Хороша ризик-сесія далеко не завжди завершується загальною згодою, і це, мабуть, одна з найважливіших речей, яку варто прийняти ризик-менеджеру ще до її початку. Керівник продажів може вважати певний ризик цілком прийнятним, андеррайтер бачити в тій самій ситуації небезпечну зміну якості портфеля, фінансовий директор звертати увагу на поки що позитивний фінансовий результат, а керівник врегулювання вже помічати перші ознаки майбутніх проблем, причому кожен із них може аргументувати свою позицію цифрами, практичним досвідом і знанням власного процесу. За таких умов бажання завершити дискусію єдиною оцінкою виглядає природним, адже профіль ризиків потребує конкретного результату, тепловій карті потрібна певна клітинка, а Правлінню навряд чи сподобається формулювання «керівники не дійшли згоди», однак поспішний консенсус іноді позбавляє компанію інформації, яка може виявитися значно важливішою за остаточний бал.

У попередній статті ми вже розглядали ситуацію, коли страхова компанія активно нарощує корпоративний портфель, продажі дедалі частіше домагаються індивідуальних умов для великих клієнтів, андеррайтинг фіксує зростання кількості винятків, врегулювання бачить ускладнення збитків, а фінансовий директор поки що не має підстав говорити про критичне погіршення результату. Припустимо, що під час ризик-сесії продажі оцінили ризик у чотири бали з десяти, фінансовий директор — у шість, андеррайтинг — у вісім, після чого учасники двадцять хвилин сперечалися і зрештою погодилися на шість. Формально проблема вирішена, оцінка визначена, її можна перенести до профілю ризиків, але з управлінської точки зору компанія майже нічого не отримала, оскільки число «шість» приховало значно важливіше питання: чому три керівники, які працюють з одним портфелем, настільки по-різному бачать пов’язаний із ним ризик?

Відповідь може виявитися зовсім не очевидною. Можливо, вони оцінювали різні часові горизонти, користувалися різними даними або по-різному розуміли сценарій ризику; можливо, продажі дивилися на поточний обсяг премій, андеррайтинг — на якість прийнятих ризиків, а фінансовий директор — на фінансовий результат, у якому наслідки сьогоднішніх рішень ще не встигли проявитися. Не можна виключати й складнішої причини, коли різниця оцінок відображає різні економічні інтереси підрозділів, адже рішення, яке допомагає одному керівнику виконати план, може одночасно збільшувати ризик, відповідальність за наслідки якого нестиме інший. У кожному з цих випадків ризик-менеджеру потрібні різні дії, тому просте усереднення оцінок не вирішує проблему, а лише робить її менш помітною.

Ця стаття присвячена тому, що відбувається після хорошої ризик-сесії, коли думки вже зібрані, основні ризики визначені, але щодо частини з них єдиної позиції немає. Ми спробуємо розібратися, коли розбіжність потрібно усунути, коли її варто зберегти й додатково дослідити, які дані необхідно перевірити, чия оцінка має значення, коли питання потрібно передавати на вищий рівень і чому професійна незгода між керівниками іноді є не недоліком системи управління ризиками, а одним із найкорисніших її сигналів.

Не поспішайте усереднювати: спочатку з’ясуйте, про що насправді сперечаються

Найпростіший спосіб отримати єдину оцінку ризику, коли думки учасників розійшлися, — попросити кожного виставити бал, а потім розрахувати середнє значення, і математично до такого підходу важко висунути претензії: якщо п’ять керівників дали оцінки 4, 5, 6, 7 і 8, середній результат дорівнюватиме шести, його легко перенести до реєстру й використати для ранжування. Проблема починається тоді, коли ми намагаємося зрозуміти управлінський зміст отриманої цифри, оскільки середнє значення нічого не говорить про причини розбіжності, а оцінки «4, 4, 4, 4, 4» і «1, 2, 4, 6, 7» можуть дати близький результат, хоча для ризик-менеджера це дві принципово різні ситуації: у першій керівники однаково розуміють ризик, у другій компанія має серйозну невизначеність щодо його природи або масштабу.

Перш ніж обговорювати, хто має рацію, корисно перевірити найпростішу річ — чи оцінювали учасники один і той самий сценарій. На практиці це трапляється далеко не завжди. Наприклад, під час обговорення ризику недоступності інформаційної системи операційний директор може уявляти короткочасний збій на дві-три години, ІТ-директор — повну втрату критичного сервісу на добу через серйозну технічну відмову, а керівник інформаційної безпеки — кібератаку з компрометацією даних і тривалим відновленням, після чого всі троє чесно виставляють різні оцінки «одному ІТ-ризику». Намагатися знайти між ними компроміс без уточнення сценарію безглуздо, оскільки фактично вони оцінювали три різні події, кожна з яких має власну ймовірність, наслідки, заходи контролю та можливий порядок реагування.

Друга причина розбіжностей — різний часовий горизонт, і для страхової діяльності вона особливо характерна, оскільки рішення, яке сьогодні покращує фінансовий результат, може проявити свої негативні наслідки через багато місяців. Повернімося до прикладу зі зростаючим корпоративним портфелем: керівник продажів оцінює поточний рік і бачить збільшення премій, збереження великих клієнтів та виконання плану, андеррайтер дивиться на новий бізнес і вже помічає погіршення умов прийняття ризику, а керівник врегулювання оцінює перспективу майбутніх збитків, які ще не потрапили до статистики. Якщо не домовитися, чи оцінюється ризик на горизонті трьох місяців, року або декількох років, дискусія легко перетворюється на суперечку між людьми, кожна з яких насправді відповідає на різне запитання.

Третя причина, яку варто перевірити до будь-яких спроб досягти консенсусу, — різна інформаційна база. Уявімо, що керівник врегулювання оцінює ризик накопичення неврегульованих справ як високий, оскільки бачить збільшення їх кількості протягом трьох місяців, зростання навантаження на працівників і дедалі частіше ручне втручання у процес, тоді як фінансовий директор вважає ризик помірним, посилаючись на те, що загальний обсяг резервів відповідає плану, а суттєвого погіршення фінансових показників поки немає. Тут не потрібно визначати переможця дискусії, оскільки обидва керівники можуть правильно інтерпретувати доступну їм інформацію, а завдання ризик-менеджера полягає в тому, щоб звести ці дані разом і перевірити, чи не є операційні сигнали випереджальними щодо фінансових наслідків, які проявляться пізніше.

Нарешті, існує причина, про яку говорити складніше, але ігнорувати її не можна, — різні стимули та відповідальність керівників. Якщо винагорода продажів значною мірою залежить від обсягу залучених премій, андеррайтинг відповідає за якість портфеля, фінансовий блок — за прибутковість, а врегулювання — за строки та якість роботи зі збитками, одна й та сама бізнес-можливість природно виглядатиме для них по-різному, причому це не обов’язково означає, що хтось свідомо занижує або завищує ризик. Організаційна структура сама формує різні точки спостереження, а система мотивації може посилювати цю різницю, тому суттєве розходження оцінок іноді говорить ризик-менеджеру не стільки про складність конкретного ризику, скільки про потенційний конфлікт між цілями окремих функцій.

З практичної точки зору після ризик-сесії корисно не починати з питання «Яку остаточну оцінку ми поставимо?», а послідовно перевірити чотири речі: чи однаково учасники сформулювали сценарій, чи використовували однаковий часовий горизонт, чи мали доступ до однакової інформації та чи не впливають на їхнє сприйняття різні бізнес-цілі. Дуже часто вже після такої перевірки частина розбіжностей зникає без будь-якого примусового компромісу, оскільки люди виявляють, що сперечалися не про величину одного ризику, а про різні сценарії або різні етапи його розвитку, тоді як ті розбіжності, які залишаються після уточнення припущень і даних, стають для ризик-менеджера значно цікавішими, бо тепер вони можуть свідчити про реальну управлінську невизначеність, яку не варто приховувати за середньою арифметичною оцінкою.

Коли розбіжність не треба усувати

Після того як ризик-менеджер перевірив, чи однаково учасники розуміють сценарій, часовий горизонт і наявні дані, частина розбіжностей зазвичай зникає, однак було б помилкою очікувати, що після всіх уточнень керівники обов’язково повинні прийти до однакової оцінки. У реальному бізнесі невизначеність не зникає лише тому, що завершилася ризик-сесія, а люди, які відповідають за різні процеси, можуть цілком професійно й аргументовано по-різному оцінювати майбутній розвиток подій, тому завдання ризик-менеджера полягає не в тому, щоб будь-якою ціною перетворити кілька позицій на одну цифру, а в тому, щоб зрозуміти природу незгоди та визначити, чи потребує вона додаткового аналізу, управлінського рішення або ескалації.

Розглянемо ситуацію, яка цілком може виникнути в страховій компанії під час перегляду перестрахової програми. Керівник андеррайтингу вважає, що частину великих майнових ризиків можна залишити на власному утриманні, оскільки портфель достатньо диверсифікований, історична збитковість прийнятна, а вартість зовнішнього перестрахування суттєво зросла; фінансовий директор підтримує цю позицію, оскільки додаткові витрати на перестрахування погіршать фінансовий результат, тоді як ризик-менеджер звертає увагу на можливу концентрацію кількох великих об’єктів в одному регіоні та на те, що історична статистика мирного часу не повністю відображає нинішню структуру загроз. Після перевірки даних може виявитися, що ніхто не помиляється: вартість перестрахування справді висока, поточна збитковість не дає очевидних підстав для занепокоєння, але сценарій одночасного пошкодження кількох великих об’єктів здатний створити навантаження на капітал, яке компанія не хотіла б приймати.

У такій ситуації пошук компромісної оцінки на кштал «давайте замість високого і середнього поставимо вище середнього» не вирішує жодного управлінського питання, оскільки компанії потрібно визначитися не з кольором клітинки на тепловій карті, а з тим, який обсяг потенційного збитку вона готова залишити на собі в обмін на економію вартості перестрахування. Це вже питання ризик-апетиту, капіталу та економічної доцільності, а отже ризик-менеджер повинен не переконувати колег прийняти його оцінку, а підготувати кілька сценаріїв із відповідними наслідками та винести рішення на той рівень управління, який має повноваження визначати допустимий рівень ризику. Професійна незгода тут виконала корисну функцію: вона виявила рішення, яке до цього могло виглядати звичайним питанням оптимізації витрат на перестрахування, хоча фактично стосувалося меж ризику, який компанія готова фінансувати власним капіталом.

Ще показовішою може бути ситуація з новим ІТ-рішенням, коли бізнес-підрозділ наполягає на швидкому запуску системи, оскільки старий процес стримує продажі або врегулювання, ІТ вважає технічні ризики контрольованими, служба інформаційної безпеки бачить невирішені питання щодо доступу до даних, а операційний підрозділ попереджає, що персонал ще не пройшов повного навчання. Якщо всі учасники погодяться відкласти запуск до усунення кожного зауваження, компанія може втратити значну бізнес-можливість; якщо ж запустити систему без обмежень, вона прийме ризик, масштаб якого ще не до кінця зрозумілий. У такому випадку корисним результатом роботи ризик-менеджера може стати не єдина оцінка, а проміжне управлінське рішення: обмежений запуск на частині операцій, посилений моніторинг перших тижнів, тимчасове збереження резервної процедури, визначення показників, за яких експлуатацію необхідно призупинити, та повторна оцінка після накопичення фактичних даних.

Подібні приклади показують ще одну важливу особливість роботи з ризиком: невизначеність не завжди потрібно усувати до прийняття рішення, іноді нею потрібно керувати протягом певного часу, поступово замінюючи припущення фактичними даними. Для ризик-менеджера це означає відмову від спокуси перетворити кожну складну ситуацію на остаточну оцінку, адже в окремих випадках професійнішим рішенням буде зафіксувати діапазон можливих наслідків, визначити ключові припущення, встановити тимчасові обмеження та домовитися, яка нова інформація стане підставою для повторного розгляду ризику.

Тому розбіжність оцінок варто зберігати тоді, коли вона відображає реальну невизначеність майбутнього, різні обґрунтовані сценарії або управлінський вибір між ризиком і бізнес-вигодою, а не помилки у вихідних даних чи різне розуміння предмета дискусії. У такому випадку фраза «єдиної оцінки не досягнуто» не повинна сприйматися як невдалий результат роботи ризик-менеджера, якщо поруч із нею зафіксовано, чому позиції відрізняються, які наслідки має кожний сценарій, яких даних бракує і хто повинен прийняти остаточне рішення.

Коли незгоду потрібно ескалувати

Однак існують ситуації, коли залишити різні оцінки в робочих матеріалах і домовитися повернутися до них через квартал уже недостатньо, оскільки розбіжність стосується рішення, яке компанія повинна прийняти зараз, або ризику, потенційні наслідки якого виходять за межі повноважень окремого керівника. На практиці межа між професійною дискусією і необхідністю ескалації проходить не там, де учасники починають особливо емоційно сперечатися, а там, де одна з позицій означає можливий вихід за встановлений ризик-апетит, порушення ліміту, суттєвий вплив на капітал, ліквідність чи безперервність діяльності або прийняття ризику, на яке учасники сесії просто не мають достатніх повноважень.

Уявімо, що компанія планує укласти великий договір страхування, який має очевидне комерційне значення: клієнт великий, премія приваблива, існує перспектива отримати інші договори групи, а відмова майже напевно означатиме перехід клієнта до конкурента. Продажі наполягають на угоді, андеррайтинг готовий її погодити за певних додаткових умов, але ризик-менеджер після аналізу виявляє, що договір разом із уже наявними ризиками збільшує концентрацію понад внутрішній ліміт, тоді як доступного перестрахового захисту для повного покриття перевищення немає. Тут уже не йдеться про те, чия професійна оцінка переконливіша, оскільки компанія фактично повинна вирішити, чи готова вона свідомо прийняти ризик понад раніше встановлену межу заради конкретної бізнес-можливості.

У такій ситуації ризик-менеджер не повинен ні блокувати рішення лише на підставі власного статусу, ні погоджуватися з аргументом, що «це дуже важливий клієнт», якщо його повноваження не передбачають прийняття такого відхилення, натомість його завданням стає якісна ескалація: чітко описати величину перевищення, можливий сценарій збитку, наявні компенсуючі заходи, економічний ефект угоди та варіанти рішення, після чого передати питання органу або посадовій особі, яка має право погодити відхилення від ризик-апетиту чи встановленого ліміту. При цьому надзвичайно важливо, щоб у документах залишилася не лише фінальна резолюція «погоджено», а й інформація про те, який ризик був свідомо прийнятий, ким, на який строк і за яких умов, оскільки без цього разове управлінське рішення дуже легко перетворюється на нову практику, яку через кілька місяців уже ніхто не сприйматиме як виняток.

Є й інший тип ескалації, який не пов’язаний із формальним перевищенням ліміту. Припустимо, під час ризик-сесії керівник операційного підрозділу повідомляє про регулярні ручні коригування даних у критичному процесі, ІТ пояснює їх тимчасовими недоліками системи, фінансовий директор не бачить суттєвого впливу на звітність, а ризик-менеджер звертає увагу, що кількість таких коригувань зростає протягом кількох місяців і контроль значною мірою залежить від однієї людини. Жодного встановленого ліміту формально не порушено, серйозного інциденту ще не було, але сукупність слабких сигналів може свідчити про накопичення операційного ризику, тому питання заслуговує на увагу керівництва не через вже реалізований збиток, а через потенційну швидкість його виникнення та обмежені можливості реагування після того, як процес вийде з-під контролю.

Тому критерій ескалації доцільно пов’язувати не з небажанням ризик-менеджера брати на себе відповідальність і не з самим фактом незгоди між учасниками, а з рівнем повноважень, потенційними наслідками та можливістю відкласти рішення без суттєвого збільшення ризику. Якщо питання можна перевірити додатковими даними протягом тижня і за цей час ризик істотно не зміниться, ескалація може бути передчасною; якщо ж бізнес-рішення потрібно ухвалити сьогодні, а один із обґрунтованих сценаріїв означає вихід за затверджені межі ризику або наслідки, які перевищують повноваження учасників, передача питання на вищий рівень є нормальною частиною системи управління, а не свідченням того, що ризик-менеджер і бізнес «не змогли домовитися».

І тут виникає наступне практичне питання, без якого ми не завершимо цей цикл: що робити після того, як рішення прийнято? Адже погоджений виняток, тимчасово прийнятий підвищений ризик або компромісне рішення не повинні зникнути в протоколі засідання; ризик-менеджеру потрібно зрозуміти, що контролювати далі, коли повернутися до оцінки і за якими ознаками визначити, що припущення, на яких ґрунтувалося рішення, більше не працюють. Це і буде логічним завершенням нашої другої статті.

Після рішення робота з ризиком лише починається

Одна з найпоширеніших помилок після складної дискусії полягає в тому, що прийняте управлінське рішення сприймається як завершення роботи з ризиком: Правління погодило виняток, керівники домовилися про тимчасовий порядок дій, ризик-менеджер зафіксував рішення у протоколі, після чого організація повертається до звичайної діяльності. Проте якщо рішення приймалося в умовах невизначеності, передбачало підвищений рівень ризику або ґрунтувалося на припущеннях щодо майбутнього розвитку подій, його ухвалення не зменшує невизначеність автоматично, а лише означає, що компанія свідомо погодилася діяти за певного набору умов, тому наступним завданням ризик-менеджера стає контроль того, чи залишаються ці умови чинними і чи розвивається ситуація так, як очікувалося під час прийняття рішення.

Повернімося до прикладу з великим страховим договором, який компанія вирішила укласти попри підвищену концентрацію ризику та обмежені можливості перестрахування. Якщо рішення обґрунтовувалося тим, що клієнт має якісний ризик-профіль, договір є достатньо прибутковим, концентрація має тимчасовий характер, а протягом найближчих місяців очікується можливість придбати додатковий перестраховий захист, усі ці аргументи фактично стають припущеннями, які потрібно контролювати після укладення договору. Якщо перестрахувальна ємність так і не з’явилася, компанія додатково прийняла ще кілька великих ризиків у тому самому регіоні, фінансовий стан клієнта погіршився або змінилася структура застрахованого майна, рішення, яке три місяці тому могло бути цілком обґрунтованим, уже потребує повторного розгляду, навіть якщо жодного страхового випадку ще не сталося.

Така логіка особливо важлива для тимчасових винятків, які мають неприємну властивість непомітно перетворюватися на постійну практику. Компанія, наприклад, дозволяє протягом двох місяців використовувати ручну процедуру в новій інформаційній системі, оскільки автоматичний контроль ще не завершено, і на момент запуску це може бути цілком розумним компромісом між операційною необхідністю та ризиком. Через два місяці розробник не встигає завершити функціонал, тимчасову процедуру продовжують ще на квартал, працівники звикають до неї, керівництво перестає сприймати її як відхилення, а через пів року ніхто вже не пам’ятає, що початкове рішення приймалося лише за умови короткострокового використання додаткового ручного контролю. У реєстрі ризиків при цьому може не відбутися жодних змін, хоча фактичний контрольний механізм уже суттєво відрізняється від того, на підставі якого ризик було визнано прийнятним.

Тому кожне рішення про прийняття підвищеного ризику, погодження винятку або тимчасового відхилення доцільно доповнювати кількома дуже практичними елементами: строком його дії, відповідальною особою, умовами повторного перегляду та показниками, які свідчитимуть про те, що ситуація розвивається не за початковим сценарієм. Якщо компанія погодила обмежений запуск нової системи, такими сигналами можуть бути кількість помилок, частота ручних коригувань, тривалість простоїв, звернення користувачів або частка операцій, які довелося повернути до резервної процедури; якщо йдеться про нестандартні умови страхування, варто контролювати збитковість відповідного сегмента, кількість аналогічних винятків, накопичення ризику та доступність перестрахового захисту. У цьому випадку моніторинг перестає бути формальним спостереженням за вже прийнятим ризиком і перетворюється на перевірку того, чи залишаються чинними передумови, за яких компанія погодилася його прийняти.

Особливо корисним у таких ситуаціях є заздалегідь визначене запитання: «Що має змінитися, щоб ми переглянули це рішення?» Воно значно практичніше за загальне формулювання «ризик перебуває під контролем», оскільки змушує ще в момент прийняття рішення домовитися про ознаки, які потребуватимуть нового втручання. Якщо таких ознак немає, тимчасове прийняття підвищеного ризику легко стає безстроковим, а рішення, ухвалене за конкретних обставин, продовжує діяти навіть після того, як ці обставини давно змінилися.

Що ризик-менеджер має винести з професійної незгоди

Після ризик-сесії варто зберігати не лише остаточні оцінки, а й інформацію про суттєві розбіжності, які виникли під час їх обговорення, оскільки динаміка таких розбіжностей іноді говорить про ризик не менше, ніж зміна його числового значення. Якщо протягом кількох кварталів продажі систематично оцінюють якість певного портфеля значно оптимістичніше за андеррайтинг, ІТ і бізнес постійно по-різному бачать стійкість критичної системи, а операційний підрозділ та фінансова функція не можуть погодитися щодо серйозності накопичених відхилень, ризик-менеджеру варто дивитися вже не лише на кожну окрему оцінку, а й на причину стійкого розходження позицій. За ним може стояти дефіцит даних, різне розуміння цілей, слабкість міжфункціональної взаємодії, невдалий розподіл відповідальності або система мотивації, яка підштовхує різні підрозділи до протилежних рішень.

Наприклад, якщо продажі протягом року домагаються дедалі більшої кількості винятків з андеррайтингової політики, пояснюючи це необхідністю зберігати конкурентоспроможність, а андеррайтинг кожного кварталу попереджає про погіршення якості портфеля, проблема вже навряд чи полягає в тому, що два керівники по-різному оцінюють один ризик. Можливо, компанія встановила план продажів, який неможливо виконати в межах затвердженого ризик-апетиту, або система мотивації винагороджує обсяг бізнесу швидше, ніж його майбутня збитковість встигає проявитися у фінансових результатах, і тоді предметом аналізу ризик-менеджера має стати не черговий спір про оцінку портфеля, а узгодженість бізнес-цілей, ризик-апетиту та стимулів керівників. Такий висновок важко отримати з теплової карти, проте він цілком може народитися з кількох послідовних професійних незгод.

Це змінює й роль ризик-менеджера після ризик-сесії. Йому не потрібно виступати арбітром, який визначає, чия оцінка правильна, оскільки його професійна цінність полягає в іншому — відокремити розбіжність, спричинену різними даними або припущеннями, від реального конфлікту між бізнес-цілями та допустимим рівнем ризику, зрозуміти, які питання можна вирішити додатковим аналізом, а які потребують рішення Правління чи Наглядової ради, після чого простежити, щоб прийняте рішення не загубилося між протоколом засідання та наступним квартальним звітом.

Замість висновку

У практиці ризик-менеджменту консенсус часто сприймається як ознака якісно завершеної роботи: ризики визначено, оцінки погоджено, власників призначено, теплову карту затверджено, а отже систему можна вважати такою, що працює. Проте повна згода керівників іноді повинна викликати не менше запитань, ніж гостра дискусія, адже люди, які відповідають за продажі, фінанси, андеррайтинг, ІТ, операційну діяльність або комплаєнс, природно бачать бізнес із різних позицій, мають різні горизонти планування та володіють різною інформацією, тому їхні оцінки не зобов’язані завжди збігатися.

Професійна незгода стає проблемою не тоді, коли керівники виставили різні бали, а тоді, коли компанія не розуміє причин цієї різниці або намагається приховати її за компромісною цифрою. Якщо ризик-менеджер з’ясував, що учасники оцінювали різні сценарії, він може уточнити формулювання; якщо використовували різні дані — організувати додатковий аналіз; якщо невизначеність об’єктивна — визначити умови та строки повторної оцінки; якщо за розбіжністю стоїть вибір між бізнес-вигодою та допустимим ризиком — підготувати питання для рішення уповноваженого органу; якщо ж суперечність повторюється систематично, варто перевірити вже не окремий ризик, а архітектуру цілей, повноважень і мотивації в компанії.

Тому хороша ризик-сесія не обов’язково завершується однаковими цифрами у всіх учасників, а хороша робота ризик-менеджера не вимірюється здатністю примирити кожну суперечку. Значно важливіше, щоб після неї компанія розуміла, де вона має достовірне знання, де залишається невизначеність, де свідомо приймає підвищений ризик, хто має право прийняти таке рішення і за яких умов до нього потрібно повернутися. Коли ці відповіді є, професійна незгода перестає бути перешкодою для управління ризиками й стає джерелом інформації, яку добре побудована система не приховує, а використовує.

На цьому наш невеликий цикл про ризик-сесію, на мою думку, можна завершити: у першій статті ми розібрали, як організувати розмову, здатну показати те, чого немає в реєстрі, а в другій — що робити з найціннішим і водночас найскладнішим результатом такої розмови, коли професійні оцінки керівників не збігаються.

Сергій БАБИЧ