«Дорогий традиційний ризик-менеджменте, я довго намагався не писати цього листа…» — так починається незвичайна публікація Тома Маклеода (Tom McLeod) у мережі LinkedIn, глобального радника з питань корпоративного управління та аудиту в епоху штучного інтелекту. Далі — майже справжній лист про розлучення: автор згадує реєстри ризиків, кольорові теплові карти, квартальні звіти та оцінки контролів, які багато років допомагали перетворювати складний і невизначений світ на щось структуроване та начебто кероване, але тепер, пише він, коли запитуєш, що змінилося від учора, традиційний ризик-менеджмент показує минулий квартал; коли питаєш, наскільки швидко може поширитися помилка ШІ, отримуєш оцінку ймовірності; коли хочеш зрозуміти, чи можна повернути назад рішення, яке автономна система вже повторила 400 тисяч разів, тобі пропонують дочекатися засідання комітету через три місяці.

Провокація вдалася. Том доходить до висновку, що світ, для якого створювалися звичні механізми управління ризиками, змінився: ШІ не чекає квартального перегляду, помилки можуть масштабуватися майже миттєво, залежності не завжди помітні, а рішення приймаються швидше, ніж комітети встигають зібратися, тому корпоративному управлінню потрібні актуальна інформація, швидке виявлення змін, розуміння залежностей, здатність оперативно реагувати та незалежне підтвердження того, що система контролю справді працює.

Проте дискусія під публікацією виявилася, на мій погляд, ще цікавішою за цей ефектний «лист про розлучення». Її учасники поставили незручне зустрічне питання: а чи справді проблема полягає у традиційному ризик-менеджменті? Можливо, квартальний звіт цілком придатний для рішення, яке й повинно прийматися щокварталу, а теплова карта залишається корисною там, де потрібний загальний огляд ризикового профілю. Тоді проблема виникає не через існування цих інструментів, а тоді, коли організація намагається управляти ризиком, здатним істотно змінитися протягом годин, за допомогою процесу, управлінський цикл якого вимірюється місяцями. Один із коментаторів сформулював це особливо точно: питання не в тому, чим замінити реєстр ризиків, а в тому, які рішення керівний орган заздалегідь дозволив менеджменту приймати без очікування наступного засідання.

Тому я б не поспішав прощатися з традиційним ризик-менеджментом. Значно цікавіше поставити інше питання: чи відповідає швидкість нашої системи управління ризиками швидкості ризиків, якими вона повинна управляти?

У кожного ризику свій годинник

Ми звикли класифікувати ризики за ймовірністю та наслідками, іноді додаючи швидкість настання або інші характеристики, проте цифровізація, кіберризики, складні технологічні залежності, а тепер і автономні системи дедалі гостріше показують ще одну характеристику: час, який залишається організації між істотною зміною ризику та моментом, коли можливість ефективно втрутитися буде втрачена. Для одного ризику цей проміжок може вимірюватися роками, для іншого — місяцями, а для третього — годинами або хвилинами.

Це не означає, що всі системи управління ризиками потрібно переводити в режим реального часу, навіть навпаки, така вимога була б дорогою і часто безглуздою. Якщо стратегічний ризик істотно змінюється протягом року, немає потреби оновлювати його оцінку щогодини; якщо певна експозиція переглядається лише після визначеної бізнес-події, безперервний моніторинг також може нічого не додати до якості рішення, але для ризику, який здатний швидко змінюватися, масштабуватися або породжувати незворотні наслідки, квартальний цикл оцінювання та реагування може виявитися неприйнятним.

Тут важливо розділити частоту звітності та швидкість реагування. Один із найсильніших коментарів у дискусії нагадує: квартальний документ не є поганим лише тому, що він квартальний; для органу, який здійснює періодичний нагляд, він може бути цілком адекватним. Проблема починається тоді, коли разом із квартальною звітністю організація фактично встановлює квартальну швидкість прийняття рішень щодо ризику, який змінюється набагато швидше.

Звідси випливає простий, але важливий принцип: частота моніторингу, швидкість ескалації та час прийняття рішення мають визначатися не календарем комітетів, а природою ризику та швидкістю його розвитку. Традиційний ризик-менеджмент не обов’язково потребує «розлучення», можливо, йому просто потрібен інший годинник.

Побачити ризик раніше, ніж стане пізно

Якщо швидкість розвитку ризику стає одним із параметрів, від яких залежить модель управління ним, то наступне питання виникає майже автоматично: як швидко організація здатна помітити, що ризик змінився? У традиційній моделі значна частина інформації потрапляє до системи управління ризиками через встановлені цикли — періодичне оновлення реєстру, звітність власників ризиків, перегляд ключових індикаторів, засідання комітетів, квартальні або річні звіти. Для багатьох ризиків цього цілком достатньо, але така модель починає давати збій там, де між появою нового фактора і серйозними наслідками залишається дуже мало часу. У дискусії під публікацією Тома Маклеода ця проблема сформульована особливо вдало: якщо система може змінитися протягом ночі, а організація дивиться на неї щокварталу, йдеться вже не просто про недосконалу звітність, а про проблему виявлення. І це суттєво змінює постановку завдання для ризик-менеджменту, оскільки питання полягає вже не лише в тому, наскільки правильно ми оцінили ймовірність і наслідки ризику, а й у тому, чи дізнаємося ми про його зміну тоді, коли ще можемо на неї вплинути.

Звідси не випливає, що реєстри ризиків, періодична звітність або теплові карти потрібно замінити нескінченним потоком даних у режимі реального часу. Один із учасників дискусії слушно застерігає від такої крайності: якщо орган управління приймає певне рішення щокварталу, надання йому безперервної телеметрії саме по собі не зробить корпоративне управління швидшим і може лише створити ілюзію оперативності. Значно продуктивніше розділити два інформаційні потоки: періодичну звітність, необхідну для нагляду за загальним ризиковим профілем, і ранні сигнали, які потребують негайної управлінської реакції. Для першого може залишатися квартальний цикл, для другого потрібні ключові індикатори, події-тригери та правила ескалації, здатні спрацювати незалежно від дати наступного засідання комітету. Один із коментаторів пропонує рухатися до безперервного аналізу ризиків, постійного моніторингу KRI та динамічних панелей замість статичних зрізів, але цінність такого підходу, на мою думку, полягає не в технологічності панелі, а в тому, чи перетворює вона зміну показника на своєчасний сигнал для конкретного рішення.

Тому для швидких ризиків варто оцінювати не лише ймовірність і масштаб наслідків, а й принаймні два часові параметри: через який проміжок після істотної зміни ризику організація здатна її виявити і скільки часу після цього залишається для ефективного втручання. Якщо небезпечна зміна може відбутися за кілька годин, система помічає її через тиждень, а питання потрапляє до уповноваженого керівника ще через місяць, точність первинної оцінки ризику вже мало що змінює. У цьому сенсі сучасний ризик-менеджмент потребує не обов’язково більшої кількості інформації, а коротшого шляху від зміни ризику до її виявлення, від виявлення — до ескалації, а від ескалації — до рішення. І тут ми підходимо до, можливо, найважливішої частини дискусії: навіть миттєво побачити проблему недостатньо, якщо після цього організація все одно повинна чекати три місяці, поки хтось отримає право щось зробити.

Швидкий ризик потребує не швидшого комітету, а заздалегідь визначеного рішення

Найцікавіша відповідь на провокацію Тома Маклеода, на мій погляд, полягає в тому, що проблему швидкості не можна вирішити простим збільшенням частоти засідань, звітів або переоцінок ризику. Якщо кожна істотна зміна повинна пройти звичайний ланцюг погоджень і дочекатися колегіального органу, організація завжди ризикуватиме програти тому ризику, який розвивається швидше за її процедури. Значно важливіше заздалегідь визначити, які рішення можуть бути прийняті без очікування чергового засідання, хто має право їх приймати, за яких умов ці повноваження виникають і де проходить межа, після якої необхідна ескалація на вищий рівень. У дискусії це сформульовано через дуже практичне питання: не чим замінити реєстр ризиків, а які дії керівний орган уже дозволив конкретному керівнику здійснити протягом критичного часового вікна без додаткового погодження.

Фактично йдеться про перехід від моделі «ризик виник — зібрали інформацію — винесли питання на розгляд — прийняли рішення» до моделі, в якій значна частина управлінської реакції спроєктована ще до настання критичної події. Якщо певний KRI перевищує встановлене значення, відбувається конкретна дія; якщо порушено ліміт, визначена особа отримує право скоротити експозицію; якщо відмовив критичний контроль, запускається заздалегідь погоджений сценарій; якщо наслідки можуть стати незворотними, повноваження на зупинення процесу повинні існувати до того, як така ситуація виникне. Один із коментаторів дуже доречно повертає дискусію від модних розмов про новий ризик-менеджмент до старого управлінського питання: які заходи підготовлені заздалегідь, які події запускають їх застосування і за яких тригерів відбувається наступний рівень ескалації, адже результат змінює не якість опису ризику, а правильна дія у правильний момент.

І тут дискусія про ШІ несподівано повертає нас до фундаментальних принципів управління ризиками. Технологія може зробити ризик швидшим, масштабнішим і складнішим для повернення до попереднього стану, але відповіддю на це не обов’язково має бути нова модна методологія з новою назвою. Організації передусім потрібні ранній сигнал, наперед визначений тригер, зрозуміле повноваження і підготовлена дія. Якщо цей ланцюг працює, традиційні інструменти можуть залишатися корисною частиною системи; якщо його немає, навіть найсучасніша панель у режимі реального часу лише швидше повідомить організації про проблему, щодо якої вона не здатна своєчасно прийняти рішення.

Не кожен швидкий ризик потребує однаково швидкої реакції

Втім, було б помилкою зробити з попередніх міркувань висновок, що майбутнє ризик-менеджменту полягає лише у прискоренні всіх процесів. Швидкість розвитку ризику важлива, але не менш важливо розуміти, наскільки довго організація зберігає можливість змінити вже прийняте рішення або зупинити його наслідки. Помилкове управлінське рішення, яке можна без значних втрат скасувати наступного дня, і помилка автономної системи, яка за цей день встигла застосувати його до сотень тисяч операцій, можуть мати однакову початкову оцінку ризику, але потребують принципово різної архітектури контролю, тому поряд зі швидкістю виникнення та поширення ризику дедалі важливішою стає його зворотність: скільки часу залишається для втручання, перш ніж наслідки стануть надто дорогими, масштабними або практично незворотними. Ця думка безпосередньо присутня і в провокації Тома Маклеода, коли він протиставляє звичний цикл ризик-менеджменту ситуації, в якій автономна система вже встигла повторити рішення сотні тисяч разів.

Це дозволяє уникнути іншої крайності — спроби побудувати однаково оперативний контроль для всіх ризиків. Якщо ризик розвивається повільно, його наслідки добре прогнозуються, а рішення можна переглянути без істотних втрат, традиційний періодичний моніторинг може залишатися цілком достатнім, але якщо ризик здатний швидко масштабуватися, накопичуватися непомітно або створювати наслідки, які складно повернути назад, організація повинна скорочувати інтервал між сигналом і рішенням, посилювати моніторинг та заздалегідь визначати повноваження для втручання. Отже, зрілість системи управління ризиками проявляється не в тому, що вона однаково часто контролює все, а в тому, що інтенсивність контролю та швидкість управлінської реакції відповідають часовій природі конкретного ризику.

У цьому контексті особливо цікаво звучить позиція одного з ризик-менеджерів, який у дискусії повертає розмову до фундаментального призначення ризик-менеджменту: його цінність полягає у забезпеченні людей, які приймають рішення, корисною інформацією про невизначеність та можливі наслідки, а не у виробництві окремого набору процедур і документів заради них самих. Якщо прийняти цю логіку, суперечка між «традиційним» і «новим» ризик-менеджментом значною мірою втрачає сенс: реєстр, теплова карта, сценарний аналіз, KRI, автоматизований моніторинг чи динамічна панель є лише інструментами, і кожен із них корисний настільки, наскільки допомагає вчасно прийняти краще рішення. Питання майбутнього професії тоді звучить не «які старі інструменти потрібно відкинути?», а «яка інформація, з якою швидкістю і кому потрібна для рішення, поки це рішення ще здатне щось змінити?»

Висновки

Мені тому й не хочеться приєднуватися до символічного «розлучення» Тома Маклеода із традиційним ризик-менеджментом. Його провокація дуже точно виявляє проблему, але причина, на мій погляд, не в тому, що реєстри ризиків, теплові карти, періодична звітність або комітети раптом втратили сенс. Вони стають проблемою тоді, коли ритм системи управління перестає відповідати ритму ризику: організація отримує інформацію після того, як експозиція вже змінилася, ескалює питання після того, як можливість простого втручання втрачена, і приймає рішення тоді, коли його наслідки вже важко повернути назад. ШІ робить цю невідповідність особливо помітною, але сама проблема набагато ширша за ШІ й стосується будь-якого ризику, швидкість розвитку якого перевищує швидкість управлінської реакції.

Тому, можливо, нам потрібен не новий ризик-менеджмент замість старого, а інша логіка побудови його окремих процесів: швидкість ризику → швидкість виявлення → тригер → повноваження → рішення → дія → перевірка результату. Для одних ризиків цей цикл може тривати квартал, для інших — тиждень, день або кілька хвилин, і немає жодної суперечності в тому, що всі вони залишаються частиною однієї системи управління ризиками. Зрілість такої системи визначатиметься не кількістю оновлень реєстру і не швидкістю появи нової панелі на екрані керівника, а здатністю організації побачити істотну зміну ризику, передати інформацію тому, хто має право діяти, і прийняти рішення до того, як це рішення втратить сенс.

Тож я б не писав традиційному ризик-менеджменту листа про розлучення, я б просто поставив йому новий годинник.

Докладніше за посиланням

Сергій БАБИЧ