Система внутреннего контроля и система управления рисками

Функционирование СВК и СУР

Система внутреннего контроля и система управления рисками (далее — СВК и СУР) ПАО «Россети Кубань» интегрированы в общую систему управления Общества и направлены на обеспечение разумных гарантий достижения целей по следующим направлениям:

• эффективность и результативность деятельности Общества, в том числе достижение финансовых и операционных показателей, сохранность активов Общества;
• соблюдение применимых к Обществу требований законодательства Российской Федерации и нормативных актов Общества, в том числе при совершении хозяйственной деятельности и ведении бухгалтерского учета;
• обеспечение достоверности и своевременности бухгалтерской (финансовой) и иной отчетности;
• обеспечение устойчивого непрерывного функционирования и развития Общества путем своевременной идентификации, оценки и управления рисками, представляющими угрозу эффективному осуществлению хозяйственной деятельности и репутации Общества, здоровью работников, окружающей среде, а также имущественным интересам акционеров и инвесторов.

В целях обеспечения функционирования СВК и СУР в Обществе разработаны и действуют следующие основополагающие нормативные документы:

• Политика внутреннего контроля Общества (протокол Совета директоров от 18 марта 2016 г. № 233/2016). В Политике внутреннего контроля Общества раскрыты основные требования к организации и функционированию СВК, установленные Советом директоров Общества;
• Порядок реализации требований Политики внутреннего контроля Общества (утвержден приказом от 30 июня 2021 г. № 369-од). Компоненты и принципы СВК, указанные в Политике внутреннего контроля, проработаны, детализированы и раскрыты в Порядке реализации требований Политики внутреннего контроля;
• Политика управления рисками (протокол Совета директоров Общества от 24 февраля 2021 г. № 420/2021). Политика является внутренним документом Общества, определяющим его отношение к рискам, устанавливающим принципы построения, цели и задачи СУР, подходы к организации СУР, распределение ответственности между участниками СУР и характер их взаимодействия, этапы процесса управления рисками.

Кроме того, в Обществе действуют следующие нормативные документы в области управления рисками:

• Положение по управлению рисками Общества;
• модель дерева рисков;
• модель зрелости СУР Общества;
• перечень базовых мероприятий по управлению рисками;
• порядок определения предпочтительного риска (риск-аппетита) Общества.

В соответствии с политикой управления рисками решением Совета директоров Общества утвержден предпочтительный риск (риск-аппетит) (протокол от 15 июня 2022 г. № 480/2022).

Деятельность в рамках заявленного предпочтительного риска (риск-аппетита) обеспечивает более высокую степень уверенности в достижении ПАО «Россети Кубань» установленных целей.

Установлены следующие целевые показатели предпочтительного риска (риск-аппетита).

Основные участники процесса СВК и СУР

Внутренний контроль и процесс управления рисками охватывает все направления деятельности и осуществляется на всех уровнях корпоративного управления: Советом директоров, уполномоченным комитетом Совета директоров, Ревизионной комиссией Общества, исполнительными органами Общества, руководителями и работниками на всех уровнях управления Общества, дирекцией внутреннего контроля и управления рисками, дирекцией внутреннего аудита.

Контрольные процедуры выполняются постоянно, во всех процессах (направлениях деятельности) Общества, на всех уровнях управления в соответствии с моделью трех линий защиты:

• на уровне органов управления (единоличного и коллегиального исполнительных органов), блоков и подразделений Общества, выполняющих контрольные процедуры в силу своих функций и должностных обязанностей, — первая линия защиты;
• на уровне контрольных подразделений Общества — вторая линия защиты;
• на уровне подразделения внутреннего аудита — третья линия защиты.

Решением Совета директоров (протокол от 31 мая 2016 г. № 241/2016) утверждена организационная структура Общества с выделением самостоятельного подразделения, ответственного за внедрение, развитие и совершенствование в Обществе единых подходов к построению систем внутреннего контроля и управления рисками, а также методологическое и организационное сопровождение внедрения в Обществе превентивного и текущего контроля — дирекция внутреннего контроля и управления рисками.

К основным задачам дирекции внутреннего контроля и управления рисками относятся:

• содействие руководству Общества в построении и поддержании систем внутреннего контроля и управления рисками посредством разработки и обеспечения внедрения и адаптации основных методологических документов по построению и совершенствованию СВК и СУР;
• анализ портфеля рисков и формирование отчетности по реализации рисков в Обществе, выработка предложений по реагированию и перераспределению ресурсов в отношении управления рисками, осуществление оперативного контроля за процессом управления рисками структурными подразделениями Общества, осуществление функции по общей координации процессов управления рисками;
• организация проведения контрольных мероприятий в Обществе, направленных на минимизацию рисков при функционировании систем внутреннего контроля и управления рисками (в том числе мероприятий текущего контроля в процессах), учета и мониторинга проверок, проведенных внешними органами контроля (надзора), Ревизионной комиссией, внутренним аудитом;
• подготовка и представление заинтересованным сторонам информации о состоянии и эффективности процессов внутреннего контроля и управления рисками.

Функции участников СВК и СУР приведены в приложениях 7 и 8 к годовому отчету, закреплены и описаны в следующих документах:

• Уставе Общества;
• Положении о Комитете по аудиту Совета директоров Общества;
• политике внутреннего контроля Общества, политике управления рисками и порядке реализации политики внутреннего контроля;
• внутренних документах, регламентирующих распределение обязанностей между заместителями Генерального директора и другими менеджерами, подчиненными Генеральному директору Общества, положениях о структурных подразделениях и должностных инструкциях работников, матрицах контролей и рисков;
• Положении о функционировании специализированных органов внутреннего контроля.

Контрольные процедуры по процессам и подпроцессам основной и обеспечивающей деятельности, а также по процессам управления Общества задокументированы в матрицах контролей и рисков.

Оценка эффективности и совершенствование СВК и СУР

Для обеспечения гарантии того, что СВК и СУР эффективны и соответствуют объективно изменяющимся требованиям и условиям, в Обществе ежегодно проводится:

• самооценка эффективности СВК (проводится менеджментом Общества);
• самооценка эффективности СУР (проводится дирекцией внутреннего контроля и управления рисками);
• внутренняя независимая оценка надежности и эффективности СВК и СУР (проводится департаментом внутреннего аудита).

Самооценка эффективности выполняемых контрольных процедур и процессов СВК по итогам 2022 г. проведена владельцами процессов в формате заполнения чек-листов при методологическом сопровождении процесса самооценки дирекцией внутреннего контроля и управления рисками. Для всех процессов СВК оценена владельцами процессов как эффективная, для большинства процессов СВК полностью соответствует критериям СВК, установленным методикой самооценки эффективности контрольных процедур и процессов СВК (направлений деятельности).

Самооценка эффективности СУР по итогам 2022 г. проведена дирекцией внутреннего контроля и управления рисками путем оценки соответствия текущего уровня зрелости СУР установленным критериям модели зрелости СУР Общества. Модель зрелости СУР Общества соответствует по наибольшему количеству характеристик критериям «оптимальный» (развитый) и «высокий» (интегрированный).

Результаты оценки эффективности СВК и СУР Общества по итогам 2022 г. и рекомендации, направленные на повышение эффективности СВК и СУР, отражены в отчетах внутреннего аудитора и рассмотрены на заседании Совета директоров Общества (протокол от 21 апреля 2023 г. № 517/2023).

Указанным решением Совета директоров Общества уровень зрелости СВК по итогам 2022 г. оценен как находящийся на промежуточном уровне между уровнями «оптимальный» (уровень 5) и «высокий» (уровень 6) — 5,3 балла, что соответствует оценке по итогам 2021 г. Уровень зрелости СУР по итогам 2022 г. оценен как находящийся на промежуточном уровне между уровнями «умеренный» (уровень 4) и «оптимальный» (уровень 5) — 4,7 балла, что выше на 0,1 балла по сравнению с оценкой 2021 г.

Мероприятия СВК и СУР, реализованные в 2022 году

В целях развития и совершенствования СВК и СУР решением Совета директоров (протокол от 24 мая 2021 г. № 433/2021) утвержден План по поддержанию эффективности и развитию СВК и СУР ПАО «Россети Кубань».

В отчетном году Обществом реализованы следующие ключевые мероприятия, направленные на совершенствование СВК и СУР:

• утвержден предпочтительный риск (риск-аппетит) на 2022 г. (протокол Совета директоров Общества от 15 июня 2022 г. № 480/2022);
• осуществлялся текущий контроль высокорисковых бизнес-процессов в рамках деятельности коллегиальных органов (по урегулированию дебиторской задолженности, консолидации объектов энергоснабжения, выявлению непрофильных активов, внедрению автоматизированных информационных систем);
• согласовывались локальные нормативные акты, регламентирующие контрольные процедуры, в том числе на предмет наличия, эффективности и достаточности контроля;
• проводились контрольные мероприятия по оценке достаточности, эффективности и результативности СВК и СУР;
• ежемесячный контроль финансовой устойчивости, сопровождения процедур ликвидации и банкротства контрагентов;
• актуализированы регламенты процессов в части матриц рисков и контрольных процедур процессов;
• актуализирована методологическая база СВК и СУР (утверждены порядок определения предпочтительного риска (риск- аппетита), дерево рисков, регламент учета проверок, осуществляемых внешними органами контроля (надзора), методические рекомендации по организации и проведению анонимного анкетирования работников);
• принято участие в обучающих мероприятиях для работников Группы компаний ПАО «Россети» по вопросам организации и функционирования системы управления рисками и внутреннего контроля в формате Дней знаний (четыре обучающих мероприятия), конференций по актуальным вопросам и стратегии развития системы управления рисками и внутреннего контроля;
• пройдено обучение и успешно сданы экзамены на подтверждение квалификации «Внутренний контролер» четырьмя работниками дирекции внутреннего контроля и управления рисками.

Мероприятия по совершенствованию СВК и СУР, запланированные на 2023 год

Основными задачами на 2023 г. в области СВК и СУР являются:

• совершенствование подходов к интеграции управления рисками в ключевые бизнес-процессы;
• актуализация нормативно-методологических документов в области СВК и СУР;
• внедрение/актуализация и проведение оценки эффективности существующих контрольных процедур, в том числе самооценки со стороны владельцев процессов;
• развитие культуры осведомленности о рисках, проведение обучающих мероприятий по вопросам организации и функционирования СВК и СУР.

Ключевые риски

В рамках функционирования системы управления рисками Общество регулярно выявляет, оценивает риски и осуществляет их мониторинг, реализует мероприятия по снижению вероятности и потенциальных последствий реализации рисков, а также информирует об этом акционеров и иных заинтересованных лиц.

В соответствии с Положением по управлению рисками решением Правления Общества сформирован и утвержден прогнозный реестр рисков Общества на 2022 г. (протокол от 19 ноября 2021 г. № 33/2021), содержащий 19 функциональных рисков, то есть агрегированных рисков бизнес-процессов и рисков, оказывающих существенное влияние на деятельность Общества, в том числе на ключевые показатели эффективности единоличного исполнительного органа Общества, а через них — на достижение целей по управлению электросетевым комплексом и обеспечение стратегических целей Группы компаний ПАО «Россети».

На ежеквартальной основе в 2022 г. Правлением Общества рассматривались отчеты владельцев рисков по управлению функциональными рисками и рисками бизнес-процессов. В рамках отчетов владельцев рисков актуализировался реестр рисков, рассматривались отчет о выполнении плана мероприятий, отчет об исполнении компенсирующих мероприятий, формировалась карта рисков на основании актуального реестра рисков.

Для определения уровня воздействия рисков на деятельность Общества устанавливается уровень существенности риска. Риски ранжируются по трем уровням существенности: умеренный, значимый, критический.

По результатам ежеквартальной переоценки рисков, проводимой в течение 2022 г., на конец года оценку «критический» и «значимый» получили десять рисков.

По всем функциональным рискам Обществом разрабатываются мероприятия, направленные на снижение и минимизацию последствий от реализации рисков, утверждается план мероприятий по управлению рисками Общества.

Динамика оценки рисков в 2022 г. представлена на диаграммах.

Информация о рисках в области устойчивого развития

Вопросы охраны труда и развития персонала, снижения негативного воздействия на окружающую среду и другая ESG-повестка находятся в сфере внимания руководства Общества и на постоянной основе курируются профильными подразделениями. Управление рисками в области устойчивого развития осуществляется в рамках общей системы управления рисками Общества. При оценке и управлении рисками учитывается широкий круг факторов, в том числе в сфере ESG, что способствует соблюдению принципов устойчивого развития Компании. В 2022 г. особый акцент в управлении рисками сделан на обеспечение надежности и бесперебойности электроснабжения, повышение качества обслуживания и удовлетворенности клиентов, совершенствование форм коммуникации с ними.

Информация о рисках информационной безопасности и киберугроз

В условиях повышенного уровня киберугроз в Обществе идентифицированы следующие риски информационной безопасности:

• риск нарушения и (или) прекращения функционирования объектов информационной инфраструктуры и телекоммуникационных систем объектов электросетевого комплекса;
• риск неправомерного воздействия на объекты электросетевого комплекса и их информационные и телекоммуникационные системы (террористического, диверсионного, криминального и иного характера), в том числе с использованием информационных технологий;
• риск, связанный с реализацией информационных угроз, в том числе обусловленных недостатком (уязвимостью) применяемых информационных технологий.

С целью исключения (минимизации) реализации вышеуказанных рисков в Обществе ведется работа:

• по установке на объектах электроэнергетики инженерных средств охраны, систем видеонаблюдения, систем контроля и управления доступом, охранной сигнализации;
• реконструкции инженерно-технических средств охраны на объектах ТЭК в соответствии с инвестиционной программой Общества;
• организации физической охраны наиболее важных объектов ТЭК Общества;
• включению в технические задания на создание объектов информационной инфраструктуры и телекоммуникационных систем объектов электросетевого комплекса требований по информационной безопасности;
• внедрению средств защиты информации на объектах информационной инфраструктуры в соответствии с техническими заданиями на их создание;
• осуществлению контроля за действиями работников Общества посредством систем информационной безопасности. Ведется мониторинг и анализ внешних событий информационной безопасности, применяются сертифицированные средства защиты информации.