ProfDirector

МОДУЛЬ 2. УПРАВЛЕНИЕ ПРИБЫЛЬНОСТЬЮ Тема 4. Отличие управленческого учёта от бухгалтерского. Цели классификации издержек

#рискменеджмент #ERM #внутреннийаудит #устойчивость #ИИ Риск-менеджмент 2035: от контроля рисков к интерпретации неопределенности Всемирный экономический форум выпустил белую книгу «Risk Management, Reimagined: Outlook to 2035». В ее основе опрос сообщества директоров по рискам (CRO) и интервью с риск-лидерами UBS, Nestlé, Novartis, SAP, Volkswagen, Takeda, ВТО и Йоханнесбургской биржи. О чем документ Классическое ERM сложилось в эпоху относительной стабильности. Оно опирается на исторические данные, реестры рисков и ежегодные оценки. Сегодня неопределенность стала постоянной, риски связаны между собой и развиваются за часы, а не за месяцы. Авторы разбирают, как в таких условиях меняются функция риск-менеджмента и роль CRO. Цифры ▪️ 80% CRO считают, что к 2035 году управлять рисками станет сложнее. ▪️ Только 10% говорят, что их организация хорошо готова к рискам, которые нельзя смоделировать по историческим данным. ▪️ Больше 70% относят к главным ограничениям текущих подходов опору на исторические модели и неумение управлять взаимосвязанными рисками. Четыре ключевых сдвига 1️⃣ От прогнозирования к готовности. Все кризисы предсказать нельзя, но можно выстроить процессы, роли и механизмы решений, как в авиации. 2️⃣ От комплаенса к стратегии. CRO участвует в стратегических решениях с самого начала, а не проверяет их постфактум. 3️⃣ От периодических оценок к непрерывному мониторингу: вместо «pull», то есть оценки по запросу, модель «push», когда система сама вовремя поднимает сигналы о новых рисках. 4️⃣ ИИ дополняет человека, но не заменяет его. Мониторинг, поиск аномалий и моделирование берет на себя ИИ. Интерпретация, суждение и ответственность остаются за людьми. Идеи, которые стоит взять в работу ▪️ Аудит допущений (практика Novartis): кроме вопроса «какие у нас риски?», задавать вопрос «что должно оставаться верным, чтобы стратегия сработала?». ▪️ Цифровые двойники рисков: вместо трех-четырех сценариев проверять тысячи комбинаций событий и смотреть, как сбой распространяется по цепочке. ▪️ Региональная специфика: у каждого региона свой профиль рисков и свои регуляторные различия. ▪️ Автоматизация не исправляет плохие процессы, она просто ускоряет их работу (SAP). Чем и кому полезен ▪️ Риск-менеджерам и CRO: ориентир для пересмотра ERM и набор компетенций CRO-2035 (синтез аналитики, сценарное мышление, коммуникация, лидерство в устойчивости, управление ИИ). ▪️ Внутренним аудиторам: критерии для оценки зрелости ERM. Документ хорошо сочетается с новым Тематическим требованием IIA по организационной устойчивости. ▪️ Членам советов директоров и топ-менеджерам: что требовать от функции рисков сверх отчетов. ▪️ Специалистам по комплаенсу и GRC: почему риск-менеджмент перестает быть «продолжением комплаенса». Главный вывод авторов: в 2035 году выиграют не те, кто лучше всех предсказывает будущее, а те, кто лучше подготовлен к тому, чтобы в нем действовать. 🔗 Оригинал: weforum.org, «Risk Management, Reimagined: Outlook to 2035»

«Способна ли организация предвидеть угрозу, выдержать disruption, продолжить критические операции, восстановиться и изменить свои процессы с учётом полученного опыта?»

Кому особенно полезен документ? 📌 Советам директоров и комитетам по аудиту — для понимания того, насколько устойчивость действительно встроена в систему управления. 📌 CRO / Risk Management — для построения risk-based подхода к resilience. 📌 CISO / IT / BCM — для оценки IT-, cyber-, continuity- и recovery-компонентов. 📌 Internal Audit — документ фактически даёт структурированный minimum baseline для аудита организационной устойчивости. 📌 Compliance и Internal Control — для сопоставления существующих контрольных процедур с требованиями IIA. 📌 Руководителям банков и других организаций с критическими процессами — поскольку документ заставляет смотреть на устойчивость не как на отдельный проект, а как на характеристику всей организации. Что это означает для внутреннего аудита? Topical Requirements являются обязательными для assurance engagements и должны применяться вместе с Global Internal Audit Standards. Если отдельное требование не применяется или заменено регуляторными/договорными требованиями либо другими процедурами, обоснование этого должно быть документировано. Соответствие требованиям также оценивается в рамках quality assessments. По сути, IIA предлагает внутреннему аудиту новый чек-поинт: не просто проверить наличие контролей, а оценить способность организации продолжать деятельность в условиях серьёзных изменений и нарушений. Для банков это особенно интересно: resilience напрямую связывает risk management, IT, cyber, third-party risk, business continuity, governance, data и внутренний контроль в единую систему.

IIA выпустил новый Topical Requirement по Organizational Resilience — организационной устойчивости В апреле 2026 года The Institute of Internal Auditors (IIA) опубликовал Organizational Resilience Topical Requirement — документ, который задаёт минимальный базовый уровень требований для внутреннего аудита при оценке устойчивости организации. О чём этот документ? Организационная устойчивость — это способность организации поглощать изменения, адаптироваться к ним и продолжать выполнять свои ключевые функции. И речь идёт уже не только о Business Continuity и Disaster Recovery. IIA рассматривает resilience гораздо шире — через: • стратегию и корпоративное управление; • управление рисками; • технологии и киберриски; • критические данные и IT-активы; • персонал и компетенции; • критических поставщиков и третьих лиц; • финансовые ресурсы; • кризисное управление; • коммуникации и эскалацию; • способность организации учиться на произошедших инцидентах. Что должен оценивать внутренний аудит? IIA выделяет три блока: 1️⃣ Governance — корпоративное управление Есть ли формальная стратегия устойчивости? Утверждена ли она руководством и контролируется ли советом директоров? Предусмотрены ли процедуры принятия решений во время кризиса, порядок эскалации и распределение ответственности? Есть ли необходимые компетенции и ресурсы для обеспечения устойчивости? Отдельно подчёркивается необходимость вовлечения не только менеджмента, но и IT, Risk Management, Procurement, HR, Finance, Legal, Compliance, Internal Audit, критических поставщиков, клиентов и регуляторов. 2️⃣ Risk Management — управление рисками Риски устойчивости должны: • регулярно идентифицироваться и оцениваться; • быть связаны со стратегическими целями; • иметь конкретных владельцев; • постоянно мониториться; • своевременно эскалироваться при достижении неприемлемого уровня. Кроме того, организация должна тестировать способность реагировать на кризисы и восстанавливаться после них, включая scenario analysis и stress testing. 3️⃣ Control Processes — контрольные процессы Здесь документ становится особенно практичным. Внутреннему аудиту необходимо оценивать, например: 🔹 критических поставщиков и наличие альтернатив; 🔹 минимальные запасы для поддержания деятельности; 🔹 критические данные, места их хранения, права доступа и возможность восстановления; 🔹 кибербезопасность и непрерывный мониторинг угроз; 🔹 перечень критических IT-активов; 🔹 Business Continuity и Disaster Recovery Plans; 🔹 регулярное тестирование планов; 🔹 обучение персонала действиям в кризисных ситуациях; 🔹 наличие необходимых человеческих, технологических и финансовых ресурсов; 🔹 post-incident review и lessons learned. Самая важная мысль Resilience — это не просто наличие Business Continuity Plan. Организация может иметь формально разработанный BCP и одновременно оставаться уязвимой. IIA предлагает смотреть на устойчивость как на сквозную систему, объединяющую governance, risk management и controls. То есть вопрос внутреннего аудита должен звучать не только:

«Есть ли у нас план действий при аварии?»

а значительно шире:

ДАТА: 24 сентября 2026 г. ВРЕМЯ: 11:00 MSK ГДЕ: Онлайн (платформа Zoom) АУДИТОРИЯ: Члены СД, директора C-Level, собственники и акционеры, корпоративные секретари и все, кто хочет начать работать с ИИ лично, а не только слушать отчеты менеджмента У директора есть подчиненные, и на первый взгляд отдавать ИИ нечего: все поручения уже делегированы вниз. Но есть работа, которую делегировать нельзя, потому что она и есть результат делегирования: третий круг правок, вычитка подготовленного, подготовка к встрече по чужим материалам, письма, которые ждут именно вашего ответа. Именно здесь начинается работа личного ИИ-ассистента, и именно об этом вебинар. Разберемся в понятиях без инженерии: чем чат-бот отличается от ассистента, ассистент от агента, и почему для почты и календаря директору сегодня нужен именно ассистент, а не агент. Покажем на слайдах, как это выглядит в рабочем дне: сводка входящих, черновик ответа в вашем стиле, справка к встрече, итог после нее. Гость вебинара – директор, у которого ассистент в почте и календаре уже работает: что отдал, что оставил себе, где ошибся. Главное, с чем уйдете: метод из трех шагов, как выбрать задачи для ассистента, и три пути его завести – от встроенного в корпоративную почту до собственного контура. Программа ✔️5 ступеней работы с ИИ за 6 лет и на какой из них мы сегодня. Почему учиться писать промпты уже поздно, а передавать контекст ИИ – самое время ✔️Диктовка: как ставить задачу голосом и почему это первая нейронка, которая приносит пользу в день установки ✔️Ассистент, агент, чат-бот: одно отличие, которое важно директору Метод 3 шагов и 5 вопросов: как выбрать свои задачи для ИИ-ассистента? ✔️2 кейса: почта и календарь. Что делает ассистент, что остается за вами и где данные? ✔️Живой опыт: директор + ИИ-ассистента ✔️3 пути завести ИИ-ассистента и 1 правило про чувствительные данные Ведущий Илья Ивахин, независимый директор, модератор ИИ-мероприятий Д.ПРО. Следите за новостями в канале «ИИ для Директоров»!

🔗 Для регистрации

📌 Risk in Focus 2026/27 — что меняется в повестке внутреннего аудита? Опубликован новый отчет ⬆️The Institute of Internal Auditors (IIA) Risk in Focus 2026/27 — исследование ключевых рисков, с которыми сталкиваются организации в Европе, и того, насколько внутренний аудит соответствует этим рискам. Главный вывод: риски развиваются быстрее, чем традиционные системы управления, оценки рисков и годового планирования внутреннего аудита. Поэтому аудиторам необходимо переходить к более динамическому, риск-ориентированному и перспективному подходу. 🔹 Ключевые риски 2026/27: Кибербезопасность и защита данных — 86% респондентов отнесли к топ-5 рисков. Цифровая трансформация, новые технологии и ИИ — 52%. Макроэкономическая и геополитическая неопределенность — 51%. Законодательство и регулирование. Человеческий капитал, таланты и удержание сотрудников — 39%. 🤖 Особое внимание — ИИ. ИИ уже становится не просто технологическим, а управленческим и корпоративным риском: меняются процессы, роли сотрудников, требования к контролям, доступу к данным и ответственности за решения. При этом зрелость управления рисками ИИ пока отстает от скорости его внедрения. 📊 Что это означает для внутреннего аудита? Годовой план аудита может быстро устаревать. IIA рекомендует чаще пересматривать риск-профиль, использовать сценарное планирование, работать совместно с менеджментом и другими линиями защиты и обеспечивать достаточное покрытие новых и взаимосвязанных рисков. Кому будет полезен отчет: • руководителям внутреннего аудита и главным аудиторам; • советам директоров и комитетам по аудиту; • руководителям по управлению рисками и комплаенсу; • специалистам по внутреннему контролю и корпоративному управлению; • тем, кто формирует риск-ориентированный план внутреннего аудита на 2026–2027 годы. Главная практическая идея отчета: внутренний аудит должен не только оценивать то, что уже произошло, но и помогать организации заранее видеть возникающие риски и готовиться к ним.

Тема 2. Содержание и сущность Баланса, Отчёта о доходах и расходах (P&L), Отчёта о движении денежных средств (Cash Flow)

Требование по аудиту отношений с третьими сторонами вступило в силу The Institute of Internal Auditors опубликовал своё второе тематическое требование — «Третьи стороны» (Third-Party). Теперь оно официально вступило в силу. ‼️Организации всё чаще передают третьим сторонам критически важные услуги, которые ранее выполнялись собственными силами. Такие отношения могут создавать риски, которые становятся очевидными только тогда, когда поставщик не справляется со своими обязательствами, система контроля даёт сбой или методы ведения бизнеса перестают соответствовать ожиданиям организации. 🎯Новое требование предоставляет внутренним аудиторам единый риск-ориентированный подход к оценке: ✔️как организовано управление отношениями с третьими сторонами; ✔️каким образом управляются связанные с ними риски; ✔️в каких областях необходимо усилить внутренние контрольные механизмы. 🛠Многие руководители подразделений внутреннего аудита уже включают это требование в свои планы аудиторских проверок. Те, кто начал подготовку заранее, как правило, смогли пройти переходный период более плавно. 🤔Если ваша функция внутреннего аудита ещё не оценила влияние нового требования на текущие и предстоящие аудиторские задания, сейчас самое время это сделать.

#внутреннийаудит🔍 Как правильно проводить аудит AI-системы? Документ «Аудит полной системы с использованием искусственного интеллекта» предлагает практический подход к проверке не только самой модели искусственного интеллекта, но всей системы целиком — от первоначальных требований до фактического результата её работы. Это важный момент: современная AI-система — это не только модель. В неё входят данные, программный код, настройки, интерфейсы, внешние инструменты, права доступа, бизнес-процессы и люди, которые используют результаты системы. Что именно предлагается проверять? Аудит рассматривает всю цепочку: требования → программный код → конфигурация → тестирование → рабочая среда → фактические результаты и последствия То есть проверяется не только вопрос:

«Правильно ли работает модель?»

но и:

«Что происходит со всей системой, когда она реально используется?»

🤖 Особое внимание — системам с автономными действиями Документ отдельно рассматривает системы, которые могут самостоятельно: принимать решения; выбирать последовательность действий; обращаться к внешним инструментам и программам; получать и изменять данные; выполнять операции от имени пользователя; взаимодействовать с другими системами. Для таких систем особенно важно определить допустимые границы работы — то есть условия, сценарии и действия, в пределах которых система должна функционировать. Также анализируется путь выполнения — последовательность действий системы от получения исходного запроса до конечного результата. Что проверяет аудитор? В частности: 🔹 какие задачи разрешено выполнять системе; 🔹 какие данные она может получать и использовать; 🔹 какие действия она может выполнять самостоятельно; 🔹 какими инструментами и системами она может пользоваться; 🔹 какие у неё права доступа; 🔹 где установлены ограничения; 🔹 что происходит при ошибке или нестандартном запросе; 🔹 можно ли восстановить последовательность действий системы; 🔹 кто отвечает за принимаемые системой решения; 🔹 соответствует ли фактический результат первоначально установленным требованиям. 📊 Важное различие Документ предлагает не смешивать три разных понятия: Зрелость внедрения — насколько система действительно интегрирована в бизнес-процессы. Зрелость системы контроля — насколько эффективно выявляются и контролируются связанные с ней риски. Подверженность рискам автономных систем — насколько система способна самостоятельно выполнять действия, которые могут создавать новые риски. Это важно, потому что хорошо внедрённая AI-система не обязательно имеет столь же зрелую систему контроля. 📋 Практический результат Документ предлагает 20-шаговую программу аудита, которая позволяет последовательно проверить AI-систему — от её целей и требований до реального поведения и последствий использования. По сути, это переход: от аудита отдельной AI-модели → к аудиту всей AI-системы. 👥 Кому документ будет полезен? Прежде всего: внутреннему аудиту; подразделениям управления рисками; подразделениям обеспечения соответствия требованиям; ИТ и информационной безопасности; владельцам бизнес-процессов; руководителям, отвечающим за внедрение AI; совету директоров и руководству компании. Особенно полезен такой подход компаниям, где искусственный интеллект уже не просто анализирует информацию, а получает доступ к данным, инструментам и бизнес-процессам и может самостоятельно выполнять действия. Главная идея документа Аудировать нужно не только искусственный интеллект. Нужно аудировать всю систему, в которой он работает. Потому что риск может находиться не в самой модели, а в её настройках, данных, правах доступа, интеграциях, человеческом контроле или в том, что система фактически делает после получения запроса.

#корпоративноеуправление #внутреннийаудит

финансы Последнее время, поступает достаточно много запросов о подготовке кадрового резерва в части финансов. Попробую рассказать доступным языком о финансах для не финансистов. Курс статей включает 6 модулей и 18 тем. Теоретическая часть по каждой теме дополнена практическими примерами и разобранными задачами — в основном из материалов курса «Финансовый менеджмент».