Управление финансовыми рисками — это неотъемлемая часть корпоративного управления современной организацией․ На сегодняшний день существует несколько признанных международно и национально фреймворков, которые задают принципы, структуру и процесс работы с неопределенностью․ Выбор правильного стандарта (или их комбинации) определяет устойчивость бизнеса к внешним шокам и внутренним сбоям․

«Большая тройка» международных стандартов

В мировой практике доминируют три ключевых фреймворка: ISO 31000, COSO ERM и FERMA․ Каждый из них имеет свою историю, философию и сферу наилучшего применения․

ISO 31000, Универсальный международный стандарт

ISO 31000:2018 (предыдущая версия ISO 31000:2009) — это международный стандарт «Менеджмент риска․ Принципы и руководство», разработанный Техническим комитетом ISO/TC 262․

• Суть: Предлагает комплексный и систематический подход к согласованию принципов управления рисками с целями и стратегией организации․
• Объем: Лаконичен (менее 20 страниц основного текста), что делает его доступным для понимания и внедрения․
• Определение риска: «Влияние неопределенности на достижение поставленных целей»․
• Структура: Принципы (11 шт․), Рамка (Framework) и Процесс (Идентификация, Анализ, Оценка, Обработка, Мониторинг/Обзор, Коммуникация/Консультации)․
• Применение: Универсален для организаций любого размера, типа и сектора деятельности․ Является базой для национальных стандартов (в т․ч․ ГОСТ Р ИСО 31000-2019 в РФ)․

COSO ERM — Стандарт для корпоративного управления и отчетности

COSO ERM (Enterprise Risk Management) разработан Комитетом спонсорских организаций Комиссии Тредвея (Committee of Sponsoring Organizations of the Treadway Commission)․ Ключевая версия — 2004 г․, существенное обновление — 2017 г․ (COSO ERM: Integrating with Strategy and Performance)․

• Суть: Фокусируется на интеграции рисков в стратегию и отчетность․ Это не просто управление рисками, а управление предприятием с учетом рисков․
• Объем: Объемный документ (около 200 страниц), детально прописывающий компоненты внутреннего контроля и управления рисками․
• Ключевые компоненты: Управление и культура, Стратегия и целеустановка, Производительность, Обзор и пересмотр, Информация, коммуникация и отчетность․
• Обязательность: Критически важен для компаний, котирующихся на Нью-Йоркской фондовой бирже (NYSE) в соответствии с требованиями SOX (Sarbanes-Oxley Act) и правилами SEC․

FERMA — Европейский подход для практиков

Стандарт разработан Федерацией европейских ассоциаций риск-менеджеров (FERMA) в 2002 г․․

• Суть: Практико-ориентированная методология, созданная риск-менеджерами для риск-менеджеров․
• Применение: Оптимален для построения системы управления рисками для внутреннего пользования организации, не имеющей жестких регуляторных требований к отчетности по стандарту COSO․
• Особенность: Детально описывает процесс управления рисками и роль риск-менеджера в организации․

Специализированные регуляторные стандарты: Базель III

Для финансового сектора (банков) обязательным является фреймворк Базель III (Basel III), разработанный Базельским комитетом по банковскому надзору (BCBS)․

• Задает жесткие требования к капиталу, ликвидности и левериджу․
• Выделяет ключевые категории финансовых рисков: рыночный, кредитный, операционный, ликвидностный, процентный риск банковской книги․
• В современных прогностических моделях (например, при масштабировании технологических компаний с финтех-компонентом) стандарты ISO 31000 и COSO ERM часто накладываются на требования Базеля III для формирования комплексной картины․

Национальная стандартизация в РФ: ГОСТ Р ИСО 31000

В Российской Федерации международный стандарт адаптирован в виде национальных стандартов:

1. ГОСТ Р ИСО 31000-2010 — первая версия (на базе ISO 31000:2009)․
2. ГОСТ Р ИСО 31000-2019 — актуальная версия (на базе ISO 31000:2018), утвержденная 10 декабря 2019 г․․

Документ носит название «Менеджмент риска․ Принципы и руководство» и является рекомендательным (если не зафиксирован в технических регламентах или контрактах), но де-факто является обязательным языком общения риск-менеджеров с регуляторами (ЦБ РФ, Минфин) и аудиторами․

Сравнительный анализ: что выбрать?

Выбор стандарта зависит от целей организации, юрисдикции и отрасли․

Экспертное мнение: «ISO 31000 можно назвать универсальным стандартом․ Если акции компании котируются на нью-йоркской фондовой бирже, обязательно COSO ERM․ Если достаточно построить систему для внутреннего пользования — целесообразно FERMA․ Лучшая практика — использовать ISO 31000 как базовый «язык» и процесс, а COSO ERM, как архитектуру корпоративного управления»․

Архитектура внедрения: Модель «Трех линий защиты»

Независимо от выбранного стандарта (ISO или COSO), современная корпоративная практика опирается на Модель трех линий защиты (Three Lines of Defense), закрепленную в позиционных документах IIA (Institute of Internal Auditors) и используемой ЦБ РФ (например, в рекомендациях по организации риск-менеджмента в банках)․

1. Первая линия (Операционное управление): Владение рисками, ежедневное управление, контроль в процессе деятельности (фронт-офис, бэк-офис, IT)․
2. Вторая линия (Функции контроля рисков / Комплаенс): Разработка политик, методологий, мониторинг соблюдения, расчет KRI (Key Risk Indicators, ключевых индикаторов риска), установление Risk Appetite (риск-аппетита)․
3. Третья линия (Внутренний аудит): Независимая оценка эффективности первой и второй линий, аудит системы управления рисками в целом․

Классификация финансовых рисков в контексте стандартов

Стандарты не задают жесткий реестр рисков, но требуют их систематической идентификации․ На практике (включая требования Базеля III и методологии оценки в бизнесе) выделяют:

• Рыночные риски: Курсовые, процентные, акционные, товарные․
• Кредитные риски: Контрагентский, заемщика, концентрации․
• Ликвидностные риски: Невозможность выполнить обязательства без недопустимых потерь․
• Операционные риски: Сбои процессов, людей, систем, внешние события (в т;ч․ кибер-риски, репутационные)․
• Стратегические риски: Ошибки в стратегии, изменение бизнес-среды (ключевой фокус COSO ERM 2017)․

Этапы внедрения системы управления рисками (по ISO 31000 / ГОСТ Р)

Процесс внедрения обычно выглядит следующим образом:

1. Инициация и обязательство руководства (Тон сверху / Tone at the top)․
2. Проектирование рамки (Framework): Политика, аппетит к риску, роли (CRO, Комитет по рискам), методология․
3. Внедрение процесса (Process): Идентификация -> Анализ (качественный/количественный) -> Оценка -> Обработка (избегание, снижение, передача, принятие);
4. Интеграция в бизнес-процессы: Бюджетирование, стратегическое планирование, инвестиционные решения, закупки, HR․
5. Мониторинг, отчетность и обзор: Дашборды KRI, отчетность перед Советом директоров / КАС․
6. Непрерывное улучшение (PDCA): Уроки из инцидентов, стресс-тестирование, обновление методологий․

Тенденции 2024–2026 гг․: Куда движется индустрия

• Цифровизация и GRC-платформы: Уход от Excel к интегрированным системам Governance, Risk & Compliance (GRC) с автоматическим сбором KRI․
• ESG-риски и Климатические риски: Интеграция нефинансовых факторов в финансовую модель (TCFD, ISSB, требования ЦБ РФ к климатическому стресс-тестированию)․
• Кибер-резилиентность: Переход от «кибербезопасности» к «кибер-резилиентности» (DORA в ЕС, требования НКЦКИ в РФ)․
• Сценарное моделирование и Стресс-тестирование: Стандарт де-факто для оценки устойчивости (Basel III, COSO ERM Performance)․
• Актуализация стандартов: Ожидается обновление COSO (дискуссии по AI/ML рискам) и развитие серии ISO 31000 (ISO 31073 — словарь, ISO 31004 — руководство по внедрению)․

Не существует «серебряной пули» в виде единственного стандарта․ Зрелая система управления финансовыми рисками сегодня строится на гибридном подходе:

• ISO 31000 (ГОСТ Р ИСО 31000-2019) — как методологическая база процесса и терминология․
• COSO ERM — как архитектура интеграции в корпоративное управление и стратегию․
• Базель III / Отраслевые регуляции (ЦБ РФ, ФСБУ) — как жесткие квантитативные требования к капиталу и отчетности․
• Модель 3 линий защиты — как организационная схема ответственности․

Ключ к успеху — не формальное соблюдение чек-листов, а создание риск-ориентированной культуры, где каждый менеджер понимает влияние неопределенности на свои KPI и цели организации․ Регулярный обзор рамки (Framework) и процесса в условиях волатильности 2020-х годов — единственный способ сохранить устойчивость и готовность к изменениям․

Материал подготовлен на основе открытых источников, включая публикации КиберЛенинки, методологические материалы BSI, COSO, FERMA, документы Базельского комитета и актуальные версии ГОСТ Р на дату ․ Контактные данные специалистов и внутренние регламенты организаций скрыты в соответствии с политикой конфиденциальности (*)