У системі управління ризиками поняття «власник ризику» давно стало звичним. Власників визначають у політиках і положеннях, зазначають у реєстрах ризиків, закріплюють за ними відповідальність за моніторинг показників, виконання заходів та інформування про зміни ризикового профілю. На рівні внутрішньої нормативної бази така конструкція виглядає цілком логічною: якщо ризик має власника, отже, є конкретна посадова особа, яка відповідає за те, щоб ним управляли. Проблема виникає тоді, коли від формального опису системи ми переходимо до реального управлінського рішення і ставимо просте запитання: а що ця людина насправді може зробити, якщо ризик вийшов за прийнятні межі?

Поштовхом до цієї статті стала нещодавня публікація Лінди Чепмен (Linda Tuck Chapman) у LinkedIn, присвячена управлінню ризиками третіх сторін. Авторка звернула увагу на доволі поширену управлінську суперечність: призначити людину власником ризику нескладно, значно складніше забезпечити її повноваженнями, інформацією та ресурсами, необхідними для впливу на цей ризик. Вона пропонує перевірити реальність такого володіння дуже практично: чи може призначений власник профінансувати заходи з мінімізації ризику, встановити додаткові умови, скоротити експозицію, переглянути раніше прийняте рішення або, зрештою, відмовитися від діяльності, якщо рівень ризику став неприйнятним? Якщо ні, виникає закономірне питання, чи маємо ми справу з реальним власником ризику, чи лише з людиною, ім’я якої внесено до відповідної графи реєстру.

На перший погляд, це питання стосується доволі вузької сфери управління ризиками третіх сторін. Насправді проблема значно ширша, оскільки вона стосується базової архітектури системи управління ризиками будь-якої організації: співвідношення відповідальності та повноважень, ролі бізнесу і функції управління ризиками, права приймати ризик, механізмів ескалації, доступу до ресурсів і, зрештою, здатності перетворювати інформацію про ризик на конкретне управлінське рішення. Можна побудувати бездоганний реєстр ризиків, визначити власників, установити ключові індикатори, ліміти та порогові значення, але вся ця конструкція залишатиметься переважно звітною, якщо в момент істотної зміни ризику незрозуміло, хто має право прийняти рішення, хто має ресурси для його реалізації і хто відповідає за результат.

Ця проблема логічно продовжує й іншу дискусію, яку ми нещодавно розглядали на сторінках УкрАРМ: оцінка ризику, навіть методологічно досконала, ще не означає управління ризиком. Інформація про ризик набуває управлінської цінності тоді, коли вона здатна змінити рішення. Але тут виникає наступне питання: хто повинен це рішення змінити і чи має він для цього реальні повноваження? Відповідь на нього багато в чому визначає різницю між системою управління ризиками, яка існує у внутрішніх документах, і системою, яка справді впливає на діяльність компанії.

1. Призначити власника ризику ще не означає передати йому ризик

У практиці корпоративного управління поняття «власник ризику» іноді сприймається надто буквально: достатньо визначити структурний підрозділ або посадову особу, внести відповідний запис до реєстру ризиків і закріпити обов’язки у внутрішньому документі. Формально питання вирішене, проте ризик не переходить у чиєсь управління внаслідок появи прізвища в таблиці. Реальне володіння ризиком починається там, де відповідальність за його рівень поєднується з можливістю впливати на причини ризику, величину експозиції, застосовувані контролі та управлінські рішення, від яких залежить майбутній рівень ризику.

У цьому полягає одна з найважливіших тез публікації Linda Tuck Chapman. Вона пропонує дивитися не на формальну назву ролі, а на набір реальних можливостей людини, якій цю роль передано: право приймати, оскаржувати або переглядати рішення щодо ризикової діяльності, доступ до ресурсів для зниження істотного ризику, розуміння бізнес-результату, який необхідно забезпечити або захистити, отримання професійної інформації від функцій контролю та збереження відповідальності після первинного погодження рішення. У такому розумінні власник ризику — це не адміністратор запису в реєстрі і не контактна особа для функції управління ризиками, а  учасник управлінського процесу, який має достатній вплив на діяльність, що породжує ризик.

На практиці тут швидко виникає проблема невідповідності відповідальності та повноважень. Керівник підрозділу може відповідати за операційний ризик, але не мати бюджету на модернізацію критичної системи; керівник напряму продажів — відповідати за ризики певного каналу, але не мати права змінити умови співпраці з ключовим партнером; керівник бізнес-процесу — бути визначеним власником ризику концентрації на зовнішньому постачальнику, але не мати повноважень розірвати договір або профінансувати альтернативне рішення. У кожному з таких випадків людина може виконувати моніторинг, готувати інформацію, пропонувати заходи та ініціювати ескалацію, однак остаточний вплив на рівень ризику перебуває поза межами її компетенції. Це не обов’язково означає, що система побудована неправильно, адже значні рішення природно можуть належати до компетенції вищого рівня управління. Проблема виникає тоді, коли внутрішня модель називає одну особу відповідальною за ризик, але не визначає, де закінчуються її повноваження, кому передається рішення після їх вичерпання і хто від цього моменту має право прийняти або не прийняти подальшу експозицію.

Тому реальне володіння ризиком не слід ототожнювати з необмеженим правом власника самостійно приймати будь-який рівень ризику, навпаки, зріла система передбачає межі таких повноважень. Поки ризик перебуває в установлених межах, власник може управляти ним у межах своєї компетенції; наближення до визначеного порогу може вимагати додаткових заходів або погодження; перевищення ліміту чи вихід за межі затвердженого ризик-апетиту має запускати ескалацію на той рівень, де існують необхідні повноваження для рішення. У такій конструкції власник ризику не втрачає відповідальності лише тому, що не може одноосібно виділити значний бюджет або припинити стратегічно важливий напрям діяльності. Його відповідальність полягає також у тому, щоб своєчасно побачити зміну ризику, оцінити її наслідки, ініціювати необхідні заходи та забезпечити передачу питання на належний рівень до того, як управлінський вибір фактично зникне.

Отже, питання «хто є власником ризику?» на практиці потребує значно складнішої відповіді, ніж назва посади або структурного підрозділу. Необхідно розуміти, за який ризик відповідає ця особа, які рішення вона може приймати самостійно, якими ресурсами може розпоряджатися, за яких умов зобов’язана передати питання вище і хто отримує право на остаточне рішення після такої ескалації. Без цього відповідальність легко перетворюється на декларацію: від людини очікують результату, але ключові інструменти впливу на цей результат перебувають за межами її повноважень, і тоді головною проблемою стає вже не якість реєстру ризиків, а розрив між формально визначеною відповідальністю та реальною архітектурою прийняття рішень.

2. Відповідальність без повноважень: небезпечна управлінська конструкція

Відповідальність і повноваження не обов’язково мають бути тотожними, але між ними повинен існувати зрозумілий зв’язок. Власник ризику може не мати права одноосібно припинити великий проєкт, розірвати стратегічний контракт або виділити значні кошти, проте він повинен мати достатні повноваження для управління ризиком у встановлених межах і чіткий механізм передачі рішення на вищий рівень, коли цих повноважень недостатньо. Інакше виникає управлінський парадокс: організація покладає на людину відповідальність за результат, на який вона не може повною мірою впливати.

Цю проблему добре проявив один із коментарів до публікації Linda Tuck Chapman: якщо вимагати від власника ризику можливості самостійно профінансувати заходи, змінити умови діяльності або припинити її, у багатьох організаціях такою особою довелося б призначати керівника дуже високого рівня. Linda погоджується, що конкретна модель залежить від організації, але повертає дискусію до головного принципу: відповідальність повинна перебувати там, де є достатні повноваження діяти, тоді як функції контролю мають забезпечувати інформацію, професійний виклик та ескалацію, а не створювати додаткові управлінські шари.

Звідси випливає важливий практичний висновок: власник ризику — це не обов’язково особа, яка має право прийняти остаточне рішення за будь-якого рівня ризику. Значно важливіше, щоб система заздалегідь визначала межі його компетенції, наприклад, у межах затвердженого ризик-апетиту він може самостійно обирати заходи реагування та використовувати передбачені ресурси; наближення до ліміту потребує посиленого моніторингу або погодження додаткових заходів; перевищення встановленого порогу запускає ескалацію до Правління чи іншого уповноваженого органу. Тоді відповідальність не зникає в момент ескалації, але змінюється рівень, на якому приймається рішення.

Для функції управління ризиками ця межа має принципове значення. Її завдання — забезпечити методологію, оцінювання, моніторинг, професійний виклик та своєчасну ескалацію, але не забрати у бізнесу відповідальність за ризик. Якщо ризик-менеджер починає фактично вирішувати, чи продовжувати ризикову діяльність, який комерційний ризик приймати або куди спрямовувати бізнес-ресурси, друга лінія поступово підміняє першу. Протилежна крайність не краща: бізнес формально визнається власником ризику, але будь-яке суттєве рішення може лише «передати на розгляд», не маючи ані визначених меж власних повноважень, ані зрозумілого маршруту подальшої ескалації.

Тому працездатна модель володіння ризиком потребує не стільки довгого переліку обов’язків власника, скільки відповіді на три практичні питання: що він може вирішити сам; за якої зміни ризику зобов’язаний ескалувати питання; хто після ескалації має повноваження прийняти рішення. Коли ці три елементи визначені, поняття «власник ризику» набуває управлінського змісту, а коли ні — відповідальність легко залишається персональною лише на папері, тоді як реальне право управляти ризиком розчиняється між кількома рівнями та функціями організації.

 

3. Прийняття ризику не може бути безстроковим рішенням

Друга важлива проблема, яку порушує Linda Tuck Chapman, стосується вже не того, хто приймає ризик, а того, на який час це рішення залишається обґрунтованим. Організація може цілком свідомо прийняти значний залишковий ризик, оскільки витрати на його зниження надмірні, альтернативи відсутні або очікувана бізнес-вигода виправдовує експозицію, проте таке рішення ґрунтується на конкретних умовах і припущеннях, а вони можуть змінитися. Кіберінцидент, погіршення фінансового стану партнера, відмова критичного контролю, регуляторна зміна, зростання концентрації чи операційної залежності здатні зробити вчорашнє прийнятне рішення неприйнятним сьогодні.

Тому формулювання «ризик прийнято» не повинно означати «питання закрито». Значно точніше було б розуміти його як «ризик прийнято за наявних умов і доки залишаються чинними припущення, на яких ґрунтувалося рішення». Для істотних ризиків це означає необхідність визначити або дату обов’язкового перегляду, або події, після настання яких попереднє рішення втрачає силу і потребує повторного розгляду. У дискусії під постом ця думка отримала слушне продовження: сильніші системи поєднують календарний перегляд із конкретними тригерами, щоб суттєва зміна експозиції спричиняла нове рішення, а не чекала наступного планового оцінювання.

Це змінює і роль власника ризику, оскільки його відповідальність полягає не лише в участі у первинному рішенні та подальшому контролі виконання заходів, а й у постійній перевірці того, чи залишаються чинними передумови, за яких ризик був прийнятий. Власник повинен розуміти, яка зміна показника, подія або сукупність обставин означає, що попереднє рішення необхідно переглянути, а система управління ризиками — забезпечувати інформацію, яка дозволяє побачити таку зміну достатньо рано.

У цьому місці ризик-апетит, ліміти та ключові індикатори ризику перестають бути лише елементами звітності. Їх практична цінність виникає тоді, коли вони пов’язані з наперед визначеними управлінськими наслідками: показник змінився → поріг досягнуто → попереднє рішення переглядається → визначений орган або посадова особа приймає нове рішення. І тоді прийняття ризику стає не одноразовою адміністративною процедурою, а частиною безперервного управлінського циклу.

 

4. Власник ризику і функція управління ризиками: хто за що відповідає

Коли в організації з’являється розвинена функція управління ризиками, легко виникає ще одна небезпечна підміна: бізнес починає сприймати ризик-менеджера як людину, яка і повинна «управляти ризиками». Проте функція управління ризиками може розробити методологію, організувати оцінювання, поставити незручні запитання, проконтролювати дотримання лімітів, виявити погіршення показників та ініціювати ескалацію, але вона не керує бізнес-процесом, який створює ризик, і тому не повинна забирати у першої лінії відповідальність за рішення. Цю межу добре проводить і Linda Tuck Chapman: контрольні функції забезпечують інформацію та професійний виклик, тоді як відповідальність має залишатися у того, хто має достатні повноваження діяти.

Для власника ризику це означає, що він не може обмежитися передаванням інформації функції управління ризиками. Якщо ключовий індикатор погіршується, ліміт наближається до критичного значення або змінюються припущення, на яких раніше був прийнятий ризик, від власника очікується управлінська реакція: застосування заходів у межах власних повноважень або своєчасна ескалація питання туди, де необхідне рішення може бути прийняте. Ризик-менеджер у цій конструкції не приймає рішення замість власника, а перевіряє якість інформації та оцінки, ставить під сумнів надто оптимістичні припущення, контролює відповідність ризик-апетиту і стежить, щоб істотне відхилення не залишилося без належної реакції.

Таке розмежування має ще одну важливу перевагу: воно дозволяє уникнути ситуації, коли після негативної події починається пошук того, хто «насправді відповідав» за ризик. Якщо ролі побудовані правильно, цей ланцюг можна відтворити: хто виявив зміну ризику, хто мав відреагувати, які заходи міг застосувати, коли виникла необхідність ескалації, кому було передано питання і хто мав право прийняти остаточне рішення. Отже, зріла система володіння ризиками — це не перелік прізвищ у реєстрі, а архітектура відповідальності та прийняття рішень, у якій для кожного істотного ризику зрозуміло не лише хто за нього відповідає, а й що відбувається після зміни його рівня.

 

5. Простий тест: чи є власник ризику власником насправді?

У публікації є практична ідея, яку варто вивести за межі управління ризиками третіх сторін і застосувати до системи управління ризиками загалом. Лінда Чапмен пропонує уявити, що вже завтра рівень істотного ризику різко зростає, і запитати, чи може призначений власник змінити попереднє рішення, профінансувати необхідні заходи, встановити додаткові умови, скоротити експозицію або вирішити, що організація більше не готова приймати цей ризик. Якщо відповідь на всі ці запитання негативна, формальне призначення власника ще не означає реального володіння ризиком.

Для практичної перевірки системи цей тест можна дещо розширити. Щодо кожного істотного ризику організації варто відповісти на кілька запитань: чи розуміє власник, за який результат він відповідає; чи отримує своєчасну інформацію про зміну ризику; чи знає межі власних повноважень; чи має доступ до ресурсів, необхідних для реагування в цих межах; чи визначено показники або події, які вимагають перегляду попереднього рішення; чи зрозуміло, коли і кому ризик необхідно ескалувати; чи має адресат такої ескалації реальне право прийняти потрібне рішення. Тут важлива не кількість позитивних відповідей, а відсутність розривів у всьому ланцюгу, оскільки навіть добре організований моніторинг мало допоможе, якщо після спрацювання індикатора незрозуміло, хто повинен діяти, а чітко визначені повноваження не врятують систему, якщо інформація про зміну ризику надходить запізно.

Такий підхід дозволяє інакше подивитися й на якість внутрішніх документів. Положення про систему управління ризиками може детально описувати функції власників ризиків, але практичну цінність матиме лише тоді, коли ці функції пов’язані з конкретними повноваженнями, порогами реагування, правилами ескалації та рівнями прийняття рішень. Тому перевіряти систему варто не питанням «чи призначені в нас власники ризиків?», а значно складнішим: «що відбудеться завтра, якщо один із наших ключових ризиків стане неприйнятним?» Відповідь на нього дуже швидко показує різницю між формально побудованою системою та реально працюючим управлінням ризиками.

Докладніше за посиланням

Сергій БАБИЧ