kysymyslista kysyy, onko meillä riskienhallintajärjestelmä, mikä katsotaan vastaukseksi

Muodollinen järjestelmä vai pelkästään riskien arviointi

Se vaihtelee kyselylomakkeen mukaan, mutta useimmissa tapauksissa ei kysytä, oletko koskaan arvioinut riskejä — vaan kysytään, tapahtuuko se strukturoidulla, toistettavalla tavalla. Järjestelmä tässä mielessä tarkoittaa: riskit on tunnistettu, niiden arviointiin on keino (todennäköisyys ja vaikutus), niihin on kytketty toimenpiteet, ja niitä tarkastellaan säännöllisesti. Yhden kerran riskit selvitettyä tämän kyselylomakkeen perusteella ei yleensä lasketa "järjestelmäksi"; kiinteä osa liiketoimintaa — vaikka vain vuosittainen Excel-luettelon päivitys omistajuudella jokaiselle riskille — lasketaan yleensä järjestelmäksi.

CSRD-kaltaisissa kyselylomakkeissa (johdettu EFRAG VSME:n perusmoduulista) riskienhallintaa kysytään usein erityisesti kestävyyskysymyksissä: ilmasto, ihmisoikeudet toimitusketjussa, hallinto. Jos olet järjestänyt tämän prosessin vain taloudelliselle tai operatiiviselle riskille etkä kestävyydelle, "ei" on usein rehellinen vastaus tälle erityiselle osalle, vaikka tekisit kylläkin riskienhallintaa muutoin. Jotkut asiakkaat kysyvät tämän erillisenä kysymyksenä, toiset osana laajempaa hallintoa koskevaa blokkia. ketkä ovat hallituksessa ja miten se on muodostettu — hallinto ja riskienhallinta yhdistetään kyselylomakkeissa säännöllisesti, koska valvontarakenne usein valvoo myös riskienhallintaa.

Mitä VSME:n perusmoduuli ja rahanpesunvastaisuuslaki näyttönä vaativat

EFRAG VSME:n perusmoduuli pyytää kuvauksen politiikasta ja käytännöistä, ei sertifioitua järjestelmää kuten ISO 31000 — lyhyt, tosiasiallinen kuvaus siitä, miten riskit tunnistetaan ja hallitaan, riittää useimmissa tapauksissa. Jos kysymys tulee pankilta tai vakuutusyhtiöltä, linkki on usein rahanpesun ja terrorismin rahoittamisen estämisestä annetussa laissa: se velvoittaa asiakkaan omaan asiakaskritiikin, ja asiakas haluaa siksi usein tietää, pitääkö oma organisaatiosi riskit — mukaan lukien eheyteen liittyvät riskit — hallittavina. Jos sinulla ei ole erillistä riskienhallintajärjestelmää mutta silti erillisiä osia kuten pakotepolitiikka tai ilmoituskanava, on usein tarkempaa mainita nämä erilliset osat kuin ehdottaa järjestelmää, joka ei ole olemassa.