Цикл «Управлінські рішення щодо ризиків» (Risk Response & Decision-Making)

 

У більшості організацій система управління ризиками виглядає логічно і завершеною. Встановлений контекст, ідентифіковані ризики, проведений аналіз, сформовані профілі, підготовлені звіти для правління та наглядової ради. Усе це створює відчуття, що ризик-менеджмент “працює”, а ризики перебувають під контролем. Проте саме в цей момент — коли ризик уже виявлений, описаний і формально врахований — у багатьох компаній виникає управлінський вакуум: незрозуміло, що саме і хто має вирішити далі.

Цей вакуум не є методологічною помилкою. Він є наслідком того, що в реальній практиці ризик-менеджмент дуже часто зупиняється на етапі знання, але не доходить до етапу рішення. Компанія знає про ризик, але не трансформує це знання в управлінський вибір. Ризик існує в реєстрах і звітах, але не стає фактором, який змінює пріоритети, бюджет, темп розвитку або поведінку керівництва. У результаті формується парадоксальна ситуація: інформації про ризики багато, а управлінських рішень щодо них — мало.

У практиці фінансових і страхових компаній це проявляється особливо чітко. Ризики регулярно виносяться на комітети, презентуються, обговорюються, але значна частина таких обговорень завершується формулюваннями на кшталт «взято до відома», «ситуація під контролем», «пропонується продовжити моніторинг». Формально процес виконаний. Фактично ж організація ухвалює дуже конкретне рішення — нічого не змінювати. Це рішення рідко усвідомлюється як управлінський вибір, але саме воно визначає подальший розвиток подій.

Ключова проблема полягає в тому, що відсутність дії часто не сприймається як форма реагування на ризик. У методологіях ризик-менеджменту прийняття ризику зазвичай описується як свідоме управлінське рішення. У реальному житті прийняття ризику значно частіше відбувається мовчки — через відкладення, через перенесення відповідальності, через очікування «кращого моменту». При цьому ризик не зникає і не зменшується. Він просто продовжує існувати в тлі управлінських рішень, накопичуючи потенційні наслідки.

Саме тому в багатьох кейсах після реалізації ризику з’являється відчуття, що «все було очевидно». Ризик був відомий. Сигнали з’являлися. Інформація фігурувала у звітах. Але управлінського рішення, яке б змінило хід подій, так і не було ухвалено. У таких ситуаціях проблема полягає не в якості ідентифікації чи аналізу ризику, а в логіці управлінського реагування — у тому, як організація переходить (або не переходить) від знання до дії.

Цей цикл статей присвячений саме цій точці — моменту, коли ризик уже “тут”, і від управлінців вимагається не ще один звіт, а рішення. Ми свідомо не починаємо з інструментів, процедур або стандартних класифікацій. Нас цікавить управлінська реальність: як у компаніях насправді ухвалюються рішення щодо ризиків, хто фактично впливає на ці рішення, як відповідальність розмивається між колегіальними органами, і чому бездіяльність так часто маскується під обережність.

Окрему увагу в цьому циклі буде приділено тому, як управлінські рішення щодо ризиків ухвалюються поза формальним RM-процесом — через бюджетування, KPI, стратегічні пріоритети, кадрові рішення. Саме там, а не в реєстрах ризиків, часто визначається, які ризики компанія фактично приймає, а які намагається обмежити. І саме там стає зрозуміло, чи є ризик-менеджмент частиною управління, чи лише супровідною функцією.

У цій першій статті ми зосередимося на базовому, але незручному питанні: як організації реально реагують на ризики після того, як їх уже ідентифіковано і проаналізовано. Ми розглянемо типові управлінські практики, у яких рішення щодо ризиків формуються неявно, без чіткої фіксації і без персональної відповідальності, але з цілком реальними наслідками для бізнесу. Саме з цього моменту і починається розмова про управлінські рішення щодо ризиків — не як про теорію, а як про щоденну практику.

 

Момент, коли ризик перестає бути абстракцією

У більшості компаній ризик перестає бути абстрактним не тоді, коли його вперше ідентифікували, а тоді, коли він починає заважати ухвалювати комфортні управлінські рішення. Поки ризик існує у вигляді формулювання в реєстрі або коментаря в звіті, він не створює напруги. Але щойно з’являється необхідність щось змінювати — обмежити зростання, переглянути бюджет, відкласти запуск продукту, посилити контроль або інвестувати в «невидимі» речі — ризик переходить з аналітичної площини в управлінську. Саме в цей момент стає зрозуміло, що знати про ризик і діяти щодо нього — це різні речі.

У практиці страхових і фінансових компаній цей перехід часто виглядає доволі буденно. Наприклад, операційний ризик, пов’язаний із перевантаженням персоналу або зростанням кількості ручних операцій, може місяцями фігурувати у звітах як «помірний». Показники ще не критичні, скарг небагато, інциденти локальні. Але в момент, коли постає питання запуску нового продукту або розширення каналів продажів, цей самий ризик раптом починає впливати на рішення. Він перестає бути абстрактним, бо будь-яке зростання означає додаткове навантаження на вже вразливу систему. Саме тут керівництво стикається з вибором: зупинити ініціативу, змінити процеси або фактично прийняти ризик подальшої деградації як «плату за розвиток».

Ще один характерний приклад — ІТ-ризики. У багатьох компаніях вони роками сприймаються як фонові: системи працюють, серйозних інцидентів не було, SLA виконується. Аналіз показує наявність технічного боргу, залежність від окремих фахівців або постачальників, застарілу архітектуру. Формально це зафіксовано, але не є приводом для рішень. Ризик стає «реальним» лише тоді, коли бізнес починає вимагати швидших змін, інтеграцій або масштабування. У цей момент з’ясовується, що кожне нове рішення збільшує ймовірність збою, і ризик перестає бути темою ІТ-звіту — він стає фактором, який обмежує стратегічні можливості компанії.

Важливо, що в цій точці ризик майже ніколи не з’являється несподівано. Навпаки, він зазвичай добре відомий усім учасникам процесу. Про нього говорили, його описували, його включали в профіль ризиків. Але доти, доки ризик не вимагав управлінського компромісу, він залишався «терпимим». Саме тому після реалізації ризику так часто звучить фраза «ми ж це бачили». Бачили — але не вважали достатньо вагомим, щоб змінити рішення.

Окремої уваги заслуговує те, що момент переходу ризику в управлінську площину часто відбувається не на комітетах з ризиків. Він відбувається під час бюджетних дискусій, затвердження KPI, кадрових рішень або стратегічних сесій. Наприклад, коли компанія вирішує не закладати кошти на посилення контролів, бо це «не створює доданої вартості», вона фактично приймає рішення щодо ризику. Коли правління погоджується з тим, що ключовий процес тримається на одному-двох фахівцях, але відкладає питання резервування через дефіцит бюджету, ризик також перестає бути абстрактним — просто це рішення не називають рішенням щодо ризику.

Саме в цій точці проявляється одна з ключових управлінських ілюзій: вважати, що якщо ризик ще не реалізувався, то він не потребує негайної реакції. У реальності ж більшість серйозних проблем виникають не через відсутність інформації, а через відкладені рішення, ухвалені в момент, коли ризик уже був зрозумілим, але ще не болючим. Компанія продовжує рухатися за інерцією, сприймаючи стабільність як доказ правильності обраного курсу, хоча насправді це лише відстрочка наслідків.

Таким чином, момент, коли ризик перестає бути абстракцією, — це не момент його ідентифікації і навіть не момент аналізу. Це момент, коли ризик починає конкурувати з іншими управлінськими пріоритетами: зростанням, прибутковістю, швидкістю, комфортом керівництва. Саме тут стає видно, чи здатна організація перетворювати знання про ризик на управлінські рішення, чи ризик-менеджмент залишається фоновою функцією, яка фіксує проблеми, але не змінює хід подій.

 

Реакція на ризик як управлінський вибір, а не RM-етап

У класичних описах процесу управління ризиками реакція на ризик виглядає як логічний і майже технічний крок. Після аналізу компанія має обрати одну з чотирьох стандартних стратегій: прийняти ризик, уникнути його, зменшити або передати. Ця схема добре знайома, часто відтворюється в політиках і презентаціях і створює відчуття впорядкованості процесу. Проте в реальному управлінні така лінійність майже ніколи не працює. Реакція на ризик рідко є вибором зі списку — вона є управлінським компромісом, який формується під тиском інших рішень і обмежень.

Проблема починається з того, що реакцію на ризик часто сприймають як продовження аналітичної роботи, а не як окремий управлінський акт. У результаті обговорення зосереджуються на деталях оцінки, формулюваннях у реєстрі або коректності класифікації, тоді як питання «що ми реально готові змінити?» залишається в тіні. Ризик може бути ідентифікований як значущий, але жодна зі стандартних стратегій не здається прийнятною в поточному контексті. У таких ситуаціях організація зазвичай не обирає нову стратегію — вона відкладає вибір.

У практиці це часто виглядає так: формально ризик не приймається, але й не уникається; заходи з його зменшення визнаються бажаними, але «не на часі»; передача ризику через страхування або аутсорсинг вважається занадто дорогою. У підсумку компанія опиняється в проміжному стані, який не описаний жодною з чотирьох класичних стратегій, але фактично означає мовчазне прийняття ризику. При цьому відповідальність за такий вибір розчиняється, адже формального рішення ніхто не ухвалював.

Особливо чітко це видно на прикладі операційних і комплаєнс-ризиків. Компанія може розуміти, що поточні процеси не відповідають кращим практикам або майбутнім регуляторним очікуванням, але водночас усвідомлювати, що повноцінне усунення проблеми потребує серйозних інвестицій і організаційних змін. У такій ситуації керівництво часто обирає тактику «дотягнути» — не тому, що ризик вважається прийнятним, а тому, що ціна реакції здається вищою за потенційні наслідки. Це і є управлінський вибір, хоча його рідко називають реакцією на ризик.

Ще одна характерна риса реальних управлінських рішень полягає в тому, що реакція на ризик майже завжди пов’язана з іншими рішеннями, які формально не мають стосунку до ризик-менеджменту. Наприклад, затвердження агресивних планів зростання автоматично звужує простір для уникнення або зменшення певних ризиків. Аналогічно, скорочення бюджету на підтримуючі функції фактично означає прийняття підвищеного рівня операційного або ІТ-ризику. У таких випадках стратегія реагування формується не на засіданні ризик-комітету, а в процесі стратегічного та фінансового планування.

Важливо також розуміти, що управлінські рішення щодо ризиків рідко ухвалюються в «чистому вигляді». Керівництво майже завжди зважує ризик не сам по собі, а в порівнянні з альтернативами: втратити темп розвитку, поступитися ринковою часткою, погіршити фінансові показники або зіткнутися з внутрішнім опором змінам. У такому порівнянні ризик часто програє більш відчутним і короткостроковим загрозам, навіть якщо в довгостроковій перспективі його реалізація може мати серйозні наслідки.

Саме тому в реальному управлінні реакція на ризик — це не стільки вибір стратегії з методологічного набору, скільки відповідь на запитання: яку ціну ми готові заплатити сьогодні, щоб не платити значно більшу ціну завтра. Якщо це питання не поставлене прямо, рішення щодо ризику все одно ухвалюється — але неусвідомлено і без чітких меж. У наступному розділі ми детально розглянемо, як у таких умовах формується управлінська відповідальність і чому так часто виявляється, що рішення ніби є, а відповідального за нього — немає.

 

Хто насправді приймає рішення щодо ризиків

У формальній архітектурі системи управління ризиками питання відповідальності виглядає досить зрозумілим. Є власники ризиків, є правління, є наглядова рада, є комітети, які розглядають ризикові питання в межах своїх повноважень. У положеннях і політиках зазвичай чітко описано, хто що має робити і на якому рівні ухвалюються ті чи інші рішення. Проте щойно ризик перестає бути теоретичним і починає вимагати реальних змін, ця формальна схема починає давати збої.

На практиці управлінські рішення щодо ризиків дуже рідко ухвалюються в одній конкретній точці. Вони розтягуються в часі, розподіляються між кількома колегіальними органами і часто проходять через серію «попередніх погоджень», які знімають гостроту питання, але не наближають його до вирішення. У результаті кожен учасник процесу формально виконав свою роль, але рішення як таке так і не було ухвалене. Саме так виникає ситуація, коли ризик усім відомий, але відповідального за нього фактично не існує.

Особливо показовою є роль колегіальних органів. Колегіальність створює відчуття захищеності, але водночас є ідеальним середовищем для розмивання персональної відповідальності. Формулювання «колегіально вирішено» або «питання розглянуто» часто маскують той факт, що жоден конкретний керівник не готовий взяти на себе рішення, яке має потенційно негативні наслідки. У таких умовах ризик не отримує чіткої управлінської відповіді, а лише циркулює між комітетами.

Власники ризиків у цій системі також перебувають у складному становищі. Формально вони відповідають за управління ризиком, але їхні повноваження часто обмежені рамками підрозділу або процесу. Коли ризик виходить за ці межі і потребує змін на рівні всієї організації — наприклад, перегляду стратегії, інвестицій або кадрових рішень, — власник ризику втрачає можливість реально впливати на ситуацію. У результаті він може лише інформувати, але не вирішувати, що знову ж таки відсуває момент ухвалення рішення.

Роль ризик-менеджменту в таких ситуаціях також часто переоцінюють або, навпаки, спрощують. З одного боку, від функції ризик-менеджменту очікують, що вона «забезпечить контроль» і не допустить проблем. З іншого — ця функція майже ніколи не має повноважень ухвалювати управлінські рішення. У результаті ризик-менеджмент опиняється в парадоксальній позиції: він бачить ризик, розуміє наслідки, фіксує слабкі сигнали, але не може змусити організацію діяти. Якщо рішення не ухвалюється, відповідальність за це фактично розмивається між усіма.

Окрему роль у прийнятті рішень щодо ризиків відіграє неформальний вплив. У кожній організації є фігури, чия позиція має більшу вагу, ніж передбачено формальними повноваженнями: харизматичні керівники, ключові власники бізнес-напрямів, носії критичної експертизи або «історичної пам’яті» компанії. Саме їхня думка часто визначає, чи буде ризик сприйнятий як прийнятний, чи як такий, що потребує негайних дій. При цьому ця роль майже ніколи не фіксується в документах, але її вплив на управлінські рішення є вирішальним.

У підсумку управлінські рішення щодо ризиків формуються не лише через формальні процедури, а через складну взаємодію ролей, повноважень, страхів і стимулів. Якщо ця взаємодія не усвідомлена, організація ризикує опинитися в ситуації, коли ризики обговорюються регулярно, але рішення щодо них так і не приймаються. Саме тому питання «хто насправді приймає рішення щодо ризиків» є не теоретичним, а ключовим управлінським питанням, без відповіді на яке система управління ризиками не може працювати ефективно.

 

Рішення без протоколу: як організації «приймають» ризики, самі того не помічаючи

Однією з найбільш небезпечних і водночас найпоширеніших управлінських ілюзій є переконання, що якщо рішення не було формально ухвалене і зафіксоване, то його не існує. У реальності організації постійно приймають рішення щодо ризиків — просто роблять це неявно, без протоколів, без формулювань і без усвідомлення наслідків. Саме такі рішення згодом виявляються найбільш проблемними, оскільки за них неможливо знайти відповідального.

У практиці управління ризиками це найчастіше проявляється через відкладення. Ризик визнається, обговорюється, але рішення щодо нього відкладається «до кращого моменту». Формально це виглядає як обережність або прагматизм. Фактично ж відкладення є повноцінною формою реагування: організація приймає ризик на певний період часу, сподіваючись, що ситуація не погіршиться або що відповідальність за рішення можна буде перекласти пізніше. Проблема в тому, що строк цього «тимчасового» прийняття ризику зазвичай ніде не фіксується.

Ще один типовий механізм неявного прийняття ризику — інерція. Якщо певний підхід працював у минулому і не призводив до явних проблем, його продовжують використовувати навіть тоді, коли зовнішні або внутрішні умови суттєво змінилися. Ризик у такому випадку не ігнорується — його просто не переосмислюють. Організація поводиться так, ніби контекст залишився незмінним, і цим самим ухвалює рішення залишити ризик без додаткової реакції.

Особливо небезпечною є ситуація, коли неявні рішення щодо ризиків формуються через бюджет. Коли компанія не закладає кошти на посилення контролів, оновлення ІТ-інфраструктури, резервування ключових функцій або навчання персоналу, це рідко подається як рішення щодо ризику. Формально це фінансове або операційне рішення. Але по суті організація визначає, який рівень ризику вона готова прийняти, не називаючи це таким чином. У майбутньому саме ці рішення стають відправною точкою для інцидентів, які «ніби з’явилися нізвідки».

Ще одна форма рішень без протоколу — це мовчазна згода. Коли ризик-менеджмент або внутрішній контроль регулярно сигналізують про проблему, але керівництво не реагує, відсутність реакції починає сприйматися як норма. З часом самі сигнали слабшають, оскільки стає зрозуміло, що вони не призводять до змін. У такій ситуації організація не лише приймає ризик, а й поступово втрачає здатність його помічати, що значно підвищує ймовірність несподіваних наслідків.

Важливо, що рішення без протоколу часто виглядають раціональними в момент їх ухвалення. Вони дозволяють зберегти темп, уникнути конфліктів, не брати на себе непопулярні рішення. Але саме ці «раціональні» кроки створюють накопичувальний ефект. Коли ризик реалізується, організація опиняється в ситуації, де вже немає простих варіантів реагування, а вартість рішень зростає в рази.

Таким чином, рішення без протоколу — це не випадковість і не відхилення від процесу, а системна управлінська практика. Вона виникає там, де ризик-менеджмент існує поруч з управлінням, але не інтегрований у нього. Усвідомлення цієї практики є критично важливим, оскільки без нього компанія продовжує вірити, що ризики «просто трапляються», хоча насправді більшість із них є наслідком цілком конкретних, хоч і незафіксованих управлінських рішень.

 

Слабкі сигнали і сильні рішення: чому більшість проблем було видно заздалегідь

Після реалізації серйозного ризику в організаціях майже завжди звучить одна і та сама фраза: «сигнали були». І це, як правило, правда. Інформація про потенційну проблему існувала, фігурувала у звітах, внутрішніх листах, обговореннях на комітетах або навіть у неформальних розмовах. Проблема полягає не в тому, що сигнали були відсутні, а в тому, що вони не були перетворені на управлінські рішення.

Слабкі сигнали майже ніколи не виглядають переконливо самі по собі. Вони рідко мають форму чітких індикаторів або різкого погіршення показників. Частіше це окремі інциденти, зростання кількості винятків, повторювані ручні операції, перевантаження окремих підрозділів, затримки, які ще можна «пояснити». Саме через свою фрагментарність такі сигнали легко ігноруються або раціоналізуються як тимчасові відхилення.

У практиці управління ризиками слабкі сигнали часто потрапляють у «сіру зону» відповідальності. Вони ще не є проблемою для правління, але вже виходять за межі операційного рівня. У результаті вони циркулюють між підрозділами і функціями, не доходячи до точки, де могли б спровокувати управлінське рішення. Кожен бачить частину картини, але ніхто не відчуває повноважень або обов’язку скласти її в єдине ціле.

Особливо показовою є ситуація, коли слабкі сигнали суперечать домінуючому управлінському наративу. Якщо компанія перебуває у фазі зростання, оптимізує витрати або демонструє хороші фінансові результати, інформація про ризики, які можуть уповільнити цей рух, сприймається як небажаний шум. У таких умовах слабкі сигнали не заперечуються прямо — їх просто відкладають «до більш серйозних проявів». Це і є момент, коли організація фактично обирає чекати реалізації ризику, а не діяти на етапі, коли вартість рішень ще є прийнятною.

Сильні рішення, на відміну від слабких сигналів, майже завжди виглядають незручними. Вони потребують пояснень, перегляду планів, зміни пріоритетів або визнання того, що попередні рішення були неідеальними. Саме тому такі рішення часто не знаходять підтримки доти, доки ризик не переходить у фазу явної проблеми. Проте в цей момент простір для маневру вже значно звужений, а ціна рішень зростає в рази.

Управлінська зрілість у сфері ризиків проявляється не в здатності реагувати на кризу, а в готовності ухвалювати рішення на основі неповної, незручної і не завжди переконливої інформації. Це означає визнавати, що відсутність повної впевненості не є підставою для бездіяльності. Навпаки, саме в умовах невизначеності роль управлінських рішень щодо ризиків стає визначальною.

Таким чином, більшість серйозних проблем не виникають раптово. Вони формуються поступово — через слабкі сигнали, які не були почуті, і через управлінські рішення, які не були ухвалені вчасно. Саме тому питання не в тому, чи з’являються сигнали, а в тому, чи здатна організація перетворювати їх на сильні, хоч і незручні рішення. І саме це відрізняє формально вибудувану систему управління ризиками від тієї, яка справді працює.

 

Підсумок статті

У цій статті ми зосередилися на моменті, який у багатьох організаціях залишається «сірою зоною» управління: ризик уже ідентифікований і проаналізований, але ще не став підставою для дії. Саме в цій точці ризик-менеджмент найчастіше зупиняється, поступаючись місцем управлінській інерції, відкладеним рішенням або мовчазному прийняттю ризику.

Ми побачили, що відсутність явного рішення — це також рішення, хоча воно рідко усвідомлюється як таке. Саме ці незафіксовані управлінські вибори згодом формують ті наслідки, які постфактум здаються «неочікуваними», але насправді були логічним результатом попередньої бездіяльності.

Наступний крок у цій розмові — розібратися, як саме організації реагують на ризики, коли рішення все ж потрібно ухвалювати. Формально ми всі знаємо чотири базові стратегії реагування: прийняття, уникнення, зменшення та передача ризику. Але в реальному управлінні ці відповіді рідко виглядають так чітко й однозначно, як у підручниках.

Саме тому в наступній статті ми перейдемо від загального питання «чи приймаються рішення щодо ризиків?» до значно конкретнішого: як виглядають ці рішення на практиці — і чому між теорією та реальністю часто виникає розрив.

 

 

Сергій БАБИЧ