедуры оценку рисков планы безопасности обучение персонала кризис-менеджмент коммуникации ресурсы и финансирование 10. ⚠️ Ключевые выводы Риск неизбежен — его нельзя устранить полностью Безопасность — это процесс, а не набор правил Люди — центр системы, а не только процедуры Баланс риска и миссии — ключевое управленческое решение Культура и лидерство критичны для успеха Риски становятся сложнее (особенно цифровые) 📌 Итог Документ — это не инструкция “что делать”, а система мышления: 👉 как принимать решения в условиях неопределенности и опасности, не теряя способность выполнять миссию

Вчера провели вебинар по AI для финансовых аналитиков и CFO — без хайпа, только о том, что реально работает в бизнесе. Если вы были в эфире — напишите, что оказалось самым полезным и что уже готовы внедрять 👇 💡 Что разобрали: ✔️ где AI действительно даёт экономический эффект в финансах, а где — просто «игрушка» ✔️ какие задачи уже сейчас можно автоматизировать: от отчётности до анализа ✔️ как перейти от Excel и ручных моделей к ускоренной аналитике и прогнозированию ✔️ как меняется роль финансового аналитика и CFO — от расчётов к влиянию на решения 📨 Всем участникам уже отправили письмо с записью вебинара. ⚠️ Если не получили — напишите на support@hocktraining.com ⚡️ Для тех, кто пропустил: запись доступна по ссылке после регистрации. Приятного просмотра и сильных решений!

#управлениерисками ⤵️ Документ Environmental and Social Risk Management Framework описывает, как банк Standard Chartered управляет экологическими и социальными рисками (E&S risks) при работе с клиентами и финансировании проектов. Основная суть документа: Цель документа Банк устанавливает систему, которая помогает выявлять, оценивать и контролировать риски, связанные с: воздействием клиентов на окружающую среду, нарушением прав человека, социальными последствиями проектов, климатическими рисками, репутационными рисками банка. Какие риски оцениваются Рассматриваются: Environmental risk — возможный ущерб природе, Social risk — вред людям, сообществам, трудовым правам и правам человека. Как проходит оценка клиентов Для клиентов и сделок применяется процедура ESRA (Environmental and Social Risk Assessment): менеджер оценивает клиента, присваивается рейтинг: Compliant — соответствует требованиям, Near Compliant — есть небольшие отклонения, Non-Compliant — не соответствует требованиям. Для каких отраслей контроль усилен Особое внимание уделяется отраслям с повышенными E&S-рисками: добыча полезных ископаемых, угольная энергетика, инфраструктура, агробизнес, химическая промышленность. Что происходит при несоответствии Если клиент не соответствует требованиям: проводится дополнительная проверка, клиенту дают план корректирующих действий, если нарушения не устранены — банк может прекратить сотрудничество. Контроль и мониторинг Проверки клиентов проводятся регулярно: ежегодное обновление оценки, мониторинг негативных событий, контроль высокорисковых проектов через внешних консультантов. Если кратко: Это внутренний регламент банка, который определяет процедуры оценки экологических и социальных рисков клиентов и проектов, чтобы банк не финансировал деятельность, наносящую вред окружающей среде, обществу или репутации банка.