Оценка эффективности системы управления рисками:
работает ли риск-менеджмент на цели компании
Независимая оценка системы управления рисками по ISO 31000 (ГОСТ Р ИСО 31000-2019), COSO ERM 2017 и разделу 2.9 рекомендаций Банка России. Показываем, где карта рисков живёт отдельно от решений, — и как это исправить.
Записаться на бесплатную диагностику45 минут · бесплатно · это диагностика, а не продажа
Когда нужна оценка эффективности системы управления рисками
Карта рисков есть — решений нет
Реестр обновляют раз в год для отчёта, а бюджет, инвестиции и стратегия принимаются без него. Оценка показывает, где разрыв между риск-менеджментом и управлением.
Совету нужен независимый взгляд
Банк России рекомендует проводить внешнюю оценку эффективности управления рисками и внутреннего контроля экспертом и представлять её совету отдельно от внутренней оценки.
Риск реализовался неожиданно
Если существенный убыток не был в реестре или был с низкой оценкой, это сигнал проверить методику идентификации и оценки рисков, а не только конкретный процесс.
Риск-аппетит на бумаге
Риск-аппетит утверждён, но не переведён в лимиты и KRI для подразделений. Оценка проверяет, как он доходит до операционных решений.
Оценка эффективности системы управления рисками: требования в России
Публичным обществам — по закону, остальным — как лучшая практика, на которую ориентируются инвесторы и банки.
Закон «Об АО», ст. 87.1
Публичное общество обязано организовать управление рисками и внутренний контроль; надёжность и эффективность системы оценивает внутренний аудит.
Банк России, ИН-06-28/143
Раздел 2.9: внутренняя оценка СУРиВК — с представлением совету не реже раза в год; внешняя оценка — экспертом без конфликта интересов, периодичность закрепляется в политике общества.
Кодекс корпоративного управления
Принцип 5.1.4 и п. 262: совет директоров убеждается, что система управления рисками и внутреннего контроля соответствует принципам и эффективно функционирует.
Модель зрелости
Банк России допускает определение уровня зрелости СУРиВК по итогам оценки, но рекомендует делать и вывод об эффективности: случаи невыполнения целей и превышения риск-аппетита рассматриваются в приоритетном порядке.
Источники: Федеральный закон от 26.12.1995 № 208-ФЗ, ст. 87.1 · информационное письмо Банка России от 01.10.2020 № ИН-06-28/143, раздел 2.9 · Кодекс корпоративного управления (Банк России, 2014) · ГОСТ Р ИСО 31000-2019 · COSO ERM 2017
Оценка системы управления рисками: что мы проверяем
Оцениваем по ISO 31000 и COSO ERM 2017 — с выводом, который совет директоров может использовать в решениях.
Управление и культура
Роль совета директоров и комитета, распределение ответственности владельцев рисков, отношение менеджмента к рискам.
Стратегия и риск-аппетит
Связь рисков с целями, риск-аппетит, лимиты и ключевые индикаторы риска (KRI), учёт рисков при планировании и бюджетировании.
Идентификация и оценка
Полнота реестра, методика оценки вероятности и влияния, агрегирование рисков в холдинге, сценарный анализ.
Реагирование
Мероприятия по управлению рисками: есть ли владелец, срок, бюджет и контроль выполнения; как риски связаны с контролями.
Отчётность и мониторинг
Что видит совет директоров, как часто, на каких данных; пересмотр рисков при изменениях внешней и внутренней среды.
Результат
Совпадают ли фактические отклонения от целей с тем, что было в реестре, — главный тест эффективности системы.
Как мы оцениваем зрелость
Закон «Об АО» (ст. 87.1) и Кодекс корпоративного управления (принцип 5.1.4) требуют, чтобы система не только была организована, но и эффективно функционировала. Поэтому по каждому принципу COSO ERM 2017 (20 принципов в пяти компонентах) мы смотрим два вида свидетельств: дизайн (утверждённое правило) и функционирование (протоколы, отчёты, выгрузки за последние два года).
Пять уровней зрелости
Базовый
Процедуры не описаны или существуют на бумаге; риски и контроли — реакция на события.
Развивающийся
Политики утверждены, но применяются фрагментарно, без связи с целями и бюджетом.
Устоявшийся
Система работает регулярно по всем ключевым процессам, совет получает отчётность.
Продвинутый
Риски и контроли встроены в решения, есть метрики, автоматизация и независимая оценка.
Передовой
Количественный анализ, мониторинг на данных, система сама сигнализирует об отклонениях.
Три контура оценки
Самооценка владельцев процессов и рисков
Как подразделения сами видят свои риски и контроли — и что они уже нашли и исправляют.
Самооценка служб управления рисками и внутреннего контроля
Ежегодный отчёт совету директоров о функционировании системы — по Письму Банка России № ИН-06-28/143.
Независимая оценка: внутренний аудит и внешний эксперт
Работает ли система на самом деле. Расхождение между самооценкой и независимой оценкой — уже диагноз.
Дополнительно проходим 43 вопроса Приложения 1 к Письму Банка России № ИН-06-28/143 («соблюдается / частично / не соблюдается») и сверяем ответы компании с документами.
Где сейчас рынок
Независимая оценка показывает, где ваша система относительно рынка — и что даст переход на следующий уровень.
0,40 из 1
Средний индекс зрелости управления рисками в российских нефинансовых компаниях в 2026 году (0,34 — в 2025-м).
24%
Компаний проводят внешнюю независимую оценку эффективности управления рисками; 29% не проводят никакой.
48%
Советов директоров получают регулярную отчётность о фактическом статусе показателей риск-аппетита.
63%
Компаний не связывают систему КПЭ с анализом рисков — самая слабая область, риск-культура.
Источник: ДРТ при поддержке Ассоциации «Русское общество управления рисками», «Исследование уровня зрелости риск-менеджмента в российских компаниях», 2026 (71 организация).
Как проходит оценка
Диагностика — 45 минут, бесплатно
Уточняем цель оценки, периметр (общество или группа) и ожидания совета директоров.
Документы и интервью
Политика по управлению рисками, реестр и карта рисков, риск-аппетит, отчёты совету, протоколы комитета; интервью с владельцами рисков и членами совета.
Тесты на фактах
Сверяем реестр с реальными событиями и отклонениями от целей, проверяем выполнение мероприятий и работу KRI.
Оценка и уровень зрелости
Вывод по каждому компоненту ISO 31000 / COSO ERM, сильные стороны и разрывы, уровень зрелости системы.
Заключение и дорожная карта
Отчёт для совета директоров отдельно от внутренней оценки и план развития с приоритетами, владельцами и сроками.
Срок и бюджет зависят от периметра (одно общество или группа), числа ключевых рисков и зрелости процессов. Точную смету и график даём после бесплатной диагностики. Работаем с компаниями по всей России. Написать напрямую: pviktorov@gmail.com. Оценку управления рисками удобно совместить с оценкой внутреннего контроля — Банк России рассматривает их как единую систему (СУРиВК).
Кто вправе проводить внешнюю оценку
Компетенция и опыт
Профессиональная компетенция в оценке СУРиВК, специалисты с сертификатами, недавний практический опыт у руководителя проекта — критерии из рекомендаций Банка России.
Независимость
Нет аффилированности с обществом, его подконтрольными обществами, работниками и членами совета директоров и нет заинтересованности в результатах деятельности общества.
Вместе с оценкой аудита
Если пора проводить и внешнюю оценку качества внутреннего аудита, обе оценки можно провести одним проектом с общим набором интервью.
«Эффективность управления рисками видна не по толщине реестра, а по тому, сколько решений совета директоров изменилось благодаря ему»— Павел Викторов, CIA®, CPA®, к.э.н.
Эксперт по оценке управления рисками
Павел Викторов
Директор практики внутреннего аудита, контроля и управления рисками консалтинговой группы Marillion (30+ лет, Топ-8 RAEX) — в том числе проводит Внешние оценки качества (QAR) по МСВА 2024. 18 лет на позиции директора по ВА: Coopers & Lybrand (PwC), MAZARS, ТНК-ВР, СТС Media (NASDAQ), SIMPLE Group. Реализованные проекты — более 1 млрд руб. Free Cash Flow. Со-автор Кодекса корпоративного управления РФ 2014 (инициатива ОЭСР). Участник экспертных советов при Банке России, Московской Бирже, Росимуществе. Победитель Adam Smith Russian CFO Awards «Лучший внутренний аудит года».
Частые вопросы
Что такое оценка эффективности системы управления рисками?
Это независимая проверка того, помогает ли система управления рисками достигать целей компании: полон ли реестр, работает ли риск-аппетит, выполняются ли мероприятия и видит ли совет директоров актуальную картину. Итог — вывод об эффективности, уровень зрелости и дорожная карта.
Обязательна ли оценка системы управления рисками?
Для публичных АО организация управления рисками и внутреннего контроля обязательна (ст. 87.1 закона «Об АО»), а их эффективность оценивает внутренний аудит. Внешнюю оценку экспертом рекомендует Банк России (письмо № ИН-06-28/143, раздел 2.9); периодичность общество определяет в политике по управлению рисками и внутреннему контролю.
По каким стандартам оценивают систему управления рисками?
Основные ориентиры — ISO 31000:2018 (в России — ГОСТ Р ИСО 31000-2019) и COSO Enterprise Risk Management 2017 (5 компонентов, 20 принципов). Для публичных АО — рекомендации Банка России и Кодекс корпоративного управления.
Чем внешняя оценка отличается от внутренней?
Внутреннюю оценку проводят внутренний аудит или сами подразделения в форме самооценки. Внешняя даёт совету директоров независимое мнение эксперта без конфликта интересов; Банк России рекомендует представлять её результаты отдельно от результатов внутренней оценки.
Как часто проводить внешнюю оценку?
Банк России рекомендует закрепить периодичность в политике общества. Внутренняя оценка — не реже раза в год; внешняя на практике — раз в 3–5 лет, а также после существенных изменений стратегии, структуры или реализации крупного риска.
Можно ли совместить оценку СУР и СВК?
Да, и это удобно: Банк России рассматривает управление рисками и внутренний контроль как единую систему СУРиВК. Совместная оценка экономит время интервью и даёт совету один связный вывод.
Какой уровень зрелости управления рисками в среднем по рынку?
По исследованию ДРТ и Ассоциации «Русское общество управления рисками» 2026 года (71 нефинансовая организация), средний индекс зрелости — 0,40 из 1 против 0,34 годом ранее. Внешнюю независимую оценку эффективности управления рисками проводят 24% компаний, 29% не проводят никакой оценки.
Сколько стоит оценка?
Зависит от периметра — одно общество или группа, число ключевых рисков, зрелость процессов. Смету и график даём после бесплатной 45-минутной диагностики.