Модель трех линий – революция, которая не случилась

Профессиональное сообщество пестрит перепостами анонса Ричарда Чемберса новой «модели трех линий». Речь идет о пересмотренной «модели трех линий защиты», выпущенной в 2003 ИВА. За прошедшее с того момента время у сообщества накопилось немало претензий к модели, и вопрос ее пересмотра стоял достаточно остро. Претензии были к названию, количеству линий, роли отдельных компонент или их отсутствию. И вот, наконец, в середине 2019 ИВА представила проект «пересмотренной» модели для публичного обсуждения. Но, вместо решения проблем модели, ИВА предлагал фокусироваться на ее сильных сторонах (при этом, сила некоторых сторон вызывала большие сомнения), а также, для критиков реактивности модели, вписал слово «проактивность». Документ вызвал много критики у профессионального сообщества. В результате общей критики документ снова отправился на переписывание. Помимо основной рабочей группы, над документом трудилась дополнительная группа из 30 консультантов. И вот, спустя год, документ вышел. Получается, что почти год над каждой страницей текста работало минимум три консультанта. Произошли ли те революционные изменения, которые ожидало профессионально сообщество?

Первое, что бросается в глаза в новой модели – это отсутствие слова «защита» в названии. Теперь модель не про защиту, а про достижение целей, сильное корпоративное управление и управление рисками. Это – существенное и позитивное изменение.
Следующее изменение касается линий. Не менее популярная претензия к старой модели – сколько же их должно быть и какие. Предлагались модели с 5 и даже 7 линиями. В итоге их осталось три, но их новое расположение вызывает смешанные чувства. Авторы наконец признали, что вторая линия – это тоже ответственность менеджмента, а не набор отдельных функций, «следящих» за менеджментом. Так что под менеджментом теперь и первая и вторая линия, а третья осталась без изменений – за аудитом. Надзорный орган (наблюдательный совет / совет директоров) наконец-то стал частью модели, а не абстрактным кубиком без обязанностей. Но линии не получил. Без линии также остались внешние аудиторы. А регулятор загадочным образом вообще исчез из модели. Хотя для многих отраслей регуляторы имеют существенное влияние, места для него в новой модели попросту не нашлось. Единственное упоминание регулятора в документе говорит о том, что «регулятор может требовать, чтобы руководители функций комплаенса и рисков должны быть подотчетны напрямую надзорному органу».
Авторы хвастаются, что решили вопрос с количеством линий и более нет причины спорить, сколько линий должно быть в модели. Что ж, предмет спора, на мой взгляд, действительно утратил актуальность. Спорить о количестве линий нет смысла, поскольку использование самих линий утратило смысл. О чем буквально говорится в документе:

Термины «первая линия», «вторая линия» и «третья линия» заимствован из оригинальной модели в интересах знакомства.
Однако «линии» предназначены не для обозначения структурных элементов, а для полезного различия ролей. Логично, что роли надзорных органов также составляют «линию», но эта конвенция не была принята, чтобы избежать путаницы. Нумерация (первая, вторая, третья) не должна восприниматься как последовательная операция. Вместо этого все роли действуют одновременно.

Простыми словами звучит это приблизительно так:
В линиях нет никакого смысла, но мы уже выбросили слово «защита» из названия. Если выбросить слово «линия» в названии останется только «модель», и мы потеряем такое прекрасное название.  За 17 лет мы смогли понять, что надзорный орган – это тоже линия, но три – это сакральное число, а четыре – нет. Нас не поймут все консерваторы мира, для которых название важнее сути модели. Так что надзорный орган будет без линии. И внешний аудит тоже. Нам трудно придумать и запомнить новое название модели. Смиритесь.
Еще на модели появились стрелочки между кубиками. Не только вверх, но и вниз и в право. И даже обрели смысл. Оказывается, есть не только подотчетность, но еще делегирование, коммуникации, координация и т.д.  Чувствуется, что год времени такого количества консультантов прошел не зря.
Теперь модель базируется на принципах. Сказать, чтобы это на что-то влияло я не могу.
Чтобы завершить на чем-то позитивном, отмечу, что текст модели стал более лаконичным (на мой взгляд). Небольшой, но плюс документу.
Похоже, смешанные чувства остались не только у меня. Авторы документа сами не очень довольны своей работой. Тот же Ричард Чемберс говорит о «абсолютно свежем взгляде на почтенную модель, который обещает изменить взгляд многих организаций на риск и средства контроля». Но фраза о том, что некоторые будут разочарованы, что изменения зашли или не зашли далеко, выглядит как заблаговременное оправдание и понимание того, что документ не понравится ни сторонниками радикальных изменений ни консерваторам.
Норман Маркс, который входил в те самые 30 консультантов, пишет, что «полностью поддерживает модель», рекомендует пост Ричарда и вообще призывает «почтительно относится к каждому слову в документе». Но при этом называет модель «неидеальной», а фразу Ричарда о том, что это «документ изменит взгляд многих организаций на риски и средства контроля» называет гиперболическим оптимизмом.  Фразы в стиле «Я даже звонил Ричарду и другим, призывая к драматическим переменам, если не к уничтожению этих черновиков» наводят на мысль, что год был эмоционально насыщенным, но мало продуктивным.
Восприятие сообщества тоже неоднозначно. Кто-то поздравляет с отлично проделанной работой, а кто-то пишет, что ИВА в очередной раз упустил возможность сделать что-то действительно полезное и значимое.
Что касается личного восприятия, то оно двойственное. С одной стороны, есть позитивные изменения. Документ стал лучше, если сравнивать с оригиналом. С другой стороны, полумеры, вроде линий немного разочаровывают.
Возможно, ИВА пора перестать жить в иллюзорном мире былой славы и чаще выходить в реальность? Например, задать себе вопрос: «Действительно ли документ несет ценность для организаций?». Возможно 17 лет назад так и было. Сейчас же есть огромное количество более подробных и качественных рекомендаций эту тему. На фоне некоторых из них модель выглядит как книга в стиле «корпоративное управление для детей в комиксах». Почему же компании должны руководствоваться именно «моделью трех линий»?

ISO 31000 и стандарты по непрерывности бизнеса в бесплатном доступе

Если кто-то пропустил новость - Organization for Standardization (ISO) в ответ на COVID-19 дала бесплатный доступ к стандарту по управлению рисками и стандартам по непрерывности бизнеса.

ISO 22301:2019 Security and resilience – Business continuity management systems –Requirements

ISO 22395:2018 Security and resilience – Community resilience – Guidelines for supporting vulnerable persons in an emergency

ISO 22320:2018 Security and resilience – Emergency management – Guidelines for incident management

ISO 22316:2017 Security and resilience – Organizational resilience – Principles and attributes

ISO 31000:2018 Risk management – Guidelines

Не работает внутренний контроль? Часть четвертая. Приверженность компетенции.

Сначала «кто» … затем «что». Выяснилось, что лидеры великих компаний сначала подбирают нужных им в путешествии людей, избавляются от людей ненужных, добиваются того, чтобы нужные люди занимали нужные места, и только затем, иногда уже совместно, решают, а куда же, собственно, они едут.
Джим Коллинз

Разобравшись как лучше структурировать компанию и организовать линии отчетности для поддержания текущих целей, а также определив уровни и границы ответственности, следующим шагом логично будет убедится в том, что эти полномочия предоставлены сотрудникам с адекватной квалификацией. Простая до банальности мысль, так нелегко реализуемая на практике, в условиях затянувшегося финансового кризиса и активно развивающегося кадрового голода. Но все равно без компетентного персонала далеко не уедешь. Следующий принцип модели направлен на поставку процесса обеспечения адекватного уровня компетенции персонала.

Принцип 4. Организация демонстрирует приверженность привлечению, развитию и удержанию компетентных лиц в соответствии с целями.

Следующие точки фокуса могут помочь руководству определить, присутствует ли этот принцип и работает ли он:

• Установление политики и практики.
• Оценка компетентности и устранение недостатков. 
• Привлечение, развитие и удержание отдельных лиц. 
• Планирование и подготовка к преемственности.  

Для начала, нужно определится что такое «адекватный уровень», да и вообще, какие компетенции нужны для обеспечения достижения целей. И первая точка фокуса предлагает все это определить и зафиксировать для единообразного понимания в виде политик и практик:

Установление политики и практики. Политика и практика отражают ожидания компетентности, необходимой для достижения целей.

Начну с того, как это видят авторы модели COSO, а потом уже перейду к собственному опыту. Итак, по мнению авторов, политика и практика - это руководство и поведение на уровне предприятия, которые отражают ожидания и требования инвесторов, регулирующих органов и других заинтересованных сторон. Они обеспечивают основу для определения компетенции, необходимой в организации, а также являются базой для более подробных процедур для обеспечения и оценки эффективности, а также, по мере необходимости, определения корректирующих действий. Такая политика и практика содержат:

• Требования и обоснование (например, последствия законов, правил, норм и стандартов по безопасности продукции для предприятия).
• Навыки и поведение, необходимые для поддержки внутреннего контроля в достижении целей организации (например, знание работы технологических платформ, лежащих в основе бизнес-процессов).
• Определенная ответственность за выполнение ключевых бизнес-функций.
• Основа для оценки недостатков и определения корректирующих действий, по мере необходимости (например, исправление процесса или укрепление навыков руководства и другого персонала).
• Средства для динамического реагирования на изменения (например, пересмотр операционных процедур для отражения новых нормативных требований, выявленных новых рисков или внутреннего решения об изменении бизнес-процессов). 

 Политики и практики позволяют сосредоточиться на компетенции, пронизывающей организацию, начиная с совета директоров относительно главного исполнительного директора, главного исполнительного директора относительно высшего руководства и каскадного перехода к различным уровням управления. В результате приверженность компетентности облегчает измерение достижение целей на всех уровнях организации и сторонних поставщиков услуг путем определения того, как следует осуществлять процессы и какие навыки и поведение следует применять.
Кадровая функция организации помогает определить уровни компетенции и укомплектования персоналом в зависимости от должности, облегчая обучение и ведение записей об окончании, а также оценивая актуальность и адекватность индивидуального профессионального развития в соответствии с потребностями организации.
Организация определяет требования к компетентности, необходимые для поддержки достижения целей, например, с учетом:

• Необходимых знаний, навыков и опыта.
• Характера и степени суждения и ограничения полномочий, которые должны применяться к конкретной должности.
• Анализа затрат / выгод для различных уровней навыков и опыта. 

На своей практике я сталкивался с данным подходом у моих троих работодателей. Во всех трех случаях компании были с «западным» капиталом и высоким уровнем зрелости.
В первый раз знакомство с подобным процессом оставило смесь легкого недоумения и разочарования. В компании существовал некий перечень компетенций (универсальный, без разбивки по каким-либо признакам). С какой-то периодичностью руководители оценивали сотрудников по этому списку по какой-то непонятной шкале. Каждый руководитель сам принимал решение какие компетенции для какого сотрудника применимы и на каком уровне. Результаты оценки ни на что особо не влияли, и, по моим ощущениям, интересовали только ответственное лицо в штаб-квартире. Как бы парадоксально это не звучало, но это был чуть ли не единственный странный процесс в компании, который я могу вспомнить. Во всем остальном компетентность и эффективность были основной философией. Почему же этот процесс выпадал из общей практики? Скорее всего потому, что он был избыточный. Цели, преследуемые процессом, закрывались на другом уровне, а отказаться от него было нельзя – требования штаб-квартиры. В результате люди стремились минимизировать временные затраты на не приносящий пользу процесс. 
Второй случай интересен тем, что компания имела специфику в плане развития персонала. А именно, большое количество ступеней карьерной лестницы. От каждого сотрудника ожидался профессиональный рост и развитие, позволяющие достигнуть следующего уровня в течение года. Каждый следующий ранг не только влиял на уровень зарплаты, но и существенно расширял требования по компетенции. От выполнения более простой работы – к более сложной, потом к управлению работой нескольких человек, управлению проектом, портфелем проектов и т.д. Каждый год планка поднималась все выше. Прыгнул – молодец. Не прыгнул – ты перестал развиваться. Нужно или собраться с силами и попробовать еще раз через год (одна повторная попытка) или подумать о продолжении карьеры в другом месте с менее агрессивными целями. Не буду ручаться за всю компанию, но в сервисной линии (структурное подразделение верхнего уровня), где я работал, процесс определения нужных компетенций был очень полезным. Во-первых, мне, как сотруднику, было важно понимать какой уровень каких навыков мне нужно достичь к концу года, чтобы перейти на следующий уровень. Во-вторых, мне, как наставнику (у каждого сотрудника, вплоть до директоров были наставники), нужно было помочь своим подопечным понять ожидания по компетенциям на следующий год, оценить текущий уровень компетенций, помочь составить план развития и периодически оценивать его выполнение. В-третьих, мне, как руководителю направления, понимая, какие навыки необходимы для качественного предоставления услуг по конкретным направлениям, важно было понимать, какие из этих навыков есть у моих подчиненных и на каком уровне. И, в случае выявления недостатков, принимать корректирующие действия (тренинги, найм и т.д.).  В общем, процесс был не просто полезным, а крайне необходимым.
Третья история - в каком-то смысле - комбинация первых двух ситуаций. В компании существовал перечень ключевых компетенций для всех уровней сотрудников, разбитый на операционные, управленческие и т.д. Каждая компетенция разбита по уровням зрелости. Каждый уровень подробно раскрыт на примерах в виде комиксов в большом талмуде формата А4.  Все новобращенные и пришедшие извне менеджеры проходят обязательный тренинг по требованиям к компетенциям и процессу их оценки. Задумка масштабная и, на первый взгляд, очень полезная. Но на практике, это оказалась не так. Будучи членом оценочной комиссии и слушая представления результатов оценки сотрудников функциональными руководителями, могу смело сказать, что к оценке компетенции руководители, в основном, относились, как ритуалу, от которого мало проку, но отказаться нельзя. Почему так произошло? Ведь эти практики и процесс разрабатывались непосредственно для компании. На мой взгляд, причин было две. Первая - потенциальные выгоды от процесса сильно нивелировала существующая система мотивации. Переменная часть заработной платы была достаточно большой и зависела от KPI. Разумеется, все внимание персонала было направлено на достижение KPI. Оценка же компетенций упоминалась, потому, что так принято, и ни на что не влияла. Вторая, проблема, с которой я сталкивался как функциональный руководитель - это перечень компетенций. Не могу сказать, что применяемые к моим подчиненным требования к компетенциям были бесполезны или неправильны. Но, поскольку перечень компетенций был универсальный и фиксированный, он был абсолютно бесполезен для управления компетенциями, связанными с техническими навыками или знаниями функциональных областей. Соответственно, помимо ритуального процесса для кадров, мне нужно было поддерживать собственный процесс для планирования работы и развития команды. В какой-то момент формальный процесс оценки компетенций сильно сократился. Ушла «оценка 360» и ее отсутствие никак не отразилось на оценочном процессе. Зато ее отмена была принята позитивно, поскольку высвободило какое-то время сотрудников под более полезные задачи.
Какие выводы можно сделать из этих историй? Полезен ли предлагаемый процесс? Нужен ли он вообще? Прежде, чем делать какие-то выводы ответьте для себя на следующие вопросы:

• Какие функциональные области в вашей компании вы готовы предоставить недостаточно компетентному персоналу/менеджменту?
• Действительно ли по всем функциональным областям любой(!) управленец/сотрудник легко заменяем, и утрата его знаний/квалификаций существенно не отразится на бизнесе?

Лично я считаю его достаточно полезным, если он правильно построен.  Под правильностью я подразумеваю соответствие процесса текущий потребностям компании. К понимаю потребностей и подгонке нужно отнестись очень серьезно, не пытаясь сбросить всю работу на консультантов, которые заинтересованы в наискорейшем завершении проекта и получении денег. А потому есть риск внедрить «академический» процесс «из коробки» или разработанный для нужд другой компании. Такой процесс не только не принесет каких-либо выгод (а значит все риски сохраняются в прежнем виде), но и будет съедать время сотрудников и негативно влиять на их мотивацию. Второй момент – требования компании динамичны. Следовательно, требования к компетенциям тоже динамичны. Фиксированный навсегда список среднепотолчных компетенций – это зло.
После установления «правил игры» традиционно ставим процесс оценки и корректировки:

Оценка компетентности и устранение недостатков. Совет директоров и руководство оценивают компетентность в рамках организации и поставщиков услуг на основе аутсорсинга в отношении установленных политик и практик, а также действуют по мере необходимости для устранения недостатков.

С точки зрения модели, процесс должен быть организован следующим образом. Совет директоров оценивает компетентность главного исполнительного директора, и, в свою очередь, руководство оценивает компетентность всей организации и сторонних поставщиков услуг в отношении установленных политик и практик, а затем действует по мере необходимости для устранения любых недостатков или перегибов. Могут возникнуть недостатки, связанные с укомплектованием штатов, опытом или сочетанием факторов. Руководство несет ответственность за своевременное устранение таких недостатков. 
На всякий случай уточню, что главный фокус – не оценка текущего уровня компетенций у отдельно взятых сотрудников, а оценка наличия достаточного количества сотрудников с нужными компетенциями на соответствующих направлениях для обеспечения достижения целей.  В том числе, для планируемых изменений. Например, под выпуск нового продукта, или обеспечения новых регуляторных требований могут понадобится дополнительные ресурсы и новые требования по компетенциям. Кроме того, необходимо не забывать о компетенциях, которые находятся на аутсорсинге.  Оценка отдельных сотрудников тоже нужна, и о ней (и не только) в следующей точке фокуса.

Привлечение, развитие и удержание отдельных лиц. Организация обеспечивает наставничество и обучение, необходимые для привлечения, развития и удержания достаточного и компетентного персонала и внешних поставщиков услуг для поддержки достижения целей.

Модель COSO говорит, что приверженность компетентности должна поддерживаться и быть встроена в процессы управления человеческими ресурсами для привлечения, развития, оценки и удержания адекватных руководителей, персонала и сторонних поставщиков услуг. Адекватное количество ресурсов должно определяться и периодически корректироваться с учетом относительной важности рисков, которые необходимо снизить для поддержки достижения целей организации. Менеджмент на разных уровнях устанавливает процессы для:

• Привлечения. Проведение официальных всесторонних собеседований при приеме на работу, чтобы описать историю, культуру и стиль работы организации, провести проверки (анкетных данных и рекомендаций) и процедуры, чтобы определить, соответствует ли конкретный кандидат организационным потребностям и обладает ли он компетенцией для предлагаемой роли.
• Обучения. Позволяют отдельным лицам развивать компетенции, соответствующие назначенным им ролям и обязанностям, укреплять стандарты поведения и ожидаемые уровни компетентности для конкретных заданий, адаптировать обучение с учетом ролей и потребностей, а также учитывать сочетание методов обучения.
• Наставничества. Предоставляет рекомендации о том, как человек работает в соответствии с ожидаемыми стандартами поведения и компетентности, сопоставляет навыки и знания человека с целями организации и помогает персоналу адаптироваться к развивающейся среде.
• Оценки. Оценка эффективности работы отдельных лиц в отношении достижения целей и демонстрации ожидаемого поведения, а также в отношении соглашений об уровне обслуживания или других согласованных стандартов для найма сторонних поставщиков услуг.
• Удержания. Обеспечить стимулы для мотивации и усиления ожидаемого уровня производительности и желаемого поведения, включая обучение и аттестацию. 

Как бы хорошо все перечисленное не работало (а в реалиях, как мы знаем, это происходит далеко не везде), вероятность потерять сотрудника с нужной компетенцией всегда есть. Последствия очень зависят от уровня сотрудника и специфики знаний и компетенций, которыми он обладает. Для тех случаев, когда последствия достаточно существенны, нужно готовить план Б. Об этом – последняя точка фокуса:

Планы и подготовка к преемственности. Высшее руководство и совет директоров разрабатывают планы на случай непредвиденных обстоятельств для распределения обязанностей, важных для внутреннего контроля.

Модель COSO видит процесс следующим образом. Руководство постоянно определяет и оценивает те выполняющие функции, которые считаются необходимыми для достижения целей предприятия. Важность каждой роли определяется путем оценки последствий, если эта роль будет временно или постоянно не заполнена. Например, главный исполнительный директор и другие члены высшего руководства, стратегические поставщики и ключевые партнеры - это функции, которые, как правило, требуют составления планов, обеспечивающих достижение целей, даже при отсутствии конкретного исполнителя роли.
Можно привести просто уйму примеров, когда компания теряла очень важного топа или даже сразу кучу руководителей. Или, когда отток персонала незаметно вымывает компетенцию целого направления и, в какой-то момент выясняется, что в компании нет ни одного человека, который внятно может объяснить, как устроен процесс или работу системы. Но непредвиденные обстоятельства порой проявляются и более причудливой форме.  Вот пара таких историй.
Новогодние праздники. Вся страна, за исключением отдельных профессий, погрузилась в многодневное празднование факта очередного оборота Земли вокруг Солнца. Компания, предоставляющая социально значимый сервис населению, издает приказ «обеспечить бесперебойное предоставление сервисов … выходом на работу минимально необходимого количества нужных специалистов». Достаточно спокойное по нагрузке время. Большая часть сотрудников и почти все руководство отдыхает. Из высшего руководства всего два человека. И тут приходит сообщение о минировании здания. Приезжают полиция и саперы и требуют эвакуации людей. И выясняется, что четкого понимания, как действовать в таких ситуациях нет. Оба руководителя начинают долго решать кто из них должен взять на себя ответственность и принять решение что делать. С одной стороны, скорее всего, что это чья-то очень неудачная шутка, а остановка работы на несколько часов – это достаточно серьезно. С другой стороны, пускай вероятность и крошечная, но, если это не шутка – остановка на несколько часов уже не кажется такой большой проблемой. Саперы начинают злится и угрожают уехать, если компания не начнет эвакуировать людей. В конечном итоге, принимается решение об эвакуации. Система оповещения, к счастью, работает. Немного похрипев, она оживает, и перепуганный женский голос сбивчиво просит сотрудников покинуть здания (их несколько) компании, мотивируя тем, что это не шутка. Недоумевающие сотрудники неторопливо начинают выходить на улицу и становятся глазеть на происходящее прямо под окнами компании. Кто-то замерзнув возвращается на рабочее место за курткой. Ошалевшая охрана пытается не пустить, но услышав аргумент, что на улице холодно, почему-то пропускает в здание. В общем, если бы сообщение оказалось не шуткой, последствия для компании были бы очень печальными. К счастью, это оказалось не так. Зато пришло четкое понимание, что планы по обеспечению работы бизнеса – это не только резервные копии данных в ИТ системах. Помимо прочего, должны быть четкие правила кто в случае отсутствия основного ответственного из доступных сотрудников принимает решение, сценарии коммуникаций (например, «дерево звонков»).  И, разумеется, эти планы должны быть не в сейфах, а в головах у персонала. Ибо чтение плана, когда риск уже реализовался, хорошо работает только в фэнтези.
Когда из компании уходит топ-менеджер, негативное влияние на компанию очевидно (по крайней мере, в большинстве случаев). Но может ли на компанию оказать серьезное воздействие уход одного рядового сотрудника?  В одном из банков между руководителем-экспатом и сотрудником ИТ как-то не сложились отношения. Все общение происходило в эмоциональной плоскости, существенно снижая конструктив. В какой-то момент, сотрудник ИТ поддался изрядно накопившемся эмоциям и довольно неэтично отреагировал на очередную придирку к своей работе. Для поддержания авторитета руководитель-экспат устроил зрелищное увольнение сотрудника в лучших традициях западных практик – в сопровождении охраны прямиком на улицу. Когда действие норадреналина прекратилось и с глаз сошла красная пелена, выяснилось, что выставленный на улицу сотрудник является ключевым носителем знаний об основной банковской системе. И таких специалистов в стране всего три, включая только что уволенного. И он, на тот момент, существенно превосходил своими знаниями двух других. И риск обрушить бизнес сулит ущерб гораздо больший, чем ущерб самолюбию. Пришлось, проглотив обиду, идти к уволенному сотруднику и договариваться на обслуживание на контрактной основе. Благо, сотрудник пошел навстречу и все обошлось.
В общем, ситуации бывают разные и готовится к ним нужно по-разному. Помимо планов на случай непредвиденных обстоятельств, должны быть планы преемственности для ключевых руководителей, и кандидаты в преемники обучены для принятия целевой роли. Для всех ключевых сотрудников должны быть дублеры.
Не следует также забывать и о функционале, находящемся на аутсорсинге. Если эти услуги имеют прямое воздействие на достижение целей, для таких случаев также нужен некий план. Например, меры по обеспечению постоянного обмена знаниями и документирования, облегчающие, при необходимости, переход к новому поставщику.

На этом с четвертым принципом все. Впереди финальная часть об ответственности и мотивации.
Продолжение следует...