Дата актуализации:

Управление рисками, это не разовый акт, а непрерывный циклический процесс, в основе которого лежит качественная, своевременная и достоверная информация. Без эффективного механизма информирования организация действует «вслепую», не способная ни идентифицировать угрозы, ни оценить их последствия, ни контролировать эффективность мер по снижению рисков.

Согласно международным стандартам (ISO 31000:2018, ГОСТ Р ИСО 31000-2021) и требованиям регуляторов (ЦБ РФ, Минфин РФ), информирование и коммуникация являются одним из ключевых принципов и компонентов процесса управления рисками. Оно обеспечивает прозрачность, подотчетность и вовлеченность заинтересованных сторон на всех уровнях — от Совета директоров до операционного персонала.

Нормативно-правовая база и стандарты

В Российской Федерации система информирования в СУР регламентируется комплексом документов:

• Федеральный закон № 402-ФЗ «О бухгалтерском учете» (ст. 19 — требования к внутреннему контролю).
• Постановление Совета директоров ЦБ РФ (для кредитных организаций) и отраслевые стандарты (для некредитных финансовых организаций, страховщиков, фондов).
• ГОСТ Р ИСО 31000-2021 «Управление рисками. Руководящие принципы» (раздел 6.5 «Коммуникации и консультации», раздел 6.6 «Мониторинг и критический анализ»).
• Кодекс корпоративного управления (рекомендации по раскрытию информации о системе управления рисками в ежегодных отчетах).

Несоблюдение требований по информированию о критических рисках влечет за собой санкции со стороны регуляторов, включая штрафы для должностных лиц (до * тыс. руб.) и предписания по устранению нарушений.

Уровни и виды информирования

Эффективная архитектура отчетности предполагает дифференциацию потоков информации в зависимости от адресата:

Стратегический уровень (Совет директоров, Комитет по рискам)

• Частота: Квартально / По событию.
• Содержание: Профиль рисков организации (Risk Appetite), статус ключевых рисков (Top Risks), результаты стресс-тестирования, оценка адекватности капитала/ликвидности, отчет КРО (Chief Risk Officer).
• Форма: Исполнительная резюме (Executive Summary), дашборды KRI (Key Risk Indicators), протоколы заседаний.

Тактический уровень (Коллегиальные органы: Кредитный комитет, АЛКО, Операционный комитет)

• Частота: Еженедельно / Ежемесячно.
• Содержание: Превышение лимитов и линий полномочий, динамика портфельных рисков, инциденты операционного риска, статус планов митигации.
• Форма: Детализированные аналитические записки, реестры превышений, трекинг Action Plan.

Операционный уровень (Руководители подразделений, риск-менеджеры, контролеры)

• Частота: Ежедневно / В режиме реального времени.
• Содержание: Срабатывание триггеров/порогов, результаты самооценки рисков (RCSA), отчеты по инцидентам, результаты контроля ключевых показателей (KPI/KRI).
• Форма: Автоматические алерты в СУР/BI-системах, рабочие реестры, ежедневные дайджесты.

Внешнее информирование (Регуляторы, инвесторы, рейтинговые агентства)

Регламентируется строго определенными формами отчетности (например, формы 0409807, 0409808 для банков, отчетность по IFRS 7/9, Pillar 3 Basel III). Публикация информации осуществляется на официальном сайте эмитента и в системе раскрытия информации (например, *).

Ключевые процессы информирования

1. Идентификация информационных потребностей: Картирование стейкхолдеров и определение их запросов (Risk Appetite Statement как база).
2. Сбор и валидация данных: Автоматизированная выгрузка из исходных систем (CBS, CRM, ERP, GRC-платформы) с контролем целостности (Data Quality).
3. Агрегация и анализ: Расчет метрик, сценарийный анализ, обратное стресс-тестирование, выявление трендов и корреляций.
4. Формирование отчетности: Применение принципа «Single Source of Truth» (единый источник правды). Использование единого реестра показателей (Data Dictionary).
5. Распространение (Delivery): Push-рассылки (email, мессенджеры корпоративные), порталы самообслуживания (Self-service BI), заседания комитетов.
6. Обратная связь и эскалация: Процедуры эскалации при превышении Risk Appetite / Risk Tolerance. Фиксация решений и контроль исполнения (Trekking).

Цифровая трансформация информирования: программное обеспечение как основа

Как отмечалось в отраслевых обсуждениях 10.01.23, в эпоху цифровой трансформации программное обеспечение становится не просто инструментом, а основой корпоративной инфраструктуры управления рисками. Переход от Excel-реестров и ручной сборки отчетов к интегрированным GRC-платформам (Governance, Risk, Compliance) и BI-системам (Power BI, Tableau, Qlik, отечественные аналоги) решает ключевые проблемы:

• Скорость: Сокращение цикла подготовки отчетности с дней до часов/минут (Real-time / Near real-time).
• Качество данных: Исключение ошибок ручного ввода, версионность данных, аудит-трейл (Data Lineage).
• Единообразие: Унификация методологий расчета KRI по всему холдингу/группе.
• Прогнозная аналитика: Внедрение ML-моделей для раннего предупреждения (Early Warning Signals) на основе массивов исторических данных.

Пример реализации: Внедрение платформы в ПАО «» позволило сократить время подготовки квартального отчета для Совета директоров с 14 до 3 дней и автоматизировать расчет 95% KRI.

Управление инцидентами и кризис-коммуникации

Отдельный блок информирования — реагирование на реализовавшиеся риски (инциденты). В бизнесе риски — это неопределенные угрозы, которые приводят к срывам дедлайнов, превышению бюджета и провалам. Оборудование ломается, кибератаки происходят, ключевые сотрудники уходят. Для этого существуют:

• Реестр инцидентов: Единая точка входа (ServiceNow, Jira, 1С:Управление рисками и т.д.).
• Матрица эскалации: Четкие правила: кто, в какие сроки и кому сообщает (RACI-матрица). Например, инцидент уровня «Высокий» эскалируется КРО и CEO в течение 1 часа.
• Кризис-коммуникации: Заготовленные шаблоны уведомлений для регулятора (ЦБ РФ — в течение суток для значимых инцидентов ИБ), клиентов, СМИ.
• Post-mortem анализ: Обязательный отчет «Lessons Learned» после ликвидации последствий с обновлением карты рисков и планов митигации.

Культура риска и обучение как элемент информирования

Информирование не ограничивается отчетами. Оно включает формирование культуры риска:

• Регулярные обучения и симуляции (Table-top exercises) для топ-менеджмента и комитетов.
• Внутренние коммуникации: дайджесты «Риск недели», кейсы из практики отрасли/организации.
• Политика «Открытых дверей» и защита вистлблауеров (Whistleblowing / Горячая линия: 8—-), обеспечивающая поступление информации о скрытых рисках.

Типичные ошибки и лучшие практики (Best Practices)

Перспективы развития: 2026 год и далее

На текущий момент () ключевыми трендами являются:

1. Generative AI в отчетности: Автоматическая генерация текстовых комментариев к дашбордам, формулировка выводов для Совета директоров на естественном языке.
2. Интеграция ESG-рисков: Обязательное информирование о климатических, социальных и управленческих рисках (согласно новой таксономии ЦБ РФ / ISSB standards).
3. Real-time Assurance: Непрерывный аудит рисков и контролов вместо точечных проверок.
4. Импортозамещение ПО: Полный переход на отечественные GRC/BI-стек (в соответствии с реестром РФ ПО) с сохранением функциональности интеграции и аналитики.

Информирование в управлении рисками, это нервная система организации. Его эффективность определяется не объемом бумаги, а скоростью доставки релевантной информации лицу, принимающему решение, в понятном формате. Инвестиции в автоматизацию, стандартизацию данных и культуру открытости дают возврат в виде предотвращенных потерь, соблюдения регуляторных требований и устойчивого развития бизнеса.

Данная статья подготовлена в обобщающих целях. Для внедрения конкретных решений рекомендуется обратиться к внутренним нормативным документам вашей организации и консультироваться со специалистами Департамента управления рисками (Руководитель: * И.И., тел. +7 () —).