Це  четверта стаття з нашого циклу про звітність у ризик-менеджменті. Ми починали з власників ризиків, потім говорили про звіти CRO для правління, а далі — про велику картину для наглядової ради. Тепер час перейти до формату, який пов’язує всі ці рівні в єдину систему, — до квартальної звітності.

Квартальний звіт з ризиків — це як дзеркало, в яке компанія дивиться чотири рази на рік. І тут одразу два варіанти: або воно чесно показує всі зморшки, темні кола й синці, або ж воно «криве», як у кімнаті сміху, де всі ризики раптом виглядають стрункими та підтягнутими.

Правда в тому, що від якості цього звіту залежить дуже багато. Якщо він зроблений формально, то лягає у папку й припадає пилом. Якщо ж він справді відображає стан компанії — він стає інструментом, без якого важко ухвалювати рішення.

Квартальні звіти — це не суха бюрократія. Це момент істини для CRO: чи він зумів зібрати імпульси від усіх власників ризиків, перекласти їх на мову бізнесу для правління і водночас дати стратегічний сигнал наглядовій раді.

Що таке квартальний звіт і навіщо він потрібен

Квартальний звіт із ризиків — це не просто товста пачка слайдів, яку CRO приносить у зал засідань, а потім усі чемно кивають, перегортаючи сторінки. Насправді це єдиний документ, який одночасно має задовольнити три аудиторії:

• Власників ризиків. Вони хочуть побачити, що їхні звіти не пропали у чорній дірі CRO, а перетворилися на частину «великої картинки». Інакше в них виникає класичне питання: «Навіщо я щомісяця це заповнюю, якщо ніхто навіть не читає?»
• Правління. Йому важливо зрозуміти: «Чи ми в зоні ризикового апетиту? Які три речі можуть вибити нас із колії вже завтра? І які рішення потрібні від нас сьогодні?»
• Наглядова рада. Тут очікування ще простіші: «Покажіть нам, як виглядає компанія в дзеркалі ризиків: чи є стратегічні загрози, чи ми витримаємо бурю, і які тенденції вже з’являються на горизонті?»

От і виходить, що квартальний звіт — це такий собі «універсальний перекладач». Він бере технічну мову індикаторів, операційних інцидентів і процедур та перекладає її на три різні рівні: операційний, тактичний і стратегічний.

А тепер трішки гумору. Один CRO якось пожартував: «Мій квартальний звіт — це як борщ. Кожен інгредієнт окремо мало що означає, але коли правильно звариш, то виходить страва, яку можна подати і робітнику, і професору. Тільки тут замість буряка — ризик шахрайства, замість картоплі — ризик ІТ, а замість сметани — репутаційний ризик».

І справді: секрет у тому, щоб зварити все докупи так, аби воно мало сенс.

Структура квартального звіту: як виглядає «живий зріз» ризиків

Квартальний звіт CRO — це не просто черговий документ для галочки. Це той самий живий зріз, який показує, що система управління ризиками реально функціонує. Якщо заяява про ризик, політика і стратегія — це в певному сенсі декларації, то саме звітність доводить: «ми не лише написали, ми справді працюємо».

1. Повний перелік ризиків із Політики

У звіті обов’язково мають бути відображені всі ризики, визначені в Політиці компанії, без винятку. Не топ-3, не «найактуальніші», а саме повний список.
Чому це критично:

• Регулятор прямо перевіряє: чи кожен ризик, на який встановлений ліміт, відслідковується й оцінюється.
• Це дисциплінує: і CRO, і власників ризиків. Бо якщо якийсь ризик «загубився» між кварталами, то це сигнал, що система не працює як ціле.

Форма подання може бути різною — таблиця, інфографіка, навіть «ризиковий дашборд» — але обов’язково має бути видно, що всі ризики «на місці».

2. Інциденти за квартал

Другий шар — це фактологія. Для кожного ризику треба показати:

• були чи не були інциденти у цьому кварталі;
• коротко охарактеризувати їх (що сталося, який вплив).

Тут важливо не писати «епопеї» у стилі внутрішніх розслідувань, а дати суть у двох рядках. Наприклад:

• Ризик шахрайства: «2 випадки, сумарно 250 тис. грн, відшкодовано 200 тис. через суові рішення».
• Ризик ІТ: «1 збій CRM, 4 години простою, відновлено з резервної копії».

Цей блок виконує роль «рентгену»: він показує, що по ризиках реально відбувалося.

3. Заходи мінімізації, виконані протягом кварталу

Наступне запитання: «Добре, інциденти були. А що зробили?»
Саме тут звітність показує практичний сенс системи управління.

Формат простий:

• які кроки зроблено у звітному кварталі для зниження конкретного ризику;
• хто відповідав;
• який результат.

Приклад:

• Ризик ліквідності: «оновлено політику ALM, запроваджено щотижневий моніторинг cash-flow, встановлені три ліміти на відтік».
• Ризик персоналу: «запущено нову програму retention для ключових співробітників, рівень плинності знизиться на 2% (очікуваний результат на півріччя)».

Це саме той блок, який дає змогу ключовим стейкхолдерам побачити: ризик-менеджмент живе у практиці, а не на папері.

4. Плани на наступний квартал

Звіт не може закінчуватися минулим часом. Він має показувати, що компанія постійно в процесі управління ризиками. Тому обов’язковий блок — «плани».

Наприклад:

• Ризик інформаційної безпеки: «у наступному кварталі планується пентест і аудит зовнішніх підрядників».
• Ризик відповідальності: «розробка й погодження нової процедури claims-handling з юрдепартаментом».

Це формує довіру: бачимо не тільки те, що компанія реагує, а й що вона планує рухатися вперед.

5. Зміна оцінки ризиків за квартал

Один із найважливіших блоків. У ньому показують, чи змінилася загальна оцінка ризику (його рівень, зона чи статус) у порівнянні з попереднім кварталом.

Формат може бути простим:

• «Було: жовта зона, стало: зелена (завдяки заходам X і Y)».
• «Було: зелена зона, стало: жовта (через інциденти і нові дані)».

Така динаміка дуже важлива для:

• регулятора — він бачить, що компанія не просто «заморожує» оцінки, а реально їх переглядає;
• керівництва — вони розуміють, як змінюється ризиковий профіль і які фактори на це впливають.

Чому саме ця структура є ключовою

Це не просто «зручно». Це єдина логіка, яка працює в реаліях Постанови НБУ №194 і практики інспекцій:

• показати всі ризики;
• за кожним — інциденти, заходи, плани;
• продемонструвати зміну оцінки.

Такий звіт можна показати і правлінню, і наглядовій раді, і регулятору — і він завжди буде виглядати переконливо, бо базується на єдиній системі координат. Я би навіть назвав це «формулою довіри»: ризик → подія → дія → план → зміна оцінки. Якщо цей ланцюг видно у звіті — значить, система реально працює.

Як може виглядати квартальний звіт: приклад таблиці (вкрай спрощено)

Чому цей формат працює

• Він охоплює всі ризики з Політики, без «забутих» сфер.
• По кожному ризику видно повний цикл: що сталося → що зробили → що будемо робити → як змінилась оцінка.
• У такій таблиці зручно працювати і CRO, і правлінню.

А головне — це саме той документ, який показує: компанія не просто має систему управління ризиками, а живе в ній щодня.

Чому квартальні звіти — це доказ життя, а не формальність

Квартальна звітність із ризиків — це, можливо, найнудніше слово у словнику корпоративного управління. Але в реальності саме вона є тим документом, який відрізняє компанію з «красивою паперовою системою» від компанії з реальною нервовою системою управління.

Політика? Гарний текст, але без звітності — це просто декларація намірів.
Стратегія? Вражає на презентаціях, але без звітності — це лише слова.
Декларація апетиту? Звучить амбітно, але без звітності вона залишається порожнім гаслом.

А ось квартальний звіт — це вже «тіло», а не «душа на папері». У ньому видно, що:

• ризики реально відстежуються;
• інциденти не приховуються, а фіксуються;
• заходи виконуються;
• плани формуються;
• оцінки змінюються.

Це єдиний документ, який неможливо підробити красивими словами. Бо якщо в ньому немає інцидентів — одразу виникає питання: «У вас компанія ідеальна? Серйозно?» Якщо немає планів — «А що ви робитимете далі?» Якщо оцінки ризиків роками не змінюються — «То ви живете в паралельному світі?»

Для регулятора квартальний звіт — це індикатор того, що система живе. Для правління — це база для рішень. Для наглядової ради — доказ того, що стратегічні ризики контролюються. А для самої компанії — це внутрішнє дзеркало, в яке можна подивитися чесно й побачити реальність, а не ілюзії.

Можна сказати так: без квартальних звітів система управління ризиками — це театр тіней. А з ними — це справжній живий організм, здатний реагувати, захищати і розвиватися.

Але будьмо відверті: звіти самі по собі не рятують компанію. У наступній статті нашого циклу ми поговоримо про важливе — що робити з отриманими звітами і як перетворити їх з архіву в інструмент дій.

Сергій Бабич