Ризик-менеджери нерідко скаржаться, що керівники приділяють управлінню ризиками недостатньо уваги. Ризикові реєстри регулярно оновлюються, проводяться оцінювання, готуються звіти, ризики розміщуються на теплових картах, але під час обговорення реальних управлінських рішень усі ці матеріали раптом виявляються далеко не в центрі уваги. Звичне пояснення просте: менеджмент недостатньо розуміє значення ризик-менеджменту. Професор ризик-менеджменту Люцернської школи бізнесу Stefan Hunziker у своїй новій публікації в мережі LinkedIN пропонує подивитися на проблему з іншого боку: можливо, справа не лише в керівниках, а й у тому, яку інформацію дає їм ризик-менеджмент.

Питання справді незручне для професії. У багатьох організаціях різні за природою ризики оцінюються за однією конструкцією: ймовірність від 1 до 5, вплив від 1 до 5, далі — фінансові, репутаційні, операційні, регуляторні або стратегічні наслідки. Hunziker не стверджує, що такий підхід неправильний. Єдина система забезпечує послідовність, дозволяє структурувати великий масив ризиків, створює спільну мову звітності та допомагає корпоративному управлінню. Проблема виникає тоді, коли від тієї ж методики очікують іншого результату — підтримки конкретного управлінського рішення. Дослідження, на які посилається професор, показують, що універсального способу представлення невизначеності не існує: вибір методу має залежати від характеру невизначеності, наявних даних та контексту рішення.

Спільна шкала ще не створює спільного змісту

Одна з найвлучніших тез публікації звучить приблизно так: якщо фінансовий, операційний, регуляторний і стратегічний вплив помістити на однакову шкалу від 1 до 5, ми отримаємо спільний формат, але не спільний зміст. За однаковим балом можуть стояти принципово різні види невизначеності, різні наслідки, різний часовий горизонт і, головне, різні управлінські рішення.

Це дозволяє дещо інакше подивитися і на звичні теплові карти ризиків. Їхня цінність безперечна там, де потрібно швидко показати загальний ризиковий профіль, забезпечити єдину форму звітності, визначити ризики, які потребують додаткової уваги, або продемонструвати органам корпоративного управління чи регулятору, як організація бачить свої основні ризики, але значно складніше відповісти за допомогою теплової карти на питання, яке зазвичай цікавить керівника: що нам робити?

Ризик, який перемістився із жовтої зони в червону або отримав оцінку 16 замість 12, безумовно, привертає увагу, проте сам по собі цей рух майже нічого не говорить про можливі варіанти рішення. Для матеріального ризику керівнику потрібні сценарії розвитку подій, діапазон можливих наслідків, ключові припущення, прогалини у знаннях і, що особливо важливо, розуміння того, як доступні управлінські альтернативи змінять ризикову експозицію. Hunziker формулює з цього дуже простий принцип: метод має слідувати за рішенням, а не рішення за методом.

Тому теплову карту, мабуть, правильніше сприймати не як універсальний інструмент управління ризиком, а як інструмент первинної навігації, оскільки вона може добре показувати, куди дивитися, але далеко не завжди здатна підказати, що робити. Для регуляторного нагляду, корпоративної звітності та огляду сукупного ризикового профілю така стандартизація має очевидну цінність, а для прийняття конкретного управлінського рішення її часто недостатньо.

Не якісний чи кількісний метод, а метод, потрібний для рішення

Звідси виникає ще одна важлива проблема. Дискусія про методи ризик-менеджменту часто перетворюється на суперечку між прихильниками якісного та кількісного оцінювання. Hunziker пропонує відмовитися від такої постановки питання. Розподіли ймовірностей, сценарії, структуровані експертні оцінки та візуальні способи представлення ризику можуть бути доречними — але в різних ситуаціях, навіть обмежені історичні дані не означають автоматично, що кількісний аналіз неможливий; важливо лише відкрито показувати припущення та невизначеність, на яких він побудований.

У дискусії під публікацією ця думка отримала цікаве продовження. Звернули увагу на те, що жоден інструмент не здатний виконувати всі функції: теплової карти може бути цілком достатньо для однієї мети, тоді як матеріальний ризик потребуватиме сценаріїв, діапазонів та глибшого аналізу, водночас більше інформації не завжди означає краще рішення. Цінність створює комбінація інструментів, підібраних відповідно до адресата, характеру рішення та рівня ризику.

Це важливе застереження від іншої крайності. Відмова від надмірно спрощеної матриці 5×5 не означає, що кожен ризик потрібно негайно моделювати методом Монте-Карло або застосовувати складні байєсівські моделі. Hunziker прямо застерігає від такого висновку, тому що ризик-менеджмент не стає кращим лише тому, що його математичний апарат стає складнішим. Питання залишається тим самим: яка інформація потрібна для цього рішення і що наявні дані дозволяють обґрунтовано сказати?

Ризик існує не в таблиці, а в контексті рішення

Коментарі до публікації додали ще один важливий вимір — людський. На сприйняття ризику впливають корпоративна культура, досвід людей і когнітивні упередження, а отже, вони впливають і на припущення, закладені в моделі, тому методики та стандарти можуть бути орієнтирами, але не повинні перетворюватися на рецепти, які механічно застосовуються незалежно від контексту. Зрілість ризик-менеджменту в такому розумінні полягає не у здатності всюди застосувати одну затверджену методику, а у здатності розуміти, що варто застосувати, що потрібно адаптувати і чому.

У дискусії прозвучала і ще одна слушна теза: ризики нелінійні, можуть каскадувати та взаємодіяти між собою. Це додатково ускладнює спробу описати їх однією універсальною системою балів, оскількихайний реєстр ризиків здатний створити психологічно комфортне враження, що невизначеність уже взята під контроль, хоча іноді все, що відбулося, — їй просто присвоїли число.

Звідси випливає ще один висновок: ризик-менеджер повинен не лише правильно оцінити ризик, а й перекласти складність та невизначеність мовою, придатною для прийняття рішення, при цьому відповідальність не може бути односторонньою. Керівники також мають розуміти припущення, ставити під сумнів результати аналізу та оцінювати компроміси між різними варіантами дій. Ризик-менеджмент не замінює управлінське судження — він повинен зробити його більш обґрунтованим.

Навіть точна оцінка ризику ще не є управлінням

Мабуть, найцікавіший розвиток початкової тези Hunziker з’явився у коментарях, де дискусія перейшла від питання «як оцінювати?» до питання «що відбувається після оцінки?». Один із учасників звернув увагу: організації значно просунулися у стандартизації оцінювання ризиків, але далеко не завжди стандартизували те, що має відбутися після отримання результату, навіть інформація про можливі втрати в діапазоні, наприклад, від 5 до 20 млн доларів корисніша за червону клітинку теплової карти лише тоді, коли зрозуміло, за якого рівня експозиції змінюється управлінське рішення. Якщо такий поріг не визначений, навіть складне кількісне моделювання ризику може перетворитися на ще одну форму звітності.

Це вже безпосередньо виводить нас на ризик-апетит, ліміти та тригери ескалації. Оцінка повинна бути пов’язана з дією: за яких умов ризик приймається, коли потрібні додаткові заходи, коли питання має бути ескаловане, хто має право прийняти рішення і хто відповідає за його виконання, тому що без такого зв’язку можна нескінченно вдосконалювати точність оцінювання, не наближаючись до кращого управління ризиком.

Важливий не лише метод, а й момент його застосування

Ще один коментар додав до цієї конструкції часовий вимір. Навіть чудово побудований сценарний аналіз втрачає управлінську цінність, якщо він з’являється після того, як інвестиційне рішення фактично прийняте, продукт уже запущено або контракт погоджено, тому для матеріальних ризиків недостатньо запитати, який метод оцінювання використовувати. Потрібно також визначити, на якому етапі прийняття рішення має з’явитися ризиковий аналіз, який його результат здатний змінити рішення і хто має повноваження діяти на підставі отриманої інформації.

Ця думка, мабуть, веде ще далі, ніж початкова критика універсальних методів. Слабкість багатьох систем управління ризиками може полягати не стільки в недосконалості оцінювання, скільки в тому, що методика оцінки існує окремо від архітектури прийняття рішень. Ризик-менеджери вдосконалюють шкали, критерії, моделі та звітність, але при цьому не завжди визначено, коли отримана інформація повинна потрапити до особи, яка приймає рішення, який результат має спричинити ескалацію і хто уповноважений змінити рішення.

Тоді справжньою ознакою зрілості стає не складність методики. Аналітичний метод, поріг ескалації та право на прийняття рішення повинні бути частинами одного процесу, інакше організація може отримувати дедалі якісніший аналіз ризиків, не отримуючи від цього кращих рішень.

Можливо, проблема не в байдужості менеджменту

І тут ми повертаємося до питання, з якого почав Hunziker. Якщо керівники недостатньо цікавляться ризик-менеджментом, найпростіше пояснення — вони не розуміють його значення, але варто поставити собі значно незручніше запитання: а чи даємо ми їм інформацію, яка справді допомагає приймати рішення?

Якщо результат роботи ризик-менеджера зводиться до повідомлення, що ризик змінив оцінку з 12 на 16, байдужість керівника вже не виглядає настільки дивною. Якщо ж він бачить кілька правдоподібних сценаріїв, можливий діапазон наслідків, ключові припущення та невизначеність, а головне — як кожен із доступних варіантів рішення змінить ризикову експозицію, ризик-менеджмент стає частиною процесу прийняття рішення, а не окремою процедурою поруч із ним. Цим висновком Hunziker фактично завершує свій пост: можливо, проблема полягає не в тому, що менеджмент приділяє ризик-менеджменту замало уваги, а в тому, що ризик-менеджмент надто часто надає менеджменту не ту інформацію, яка потрібна для важливих рішень.

Теплові карти, реєстри ризиків і стандартизовані шкали при цьому нікуди не зникають, оскільки вони залишаються корисними для систематизації, порівнянності, звітності, корпоративного управління та регуляторного нагляду. Проблема починається лише тоді, коли інструмент, створений для однієї мети, намагаються використати для всіх інших. Для реального управління матеріальними ризиками наступний крок має бути іншим: від оцінки — до сценарію, від кольору — до наслідків, від бала — до управлінської альтернативи, від звіту про ризик — до рішення з урахуванням ризику.

І, можливо, це і є головний критерій практичної цінності ризик-менеджменту: не наскільки красиво організація вміє показати свої ризики, а наскільки її рішення змінюються завдяки тому, що вона про ці ризики знає.

Докладніше за посиланням

Сергій БАБИЧ