Lidé a jejich kompetence v řízení rizik (4. díl)

Přes risk manažera se dostáváme do třetí linie ochrany společnosti, nezávislé kontroly, kterou v dnešní době většinou představuje interní audit, obvykle podléhající přímo představenstvu anebo prostřednictvím auditorského výboru.

V rámci procesu risk managementu bychom k internímu auditu přiřadili následující činnosti:

• Monitoruje efektivnosti procesů risk managementu

• Kontroluje postup plnění plánu v případě implementace procesu RM

• Testuje jednotlivé nastavené kontroly

• Potvrzuje rizikové informace a výkazy RM, efektivnost komunikace s dodavateli, klienty a dalšími stakeholdery

• Identifikuje potřebná nápravná opatření a stanovené priority

• Spolupracuje s útvarem risk managementu

• Předkládá výkazy o své činnosti představenstvu

Risk management, nebo interní auditor?

Velmi často se rozvíjí diskuse, proč budovat odbor risk managementu, když ve společnosti funguje interní auditor. Ten všechno perfektně zvládne. Odpověď na tuto otázku nalezneme jednak ve statutu interního auditu a jeho nezávislosti, ale pro rychlou orientaci napomůže následující schéma, které se zaměřuje na vztah činností mezi risk managementem a interním auditem – kde a kdy se tedy interní auditor zapojí do procesu risk managementu:

Kdy a kde se interní auditor zapojuje do řízení rizik

ANO - základní kompetence IA v procesu řízení rizik

• stanovisko ke správnosti procesu řízení rizik

• stanovisko ke správnosti způsobu hodnocení rizik

• hodnocení efektivnosti procesu ERM

• hodnocení identifikace a vykazování klíčových rizik

• hodnocení celkového řízení klíčových rizik

ČÁSTEČNĚ - legitimní konzultační úlohy s určitými omezeními v ohledu na celkovou velikost a strukturu společnosti

• usnadnění identifikace a posouzení rizik včetně poskytnutí relevantních nástrojů

• trénink pro vedoucí pracovníky při reakci na rizika

• koordinace ERM aktivit, tvorba jednotného jazyka a vnitřní kultury

• konsolidace výkazů rizik

• tvorba a podpora rámce ERM (spíše u společností, kde není plně rozvinut institut risk managera

URČITĚ NE - úlohy, které by v procesu řízení rizik IA zásadně neměl vykonávat

• nastavení rizikového apetitu společnosti

• zavádění a prosazování procesu řízení rizik ve společnosti

• přijímání rozhodnutí reakce na rizika

• implementace opatření namísto vedení společnosti

• převzetí odpovědnosti za řízení rizik

Věřím, že tento příspěvek napomůže lepší orientaci v otázkách lidských zdrojů a jejich kompetencí při realizaci procesu risk managementu ve společnosti. Závěrem ještě několik předpokladů úspěchu:

ERM pro úspěšnou implementaci a každodenní využívání k ochraně všech hodnot společnosti potřebuje

• viditelnou a silnou aktivní podporu vrcholového vedení

• implementační tým fungující napříč celou organizační strukturou

• nastavení ERM se základními strategickými a finančními cíly organizace

• ERM je proces a potřebuje určitý čas aby se rozvinul a přinášel přidanou hodnotu společnosti

• potřebuje dostatečný trénink a zdroje

• není do nový, samostatný program – ale součást běžného řídícího procesu

• hledá nové náměty (od zaměstnanců, z externích zdrojů)

Vladimír Pulchart