Як обрати інструмент: п’ять запитань перед початком роботи

Якщо ризик-менеджер має у своєму розпорядженні десятки методів, природною реакцією може бути бажання створити ще одну класифікацію, яка визначатиме, коли проводити ризик-сесію, коли будувати сценарії, коли використовувати KRI, а коли запускати стрес-тестування, проте така таблиця навряд чи вирішить проблему, про яку ми говоримо. Реальна ситуація майже завжди складніша за методологічну схему, один інструмент може виконувати кілька функцій, а для одного управлінського рішення нерідко потрібна їх комбінація, тому корисніше починати не з назви методу, а з кількох запитань, які допомагають зрозуміти характер задачі. На практиці я б запропонував ризик-менеджеру перед початком серйозного аналізу відповісти щонайменше на п’ять питань: яке рішення має бути прийняте; чого ми поки не знаємо для його прийняття; який тип інформації здатен зменшити цю невизначеність; який інструмент дозволяє отримати таку інформацію; що станеться, якщо ми помилимося у висновку? Останнє питання особливо важливе, тому що воно визначає необхідну глибину аналізу: рішення про незначну зміну внутрішньої процедури та рішення про прийняття великої концентрації ризику не повинні вимагати однакового рівня доказовості лише тому, що обидва потрапили до одного реєстру ризиків.

1. Яке рішення ми намагаємося прийняти?

Це питання здається очевидним, але на практиці воно дуже часто залишається без чіткої відповіді. Ризик-менеджеру можуть поставити завдання «оцінити ризики нового продукту», «проаналізувати постачальника», «переглянути операційний ризик процесу» або «провести стрес-тест портфеля», хоча за кожним таким формулюванням можуть стояти зовсім різні управлінські рішення. Якщо компанія планує запустити новий страховий продукт, керівництву може бути потрібно зрозуміти, чи запускати його взагалі, чи запускати лише для обмеженого сегмента, які умови андеррайтингу встановити, яку частину ризику передати в перестрахування, який максимальний обсяг портфеля дозволити на першому етапі або за яких результатів продажі необхідно призупинити. Поки рішення не сформульоване, ризик-аналіз легко перетворюється на широкий перелік усього, що теоретично може піти не так, і навіть дуже якісно складений перелік не обов’язково допоможе Правлінню відповісти на питання, чи варто запускати продукт наступного місяця.

Уявімо, що страховик планує новий продукт для малого бізнесу і ризик-менеджеру доручено «оцінити ризики запуску». Можна провести ризик-сесію, скласти реєстр із двадцяти ризиків, оцінити кожний за матрицею та підготувати красиву теплову карту, але якщо реальне рішення Правління звучить як «чи можемо ми протягом першого року продати 50 млн грн премії без неприйнятного навантаження на капітал, врегулювання та перестрахування?», набір потрібних інструментів відразу змінюється. Знадобиться аналіз очікуваної структури портфеля, сценарії збитковості, оцінка великих та кумулятивних збитків, перевірка перестрахувального захисту, аналіз операційної спроможності врегулювання, а результати потрібно буде співвіднести з капіталом і встановленими межами ризику; ризик-сесія при цьому залишиться корисною, але виконуватиме лише одну функцію — допоможе не пропустити важливі сценарії та залежності.

2. Чого ми не знаємо?

Після визначення рішення варто чесно сформулювати дефіцит інформації, оскільки різні види невизначеності потребують різних методів роботи. Якщо ми не знаємо, які ризики існують, потрібні інструменти ідентифікації; якщо не розуміємо, чому зростає збитковість, потрібен аналіз причин і даних; якщо не знаємо, наскільки великими можуть бути втрати, потрібні кількісне оцінювання, сценарії або моделювання; якщо сумніваємося, чи витримає компанія важкий розвиток подій, потрібне стрес-тестування; якщо невідомо, коли необхідно втрутитися, потрібні індикатори, пороги та тригери. Просте формулювання «у нас недостатньо інформації про ризик» тут майже нічого не дає, оскільки ризик-менеджеру потрібно визначити, якої інформації бракує і яку невизначеність вона повинна зменшити.

Наприклад, компанія розглядає можливість передати критичний ІТ-процес зовнішньому постачальнику, і на першій зустрічі учасники погоджуються, що «ризик аутсорсингу високий». Ця оцінка практично марна, доки не зрозуміло, чого компанія не знає: чи достатньо надійний постачальник, наскільки компанія залежатиме від його інфраструктури, чи використовує він субпідрядників, що станеться з даними у випадку припинення договору, скільки часу знадобиться для відновлення процесу, чи можна швидко перейти до іншого провайдера або повернути функцію всередину компанії. Для першої групи питань потрібна оцінка постачальника, для другої — аналіз залежностей, для третьої — сценарій відмови та план безперервності, а для перевірки здатності реально відновити процес може знадобитися тестування, а не ще одна експертна оцінка за п’ятибальною шкалою.

3. Які докази нам потрібні?

Ризик-менеджмент значною мірою працює з експертними судженнями, і відмовитися від них неможливо та не потрібно, проте важливо розуміти, коли експертної думки достатньо, а коли рішення потребує підтвердження даними, моделюванням або тестуванням. Якщо керівник ІТ повідомляє, що резервне відновлення критичної системи займе не більше двох годин, це може бути цілком професійною оцінкою, але якщо безперервність основного бізнес-процесу залежить від цих двох годин, значно сильнішим доказом стане результат реального тесту відновлення; аналогічно твердження андеррайтингу, що перестрахувальний захист достатній для великого ризику, потребує іншого рівня перевірки, якщо потенційний власний збиток здатний суттєво вплинути на капітал компанії.

Добрий приклад можна знайти й у сфері операційного ризику. Керівник підрозділу впевнений, що критичний процес не залежить від окремих працівників, оскільки посадові інструкції передбачають взаємозамінність і кілька співробітників мають необхідні права доступу, тому ризик ключової особи оцінюється як низький. Замість тривалої суперечки ризик-менеджер може запропонувати простий тест: один із ключових фахівців умовно недоступний протягом робочого дня, а процес має виконуватися без його участі. Якщо через дві години з’ясовується, що формальний заступник не знає частини неописаних процедур, не має доступу до одного ресурсу і змушений телефонувати відсутньому колезі, компанія отримала значно більше інформації про реальний ризик, ніж могла б отримати від ще одного раунду експертного оцінювання. Іноді найкращим інструментом ризик-менеджменту виявляється не складна модель, а добре поставлений тест припущення, на якому тримається управлінське рішення.

4. Чи достатньо одного інструменту?

Чим суттєвіше рішення, тим обережніше варто ставитися до висновку, отриманого одним методом, особливо якщо потенційні наслідки великі, дані обмежені або невизначеність висока. Це не означає, що кожний ризик потрібно аналізувати п’ятьма способами, оскільки така практика швидко перетворить систему управління ризиками на дорогу бюрократичну машину, проте для ключових рішень корисно перевіряти висновок іншим типом інформації. Експертну оцінку можна зіставити з даними, модель — зі сценарієм, заявлену ефективність контролю — з його тестуванням, а оптимістичний бізнес-план — зі стрес-сценарієм; така комбінація не гарантує правильної відповіді, але суттєво зменшує небезпеку того, що рішення залежить від одного припущення, яке ніхто не перевірив.

Припустімо, страховик розглядає швидке зростання корпоративного портфеля, і фінансова модель показує привабливий результат: премії зростають, очікувана збитковість залишається прийнятною, витрати розподіляються на більший обсяг бізнесу. Цієї моделі може бути достатньо для оцінки базового сценарію, але ризик-менеджер додає кілька інших ракурсів: андеррайтинг аналізує концентрації та частку нестандартних умов, перестрахування — доступну ємність і вартість захисту, врегулювання — спроможність обробити збільшення великих збитків, а стрес-сценарій перевіряє наслідки одночасного погіршення збитковості та затримки перестрахувальних відшкодувань. У результаті може з’ясуватися, що проблема не в очікуваній прибутковості портфеля, а в тому, що за певного сценарію його зростання створює короткий, але значний розрив ліквідності, якого базова фінансова модель взагалі не показувала. Один інструмент дав правильну відповідь на своє питання, а інші дозволили побачити питання, якого спочатку ніхто не поставив.

5. Що буде, якщо наш висновок помилковий?

Це питання дозволяє визначити не лише інструмент, а й необхідну глибину аналізу. Якщо компанія помилково оцінить незначний внутрішній процес як трохи ризикованіший, ніж він є насправді, наслідком можуть стати зайві контрольні заходи та певні додаткові витрати; якщо ж вона недооцінить концентрацію великого страхового портфеля, стійкість критичної ІТ-системи, залежність від єдиного постачальника або достатність ліквідності за стресового сценарію, ціна помилки може бути незрівнянно більшою. Звідси випливає практичний принцип пропорційності: чим дорожчою може бути помилка управлінського рішення, тим сильнішими мають бути докази, на яких воно ґрунтується, і тим менш виправданою є залежність від одного методу оцінювання.

Наприклад, Правління розглядає можливість прийняти великий страховий ризик, який формально вкладається в андеррайтингові повноваження, але суттєво збільшує концентрацію в одному географічному регіоні. Можна оцінити договір за стандартною андеррайтинговою моделлю і отримати прийнятний результат, проте потенційна ціна помилки виправдовує додаткові питання: які інші об’єкти компанія вже страхує в цій зоні, чи може одна подія зачепити їх одночасно, яка частина збитку залишиться на власному утриманні, наскільки надійним є перестрахувальний захист, що відбудеться з ліквідністю до отримання відшкодування і чи не буде перевищено внутрішній ліміт концентрації. Рішення може залишитися позитивним, але тепер компанія прийматиме його, розуміючи не лише очікувану прибутковість окремого договору, а й його місце в сукупному ризиковому профілі.

Не складність методу, а якість відповіді

У професійному середовищі існує ще одна спокуса — несвідомо вважати складніший метод кращим за простіший, особливо якщо він використовує математичну модель, спеціалізоване програмне забезпечення або велику кількість даних. Проте складність інструменту сама по собі не створює управлінської цінності, і добре проведене інтерв’ю з п’ятьма людьми, які щодня виконують критичний процес, іноді здатне виявити ризик, якого не покаже найдосконаліша модель, якщо в її вихідних даних цього ризику просто немає. Так само простий сценарій «що ми робитимемо, якщо цей постачальник завтра стане недоступним на сім днів?» може дати керівництву більше корисної інформації, ніж складна рейтингова система постачальників, якщо справжньою проблемою є не ймовірність його відмови, а відсутність у компанії реальної альтернативи.

Можна уявити й протилежну ситуацію, коли ризик-менеджер витрачає кілька тижнів на складне кількісне моделювання ризику, хоча рішення керівництва залежить від значно простішої обставини. Компанія планує впровадити новий процес, але для його роботи потрібні троє підготовлених фахівців, а фактично навчання пройшла лише одна людина і до дати запуску підготувати інших неможливо; у такому випадку детальна оцінка ймовірності операційного збою до другого знака після коми навряд чи змінить управлінський висновок. Потрібно або перенести запуск, або обмежити його масштаб, або створити тимчасову резервну процедуру, а кількісна модель може знадобитися пізніше, якщо від її результату залежатиме вибір між кількома варіантами.

Тому зрілість інструментарію ризик-менеджменту, на мій погляд, проявляється не в тому, що компанія використовує якомога більше методів і не в тому, що кожний ризик проходить через однаково складну процедуру, а в пропорційності між управлінським питанням, рівнем невизначеності, потенційною ціною помилки та глибиною аналізу. Для одного рішення достатньо кількох запитань і перевірки даних, для іншого потрібна ризик-сесія, для третього — кількісна модель та стрес-тест, а для четвертого — комбінація сценарного аналізу, оцінки капіталу, ліквідності, концентрацій і тестування плану відновлення; професійність полягає не в однаковості процедури, а в здатності пояснити, чому для цього рішення потрібний цей рівень аналізу і яку невизначеність кожний застосований інструмент допомагає зменшити.

І, мабуть, тут варто повернутися до операційного столу, з якого ми почали цю розмову. Хірург не отримує додаткових балів за те, що використав двадцять інструментів замість десяти, і ризик-менеджер не створює більше цінності лише тому, що застосував матрицю ризиків, KRI, сценарний аналіз, стрес-тестування та ще п’ять методик одночасно. В обох випадках професійна майстерність проявляється в іншому: правильно зрозуміти задачу, вибрати достатній інструмент, своєчасно змінити його, коли змінюється задача, і не виконувати складну процедуру лише тому, що вона є в методологічному наборі.

Замість висновку: не починайте з назви методу

Уявімо останню ситуацію. На засіданні Правління страховика повідомляють, що протягом останніх двох місяців різко зросли продажі нового продукту, причому результат поки виглядає дуже привабливо: премії перевищують план, перші показники збитковості залишаються низькими, партнери задоволені, а комерційний підрозділ пропонує збільшити план продажів до кінця року. Ризик-менеджера запитують, чи бачить він підстави заперечувати проти такого рішення, і тут у нього є спокуса відкрити реєстр ризиків, подивитися на поточну оцінку андеррайтингового ризику, перевірити встановлені KRI та відповісти, що формальних порушень поки немає. Але якщо згадати логіку, яку ми обговорювали протягом цієї статті, почати варто з іншого: яке рішення збирається прийняти Правління і чого ми не знаємо, щоб оцінити його наслідки?

Рішення полягає не в тому, чи є новий продукт ризиковим, — страховий бізнес за визначенням пов’язаний із прийняттям ризику, — а в тому, чи можна безпечно прискорити його зростання. Отже, ризик-менеджеру потрібно зрозуміти, чи достатньо двох місяців статистики для висновків про майбутню збитковість, чи не змінилася структура клієнтів у міру розширення продажів, чи не накопичуються концентрації, чи відповідає новому масштабу перестрахувальний захист, чи витримає врегулювання значно більший потік страхових випадків і який вплив матиме несприятливий сценарій на фінансовий результат, ліквідність та капітал. Уже з цих запитань природно виникає набір інструментів: аналіз структури портфеля та ранніх результатів, перевірка концентрацій і перестрахування, сценарний аналіз для кількох варіантів збитковості, стрес-тест для важкого, але правдоподібного розвитку подій, зіставлення отриманих результатів із ризик-апетитом та лімітами, а після рішення про продовження зростання — показники, які дозволять вчасно побачити, що початкові припущення перестають справджуватися.

Можливо, після цього аналізу Правління все одно вирішить збільшити план продажів, але зробить це не тому, що ризик у реєстрі залишається «жовтим» або всі KRI поки перебувають у зеленій зоні, а тому, що компанія розуміє можливі сценарії, оцінила власну спроможність витримати їх наслідки та визначила умови, за яких рішення потрібно буде переглянути. А можливо, результат буде іншим: зростання дозволять лише до певного обсягу портфеля, встановлять додатковий ліміт концентрації, змінять умови перестрахування або домовляться повернутися до питання після накопичення ще трьох місяців статистики. У будь-якому з цих варіантів цінність ризик-менеджменту полягатиме не в тому, скільки методик було застосовано, а в тому, що кожний інструмент допоміг відповісти на конкретне питання, необхідне для рішення.

Цей невеликий приклад можна перетворити на просту робочу звичку. Коли ризик-менеджеру наступного разу запропонують «оцінити ризик», «провести стрес-тест», «розробити KRI», «оновити реєстр» або «організувати ризик-сесію», корисно на кілька хвилин відкласти методику й запитати: яке управлінське рішення стоїть за цим завданням, чого ми не знаємо для його прийняття, якими доказами можна зменшити цю невизначеність і наскільки дорогою буде наша помилка? Після таких запитань іноді з’ясується, що потрібна складна кількісна модель, іноді — сценарний аналіз або стрес-тест, іноді — розмова з людьми, які щодня виконують процес, а іноді достатньо перевірити кілька показників або провести один добре продуманий тест.

Ми почали цю статтю з хірурга, перед яким під час операції лежить цілий набір інструментів, і до цієї аналогії варто повернутися наприкінці. Професіоналізм хірурга не визначається кількістю інструментів на його столі, так само як зрілість ризик-менеджменту не визначається кількістю методик у внутрішніх документах компанії. Хірург знає можливості й обмеження кожного інструменту, розуміє, для якої задачі він потрібний, і змінює його, коли змінюється задача; ризик-менеджеру потрібна така сама професійна свобода — не бути заручником улюбленої матриці, реєстру, KRI чи стрес-тесту, а мати достатньо широкий інструментарій, щоб обирати метод відповідно до проблеми, яку потрібно вирішити.

І, можливо, найкоротша формула всієї статті звучить так: не запитуйте спочатку, який інструмент ризик-менеджменту використати; спочатку визначте, яке рішення потрібно прийняти і чого для цього рішення ви ще не знаєте. Інструмент з’явиться після цього.

Сергій БАБИЧ