GRC Review, МАРТ, 2019 / №3

grc REVIEW

ISSN 2631-9624

МАРТ / 2019 №3

ЧТО ЖДЕТ GRC В БЛИЖАЙШЕМ БУДУЩЕМ? КАК ИСКУССТВЕННЫЙ ИНТЕЛЛЕКТ ВЛИЯЕТ НА СФЕРУ ТРУДА И ЧТО ИЗ ЭТОГО СЛЕДУЕТ?

ДЕСЯТЬ ОСНОВНЫХ РИСКОВ 2019 г.

1

2

О МАТЕРИАЛАХ GRC REVIEW И ИХ ИСПОЛЬЗОВАНИИ

GRC Review выходит ежеквартально (раз в квартал) и распространяется бесплатно среди подписчиков журнала. Мнения, выраженные в публикациях, не должны считаться официальным мнением Bizeducate ltd. или личными мнениями членов редакционного совета GRC Review. Статьи публикуются на добровольной основе. Издатели или авторы не несут ответственности за ущерб, причинённый любому лицу, действующему или воздерживающемуся от действия, в результате любых выраженных в статьях мнений. Все права защищены в отношении всех статей, рисунков, фотографий и т.д., опубликованных GRC Review в любой точке мира. Воспроизведение, копирование, извлечение или перераспределение любыми средствами всей или части наших публикаций возможно с обязательной ссылкой на источник.

НАД НОМЕРОМ РАБОТАЛИ: ГЛАВНЫЙ РЕДАКТОР

Арман Касым

РЕДАКТОР-КОРРЕКТОР

Татьяна Корень

ДИЗАЙН, ВЕРСТКА

Алена Смирнова

3

СОДЕРЖАНИЕ 6

КАК ИСКУССТВЕННЫЙ ИНТЕЛЛЕКТ ВЛИЯЕТ НА СФЕРУ ТРУДА И ЧТО ИЗ ЭТОГО СЛЕДУЕТ? Беспрецедентные изменения наблюдаются в сфере трудовой деятельности. И особенно интересно то, что все они происходят одновременно. Наиболее значительный прогресс отмечен в области искусственного интеллекта (ИИ), и довольно сложно осознать его в полной мере. То, что действительно удивляет - это резкий скачок в развитии ИИ с 2014 года. Он вызвал заметный сдвиг парадигмы, который является необратимым и навсегда изменит нашу жизнь и работу.

12

ЧТО ЖДЕТ GRC В БЛИЖАЙШЕМ БУДУЩЕМ? Меняющаяся геополитическая обстановка, финансовые трудности и преобразование технологического ландшафта доставляют регулирующим органам немало хлопот. Законы становятся всё более жёсткими и всеобъемлющими, пытаясь взять под контроль все аспекты бизнеса. В то же время, усиление регулирования позволяет крупному бизнесу улучшить работу с репутационными и правовыми рисками, а те, кто играет на грани фола, в конечном итоге окажутся заваленными штрафами.

16

ДЕСЯТЬ ОСНОВНЫХ РИСКОВ 2019 г. Деструктивные технологии, кибер-угрозы, нехватка талантов и постоянно увеличивающиеся геополитические риски – вот только некоторые из основных рисков, которые не позволят расслабиться Советам директоров и группам административных руководителей в 2019 году. Остаться в стороне не получится.

4

22

КАК СОЗДАТЬ ЭФФЕКТИВНУЮ МОДЕЛЬ УПРАВЛЕНИЯ? В последнее время в корпоративном мире основной акцент делается на усовершенствование корпоративного управления. Особое внимание этому вопросу уделяют Советы директоров, которые ищут способы улучшить свои методы управления. Многие из них достаточно глубоко вовлечены в процесс управления, и поэтому выделяют финансовые ресурсы для оптимизации методов управления в своих компаниях.

26

6 ЛУЧШИХ IT СЕРТИФИКАТОВ В СФЕРЕ GRC Международные стандарты профессионального проведения внутреннего аудита, которые обычно называют «Стандартами аудита», являются набором основных принципов и инструментов выполнения и развития внутреннего аудита. Поскольку они функционируют как руководства для проведения процесса, а не как навязанная тактика, Стандарты предлагают лучшие способы в отношении того, как аудитор должен осуществлять свою работу.

32

ТРИ КИТА ЭФФЕКТИВНОЙ СИСТЕМЫ АНТИКОРРУПЦИОННОГО МЕНЕДЖМЕНТА "Создание стабильной этичной среды внутри компании, высокая этика ведения бизнеса во многом зависят от комплаенс-офицера. Важную роль также играют процессы, управление которыми определяет способность организации предотвращать взяточничество и коррупцию."

5

6

КАК ИСКУССТВЕННЫЙ ИНТЕЛЛЕКТ ВЛИЯЕТ НА СФЕРУ ТРУДА И ЧТО ИЗ ЭТОГО СЛЕДУЕТ? Автор статьи: доктор Тони Миллер, адъюнкт-профессор, магистр делового администрирования, FCIPD, FinstAM, MRSH, MAPS, MBPS, FILM. Автор книги "Новый мир человеческих ресурсов и занятости. Как искусственный интеллект и процесс проектирования приводят к значительным изменениям." Опубликована в декабре 2018 года (BEP Нью-Йорк).

История вопроса Беспрецедентные изменения наблюдаются в сфере трудовой деятельности. И особенно интересно то, что все они происходят одновременно. Наиболее значительный прогресс отмечен в области искусственного интеллекта (ИИ), и довольно сложно осознать его в полной мере. То, что действительно удивляет - это резкий скачок в развитии ИИ с 2014 года. Он вызвал заметный сдвиг парадигмы, который является необратимым и навсегда изменит нашу жизнь и работу. В целом ситуация такова: если мы посмотрим на историю человечества начиная с 9-го тысячелетия и до сегодняшнего дня, то увидим его стремительное развитие в последние несколько лет (Buckeridge 2017). Развитие валового мирового продукта выявило всё, что накапливалось постепенно - и это произошло очень быстро. Три прогноза • «К 2027 году всеми процессами будет управлять искусственный интеллект» (профессор Кристиан Бакеридж, 2017) Боннский университет, Германия.

• «К 2027 году 70% всех компаний, которые занимаются финансовыми исследованиями рынков, исчезнут» МакКирси, 2016.

• «Автоматизация затронет 60% всех про-

фессий» MакКирси, 2016. Если у вашей компании нет стратегии использования искусственного интеллекта, вам пора её разработать. Прогресс движется так быстро, что бизнес больше не может позволить себе оставаться в стороне, а то, что изменения не заставят себя ждать - это абсолютно точно. Искусственный интеллект вышел на первый план благодаря трём важным факторам.

1. Первое - это то, что мы называем большими данными. Теперь мы можем оперировать огромным количеством сохранённых данных и с их помощью получать предсказуемые результаты. В прессе часто пишут о том, как в настоящее время используются наши цифровое следы. Начиная с момента, когда вы включаете компьютер, мобильный телефон, планшет или пользуетесь кредитной картой ваши данные записываются, сохраняются, сортируются, упаковываются и продаются такими компаниям, как Axiom. Большие данные теперь доступны всем.

2. Доступные высокопроизводительные вычисления. Скорость обработки и хранения увеличились, а стоимость вычислений резко упала. Теперь у нас есть квантовые компьютеры, к некоторым из них предо-

7

ставляется бесплатный доступ.

течение относительно короткого периода.

3. Появление систем глубокого обучения, которые начинают учиться самостоятельно, используя когнитивное обучение – отпала необходимость программирования в старом стиле.

В искусственном интеллекте соединено множество нейронных слоёв, фактически на сегодняшний день их миллионы, таких как спаренные входы и множество выходов. Глубокие нейронные сети обширны и очень сложны. Большой прорыв последнего времени заключается в том, что теперь у нейронных сетей есть когнитивные способности к обработке информации; это привело к их значительному усовершенствованию и изменению. Это можно назвать самостоятельным мышлением. Программа может автоматически изменять коэффициенты ценности и проводить самонастройку для достижения предварительно заданных результатов. Вероятно, это является заслугой Geoffrey Hinton, компании, которая наиболее эффективно использовала GOOGLE, Facebook и Amazon.

Теперь формула выглядит так:

БД + ДВВ + СГО= ИИ,

где БД – большие данные, ДВВ - доступные высокопроизводительные вычисления, СГО – системы глубокого обучения. Всё чаще мы будем слышать термин «нейросети», поэтому здесь сделана попытка объяснить, что это такое. Нейросеть представляет простое математическое действие, где исходные числа умножаются на их ценность и складываются, что даёт математический результат. Искусственный интеллект, особенно глубокое обучение, пошёл в своём развитии дальше и показал значительный прогресс в

8

Для того, чтобы обучить искусственный интеллект и использовать его для решения проблем, мы используем алгоритмы. Алгоритм - это набор подробных инструк-

только то, что вам нужно для выполнения задачи. Он не содержит ничего неясного, или, если говорить на жаргоне программистов, неоднозначного, способного вызвать вопросы. (2018 Study. com). Прорывы есть во всех сферах бизнеса; например, финансовая индустрия обнаружила, что искусственный интеллект лучший и наиболее безопасный способ совершения финансовых операций. В повседневной жизни вы, возможно, уже освоили Siri от Apple, Alexa от Amazon, Google Assistant и Microsoft Cortana (или Алиса от Яндекс, пр. редактора), каждый из которых является формой искусственного интеллекта.

ций для выполнения операции или решения задачи. При не техническом подходе мы используем алгоритмы для выполнения повседневных задач, таких как приготовление торта по рецепту или соблюдение инструкции «Сделай сам».

Современный искусственный интеллект можно назвать очень умным; в доказательство процитируем профессора М. Косинского: «Существующие в настоящее время компьютерные алгоритмы, модели глубокого обучения являются очень сложными, человеку трудно их понять».

Компьютеры с искусственным интеллектом используют алгоритмы для составления подробных руководств по выполнению операции. Например, компьютер использует алгоритм для начисления зарплаты. Для выполнения этой задачи в систему вводятся соответствующие данные. Что касается эффективности, то разные алгоритмы могут легко и быстро выполнять различные операции или решать задачи.

Искусственный интеллект будет влиять на каждый аспект жизни для тех, кто работает в сфере человеческих ресурсов; в нашей стратегии срочно должны быть сделаны изменения, чтобы мы могли адекватно подготовиться к такому масштабному сдвигу парадигмы, который происходит сейчас. Никогда прежде специалисты по человеческим ресурсам не сталкивались с такой большой проблемой и не имели таких огромных возможностей. На помощь приходят:

Однако важно отметить, что алгоритм программирования не является компьютерным кодом. Он написан на простом английском языке (или на языке программиста). Он хорошо структурирован - у него есть начало, середина и конец. Вероятно, следует отметить первое действие как «начало», а последнее - как «конец». Он включает в себя

• Google Tenser Flow. Это программное обеспечение с искусственным интеллектом, которое использует Google, и одновременно библиотека информации, которая доступна бесплатно. Google планирует, что 80% всех мировых приложений на основе искусственного интеллекта будут работать на этой платформе.

9

• Tenser Flow в настоящее время используется американскими военными (Independent, 2018).

• Facebook открыл доступ к своим библиотекам нейронных сетей.

• Microsoft открыл доступ к своему набору инструментов для вычислительной сети.

• Теперь доступны компьютеры Quantum нового поколения, и некоторые компании предоставляют бесплатный доступ, например, D Wave.

• В августе 2018 года Apple стала первой триллионной компанией в США (2018 B) • В Китае в настоящее время производятся наборы микросхем по 5 долларов, которые расширяют возможности искусственного интеллекта. (2017 PD) Китай является лидером по количеству стартапов в области искусственного интеллекта. Президент России в интервью CNN прокомментировал ситуацию так: «Искусственный интеллект - это будущее не только России, но и всего человечества. Тот, кто станет лидером в этой сфере, будет править миром». (CNN 2017) Алгоритмы являются пищей для искусственного интеллекта; это совершенно иной подход, чем прежде. Мы видели, как в этом году люди решали сложные медицинские проблемы, не имея опыта в медицине - в этом уникальность алгоритмов и глубокого обучения. Значительное влияние на численность работников В настоящее время существует четыре фактора, которые приведут к самым большим изменениям в нашей повседневной жизни и работе. Мы уже познакомились с искусственным интеллектом. Другие факторы, которые будут влиять на человеческие ресурсы — это наличие пожилых сотрудников, часы работы и универсальный базовый доход.

10

«СУЩЕСТВУЮЩИЕ В НАСТОЯЩЕЕ ВРЕМЯ КОМПЬЮТЕРНЫЕ АЛГОРИТМЫ, МОДЕЛИ ГЛУБОКОГО ОБУЧЕНИЯ ЯВЛЯЮТСЯ ОЧЕНЬ СЛОЖНЫМИ, ЧЕЛОВЕКУ ТРУДНО ИХ ПОНЯТЬ» Искусственный интеллект, робототехника и модернизация процессов значительно уменьшат потребность в сотрудниках во всех организациях по всему миру. Вот некоторые вопросы, требующие рассмотрения (д-р Т. Миллер 2018): 1. Старение рабочей силы Первый вопрос связан со старением рабочей силы. На Западе и Дальнем Востоке старение квалифицированной рабочей силы становится большой проблемой. Правительства понимают, что пенсионных фондов недостаточно, и по всему миру должно пройти повышение пенсионного возраста. Был предложен выход на пенсию в 70 лет, и это кажется осуществимым. В Великобритании предлагается повысить этот возраст до 73 лет до 2020 года. В Америке 16,6% населения к 2015 году будут старше 65 лет, в Германии - 21,6%. (Рот Си-Би-Эс). В Японии жители в возрасте 65 лет и старше составляют 51,7% рабочей силы, включая женщин (N.A. 2016). Три решающих фактора относительно возраста и занятости:  Правительства вряд ли смогут обеспечить поддержку стареющих сотрудников.  Работодатели в течение многих лет вкладывали значительные ресурсы в обучение и воспитание сотрудников, которые теперь

стареют - зачем их увольнять?  Массовое увеличение робототехники отлично дополняет стареющую рабочую силу. Возможности трудоустройства для молодёжи выглядят не слишком обнадёживающе, свидетельство этого можно увидеть повсюду: молодые выпускники вынуждены работать в кафе или заниматься другим низкооплачиваемым полуквалифицированным трудом. Большой проблемой станет поколение нулевых, или, как его ещё называют, i Gen. Сокращение продолжительности рабочего дня В связи с быстрым развитием технологий, старением рабочей силы и, конечно же, робототехникой, сокращается рабочее время. В Германии успешно прошли переговоры по поводу 28-часовой рабочей недели. (F.T. 2018). Значимость этого процесса будет заключаться в ускорении использования робототехники и искусственного интеллекта. Это также даст работодателям возможность получить огромную финансовую выгоду для своих организаций. Правильное определение численности коллектива уже сейчас становится важным инструментом управления, и не напрасно. Искусственный интеллект приведёт к масштабным и быстрым изменениям, поэтому мы запускаем специальную программу по воздействию искусственного интеллекта, способную помочь организациям осознать настоящее и спланировать будущее. \

11

ЧТО ЖДЕТ GRC В БЛИЖАЙШЕМ БУДУЩЕМ? Меняющаяся геополитическая обстановка, финансовые трудности и преобразование технологического ландшафта доставляют регулирующим органам немало хлопот. Законы становятся всё более жёсткими и всеобъемлющим, пытаясь взять под контроль все аспекты бизнеса. В то же время, усиление регулирования позволяет крупному бизнесу улучшить работу с репутационными и правовыми рисками, а те, кто играет на грани фола, в конечном итоге окажутся заваленными штрафами.

Поиски возможностей - Рост - Прибыль являются мотивами для финансовых организаций, заставляя их смотреть вперёд, а Управление - Риски - Соблюдение требований (GRC) стали основной силой, которая может разрушить всё, если её игнорировать. В прошлом году было несколько случаев, когда крупные мировые банки не приняли во внимание троицу GRC и заплатили за это сполна. Требование сегодняшнего времени - это правомочное управление для контроля Agile-модели GRC, которая в реальном времени даёт представление об организационных рисках, отслеживает соблюдение требований и инициирует корректирующие действия. Для этого нам нужны системы, которые отслеживают и читают правила, интерпретируют их в соответствии с бизнесом, юрисдикцией и технологиями. Это приведёт к появлению систем оценки рисков в реальном времени, которые будут периодически анализировать бизнес-процессы и синхронизировать их. Для создания такой динамичной системы организациям необходимо будет автоматизировать свои системы соблюдения требований, чтобы каждый выявленный риск был быстро проанализирован, и необходимые шаги были интегрированы в процесс устранения проблем. Другая параллельная система оснащена искусственным интеллектом, способным учиться на текущих

12

уровнях соответствия, и данные из этой системы поступают дальше, чтобы построить модель для следующей реализации. Весь цикл мониторинга, отчётности, контроля и корректирующих действий должен быть автоматизирован с помощью самообучающейся системы прогнозирования. Хотя создание такой высокоинтегрированной платформы GRC кажется делом далёкого будущего, было бы неправильным считать его невозможным. Мы вступили в эпоху, когда автоботы осуществляют процессы, уменьшающие человеческие ошибки, а системы искусственного интеллекта, направленные на обучение людей и анализ их деятельности, значительно снижают время получения ответа и принятия решений. Это позволит организациям вздохнуть свободнее и сосредоточиться на своих возможностях, развитии и получении прибыли. Одной из таких сокрушительных сил, набирающих обороты в рамках GRC, является технология блокчейн. Возьмём, к примеру, соблюдение требований в области AML, где распределённая система регистрации блокчейна делает невозможным изменение журналов транзакций, таким образом, прозрачность и отслеживаемость снижает потребность в сложных инструментах мониторинга и отчётности. Технология блокчейн может помочь сохранять в режиме реального времени зарегистрированные достоверные данные KYC, если пользователи делятся своими цифровыми идентификаторами на безопасном уровне, а также:

13

• позволяет соединить инвестиции во всем мире, стимулируя их за счёт снижения налоговой нагрузки; • снижает возможность мошенничества; • обеспечивает защиту от кражи личных данных; • уменьшает дублирование и неэффективность. Представьте себе, что сканирование Iris позволит снять деньги через банкомат или внести средства на телефон вашего друга, если вы просто посмотрите на устройство для аутентификации транзакции. SMAC и IoT стирают грань между личными профилями, финансовыми счетами и профилями состояния здоровья клиентов, и вскоре один-единственный цифровой профиль будет использоваться всеми организациями. Эти технологии также стирают границы между банками, мобильными операторами и платформами электронной коммерции. Законы теперь должны охватывать очень широкие области и учитывать все возможные технологии. Другим примером является нормативный хаос, вызванный проектами автомобилей беспилотников и дронов-доставщиков. Такие стартапы быстро сколачивают деньги и торопят правительства, требуя одобрить их бизнес-идеи. В подобных случаях необходимо соблюдение требований региональногозаконодательства и юрисдикции в нескольких направлениях: в отношении безопасности дорожного и воздушного движения, в области страхования - для защиты физических лиц и организаций от любого возможного риска судебных разбирательств, в отношении финансовых учреждений и компаний – инвесторов, которые являются несущими ответственность собственниками и могут быть привлечены к суду, в области интеллектуальной собственности и связанных с ней технологий для защиты от нарушений и т. д. Принятие законов не займёт много времени, так как здесь имеется очень мало этических оснований, чтобы запретить использование по-

14

ТЕХНОЛОГИЯ СТАЛА НАДЁЖНЫМ СПАСАТЕЛЬНЫМ КРУГОМ И МОЖЕТ СЫГРАТЬ ЖИЗНЕННО ВАЖНУЮ РОЛЬ В ДОСТИЖЕНИИ УСПЕХА добных технологий. (В отличие от исследований стволовых клеток или клонирования человеческих органов). Станет ли бизнес более предсказуемым для данных сценариев, если использовать инструменты искусственного интеллекта и возможности обработки, доступные для поддержки? Как будут выглядеть рынки сырьевых товаров и хедж-фондов, если инвесторы вооружатся собственными суперкомпьютерами? Сбои будут быстрыми и частыми в ближайшем будущем, так как технологии разрушат многие традиционные финансовые бизнес-модели. Это также приведёт к возможному мошенничеству, ненадлежащему управлению, невыполненным обязательствам или компромиссам со стороны организаций или их сотрудников. Те же самые технологии и полномочия будут доступны тем, кто имеет отрицательную мотивацию. Это станет толчком для создания новых требований и, как следствие, новых моделей GRC. Перед организациями и руководящими органами стоит важнейшая задача - обеспечить защиту систем от несанкционированного доступа и постоянно обновлять нормативные требования, чтобы избежать неприятных ситуаций. Технология стала надёжным спасательным кругом и может сыграть жизненно важную роль в достижении успеха. Сейчас руководители должны определить, насколько они готовы инвестировать в GRC, и применять инновационное мышление своих организаций, чтобы извлечь более ощутимую выгоду из GRC.

15

10 ОСНОВНЫХ РИСКОВ, КОТОРЫЕ БУДУТ ДЕРЖАТЬ РУКОВОДИТЕЛЕЙ В НАПРЯЖЕНИИ В 2019 ГОДУ

16

Деструктивные технологии, кибер-угрозы, нехватка талантов и постоянно увеличивающиеся геополитические риски – вот только некоторые из основных рисков, которые не позволят расслабиться Советам директоров и группам административных руководителей в 2019 году. Остаться в стороне не получится. Так считают участники недавнего опроса «Перспективы для руководства в отношении основных рисков», проведенного глобальной консалтинговой компанией Protiviti и Инициативной группой по управлению рисками организаций (ERM) Университета штата Северная Каролина. В опросе участвовали члены Советов директоров и руководящие работники компаний во всем мире, которым были заданы вопросы о рисках, способных повлиять на их бизнес в 2019 году. Ежегодный опрос уже в седьмой раз показывает перспективы потенциального воздействия 30 конкретных рисков по трём основным категориям: • макроэкономические риски, способные влиять на возможности роста компании; • стратегические риски, способные влиять на пригодность стратегии компании по реализации возможностей роста; • операционные риски, способные влиять на ключевые операции компании при реализации её стратегии.

17

Респондентам было предложено оценить каждый из 30 рисков по 10-балльной шкале, при этом один балл означал «полное отсутствие влияния», а 10 баллов - убеждённость респондентов в том, что риск окажет «значительное влияние» на бизнес. «Одним из самых неожиданных результатов в этом году стало отсутствие макроэкономического риска в первой десятке проблем в 2019 году», - сказал Марк Бисли, руководитель Инициативной группы по управлению рисками при Университете штата Северная Каролина, на недавнем вебинаре, посвящённом обсуждению результатов. «Озабоченность экономическими условиями была оценена как высокая в течение всех шести предыдущих лет нашего исследования, но это восприятие существенно изменилось в преддверии 2019 года». Ещё один заслуживающий внимания вывод: сотрудники, выполняющие разные должностные обязанности, имеют разные взгляды на размер и серьёзность рисков в 2019 год. Например, члены Совета директоров оценили 26 из 30 рисков на уровне «значительного влияния», тогда как генеральные директора оценили подобным образом только шесть из 30 рисков. «Разные руководители имеют разное представление о том, какие риски требуют более серьёзного обсуждения»,- сказал Бизли. В отчёте также отмечено, что оценки риска варьируются от региона к региону. Согласно анализу, респонденты, ведущие бизнес в странах Латинской Америки, Южной Америки и в Индии дали самые высокие показатели в оценке размера и серьёзности рисков на 2019 год. Характер рисков в разных регионах также отличается. Респонденты в пяти из восьми регионов указывают, что они в основном обеспокоены операционными рисками, а остальные три региона высказали озабоченность по поводу макроэкономических рисков. «Поскольку организации изучают возможности

18

ведения бизнеса в разных частях земного шара, для них будет важно понять, как могут отличаться риски в зависимости от места работы организации», - говорится в отчёте. Десятка глобальных рисков Согласно опросу респондентов по всему миру, в первую десятку глобальных рисков в 2019 году входят: Действующие предприятия, неспособные удовлетворить ожидания в плане производительности, конкурирующие с «изначально существующими в цифровом формате» компаниями Те риски, которые входили в топ 10 в 2018 году, являются рисками №1 в 2019 году. «Что касается разных отраслей промышленности, то руководители пяти отраслевых групп указали этот риск как одну из пяти основных проблем», - сказал Пэт Скотт, исполнительный вице-президент по мировой промышленности и клиентским программам компании Protiviti. К этим отраслевым группам относятся: • финансовые услуги; • потребительские товары и услуги; • производство и распространение; • технологии, • средства массовой информации и телекоммуникации; • здравоохранение и медико-биологические науки. «Данный риск представляет собой совокупность нескольких различных факторов неопределённости», - сказал Джим ДеЛоуч, член группы по принятию решений компании Protiviti. – «Такие неопределённости включают готовность компании к освоению цифровых технологий; отсутствие устойчивости и гибкости для сохранения темпов в соответствии с меняющимися рыночными реалиями; отсутствие нестандартного мышления в отношении бизнес-модели; а также существование или угрозу появления более ловких конкурентов, считает ДеЛоуч.

Проблемы замены кадров, привлечения и удержания талантов Суть данной проблемы заключается в «войне за таланты», говорит Скотт. Рассматривая этот риск относительно действий, направленных на процветание в эпоху цифровых технологий, команды руководителей высшего звена начинают понимать, что в будущем им нужно будет привлекать и удерживать таланты и навыки другого рода – или, иначе говоря, тех сотрудников, которые способны думать нестандартно в условиях стремительно меняющегося цифрового рынка, Об этом говорится в его докладе. Нормативные изменения и усиленная проверка со стороны регулирующих органов «Этот риск по-прежнему является основным источником неопределённости среди организаций, участвующих в опросе», - сказал Скотт. «Шестьдесят девять процентов респондентов оценили этот риск как «значительно воздействующий», и можно предположить, что респонденты по-прежнему обеспокоены возможным влиянием со стороны регулирующих органов, которое нарушает их сложившийся порядок ведения бизнеса», - отметил эксперт.

«ОДНИМ ИЗ САМЫХ НЕОЖИДАННЫХ РЕЗУЛЬТАТОВ В ЭТОМ ГОДУ СТАЛО ОТСУТСТВИЕ ПРОБЛЕМ МАКРОЭКОНОМИЧЕСКОГО РИСКА В ПЕРВОЙ ДЕСЯТКЕ В 2019 ГОДУ». Марк Бизли, директор инициативной группы ERM при Государственном университете штата Северная Каролина.

Управление кибер-угрозами «Угрозы, связанные с кибер-безопасностью, остаются главной проблемой», - сказал Скотт. «Это единственный из 30 рисков, отмеченный как значительный фактор риска для всех шести отраслевых групп». Сопротивление изменениям «По мере появления разрушителей основной бизнес-модели, респонденты все больше внимания уделяют потенциальному нежеланию или неспособности организаций вносить необходимые своевременные корректировки в бизнес-модель и основные операции,

19

которые могут потребоваться для реагирования на изменения в общей бизнес-среде и отрасли», говорится в отчёте. Быстрое появление прорывных инноваций и новых технологий Согласно отчёту, 68% респондентов оценили этот риск как «значительно влияющий» в 2019 году, что отражает их обеспокоенность по поводу разнообразия и темпов появления прорывных инноваций или новых технологий, опережающих способность организации сохранять свой уровень и оставаться конкурентоспособной. «Наблюдая инновации в области цифровых технологий и быстро меняющиеся бизнес-модели, респонденты начинают обращать внимание на то, достаточно ли гибки их организации, чтобы реагировать на внезапные преобразования в бизнесе, которые меняют как ожидания клиентов, так и основную бизнес-модель компании», - сказал ДеЛоуч. Конфиденциальность и управление идентификационными данными «Эта обеспокоенность, вероятно, связана с быстрым увеличением количества нормативных документов, защищающих конфиденциальность личной информации», - сказал Скотт. «Здесь проблема заключается в потенциальных штрафах, санкциях и потере репутации, и никому из нас не следует её игнорировать». Неспособность использовать аналитику и массив данных «В цифровую эпоху побеждает знание», сказал ДеЛоуч. «Передовая аналитика - это ключ к пониманию идей, которые могут всё изменить на конкурентном рынке». «Владение корректной информацией может уменьшить неопределённость в вопросах о направлении, в котором должны двигаться передовые инициативы для улучшения ка-

20

чества обслуживания клиентов, повышения производительности, переосмысления бизнес-модели и оптимизации информации для принятия решений». Культура может недостаточно стимулировать своевременное выявление риска и определение степени риска Выбор респондентами этого риска говорит о том, что руководители обеспокоены культурой компании и тем, насколько процессы деловой и профессиональной коммуникации влияют на увеличение риска, информирует отчёт. «Являются ли процессы, которые осуществляет организация для определения степени риска, ясными и чёткими?», - спрашивает Скотт. «Знают ли сотрудники, как нужно определять степень риска?» Сохранение лояльности и удержание клиентов «Важно учитывать этот риск, потому что компании с высокими показателями сменяемости клиентов несут значительные затраты при замене этих клиентов», - сказал Скотт. «Если организации не могут скорректировать свою деятельность и устаревшую IТ-инфраструктуру… они могут не соответствовать ожиданиям своих постоянных клиентов». Начиная с 2019 года, идентификация рисков и управление рисками будут оставаться первоочередными задачами, и респонденты заявили, что намерены затратить больше времени и ресурсов для их решения. Это особенно актуально для финансовых организаций и компаний с доходом более 10 миллиардов долларов. В целом, как отмечается в отчёте, мировая ситуация с рисками в 2019 году будет и впредь побуждать Советы директоров и группы руководителей высшего звена вновь сосредоточиться на эффективном контроле рисков.

«КОРЕНЬ ПРОБЛЕМЫ – ЭТО ЦИФРОВОЕ ПРЕОБРАЗОВАНИЕ». Джим ДеЛоуч, член группы по принятию решений компании Protiviti.

21

КАК СОЗДАТЬ ЭФФЕКТИВНУЮ МОДЕЛЬ УПРАВЛЕНИЯ? В последнее время в корпоративном мире основной акцент делается на усовершенствование корпоративного управления. Особое внимание этому вопросу уделяют Советы директоров, которые ищут способы улучшить свои методы управления. Многие из них достаточно глубоко вовлечены в процесс управления, и поэтому выделяют финансовые ресурсы для оптимизации методов управления в своих компаниях. Занявшись вопросами управления, Советы в первую очередь пересматривают свою политику, создают комитеты по рискам на

уровне Совета директоров и уточняют цели всех своих комитетов. Одна из новых стратегий Советов директоров заключается в назначении главного сотрудника по управлению рисками (CRO), причём предпочтение отдаётся тому CRO, который является независимым директором. Многие Советы при этом вынуждены возвращаться к исходной точке, чтобы сравнить свою нынешнюю модель управления с тем, как она функционирует на современном рынке, выявить пробелы и начать работу над её оптимизацией.

ЧТО ТАКОЕ МОДЕЛЬ УПРАВЛЕНИЯ? В руководстве компании Deloitte, под названием «Разработка эффективной модели управления», подробно описывается порядок создания и усовершенствования модели управления. Каждая компания имеет свои уникальные условия и потребности, соответственно, модели управления будут отражать уникальность компаний. Существует четыре основных компонента модели управления, каждый из которых включает важные ключевые подкомпоненты: 1. Структура. Подкомпонентами структуры являются организационная структура и структура отчётности, а также структура комитетов и уставов.

2. Обязанности по надзору. Ключевыми подкомпонентами здесь являются надзор и ответственность Совета директоров, подотчётность и полномочия руководства, а также полномочия и обязанности комитетов.

3. Удержание талантливых сотрудников и культура. Подкомпонентами в данном разделе являются управление эффективностью и стимулы, принципы предпринимательства и принципы работы, а также программы по развитию лидерских качеств и таланта.

4. Инфраструктура. Методы и процедуры, отчётность и связь, а также технологии являются главными подкомпонентами данного раздела.

22

Из каких компонентов состоит операционная модель управления? Основные компоненты модели управления содержат несколько важных ключевых аспектов: Осуществление надзора и выполнение обязанностей членами Совета Модель управления даёт Советам директоров возможность чётко формулировать порядок надзора, вовлекать руководство в общение по вопросам управления и узнавать, где осуществляется деятельность по управлению в различные периоды работы компании. Преобразование концепции в операционную модель Deloitte разработала свою структуру управления как инструмент, помогающий корпорациям пересматривать и улучшать свои структуры управления. Разработанные ими процессы управления выделяют различные элементы управления, уточняют роли и объясняют взаимосвязь между руководством, управлением рисками и культурой организации. Инфраструктура охватывает все элементы системы управления Deloitte и включает в себя людей, процессы и системы, управление которыми осуществляется ежедневно. В её состав входят также процессы коммуникации для передачи информации Совету директоров, заинтересованным сторонам и руководству. В дополнение к надзору за процессами управления компанией, Советы должны играть определённую роль в разработке составляющих частей операционной модели и участвовать в её внедрении. Роль Совета директоров в области развития должна быть сосредоточена на вопросах управления, таких как стратегия, добросовестность, квалификация, эффективность и управление рисками. Таким образом, воплощение концепции управления в операционной модели - это процесс превращения компонентов концепции в стратегии и процедуры.

Полномочия и ответственность комитета Большая часть работы Советов происходит непосредственно в комитетах. Модель управления помогает определить направление работы и полномочия комитетов и описывает в общих чертах способы общения внутри комитетов и порядок их отчётности перед Советом директоров и руководством. Организационная структура и порядок отчётности Модели управления должны определить орган, который руководит вопросами соблюдения требований, рисков, законности, финансов и аудита. Модель также должна определять, как Совет будет контролировать риски во всех регионах и компаниях. Организационная структура и порядок отчётности должны быть понятны сотрудникам и заинтересованным сторонам. Полномочия и подотчётность менеджмента Модель управления должна определять полномочия и подотчётность для руководящих сотрудников и определять процесс руководства для разрешения разногласий. Модели управления должны обеспечивать равновесие и улучшать связь между теми, кто принимает решения о рисках, и менеджерами по управлению рисками.

23

И наконец, Модель должна также гарантировать, что сотрудники знают права и ограничения, связанные с их решениями. Советы должны иметь чёткое представление о функциях контроля на региональном и на общем уровне. Управление эффективностью и стимулы Стимулы могут повысить производительность, но Советам директоров необходимо определить условия, при которых стимулы мешают сохранять активы и идти на риск. Модель управления должна устанавливать цели деятельности, способные обеспечить получение максимальной отдачи с учётом рисков и сохранения активов. Цели должны отражать корпоративный настрой и культуру. Три составляющие подхода к усовершенствованию или созданию модели управления Deloitte рекомендует трехкомпонентный подход к созданию новой операционной модели управления или к улучшению существующей модели. Совету директоров не предлагается брать на себя ответственность за каждую составляющую модели управления. Считается, что Советы директоров имеют уникальную возможность сформировать модель управления и делегировать обязанности соответствующим сторонам для её осуществления. Имеются следующие составляющие части: Часть I. Определение операционных требований для вашей модели управления. Ищите концепции, которые лучше всего подойдут для вашей организации, или разработайте собственные. Не оставляйте без внимания все имеющиеся нормативные, управленческие или правовые требования. Обдумайте масштабы вашей деятельности и вопрос о том, как управление влияет на все её аспекты.

24

Оцените текущее состояние управления, определите его сильные и слабые стороны. Часть II. Разработка операционной модели управления и её компонентов. Определите основные обязанности, права на принятие решений и пути принятия полномочий. Часть III. Реализация операционной модели управления. Модель в готовом виде должна показать, как Советы будут оценивать свою эффективность, используя стандарты и показатели. Модель должна объединить требования к руководству, организационные функции и предпринимательские требования вместе и распределить ресурсы соответствующим образом. Работа должна осуществляться

по графику с периодичной проверкой Советом модели руководства, при этом должна учитываться возможность привлечения третьей стороны к участию в рассмотрении плана действий. Процесс обзора должен включать изучение компонентов, план и реализацию. Заключительные выводы о создании эффективных моделей управления Поскольку на карту поставлено очень многое и контроль должен быть всеобъемлющим, Советам директоров необходима помощь в виде электронных систем руководства Советами, способных помочь в решении проблемы совершенствования практики руководства. Diligent Boards и интегрированный набор инструментов ру-

ководства в Governance Cloud - это идеальное решение для Советов, работающих над своими моделями управления.

Governance Cloud обеспечивает высокий уровень безопасности каждой из своих программ, включая портал, защищённый обмен сообщениями, протоколы заседаний, оценку Совета, вопросники D&O и программное обеспечение для управления компанией. Наличие полностью интегрированной системы руководства корпоративным управлением поможет Совету директоров в разработке основ концепции руководства, которые будут работать на благо Совета директоров, менеджеров, акционеров и заинтересованных сторон.

25

26

6 ПРЕСТИЖНЫХ СЕРТИФИКАТОВ В СФЕРЕ GRC Если вы специалист по информационной безопасности, IT директор или иной специалист IT сферы, и желаете сделать карьеру в крупной национальной или международный компании, наличие соответствующего сертификата GRC будет вашим важным преимуществом.

27

После прогремевших почти 15 лет назад корпоративных скандалов (Enron и WorldCom и т.п.) и принятия в 2002 году Закона Сарбейнса-Оксли, стало очевидно, что корпорации не могут обойтись без специалиста, способного подтвердить, что внутренние процессы выполняются должным образом. Предлагаем познакомиться с шестью сертификатами, которые свидетельствуют, что их обладатели является компетентными специалистами в области корпоративного управления, комплаенса и риск-менеджмента. Это лучшие на данный момент предложения и стоят потраченного на них времени, финансов и усилий. В общих чертах цель GRC состоит в том, чтобы обеспечить наличие надлежащей политики и контроля для снижения рисков, создать систему проверок и корректировок для предупреждения персонала о возникновении новых рисков и более эффективного и активного управления бизнес-процессами. Профессионалы, имеющие сертификат GRC, должны обеспечивать соответствие: • соответствие между ожиданиями заинтересованных сторон и бизнес-целями, • способствовать тому, чтобы цели организации были достигнуты, • контролировать соответствие нормативным требованиям. Огромная ответственность, но обойтись без этого в современном деловом мире невозможно. Для выполнения определённых должностных обязанностей, наличие сертификата GRC необходимо или крайне желательно. Это касается IТ-директоров, аналитиков по информационной безопасности, инженеров по безопасности или IT-архитекторов, руководителей программы обеспечения информационной безопасности и старших IТ-аудиторов. Получение сертификата GRC может быть выгодным и в финансовом плане, поскольку средняя зарплата профессионалов, име-

28

ющих сертификаты в области управления, составила в 2017 году 115 тысяч долларов США, что является второй по величине категорией в сертификации, по данным отчёта о зарплатах от Global Knowledge за 2017 год. СЕРТИФИКАТ СПЕЦИАЛИСТА В ОБЛАСТИ УПРАВЛЕНИЯ РИСКАМИ И ИНФОРМАЦИОННЫМИ СИСТЕМАМИ (CRISC) Одним из наиболее востребованных сертификатов GRC как у рядовых сотрудников, так и у работодателей, является CRISC от ISACA, который свидетельствует о получении квалификации IТ-специалиста, отвечающего за управление IТ-рисками компании и за достижение целей управления рисками. Сотрудники, имеющие CRISC, зачастую принимают активное участие в надзоре за разработкой, внедрением и обслуживанием средств управления информационной системой (ИС), предназначенных для защиты систем и управления рисками. С 2010 года ISACA выдала более 20 000 сертификатов CRISC, что составляет относительно большое количество в области сертификации GRC. Чтобы получить CRISC, вы должны сдать один экзамен, который охватывает четыре вида деятельности: • идентификация рисков ИТ (вид 1), • оценка рисков ИТ (вид 2), • реагирование на риски и смягчение их последствий (вид 3), а • мониторинг и отчётность по рискам и контролю (вид 4) ). Экзамен включает 150 вопросов, его продолжительность составляет до четырёх часов, стоимость - 575 долларов (для членов ISACA) или 760 долларов (для не членов ISACA). Кроме того, вы должны подтвердить трёхлетний совокупный опыт работы в

115 000 $

СРЕДНЯЯ ЗАРПЛАТА ПРОФЕССИОНАЛОВ, ИМЕЮЩИХ СЕРТИФИКАТЫ

GRC

области IТ-рисков и информационных систем, связанной, как минимум, с двумя из вышеперечисленных четырёх видов деятельности, придерживаться Кодекса профессиональной этики ISACA и соблюдать Политику непрерывного образования CRISC. Обладатели сертификата CRISC являются одними из самых высокооплачиваемых из всех сертифицированных специалистов и имеют среднюю зарплату 122 900 долларов, согласно Global Knowledge. СЕРТИФИКАТ IT СПЕЦИАЛИСТА В ОБЛАСТИ УПРАВЛЕНИЯ ОРГАНИЗАЦИЯМИ (CGEIT) Сертификат CGEIT, выданный ISACA, получают IТ-специалисты, обладающие глубокими знаниями принципов и практики управления информационными технологиями организации, а также способные повы-

сить их значимость для организации с помощью мер по управлению и оптимизации рисков и привести IТ в соответствие с бизнес-стратегиями и целями. С момента запуска программы более 7000 человек получили сертификат CGEIT через ISACA. Чтобы получить сертификат CGEIT, вам необходимо сдать один экзамен (150 вопросов, четыре часа), охватывающий пять видов деятельности: • структура управления ИТ организации (вид 1), • стратегическое управление (вид 2), • реализация преимуществ (вид 3), • оптимизация рисков (вид 4) • и оптимизация ресурсов (вид 5). Экзамен стоит 525 долларов для членов ISACA или 760 долларов для не членов ISACA. Для получения сертификата CGEIT необходимо иметь не менее пяти лет совокупного

29

опыта работы в области управления IТ организации, включая не менее одного года работы в области определения, внедрения и применения структуры управления. Кандидаты также должны соблюдать Кодекс профессиональной этики ISACA и Политику непрерывного образования CGEIT. СЕРТИФИКАТ СПЕЦИАЛИСТА ПО УПРАВЛЕНИЮ РИСКАМИ, ВЫДАННЫЙ ИНСТИТУТОМ УПРАВЛЕНИЯ ПРОЕКТАМИ — (PMI-RMP) Каждый, кто прошёл сертификацию по управлению проектами, имел дело с Институтом управления проектами (PMI).

PMI предлагает сертификат специалиста по управлению рисками (PMI-RMP), а также ряд других сертификатов, связанных с управлением бизнесом, бизнес-анализом, гибким управлением и планированием. Сертификат PMI-RMP выдаётся IТ-специалистам, вовлечённым в крупные проекты или работающим в сложных средах, способным оценивать и выявлять риски, связанные с проектами. Кроме того, такие специалисты компетентны в разработке и реализации планов по смягчению последствий, которые направлены на противодействие рискам, связанным с уязвимостями системы, стихийными бедствиями и т.п. Экзамен на получение сертификата PMIRMP охватывает пять областей знаний: • стратегия и планирование рисков (область 1), • взаимодействие с заинтересованными сторонами (область 2), • упрощение процессов работы с рисками (область 3), • мониторинг рисков и отчётности (область 4) • проведение специального анализа рисков (область 5). Экзамен состоит из 170 вопросов с несколькими вариантами ответов, занимает до 3,5 часов и стоит 520 долларов (для членов PMI) или 670 долларов (для не членов).

30

Вы также должны иметь соответствующий опыт работы и образование. Один из вариантов - получить среднюю степень (диплом средней школы, диплом младшего специалиста или его эквивалент в других странах), а также иметь не менее 4 500 часов опыта управления проектными рисками и 40 часов обучения управлению проектными рисками. Второй вариант – получение степени после четырёх лет обучения (степень бакалавра или её мировой эквивалент), наличие не менее 3 000 часов опыта управления проектными рисками и 30 часов обучения управлению проектными рисками.

ITIL EXPERT Сертификаты, которые получают специалисты по работе с библиотекой инфраструктуры информационных технологий (ITIL), связаны со структурой ITIL, которая описывает лучшие практики разработки, реализации и управления широким спектром проектов ИТ-услуг. На языке ITIL сертификаты называются «квалификациями», которые создают классическую лестницу сертификации, начиная с базового уровня ITIL Foundation и заканчивая высшим уровнем ITIL Master. На одну ступень ниже Master располагается очень популярная квалификация ITIL Expert. Специалист, имеющий квалификацию ITIL Expert, обладает глубоким пониманием лучших практик ITIL, которые применяются в IТ-среде, а не только в одной области обслуживания. Иначе говоря, Expert способен поддерживать деятельность организации, связывая воедино все этапы жизненного цикла всех процессов, рассматривая общую картину как сумму составляющих. Чтобы получить квалификацию ITIL Expert, вы должны сначала получить сертификат ITIL Foundation или его квалификационный эквивалент Bridge, а затем получить как минимум 17 кредитов по кредитной системе ITIL. Затем пройти утверждённый курс обу-

чения и по его окончании сдать экзамен на управление жизненным циклом (MALC). Расходы на обучение варьируются в зависимости от вида услуги, но остаются в пределах от 1800 долларов США (онлайн обучение) до 5000 долларов (обучение в классе) за курс обучения и экзамен. СЕРТИФИКАТ СПЕЦИАЛИСТА ПО ОБЕСПЕЧЕНИЮ УПРАВЛЕНИЯ РИСКАМИ (CRMA) Институт внутренних аудиторов (IIA) - это глобальная профессиональная ассоциация, которая предоставляет информацию, сетевые возможности и обучение для аудиторов в сфере предпринимательства, управления и финансовых услуг. Одним из сертификатов IIA является CRMA, который предназначен для лиц, занимающихся управлением рисками и страхованием рисков, управлением, обеспечением качества и контрольной самооценкой. Обладатель CRMA считается доверенным советником высшего руководства и членов ревизионных комитетов в крупных организациях. Получение сертификата CRMA требует сдачи экзамена с несколькими вариантами ответов (100 вопросов, до двух часов) через Pearson VUE. Стоимость экзамена составляет 380 долларов США для членов IIA или 495 долларов США для не членов. Кроме того, вы должны иметь высшее образование после обучения в течение 3 или 4 лет (или больше). Альтернативами степени бакалавра являются два года среднего специального образования и пять лет опыта внутреннего аудита (или эквивалент) или семь лет опыта работы внутренним аудитором.

IIA требует также подтверждение в виде как минимум двухлетнего опыта аудита или работы в области управления рисками или обеспечения качества. Кроме того, вам необходимо предоставить характеристику,

подписанную лицом, имеющим сертификат IIA или руководителем, а также удостоверение личности и согласие на соблюдение Кодекса этики, установленного IIA.

GRC PROFESSIONAL (GRCP) OCEG - это глобальная организация, действующая по инициативе своих членов, которая занимается предоставлением информации, обучением и сертификацией GRC для своих членов и для всего сообщества. GRCP является одним из немногих сертификатов, выдаваемых в этой области, но он пользуется уважением, и считается надёжным сертификатом, предназначенным для широкого диапазона отраслей и практик. По окончании обучения сдаётся один экзамен на знание основных терминов и понятий, принципов GRC, а также основных компонентов и практики, а также отношения GRC к другим дисциплинам.

GRCP требуется для получения сертификата GRC более высокого уровня в области аудита. Экзамен содержит 100 вопросов и продолжается до двух часов. OCEG предлагает Полный Доступ за 395 долл. США (автоматическое продление) или 495 долл. США (без продления), который включает всё необходимое для подготовки и сдачи экзамена. Сюда входят все вебинары в режиме реального времени и архивированные вебинары, стандарты OCEG, руководства и ресурсы, программа электронного обучения и экзамен.

УДАЧИ В ОБУЧЕНИИ И ПОЛУЧЕНИИ СЕРТИФИКАТОВ GRC!

31

ОПЫТ ЧИТАТЕЛЕЙ

ТРИ КИТА ЭФФЕКТИВНОЙ СИСТЕМЫ АНТИКОРРУПЦИОННОГО МЕНЕДЖМЕНТА Создание стабильной этичной среды внутри компании, высокая этика ведения бизнеса во многом зависят от комплаенс-офицера. Важную роль также играют процессы, управление которыми определяет способность организации предотвращать взяточничество и коррупцию. Я убедился в этом на своем опыте работы в этой сфере.

Достижение общего успеха невозможно без внедрения и развития основных компонентов: 1. Обучение и коммуникация 2. Автоматизация комплаенс-контролей 3. Система проверки контрагентов Усиление контроля или урегулирование бизнес-процесса посредством новой политики вряд ли будут действенными методами для утверждения этичного подхода к ведению бизнеса. Такие меры могут носить лишь вспомогательный характер. Центральным объектом деятельности комплаенс-офицера является ментальность внутренней среды организации (ее формирование и поддержка). Как сделать сотрудника, руководителя подразделения или топ-менеджера своим партнером и единомышленником в создании культуры честного и ответственного поведения?

32

Возражения, сопротивление и доверие Решение этой задачи во многом зависит от личности комплаенс-менеджера и его компетентности. Уровень доверия к такому специалисту внутри компании зависит от осознания комплаенс-офицером своей роли проводника бизнеса в рисковой среде, от понимания разных функций представителей в компании и содействия им в выполнении задач без рисков. В итоге у коллег возникает ощущение надежности своей деятельности. Такому сотруднику коллеги готовы сообщить что-то личное, что может составлять комплаенс-риски (например, сведения о возможном конфликте интересов – у сотрудников на разных позициях возникли внеслужебные отношения). Стремление слышать и помогать владельцам бизнес-процессов вызовут доверие к комплаенс-менеджеру. В свою очередь это проявится в открытости сотрудников, их готовности слышать комплаенс-офицера, формировании модели партнерских отношений, в возникновении запроса на комплаенс. Например, технические специалисты сами просят о проведении тренинга, без навязывания обучения. Укреплять такое отношение и свой авторитет следует постоянным повышением компетентности. После назначения на должность эксперта по коррупционным рискам первым делом я прошел обучение в школе тренеров, откуда вынес ценный урок: всегда ориентироваться на аудиторию. Именно слушатели диктуют выбор и подачу материала. Сейчас я убежден: коммуникативные способности - один из наиболее важных навыков такого специалиста. Развивать навыки эмоционального интеллекта, экологичной работы с возражениями и сопротивлением на специальных тренингах особенно важно на начальном этапе внутреннего взаимодействия. Иначе можно поставить под угрозу имидж функции комплаенс и готовность ее реализации внутри компании. Способность делиться своей компетентностью с персоналом и повышать степень осведомленности коллег в области ком-

плаенс-рисков определяет центральный компонент эффективной системы менеджмента противодействия коррупции – обучение и коммуникация. Быть оратором дано не всем. Однако ежедневно стоит использовать телефонию, электронную почту, очные встречи. Типичная ошибка комплаенс-офицера – оперировать банальными фразами «коррупция это плохо». Добавьте к этому «страшилки» о многомиллионных штрафах – и готово, получите обратный эффект. Общения с вами станут избегать, или в коммуникации коллег с вами появится ненужное напряжение. Напротив, вам стоит убеждать ответственных за свое направление специалистов: они всегда могут достигать поставленных перед ними амбициозных целей честно и в рамках закона. Проясняя, как это следует делать, вы популяризируете комплаенс как общую неписаную ценность. Вот почему прописывание политик и инструкций - второстепенные меры. Одним из ключевых инструментов комплаенс-офицера, работа с которыми позволяет охватить все бизнес-процессы и задействованный в них персонал, являются руководители структурных подразделений (групп, отделов, департаментов, дирекций). Эффективные коммуникации с ними дают четкое представление о ролях и взаимодействии их исполнителей, важных деталях деятельности, а также информируют о возможных рисках внутри такого подразделения. Например, руководитель сомневается в отсутствии конфликта интересов у его подчиненного вследствие перехода в подрядную организацию его близкого родственника. Говоря о сути работы комплаенс специалиста, мы подразумеваем качество его работы с людьми. И, если такая работа не приносит удовлетворения, не мотивирует вас на терпеливое ожидание ее

33

результатов, это обязательно скажется на эффективности кросс-функционального взаимодействия и наоборот. Разумеется, эффективность системы антикоррупционного менеджмента зависит не только от личности комплаенс-офицера и готовности быть коммуникатором, исследователем, аналитиком, а порой и «священником» (например, в вопросах раскрытия сведений о конфликте интересов, содержащих информацию о личной жизни сотрудника). Совмещение этих ролей диктует потребность постоянной переоценки рисков по итогам анализа изменений внешних и внутренних факторов системы менеджмента борьбы с коррупцией. Один из методов - анонимный опрос сотрудников об оценке культуры комплаенс за определенный период времени. Такому специалисту необходима поддержка высшего руководства, без которой утверждение стандартов этического поведения представляется довольно сложной задачей. Примером эффективного применения «тона сверху» может быть поручение генерального директора провести каждому функциональному директору в очной форме внутри своей дирекции коммуникации по вопросам комплаенс. Коммуникации происходят в форме личных посылов топ-менеджера о недопустимости неэтичного поведения и высказанного ожидания от подчиненных исключительно законного выполнения ими своих задач. Алгоритм экономии времени Как не оказаться заложником простых операционных задач, связанных с внедренными в бизнес-процессы комплаенс-контролями? Ведь время – самый ценный ресурс комплаенс-офицера. В первую очередь следует стремиться автоматизировать комплаенс-контроли в бизнес-процессах с массовым количеством транзакций (например, заказы

34

«ГОВОРЯ О СУТИ РАБОТЫ КОМПЛАЕНС СПЕЦИАЛИСТА, МЫ ПОДРАЗУМЕВАЕМ КАЧЕСТВО ЕГО РАБОТЫ С ЛЮДЬМИ»

на закупку, изменения к договорам). Необходимо определить, в согласовании каких правоотношений участие комплаенс-офицера не обязательно (например, договора аренды государственного и коммунального имущества, аренда земельного участка у органа местного самоуправления). Стоит сфокусироваться на аналитической работе и функции просвещения прежде всего в «зонах» высокого риска. Призвание любого внутреннего контроля - обеспечение качества бизнес-процесса. Чем больше у вас времени (посредством его управления) на аналитическую и разъяснительную деятельность, тем больше предпосылок для успешного развития и совершенствования системы комплаенс. Специалист по комплаенс обязан тщательно продумать алгоритм, описывающий настройки автоматизации определенного рабочего процесса. Это позволит исключить не только риск не эффективности комплаенс-контроля, но и риски восприятия комплаенс как обременительной ноши для бизнеса. Приведу пример автоматизации контроля по включению в договора антикоррупционной оговорки в установленной компанией редакции. Для этого стоит прописать исключение комплаенс-менеджера из маршрута в случае выбора инициатором в продуктивной системе элемента «Оговорка включена» и вложении файла «FCPA-оговорка».

Критерии оценки рисков Компании следует минимизировать риск установления деловых и прочих отношений с лицами, которые могут быть вовлечены в коррупционную деятельность и подвергать компанию риску вовлечения в такую деятельность. Какие усилия в данном случае можно считать разумными? Основными принципами построения системы проверки контрагента должны быть прозрачность и адекватность такого процесса. Для исключения синдрома «охоты на ведьм» в локальных нормативных актах компании необходимо четко установить объективные критерии оценки коррупционных рисков, основанные на «коррупционных сценариях». Например, информация о наличии в качестве учредителей, акционеров контрагента государственных и аффилированных с ними должностных лиц сама по себе не указывает на коррупционные риски и не может быть основанием для задержек рабочих процессов инициатора закупки. Оценка комплаенс-менеджера, скорее всего, потребуется при установлении дополнительных факторов, совокупность которых и будет составлять потенциальный комплаенс-риск (например, государственное должностное лицо из установленного компанией списка лиц, полномочия которых могут влиять на сферу хозяйственной деятельности организации). Выявление информации о привлечении к ответственности или о возбуждении расследования в отношении контрагента, его учредителей, акционеров, руководства или отдельных должностных лиц на основании антикоррупционного законодательства является весомым аргументом для отрицательного заключения в отношении такого лица, поскольку ставит под сомнение заявленную компанией нулевую толерантность к коррупции. В таком случае необходимо оценить, насколько серьезны реакционные меры, проведенные вследствие инцидента внутри такого потенциального контраген-

та (например, проведение внутреннего антикоррупционного расследования, содействие органам следствия в привлечении к уголовной ответственности лиц, вовлеченных в коррупционные правонарушения). Также необходимо проанализировать доказательства искоренения таким лицом коррупционной практики (превентивные меры). Для понимания того, какой характер и объем действий в компании расценивается достаточным и позволяющим комплаенс-менеджеру сформировать свое заключение, полезно утвердить соответствующие стандарты проверки субъектов, а также периодичность пересмотра таких стандартов. Например, локальным нормативным актом компании установить детальную методику проверки контрагента комплаенс-офицером. Постоянное развитие и внедрение всех трех компонентов системы антикоррупционного менеджмента дадут нужный результат. Внутренняя среда компании созреет к тому, чтобы самостоятельно реагировать на вызовы для ее комплаенс-системы. Специалист компании в данной области, фактически реализовавший свою миссию, будет выступать в качестве консультанта по отдельным вопросам. Внедрение и развитие функции комплаенс не обременяет и не вредит успешной деятельности организации. Для того, чтобы этичный бизнес стал нормой и потребностью, необходимо выстроить систему эффективного взаимодействия с коллективом и руководством компании.

Игорь Щедров, эксперт по коррупционным рискам Vodafone Украина

35

АНОНС СЕМИНАРОВ В ОБЛАСТИ КОРПОРАТИВНОГО УПРАВЛЕНИЯ, РИСК-МЕНЕДЖМЕНТА И КОМПЛАЕНСА ОТ ВЕДУЩЕГО ПРОВАЙДЕРА ОБРАЗОВАТЕЛЬНЫХ ПРОГРАММ ДЛЯ GRC СПЕЦИАЛИСТОВ BIZEDUCATE LTD. НА АПРЕЛЬ-ИЮЛЬ 2019 г.

ВКЛАД КОРПОРАТИВНОГО СЕКРЕТАРЯ В ПОСТУПАТЕЛЬНОЕ РАЗВИТИЕ СОВЕТА ДИРЕКТОРОВ 7 - 10 АПРЕЛЯ 2019 г., АМСТЕРДАМ Корпоративный секретарь является щитом и мечом организации в многопоточной нормативно-правовой среде корпоративного управления. Участники получат углубленные знания относительно того, как роль Корпоративного секретаря эволюционировала за последние 15 лет, а также вооружатся передовыми практиками организации деятельности Совета директоров. Семинар включает мастер-класс о правах, обязанностях и обязательствах Корпоративного секретаря в отношении многочисленных внутренних, внешних и комбинированных заинтересованных лиц. ПРЕДОТВРАЩЕНИЕ ФИНАНСОВЫХ ПРЕСТУПЛЕНИЙ И КОМПЛАЕНС 6 - 7 МАЯ 2019 г., ТАШКЕНТ На этом семинаре участники смогут расширить свои знания о том, как принятие мер по предотвращению финансовых преступлений внутри предприятия может помочь улучшить управление рисками финансовых преступлений. Будут рассмотрены распространённые примеры организации деятельности внутреннего контроля, процедуры решения проблем и процедуры внутренней и внешней отчетности с упором на все более сложную роль инспекторов по противодействию отмыванию денег (MLRO) и главного сотрудника по комплаенсу (ССО) в организации. МЕЖДУНАРОДНАЯ ФИНАНСОВАЯ ОТЧЕТНОСТЬ – ЕЕ КОМПОНЕНТЫ, ДОСТОВЕРНОСТЬ И ПРЕДСТАВЛЕНИЕ В КОНТЕКСТЕ УВЕЛИЧЕНИЯ СТОИМОСТИ КОМПАНИИ 22 - 25 МАЯ 2019 г., АМСТЕРДАМ Семинар предназначенный для руководителей и специалистов финансовой сферы, планирующих повысить практические навыки ведения учета и составления отчетности в соответствии с МСФО. А также изучить связь практического применения стандартов и стоимости компании. ВНУТРЕННИЙ СТРАТЕГИЧЕСКИЙ АУДИТ 26 - 29 МАЯ 2019 г., ВЕНА Семинар ориентирован на специалистов в области аудита и работников сектора финансовых услуг, желающих развить свои навыки стратегического аудита. Участники семинара узнают о передовых практиках продвижения и укрепления функции внутреннего аудита в организациях частного и государственного сектора.

36

ОБЩЕОРГАНИЗАЦИОННОЕ УПРАВЛЕНИЕ РИСКАМИ 9-12 ИЮНЯ 2019 г., ПРАГА На этом курсе вам будет предложено больше, чем просто список правил и процессов, которые необходимо реализовать для внедрения системы управления рисками. Помимо практического руководства, вы также узнаете где могут возникать подводные камни в процессе реализации эффективной и действенной программы управления рисками. ПРОЕКТНЫЙ МЕНЕДЖМЕНТ 14-17 ИЮЛЯ 2019 г., БАРСЕЛОНА Основная цель семинара – выработка базовых навыков по проектному менеджменту. Семинар состоит их двух частей: первая посвящена обоснованию целесообразности реализации проекта, анализу его эффективности, оценке проектных рисков; вторая – правильной организации работы руководителя проекта, команды проекта и его исполнителей, определению необходимых работ и взаимодействию по проекту, разработке необходимых наборов документов. Ознакомиться с программами семинаров и условиями участия в них можно по ссылке https://bizeducate.com/kalendar-sobytij/ Чтобы забронировать место, Вам нужно написать на request@bizeducate.com

УЧАСТНИКАМ СЕМИНАРОВ ТАКЖЕ БУДУТ ПРЕДОСТАВЛЕНЫ СЛЕДУЮЩИЕ УСЛУГИ:* • Приглашение для визы • Услуги оформления визы • Трансфер аэропорт-отель-аэропорт • Консульский сбор • Приветственный обед в 1-й день программы, кофе-брейки и бизнес-ланчи • Ужины • Культурные мероприятия • Разработка индивидуальных экскурсий • Фотоотчет семинара

• Сопровождение русскоязычным представителем компании • Печатные материалы курса на русском языке • Скидка на любой последующий семинар в течение 6 месяцев • Личная консультация лектора (30 мин.)

• Именной сертификат о прохождении курса *в зависимости от выбранного пакета услуг

37

КОРПОРАТИВНОЕ ОБУЧЕНИЕ ПОД КЛЮЧ Хотите заказать закрытый корпоративный семинар для вашей компании? Мы рады помочь!

Оставьте заявку на magazine@bizeducate.com или позвоните по тел. +7 717 269 59 33

38

ЕСТЬ ИДЕИ? ПОДЕЛИТЕСЬ С КОЛЛЕГАМИ! Стать автором статей в “GRC Review” - отличная возможность для экспертов в сфере Corporate governance, Risk management & Compliance, заинтересованных в профессиональном росте и общении с коллегами. Поделитесь своими идеями с руководителями крупнейших компаний и ведущими специалистами GRC в странах СНГ. Напишите нам на magazine@bizeducate.com о себе и интересующей вас теме, и мы будем рады помочь вам с публикацией ваших статей в GRC Review.

39

ПОДПИШИСЬ НА GRC REVIEW WWW.BIZEDUCATE.COM/MAGAZINE

grc REVIEW

август/2018/№1

ТОП 5 СТАТЕЙ

О СТРАТЕГИЧЕСКОМ УПРАВЛЕНИИ

СИМПТОМЫ КОЛЛАПСА ПРЕДПРИЯТИЯ

КАК БОРОТЬСЯ С КОРРУПЦИЕЙ В КОМПАНИЯХ?

1

GRC Review опубликован компанией Bizeducate Limited. © Bizeducate Limited, 2018. Все права защищены.

Воспроизведение, копирование, извлечение или перераспределение любыми средствами всей или части наших публикации возможно после письменного разрешения издателя.

Suite 1417 Kemp House 152-160 City Road London EC1V 2NX United Kingdom 40

Astana: +7 717 269 59 33 London: +44 203 695 34 07

Skype: bizeducate.ltd magazine@bizeducate.com www.bizeducate.com