lista pytań pyta, czy mamy system zarządzania ryzykiem, co liczy się jako odpowiedź

System formalny czy tylko ocena ryzyka

To różni się w zależności od kwestionariusza, ale w większości przypadków nie pyta się, czy kiedykolwiek dokonał Pan/Pani oceny ryzyk — pyta się, czy następuje to w ustrukturyzowany, powtarzalny sposób. System w tym sensie oznacza: zidentyfikowano ryzyka, istnieje sposób ich oceny (prawdopodobieństwo i wpływ), dołączono do nich środki zaradcze, a przegląd odbywa się okresowo. Jednokrotne uporządkowanie ryzyk w wyniku tego kwestionariusza zwykle nie liczy się jako "system"; stały element działalności firmy — nawet jeśli jest to tylko roczna aktualizacja przeglądu w Excelu z przypisaniem właściciela dla każdego ryzyka — zwykle się liczy.

W kwestionariuszach podobnych do CSRD (wywodzących się z modułu podstawowego EFRAG VSME) zarządzanie ryzykiem jest często pytane konkretnie dla kwestii zrównoważonego rozwoju: klimat, prawa człowieka w łańcuchu dostaw, ład korporacyjny. Jeśli ten proces ma Pan/Pani ustrukturyzowany tylko pod względem ryzyka finansowego lub operacyjnego, a nie pod względem zrównoważonego rozwoju, to "nie" jest często uczciwą odpowiedzią na tę konkretną część, nawet jeśli w dalszej części faktycznie prowadzi Pan/Pani zarządzanie ryzykiem. Niektórzy klienci zadają to jako osobne pytanie, inni jako część szerszego bloku dotyczącego składu organów zarządzających i sposobu jego ukształtowania — ład korporacyjny i zarządzanie ryzykiem są w kwestionariuszach regularnie łączone, ponieważ struktura nadzoru często również monitoruje zarządzanie ryzykiem.

Co podstawowy moduł VSME i ustawa antyprania pieniędzy wymagają jako dowód

Podstawowy moduł EFRAG VSME pyta o opis polityki i praktyk, a nie o certyfikowany system taki jak ISO 31000 — krótki, rzeczowy opis sposobu identyfikacji i zarządzania ryzykami w większości przypadków wystarczy. Jeśli pytanie pochodzi od banku lub ubezpieczyciela, link często dotyczy ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu: zobowiązuje ona samego klienta do badania klienta, a klient dlatego często chce wiedzieć, czy Twoja organizacja potrafi kontrolować ryzyka — w tym ryzyka związane z integralnością. Jeśli nie masz oddzielnego systemu zarządzania ryzykiem, ale masz poszczególne elementy takie jak polityka sankcji lub kanał zgłoszeniowy, często bardziej dokładnie jest wymienić te poszczególne elementy niż sugerować system, który nie istnieje.