Після того як ризик виявлено, описано, оцінено і внесено до реєстру, у багатьох компаніях виникає відчуття завершеної роботи і здається, що тепер залишається лише періодично переглядати карту ризиків, оновлювати оцінки і контролювати виконання запланованих заходів, проте практика показує, що саме на цьому етапі система управління ризиками нерідко починає поступово втрачати свою практичну цінність. Реєстр ризиків залишається незмінним місяцями, іноді роками, тоді як бізнес змінюється щодня, а керівництво дізнається про проблему вже після того, як вона вплинула на фінансовий результат, клієнтів або репутацію компанії.

Причина полягає не у відсутності методик чи недостатній кваліфікації ризик-менеджерів. Найчастіше компанія просто не має інструментів, які дозволяють побачити, що рівень ризику почав змінюватися задовго до того, як виникне інцидент, і для цього в сучасному ризик-менеджменті використовуються ключові індикатори ризику (Key Risk Indicators, KRI), хоча їхня роль значно ширша, ніж звичайний набір показників у квартальному звіті.

На практиці хороший KRI — це не цифра у таблиці й не графік у презентації для Правління, а сигнал, який дає керівництву час відреагувати до того, як проблема стане збитком, судовою справою, скаргою клієнта або предметом уваги регулятора. Головне питання полягає не в тому, які показники потрібно вимірювати, а в тому, чи дійсно вони здатні попередити компанію про наближення ризику.

Якщо індикатор спрацьовує після події, це вже не індикатор ризику

Під час обговорення KRI я нерідко ставлю колегам просте запитання: коли має спрацювати хороший індикатор ризику? Відповідь зазвичай здається очевидною — коли ризик зростає, однак вже за кілька хвилин з’ясовується, що значна частина показників, які компанії називають KRI, повідомляє не про наближення ризику, а про те, що він уже реалізувався.

Уявімо страхову компанію, яка щомісяця аналізує кількість скарг клієнтів. Якщо цей показник почав різко зростати, керівництво справді отримало важливу інформацію, однак скарги не попереджають про ризик — вони свідчать, що проблема вже виникла. Клієнти вже незадоволені, репутаційні втрати вже почали накопичуватися, а частину довіри компанія, можливо, вже втратила. Такий показник є дуже корисним для аналізу діяльності, але він майже не залишає часу на запобігання небажаним наслідкам.

Значно цікавіше поставити інше запитання: які зміни відбуваються в процесі за кілька тижнів або навіть місяців до того, як клієнт вирішить написати скаргу? Практика показує, що такими сигналами можуть бути поступове збільшення середнього строку врегулювання збитків, накопичення справ без призначеного виконавця, різке зростання частки повторних звернень клієнтів щодо одного й того самого страхового випадку, збільшення кількості договорів, які потребують нестандартного погодження, або систематичне перевищення внутрішніх строків розгляду документів. Жоден із цих показників ще не означає, що ризик реалізувався, проте всі вони можуть свідчити про те, що процес починає втрачати керованість.

Схожий підхід добре працює і в андеррайтингу. Якщо компанія аналізує лише рівень збитковості страхового портфеля, вона дізнається про проблему тоді, коли більшість управлінських рішень уже неможливо змінити. Значно більше користі можуть дати показники, які сигналізують про зміни поведінки бізнесу: поступове збільшення частки договорів, укладених із відступом від андеррайтингової політики, зростання середнього розміру індивідуальних знижок, концентрація великих ризиків у певному сегменті або збільшення кількості винятків, погоджених поза стандартною процедурою. Кожен із цих сигналів ще не означає, що компанія зіткнеться зі збитками, проте вони дозволяють поставити дуже важливе запитання: чи не почав ризик змінюватися швидше, ніж система управління встигає це помітити?

В цьому, на мою думку, полягає головна відмінність між звичайним показником діяльності та правильним ключовим індикатором ризику. Перший описує те, що вже сталося, тоді я другий дає керівництву шанс не допустити, щоб це сталося.

Як знайти хороший KRI, якщо його ще не існує

Коли в компанії вперше починають розробляти систему ключових індикаторів ризику, дуже часто виникає бажання відкрити професійні рекомендації, знайти перелік готових показників і вибрати ті, які, на перший погляд, найбільше відповідають особливостям власного бізнесу, однак практика показує, що такий шлях рідко приводить до бажаного результату, оскільки KRI майже неможливо успішно запозичити навіть у компанії, яка працює на тому самому страховому ринку, має схожу продуктову лінійку і перебуває під наглядом одного регулятора, адже бізнес-процеси, система делегування повноважень, ризик-апетит, організаційна структура та корпоративна культура завжди залишаються унікальними, а отже показник, який в одній компанії дійсно сигналізує про наближення проблеми, в іншій може виявитися звичайною операційною статистикою, що не має жодної прогностичної цінності.

За роки практичної роботи я дедалі більше переконувався, що хороший KRI народжується не під час заповнення таблиці і не в процесі чергового перегляду профілю ризиків, а значно раніше — у той момент, коли ризик-менеджер починає аналізувати, як розвивається ризик у часі, намагаючись зрозуміти не лише те, чим завершився інцидент, а й які зміни відбувалися в процесі за кілька тижнів або навіть місяців до того, як проблема стала очевидною для керівництва.

Візьмемо для прикладу ситуацію, добре знайому багатьом страховикам. Наприкінці року компанія аналізує результати роботи окремого сегмента портфеля і несподівано виявляє істотне погіршення збитковості, після чого розпочинається звичний процес пошуку причин: створюється робоча група, переглядаються андеррайтингові рішення, аналізуються великі збитки, готуються пояснення для Правління, хоча уважний аналіз подій майже завжди показує, що проблема виникла не в момент отримання збитків, а значно раніше, коли продавці дедалі частіше почали звертатися з проханням погодити індивідуальні умови страхування, середній розмір наданих знижок поступово збільшувався, кількість договорів, укладених як виняток із вимог андеррайтингової політики, непомітно зростала, а керівники почали сприймати такі рішення як звичайну практику, необхідну для досягнення планових показників продажів.

Якщо компанія аналізує лише підсумковий рівень збитковості, вона дізнається про проблему тоді, коли переважна більшість управлінських рішень уже ухвалена і змінити їх практично неможливо, тоді як контроль за часткою договорів, укладених із відступом від андеррайтингової політики, середнім розміром індивідуальних знижок, концентрацією нестандартних погоджень або темпами зростання таких винятків дозволив би звернути увагу керівництва на небезпечну тенденцію ще задовго до того, як вона почала впливати на фінансовий результат компанії.

Подібна логіка однаково добре працює і в процесі врегулювання збитків, де погіршення якості обслуговування клієнтів майже ніколи не починається зі скарг, оскільки їм, як правило, передує поступове накопичення незавершених справ, збільшення навантаження на окремих фахівців, зростання кількості рішень, які не вкладаються у внутрішні строки врегулювання, дедалі частіше використання ручних процедур для обходу вузьких місць процесу або систематичне перенесення окремих справ на наступний робочий день, причому жоден із цих показників окремо ще не свідчить про кризову ситуацію, але їх поєднання дуже добре показує, що процес поступово починає втрачати керованість.

Тому пошук KRI, на мою думку, доцільно починати не з питання «Який показник нам потрібно контролювати?», а зі значно важливішого питання: «Які зміни в роботі процесу ми могли б помітити сьогодні, якби вже знали, що через три або шість місяців тут виникне серйозна проблема?», оскільки відповідь на нього майже завжди приводить до показників, здатних не просто констатувати факт реалізації ризику, а дати керівництву найцінніше, що може забезпечити ефективна система управління ризиками, — час для ухвалення рішень.

Чому багато KRI не працює, навіть якщо вони правильно розраховані

Коли система ключових індикаторів ризику вже побудована, визначені відповідальні особи, встановлена періодичність розрахунку показників і навіть затверджені порогові значення, у керівництва закономірно виникає відчуття, що проблема вирішена, однак саме на цьому етапі багато компаній стикаються з парадоксальною ситуацією: показники регулярно розраховуються, звіти справно надходять до Правління, інформаційні панелі оновлюються вчасно, проте жодного реального впливу на управлінські рішення вони не мають. Причина полягає не в якості самих показників, а в тому, що компанія починає сприймати KRI як елемент звітності, хоча їхнє справжнє призначення полягає зовсім в іншому — вони повинні змушувати керівників ставити запитання ще до того, як ризик реалізувався.

Одного разу мені довелося аналізувати систему KRI страхової компанії, яка налічувала понад шістдесят показників. Вони охоплювали практично всі напрями діяльності — андеррайтинг, врегулювання збитків, перестрахування, ліквідність, інформаційну безпеку, персонал, комплаєнс і операційні ризики, причому більшість із них були методично побудовані абсолютно правильно. Проблема полягала в іншому: коли на засіданні Правління керівники отримували багатосторінковий звіт із десятками графіків, вони фізично не могли зрозуміти, які з відхилень потребують негайного реагування, а які є звичайними коливаннями показників, властивими будь-якому бізнесу. У результаті обговорення майже завжди зосереджувалося на фінансових результатах, тоді як KRI залишалися лише інформаційним додатком до звіту.

Інша компанія, навпаки, контролювала лише дванадцять індикаторів, проте кожен із них був безпосередньо пов’язаний із конкретним управлінським рішенням. Якщо частка договорів, укладених із відступом від андеррайтингової політики, перевищувала визначений рівень, питання автоматично виносилося на розгляд Правління. Якщо середній строк врегулювання збитків починав систематично збільшуватися протягом кількох звітних періодів, керівник відповідного напряму мав не лише пояснити причини такого відхилення, а й запропонувати заходи щодо стабілізації процесу. Якщо концентрація перестрахового захисту в окремого перестраховика досягала встановленого порога, компанія розпочинала перегляд перестрахової програми, не чекаючи завершення року або появи проблем із виконанням зобов’язань. Усі ці показники працювали не тому, що були складнішими або точнішими за інші, а тому, що кожен із них мав чітко визначений сценарій реагування.

Цей приклад, на мою думку, добре ілюструє одну закономірність, яку ризик-менеджери іноді недооцінюють. Корисний KRI не закінчується числовим значенням. Він обов’язково продовжується відповіддю на запитання: «Що ми будемо робити, якщо завтра цей показник вийде за встановлену межу?» Якщо такої відповіді немає, показник поступово перетворюється на звичайну статистику, яка може бути цікавою для аналізу, але майже не впливає на систему управління ризиками.

Є ще одна поширена проблема, яка зустрічається значно частіше, ніж здається на перший погляд. Компанія ретельно визначає допустимі значення KRI, проте жодного разу не переглядає їх після зміни стратегії, структури бізнесу або ризик-апетиту, хоча показник, який п’ять років тому вважався сигналом підвищеного ризику, сьогодні може вже відповідати новій бізнес-моделі або, навпаки, бути надто консервативним і постійно генерувати хибні сигнали. Система KRI також потребує періодичного перегляду, інакше вона поступово починає описувати компанію, якою вона була вчора, а не ту, якою вона є сьогодні.

На завершення

Коли говорять про систему управління ризиками, дуже часто увагу зосереджують на реєстрах ризиків, матрицях оцінювання, контрольних процедурах або звітності для Правління, хоча в повсякденній роботі компанії вирішальне значення має значно простіше питання: чи побачить керівництво проблему тоді, коли її ще можна попередити? Якщо відповідь негативна, жоден, навіть найдосконаліший, реєстр ризиків уже не допоможе, оскільки система починає працювати не на випередження, а лише фіксує наслідки подій, які вже відбулися. Тому справжня цінність KRI полягає не в тому, що вони дозволяють регулярно вимірювати певні показники. Їхнє призначення значно важливіше — вони повинні давати керівництву час:  час поставити правильні запитання, час перевірити, чи не змінюється поведінка процесу, час втрутитися до того, як ризик перетвориться на збиток, скаргу клієнта або проблему для регулятора. Якщо індикатор не дає цього часу, він може залишатися корисним показником діяльності, але перестає виконувати роль інструменту раннього попередження, заради якої його й було створено.

За роки роботи я дедалі більше переконувався, що ефективність системи KRI визначається не кількістю показників і не складністю методики їх розрахунку. Вона визначається значно простішим критерієм: чи допомагають вони керівникам ухвалювати кращі рішення раніше, ніж проблема стане очевидною для всіх. Якщо відповідь позитивна, система працює, якщо ж KRI лише констатують події, які вже відбулися, варто чесно поставити собі запитання, чи вимірюємо ми те, що дійсно потребує управління.

Десять запитань, які варто поставити перед запровадженням нового KRI

1. Чи сигналізує цей показник про майбутню проблему, чи лише підтверджує, що вона вже виникла?
2. Яку конкретну зміну в процесі ми хочемо побачити завдяки цьому індикатору?
3. Чи пов’язаний цей показник з одним конкретним ризиком, чи він одночасно намагається описати кілька різних проблем?
4. Чи зрозуміє власник процесу, чому саме цей показник контролюється і які його дії можуть вплинути на його значення?
5. Чи визначено порогові значення, після досягнення яких компанія повинна реагувати, а не просто зафіксувати відхилення?
6. Чи існує заздалегідь погоджений порядок дій у разі перевищення встановленого порога?
7. Чи переглядатиметься цей показник після зміни бізнес-процесів, стратегії або ризик-апетиту компанії?
8. Чи не дублює він інформацію, яку вже містять інші показники або управлінська звітність?
9. Чи випереджає він у часі фінансові наслідки ризику, чи лише повторює їх у цифровому вигляді?
10. Якщо завтра цей KRI зникне зі звітності, чи помітить це Правління? Якщо відповідь негативна, можливо, компанії потрібен не новий показник, а інший підхід до моніторингу ризику.

Цією статею я завершую цикл і  щиро сподіваюсь, що мої роздуми щодо практики управління ризиками були корисні вам і будуть потрібні для використання у роботі.

Сергій БАБИЧ