5.9. Управление рисками и внутренними контролями

КСУРиВК направлена на обеспечение разумной уверенности в достижении целей, поставленных перед АО «Казахтелеком» органом управления.

АО «Казахтелеком» — крупнейший оператор связи в Казахстане, играет важную роль в развитии телекоммуникационной инфраструктуры и обеспечении безопасности связи в стране. Компания активно внедряет современные технологии и стремится укрепить кибербезопасность своих сетей, чтобы защитить информацию своих клиентов и обеспечить бесперебойное функционирование услуг связи. Это обеспечивается в том числе функционированием в АО «Казахтелеком» корпоративной системы управления рисками и внутренних контролей (КСУРиВК), направленной на защиту активов, совершенствование бизнес-процессов, повышение эффективности деятельности и соответствие нормативным актам применимого законодательства.

Своевременное выявление несоответствий и источников неэффективности, анализ и прогнозирование различных сценариев развития событий, разработка мероприятий по своевременному предупреждению или снижению влияния рисков вносят существенный вклад в достижение операционных и стратегических целей Компании.

5.9.1. Модель системы управления рисками и внутреннего контроля

Модель КСУРиВК вовлекает все уровни корпоративного управления в идентификацию рисков, управление ими и контроль несоответствий и включает выстраивание компонентов КСУРиВК на стратегическом и тактическом уровнях управления, а также обеспечение независимой оценки и надзора за ее функционированием.

Одним из ключевых элементов данной модели является определение и применение риск-аппетита, основные принципы которого изложены в Методике расчета и каскадирования риск-аппетита АО «Казахтелеком», утвержденной Советом директоров 13.01.2020 г. (Протокол № 1).

Аспекты, которые необходимо учитывать при определении и применении риск-аппетита:

Риск-аппетит Общества должен соответствовать видению акционеров и ожиданиям заинтересованных сторон (например, ключевых клиентов, поставщиков, Правительства, банков, рейтинговых агентств и другие);
Риск-аппетит определяется с учетом ключевых стратегических и операционных целей общества. Риск-аппетит должен представлять четкие руководящие принципы для принятия решений, однако не должен содержать подробных инструкций или заменять ключевые показатели деятельности.

Формирование риск-аппетита

Риск-аппетит (заявление о риск-аппетите) формируется Риск-подразделением с учетом собственной удерживающей способности Компании в отношении инвестиционной, финансовой и операционной деятельности в контексте создания, сохранения и реализации стоимости активов Компании. Параметры и показатели риск-аппетита могут быть пересмотрены Советом директоров Компании, в том числе по рекомендации Риск-подразделения.

Основные принципы четкого и эффективного определения риск-аппетита:

Простота

использование простых выражений, понятных для широкого круга лиц, без специфических терминов.

Практичность

акцент на ключевых аспектах деятельности Компании и связанных с ними основных рисках.

Связь со стратегией

определение желаемого подхода к риску, связанному с достижением соответствующих стратегических целей Компании и защитой ее основных ценностей.

Учет возможностей

учитывать не только негативные риски и их последствия, но и возможности для Компании.

Измеримость

включение показателей и пороговых значений для измеримости риска и предотвращения нарушений.

Основные задачи, направленные на достижение целей Системы внутреннего контроля

Формирование и актуализация основных направлений развития Системы внутреннего контроля (СВК) в соответствии с потребностями Компании и требованиями заинтересованных сторон

Оценка рисков бизнес-процессов, разработка, внедрение и выполнение контрольных процедур, включая единое методологическое обеспечение организации и эффективного функционирования СВК в Компании и ДЗО

Выявление недостатков существующих контрольных процедур, разработка и реализация мероприятий по их устранению, типизация и регламентация контрольных процедур

Разработка и внедрение механизмов взаимодействия и обмена информацией по внутреннему контролю между субъектами СУРиВК для построения превентивной системы выявления операционных рисков, в том числе с использованием информационных систем

В рамках вышеуказанных задач в Компании проводится работа по выявлению рисков бизнес-процессов, разработке и внедрению контрольных процедур, а также своевременному пересмотру их актуальности, что способствует повышению эффективности и управляемости бизнес-процессов, обеспечению достоверности финансовой отчетности, соблюдения требований законодательства и локальных нормативных документов Компании.

Организационная структура КСУРиВК Компании представлена на нескольких уровнях и включает следующих участников процесса управления рисками:

Компания осознает, что эффективное управление рисками достигается только тогда, когда в процесс вовлечен каждый сотрудник. Поэтому мы постоянно развиваем риск-ориентированную культуру, ключевыми аспектами которой являются:

«Тон сверху»

Руководство Компании выступает примером для сотрудников при обсуждении, выявлении и оценке рисков, а также активно участвует в управлении рисками. Тон формируется от крепкого имиджа КСУР, Тона сверху наравне с Тоном снизу.

Инструментарий

Все организации имеют структуру и инструменты для идентификации и управления рисками.

Инструменты создаются с учетом потребностей пользователя, корректно калибруются, сосредоточив внимание на существенных угрозах, и обеспечить их полезность для принятия решений.

Культурный спектр

Культурный спектр формируется из норм поведения и привычек на протяжении многих лет.

Поддержка обучения и развития, обеспечение психологической безопасности, укрепление конструктивного, не порицающего отношения и празднование успеха.
Приветствуется своевременное предоставление информации о рисках. Допускается принятие рисков, если они не являются критичными, но могут способствовать развитию бизнеса. Сами риски рассматриваются не только как потенциально негативное событие, но и как возможность улучшения процессов в Компании.

Вовлеченность

Для сотрудников организовано обучение управлению рисками, разрабатываются доступные методические материалы, организованы каналы коммуникации и поддержки.

5.9.2. Система внутреннего контроля

В Компании разработаны и актуализируются на периодической основе нормативные документы, регламентирующие порядок и принципы функционирования системы внутреннего контроля, включая Политику системы внутреннего контроля и Правила управления системой внутреннего контроля. В актуализированной документации определены:

цели и принципы построения системы внутреннего контроля;
распределение функций субъектов внутреннего контроля;
основные шаги и процедуры процесса внутреннего контроля, ответственных и сроки их выполнения (функционирования, совершенствования и диагностики);
порядок актуализации описания бизнес-процессов системы внутреннего контроля;
проведение диагностики (оценки эффективности) системы внутреннего контроля и порядок подготовки и предоставления отчетности о состоянии системы внутреннего контроля, в том числе выявленных недостатках системы внутреннего контроля над процессом подготовки финансовой отчетности;
проведение независимой оценки системы внутреннего контроля над процессом подготовки финансовой отчетности и отдельных ее компонентов внутренним аудитом организации.

Данные нормативные документы предусматривают порядок взаимодействия между подразделениями в рамках системы внутренних контролей, включая порядок эскалации при выявлении нарушений и недостатков, а также последовательный алгоритм действий для улучшения контрольной среды.

В АО «Казахтелеком» формализована система внутреннего контроля над процессом подготовки финансовой отчетности. Основными этапами построения и поддержания эффективной системы внутреннего контроля над процессом подготовки финансовой отчетности в Компании являются:

описание существенных бизнес-процессов подготовки финансовой отчетности;
выявление и оценка рисков на уровне бизнес-процессов (влияющих на достоверность отчетности), а также разграничение ответственности за управление данными рисками;
описание, оценка и внедрение контрольных процедур, направленных на снижение рисков на уровне бизнес-процессов;
описание, оценка и внедрение контрольных процедур корпоративного уровня, а также разграничение ответственности за их выполнение;
описание, оценка и внедрение общих ИТ контролей, а также разграничение ответственности за их выполнение;
своевременное доведение информации до заинтересованных лиц.

В Компании внедрен процесс регулярного мониторинга эффективности контрольных процедур, включающего в себя как их тестирование, так и оценку. СВК направлена на всесторонний анализ бизнес-процессов, своевременное выявление и оценку рисков процессного уровня, присущих деятельности Компании, а также на определение, оценку и поддержание действенных контрольных процедур, обеспечивающих эффективное управление этими рисками.

5.9.3. Интеграция управления рисками с кросс-функциональными процессами Компании

Взаимосвязь управления рисками со стратегическим планированием, с бюджетированием, реализацией инвестиционных проектов и продуктов и прочими процессами:

Стратегическое планирование

При разработке стратегических планов проводятся выявление и анализ рисков, влияющих на достижение поставленных стратегических целей.

Бюджетирование

Анализ и учет рисков, связанных с недостижением основных финансовых КПД.

Инвестиционное планирование проектов
и продуктов

Анализ и учет проектных и продуктовых рисков, связанных с недостижением NPV и других показателей с последующим формированием мероприятий по нивелированию рисков.

Обучение

Для сотрудников, вовлеченных в управление рисками, регулярно проводятся программы по повышению квалификации. Обучающий курс «По управлению рисками и внутренними контролями» доступен всем сотрудникам Компании. Дополнительно в 2025 году было организовано обучение риск — координаторов филиалов Компании.

5.9.4. Управление СВК в 2025 году

СВК ориентирована на комплексное изучение бизнес-процессов, оперативное выявление и оценку рисков процессного уровня, характерных для деятельности Компании, а также на определение, анализ и поддержание эффективных контрольных процедур, обеспечивающих управление указанными рисками.

В Компании ежегодно утверждается календарный план-график работ по СВК, формируемый с учетом критичности бизнес-процессов и рекомендаций внешних и внутренних аудиторов. В данном плане определяются сроки проведения верификаций, оценок зрелости бизнес-процессов, а также анализа эффективности дизайна контрольных процедур.

Формализация системы включает разработку и регулярное обновление блок-схем бизнес-процессов, матриц рисков и контролей, отражающих текущую логику процессов и встроенные механизмы контроля.

По итогам верификаций, оценок зрелости и анализа эффективности дизайна контролей, формируются рекомендации по совершенствованию бизнес-процессов, а также определяются области для дальнейшего улучшения. Результаты выполнения работ по СВК на регулярной основе представляются владельцам бизнес-процессов, СВА, внешним аудиторам, Правлению и Совету директоров.

5.9.5. Управление рисками в 2025 году

Корпоративная система управления рисками выявляет и оценивает риски, формируя целостный риск-профиль Компании. В соответствии с международными стандартами и практиками Компания ежегодно проводит идентификацию рисков.

Результаты идентификации отражаются в Регистре и Карте рисков, утверждаемых Советом директоров, включая риски, способные повлиять на достижение долгосрочных стратегических целей и ключевых показателей Плана развития.

Согласно Регистру и Карте рисков на конец 2025 года в Компании выявлено 26 рисков:

Построение карты рисков дает возможность:

определить перечень ключевых рисков и разработать планы мероприятий для их эффективного управления;
установить приоритетность рисков и организовать оптимальное распределение финансовых ресурсов.

Экологические/климатические риск-факторы

В Регистре Компании зафиксирован «Экологический/климатический риск», включающий следующие факторы:

Низкое качество топлива, неисправность автотранспортных средств и котельных.
Несоответствие требованиям законодательства в области охраны окружающей среды и санитарных норм, недостаточная осведомленность сотрудников компании.
Нарушение требований по обращению с отходами и сточными водами.
Отсутствие отдельного структурного подразделения, отвечающего за экологические вопросы.
Накопление ртутьсодержащих ламп, автомобильных шин и других материалов, которые не утилизируются.
Недостаточное финансирование для проведения утилизации.
Отсутствие обучения сотрудников по экологическим вопросам.

Идентифицированные риски систематизируются в Регистре рисков по следующим категориям:

стратегические риски — риск возникновения убытков вследствие изменения или ошибок (недостатков) при определении и реализации стратегии деятельности и развития, изменения политической среды, региональной конъюнктуры, отраслевого спада, новые продукты, которыми следует или не следует заниматься, инвестиции в капитальные затраты, деятельность по слияниям и поглощениям и других внешних факторов системного характера;

финансовые риски — включают риски, связанные со структурой капитала и снижением финансовой прибыльности. Финансовые риски включают в себя рыночные риски (колебания процентных и валютных ставок, колебания цен на природные ресурсы и ценные бумаги), риски ликвидности, кредитные риски (на корпоративных контрагентов, физических лиц, банки второго уровня и по требованиям в других странах);
правовые риски — риски возникновения потерь вследствие несоблюдения требований законодательства Республики Казахстан, в отношениях с нерезидентами Республики Казахстан — законодательств других государств;
операционные риски — риски возникновения убытков в результате недостатков или ошибок в ходе осуществления внутренних процессов, ошибок, допущенных со стороны работников (включая риски персонала), функционирования информационных систем и технологий (технологические риски), производственной безопасности, а также вследствие внешних событий.

В корпоративном регистре зарегистрировано 8 стратегических рисков, 6 из которых находятся в ключевой зоне:

Рост оттока;
Уменьшение доли группы АО «Казахтелеком» на рынке услуг фиксированной связи;
Риски проектов;
Регуляторный риск;
Риск потери РЧС;
Риск неконкурентоспособных ИКТ-услуг.

По каждому из рисков ключевой зоны разработаны планы мероприятий по управлению риском.

Постоянное развитие и улучшение КСУРиВК дает возможность Компании оперативно адаптироваться к изменениям внешней среды и внутренних бизнес-процессов, повышать свою эффективность и способствует росту акционерной стоимости.

5.9.6. Ключевые риски 2025 года

Департамент управления рисками и внутренних контролей осуществляет регулярный мониторинг изменений ключевых рисков, а также контролирует выполнение мероприятий, направленных на их снижение. Результаты мониторинга отражаются в отчетности по управлению рисками и внутренним контролям, которая ежеквартально представляется на рассмотрение Совета директоров Компании.

Таблица 86. Ключевые риски и предпринятые мероприятия по снижению рисков

Ключевые риски

Мероприятия, предпринятые Компанией по снижению риска

Уменьшение доли группы АО «Казахтелеком» на рынке услуг фиксированной связи

Завершение строительства оптических сетей в домах из списка приоритетных новостроек;
Запуск новой тарифной линейки для сегмента ИП/МСБ;
Своевременная реализация проектов ЦОД&Cloud;
Внедрение Программы мотивации для sales-менеджеров от уровня продаж;
Разработка программы лояльности с учетом ценовых и других инструментов;
Сохранение и поддержание качества предоставляемых услуг;
Формирование конкурентоспособных тарифов и продуктов.

Валютный риск

Удержание доли доллара США в денежной массе не менее 50%;
Размещение долларовой ликвидности в альтернативных ФИ.

Кредитный риск

Организация работ по снижению ПДЗ;
Организация работ по снижению ПДЗ/СДЗ;
Организация контроля по недопущению роста ПДЗ;
Уведомление работников продаж относительно необходимости предоставления личных дел.

Правовой риск

Оформление имущественных прав на неоформленные участки кабельной канализации и земельные участки, пролонгация прав собственности на объекты с истекшим сроком действия;
Разработка и внедрение БД «Договора»;
Разработка Базы регламентирующих документов «Исполнительное производство»;
Создание упрощенной схемы оплаты сумм штрафов по решениям суда/исполнительного листа.

Фрод

Проведение профилактики и пресечение нарушений в сфере фрод со стороны работников Компании;
Осуществление проверок структурных подразделений Центрального аппарата и филиалов Компании.

Нарушения ИБ

Реализация проекта Модернизация средств защиты информационной безопасности;
Проведение мероприятий по осведомленности работников Компании о правилах и требованиях ИБ.

Кадровый риск

В течение года исполнение Комплексного плана мероприятий по обеспечению социальной стабильности в группе компаний АО «Казахтелеком»;
В течение года исполнение плана мероприятий по производственной безопасности АО «Казахтелеком».

Риск закупочных процедур

Обучение и проведение тестирования участников закупок по программе «Порядок осуществления закупок АО «Самрук-Қазына» и планирование цен на товары в закупках фонда»;
Правильное оформление документации, расширение круга поставщиков, адаптация к изменяющимся правилам и стандартизация конкурсной документации.

Сохранность физических активов

Обеспечение охраны и систем технической защиты объектов Компании;
Реализация бизнес-плана «Пожарная безопасность».

Риск качества

Мониторинг ухудшения/улучшения показателя повторных обращений;
Реализация проекта «SAPA +», направленного за улучшение интернет-соединения по Wi-Fi у клиентов АО «Казахтелеком»;
Реализация проекта «ТАЗАРТУ» — переход медной инфраструктуры на оптические сети.

Риски проектов

Оптимизация и мониторинг закупочных процедур;
Контроль проработки тех. спецификации с целью корректного отражения природных, техногенных и инфраструктурных условий территории объектов проектируемого строительства и стоимости работ.

Регуляторный риск

Реализация Дорожной карты по обеспечению 100% охвата средствами СОРМ фиксированной телефонной связи;
Внедрение Пульта СОРМ отечественного производства.

Риск управления РЧС

Реализация мероприятий по сохранению неиспользуемых частот.

Риск неконкурентоспособных ИКТ решений/услуг

Своевременная реализация проектов, запуск пилотных проектов. Формирование конкурентоспособных тарифов и продуктов;
Мониторинг ИТ-трендов и конкурентной среды, разработка новых ИИ-продуктов, улучшение существующих продуктов с использованием трендов (ИИ), внедрение системы оценки инновационной активности;
Обновление ПО, оборудования ОВН. Аудит Платформы предоставления услуг (ресурсы);
Автоматизация ключевых процессов, обучение персонала, внесение изменений в организационную структуру ДЦБ.

Обесценение активов

Улучшение показателя EBITDA;
Усиление контроля согласуемых инвестиционных проектов.

5.9.7. Развивающиеся риски и возможности

В целях обеспечения превентивных мер по управлению рисками были определены следующие развивающиеся риски (emerging risks).

В настоящее время наблюдается увеличение внимания к киберрискам, которые рассматриваются как один из основных глобальных рисков для финансового сектора и экономики в целом. Риски информационно-коммуникационных технологий, которым подвергаются предприятия, постоянно возрастают как по частоте, так и по серьезности кибератак. Утечки данных с целью кражи личной информации в мире происходят ежедневно, но только самые крупные из них попадают в заголовки СМИ.

Тем не менее использование искусственного интеллекта (ИИ) предоставляет также широкий спектр положительных влияний:

Автоматизация и оптимизация процессов: ИИ позволяет автоматизировать рутинные задачи, ускоряя процессы и повышая эффективность работы в различных областях, от производства до обслуживания клиентов.
Развитие технологий безопасности: ИИ улучшает системы безопасности, позволяя обнаруживать аномальное поведение и предотвращать кибератаки и другие угрозы безопасности данных.

Использование ИИ в КСУРиВК может повысить точность выявления отклонений, автоматизировать контроль процессов и улучшить прогнозирование сценариев. Эти инструменты помогут разрабатывать превентивные меры по снижению операционных рисков, поддерживать достижения стратегических целей Компании и повышать ее устойчивость в условиях быстро меняющейся технологической среды.

Развивающиеся риски

Внутренние

Экологический/климатический риск;
Риск конфиденциальности данных в том числе при использовании ИИ;
Риск зависимости международных транзитных телекоммуникационных маршрутов.

Внешние

Мировой Межгосударственный вооруженный конфликт;
Нехватка природных ресурсов;
Негативные последствия технологий искусственного интеллекта;
Технологические угрозы и кибербезопасность.

Меры по управлению развивающимися рисками

Таблица 87. Меры по управлению развивающимися рисками

Развивающиеся риски	Меры по управлению развивающимися рисками
Экологический/климатический риск	Реализация проектов: Система раннего обнаружения лесных пожаров; Единая инфраструктура дронов; Перевод объектов Южного и Алматинского региона Общества с дизельного топлива на газ, имеющих техническую возможность.
Риск конфиденциальности данных, в том числе при использовании ИИ	Реализация проекта: По модернизации средств защиты информационной безопасности.
Риск зависимости международных транзитных телекоммуникационных маршрутов	Реализация проектов: Строительство ВОЛС по дну Каспийского моря; Расширение транзитной емкости сети в направлении Китай/ЦА-Европа.

5.9.9. Направления развития КСУР и ВК

В контексте непредсказуемой бизнес-среды, Компания продолжает совершенствовать модель управления рисками и внутренними контролями с учетом новых вызовов и требований. Мы четко определили наши цели и направление движения, основываясь на основополагающих концепциях и стандартах. Мы активно работаем над внедрением улучшений, осознавая, куда идем и каким образом достигнем поставленных целей в области управления рисками и внутренними контролями.

Основываясь на следующих компонентах:

Корпоративное управление и культура;
Стратегия и постановка целей;
Эффективность деятельности;
Мониторинг и внедрение изменений;
Информация, коммуникации и отчетность;
Контрольные процедуры.

5.9.8. Развитие КСУР и ВК в 2025 году

Непрерывное развитие и совершенствование КСУРиВК позволяет Компании своевременно реагировать на изменения во внешней среде и внутренних бизнес-процессах, повышать эффективность своей деятельности, а также способствует увеличению акционерной стоимости Компании.

Таблица 88. Основные результаты мероприятий по развитию КСУРиВК в 2025 году

Мероприятия по развитию КСУРиВК

Результат

Разработка и совершенствование методологии СУРиВК

Актуализированы Правила идентификации, оценки и мониторинга рисков АО «Казахтелеком»;
Актуализирована Методика разработки, внедрения и мониторинга системы ключевых индикаторов риска АО «Казахтелеком».

Разработка и реализация программы обучения работников

Для развития профессиональных компетенций работников усовершенствованы и проведены обучающие семинары по темам риск-менеджмента и внутренних контролей;
В рамках процесса адаптации и введения в должность новых сотрудников, обеспечено прохождение разработанных Департаментом управления рисками и внутренних контролей, обязательных вводных электронных курсов по управлению рисками, внутренним контролям и процессному управлению;
В целях повышения риск-культуры ДУРиВК проведен тренинг «Системы управления рисками и внутренних контролей» для работников Компании.

Развитие аппарата оценки рисков с использованием экономико-математических моделей и экспертных оценок

Разработаны модели по количественной оценке отдельных рисков;
Актуализирована Методика по проведению Рисковой экспертизы инвестиционных проектов.

Улучшение и поддержание СВК

Актуализирована Карта гарантий АО «Казахтелеком»;
В целях исполнения норм Правил по управлению системой внутреннего контроля АО «Казахтелеком» утвержден Перечень существенных бизнес-процессов АО «Казахтелеком».