חוזר בנושא ניהול סיכונים בחברות הממשלתיות

גירסה להדפסה

ירושלים, י"ט בסיון התשס"ט
11 ביוני 2009
חוזר   הדירקטוריון

2009/1

לכבוד
יו"ר הדירקטוריון
מנכ"ל החברה
משרד רואי חשבון

א.ג.נ.,

הנדון: חוזר בנושא ניהול סיכונים בחברות הממשלתיות

1. מטרת החוזר:
מטרת החוזר הינה לקבוע עקרונות להסדרת חובתה של חברה ממשלתית למסד תהליך מסודר לניהול הסיכונים להם היא חשופה, תוך יצירת מנגנוני בקרה. במסגרת זו נקבעת החובה לדירקטוריון החברה להתוות מדיניות ניהול סיכונים ולפקח על ביצועה. יצירת מערך ניהול סיכונים אשר יוטמע בכל התהליכים בחברה, כחלק אינטגראלי מהתהליכים אלו, צפוי להפחית את רמת הסיכון לה חשופה החברה ולמנוע או לצמצם את התממשותם. 
ניהול סיכונים יכול לתת בידי ההנהלה והדירקטוריון אמצעי לזיהוי אירועים העלולים לגרום נזק לארגון, להגדיר את רמת הסיכון בהתאם ליעדי החברה ומטרותיה, לרבות יעדים ממלכתיים כפי שהוגדרו בחקיקה, בתקנות או בהחלטות ממשלה ורשויות מדינה אחרות המוסמכות לכך, ובהתאם ליעדים העסקיים והאסטרטגיים שקבעה לעצמה החברה. 
ניהול סיכונים אפקטיבי יסייע לתהליך קבלת החלטות טוב יותר, וכפועל יוצא מכך לשיפור ברמת הניהול בחברה.

2. רקע:
פעילות החברות כרוכה בנטילת סיכונים. ביניהם, סיכונים תפעוליים, סיכוני ציות, סיכונים פיננסיים, סיכונים אסטרטגיים וסיכונים אחרים הקשורים לחברה. מדיניות ניהול הסיכונים הינה נדבך חשוב בבחירת מכלול הפעולות והאמצעים שעל חברה ממשלתית לנקוט על מנת לעמוד ביעדים ובמטרות שנקבעו לה, הן על ידי גורמים חיצוניים והן על ידי גורמים פנימיים בחברה.
המשבר המתחולל בשווקים הפיננסיים הבינלאומיים ובשווקים נוספים בימים אלו ממחיש את הצורך באיתור מכלול הסיכונים המהותיים לחברה.

על כל חברה ממשלתית לקבוע את סוגי הסיכון אליהם היא חשופה, ליצור ביניהם מדרג, לקבוע סדרי עדיפות לטיפול וכן להגדיר את הגורמים הרשאים ליצור חשיפות לסיכונים,  לגדרם ולטפל בהם ואת סמכויותיהם, וכן את תהליך הבקרה הפנימית במסגרת החברה, לרבות אופן הדיווח לדירקטוריון.

3. הגדרות:
3.1 סיכון הינו האפשרות כי אירוע, פעילות או פעולה (פנימיים או חיצוניים לחברה) יפגעו ביכולת החברה לעמוד ביעדיה ובמטרותיה. התממשות הסיכון עלולה  לגרום לנזקים מסוגים שונים: החל מנזקים כספיים, פגיעה במוניטין, באיכות הסביבה, בחיי אדם ועוד. זאת הן ביחס לחברה והן ביחס לגורמים הקשורים אליה ומספקים או מקבלים שירותים ומוצרים ממנה.  לסקירה אודות סוגים שונים של סיכונים- ראו נספח לחוזר זה.

3.2 ניהול סיכונים הינו תהליך מתמשך המתבצע כחלק מניהולה השוטף של חברה, ומטרתו לספק מידה סבירה של ביטחון למניעת התממשות סיכונים וזאת על ידי ביצוע תהליך שיטתי לאיתור וזיהוי הסיכונים, הערכת השלכותיהם וההסתברות להתרחשותם, תעדוף הטיפול במניעת הנזקים או במזעורם על פי השלכות הנזקים והאפשרות להתרחשותם, הגדרת שיטת הטיפול בהם, ההשקעה הנדרשת לשיטת טיפול זו ובקרה על ביצוע הפעילויות הנובעות מהטיפול.

4. אחריות הדירקטוריון:
להלן ההוראות הנוגעות לניהול הסיכונים, בקרתם והדיווח עליהם:
4.1 דירקטוריון החברה יתווה ויאשר את מדיניות ניהול הסיכונים ע"י הנהלת החברה, ויפקח על ביצועה כמפורט להלן:

4.2 הנהלת החברה תציע כללי דיווח להנהלת החברה ולדירקטוריון ותביאם לאישור הדירקטוריון.

4.3 הדירקטוריון יבחן, אחת לשנה לפחות, את מערך ניהול הסיכונים בחברה, לרבות:

1. התאמת מסגרת העבודה למדיניות ניהול סיכונים של החברה. מסגרת עבודה זו תכלול פירוט של מכלול הסיכונים המהותיים לחברה ותקבע את העקרונות לאופן הזיהוי, ההערכה, הניטור והבקרה/הפחתה של סיכונים אלו.
2. מגבלות הסיכון שנקבעו ומידת התאמתן ויעילותן.
3. סיכונים מהותיים  שהתממשו או מעט והתממשו במהלך התקופה  ומסקנות מתהליך הפקת הלקחים שהתבצע בעקבותיהם.
4. סיכונים מהותיים שלאחר יישום תוכנית לניהול הסיכונים, נותרו  בסיכון גבוה.
5. הדירקטוריון  יתווה  מדיניות  של  בקרה  שוטפת  (התאמה  ועדכון)  והפחתת  סיכונים מהותיים.
6. מידת  התאמת  התשתית  הארגונית, תשתית  הדיווח  וזרימת המידע הדרושים לניהול  הסיכונים בחברה.
7. בחינת ההסתברות להתממשות הסיכונים.

4.4 דירקטוריון החברה אחראי לעריכת סקר סיכונים מקיף בחברה, אשר יכלול את כל סוגי  הסיכונים הרלוונטיים לחברה. הסקר יכלול, בין היתר, תרחישי סיכון אפשריים, לרבות קורלציה בין הסיכונים, כאשר לגבי כל תרחיש יבוצע אמדן של מידת הנזק והסבירות להתממשותו. הסקר יכלול הערכה של האופן בו מנהלת החברה את סיכוניה, לרבות הערכה של התשתית, התהליכים והיכולת הקיימת בארגון לניהול הסיכונים תוך זיהוי פערים פוטנציאליים וחוסר יעילות (כגון האם ישנם סיכונים שאינם מטופלים באופן סביר על ידי אף גורם, האם קיימים סיכונים המטופלים על ידי מספר גורמים). הדירקטוריון ידון בתוצאות הסקר, מייד עם סיומו.

4.5 לאור תוצאות סקר הסיכונים, והערכת התשתית הארגונית הקיימת, על כל היבטיה, יבחן  דירקטוריון החברה את מדיניות ניהול הסיכונים הקיימת בחברה, וידון ויאשר תוכנית מעודכנת לניהול הסיכונים.

4.6 יש לעדכן את סקר הסיכונים באופן שוטף בתדירות שתקבע על ידי הדירקטוריון. בכל מקרה  על הדירקטוריון לבחון עדכון ובדיקת סקר הסיכונים בקרות אירועים חריגים ומהותיים.

4.7 סקר סיכונים מקיף חדש יערך  אחת לתקופת זמן הנדרשת כפי שתקבע על ידי הדירקטוריון, ובלבד שלא תעלה על שלוש שנים מיום ביצוע הסקר המקיף הקודם בחברה בסיווג 9 ומעלה  וחמש שנים בחברות בסיווג נמוך יותר.

4.8 דירקטוריון החברה רשאי למנות וועדה ייעודית לעניין ניהול הסיכונים, או לחלופין, הדירקטוריון ימלא תפקיד זה, הן במסגרת ישיבות המליאה והן במסגרת הדיונים בוועדות הדירקטוריון הקיימות.

4.9 במועד פרסום חוזר זה, באם בחברה נערך סקר סיכונים לפני יותר משלוש שנים בחברה בסיווג 9 ומעלה או מחמש שנים בחברה מסיווג 8 ומטה, יערוך דירקטוריון החברה סקר סיכונים חדש בתוך שנה מיום  הוצאת חוזר זה.

4.10 במועד פרסום חוזר זה, באם נערך סקר סיכונים בחברה לפני פחות מחמש שנים או משלוש  שנים לפי קבוצות הסיווג המנויות בסעיף 4.7 לעיל, אזי יחליט דירקטוריון החברה האם לערוך סקר חדש, בשים לב  לשינויים שחלו במהלך התקופה ברמות הסיכונים וניהולם בחברה. באם הוחלט שלא לבצע סקר סיכונים נוסף, יינתן גילוי לנימוקי ההחלטה בפרוטוקול ישיבת הדירקטוריון ובדוחות החברה לרשות בעניין ניהול הסיכונים בחברה.

5. מנהל הסיכונים:

5.1 הוראות לחברות בסיווג 9-10:
דירקטוריון החברה יחליט האם למנות חבר הנהלה נוסף שיהיה אחראי על ניהול הסיכונים בחברה במסגרת המדיניות והחלטות הדירקטוריון והנהלת החברה  ("מנהל הסיכונים") או לחילופין למנות לתפקיד זה חבר הנהלה מקרב חברי ההנהלה הקיימת. בחר הדירקטוריון בחבר הנהלה נוסף, תנאי העסקתו יהיו כשל "פקיד בכיר" כהגדרתו בסעיף 32(א) (4) בחוק החברות הממשלתיות, התשל"ה - 1975 והוא יהיה כפוף למנכ"ל החברה. טרם הליך האיתור, יתקן הדירקטוריון את נוהל בחירת פקידים בכירים בעניין ההוראות בדבר תנאי הכשירות הנדרשים לתפקיד זה, כאמור בתקנות החברות הממשלתיות (כללים בדבר אופן בחירת פקידים בכירים) התשס"ה- 2005. בחר דירקטוריון החברה  למנות אחד מחברי ההנהלה הקיימת, יוודא הדירקטוריון שלא יתקיימו ניגודי עניינים בין תפקידו כמנהל סיכונים לבין תפקידיו האחרים ושלא תפגע יכולתו למלא את תפקידו כמנהל הסיכונים.

5.2 הוראות לחברות בסיווג 8 ומטה: 
דירקטוריון החברה ימנה מנהל סיכונים מבין חברי ההנהלה הקיימת, ובלבד שלא יתקיימו ניגודי עניינים בין תפקידו כמנהל סיכונים לבין תפקידיו האחרים ושלא תפגע יכולתו למלא את תפקידו כמנהל הסיכונים, ויתקיימו, בשינויים המתחייבים, ההוראות המנויות בסעיף 5.1 לעיל בעניין העסקה והמינוי של מנהל הסיכונים.

5.3 בחברות בסיווג 6 ומטה רשאי הדירקטוריון  לבחור בשירותי מיקור חוץ  לשם ניהול הסיכונים בחברה, אם לדעתו חלופת העסקה זו עדיפה לצורך יישום נאות יותר של חוזר זה ויינתנו נימוקים לכך בפרוטוקול החלטת הדירקטוריון ובדוחות החברה לרשות בעניין.
הגדרת תפקידי מנהל הסיכונים וסמכויותיו

5.4 מנהל הסיכונים יפתח כלים לאופן הזיהוי, ההערכה, הניטור, הבקרה וההפחתה של הסיכונים, ויציג אותם להנהלת החברה ולדירקטוריון מעת לעת ולפחות אחת לרבעון.

5.5 באחריות מנהל הסיכונים לעקוב ולדווח אחר ניהול בקרת הסיכונים בחברה, כפי שנקבע על ידי הדירקטוריון והנהלת החברה.

5.6 יודגש כי מנהל הסיכונים אחראי על תשתית, איסוף ודיווח של מידע, בקרה ובחינת העמידה במגבלות הסיכון. ניהול הסיכונים בפועל, יתבצע על ידי המנהלים השונים, בשים לב, בין היתר, למידע שהציג בפניהם מנהל הסיכונים.

5.7 מנהל הסיכונים יזהה, יעריך וידווח על הסיכונים הטמונים בכל הפעילויות, התהליכים, המערכות והמוצרים המהותיים באופן שוטף והן לפני כניסה לתחומי פעילות/מוצרים/שירותים מהותיים, או בעת שינוי מהותי בפעילות קיימת, וידווח על כך להנהלת החברה ולדירקטוריון ולגורמים רלוונטיים אחרים, כחלק אינטגראלי מהליך קבלת ההחלטות בעניינים אלו.

5.8 מנהל  הסיכונים יהיה בעל סמכות לדרוש ולקבל כל נתון, מידע או מסמך  מאת כל בעל תפקיד בחברה, שהוא סבור שנדרש לו לשם מילוי תפקידו.

5.9 לפי סעיף 8 (א) לחוק הביקורת הפנימית התשנ"ב- 1992, מבקר הפנים לא יוכל לכהן בתפקיד מנהל הסיכונים.

5.10 החברה תעגן בנהלים, מוקדם, ככל האפשר, ולא יאוחר משנה מיום הוצאת חוזר זה, את תחומי האחריות, הסמכות והדיווח של הגורמים השונים המעורבים בניהול הסיכונים, בהתאם למדיניות הדירקטוריון. הנוהל יקבע כללים לאירועים שחייבים בדיווח להנהלת החברה ולדירקטוריון וכן כללי דיווח, מיידים, שוטפים ותקופתיים. כמו כן יקבע בנהלי החברה מדרג  של גורמים מאשרים רלוונטיים לתיעדוף הסיכונים.

6. המבקר הפנימי ועבודת הביקורת הפנימית ביחס ניהול הסיכונים:
6.1 בדיקת ניהול הסיכונים בחברה בהתאם לחוזר זה תהיה חלק מתוכנית העבודה השנתית של המבקר הפנימי. 

6.2 בעת תכנון תוכנית העבודה השנתית של הביקורת הפנימית על המבקר הפנימי לקחת בחשבון את תוצאות סקר הסיכונים ואת הערכת התהליך הכולל שבו נוקטת החברה לעניין ניהול בקרת הסיכונים.

6.3 על המבקר הפנימי לבדוק את יישום המדיניות וביצוע החלטות הדירקטוריון והנחיותיו בנושא ניהול ובקרת הסיכונים, ואת מהימנות וזמינות המידע הניהולי והדיווחים בעניין ניהול בקרת הסיכונים לדירקטוריון ולהנהלת החברה. בין הגופים שיבוקרו ע"י המבקר הפנימי יהיה גם מנהל הסיכונים.

7. גילוי בדוח הדירקטוריון:
יש לתת גילוי קצר ותמציתי בדו"ח הדירקטוריון השנתי לסיכונים המהותיים של החברה. גורמי הסיכון המהותיים יוצגו בטבלה על פי טיבם וידורגו בקטגוריות ראשיות ועל פי מידת השפעתם, ככל שניתן, לגבי כל גורם סיכון, לדעת הדירקטוריון על החברה- השפעה גדולה, בינונית, קטנה. בהצגת סיכונים כלליים אשר מטיבם חלים על כל חברה, יש להסביר באופן ברור את השפעתם המיוחדת על החברה. בדוחות הדירקטוריון הרבעוניים יש לתת גילוי רק לשינויים מהותיים.

8. מעקב אחר יישום חוזר זה:
עפ"י סעיף 32 (א) (8) לחוק החברות הממשלתיות אבקש להעלות חוזר זה לסדר היום של הדירקטוריון תוך 90 יום מיום הוצאתו ולקבל החלטה בדבר אופן יישומו.

9. יו"ר הדירקטוריון, ובהעדרו יו"ר ועדת הביקורת, יגיש לרשות תוך 90 יום ממועד ההחלטה בדירקטוריון בדבר יישום החוזר, דו"ח מצב (סטטוס) ראשון לגבי יישום חוזר זה.

10. החרגה: חברות הנמצאות בתהליכי פירוק רשאיות לפנות למנהל הרשות על מנת לקבל החרגה מהוראות חוזר זה. חברות הנמצאות בשלבי הקמה או שטרם החלו לפעול רשאיות לבקש דחייה במועד יישום הוראות חוזר זה.

11. חוזר זה מבטל את חוזר ש91/1-27.
 

בכבוד רב,
אודי ניסן

העתק:   
    שר האוצר
    השר האחראי על החברה
    מבקר המדינה
    יו"ר ועדת הביקורת של הדירקטוריון
    חברי הדירקטוריון (באמצעות מנכ"ל החברה)
    המבקר הפנימי (באמצעות מנכ"ל החברה)
    נציג רשות החברות
 

נספח: סוגי סיכונים

מצורפים לנוחיותכם דוגמאות לסוגי סיכונים. יודגש כי אין מדובר ברשימה סגורה, וכי על כל חברה לבחון באופן פרטני את מכלול הסיכונים הרלוונטיים לפעילותה, גם אם אין הם מנויים בנספח זה. בנוסף, יובהר כי יתכנו השפעות צולבות בין סיכונים שונים ויש להתחשב בהשפעות אלו בהתאם.

1. סיכונים אסטרטגיים:

הסיכונים שיגרמו נזקים  לחברה הממשלתית וליכולתה לממש את יעדיה לרבות יעדים ממלכתיים כפי שהוגדרו בחקיקה, בתקנות או בהחלטות ממשלה ורשויות מדינה אחרות המוסמכות לכך, וכן הסיכון שיגרם נזק ליעדים העסקיים המהותיים והאסטרטגיים שקבעה לעצמה החברה.

דוגמאות לסיכונים אסטרטגיים:
1.1 ליקויים מהותיים בתהליכי קבלת ההחלטות, לרבות תהליכי קבלת המידע הרלוונטי והשימוש בו, המעקב אחר ביצוע ההחלטות במסגרת האורגנים העיקריים של החברה כדוגמת : הדירקטוריון וועדותיו, הנהלת החברה, מרכזי רווח ו/או עלות בחברה ובתאגידים קשורים.

1.2 ליקויים ונזקים מהותיים העלולים להיגרם לחברה וליעדיה כאמור כתוצאה מקיומם של סטנדרטים אתיים, עסקיים ו/או ציבוריים, בלתי מספקים, שמשרים הדירקטוריון והנהלת החברה על עובדי החברה, המועסקים בשירותיה, לקוחותיה ולספקי שירותים והון לחברה.

1.3 סיכונים לנזקים מהותיים לחברה הנובעים מחוסר התייחסות ומודעות מספיקים של הדירקטוריון וההנהלה ושל גורמי מפתח בחברה ביחס ל:

1. בקרה פנימית בחברה ואשר כתוצאה מכך עלולים להתקיים ליקויים מהותיים בדוחות הכספיים המבוקרים ו/או בביקורת הפנימית בחברה (ראו למשל הוראות הרשות המפורטות בחוזר הרשות  2-2009).
2. תכנון והקצאת מקורות נדרשים ביחס למבנה הארגוני, תכנון אסטרטגי, תוכניות העבודה והתקציבים השנתיים והרב שנתיים של החברה.
3. התפתחויות ושינויים במרכיבים עיקריים בסביבה העסקית בה פועלת החברה בסוגיות כגון גורמים מאקרו כלכליים וענפיים, תחרות, אמון הציבור בחברה, מגמות באופק חיי המוצרים והשירותים ובסוגיות סוציו-פוליטיות מהותיות, ושינויים מהותיים אחרים המחייבים הערכות מתאימה של החברה למניעת נזקים לה.
4. אחריות הנדרשת מהחברה לקיומם של קשרים נאותים עם הציבור, לקוחות, ספקים ועובדים אשר כוללים, בין היתר, טיפול בסיכונים הנובעים ממצבי משבר, שימוש לא נכון באמצעי טכנולוגיה ותקשורת, ליקויים בתקשורת עם העובדים ו/או הרגולציה החלה על החברה.
5. סיכון מוניטין- הפוטנציאל שהתנהלות בלתי ראויה של גורמים רלבנטיים בחברה תגרום, בין היתר, לאובדן לקוחות, לירידה בהכנסות, לתביעות משפטיות, להוצאות משפטיות ואחרות, לדיווחים בלתי אמינים לציבור וכתוצאה מכך לקשיים ביכולת החברה לבצע גיוסי הון או לפרוע את חובותיה. 

2. סיכונים תפעוליים:
הסיכונים שיגרמו נזקים מהותיים לפעילות השוטפת של החברה כתוצאה משימוש בלתי נאות, בלתי אפקטיבי, או בלתי יעיל בתהליכים ובמקורות השונים המופעלים על ידה או העומדים לרשותה לצורך ביצוע פעילויותיה.

דוגמאות לסיכונים תפעוליים:
2.1 סיכונים הנובעים מחוסר תיאום ותקשורת בין יחידות הארגון השונות ברמה שגורמת, בין היתר, לבזבוז משאבים, הארכת משך הזמן של ביצוע הפרויקטים.

2.2 סיכונים הנובעים מהתנהגות לא נאותה או מכשל של הגורמים האנושיים או בהפעלת והנעת עובדים ומנהלים ופגיעה באיכות ובזמינות  המוצרים והשירותים המסופקים על ידי החברה.

2.3 סיכונים הנובעים כתוצאה מגורמים טכנולוגיים למשל, אי גיבוי מערכות מידע, ליקוים באבטחה של מערכות מחשוב הנשלטות מרחוק, זליגה של מידע פנימי החוצה, ליקויים בקליטה עיבוד שמירה והעברה של מידע תפעולי אמין ובמועד.

2.4 סיכונים הנובעים משימוש והפעלה בלתי נאותים של נכסים פיזיים או התקשרויות באופן הפוגם בפעילויות החברה.

3. סיכונים פיננסים:

הסיכונים שיגרמו נזקים מהותיים לחברה כתוצאה ממחסור במקורות הון הדרושים לצורך  ביצוע השקעות ופרעון חובות ולצורכי הנזילות של החברה, או כתוצאה מהפסדים כספיים שיגרמו לחברה עקב חשיפתה לסיכוני אשראי ולסיכוני שוק (הכוללים, בין היתר, סיכוני מטבע, סיכוני ריבית  והצמדה, סיכוני מחירים אחרים כדוגמת מחירי מלאים והשקעות פיננסיות).

דוגמאות לסיכונים פיננסיים:
3.1 "סיכון שוק"- סיכון להפסד בגין נכסים ו/או התחייבויות של החברה ו/או של אחרים המנוהלים על ידי החברה, מאזניים וחוץ מאזניים, הנובעים  משינוים בשווים הכלכלי עקב    שינוים בתנאי השוק (שינוי ברמת המחירים והסחירות בשווקים שונים, שיעורי ריבית, שערי חליפין, אינפלציה, מחירי מניות סחורות ומכשירים פיננסים, כשלים בהצגת  מידע שקוף רלוונטי ומהימן לגורמים בשוק, לרבות, בהצגת אי וודאויות מהותיות, מצב פוליטי/ביטחוני, שינוי חקיקה ורגולציה, שינוי בריכוזיות ענפית/רב ענפית משקית וכיוצא בזאת).

3.2 "סיכון נזילות"- סיכון למצבה הכספי של החברה הממשלתית ולהונה הנובע מאי יכולתה לספק את צרכי נזילותה. למשל, אי יכולתה לעמוד בהתחייבויותיה במועד, כתוצאה מהשקעות  פיננסיות-הוניות ו/או פעולות שוטפות או פעולות פיתוח וכן, בשל הקטנת היצע של מקורות פיננסים הנחוצים לצרכי הנזילות השוטפים של החברה בעקבות ההרעה בשווקים הפיננסים או בעקבות ליקויים בהתנהלות החברה.

3.3 "סיכון אשראי ובטחונות"- הסיכון להפסד כתוצאה מהאפשרות שהצדדים הנגדיים לעסקאות  לא יעמדו בהתחייבויותיהם לעסקה ומאי היכולת לממש בטחונות בהיקף הנדרש.

3.4 "סיכון משפטי"- סיכון להפסד כתוצאה מהעדר אפשרות לאכוף באופן משפטי קיומם של הסכמים להם מחויבים צדדים שלישיים.

3.5 "סיכוני דוחות כספיים ובקרה פנימית"- ליקויים בבקרה הפנימית אשר יגרמו לפגיעה במוניטין ובמהימנות הדוחות הכספיים המבוקרים של החברה בעיני משתמשי הדוחות הכספיים, לרבות השווקים הפיננסים, באופן אשר יצמצם בצורה מהותית את הנכונות להעמיד מקורות מימון לחברה לצורך פעילויותיה.

4. סיכוני ציות:

הסיכונים שיגרמו נזקים מהותיים לחברה בשל העדר ציות נאות של גורמים רלוונטים בחברה לחוקים ולהוראות רגולטוריות חיצוניות, החלים על החברה או להוראות פנימיות שניתנו ע"י האורגנים הרלוונטים בחברה, או הסיכון לנזקים לחברה כתוצאה מהעדר הוראות פנימיות של  האורגנים הרלוונטים בחברה בדבר אמות מידה שנדרשו להתנהגות ראויה בחברה ומול גורמים חיצוניים.

דוגמאות לסיכוני ציות :
4.1 סיכונים לנזקים הנובעים מהעדר ציות  להוראות פנים חברתיות (הוראות דירקטוריון או  הנהלה או גורמים רלוונטים אחרים בחברה) או חיצוניות לחברה (חקיקה, החלטות ממשלה  הוראות רשויות מדינה וכדומה).

4.2 סיכונים לנזקים הנובעים מחוסר הערכות מספקת בחברה לציות לחקיקה קיימת או  צפויה או  לאכיפתן.

4.3 סיכונים לנזקים הנובעים כתוצאה מהתקשרויות עם עובדים או נותני שירותים המצויים בניגודי עניינים בין אינטרסים של החברה לאינטרסים זרים מבלי שניגודי עניינים אלו נחשפו קודם להתקשרות או טופלו כראוי באופן שינטרל  את השפעת ניגודי העניינים על האינטרסים של החברה.

4.4 סיכונים לנזקים שיגרמו כתוצאה מקבלת החלטות על בסיס מידע לא מהימן או מידע שלא נבדק כפי שנדרש מהגורם המוסמך שסיפק את המידע לגורמים פנימיים או חיצוניים לחברה.