upitnik pita imamo li sustav upravljanja rizicima, što se broji kao odgovor

Formalni sustav ili samo procjena rizika

To se razlikuje ovisno o upitniku, ali u većini slučajeva se ne pita trebate li ikada procijeniti rizike — pita se provode li se to na strukturirani, ponovljivi način. Sustav u tom smislu znači: rizici su identificirani, postoji način da se ocijene (vjerojatnost i utjecaj), mjerama su povezani, i redovito se preispituju. Postavljanje rizika na popis jednom kao odgovor na ovaj upitnik obično se ne računa kao "sustav"; stalnom dijelu poslovanja — čak i ako je samo godišnja aktualizacija Excel-preglednice s vlasništvom po riziku — obično se računa.

Pri CSRD-sličnim upitnicima (izvedenim iz osnovnog modula EFRAG VSME) upravljanje rizicima često se specifično pita za teme održivosti: klima, ljudska prava u lancu nabave, upravljanje. Ako ste taj proces uspostavili samo na financijskom ili operativnom riziku a ne na održivosti, tada je "ne" često pošten odgovor na TI specifičan dio, čak i ako redovito obavljate upravljanje rizicima. Neki klijenti to pitaju kao odvojeno pitanje, drugi kao dio šireg bloka o tko je u upravnom odboru i kako je sastavljen — upravljanje i upravljanje rizicima redovito se u upitnicima kombiniraju jer nadzorna struktura često nadzire i upravljanje rizicima.

Što osnovni modul VSME i zakon o sprječavanju pranja novca kao dokaz traže

Osnovni modul EFRAG VSME traži opis politike i praksi, ne certificirani sustav poput ISO 31000 — kratak, činjenitan opis kako se rizici identificiraju i kontroliraju obično je dovoljan u većini slučajeva. Ako pitanje dolazi od banke ili osiguratelja, veza je često sa Zakonom o sprječavanju pranja novca i financiranju terorizma: taj zakon obvezuje samog klijenta na provjeru klijenta, a klijent stoga često želi znati može li vaša vlastita organizacija kontrolirati rizike — uključujući rizike integriteta —. Ako nemate odvojen sustav upravljanja rizicima ali imate odvojene komponente kao što su politika sankcija ili kanal za prijave, tada je često točnije navesti te odvojene komponente nego sugerirati sustav koji ne postoji.