Финансовый мониторинг — ключевой контроль риска сделок и не только

Одним из ключевых инструментов отслеживания подверженности предприятия различным рискамявляется финансовый мониторинг. 

С понятием мониторинга, то есть отслеживания неких показателей или комплексной ситуации, знакомлюбой экономист и исследователь, финансовый же мониторинг сегодня приобрел и дополнительноезначение. Помимо основного и широкого понятия контроля финансового состояния объекта сегодняпод финансовым мониторингом понимается и специфическая деятельность, направленная навыявление потенциальных нелегальных или мошеннических схем, отмывание доходов ифинансирование криминальных операций. 

Для реализации перечисленных задач в странах СНГ созданы целые организации / департаментыцентральных банков, подобная деятельность является обязательной для финансовых институтов в ихповседневных операциях. 

В России соответствующие функции исполняются Росфинмониторингом, а также являютсянеотъемлемой частью повседневной работы банковских институтов. 

Федеральная служба по финансовому мониторингу (Росфинмониторинг) является федеральныморганом исполнительной власти, осуществляющим функции по противодействию легализации(отмыванию) доходов, полученных преступным путем, финансированию терроризма ифинансированию распространения оружия массового уничтожения, по выработке государственнойполитики и нормативно–правовому регулированию в этой сфере, по координации соответствующейдеятельности других федеральных органов исполнительной власти, других государственных органов иорганизаций, а также функции национального центра по оценке угроз национальной безопасности, возникающих в результате совершения операций (сделок) с денежными средствами или инымимуществом, и по выработке мер противодействия этим угрозам. Руководство деятельностьюФедеральной службы по финансовому мониторингу осуществляет Президент Российской Федерации.

Служба финансового мониторинга в банках занимается наблюдением и сбором информации дляизучения происходящих финансовых процессов, принятия решений о противодействии отмываниюденег, предотвращении подобных действий на внутреннем уровне. Служба финмониторингаконтролирует оборот денежных средств на счетах и препятствует легализации денег дляфинансирования террористических и преступных групп. Банки обязаны проверять подозрительныеоперации клиентов и блокировать их для выяснения деталей и пресечения возможныхзапрещенных операций согласно Федеральному закону № 115 «О противодействиилегализации (отмыванию) доходов, полученных преступным путем, и финансированиютерроризма». 

Очевидно, что вышеуказанная процедура является классическим примером внутреннего контроля дляпредотвращения реализации специфических рисков и задачи эти поставлены на уровне государства.

Одновременно с этим узкоспециализированным понятием финансовый мониторинг — этообязательная составляющая деятельности любого предприятия или организации. Он позволяетосознанно и целенаправленно контролировать финансовое здоровье компании, выявить имеющиесяриски, возможные провалы в решениях и бизнес–процессах и принять превентивные или реактивныемеры. 

Главной задачей финмониторинга является контроль финансовой устойчивости предприятия. Соответствующий цикл включает в себя выделение, сбор, хранение, передачу, изучение иинтерпретацию данных по финансовому положению организации с целью анализа и оценки еефинансовой эффективности и принятия дальнейших управленческих решений.

Основные инструменты финансового контроля — это процедуры, политики, набор конкретныхалгоритмов и аналитических средств, с помощью которых организация отслеживает и контролируетнаправление, распределение и использование своих финансовых ресурсов. Финансовый контрольлежит в основе управления ресурсами и операционной эффективности в любой организации и играетогромную роль в комплексной системе управления рисками.

Постановка и внедрение системы финансового мониторинга позволяет контролировать динамикупоказателей финансового здоровья компании, а также оперативно предоставлять руководствудетальную информацию о ее финансовом положении. И для его полезности и эффективности крайневажно внимательно подойти к выделению перечня показателей, которые подлежат контролю, установлению частоты такого контроля и его надежности, например, в виде подтверждающихаудированных отчетов или наличия дополнительных первичных или контрольных документов.

Финансовый мониторинг в организациях различного толка имеет свои различные цели и механизмы. Для любой компании система мониторинга рисков обязательно будет включать блок финансовогомониторинга ключевых показателей для оценки динамики риска, отслеживания емкости, риск–аппетита и толерантностей к риску. 

Часть финансовых показателей компании может войти в перечень ключевых индикаторов риска, и ихотслеживание также будет являться элементом большой интегрированной системы финансовогомониторинга предприятия.

Очевидно, что такой инструмент широко используется не только внутри бизнеса, но и во внешнейсреде, например, в случаях совершения крупных сделок. Здесь он будет осуществляться стороной, заинтересованной в финансовой устойчивости партнера, и может стать условием совершения подобнойсделки (M&A, заключения крупных контрактов, предоставления крупных займов и пр.). 

Например, при заключении долгосрочных производственных контрактов, особенно с использованиемузкоспециализированных или уникальных технологий, компания–заказчик крайне заинтересована вспособности исполнителя «выжить» на протяжении всего срока проекта, чтобы не оказаться в ситуациинеобходимости срочной замены генерального подрядчика и соответствующих временных, юридических и проектных издержек в середине процесса. 

В случае планирования покупки бизнеса, покупателю также необходимо проанализировать состояниепотенциального приобретения и адекватно оценить эффективность и справедливую цену такой сделки. В данном случае будут применяться методы комплексного анализа (due diligence), включая егофинансовую часть, и вполне возможно введение системы финансового мониторинга на некоторыйнеобходимый период.

Очевидно, что такая процедура используется и крупными кредиторами (банками, консорциумами, синдикатами, инвестфондами и пр.) при предоставлении крупных и долгосрочных займов. В такомслучае заемщик не просто обязан раскрывать свои финансовые показатели в рамках процедурмониторинга, но и устанавливается обязательный уровень показателей (ковенанты), который долженбыть выдержан заемщиком на всем протяжении действия сделки для того, чтобы она не былапрекращена.

Для каждого из вышеуказанных примеров наборы отслеживаемых показателей могут быть разными. Зависит это от отрасли бизнеса, специфики сделки, рынка и пр. Однако существует и рядобщепринятых показателей, которые часто являются нормативом. Как правило, этосамые распространенные коэффициенты, используемые для оценки финансового состояния компании: показатели ликвидности, долг/активы, долг/капитал, показатель оборачиваемости задолженности, ROA, ROI, ROE и пр. 

Все вышеуказанные виды финансового мониторинга являются процедурами оценки и отслеживаниярисков, а поэтому зачастую формируются или исполняются с участием или непосредственно службой управления рисками контролирующей организации.

Из вышесказанного ясно, что финансовый мониторинг должен проводиться регулярно иквалифицированными специалистами — аналитиками финансовой службы / службы управлениярисками. Гораздо удобнее, если такой процесс поддерживается автоматизированной системой, поскольку сам по себе он является трудоемким: это связано не столько со сбором данных, сколько с ихправильным анализом и интерпретацией. 

Однако зачастую система не может заменить собой практический опыт и нюансы среды и целейконкретного бизнес–кейса, поэтому для эффективного управления предприятием/проектом исоответствующими рисками квалифицированный риск–менеджер как минимум должен уметьанализировать соответствующую финансовую информацию на глубоком уровне.

Автор: Ирина Андропова 

 

Рисковать или нет: толерантность, аппетит и емкость риска

Тема сегодняшней статьи – один из ключевых элементов управления рисками и один из ключевых показателей зрелости систем управления в любой организации – риск-аппетит. 

Классический менеджмент организации обязательно подразумевает:

·        постановку четких целей;

·        анализ рыночной среды в соотнесении с адекватной оценкой собственных ресурсов и ограничений; 

·        разработку планов деятельности и необходимых бизнес-процессов;

·        постоянный процесс обратной связи для актуализации всего вышеперечисленного.

Соответственно процессы управления рисками как составная часть руководства организацией включают в себя:

1.     проверку целей на актуальность и достижимость; 

2.     анализ угроз и возможностей снаружи и внутри компании, включая оценку собственного потенциала к реализации возможностей и ограничений в виде предела нагрузки, которую бизнес способен и готов выдержать;

3.     разработку программ по управлению рисками и возможностями в планах по достижению целей и бизнес-процессах; 

4.     обязательный процесс обратной связи по всем вышеуказанным пунктам.

Каждый из перечисленных элементов является необходимым для построения полноценного интегрального цикла управления организацией, и процедура определения допустимых лимитов риска / потенциальных потерь, относящаяся к п. 2, не является исключением, поскольку процесс построения и развития бизнеса всегда связан с рисками и неизбежными потерями. 

В соответствующих стандартах и интегральном риск-менеджменте организации принято рассматривать три лимита, которые относятся к пределам допустимого риска:

A.     Емкость риска

B.     Риск-аппетит

C.     Толерантность к риску

А. Под емкостью риска принято понимать порог, который организация в состоянии выдержать, с учетом всех имеющихся активов, принятых обязательств, внутренних и внешних ограничений. Точно и детально рассчитать такой показатель бизнесу просто необходимо для понимания объективных пределов своей прочности и внедрения соответствующих процедур контроля. Как правило, подобные расчеты и предельные значения требуются контролирующими организациями, инвесторами и кредиторами по той же причине: они должны быть уверены, что компания финансово устойчива до того предела, чтобы выполнять принятые на себя обязательства. Однако перечень установленных извне требований часто бывает ограниченным и не всегда соответствует определению реальной жизнестойкости бизнеса, в связи с чем на практике очень рекомендовано проводить подобный стресс-тест внутри самой компании, причем с учетом не только финансовых, но и операционных, и даже репутационных показателей.

Б. Риск-аппетит, в свою очередь, представляет собой показатель уже приемлемого для владельцев/руководства компании риска. Как правило, размер риск-аппетита уже гораздо ниже, чем емкость риска, поскольку риск-аппетит устанавливается с учетом не просто выживания компании, но и ее полноценного развития, и принимаемые в рамках аппетита риски связаны чаще всего не просто с нормальной, но с инвестиционной деятельностью. Риск-аппетит показывает, сколько бизнес готов потерять в рамках своей деятельности, после чего не придется принимать неких экстренных решений. В некотором смысле его можно сравнить в принятым на фондовых рынках понятием «стоп-лосс», которое позволяет инвестору ограничивать свои допустимые потери автоматически. 

В. Толерантностью к риску сегодня часто принято называть лимиты на конкретные виды рисков: например, уровень текучести кадров не более чем 10% или уровень потерь от аварий не более чем 5%. Толерантность или аппетит к конкретным видам риска может существенно разниться не только в пределах рынка, но и в пределах одной организации, отражая разную природу рисков и корпоративную культуру компании.

Грамотное определение лимитов является результатом тонкого баланса между желаемым объемом и скоростью роста организации и необходимым уровнем контроля и устойчивости. Соответственно, такой баланс определяется как отраслью, стадией развития компании и рыночной средой (включая регулярные ограничения и даже культурные факторы), так и желаниями собственников. Например, венчурный бизнес сам по себе предполагает принятие высоких рисков в обмен на потенциально возможные высокие прибыли и не слишком зарегулирован, некоторые же классические финансовые организации (например, пенсионные фонды) более консервативны в вопросах готовности к потерям и жестко ограничиваются надзорными органами. В мировой практикевыделяется несколько уровней риск-аппетита в зависимости от их консервативности:

·        Averse – Исключающий (нулевая толерантность, например, смертельные случаи на производстве)

·        Minimal – Минимальный  

·        Cautious  – Осторожный      

·        Open – Открытый  

·        Hungry – Жаждущий, алчный (высокая толерантность, например, для вложения в венчурном бизнесе)

Все вышеперечисленные виды лимитов на риск могут устанавливаться как в абсолютном, так и в относительном размере и должны обязательно соотноситься между собой. С реализацией такой синхронизации зачастую возникают проблемы, поскольку собрать в единый показатель разрозненные толерантности для определения, насколько они интегрально соответствуют установленному аппетиту и емкости, – довольно нетривиальная задача. Решается она, как правило, дополнительными методами сценарного анализа и математического моделирования с применением множества допущений и является крайне важной с точки зрения эффективного управления организацией, поскольку грамотная настройка системы лимитов позволяет реализовать довольно точный инструмент оценки «здоровья» организации, трендов ее развития и настроить системы мотивации и приоритезации задач на всех уровнях. 

При превышении толерантности или аппетита компания по результатам анализа причин может предпринять множество действий, основными из которых являются пересмотр планов или порядка осуществления деятельности, или пересмотр самого лимита. Выбор той или иной реакции на выход за пределы лимита зависит не только от критичности самого показателя, но и от степени его влияния на возможное превышение интегрального аппетита и емкости к риску всей организации. 

Исходя из сути и цели расчета вышеуказанных показателей, ключевыми заинтересованными в отслеживании соответствующих лимитов являются руководители всех уровней, включая совет директоров.

 Определение и формализация всех уровней риск-аппетита:

·        позволяет выявить ключевые риски, которые могут оказать существенное влияние на достижение стратегических целей; 

·         служит ориентиром для менеджмента и совета директоров при разработке стратегии развития компании и принятии решений с учетом риска;

·        способствует осуществлению разумного распределения ресурсов. 

Экономическая природа различных типов риска предполагает, что ряд соответствующих показателей потерь, измеряемых в абсолютных величинах, должны возрастать в течение периода наблюдений (например, количество аварий или сумма потерь от мошенничества по кредитным картам). Соответственно, помимо мгновенных срезов текущей ситуации обязательным является регулярное отслеживание динамики фактической реализации рисков накопительным итогом, поскольку только в этом случае возможны релевантное сопоставление с установленным лимитом, а также своевременная и эффективная обратная связь для принятия соответствующих решений. 

Отсюда же следует, что развитая система управления риск-аппетитом, как и вся система риск-менеджмента, во многом опирается на качество статистической информации о фактически реализовавшихся рисках и методах ее обработки. В этом смысле информационные и технические ресурсы компании могут выступать как ограничивающим, так и ассистирующим фактором, который необходимо учесть при формировании требований к внедрению процесса мониторинга лимитов на риск. 

Несомненно, для построения развитой и эффективной культуры риск-менеджмента необходимо, чтобы руководители и вовлеченные сотрудники понимали цели, методы и фактически установленные лимиты, процесс сбора и анализа соответствующих фактических данных, а также алгоритм собственных действий в случае обнаружения превышения допустимых значений. Обеспечение такой осведомленности сотрудников всех уровней является ключевой задачей риск-офицера компании. 

Любой бизнес и его владельцы всегда имеют представление о собственной готовности к потерям, вне зависимости от того, формализовано оно или нет. При этом, грамотный интегральный расчет и формализация аппетитов позволяют сделать «правила игры» понятными и прозрачными для всех вовлеченных сторон. Подход организации к определению аппетита к риску является одним из ключевых показателей зрелости самой компании и ее процессов риск-менеджмента и зачастую определяет уровень доверия к ней со стороны рынка и заинтересованных сторон.

Автор: Ирина Андропова 

 

 

Мониторинг и контроль в управлении рисками: задачи и практическая реализация

Мониторинг является необходимым элементом эффективного функционирования системы управления в любой организации и процессе, обеспечивая постоянную обратную связь в части актуальности и эффективности используемых информации, процессов и систем. 

Ключевой задачей мониторинга риска является не только постоянное обновление информации о текущем профиле риска компании, о его соответствии целям компании, ее рыночному окружению и принятому уровню аппетита к риску,  но также и оценка того, насколько меры по управлению рисками, эффективному выявлению негативных факторов и снижению подверженности им, предпринятые менеджментом компании на всех уровнях, действительно эффективны и помогают управлять рисками и целями компании в соответствии с теми задачами и ограничениями, которые изначально ставятся руководству бизнеса при разработке стратегии, бизнес-планов и планов по управлению рисками.

Риск всегда так или иначе влияет на некую цель и делает вероятность ее достижения менее определенной. Поэтому любой владелец цели или процесса в первую очередь заинтересован в том, чтобы риски, которые могут повлиять на реализацию соответствующих задач, находились в установленном управляемом диапазоне. Делая регулярный срез статуса достижения поставленных целей, он отслеживает или контролирует и все потенциальные события, которые на них могут повлиять, то есть риски и возможности.

Вполне естественно, что ответственными лицами, которые осуществляют мониторинг риска, должны являться владельцы целей, на которые влияют риски в компании, и владельцы соответствующих рисков, и иногда эти две группы не совпадают. 

Если говорить более конкретно, то в первую очередь в мониторинге риска заинтересованы:

1.      Владелец бизнеса и эксперты, представляющие владельца компании (совет директоров). 

2.      Первое лицо компании и исполнительные органы. 

3.      Профессионалы, ответственные за реализацию конкретных проектов или задач в рамках бизнеса компании, и соответствующие органы. 

Поскольку вышеперечисленные лица отвечают за достижение всего пула целей компании, они в первую очередь заинтересованы в отслеживании комплексного профиля рискабизнеса и соблюдении общего аппетита к риску. Прикладные же задачи мониторинга каскадируются вместе с локальными целями и аппетитами до самого нижнего операционного уровня осуществления ежедневных функций.

Большинство процедур мониторинга основаны на отчетных и коммуникационных шаблонах и правилах, о которых мы поговорим в следующих статьях. Такие шаблоны обеспечивают основу и единообразие для сотрудников на местах для правильного системного документирования, систематизации и отслеживания информации о рисках.

Мониторинг должен быть непрерывным процессом. Он может осуществляться для различных целей, но всегда касается не только соблюдения требований и установленных правил отчетности — внимание должно быть сосредоточено на поощрении организации работать эффективнее, формировании лучшей практикии использования потенциала «выученных уроков».

В общем случае для любой организации в процессе мониторинга систематически необходимо отслеживать динамику подверженности рискам или профиля риска компании/бизнес-цели/инициативы/проекта, а именно:

·       актуальность выявленных и отслеживаемых рисков;

·       статус и динамику вероятности;

·       статус возможных последствий;

·       эффективность мероприятий; 

·       адекватность установленных показателей емкости риска/риск-аппетита/толерантности к риску;

·       динамику общей оценки;

·       динамику общего профиля по группе рисков в рамках бизнес-функции, проекта/инициативы, региона, компании в целом.

 

По результатам соответствующего мониторинга могут приниматься решения:

·       о возможности достижения поставленных целей в текущих условиях;

·       о достаточности мер, предпринимаемых для управления рисками и возможностями;

·       о возможности перераспределения усилий в рамках достижения целей и управления рисками;

·       об отказе от некоторых видов деятельности и пр.

Существует множество способов реализации организационной и технической частипроцессов мониторинга. Мониторинг рисков включен в общую систему менеджмента компании и отслеживания исполнения стратегических и тактических задач бизнеса — а значит, административные, нормативные и технические инструменты для осуществления мониторинга риска будут совпадать с соответствующими контрольно-аналитическими инструментами компании по всем направлениям финансового и операционного контроля. 

Задачи по мониторингу риска должны быть включены и нормативно закреплены в обычной рутиннойдеятельности ответственных исполнителей в виде должностных инструкций, и за хорошее исполнение этих задач они должны получать адекватное вознаграждение. 

Например, если ответственный исполнитель сообщил о некоем риске, и это впоследствии действительно помогло предотвратить негативное для исполнения тактических или стратегических задач бизнеса событие, будет крайне полезно, особенно на этапе становления системы управления рисками, если сотрудника позитивно отметят: премированием или нематериальным поощрением. 

Обязательно должна быть использована и противоположная сторона обратной связи: неотвратимость порицания в случае, если стало известно, что сотрудники знали об угрозе, но на каком-то уровне передачи информации сведения о возможности негативных событий были утеряны, не были приняты во внимание при планировании действий, и это привело к реализации риска и недостижению поставленных целей. В этом случае необходимо привлекать персонал к ответственности. 

Практика показывает, что без такой прямой обратной связи и заинтересованности в реализации комплексного эффективного риск-менеджмента со стороны владельца, высшего руководства, ключевых сотрудников компании система просто не заработает. 

В заключение еще раз подчеркнем, что на основании мониторинга осуществляется анализ по всему циклу управления рисками: оценка изменений внутренней и внешней среды компании с точки зрения подверженности рискам, появления и реализации возможностей, динамического изменения комплексного профиля риска всего бизнеса. Этот ключевой элемент менеджмента дает возможность откорректировать не только систему управления рисками, но и систему управления вообще: постановку целей, бизнес-процессы, корректность и достаточность операционных действий и коммуникаций в компании и за ее пределами, соответствие бизнеса ожиданиям стейкхолдеров, рынку и его тенденциям. 

Разумно и эффективно организованный мониторинг риска в части грамотного анализа информации и ключевых коммуникаций между специалистами дает возможность достичь необходимого уровня культуры управления, что обеспечивает долгосрочную устойчивость, развитие и процветание бизнеса. 

Автор: Ирина Андропова

 

 

Управление рисками для Совета директоров: на какие области и вопросы обратить внимание

Практический опыт показывает, что для собственников, первого лица компании и совета директоров далеко не всегда понятно, в чем реальная польза от системы управления рисками и какую роль в этой системе должны играть вышеперечисленные игроки. Причем это характерно для нефинансовых компаний как на территории бывшего СССР, так и для весьма продвинутых в вопросах менеджмента западных компаний. Бытует мнение, что:

·               риск-менеджмент, исходя из здравого смысла, конечно, необходим, ведь не зря внедрение соответствующих систем и регламентов является нормативным требованием для многих отраслей;

·               но занимаются им только специально обученные люди, а участие каждого отдельно взятого топ-менеджера, члена совета директоров или собственника, необходимо только в виде поддержки на первом этапе, или эпизодически, или по остаточному принципу, поскольку есть вещи, требующие первоочередного стратегического внимания. 

Непрофессионалы в этой области, как правило, не представляют себе, что такое процесс РМ, как и кем он организован и какие полезные результаты он гарантирует лично «для меня», в связи с чем вопросы управления рисками отдаются на откуп специальному подразделению (внутри компании) или СЕО/CFO/COO (в совете директоров). И даже при получении материалов касательно профиля риска компании или проекта зачастую их не обсуждают или обсуждают крайне поверхностно.

Как правило, ключевыми причинами такого отношения являются две:

1. Подготовленные материалы просто неактуальны или сложны для восприятия. 

Часто приходится встречать два типа отчетов по профилю риска: 

·               очень комплексные убористые тексты, таблицы и формулы, которые выглядят весьма солидно, но сложны для восприятия ввиду своей массивности (один из отчетов, представленный на рассмотрение, составлял более 60 листов формата А4 в таблице, заполненной шрифтом Arial 10) и специфичности (другая крайность — математические формулы, графики, названия, которые не будут понятны не инженеру/математику);

·               довольно простые картинки — карты рисков, но показывающие банальности, которые и так ясны всем присутствующим из здравого смысла, непонятны для применения, устарели как информация, или, что тоже бывает, выглядят крайне неправдоподобно. 

Касательно «правдоподобности»: помимо чрезмерного полагания на теорию и не слишком глубокого погружения риск-аналитиков в процессы, что и приводило к результатам анализа, весьма оторванным от здравого смысла, приходится сталкиваться и с тем, что даже при корректно осуществленном анализе читатель просто не подготовлен к реальному положению вещей. Люди склонны преуменьшать проблему, если считают, что легко смогут ее решить без огласки (вспомним историю с Barings, которая послужила отправной точкой для развития системы операционных рисков в банковском секторе), или если понимают, что вскрытие проблемы повлечет серьезные последствия для них персонально или для репутации компании/проекта. Вполне закономерно, что с такой подачей информации даже вполне заинтересованные на первом этапе руководители вскоре разочаровываются в функции и перестают обращать внимание на аналитические материалы.

2. Подчеркнем еще раз, что управление рисками воспринимается как один из отдельно существующих «в себе» операционных бизнес-процессов.

Исторически управление рисками как дисциплина зародилось в рамках статистического анализа/анализа вероятностей и применялось на финансовых рынках для прогнозирования будущего на основании анализа прошлого, довольно долго оставаясь «вещью для профессионалов», как, например, технический анализ. Логично, что даже сегодня многие менеджеры все еще продолжают считать, что управление рисками — это некий технико-математический процесс, и его результаты учтет специально назначенный менеджер, например, финансист, для разработки бизнес-плана или инвестиционной оценки, или «все менеджеры по умолчанию», поскольку в рамках соответствующих процедур, например, внутреннего контроля, РМ и так включен во все процессы компании, а соответственно нет никаких причин отдельно поднимать вопросы конкретных рисков в обсуждениях весьма занятых менеджеров/директоров, чье время оплачивается очень дорого.

Ключевой ошибкой здесь является то, что большинство руководителей действительно не осознают, что процесс управления рисками, по-хорошему, является неотъемлемой частью принятия практически любого решения как в бизнесе, так и в жизни — от короткого взгляда на светофор при пересечении шоссе до решения взять или дать деньги в долг. И провести соответствующую культурную работу с менеджерами всех уровней — одна из ключевых задач риск-менеджера. Но допустим, что высшее руководство это понимает. Так куда же стоит обращать внимание при обсуждении ключевых вопросов, выносимых на совет директоров и соответствующие комитеты? 

Исходя из практики и здравого смысла, совет директоров призван давать собственникам и руководству компании экспертное мнение по стратегическим вопросам, помогая выработать оптимальные решения по направлениям развития и соответствующим действиям с целью процветания/устойчивости бизнеса. (Согласно стандартам института директоров, The board’s key purpose “is to ensure the company’s prosperity by collectively directing the company’s affairs, while meeting the appropriate interests of its shareholders and relevant stakeholders” https://www.iod.com/services/information-and-advice/resources-and-factsheets/details/What-is-the-role-of-the-board.) Из этого глобального понимания вытекают и все практические цели, задачи и вопросы, рассматриваемые его членами: выбор направлений инвестирования или прекращения некоторых видов деятельности, определение дивидендной политики, одобрение крупных заимствований, назначение ключевых лиц и т.п. Но для прикладного понимания вопросов, которые требуют риск-анализа на уровне совета директоров, давайте попробуем перейти от идеи к практике последовательно. 

Поскольку любой бизнес производит некий продукт, крайне укрупненно основные области ответственности менеджмента, определяющие возможность существования и процветания компании, можно рассмотреть под следующим углом:

1. Доступность ресурса (прошлое и настоящее). 

Сюда относится все, что необходимо бизнесу, чтобы производить свой продукт: вполне физический/материальный ресурс, если применимо (например: руда, химические препараты, пластик, электричество и т. п); регуляторный ресурс (разрешения, лицензии и т. п.); финансовый ресурс; человеческий ресурс; технологии; информационный ресурс и т. д. 

Отдельно стоит отметить репутацию, поскольку мы живем в информационно-цифровом обществе, где репутация компании может ее как критически поддержать как ресурс, так и критически разрушить (вспомним кейс Кендалл Дженнер и компании «Пепси-Кола», когда в рекламе Дженнер присутствовала на акции протеста и передала банку пепси офицеру полиции в качестве мирного предложения. Потребители были немедленно возмущены, так как они почувствовали банальную рекламу движения Black Lives Matter и широкомасштабные протесты против жестокости полиции, имевшие место в том году. Многие истолковали эту рекламу так: «Все, что нам нужно, чтобы поладить, — это разделить банку газировки», игнорируя годы системного угнетения, которые испытывали маргинализированные сообщества).

 

2. Организация ключевых процессов (настоящее).

Сюда относится сама технология работы компании, ее организационная структура, ключевые бизнес-процессы, внутренний информационный обмен и документооборот, взаимодействие внутри и с внешними участниками бизнеса, другими интересантами, кредиторами и, собственно, потребителем продукта и т. п. 

3. Направления развития и роста (будущее).

В этой категории находятся все среднесрочные (бизнес-план) и долгосрочные планы компании: инвестиции, стратегия (в том числе неденежная), маркетинг, новые проекты и т. п. 

Успешно организованная работа по каждой из областей логично приводит к долгосрочному существованию и процветанию компании, т. е. к той самой задаче, поддержку решения которой совет директоров призван обеспечить. Поэтому, как правило, ключевые вопросы для решения или одобрения из каждой из перечисленных сфер так или иначе выносятся на рассмотрение членов совета директоров и его комитетов. 

Памятуя о том, что управление рисками — это процесс принятия осознанных решений на основании всей доступной информации (анализируя прошлое и настоящее, чтобы сделать разумный прогноз), а также переходя от общего к частному, закономерно предположить, что ключевые риски лежат в областях решений по вопросам*:

·               собственно стратегии, а также выбора направлений инвестирования, решения по старту/отказу от реализации ключевых проектов и т. п — развитие и рост в предложенной выше классификации. Примером реализации стратегического риска может служить кейс компании Nokia, которая, неверно оценив потенциал и тренды рынка, из лидеров производства и продажи смартфонов практически этот рынок потеряла;

·               политики/регуляторной области/репутации и PR — области доступных ресурсов и в некотором смысле развития, поскольку мы помним, что репутация — это ресурс и продукт одновременно (см. пример выше), а действие санкций, введенных против России по политическим причинам еще в 2014 году, многие компании испытывают и сегодня.

·               ключевых конфликтов всех уровней как внутри компании, так и, например, между акционерами или с поставщиками/подрядчиками/заказчиками в случае, если эти конфликты определяют эффективность или даже возможность функционирования компании — области организации ключевых процессов, а также ключевого ресурса. Примеров реализации такого риска множество, но специфической является нередкая ситуация, когда один из акционеров является и одним из или ключевым подрядчиком или поставщиком в реализации проекта. Кроме того, примером конфликта, который существенно снизил эффективность компании, может являться известная история увольнения Стива Джобса из Apple с последующим его возвращением.

·               бизнес-ступора или стагнации, которые являются одновременно причиной и результатом недостаточно эффективно организованной работы или сбоев по всем трем направлениям (ресурсы — операции-выборы) и часто вытекают из предыдущих пунктов; примеры же управления ими настолько же просты, насколько и блестящи: система раннего оповещения об изменениях, специальный мониторинг внешней среды и конкурентов, работа с потребителями и клиентами, полагание на факты и статистику, вместо эмоций и «общего мнения» и пр. (см. статью совета коучей Forbes  https://www.forbes.com/sites/forbescoachescouncil/2019/06/26/12-ways-to-tell-if-your-business-has-stagnated-and-how-to-fix-it/?sh=a02d9df1bb2c);

·               Безопасность и технологии (в том числе кибер-, ВСМ, HSE и пр.) — области организации ключевых процессов, о которых сегодня говорят все. По ожиданиям на 2017 год, ущерб от киберпреступлений ежегодно будет стоить к концу 2021 г. 6 млрд долларов (https://www.wlrk.com/docs/2017CybercrimeReport.pdf), согласно отчету consumers international (https://www.consumersinternational.org/news-resources/blog/posts/five-trends-driving-progress-towards-sustainable-consumption/), потребители все более серьезно относятся к социальной ответственности компаний, а пандемия настолько существенно организационно изменила бизнес-ландшафт, что потребовала очень быстрой технологической перестройки для большинства больших компаний;

·               люди, то есть ключевые назначения, мотивация, организация и условия работы персонала. Вынесенные в данной статье в последний пункт, и, однако, являющиеся ключевым ресурсом, деятелем, потребителем и участником любого процесса нашего общества, поскольку любой бизнес делают люди и для людей.

Безусловно, перечень вопросов, на которые членам совета директоров и высшему руководству/собственникам стоит обратить внимание, проведя отдельный риск-анализ и обсуждение, не ограничивается перечисленным. Однако чаще всего даже по этим вопросам достаточная работа в части управления рисками не проводится, хотя организовать ее весьма просто. Но этот вопрос уже лежит за рамками данной статьи.

* Напомним, что для принятия качественного решения необходимым, хотя и недостаточным условием является полнота и качество имеющейся по вопросу информации. И организация представления такой информации должна быть требованием собственников и совета директоров и обязанностью менеджмента (и может быть одной из задач директора по рискам).

Автор: Ирина Андропова

 

 

Управление рисками для Совета директоров: каким образом создать реальную пользу для Собственников и топ-менеджмента – требования к отчетности

В прошлой статье цикла, посвященной управлению рисками на уровне Совета директоров, была поднята тема того, на какие области стоит обратить внимание Собственникам или членам Совета директоров / Высшего менеджмента с точки зрения эффективного управления рисками. В этой статье, продолжая рассматривать тему, предлагается практический опыт того, каким именно образом возможно организовать рассмотрение вопросов о текущем профиле рисков организации на высшем уровне управления. 

Ранее уже упоминалось, что ключевыми точками приложения риск-экспертизы для Собственника и Членов Совета директоров могут являться: 

1)     доступность ресурса (прошлое и настоящее); 

2)     организация ключевых процессов (настоящее);

3)     направления развития и роста (будущее).

Так каким же образом организовать работу по выявлению, оценке, анализу и управлению рисками на указанном уровне в практической плоскости?

Начнем с ключевого ресурса для принятия любых решений – информации. Мы уже упоминали о том, что ключевыми факторами для подготовки полезного и используемого отчета будут являться:

1)     качество информации;

2)     актуальность;

3)     простота восприятия материала.

Давайте рассмотрим, как можно подойти к реализации каждого из перечисленных критериев успеха.

Итак, качество. Под качеством информации в контексте управления рисками будет целесообразно рассмотреть соответствие требованиям, широко принятым как в аудите, так и в ИТ, управлении информацией и пр.:

·        точность;

·        полнота;

·        согласованность;

·        целостность и истинность;

·        разумность и соответствие поставленной задаче;

·        актуальность;

·        уникальность/отсутствие задвоений;

·        проверяемость – валидируемость;

·        доступность.

Соответствие информации указанным критериям во многом напрямую зависит от системы работы с информацией и отчетности в компании в целом, однако есть несколько прямых методов определения качества представленной информации.

– Если речь идет о цифрах, информация должна соответствовать указанной в управленческой и аудированной финансовой отчетности, которая регулярно предоставляется на рассмотрение Совету директоров. Сделать подобную сверку должно быть достаточно легко, если не по конкретным данным – то по логике и трендам в целом.

– Любая информация (в числовом и текстовом виде) должна быть целостной – то есть данные по одному и тому же вопросу и периоду, предоставленные в разных разрезах, разным адресатам и с разными целями, должны соответствовать друг другу. Из этого требования вытекает разумная подсказка членам Совета директоров делать перекрестную сверку всех предоставляемых (и ранее предоставленных) материалов.

– За редким и объяснимым исключением, любые данные и информация имеют тенденцию, поскольку процессы в любой достаточно крупной компании имеют временной горизонт, необходимый для изменения тренда, т. е. инерцию. Таким образом, логично проверить, насколько представленные данные продолжают ранее выявленные тенденции.

– Взаимовлияние или портфельный подход – процессы компании, а также макроэкономические и политические процессы всегда оказывают достаточно прозрачное влияние друг на друга. Очевидно, что информация касательно изменений в том или ином процессе или аспекте деятельности компании будет влиять или подвергаться влиянию со стороны других процессов и областей деятельности (бизнеса). Логическая проверка представленных оценок и выводов по разным областям деятельности/процессов может также показать качество/недостаточное качество представленной или использованной информации.

В каждом из случаев, если предоставленные данные не соответствуют указанным критериям, рекомендуется подготовить вопросы менеджменту компании касательно исходных данных, выводов или решений, подготовленных на рассмотрение Совету директоров. Вышеуказанный подход применим не только к отчетам по профилю риска компании/проекта, но к любой информации, представленной на рассмотрение для высшего менеджмента/собственника/членов совещательных и наблюдательных органов, и сам по себе является одним из инструментов управления рисками.

Когда вышеуказанные вопросы проработаны, стоит убедиться в том, что представленные данные являются разумными и актуальными, то есть соответствуют как поставленным целям/задачам компании (в зависимости от рассмотрения стратегии/бизнес-плана/инвестиционного горизонта и пр.), так и целям, и задачам совещательного органа, на рассмотрение которого они представлены. Например, информация о тенденциях потребительского сектора в момент до начала пандемии COVID-19 в большинстве случаев будет неактуальной в качестве основания для принятия маркетинговых решений, как и, например, показатели инвестиционного климата в Казахстане до волнений, происходящих там сейчас, в январе 2022 года. Актуальность использованной информации должна быть подтверждена свежими фактами и исследованиями, а также прямым отношением к текущей поставленной перед Советом директоров задаче (например, рассмотрение вопроса о перспективности вложений в цифровой рынок актуально в рамках рассмотрения маркетинговой или инвестиционной стратегии, но не в момент принятия решения о методах киберзащиты, куда могут быть, например, приложены данные о трендах развития цифровизации и соответствующих возможностях и угрозах).

Простота восприятия материала. Ключевой задачей для руководства, представляющего отчеты о профиле риска компании, помимо качества представленной информации (и, в том числе, ее полноты), является ее достаточная лаконичность для обеспечения понятности и полноценного восприятия людьми, не являющимися экспертами в вопросах управления рисками и не погруженными в ежедневную деятельности компании. Другими словами, представленные отчеты должны быть достаточно краткими, но содержательными и user-friendly. В целом такие требования можно предъявить к любым видам отчетов, представляемым на рассмотрение высшего руководства. Однако применительно к вопросам управления рисками рассмотрим основные и традиционные составляющие соответствующих отчетов. Поскольку риск-менеджмент как дисциплина во многом основан на статистико-аналитических исследованиях и анализе, ключевыми составляющими соответствующих отчетов будут:

1)     цифры;

2)     графическая информация;

3)     текстовая информация.

В предыдущей статье серии уже говорилось о том, что на практике приходилось встречаться с многостраничными отчетами, сформированными мелким шрифтом в длинные нечитабельные таблицы, воспринимать которые, несмотря на очень детальное описание каждого риска и возможности, не представлялось возможным в рамках нормальной подготовки к заседанию и обсуждению на Совете директоров. Приходилось сталкиваться и со сложными математическими формулами и графиками, дополненными цветными схемами и диаграммами, которые, тем не менее, не делали более вызывающими доверие и понятными выводы, представленные в отчетах.

В соответствии с широко известным методом McKinsey, принципы которого часто используют как золотой стандарт презентации или питчинга, рекомендованным и наиболее приемлемым на практике является комбинация цифровых, графических и текстовых материалов, изучение которых не должно занять более 20% времени, отведенного на соответствующий вопрос в целом, но давать 80% представления о вопросе, достаточного для принятия решений (золотое правило Парето). Кроме того, отчет должен быть настолько лаконичен, чтобы при необходимости его основную идею можно было изложить менее чем за минуту. Из практического опыта для того, чтобы представленный отчет был воспринят читателем, необходимо кратко указать:

в качестве вступления:

1)     источник информации и данные, на основании которых проводился анализ и делались выводы;

2)      методы проведенного анализа и доказательства их применимости;

основную часть:

3)     представленные выводы в кратком цифровом и графическом виде в соотношении с теми целями, влияние рисков на которые было рассмотрено, а также с риск-аппетитомкомпании в целом и в исследуемой области;

4)     краткие и емкие выводы и предложения в текстовом виде, сформированные на основании проведенного анализа;

5)     результаты проведенного сравнительного анализа или тренда по исследуемой области, а также «выученные уроки» / исторический анализ / прогноз уже исполненных, а также предлагаемых в настоящий момент методов управления риском;

в качестве заключения:

6)     исполнителей и авторов анализа и выводов, а также мнение/резюме генерального директора по этому поводу (которое, ВНИМАНИЕ, может совпадать с указанными в отчете или не совпадать, что является нормальным, поскольку риск-менеджмент должен сохранять свою независимость).

Исходя из практики работы международных компаний можно сказать, что большинство информативных и кратких отчетов по ключевым вопросам, как правило, не превышает трех страниц презентации или текста, однако за таким кратким резюме или executive summary всегда должен существовать (и прилагаться) полноценный отчет со всеми данными для того, чтобы члены Совета директоров при желании и необходимости могли ознакомиться с проведенным анализом.

При соблюдении указанных выше рекомендаций к качеству и представлению информации эффективность и полезность рассмотрения материалов касательно профиля управления рисками на заседании Совета директоров будет разумно гарантирована.

Следует еще раз подчеркнуть важный фактор, несоблюдение которого автоматически приведет к бесполезности затраченных усилий: материалы касательно профиля риска по тому или иному аспекту/проекту/задаче должны напрямую зависеть и быть увязанными с целями соответствующей деятельности/инициативы/проекта и конкретного заседаниясовещательного органа и его функциями, и полномочиями. Представление масштабного, содержательного и полезного отчета о профиле риска маркетинговой стратегии или нового инвестиционного проекта компании на комитете по кадрам и назначениям будет интересно, но совершенно неуместно, как и рассмотрение рисковости заключения контракта с ключевым поставщиком по проекту, когда контракт уже заключен, и т. п.

Подготовкой такого рода материалов, как правило, занимается функция управления рисками внутри компании, соответственно, задача о подготовке соответствующих отчетов после предварительной, надлежащим образом проведенной работы по выявлению рисков на всех уровнях, включая стратегический уровень работы Совета директоров и собственника, должна быть поставлена СЕО или другому высшему исполнительному органу компании в виде распоряжения собственника/Совета директоров. Кроме того, отчеты о подверженности рискам в определенных аспектах готовит аудиторская функция внутри компании, внешние аудиторы (в том числе финансовые) и функция управления качеством, а их содержание, разница и пересечение определяются задачами и спецификой каждой конкретной компании. Однако бывают случаи, когда проведение такой работы доверяют третьей стороне (акционерный аудит, страховой сюрвей, due diligence и т. п.) В этом случае Совету директоров следует внимательно проработать цели и задачи предстоящего риск-анализа и тщательно выбрать потенциального исполнителя данной работы, который должен обладать:

1)     независимостью;

2)     требуемой квалификацией и экспертизой;

3)     максимальным доступом к требуемой информации внутри и вне компании.

Удобным является привлечение к такой работе liaison-officers, однако такая возможность определяется в зависимости от специфики поставленной задачи и наличия данной функции в каждом конкретном случае.

Автор: Ирина Андропова

 

 

Управление рисками для Совета директоров: каким образом создать реальную пользу для Собственников и топ-менеджмента – работа с информацией

В предыдущей статье цикла, посвященной управлению рисками на уровне Совета директоров, была поднята тема того, какие требования к информации и формированию отчетности должны быть поставлены Собственником или членами Совета директоров для эффективного принятия решений на основе данных о профиле риска компании. В этой статье в продолжение темы предлагаются практические решения по анализу и использованию такой информации.  

 

Ранее уже упоминалось, что ключевыми требованиями к отчету по рискам и информации, на основании которой готовится отчет о профиле риска компании, должны являться: 

1)     качество (включая актуальность); 

2)     простота восприятия.

Предположим, что на рассмотрение Собственника / членов Совета директоров поступил отчет, полностью соответствующий требованиям, которые подразумеваются под данными характеристиками. На что и как стоит обратить в нем внимание?

Ключевым и элементарным для исполнения методом реализации функции управления рисками на уровне Совета директоров и на любых других уровнях управления является постановка правильных и своевременных вопросов каждым из участников обсуждения/утверждения. Любой аудит, сюрвей, оценка и, тем более, формирование стратегии всегда начинаются с вопроса, из которого в последующем и формулируется задача. Как правило, первым вопросом является ЗАЧЕМ или ЧТО: 

 – что производит компания / является целью инициативы / будет результатом исполнения проекта/аудита и пр; 

 – зачем существует тот или иной процесс или предлагается то или иное действие (включая проект, инициативу, проверку и пр). 

Однако важность постановки простых вопросов даже вне замечательно зарекомендовавшего себя метода Тойота, который является примером управления стратегическими рисками, остается актуальной при принятии любого операционного решения.С точки зрения управления рисками, задачей каждого из ЛПР или членов высших руководящих органов – поставить под сомнение сформулированные предложения или задать любые возникшие вопросы, даже кажущиеся несущественными или простыми в каждой конкретной ситуации. 

Практический опыт показывает, чтосамыми распространенными вопросами могут быть:

1)     уже упомянутые зачем/почему/что и пр., особенно при принятии решений о каких-либо действиях;

2)     подтверждение исполнения вышеуказанных требований к качеству информации, ее источникам и методам обработки;

3)     вопросы по оценке каждого ключевого драйвера представленного плана, стратегии, проекта, решения (включая все виды ключевых ресурсов, предположений и методов действий и пр) и деятельности компании в целом и подвергание их обязательным стресс-тестам и сценарному анализу во всех релевантных случаях;

4)     оценка того, как принимаемое решение отразится на других целях, процессах и задачах компании (портфель), а иногда – и игроках рынка (среда и общество);

5)     соответствие принятых решений и рассчитанной количественной оценки риска утвержденному риск-аппетиту компании(о котором мы поговорим чуть позже), опять же, в том числе по портфелю;

и многие другие, включая анализ «серых носорогов» и «белых слонов». 

Безусловно, оптимальным является заблаговременное включение ответов на перечисленные вопросы в рамках подготовки соответствующих материалов по рискам для Совета директоров, однако всем ЛПР и членам руководящих и совещательных органов следует помнить о том, что даже если материалы не содержат пояснения по всем интересующим позициям, правильный и вовремя, то есть до принятия решения заданный вопрос часто содержит в себе если и не весь ответ, то его часть точно. Исходя из исследований социальной психологии, люди, находящиеся в группе, зачастую ожидают, что в случае необходимости инициативу проявит кто-то другой – и сомнения не озвучивает ни один из участников (из страха показаться некомпетентным, отношения к предмету как к несущественному, вечной «нехватки времени» и пр.). Но тщательное и открытое рассмотрение всех вопросов, сомнений, деталей, полезных для принятия решений, должно стать повседневной практикой и культурой менеджмента, без которой развитие компании невозможно. Чтобы быть эффективным, вы должны постоянно проявлять напористость и задавать вопросы, уважая при этом компетенцию других, до тех пор, пока не убедитесь, что полностью понимаете детали, имеющие отношение к данному решению. Очень часто ситуации, когда мы подвергаем сомнению очевидное или бросаем вызов общему мнению, помогают нам принимать разумные решения! Наибольшее значение имеют отнюдь не техники, применяемые в измерении рисков, а культура. 

Понимание того, как изменился профиль риска компании с прошлого заседания совещательного органа, какие позитивные и негативные события произошли и как они повлияли на измеримые и неизмеримые цели компании, ее позиции на рынке, стратегию, репутацию и ключевые показатели, является необходимым для адекватной оценки и принятия стратегических решений уровня топ-менеджмента и Совета директоров. Хотя многое из озвученного выше обсуждается в рамках тем и комитетов, не связанных с управлением рисками формально, привнесение во всестороннее обсуждение осознанного понимания и рассмотрения рисков, возможностей и сценариев будет способствовать не только развитию культуры управления (и не только рисками) в компании, но и самого бизнеса: ключевые драйверы риска часто совпадают и с ключевыми драйверами успеха, а рассмотрение сценариев дает возможность выработать альтернативные или даже дополнительные стратегии развития, а не только мыслить в проблемном ключе, как стереотипно кажется многим менеджерам. 

В этой связи особенно важным является четкое понимание Собственником и членами Совета директоров и общего аппетита к риску (толерантности/готовности к риску) всей компании, и отдельных аппетитов по проектам, бизнесам, инициативам и целям. Методические вопросы установления и взаимоувязки аппетитов сами по себе являются нетривиальной и важной задачей, однако не меньшей задачей является четкое понимание и прослеживание текущего профиля и соотнесение отдельных драйверов ценности бизнеса к общему и специфическим лимитам толерантности к риску. 

И напоследок, хочется дополнительно отметить еще один важный метод практического риск-анализа на уровне Совета директоров, уже упомянутый выше: целостное мышление. В книге Д. Кенига «Риск. Руководство для Совета директоров» под портфельным мышлением понимается аспект данного термина, относящийся к отдельно взятой компании / группе компаний, однако разумным представляется и более широкое его понимание в контексте среды: в современном мире все процессы не только в рамках каждой отдельной компании, но в экономике, политике и природе вообще завязаны в единое целое, особенно сегодня, в эпоху глобализации и цифровой прозрачной реальности. При принятии любого решения следует учитывать взаимовлияние процессов и показателей друг на друга, перераспределение ресурсов и рисков внутри и вне компании, взаимовлияние конкурентов и целых рынков и общий, часто «неписаный» аппетит к риску, пожалуй, уже целого общества и поколения. Только в этом случае руководство компании может выиграть от большинства принятых решений, разумно и эффективно управлять рисками и, более того, обнаружить и использовать новые возможности.

Автор: Ирина Андропова

 

 

Управление рисками для Совета директоров: вопросы, которые должны быть подняты Советом директоров на основании отчетов от менеджмента

В прошлой статье цикла, посвященной управлению рисками на уровне Совета директоров, была поднята тема, какие требования к информации и формированию отчетности должны быть поставлены Собственником или членами Совета директоров для эффективного принятия решений на основе данных о профиле риска компании. В этой статье, продолжая рассматривать тему, предлагаем практические решения по анализу и использованию такой информации. 

 

Ранее уже упоминалось, что ключевыми требованиями к отчету по рискам и информации, на основании которой готовится отчет о профиле риска компании, должны являться: 

1)     качество (включая актуальность); 

2)     простота восприятия.

Предположим, что на рассмотрение Собственника/членов Совета директоров поступил отчет, полностью соответствующий требованиям, которые подразумеваются под данными характеристиками. На что и как стоит обратить в нем внимание?

Ключевым и элементарным для исполнения методом реализации функции управления рисками на уровне Совета директоров и на любых других уровнях управления является постановка правильных и своевременных вопросов каждым из участников обсуждения/утверждения. Любой аудит, сюрвей, оценка и тем более формирование стратегии всегда начинаются с вопроса, из которого в последующем и формулируется задача. Как правило, первым вопросом является ЗАЧЕМ или ЧТО: 

 – что производит компания/является целью инициативы/будет результатом исполнения проекта/аудита и пр.; 

 – зачем существует тот или иной процесс или предлагается то или иное действие (включая проект, инициативу, проверку и пр.). 

Однако важность постановки простых вопросов, даже вне замечательно зарекомендовавшего себя метода Тойота, который является примером управления стратегическими рисками, остается актуальной и при принятии любого операционного решения.С точки зрения управления рисками задачей каждого из ЛПР или членов высших руководящих органов является поставить под сомнение сформулированные предложения или задать любые возникшие вопросы, даже кажущиеся несущественными или простыми в каждой конкретной ситуации. 

Из практического, в том числе аудиторского, опытасамыми распространенными вопросами могут являться:

1)     уже упомянутые зачем/почему/что и пр., особенно при принятии решений о каких-либо действиях;

2)     подтверждение исполнения вышеуказанных требований к качеству информации, ее источникам и методам обработки;

3)     вопросы по оценке каждого ключевого драйвера представленного плана, стратегии, проекта, решения (включая все виды ключевых ресурсов, предположений и методов действий и пр.) и деятельности компании вообще и подвергание их обязательным стресс-тестам и сценарному анализу во всех релевантных случаях;

4)     оценка того, как принимаемое решение отразится на других целях, процессах и задачах компании (портфель), а иногда – и игроках рынка (среда и общество);

5)     соответствие принятых решений и рассчитанной количественной оценки риска утвержденному риск-аппетиту компании. 

Безусловно, оптимальным является заблаговременное включение ответов на упомянутые вопросы в рамках подготовки соответствующих материалов по рискам для Совета директоров. Однако всем ЛПР и членам руководящих и совещательных органов следует помнить о том, что даже если материалы не содержат пояснения по всем интересуемым позициям, правильный и вовремя, то есть до принятия решения, заданный вопрос часто содержит в себе если и не весь ответ, то его часть точно. Исходя из исследований социальной психологии, люди, находящиеся в группе, зачастую ожидают, что в случае необходимости инициативу проявит кто-то другой – и сомнения не озвучивает ни один из участников: по причинам страха показаться некомпетентным, отношения к предмету как к несущественному, вечной «нехватки времени» и пр. Но тщательное и открытое рассмотрение всех вопросов, сомнений, деталей, полезных для принятия решений, должно стать повседневной практикой и культурой менеджмента, без которой развитие компании невозможно. «Чтобы быть эффективным, вы должны постоянно проявлять напористость и задавать вопросы, уважая при этом компетенцию других, до тех пор, пока не убедитесь, что полностью понимаете детали, имеющие отношение к данному решению. Очень часто ситуации, когда мы подвергаем сомнению очевидное или бросаем вызов общему мнению, помогают нам принимать разумные решения… Наибольшее значение имеют отнюдь не техники, применяемые в измерении рисков, а культура». 

Понимание того, как изменился профиль риска компании с прошлого заседания совещательного органа, какие позитивные и негативные события произошли и как они повлияли на измеримые и неизмеримые цели компании, ее позиции на рынке, стратегию, репутацию и ключевые показатели, является необходимым для адекватной оценки и принятия стратегических решений уровня топ-менеджмента и Совета директоров. Хотя многое из озвученного выше обсуждается в рамках тем и комитетов, не связанных с управлением рисками формально, привнесение во всестороннее обсуждение осознанного понимания и рассмотрения рисков, возможностей и сценариев будет способствовать не только развитию культуры управления (и не только рисками) в компании, но и самого бизнеса: ключевые драйверы риска часто совпадают и с ключевыми драйверами успеха, а рассмотрение сценариев дает возможность выработать альтернативные или даже дополнительные стратегии развития, а не только мыслить в проблемном ключе, как стереотипно кажется многим менеджерам. 

В этой связи особенно важным является четкое понимание Собственника и членов Совета директоров и общего аппетита к риску (толерантности/готовности к риску) всей компании и отдельных аппетитов по проектам, бизнесам, инициативам и целям. Методические вопросы установления и взаимоувязки аппетитов сами по себе являются нетривиальной и важной задачей, однако не меньшей задачей является четкое понимание и прослеживание текущего профиля и соотнесения отдельных драйверов ценности бизнеса к общему и специфическим лимитам толерантности к риску. 

И напоследок хочется дополнительно отметить еще один важный метод практического риск-анализа на уровне Совета директоров, уже упомянутый выше: целостное мышление. В книге Д. Кенига «Риск. Руководство для Совета директоров» под портфельным мышлением понимается аспект данного термина, относящийся к отдельно взятой компании/группе компаний, однако разумным представляется и более широкое его понимание в контексте среды: в современном мире все процессы не только в рамках каждой отдельной компании, но в экономике, политике и природе вообще завязаны в единое целое, особенно сегодня, в эпоху глобализации и цифровой прозрачной реальности. При принятии любого решения следует учитывать взаимовлияние процессов и показателей друг на друга, перераспределение ресурсов и рисков внутри и вне компании, взаимовлияние конкурентов и целых рынков и общий, часто «неписанный» аппетит к риску, пожалуй, уже целого общества и поколения. Только в этом случае руководство компании может выиграть от большинства принятых решений, разумно и эффективно управлять рисками и, более того, обнаружить и использовать новые возможности.

Автор: Ирина Андропова

 

Управление рисками для Совета директоров: ответственные эксперты и органы. Часть 1

В продолжение темы обзорных статей по управлению рисками на уровне Совета директоров рассмотрим блок о лидерстве в этой области на уровне корпоративных органов управления: 

1.    выбор совещательных органов, которые должны быть ответственными в вопросах управления рисками на уровне Совета директоров; 

2.    выбор и назначение конкретных людей, компетенции и опыт которых необходимы и достаточны для того, чтобы осуществлять эффективный риск-менеджмент и надзор за соблюдением установленного риск-аппетита компании.

Для того чтобы принять решение по этим ключевым пунктам, вспомним, чем занимается Совет директоров в компаниях. Основными функциями и задачами для Совета директоров являются:

–       определение приоритетных направлений деятельности (стратегии) и бюджета;

–       реализация и защита прав акционеров, а также содействие разрешению корпоративных конфликтов;

–       обеспечение эффективной деятельности исполнительных органов общества, назначение и отстранение от должности ключевых лиц в исполнительном руководстве, а также определение политики их вознаграждения; 

–       формирование комитетов Совета директоров (наблюдательного совета) общества;

–       определение принципов и подходов к организации в обществе управления рисками, внутреннего контроля и внутреннего аудита;

–       утверждение подходов к выявлению и урегулированию конфликтов интересов; 

–       утверждение информационной политики и контроль за практикой раскрытия информации; 

–       контроль за практикой корпоративного управления, утверждение ключевых корпоративных действий;

–       контроль финансово-хозяйственной деятельности и утверждение годовой бухгалтерской (финансовой) отчетности общества, решения об увеличении уставного капитала общества, дополнительной эмиссии, контроль оценки, решения об использовании резервного фонда и иных фондов общества

 и так далее, в зависимости от юрисдикции, в которой Совет директоров работает. Очевидно, что практически во всех вышеперечисленных задачах присутствует элемент управления рисками и контроля. 

Обычно при советах директоров есть несколько ключевых органов – комитетов, которые помогают ему осуществлять вышеперечисленные функции. Это, как правило:

–       аудиторский комитет; 

–       часто комитет по кадрам и назначениям; 

–       возможно, стратегический комитет или финансовый комитет – иногда их функции объединяются; 

–       выделяют и отдельный комитет по рискам, функции которого могут входить в состав стратегического комитета, комитета по аудиту, если это не отдельный орган; 

–       иногда есть комитеты по HSE (health, safety, environment); 

–       могут выделяться отдельные комитеты для управления специфическими направлениями деятельности, как, например, ядерная безопасность. 

В целом, как правило, всевозможными требованиями (в частности, для листинговых компаний) закрепляется обязательное наличие аудиторского комитета, поскольку этот орган должен давать надежное представление собственнику или группе собственников о реальном уровне контроля внутри компании и, в частности, качества и достоверности финансово-хозяйственной отчетности, в связи с чем, во избежание конфликта интересов, внутренние аудиторы не подчиняются первому лицу компании, но подчиняются аудиторскому комитету Совета директоров.

Что же касается остальных перечисленных органов – они часто опциональны, и для того, чтобы понять, необходимо ли компании создавать специальный комитет для управления рисками либо достаточно уже имеющихся, стоит проанализировать, способен ли Совет директоров и уже существующие органы ответить на ключевые вопросы о состоянии компании с точки зрения управления рисками[1]:

1.    насколько стратегия компании соответствует ожиданиям всех стейкхолдеров, например, владельцев, инвесторов, кредиторов общества, насколько она соответствует практике рынка и своевременно обновляется в соответствии с его динамикой; 

2.    какие ключевые риски могут оказать влияние на деятельность компании и достижение ее целей, в том числе стратегических, и как компания управляет этими негативными рисками и факторами; 

3.    насколько менеджмент и сотрудники компании на всех уровнях понимают и исполняют подход компании к управлению рисками, знают емкость риска и соответствующий риск-аппетит, каскадированный на отдельные функции (толерантность к риску), установлены ли в компании нулевые толерантности по каким-то направлениям и что это за направления;

4.    насколько в компании развита и продолжает развиваться инфраструктура и культура управления рисками: есть ли у организации понятный пакет правил, нормативов, техник, каналов коммуникаций касательно риск-менеджмента, доведенных и исполняющихся на всех уровнях;

5.    есть ли план восстановления бизнеса на случай катастрофы и план обеспечения непрерывности бизнеса, тестируются ли эти планы; 

6.    насколько часто происходит пересмотр политик в области управления рисками по всем направлениям, включая ВСМ и ESG;

7.    рассматриваются ли одновременно с рисками и возможности; 

8.    как распределена ответственность за те или иные действия в рамках управления рисками, насколько оценка профиля рисков является независимой, насколько люди, вовлеченные в процессы выявления и оценки рисков, имеют полную и актуальную информацию из всех источников; 

9.    каким образом осуществляется защита интересов и активов компании, в том числе физических и т.д.

В зависимости от сложности бизнеса и структуры организации, специфики отрасли и запроса владельцев, соответствующие вопросы могут отслеживаться Советом директоров непосредственно, может быть принято решение включить их в функции одного из существующих комитетов (часто это комитет по аудиту или комитет по стратегии и инвестициям) либо выделить отдельный орган, ответственный за контроль профиля риска компании на уровне корпоративного управления.

[1] приведена лишь небольшая часть вопросов, которые должны быть рассмотрены на уровне Совета директоров в рамках организации работы по внедрению эффективных культуры и процесса управления рисками. Их детализация зависит от специфики запроса владельцев и индивидуальных особенностей компании и рынка, где она существует.

 

 

Управление рисками для Совета директоров: ответственные эксперты и органы. Часть 2

В завершение темы обзорных статей по управлению рисками на уровне Совета директоров рассмотрим ситуацию, когда Советом директоров принято решение включить вопросы о состоянии компании с точки зрения управления рисками в функции одного из существующих комитетов (комитет по аудиту, комитет по стратегии и инвестициям, иной комитет).

Когда такое решение принято, следующим шагом является проработка процедурно-операционной составляющей работы соответствующего органа, а именно:

1.     Частота рассмотрения вопросов по управлению рисками, которая зависит от специфики деятельности компании, рынка, на котором компания действует, и пр. В частности, для компаний, которые работают в высокодинамичной среде, где риски меняются очень часто, что характерно, например, для финансовых рынков, вопросы рассмотрения профиля рисков будут регулярными в рамках каждого заседания как Совета директоров, так и ответственных комитетов. То же самое происходит при реализации крупных проектов. Если же речь идет о простой операционной деятельности на не слишком волатильном рынке внутри одной страны и среднего размера компании, то вопросы риск-менеджмента могут рассматриваться раз в квартал или раз в полгода. 

2.     Частота и основание для пересмотра самих практик управления рисками, постановка бенчмарков для практик и профиля рисков. Решение по этому пункту также часто зависит от отрасли и скорости роста компании: цифровые и быстрорастущие бизнесы в динамичных отраслях требуют гораздо более частого пересмотра практик, чем бизнесы традиционные.

3.     Ответственность за отслеживание конъюнктуры рынка, на котором компания действует, а также текущих тенденций в управлении рисками, т.е. приятие решений о том, кто в компании или вне ее должен быть основным поставщиком информации для работы соответствующего органа. В этой части возможны как традиционные подходы с созданием выделенной функции управления рисками внутри структуры организации, так и, например, консалтинговый аутсорсинг. Выбор подхода всегда является балансом между требуемым уровнем качества и проработки информации и соответствующих затрат.

4.     Инфраструктурные решения для эффективного, своевременного и надежного управления рисками в компании: информационных систем, технических и технологических инструментов и пр. 

5.     Каналы и правила коммуникаций между контрольно-аналитическими функциями (управление рисками, внутренний контроль, внутренний аудит, комплаенс, безопасность и т.д.), бизнес-функциями и основными внешними контрагентами компании и т.д.

 

После определения целей, планов и регламентов управления рисками на уровне корпоративного управления встает вопрос о том, кто именно может быть ответственным за этот процесс на уровне Совета директоров. Существует несколько вариантов, которые могут дополнять друг друга в зависимости от запроса стейкхолдеров и текущей ситуации. Базовым условием реализации любой из моделей является компетентность выбранного эксперта (группы экспертов) как в вопросах управления рисками, так и в вопросах стратегического и корпоративного управления и анализа – стратегического планирования, управления, принятия решений, разрешения конфликтов, ведения переговоров (поскольку зачастую процедуры оценки и управления рисками могут быть достаточно конфликтными и, соответственно, потребуют умения договариваться и одновременно отстаивать позицию, не бояться задавать вопросы касательно профиля риска и эффективности риск-менеджмента, целесообразности тех или иных решений и степени их проработанности). 

Как правило, такие эксперты должны, помимо стратегического видения и операционного опыта, обладать хорошими финансовыми знаниями и, как минимум, пониманием ключевых драйверов стратегии компании, ее ключевых стресс-факторов и допустимых уровней материальности, чтобы разумно проанализировать предложенный риск-аппетит и текущую динамику финансовых показателей с точки зрения эффективного управления рисками и возможностями. В связи с этим логично и предпочтительно, чтобы хотя бы один из членов Совета директоров (предпочтительно независимый) или соответствующего комитета был профессиональным риск-менеджером, однако это не является обязательным условием, поскольку исполнять соответствующие функции могут и другие эксперты, обладающие перечисленными квалификациями и опытом. 

И хотя крайне желательно, чтобы соответствующий эксперт был постоянным членом Совета директоров для потенциальной возможности реализации права вето (в случае наделения им от имени владельцев компании) в особо критических решениях, возможно построение модели корпоративного управления, при которой компания может приглашать уважаемого и известного в своих профессиональных кругах специалиста, который будет выступать либо модератором, либо консультантом по вопросам риска. 

Плюсами такого решения являются независимый взгляд в связи с не вовлеченностью в постоянную деятельность компании и потенциально более психологически низкий порог работы с возражениями для человека со стороны. Какую бы модель ни выбрала компания, оптимально, чтобы и председатель Совета директоров или председатель комитета, которому вменены функции по управлению рисками, имел детальное представление о том, как должны работать эффективная система и процесс управления рисками, и обладал всеми вышеперечисленными навыками, поскольку мы помним, что риск-менеджмент – это, в первую очередь, инструмент осознанного принятия решений, а управление рисками как часть обеспечения разумной уверенности в достижении поставленных целей и защите интересов акционеров пронизывает всю деятельность корпоративных органов управления. 

В заключение всего цикла статей целесообразно еще раз повторить ключевые идеи, которые освещались во всех предыдущих выпусках, и без реализации которых невозможно получить максимальную пользу от риск-менеджмента вообще и на уровне Совета директоров, в частности: 

1.     Управление рисками – это не отдельный процесс или функция, это культура осознанного принятия решений. Риск-менеджмент, его инструментарий и техники вписаны во все бизнес-процессы компании и работают на всех уровнях, а ключевыми заинтересованными в эффективной системе управления рисками являются владелец компании, первое лицо на уровне Совета директоров, первое лицо в самой компании, в ее топ-менеджменте. 

2.     Внедрение системы эффективного управления рисками возможно только при полной поддержке и заказе сверху. 

3.     На сегодня существует множество бизнес-моделей, техник, инструментов и инфраструктурных решений для реализации процессов риск-менеджмента, возможности их внедрения очень широки, могут отличаться от компании к компании, но ключевым условием их полезного и эффективного внедрения является экспертиза профессионалов в управлении рисками.

4.     Процесс управления рисками как повседневная культура осознанности в ведении бизнеса формируется не сразу, и хотя построение эффективной системы риск-менеджмента занимает время, при грамотной ее настройке компания может получитьочень серьезные, долгосрочные плюсы, надежную поддержку внутри и извне в развитии, достижении поставленных целей компании и общества и обеспечении устойчивости бизнеса.

5.     Совет директоров является одним из ключевых заказчиков и потребителей результатов разумной и эффективной системы управления рисками, и поэтому его постоянное образование в области риск-менеджмента и непосредственное вовлечение в соответствующие процессы является необходимым условием для исполнения задач, для реализации которых и создаются органы корпоративного управления.

Автор: Ирина Андропова

 

 

Актуальные темы и вызовы риск-менеджмента XXI в.: управление непрерывностью бизнеса

В сегодняшней статье мы:

·        поговорим об очень важном элементе управления рисками и компанией в целом – управлении непрерывностью бизнеса, или BСM (Business continuity management): что это такое, каковы ключевые компоненты и этапы построения систем BCM; 

·        и попробуем ответить на частый вопрос: «Как поступать разумнее: реагировать на фактический риск, особенно если он относится к категории «черных лебедей», или заблаговременно готовиться к событиям, о которых сегодня может быть ничего не известно». 

BCM – это часть большого семейства практик устойчивого развития компаний, которая подразумевает, что для того, чтобы компания существовала устойчиво в долгосрочной перспективе, она должна уметь справляться с непредвиденными и критическими для бизнеса ситуациями, реагировать на них таким образом, чтобы сохранять свою жизнеспособность и требуемый уровень эффективности. В контексте данной статьи чрезвычайная ситуация – это крайне редкое событие с уровнем воздействия, выходящим за пределы диапазона нормальных возможностей организации, некое усложненное условие деятельности, которое является для бизнес-системы трудным и опасным (объективно материально или субъективно информационно). Такие ситуации, как правило, ведут к появлению рассогласованности внутри и вне организации, и их последствиями часто бывает «бизнес-ступор».

К чрезвычайным ситуациям можно отнести: 

1.   Техногенные и природные катастрофы, которых за последнее столетие было достаточно много, в том числе на объектах атомной, химической, нефтяной отраслей, а также неоднократные землетрясения, цунами, извержения вулканов, ураганы и т. п. И поскольку такие катастрофы являются действительно масштабными и критическими по своим последствиям, вопросы управления соответствующими технологическими и HSE рисками достаточно очевидны и проработаны, потому что большинство регуляторов мира и опасных отраслей требуют наличия технических оперативных планов по реагированию на них. 

2.   Боевые действия и террористические акты, происходившие на протяжении всей истории человечества, стали рассматриваться как проблемы для возможного прерывания бизнеса в недавнее время, особенно для глобальных бизнесов и сложных межгосударственных и межрыночных логистических цепочек.

3.   Резкие общественно-политические и экономические изменения: смены режимов, санкционные ограничения не только для компаний – но для целых стран. Безусловно, влияние таких событий с большой вероятностью может стать катастрофическим для многих бизнесов и проектов. 

4.   Эпидемии. В этом столетии мир не впервые столкнулся с катастрофической эпидемией, но впервые она стала настолько глобальной и своими последствиями повлияла на мировой бизнес-ландшафт. 

5.   Разумно отнести к чрезвычайным ситуациям для многих современных бизнесов и информационно-репутационные события и тренды, приводящие к «культуре отмены» не только конкретных игроков – но целых рынков.

Перечисленные выше ситуации происходили неоднократно в новейшей истории, уже не являются «черными лебедями» (на момент написания статьи многие рынки находятся под двойной чрезвычайной нагрузкой, связанной с последствиями как мировой эпидемии, так и санкций, влияющих на бизнес-ландшафт целых регионов и отраслей) и с достаточной вероятностью будут повторяться снова – а значит, представляют для риск-менеджеров всего мира вполне конкретные вызовы, требующие разработки комплекса мероприятий по обеспечению непрерывности бизнеса соответствующих компаний и рынков. За вторую половину XX в. в разных отраслях и регионах было накоплено достаточно опыта и разработано документов, которые так или иначе требуют или рекомендуют компаниям иметь некий процесс, который давал бы их владельцам, сотрудникам, обществу уверенность в том, что если произойдет чрезвычайное событие, компания выстоит, и ущерб, нанесенный окружающей среде и вовлеченным сообществам, будет минимален. Ключевые рекомендации касательно ВСМ отражены в соответствующих стандартах ISO, которые описывают требования к безопасности и отказоустойчивости. Но помимо рекомендательных и высокоуровневых стандартов целесообразно обращаться и к национальным требованиям для различных отраслей, поскольку многие регуляторы, в частности, в финансовом и телекоммуникационном секторе, имеют собственные, более детальные требования по тем или иным специфическим вопросам. 

По своей сути BCM — это целостный процесс управления, выявляющий потенциальные угрозы для организации и последствия для бизнес-операций, которые, при реализации, эти угрозы могут вызывать. Это – основа для создания организационной устойчивости и развития с возможностью эффективного реагирования для защиты интересов всех вовлеченных сторон. Цель управления непрерывностью бизнеса состоит в том, чтобы позволить руководству сохранить и продолжать бизнес-процессы в неблагоприятных условиях путем внедрения соответствующих стратегий, программ, нормативов, целых процессов и т. д. Любое масштабное происшествие из ранее названных категорий может привести к серьезному нарушению деятельности организации, ее способности предоставлять услуги, выпускать свои продукты. Предотвратить катастрофы невозможно, но выявить возможные источники угроз (факторы риска), максимально оперативно отреагировать и быстро восстановиться при тщательно разработанном плане ВСМ – достаточно вероятно при должной подготовке. Поэтому, помимо ранее упомянутых требований к внедрению программ обеспечения непрерывности бизнеса, актуальная практика рынка также диктует свои правила: наличие разумных и надежных планов ВСМ является часто не только желательным, но необходимым условием для получения значительных инвестиций, займов и заключения партнерств. Кроме того, наличие подобных программ позволяет усилить свою уверенность в том, что репутация компании будет защищена, а значение бренда и стоимость бизнеса будут выше, чем при отсутствии соответствующих шагов. 

Общая цель плана ВСМ – обеспечить последовательное, своевременное восстановление организации и ее ключевых бизнес-процессов после реализации того или иного риска. Соответственно, для разработки такого плана необходимо тщательно проанализировать бизнес компании, определить возможные риски и уязвимости, ключевые бизнес-процессы и роли, разработать курс действий по реагированию на возможные чрезвычайные события, обозначить ключевую команду бизнес-ролей, которые должны быть вовлечены в реагирование и восстановление. Необходимо также проработать возможные источники внешней поддержки: финансовой, медийной, репутационной, технологической, регуляторной и пр. и провести сценарный анализ, т. е. разработку альтернативных стратегий для обеспечения устойчивости компании. Очевидно, что качественный план по обеспечению непрерывности подразумевает глубокое понимание бизнеса, технологий, процессов, рыночного контекста и стейкхолдеров организации. 

Традиционно комплекс планов по обеспечению непрерывности бизнеса должен включать технологические, финансовые, информационно-репутационное направления, а также целый ряд специфических для конкретной структуры и отрасли блоков (например, логистика, работа с населением и пр.), однако стоит помнить о том, что даже разработанные планы должны не просто постоянно актуализироваться синхронно с изменениями внутри и вокруг конкретной компании, но подлежать постоянному тестированию и тренировкам, что, при условии внедрения соответствующего информационного и ролевого поля внутри организации, должно привести к созданию и внедрению культуры непрерывности бизнеса как части культуры управления рисками и менеджмента вообще. Чем более простыми, понятными и подробными будут разработанные планы и процедуры и чем более осведомленным и тренированным будет персонал – тем больше вероятность быстро восстановиться и понести наименьшие возможные потери при возникновении чрезвычайной ситуации. Стоит обратить внимание, что одним из ключевых элементов обеспечения как долгосрочной устойчивости, так и непрерывности и отказоустойчивости практически любой современной крупной организации является управление взаимодействием с заинтересованными сторонами, включая как технологические, так и информационные потоки, поскольку сегодняшний бизнес зачастую глобален и тесно включен в единую сеть взаимосвязей с другими субъектами рынка. Более того, некоторые регуляторы требуют, чтобы планы BCM были согласованы с соответствующими планами ключевых партнеров. Но даже без соответствующих требований как по взаимодействию, так и по выстраиванию системы непрерывности такие инициативы дают компании возможность повышать собственную эффективность, улучшая и упрощая бизнес-процессы, расширяя информированность внутри и снаружи и выстраивая культуру эффективного и ответственного управления.

Подводя итоги, можно сказать, что ответ на вопрос: «Что разумнее: реагировать на конкретную ситуацию или последовательно выстраивать работу с рисками» достаточно очевиден: внешние катастрофические риски по своей природе слабоуправляемы, однако лучшее знание своего бизнеса, построение устойчивых бизнес-процессов и связей, безусловно, создаст предпосылки для повышения эффективности даже в обычном режиме деятельности, ну а в случае, если после наступления чрезвычайного происшествия команда топ-менеджеров справится с последствиями быстро и эффективно, то реализованный риск может стать возможностью повышения стоимости бренда и компании на рынке, доверия к ней и ее репутации. 

Автор: Ирина Андропова

 

 

Актуальные темы и вызовы риск-менеджмента XXI века: риски, связанные с целями в области корпоративной социальной ответственности и устойчивого развития

Существуют различные определения и модели КСО. Их объединяет то, что все они предполагают обязанности компании в большем объеме, чем это естественным образом вытекает из принятых ею юридических обязательств и технологических процессов. Такая парадигма ведения бизнеса возникла примерно в начале 80-х прошлого столетия и была связана с рассмотрением области «обитания» организации шире, чем ее физические и юридические границы, т.е. с развитием концепции стейкхолдеров. В результате целый ряд всемирных организаций сформулировали определения и цели в КСО как обязательства компаний вести себя этично и способствовать устойчивому экономическому развитию сообществ так,чтобы будущие поколения не пострадали от действий текущего. Из определений следует, что понятия и подходы корпоративной социальной ответственности и устойчивого развития тесно связаны между собой и нацелены на обеспечение инициатив, которые позволят процветать в долгосрочной перспективе не только компании — но и всему окружающему ее сообществу заинтересованных лиц: сотрудникам и их семьям, местной общине, региону, инвесторам и партнерам и т.п. Очевидно, что постановка подобных целей связана со стратегической устойчивостью компании и всех стейкхолдеров и растянута в реализации на большие сроки во времени, а управление стратегическими целями невозможно без выявления, оценки и управления соответствующими стратегическими рисками.

Для определения круга рисков, которые должны быть рассмотрены и включены в перечень обязательных к управлению в рамках КСО, выделим круг целей, которые можно каскадировать из намерения, сформулированного выше. В общем понимании к областям обязательной проработки для обеспечения устойчивого развития относятся широко известные компоненты ESG (environment, societyand governance):

·       забота о долгосрочной устойчивости самого бизнеса и его процессов: технологий, систем управления, репутации, включая, но не ограничиваясь гарантиями, что компания использует точные и прозрачные методы бухгалтерского учета, стремится к честности и разнообразию при выборе руководства, подотчетна акционерам, исключает конфликты интересов и пр.;

·       забота об окружающей среде, включая корпоративную политику в области климата, использования энергии, отходов, загрязнения, сохранения природных ресурсов и обращения с животными;

·       забота обо всех участниках процессов исследуемого бизнеса и обществе вообще.

Каждое из этих масштабных направлений должно быть детально и предметно каскадировано сверху-вниз на прикладные и измеримые цели, характерные для конкретной организации, после чего будет возможным проанализировать риски, влияющие на данные цели. Кроме того, целесообразно пройти по вселенной уже выявленных ранее в компании рисков и с другой стороны, снизу-вверх, исследуя, насколько тот или иной риск, его причины или последствия могут сказаться на достижении вышеупомянутых целей, вплоть до внедрения процедуры отдельной оценки последствий каждого риска на каждую из целей КСО-ESG.

Из комплексности областей, с которыми приходится иметь дело в рамках КСО, вытекает несколько особенностей работы с соответствующими рисками:

1.                 Их сложная измеримость с одновременным пониманием возможности комплексных последствий, ведьзачастую рассчитать то, как именно отразятся на окружающей среде или сообществе последствия того или иного риска очень сложно даже с помощью сценарного анализа, более того, реализация одного из рисков может повлечь за собой эффект домино, что мультиплицирует возможные последствия и делает расчеты еще менее надежными.

2.                 Природа многих рисков, связанных с целями в области ESG, такова, что они сами по себе являются последствиями, а также причинами для реализации новых рисков. Зачастую, в случае реализации риска из категории ESG, он тянет за собой каскад из других рисков этой же категории. Например, результаты разлива нефти влияют не только на окружающую среду, экосистему и жителей, но и на рынок рыбной ловли, туризма и т.п. соответствующего региона, помимо финансовых, технологических и репутационных последствий для самой компании.

3.                 Сложность отслеживания эффективности контролей или мероприятий по управлению указанными рисками ввиду их долгосрочного характера на фоне высоковолатильной рыночной среды. Примером может служить текущая реализация рисков нехватки инженерного персонала для многих высокотехнологичных производств стран бывшего СССР ввиду отсутствия спроса на соответствующие профессии в 1990–2010 гг. С одной стороны, разворачивание программ подготовки соответствующих кадров должно привести к снижению подверженности таким рискам через 5–10 лет. С другой стороны, высокодинамичный рынок и технологии в перспективе 10–20 лет могут привести к исчезновению упомянутых профессий и отсутствию необходимости в этих кадрах вообще. 

С каждой из вышеперечисленных особенностей необходимо работать как в рамках ERM (принятых методик и программ, подходов к сбору и анализу информации, расчетам, интеграции в бизнес-процессы), так и исходя из корпоративной культуры управления, поскольку управление рисками ESG/КСО должно быть интегрировано в практики стратегического планирования и менеджмента. Следует отметить, что разработка программы КСО влечет за собой переосмысление краткосрочных подходов на внедрение долгосрочных способов ведения бизнеса, что часто меняет культуру организации. И в этом контексте простая замена названия «плана реагирования на ЧС» на «план по обеспечению непрерывности бизнеса» не отвечает интересам ни бизнеса, ни его стейкхолдеров уже даже потому, что требуемые сегодня многими инвесторами и регуляторами аудитыпрограмм КСО будут уделять внимание реальному их наполнению и влиянию на долгосрочную устойчивость компании и рынков. 

Несмотря на общепринятое сейчас стремление к созданию экономической ценности способами, которые также создают ценность для общества, исследования показывают, что это не является нормой для большинства компаний. Многие бизнесы практикуют индивидуальные версии КСО, охватывающие весь спектр от чистой филантропии до экологических и общественных инициатив. И хотя организации придерживаются широкого видения в области устойчивого развития, им мешает плохая координация и отсутствие единой логики, связывающей различные программы. Несмотря на то, что многочисленные опросы демонстрировали возросшее участие генеральных директоров в КСО, эти отдельные инициативы часто инициируются и осуществляются нескоординированным образом различными внутренними службами и без активного участия СЕО. Действия по управлению соответствующими рисками также остаются разрозненными, что дает лишь «красивую картинку» или точечные эффекты, лишая компании потенциальных возможностей, которые влечет за собой интегральная система управления целями и рисками КСО: 

1.                 Эффективное энергопотребление и соответствующая экономия издержек.

2.                 Использование финансовых преимуществ отказа от углеродов.

3.                 Развитие новых продуктов и рынков.

4.                 Диверсификация бизнеса и обеспечение стратегической устойчивости.

5.                 Интенсивное вовлечение и использование ресурса стейкхолдеров и пр.

В связи с этим, полезным будет привести несколько  рекомендаций от Сьюзанн Скатлифф, которые помогут избежать реализации рисков в разработке самих программ в области устойчивого развития для достижения целей, указанных в начале данной статьи.

1.                 Убедитесь, что выбранная инициатива действительно релевантна. В случае высокозагрязняющего химического производства разумно подумать о снижении его нагрузки на окружающую среду, а не поддержать, к примеру, местного фермера в качестве ключевой КСО-инициативы. Такого рода «благотворительность», безусловно, полезна, но может быть воспринята критически или даже в штыки, как попытка отвести внимание от основных существующих проблем.

2.                 Неверная оценка своих стейкхолдеров и их приоритетов. Лучшим примером синергии в области корпоративных программ КСО могут служить те, которые будут самыми эффективными для достижения целей всех интересантов-стейкхолдеров и уж точно никому не нанесут ущерб.

3.                   Отсутствие четкого понимания критериев успеха. Этот стандартный принцип менеджмента часто забывают, осуществляя инициативы в области ESG и путая их с благотворительностью. Только соизмеряя вложенные усилия с достигнутыми результатами, возможно эффективно реализовать долгосрочные комплексные программы, а не просто растратить ресурс пусть и на полезные, но не нацеленные на ключевые драйверы акции.

4.                 Плохое планирование и размышление о результатах проекта в конце проекта. Мышление «быстрыми победами» — главный враг устойчивого развития, поэтому целевое влияние результатов каждой инициативы на последующие шаги компании и ее стейкхолдеров должно быть задано в самом начале проекта в области КСО, а не по факту его реализации.

5.                 И, наконец, отсутствие разрешения «потерпеть неудачу». Программы КСО должны быть возможностью для проверки идей, которые могут оказаться неинтересными в краткосрочной перспективе, но иметь социальную, экологическую и экономическую ценность в долгосрочной перспективе. Это может означать, что амбициозные программы не достигают изначально поставленных целей, но они все же способствуют прогрессу. Необходимо приветствовать усилия по решению сложных социальных и экологических задач и признать, что сделать маленький шаг всегда лучше, чем стоять на месте.

Автор: Ирина Андропова

 

 

Надлежащий уровень экспертизы — обязательное условие эффективного управления рисками

В сегодняшней статье мы продолжим разговор об условиях, необходимых для выстраивания полезной и эффективной системы риск-менеджмента в организации, рассмотрев третий столп эффективного управления рисками — экспертизу.

Понятие экспертизы в данном контексте включает в себя несколько составляющих:

1.   экспертиза сотрудников, ответственных за функцию управления рисками в компании — как в процессах риск-менеджмента, так и в ключевых бизнес-процессах;

2.   общий уровень экспертизы участников ключевых бизнес-процессов компании.

Зрелость и эффективность процесса управления рисками в компании напрямую зависят от уровня экспертности в каждой из вышеуказанных категорий, причем под экспертностью здесь мы подразумеваем не только объем и качество теоретических знаний в вопросе, но и фактический опыт, высококлассный и ответственный подход к реализации поставленных задач и самообучению в выбранной области. Разберем причины по каждому из пунктов.

Мы уже неоднократно упоминали, что управление рисками — это процесс и система, которые встроены во все остальные функции бизнеса для обеспечения разумной уверенности владельцев и руководства в достижении поставленных целей. Из этого определения видно, что сама по себе группа процессов управления рисками является управленческо-аналитической или даже вспомогательной в ряде компаний, но не основной, генерирующей ключевой продукт или прибыль компании (если, конечно, речь не идет о специализированных компаниях). 

Соответственно, для оптимальной и эффективной работы функции необходима ее максимально гармоничная интеграция в существующие в компании процессы и системы. При этом для максимизации добавленной стоимости, которую должны генерировать процессы управления рисками, помимо развития принципов осознанного и ответственного принятия решений крайне полезно, чтобы результаты функционирования СУР перекладывались в конкретные практические решения, проекты и шаги.

Очевидно, что для обеспечения вышеуказанных задач необходимо, чтобы сотрудники функции любого уровня иерархии — от риск-офицера до исполнителя — очень хорошо разбирались не только в современных стандартах, подходах и инструментах управления рисками, но и в основных бизнес-процессах компании, в которые встраиваются процедуры управления рисками. 

Например, для обеспечения надлежащего уровня риск-менеджмента в процессах проектного финансирования ответственный сотрудник функции управления рисками обязан разобраться как в сути и технических деталях проекта, для которого осуществляется привлечение, так и в финансовой модели проекта, а также в основных доступных вариантах финансирования и их условиях, без чего его участие станет формальным. То же самое касается основных технологических процессов: настраивание контролей и индикаторов риска в производстве, логистике, поставках и пр. невозможно без глубокого понимания соответствующих процессов, их целей и ограничений, технологии, а также взаимосвязей с остальными функциями. 

На практике же часто наблюдается, что сотрудники функции управления рисками обладают лишь теоретическими знаниями в области соответствующих стандартов и иногда математических методов и некоторых базовых финансовых дисциплин. Именно поэтому управление рисками во многих компаниях является достаточно формальной бюрократической процедурой с ценностью, не очевидной для владельцев и руководителей бизнеса. 

Более того, для стратегического управления рисками в компании крайне важно, чтобы в дополнение к вышеуказанным знаниям риск-офицер глубоко разбирался в ключевых драйверах бизнеса, а также во всей системе стейкхолдеров и рыночных взаимосвязей, в которой компания существует. Только при таком условии возможно построение модели стратегического управления рисками, когда Chief RiskOfficer действительно является одной из ключевых полезных экспертных фигур, которая максимально способствует развитию бизнеса и защите интересов собственников.

Однако такого «идеального коллектива» риск-менеджеров недостаточно для развитой и эффективной практики принятия решений. Фактически носителями бизнес-культуры и непосредственными исполнителями бизнес-решений, при принятии которых должны анализироваться риски, являются сотрудники ключевых функций компании, а если мы говорим о внутреннем контроле как органической части интегрального управления рисками, то и обычные исполнители на всех уровнях. Уровень экспертизы исполнителя определяет широту знаний касательно множества вариантов решений и действий в его профессиональной области, их вероятностей и возможных последствий помимо самого уровня качества исполнения работы. 

Соответственно, для эффективной оценки и выбора мероприятия по управлению риском крайне необходимы глубокий опыт и знания владельца соответствующей цели/процесса/риска. И даже в рамках стандартного выявления «вселенной рисков» ответственный риск-менеджер не обойдется без работы с экспертами на местах. Таким образом, общий уровень экспертизы ключевых сотрудников, вовлеченных прямо или косвенно в основные или вспомогательные процессы бизнеса и, соответственно, управления рисками в них, непосредственно влияет (если не определяет) на уровень качества продукта компании, общую зрелость процессов и систем и, конечно, вытекающие из них положение бизнеса на рынке, доверие к нему инвесторов, партнеров и сообщества. 

В этой связи необходимо еще раз отметить важный нюанс: управление рисками в компании должно быть синхронно с ее общим уровнем развития и управления. В случае невысокого развития бизнес-культуры, сложности и требований к качеству операций встраивание в бизнес-систему высокоразвитого подхода к риск-менеджменту может оказаться бессмысленным, невозможным или даже вредным для текущего состояния компании и реализации ее стратегии. 

При серьезном разрыве в уровнях развития ключевых процессов и управленческих надстроек невозможно выстроить даже задел на будущее, поскольку несмотря на то, что базовые принципы и понятия управления вообще и управления рисками в частности остаются неизменными, поддерживающие информационные системы, технологическое развитие, стандарты и требования регуляторов, кредиторов и инвесторов в сегодняшних условиях меняются достаточно быстро, т.е. любые инструменты могут очень быстро устареть. 

Например, покупка дорогостоящей аналитической системы или внедрение процессов математического моделирования при отсутствии адекватных и качественных входящих данных станет бессмысленной тратой ресурса или может привести к ложным решениям, основанным на некачественном анализе. Несмотря на то, что на практике небольшое опережение уровня зрелости основных процессов по сравнению с управленческими надстройками и наоборот может стать драйвером развития компании, серьезное увеличение «гэпа» между ними может оказать очень негативное влияние на уровне культуры, внутрикорпоративного климата, интегральной устойчивости и эффективности организации.

Из вышесказанного следует несколько ключевых моментов.

1.                 Выстраивая систему управления рисками, необходимо обратить внимание как на общий уровень развития экспертизы в компании, так и на ее уровень и требования к ней в конкретном процессе для гармоничного встраивания процедур и инструментов риск-менеджмента.

2.                 План постоянного развития экспертизы сотрудников функции является необходимостью, а не возможностью для нормального функционирования системы управления рисками.

3.                 Очень многие вопросы касательно эффективного управления рисками, включая лучшие мероприятия по снижению подверженности рискам, могут быть закрыты повышением общего уровня экспертизы на всех уровнях и во всех функциях, в том числе в области риск-менеджмента. Кроме того, налаживание процесса постоянного повышения уровня знаний сотрудников о смежных функциях может серьезно снизить подверженность рискам, часто возникающую на стыке бизнес-процессов и передачи ответственности и являющуюся критической.

4.                 Эффективная культура корпоративного управления означает непременное повышение экспертизы по всем вышеуказанным направлениям.

Высокоразвитые компании-лидеры не жалеют средств на высококвалифицированных экспертов. В сочетании с грамотно выстроенной стратегией и системой менеджмента именно такой подход часто и определяет долгосрочный успех бизнеса практически в любой сфере.

Автор: Ирина Андропова

 

 

Работа с информацией – ключ к эффективности управления рисками

Продолжим разговор об условиях, необходимых для выстраивания полезной и эффективной системы риск-менеджмента в организации, рассмотрев второй столп эффективного управления рисками – информацию. В любые времена и эпохи выигрывал тот, кто владел более полной и точной информацией (и мог ей воспользоваться), но в сегодняшнем пост-информационном мире мало обладать информацией – ее нужно уметь фильтровать, структурировать, интерпретировать и верно использовать. А в контексте управления рисками, подразумевающего прогнозы для принятия важных бизнес-решений, именно эти навыки становятся критически важными.

По большому счету, управление рисками как современная экономическая дисциплина выросла на математической статистике, а для статистического анализа, имитационного моделирования и прогнозов необходим большой массив наблюдений, собранных за достаточно показательный временной промежуток. Информация – это совокупность данных, т.е. любых сведений, принимаемых, передаваемых и сохраняемых различными источниками. Информация должна быть качественной, а именно:

  • точной;
  • полной;
  • согласованной; 
  • целостной и истинной; 
  • разумной и соответствующей поставленной задаче;
  • актуальной;
  • уникальной/без задвоений;
  • проверяемой – валидируемой;
  • доступной.

Очевидно, что сам по себе подход к правилам и описанию собираемых данных играет критическую роль в дальнейшей работе с ними. Это означает, что для эффективного управления рисками, для начала, необходимо четко определить: какие именно данные должны быть собраны, что именно должно отразиться в соответствующих базах, какие признаки и характеристики рисковых событий или факторов необходимо описать, и, наконец, управленческие и технические вопросы о том, кто именно должен этим заниматься и как фиксировать. 

По большому счету, информация обо всех фактически произошедших рисковых событиях (причем крайне желательно, не только внутри компании, но и за ее пределами в отрасли, связанных областях экономики, политики и т.п.) должна отражаться и накапливаться в реестрах рисков / базах данных компании. Причем необходимо постоянное обновление этих баз по вопросам изменения как фактической рисковой ситуации, ее последствий, частоты и пр., так и по предпосылкам (факторам) ее изменения. А для возможности превратить эти разрозненные сведения в ресурс для удобной, и крайне желательно, автоматизированной аналитики – информация о рисках должна храниться в единой для всей компании базе с возможностью автоматического обновления и обработки. Под «единой» здесь понимается не только целостный продукт для хранения указанных сведений, но, в оптимальном варианте, продукт или модуль, являющийся частью большой системы ERP в компании. 

Для многих компаний, не являющихся ИТ-зависимыми или, собственно, цифровыми, такая возможность пока может казаться нереализуемой, однако мировые тенденции показывают, что в скором времени практически любой, даже небольшой бизнес, ввиду цифровизации государственных систем хранения данных (включая платежи и налоги) будет так или иначе обслуживаться современными ИС, в связи с чем мы рассмотрим подробнее, какие последовательные шаги нужно продумать и выполнить до того, как купить, интегрировать или создавать своими силами продукт/приложение для работы с информацией для целей эффективного управления рисками. 

1.                 Определение цели создания ИС управления рисками

Выше мы уже сказали о том, что управление рисками – инструмент общей системы принятия решений, основанный на обработке известных данных. В этом смысле современные технологии Big Data, по сути, служат тому, что ранее риск-аналитики делали вручную, используя калькуляторы, методы математического анализа, а затем – таблицы excel: помогают структурировать имеющуюся информацию таким образом, чтобы вычленить из нее те закономерности, которые могут свидетельствовать о тенденциях и вероятностях наступления тех или иных рисковых (и нерисковых) событий. Но для того, чтобы настроить необходимое структурирование/условия обработки, важно определиться с запросом: какие именно ситуации, операции, ресурсы и т.п. необходимо изучать и анализировать и с какой целью, а также с ограничениями: какая информация может быть доступна и обработана по этому поводу. Например, в случае, если компания исследует цены на ключевое сырье и риски их колебаний, которые могут существенно отразиться на финансовых показателях компании, обработке будут подлежать данные о котировках с бирж или прогнозы ключевых игроков (а также, где уместно, история и прогнозы погоды, политические тренды, объемы добычи или производства и так далее). Если же речь идет, например, о снижении риска простоев оборудования ввиду поломок, обработке будут подлежать данные о производителях, частоте и причинах поломок, условиях эксплуатации и т.п. Вариаций может быть множество, но от качества доступной информации и критериев ее структурирования и анализа и будет зависеть полезность конечного результата.

2.                 Определение ключевых заказчиков и пользователей 

Как правило, вводные по запросу дает владелец или руководство компании, выступающие заказчиком всей системы управления рисками. Заказчик определяет области «делового интереса» и параметры ожидаемых результатов обработки информации, поскольку ресурсы ограничены (как технические, так и временные, аналитические и т.п.) и позволить себе полноценные механизмы «больших данных» могут только очень высокотехнологичные (и часто богатые) компании. Для компаний же менее цифровизированных и/или маржинальных сбор и обработка данных зачастую ведется в полуавтоматизированном режиме и во многом зависит от ручной настройки, заданной аналитиком. При этом не всегда заказчик будет являться одновременно и пользователем системы, по крайней мере, он точно не будет единственным пользователем. Поэтому при настройке системы работы с информацией для целей риск-менеджмента, будь то простой текстовый отчет или диаграммная динамическая визуализация, необходимо оценивать и уровень пользователей системы, их техническую и цифровую оснащенность, связь предполагаемой БД/ИС с системами, в которых пользователи работают. Например, если речь идет о том, что одним из пользователей системы сбора информации по вопросам управления рисками будет рабочий, непосредственно производящий операции на оборудовании, риски поломки которого необходимо оценить, нужно учесть, имеется ли в его прямом доступе вход в базу данных, или он должен сообщить о рисковом факторе/событии кому-то, у кого такой доступ есть и кто умеет с БД работать.  

3.                 Составляющие и путь данных в ИС управления рисками

Система обработки аналитической информации, как правило, подразумевает хранение, анализ информации, а также некие системы визуализации и оповещения о результатах обработки. Выше уже говорилось о том, что оптимальной является ситуация, когда данные о рисковых факторах/событиях автоматически попадают в единую ERP компании, где происходит их автоматическая же обработка, а также соответствующее построение отчетов. Однако на практике во многих компаниях пока к этому не пришли, и блоки внесения, хранения, обработки, визуализации и дальнейших коммуникаций разнесены по разным системам. Поэтому архитектору ИС управления рисками необходимо продумать весь путь от попадания информации в систему (например, от заполнения бумажных форм на производстве или соответствующих аудиосообщений) до ее визуализации, например, в виде dashboards или динамических отчетов и дальнейшего оповещения, например, по электронной почте, заинтересованных лиц. Такой путь и соответствующие технические решения требуют индивидуального подхода к разработке и реализации не только в рамках отдельной компании, но часто и различных типов рисков, и могут задействовать в себя несколько различных каналов и систем, в том числе информационных.

4.                 Варианты технических решений

Большинство программных решений, с которыми приходилось сталкиваться на практике, условно можно разделить на две большие группы: локальные надстройки для самых распространенных баз данных / офисных приложений или модули больших ERP-систем и облачных хранилищ, которые, однако, в некоторых случаях могут работать автономно, т.е. вне большой ERP. Использование тех или иных видов ПО будет определяться как уровнем автоматизации компании, так и уровнем зрелости системы ее управления, в том числе и в части управления рисками. Поскольку управление рисками пронизывает все системы и бизнес-процессы компании, часто требующие специфического инструментария, упомянутые выше разновидности продуктов не противоречат друг другу, гармонично сосуществуя: использование надстроек в Microsoft Excel для моделирования финансовых рисков инвестиционной деятельности никак не противоречит отдельному аналитическому блоку в единой БД для обработки данных с производственных объектов, системе трекинга товаров или оборудования, учетному ядру по всем операциям большого банка или веб-приложению, в которое пользователи вручную вносят информацию о рисках для визуализации отчетов. 

На сегодняшний день существуют десятки и сотни решений для целей управления рисками. Самыми распространенными из практики автора в больших компаниях являются модули Oracle, SAS RM, SAP GRC, а также локальные макросы/надстройки @Risk и Crystal Ball. В целях оценки рисков в проектном управлении часто приходилось сталкиваться с Primavera Risk Analysis, позволяющим оценивать реализацию рисков смещения графика проекта и изменения стоимости отдельных работ. 

Завершая сегодняшний краткий обзор, хочется напомнить, что управление рисками – это в первую очередь поддержка осознанного и взвешенного принятия решений, определенная культура ответственности и ценностей компании. Технические же решения являются не самоцелью, но необходимым в современном бизнесе и удобным инструментом, обеспечивающим эффективную работу этой системы.

Автор: Ирина Андропова

 

 

Особенности управления рисками в проектах: сходства и отличия с риск-менеджментом в обычной деятельности

Проектная деятельность остается неотъемлемой частью любого бизнеса, наряду с операционной. Строительство комплексных объектов, развитие территорий и прочие задачи, которые выполнялись организованной группой людей с пониманием целевого результата, известны человечеству тысячи лет, однако только с середины XX века данная отрасль знаний оформилась как отдельная дисциплина и профессия со своими специфическими структурой, инструментарием и методами.

Проектную деятельность определяют как использование специфических знаний, техник, инструментов и навыков для создания ценности в виде конкретного результата или решения бизнес-задачи в условиях ограниченных ресурсов времени.

Ключевой отличительной чертой проектного управления от управления бизнесом в обычном режиме является предполагаемая конечность проекта, и зачастую, уникальность или единичность результата, что предполагает ограниченность каждого проекта запланированными сроками, объемом, бюджетом и требуемыми показателями качества реализации проекта. 

Обычное операционное управление бизнесом не предполагает ограничений в сроке существования бизнеса или этот срок достаточно длительный, ограничения пересматриваются регулярно в рамках циклов планирования, продукт достаточно серийный, а управление во многом строится на эффективных процессах и структуре. При этом в проектах, особенно в небольших в виртуальной или творчески-инновационной сфере, фактор грамотного подбора команды и гибкого кастомизированного распределения ролей и обязанностей играет много большую роль, чем в “business as usual”.

Таким образом, чаще всего по сравнению с обычной деятельностью цели любого проекта гораздо более узко очерчены, определимы и измеримы, причем с привязкой ко времени, что означает гораздо большую четкость в понимании соответствующих рисков – хотя и не большую определенность относительно достижимости поставленных целей.

Как правило, проектные цели включают в себя достижение конкретного результата в установленный срок, в рамках установленного бюджета, с четко измеримым целевым уровнем качества и в очерченном объеме, хотя в современных условиях особое значение могут приобретать и специфические цели, связанные с репутацией и безопасностью.

Современные требования и методология управления проектами выделяют управление рисками в отдельную ключевую область проектного менеджмента и предполагают стандартные 5-7 (в зависимостиот источников) этапов работы с рисками:

  1. Планирование управления
  2. Идентификация (включая определение владельцев)
  3. Анализ
  4. Оценка
  5. Приоритезация
  6. Выбор методов и осуществление воздействия
  7. Мониторинг бизнес-среды и обратная связь по результатам воздействия

 в следующих областях управления проектом:

  1. Интеграция: координация процессов
  2. Рамки или объем: обеспечение включения и исполнения всех необходимых для достижения результата работ
  3. График: поддержание актуальности графика всех соответствующих работ и их взаимозависимостей
  4. Стоимость: планирование, оценка, бюджетирование, финансирование и управление издержками
  5. Качество: обеспечение требуемого уровня качества всех процессов, ресурсов и продуктов внутри проекта для обеспечения надлежащего уровня качества результата
  6. Ресурсы: максимально эффективная аллокация и использование ресурсов для достижения наилучшего результата
  7. Коммуникации: обеспечение эффективного информирования в проекте, включая управление частотой, содержанием и каналами коммуникаций, распределение соответсствующей ответственности
  8. Поставки: включая стратегию и планирование закупок, контрактации и логистики
  9. Заинтересованные стороны: включая их определение, выявление ожиданий и влияния, управление взаимоотношениями и коммуникациями с ними

Очевидно, что управление рисками, которое также является отдельным ключевым процессом в управлении проектом, пронизывает все вышеуказанные элементы.

Проектный менеджмент предполагает широко известную конкуренцию ключевых целевых показателей: Время, Стоимость/Ресурсы, Рамки/Качество.

Грамотный риск-менеджер и руководитель проекта должны учитывать, что существенная часть рисков, прямо влияя на конкретный целевой показатель, будет косвенно отражаться и на стратегии достижения всех остальных целей проекта, ввиду чего управление проектными рисками всегда требует понимания всей системы взаимосвязей в нем для ее балансировки.

Соответственно, в отличие от рядовых риск-аналитиков в обычном управлении организацией, в проектном менеджменте вряд ли возможна точечная профессиональная специализация риск-менеджера, что предъявляет особые требования к таким специалистам.

Методы выявления рисков в проектном менеджменте не отличаются от стандартного процесса для регулярной деятельности, однако практика показывает, что ключевыми и наиболее существенными рисками для большинства проектов, независимо от их размера, сегодня являются риски управления и планирования:

  1. Нечеткое планирование, в связи с чем многие проекты изначально содержат в себе высокие риски несоблюдения сроков и бюджетов не из-за реализации потенциальных негативных событий – но из-за изначально некачественного планирования.

Такая ситуация может быть спровоцирована неверными стартовыми гипотезами или коммуникационными аспектами: нежеланием исполнителей называть ожидаемый срок или бюджет, чтобы получить заказ, или желанием заказчика «выжать максимум» из команды.

Независимо от причин, для риск-менеджеров одной из первых задач является проверка и актуализация гипотез, заложенных в соответствующие графики и стоимостную оценку проекта.

  1. Нечеткое разграничение полномочий и ответственности, что ведет к «пустым колодцам», за которые не отвечает никто – или к задачам, ответственность за которые размыта между несколькими исполнителями. В обеих ситуациях исполнение необходимой задачи оказывается под угрозой из-за отсутствия «хозяина».

Данный риск больше присущ крупным проектам, т.к. небольшие проектные команды в простых моно-профессиональных проектах способны быть мобильными и гибкими, в отличие от комплексных строительных проектов или инициатив по запуску новых бизнесов и т.п. Для таких проектов нечеткое разграничений полномочий грозит управленческим хаосом и стагнацией, которые могут приводить к существенным рискам по всем ключевым целям проекта, или даже ставить под угрозу возможность его исполнения.

Риск-менеджеру важно способствовать четкому и оптимальному разделению полномочий и ответственности, в том числе, с точки зрения назначения владельцев рисков и ответственных за мероприятия.

  1. Слабая система коммуникаций в проекте.

Проект представляет собой фактически живую систему. Его жизнеспособность и эффективность напрямую зависят от точной коммуникации. Сбои и искажения в передаче информации ведут к препятствиям в слаженной работе, реализации всевозможных рисков и недостижению поставленных целей.

Даже в небольших командах подобные искажения не являются редкостью и очень часто они встречаются в больших сложных организационных моделях.

Риск-менеджер должен способствовать своевременному и эффективному обмену полезной информацией в проекте, как минимум, в части управления рисками, для обеспечения синхронности в понимании целей, рисков, необходимых действий по управлению ими и пр.

  1. Слабая система «обратной связи» и неумение использовать «выученные уроки», которые вытекают из предыдущего пункта и повышают вероятность повторной реализации рисков, усугубления последствий или использованию малоэффективных стратегий.

Риск-менеджер должен быть заинтересован в проверке эффективности ранее использованных подходов и невозможности повторения сценариев, приводивших ранее к реализации рисков.

Каждый конкретный проект будет содержать множество рисковых областей с потенциальными негативными и позитивными сценариями. Однако указанные выше «узкие места» являются настолько широко распространёнными, что провести анализ их рисковости будет полезно для любой проектной команды.

Автор: Ирина Андропова

 

 

Особенности управления рисками в проектах: инструменты и встраивание в современные подходы гибкого проектного менеджмента

Продолжая рассказ об управлении рисками в проектах стоит упомянуть об особенностях цикла работы с риском в контексте современных подходов проектного менеджмента.

В предыдущей статье уже было сказано о том, что методы выявления рисков в управлении проектами, в целом, не будут отличаться от обычной процедуры, как и методы оценки и приоритезации рисков, включая количественную  и качественную оценку, которые однако обязательно должны конкретизировать влияние каждого риска/возможности на все цели и ограничения проекта, указанные ранее. Причем крайне полезно, чтобы и аспект репутации рассматривался как возможное последствие для каждого из рисков.

Однако в проектном менеджменте особое значение приобретает встраивание оценки рисковых сценариев в рабочие графики и управление стоимостью проекта.

Зачастую, планирование проектов ведется в широкоизвестных продуктах Oracle Primavera или соответствующих приложениях Microsoft. Риск-аналитикам необходимо иметь навыки работы с используемыми программными комплексами для эффективного анализа графика/стоимости и возможности расчета сценариев реализации тех или иных рисков. Однако даже при высокой технической квалификации риск-менеджера, полезность результатов такого моделирования всегда будет зависеть от актуальности самого графика и расчета соответствующих смет, поэтому налаживание регулярных коммуникаций с владельцами работ является ключевым фактором успеха использования любого аналитического приложения для анализа рисков в проекте.

Рассматривая прикладные особенности управления рисками в проектах, стоит подумать над возможностью использования современных подходов к проектному управлению в контексте риск-менеджмента. Речь пойдет об Agile, SCRUM и Kanban, широко используемых в небольших проектах, особенно в виртуальной сфере или в сфере творчески-инновационной.Как мы уже упоминали, грамотный подбор команды и гибкое кастомизированное распределение ролей и обязанностей играет много большую роль в таких системах, чем в «обычном бизнесе». И это несет как дополнительные плюсы и возможности – так и ограничения для проекта и его риск-аналитика.

Agile — это подход к управлению проектами, делающий упор на поэтапное или пошаговое выполнение задач. Его часто используют для вопросов, где невозможно спрогнозировать все до конца и существует высокий риск существенных непредсказуемых изменений, для облегчения адаптации к быстро меняющимся событиям и соответственного сокращения затрат времени и эффективности на реагирование. 

Даже для очень комплексных проектов, данный подход может быть применим на небольших отрезках или этапах работ, где существует значительная неопределенность, и существенно помочь риск-аналитику в его работе, поскольку чтобы уменьшить риски и не откладывать все нововведения и «доводку» проекта на последние стадии (когда будет уже поздно сдвигать срок или усиливать команду), Agile предлагает не только итеративность работы, но и готовность к изменениям на всех стадиях.  Согласно Agile Manifesto:

1.     Люди и взаимодействие между ними важнее процессов и инструментов

2.    Работающий продукт важнее исчерпывающей документации

3.    Сотрудничество в ходе переговоров важнее длительного согласования условий контракта

4.    Оперативное реагирование на изменение вместо следования плану

При этом приоритеты периодически можно смещать от итерации к итерации. Участие риск-аналитика в каждой из итераций поможет существенно проработать неопределенность, рассмотреть возможные сценарии, использовать «выученный урок», что позволит взять под больший контроль запланированные результаты.

Тем не менее, стоит помнить о том, что данный метод более подходит для отраслей, имеющих дело с постоянными или непредсказуемыми изменениями, для команд, создающих новый продукт, или для ранних стадий проработки или планирования масштабных проектов. Для бизнес-идей, имеющих строгие ограничения по времени или фиксированный бюджет, лучше подойдут более традиционные стили управления. И это стоит учитывать риск-аналитику, помогая руководителю проекта планировать работу и выбирать подходы и инструменты управления.

Scrum — это методология Agile, предназначенная для разработки продуктов в среде, подверженной изменениям, один из нескольких методов, используемых для реализации Agile-фреймворк. В Scrum циклы называются «спринтами» и, как правило, длятся от одной до четырех недель. Работа поэтапная и каждый этап зависит от предыдущего. Перед спринтом формулируются задачи на данный спринт, в конце – обсуждаются результаты, а команда начинает новый спринт. Спринты очень удобно сравнивать между собой, что позволяет управлять эффективностью работы.

Scrum-команды обычно небольшие, от трех до девяти человек со scrum-мастером, отвечающим за правильное применение методологии, и владельцем продукта, отвечающим за успех всего предприятия. Коммуникация с членами команды – последовательна, с постоянной обратной связью. Это наиболее часто используемая методология Agile.

В основе методологии лежат три принципа работы:

1.     Прозрачность.Все вовлеченные в процесс игроки имеют полный доступ ко всей информации.

2.    Адаптация. Работа по проекту в любой момент может поменять вектор без потери производительности и времени.

3.    Обновление. Команда стремится постоянно улучшать продукт и сам процесс его создания.

Scrum отлично подходит для работы со сложными задачами в изменяющихся условиях, а также для новаторских проектов – стартапов. Данная методика – это «подход структуры»: в случае использования Scrum в проекте один из членов, предположительно scrum-master, должен взять на себя функции риск-аналитика, который будет анализировать сценарии, фиксировать уже выявленные закономерности и обеспечивать накопление опыта для дальнейшей более точной оценки подверженности целей проекта рискам.

Kanban – это «подход баланса». Его задача – сбалансировать разных специалистов внутри команды и избежать ситуации, когда одни специалисты работают сутками, а другие жалуются на отсутствие задач В основе метода Канбан лежит принцип визуализации задач, с помощью записи их на доске (виртуальной или физической), разделенной на столбцы, представляющие разные этапы проекта. По ходу процесса разработки, стикер или карточка, представляющая проект, перемещаются от одной фазы к другой, пока все задачи не будут выполнены. Это отличный способ вести рабочий процесс и выявлять узкие места (а также риски, возможности и уже реализованные проблемы). В отличие от Scrum, Kanbanуделяет меньше внимания фиксированным срокам, и работа происходит в непрерывном потоке. Методология проповедует принципы бережливого управления, при котором исключается риск перепроизводства, то есть исполнение задачи в запас. Кроме того, возможно четко выявить дублирование задач или задачи «без хозяина». Это экономит ресурсы и время. Главный показатель эффективности в kanban – это среднее время прохождения задачи по доске. Задача прошла быстро – команда работала продуктивно и слаженно. Задача затянулась – надо думать, на каком этапе и почему возникли задержки, реализовались риски и какой участок надо оптимизировать

Kanban работает лучше, когда увеличена частота смены приоритетов, а также позволяет контролировать загрузку и ответственность каждого (или ключевых) из членов команды, что само по себе снимает риск размытой ответственности, упомянутый ранее.

Каждый из вышеупомянутых методов управления проектами изначально применялся для небольших команд в специфической среде. Однако даже очень комплексные проекты можно разделить на ключевые блоки и, при грамотном распределении ответственности на каждом уровне, применять любой из подходов, а главное – их принципы, можно даже в мега-проектах.

Использование подобных методов существенно облегчает работу риск-аналитика, поскольку прозрачность, адаптация на основании полученных решений и новой информации, работа над ошибкамиявляются такими же естественными принципами управления рисками и осознанного принятия решений.

Автор: Ирина Андропова 

 

Документы и отчетность в управлении рисками

Формирование отчетов о подверженности рискам для рассмотрения руководством на всех уровнях — одна из самых важных обязанностей Риск-офицера. Эффективная отчетность о рисках имеет основополагающее значение для надежной программы управления рисками компании и это –  то, что каждый специалист по управлению рисками, от уровня аналитика до уровня главы риск-менеджмента, должен понимать и делать хорошо.

Компания не сможет оценить и определить свой профиль риска и, соответственно, вероятность достижения поставленных бизнес-целей, если руководители не знают о том, что это за риски и каково их реальное влияние. Отчет о рисках имеет основополагающее значение для такого обсуждения. Соответственно, в отчете о профиле риска должна содержаться информация о наиболее актуальных рисках компании, а также о том, насколько хорошо компания управляет этими рисками в данный момент в соотнесении с исполнением стратегических и тактических задач. 

Грамотно и исчерпывающе составленная отчетность о рисках помогает Совету директоров давать стратегические рекомендации. Например, в отчете о рисках может содержаться предупреждение о высокой регуляторно-бюрократической нагрузке при выходе компании на новый рынок. Этот отчет может смотивировать Совет директоров пересмотреть вопрос о целесообразности расширения, побудить поставить менеджменту задачу о пересмотре бизнес-процессов или организационной структуры.  Отчеты о рисках и возможностях помогут понять, как может потребоваться изменить процессы и операции, чтобы вести бизнес более осознанно и эффективно с учетом рисков. 

Отчетность о ключевых рисках важна для регулирующих органов, бизнес-партнеров и стейкхолдеров. Предоставление отчетов для ряда таких пользователей носит обязательный характер и регулируется по содержанию и формату. 

Отчеты о подверженности рискам должны быть регулярными и всегда актуальными в быстроменяющейся среде современного бизнеса. При этом необходимо продумать, как изменения в рутинных операциях компании могут изменить характер долгосрочных рисков, с которыми компания всегда сталкивалась. Например, в текущих условиях особую важность приобрели репутационные и кибер- риски, в связи с чем практически каждый современный бизнес рано или поздно сталкивается с необходимостью отдельного внимания, оценки и, соответственно, разделов отчета о профиле риска по данным направлениям.

В целом, любую отчетность по рискам можно разделить на:

  • обязательную – т.е. отчетность содержание и структура которой определяются внешними сторонами, как правило, это – регулятор, кредиторы, партнеры, надзорные органы и пр. Примером такого рода отчетности могут служить требования Центрального банка, Министерства Финансов, Росимущества и пр;

  • добровольную – любого рода отчетность, которая формируется и предоставляется внутри и вовне организации на добровольной основе. Формат и содержание такого рода отчетов определяются на усмотрение организации. Примером такого рода отчетов могут служить годовые отчеты компании, как правило, содержащие разделы по управлению рисками, отчеты по КСО и пр

  • внутреннюю – то есть отчетность, предоставляемую и используемую внутри компании ее менеджментом;

  • внешнюю – обязательную и добровольную отчетность, предоставляемую вовне.

В цикле статей об управлении рисками на уровне Советов директоров мы уже остановились на ключевых требованиях к отчету о профиле риска для уровня Высшего руководства [возможна ссылка на соответствующую статью в цикле о Совете директоров]. В данной статье мы рассмотрим некоторые дополнительные аспекты, которые делают отчеты касательно управления рисками полезными и качественными.

Что касается содержания отчета, полезно включать следующую информацию:

  • резюме или Executive Summary –краткий обзор существенных рисков для руководства с соответствующими рекомендациями;

  • оценка риска –базовое описание потенциального влияния рисков на соответствующие цели (в качественном или количественном выражении);

  • текущая емкость риска –показатель, отражающий, какой риск организация может себе позволить в данный момент времени, поскольку данный показатель может меняться. Например, емкость к риску может быть оценкой того, сколько средств организация может потерять, не оказавшись банкротом, не нарушив ковенанты или не прекратив свое существование;

  • риск-аппетит и толерантности к рискам –оценка того, какой риск организация готова взять на себя в рамках достижения своих целей, такие оценки, как правило, существенно ниже емкости риска;

  • ключевые индикаторы риска (KRI или КИР) –метрики, связанные с выявленным риском и позволяющие судить о подверженности конкретному риску и его динамике. Если одна из этих метрик достигает порогового значения или значения толерантности, это может указывать на то, что требуется принятие срочных мер. Таким образом, КИР (KRI) действуют как система раннего предупреждения, которая может дать управленческим командам запас времени для предотвращения нежелательных событий или снижения их возможных последствий;

  • эффективность управления рисками – раздел, в котором объясняется, каким образом организация в прошлом действовала по поводу ключевых рисков, насколько это было эффективно и как компания планирует снижать или устранятьвыявленные риски в будущем;

  • ответственные за управление рисками – перечень ключевых лиц, ответственных за управление существенными рисками.

Что касается оформления отчета и деталей, для лучшего восприятия информации рекомендовано включать:

  • диаграммы или другие графические элементы в соотношении около 50/50 к текстовой информации;

  • временной диапазон существования риска в привязке к жизненному циклу реализации соответствующей цели, поскольку бывают ситуации, когда риск существует только на определенном этапе реализации задачи или затрагивает сразу несколько целей за пределами горизонта конкретной оцениваемой инициативы, области или проекта;

  • четкое описание риска, объясняющее угрозу в наиболее конкретном виде, возможно – с примерами и соответствующей статистикой;

  • четкое описание критериев его закрытия, объясняющее, что именно будет служить показателем эффективного управления риском.

Широко известным примером формата добровольной отчетности по рискам может служить карта рисков организации. Такая карта закрывает собой сразу две задачи: представить наглядно весь перечень ключевых рисков и продемонстрировать их существенность, соотнесение друг с другом, и потенциальное чистое влияние на цели организации, проекта, процесса или инициативы.




Организации часто формируют разные типы отчетности по рискам в разрезах проектов, бизнес-блоков, бизнес-процессов, регионов и т.п. Детальность, регулярность и форматы таких отчетов могут существенно отличаться, как и их основные пользователи в зависимости от размера и структуры компании, природы предоставляемых ею услуг или производимого продукта, особенностей отраслей и рыночной ситуации, особенностей регулирования и взаимоотношений с ключевыми заинтересованными сторонами.

Помимо стандартных текстовых отчетов, организации часто практикуют использование кратких графических информационно-аналитических презентаций 1-pager в качестве поддерживающей информации для рассмотрения различных стратегических и тактических альтернатив.

Составление эффективных и лаконичных отчетов, как с точки зрения формата и наполнения, так и с точки зрения регулярности и круга вовлеченных лиц и пользователей – очень сложная и нетривиальная задача для больших организаций, где циркулирует огромное количество информации по разным направлениям и необходимо «выиграть» в этом потоке внимание менеджмента всех уровней к риск-аналитике. Качественная и внимательная подготовка такого рода информации необходима не только для эффективного процесса управления рисками – но и для эффективного управления и развития любой организации.

Автор: Ирина Андропова

Культура управления рисками в больших компаниях как одно из условий эффективности менеджмента

В сегодняшней статье мы начнем разговор об условиях, необходимых для выстраивания полезной и эффективной системы управления рисками в организации. Опыт показывает, что таких условий, как минимум, четыре:

  • Культура

  • Информация

  • Экспертиза

  • Бизнес-процессы

Практически любой бизнес (а соответственно, и процессы внутри него) сегодня складывается из указанных выше равнозначных блоков, и чем более они развиты, наполнены и синхронизованы друг с другом по уровням проработки и с рынком по среднему уровню спроса на них со стороны потребителей/партнеров и конкурентных предложений – тем более успешна компания на своем рынке.

Итак – культу́ра (от лат. cultura — возделывание, позднее — воспитание, образование, развитие, почитание) — понятие, имеющее огромное количество значений в различных областях человеческой жизнедеятельности. Сочетание людских знаний, убеждений и норм поведения, которые мы перенимаем, а затем передаем будущим поколениям, ключевой социализирующий фактор, который регулирует разные сферы взаимодействия людей — от повседневного общения до функционирования глобальной экономики. 

Очевидно, что управление организацией, помимо производственных, технологических и финансовых процессов невозможно без выстраивания некоторых стандартов и норм, которые определяют взаимодействие людей во всей компании и в конкретных функциях, блоках и бизнес-процессов. Культура пронизывает всю деятельность организации и от ее настройки зависит как возможность привлекать и удерживать требуемых сотрудников, так и качество и детальность исполнения бизнес- задач. В понятие корпоративной культуры принято включать очень широкий спектр вопросов, от ценностей и идеологии компании – до дресс-кода, этикета и трудового распорядка, требований к исполнению тех или иных операций. Развитая, высокая и комфортная корпоративная культура часто является определяющим фактором для удовлетворенности персонала, она же является и необходимостью для выстраивания процессов, характерных для компаний высокого уровня зрелости, в том числе и для эффективной системы управления рисками. Так происходит, в том числе, и потому, что сама по себе система управления рисками должна быть вписана во все ключевые процессы компании: элементы/инструменты риск-менеджмента должны выполняться в каждом процессе/операции/блоке задач осознанно и качественно.

Сама задача о том, что каждый ответственный сотрудник должен принимать решение взвешенно, исходя из того, насколько цели организации подвержены существующим и потенциальным рискам может быть реализована только в среде высокой дисциплины и осознанности, поскольку результаты управления или неуправления рисками измерить и оценить довольно сложно до тех пор, пока риски не реализовались. А следовательно есть большое искушение, не тратить на подобный анализ время и ресурсы. Только в условиях высоких стандартов управления организацией подобные действия становятся несомненной нормой – то есть частью культуры.

Зрелые менеджеры, как правило, имеют интуитивное понимание того, что является культурой управления рисками, однако без формализации и доведения этих требований до всех сотрудников и, на первом этапе, без контроля исполнения и сильного тона сверху  – качество системы управления рисками (а значит – и стратегического менеджмента вообще) останется спорадическим, и будет зависеть от конкретных исполнителей или заказчиков по избранным вопросам.

В чем же состоит культура риск-менеджмента? Практический опыт демонстрирует, что необходимыми требованиями к организации с точки зрения действий в данном контексте должны быть следующие:

  1. Каждый менеджер/сотрудник должен взвешивать все «за» и «против» при принятии решения, понимать последствия своих решений и предпринимаемых действий и нести за них ответственность.

  2. В случае высокого риска неудачи – сотрудники не должны бояться объявить об этом и инициировать возможности пересмотра решений, либо принять рисковое решение с осознанной ответственностью (исключение «культуры обвинения»).

  3. Управление рисками, как осознанное принятие решений и действий, должно быть обычной повседневной практикой.

  4. В данный процесс обязательно ежедневное вовлечение ТОП-менеджмента.

Исходя из вышесказанного с точки зрения необходимых условий, зрелая культура управления рисками, как часть организационной корпоративной культуры подразумевает обязательные:

  1. Прозрачные, удобные, простые, быстрые и понятные системы коммуникаций внутри организации (по всем вопросам, включая вопросы управления рисками) – то есть минимизацию бюрократии в любом виде, особенно вопросам идентификации рисков и принятия решений.

  2. Высокие стандарты ответственности, а также экспертизы и анализа вопросов, то есть высокие стандарты требований к персоналу, как минимум – ключевому.

  3. Понимание всеми сотрудниками не только общих ценностей, стратегии, целей и правил/ограничений (риск-аппетита) организации – но и алгоритмов правильных действий в различных ситуациях (как часть развитой системы менеджмента качества).

Обеспечение указанных условий невозможно в отрыве от общей корпоративной культуры и сильного «тона сверху». Поэтому, культура управления рисками следует за выстраиванием общих правил и «атмосферы» в организации. И если Chief Risk Officer ответственен за внедрение культуры риск-менеджмента, то только первое лицо, а иногда и владелец бизнеса должен быть основным заказчиком построения/трансформации внутренней культуры как таковой. Такая задача требует взвешенного последовательного и системного подхода, однако следует помнить, что все-таки носителями культуры являются люди, поэтому изменение профиля ключевого или основного персонала (по уровню квалификации, зрелости и даже поколений) как и изменения общерыночных и общесоциальных ценностей и трендов неизбежно влекут за собой изменения в культуре, а поэтому лицу, ответственному за культуру управления рисками в организации необходимо сохранять базовые элементы эффективного управления рисками и соответствующие требования, гибко адаптируясь к изменениям в общих правилах, технологиях и ценностях компании и ее коллектива. Исходя из этого, следует учитывать, что задача выстраивания культуры управления рисками требует длительного периода, и для больших компаний, существующих на рынке давно, это может занять от двух до пяти лет в зависимости от внутренней гибкости и мобильности процессов и тона сверху, однако даже при достижении ключевых поставленных целей в этой области (например, обеспечения включения элементов управления рисками во все процессы, обучения персонала, налаживания коммуникаций) – процесс никогда не будет завершен и на него необходимо выделение ресурса времени, внимания и материальных затрат. Однако, повторимся, внедрение и развитие риск-осведомленной культуры организации является необходимым условием того, чтобы даже самая сложная и высокопроработанная система и инструменты управления рисками приносили реальную пользу.

С чего начать, если культура управления рисками в организации не внедрена или существует в зачаточном состоянии?

  1. Безусловно, заручиться поддержкой руководства и/или владельца компании для внедрения системы риск-менеджмента

  2. Как правило, удобнее всего приступить к практическим шагам с образования людей в части управления рисками, если уровень осведомленности в этой области у персонала невысок, и этот шаг придется повторять снова и снова на всех уровнях и во всех функциях.

  3. В случае отсутствия внутри компании эффективной системы коммуникаций, которая отвечала бы задачам быстрой и удобной передачи информации о рисках – крайне важно разработать ее, в том числе и в контексте срочных коммуникаций вообще.

  4. Не менее важно, обеспечить в процедурах управления рисками простые алгоритмы действийсотрудников в случае выявления или реализации тех или иных рисков и довести их до сотрудников в любой форме, которая будет разумно гарантировать, что персонал понимает, как ему необходимо поступать в тех или иных ситуациях.

  5. Крайне важно, чтобы топ-менеджмент своей собственной вовлеченностью и примером регулярно демонстрировал свою заинтересованность в системе управления рисками, принимал решения с учетом анализа рисков и исключил любые формы «культуры обвинения», когда «гонец с плохой новостью», которой может стать выявленный или реализованный риск, или негативный анализ сценариев его реализации для целей компании обвиняется в «пессимизме», «некомпетентности» или результаты его наблюдений/опасений просто не принимаются во внимание.

Выполнение даже этих небольших шагов гарантированно даст толчок для развития сильной культуры управления рисками, которая, в свою очередь, является необходимым элементом стратегической устойчивости и процветания любого бизнеса.

 

Автор: Ирина Андропова