Информационное письмо Банка России от 30.06.2023 N ИН-02-05/46 "О рекомендациях по разработке методологии и присвоению ESG-рейтингов (рейтингов устойчивого развития)"

Перечень 3.5.1. Критерии оценки практик управления рисками и осуществления внутреннего контроля

Утвержден внутренний документ (документы), определяющий (определяющие) политику в области управления рисками и внутреннего контроля

Принципы и подходы к организации системы управления рисками и внутреннего контроля определены советом директоров (наблюдательным советом) (в случае его отсутствия - общим собранием акционеров (участников) и закреплены во внутренних документах организации, определяющих политику в области управления рисками и внутреннего контроля

Назначено должностное лицо (лица)/сформировано структурное подразделение (структурные подразделения), ответственное (ответственные) за организацию и координацию процесса управления рисками и осуществление внутреннего контроля

В совете директоров (наблюдательном совете) сформирован комитет, к компетенции которого относится рассмотрение вопросов, связанных с управлением рисками и внутренним контролем

Организован безопасный, конфиденциальный и доступный способ информирования (горячая линия) совета директоров (наблюдательного совета) или комитета совета директоров по аудиту и (или) внутреннего аудитора о фактах нарушения законодательства, внутренних процедур, положений кодекса этики

Советом директоров (наблюдательным советом) (в случае его отсутствия - общим собранием акционеров (участников) установлена приемлемая величина рисков для организации (риск-аппетит)

Процессы выявления, оценки и управления ESG-рисками интегрированы в систему управления рисками

Результаты анализа рисков учитываются при определении бизнес-показателей, ключевых показателей эффективности

Определен порядок проведения оценки эффективности управления рисками и осуществления внутреннего контроля

Совет директоров (наблюдательный совет) (в случае его отсутствия - общее собрание акционеров (участников) не реже одного раза в год рассматривает результаты оценки эффективности управления рисками и осуществления внутреннего контроля

Проводится ежегодная оценка эффективности управления рисками и осуществления внутреннего контроля внутренним аудитором

Проведена независимая внешняя оценка эффективности управления рисками (уровня зрелости управления рисками) не менее одного раза за последние три календарных года

Организация раскрывает <35> информацию об управлении рисками (например, в годовом отчете, финансовой отчетности, опубликованной политике управления рисками, заявлении о риск-аппетите), а также информацию с описанием системы внутреннего контроля общества

--------------------------------

<35> При оценке практик организации на соответствие критерию рекомендуется принимать во внимание действующие на момент проведения оценки послабления в части соблюдения требований законодательства Российской Федерации в области раскрытия информации и практики ограничения организацией раскрытия (отказа от раскрытия) такой информации.

При оценке подходов организации к определению риск-аппетита рекомендуется оценивать, насколько четко определен риск-аппетит (совокупность количественных и качественных показателей), установлены ли в организации процедуры его пересмотра. В случае отсутствия в организации практик определения риск-аппетита рекомендуется исследовать иные альтернативные практики управления рисками, например установление советом директоров (наблюдательным советом) (в случае его отсутствия - общим собранием акционеров (участников) лимитов и критериев принятия решений исполнительными органами. Кроме того, при проведении оценки рекомендуется анализировать риск-события, превышающие предельный уровень риск-аппетита и иные существенные инциденты в организации за последние три года.

Оценивая данный элемент, рекомендуется учитывать, что лучшей практикой корпоративного управления является проведение ежегодной оценки эффективности управления рисками и осуществления внутреннего контроля, а также проведение независимой внешней оценки эффективности управления рисками (не менее одного раза в три года). Рекомендуется принимать во внимание, учтены ли результаты внутренней и (или) внешней оценки в деятельности организации, в том числе были ли устранены недостатки в области организации системы управления рисками и внутреннего контроля.

Ниже приводится примерный перечень базовых критериев, который может применяться для оценки реализуемых практик организации и осуществления внутреннего аудита.

3.5. Управление рисками, осуществление внутреннего контроля и внутреннего аудита Перечень 3.5.2 Критерии оценки реализуемых практик организации и осуществления внутреннего аудита