Registrul riscurilor

REGISTRUL RISCURILOR

Managementul riscurilor are menirea de a defini, identifica si evalua a riscurile in ceea ce priveste impactul si probabilitatea de materializare si ulterior de stabilire a unor modalitati adecvate de administrare a riscurilor semnificative.

O modalitate de gestionare a riscului o reprezinta Registrul riscurilor care se organizeaza la nivelul entitatii si in responsabilitatea managementului general.

Registrul riscurilor se ataseaza procesului de management al riscului pentru a inregistra etapele de mai sus si pentru a elabora un plan de actiune in vederea monitorizarii riscurilor.

In cadrul procesului de implementare a sistemului de control managerial[1], UCASMFC a dezvoltat cadrul procedural pentru Standardul nr. 11 - Managementul riscurilor, care contine in anexa modelul Registrului riscurilor, pe care il prezentam, in figura 2.2 - Registrul riscurilor.

Mentionam ca, in Romania acest model al Registrului de riscuri este obligatoriu pentru entitatile din sectorul public.

Responsabilitatea elaborarii registrului riscurilor revine fiecarui nivel al managementului de linie. Din aceste motive, fiecare manager trebuie sa elaboreze, pentru compartimentul pe care il coordoneaza, propriul registru de riscuri, iar prin centralizarea acestora, se obtine Registrul riscurilor la nivel general al entitatii. Conducatorul entitatii trebuie sa stabileasca un responsabil cu elaborarea Registrului riscurilor entitatii si caruia ii revine si responsabilitatea actualizarii sistematice a acestuia, cel mai tarziu anual.

In practica, Registrul riscurilor general al organizatiei se constituie din agregarea registrelor de riscuri de la structurile din subordine sau de la nivel local, atunci cand organizatia are structuri teritoriale.

Registrul riscurilor este structurat pe obiective si/sau compartimente la care se ataseaza riscurile si responsabilul cu aceste riscuri. Riscurile acestea reprezinta riscurile inerente la care se evalueaza expunerea la risc, prin realizarea produsului dintre probabilitate si impact.

Pentru stapanirea riscurilor, proprietarul/responsabilul riscurilor trebuie sa adopte o strategie de control, respectiv tolerarea, tratarea, transferarea sau incetarea activitatilor. Desigur, cel mai frecvent se adopta strategia de tratare a riscurilor prin instalarea unui instrument de control intern, care este revizuit periodic pentru a evalua capacitatea acestuia de mentinere a riscului in anumite limite.

In urma evaluarii periodice a modului de functionare a controlului intern, rezulta un risc mai mic decat riscul inerent si anume riscul rezidual, respectiv riscul care ramane in urma aplicarii controlului intern. In continuare se impune o analiza pentru a observa eventualele riscuri secundare, care pot sa apara.

Activitatea de actualizare a Registrului riscurilor la nivelul entitatii se realizeaza cu scopul de a se adopta schimbarile privind obiectivele, riscurile si activitatile de control intern sau extern, toate, la randul lor, avand loc datorita evolutiei mediului in care opereaza organizatia.

In practica, adesea oamenii confunda riscurile cu efectul riscurilor (pierderi, sanctiuni s.a.) sau cu un nivel scazut al bunurilor, insa auditorul intern trebuie sa ajute la intelegerea corecta si cuprinzatoare a acestui concept.

Consiliul de administratie se va asigura de implementarea managementului riscului in organizatie, astfel incat sa se incadreze in strategia corporativa. Aparitia unor riscuri de netolerat presupune un nivel corporativ scazut, care trebuie analizat pentru luarea acelor masuri de reincadrare in strategia corporativa.

Multi consultanti de risc sugereaza consiliului de administratie sa adopte primele 10 - 15 riscuri semnificative, specifice strategiei corporative, si sa le aduca la cunostinta managementului de linie, care ulterior vor completa aceasta lista cu riscurile specifice propriei activitati si pe care le vor evalua si monitoriza permanent.

In continuare, prezentam o schema de stabilire a riscurilor semnificative intr-o organizatie de catre consiliul de administratie, asa cum rezulta din figura 20 - Modalitatea de stabilire a riscurilor de catre managementul general.

In lipsa acestei strategii vor exista intotdeauna probleme in ce priveste confuzia dintre conceptul de responsabilitate si conceptul de invinovatire. De aceea, consiliul de administratie trebuie sa selecteze primele 10 - 15 riscuri din organizatie, care vor reprezenta baza pentru clasificarea riscurilor in intreaga organizatie si care se va dezvolta in continuare in registrele de riscuri la nivelurile executivului, care prin agregare si pe baza mesajelor top-down vor contribui la constituirea Registrului riscului la nivelul organizatiei.

Organizatia va mentine un registru al celor mai importante riscuri care pot afecta abilitatea noastra de a ne indeplini obiectivele si masurile de control in functiune pentru a le contracara. Riscurile nou identificate in urma procesului decizional ar trebui evidentiate pentru a fi incluse in registru. Responsabilii cu managementul riscurilor si managerii de linie trebuie sa urmareasca adecvarea si oportunitatea inregistrarilor din Registrul riscurilor si ori de cate ori circumstantele se schimba, dar nu mai putin de o data pe an si sa asigure ca acesta este actualizat, ca parte a procesului de administrare a riscurilor.

De multe ori Registrul riscurilor este rezultatul unei discutii dintre echipele constituite in cadrul atelierelor de lucru si responsabilii de riscuri in cadrul planului de control al autoevaluarii riscurilor (CRSA), iar la baza acestora stau recomandarile auditorilor interni sau ale unor consultanti externi.

REGISTRU DE RISC STRUCTURAT PE OBIECTIVELE ENTITATII

Figura 2.2. Registrul riscurilor

Figura 2.3. Modalitatea de stabilire a riscurilor de catre managementul general

In acest sens, echipele se intalnesc anual cu managementul de linie, discuta pe problematica riscurilor si a modului de administrare a acestora, iar rezultatul se concretizeaza in completarea unui Registru de riscuri.

Sistemele de control eficiente pentru evaluarea impactului si probabilitatii riscurilor-cheie, specificate de managementul de linie in Registrul riscurilor, la cererea consiliului de administratie contribuie la informarea cu privire la activitatile intreprinse pentru administrarea expunerilor la riscuri. La randul sau, consiliul de administratie, ulterior, verifica si modul de functionare a sistemului de control intern in procesul managementului riscului, care se confrunta si el cu anumite limite.

Pentru atenuarea eventualelor disfunctiuni ale sistemului de management al riscurilor, prezentat mai sus, acesta poate fi testat, prin diferite sondaje si interviuri, pentru completarea informatiilor si pentru asigurarea obiectivitatii acestora.

In continuare, oferim exemple de riscuri[3], respectiv o lista structurata pe mai multe domenii a celor mai des intalnite riscuri, care poate fi folosita ca o referinta incrucisata pentru elaborarea registrelor de riscuri din dorinta de a ne asigura ca omiterea unor eventuale categorii de riscuri este minimala si care se prezinta in tabelul din figura 2.4 - Lista de verificare a riscurilor.

Figura 2.4. Lista de verificare a riscurilor

In lume exista mai multe standarde privind managementul riscului dar Standardul de Risc al Australiei si Noii Zeelande nr. 4360/2004[4] este singurul acceptat si recunoscut.

Actualul standard a fost conceput in 2005 avand doua revizuiri respectiv in 1999 si 2004 si este recunoscut  pretutindeni ca fiind cadrul general pe care se sprijina managementul modern al riscului.

Standardul a fost elaborat pe baza Indrumarilor cadrului de control COSO,  publicate in 1992 si, revizuite in 2002 si 2004, care a fost adoptate ca standard general pentru Guvernanta Corporativa. Mai exista un cadru de control CoCo, elaborat de canadieni, care au produs, de asemenea, indrumari primite bine de sectorul privat in domeniu.

In lume mai exista si alte standarde care au fost produse in ultimii ani. Astfel, Standardul IRM al Institutului de Management al Riscului din Marea Britanie,  emis in 2002, impreuna cu Standardul ALARM al Asociatiei Autoritatii Locale a Managerilor Riscului din Marea Britanie, care ofera indrumari folositoare si contin un excelent glosar al terminologiei privind riscurile.

Un alt standard foarte important, specific sectorului serviciilor financiare, si care constituie o referinta utila pentru organizatiile din alte sectoare, este reprezentat de Rapoartele BASEL[7], respectiv BASEL I, publicat in 2000, care realizeaza o legatura intre managementul riscurilor si costul capitalului in comunitatea serviciilor financiare si BASEL II, publicat in 2003.

Familiarizarea functiilor auditului intern cu standardele de risc relevante si evaluarea eficientei proceselor curente de identificare, diminuare si control al riscurilor-cheie au condus la o serie de declaratii emise de Institutul Auditorilor Interni, culminand cu ultima "Rolul Auditului Intern in Managementul Riscului Intreprinderii"[8].