Чому формальна система управління ризиками не завжди потрібна керівництву і що має змінитися, аби вона створювала реальну цінність

У професійному середовищі ризик-менеджерів є пояснення, до якого ми звертаємося надто часто. Якщо керівництво компанії не виявляє достатнього інтересу до ризик-звітів, рідко звертається до реєстру ризиків або сприймає засідання ризик-комітету як формальність, причину зазвичай шукають у недостатній культурі управління ризиками. Звідси випливають знайомі рекомендації: посилити навчання, підвищити обізнаність керівників, забезпечити належний тон згори та активніше залучати менеджмент до процесів управління ризиками.

Але що, коли проблема зовсім не в керівництві? Що, коли воно достатньо добре розуміє ризики, враховує невизначеності у своїх рішеннях і просто не бачить додаткової користі від формальної системи, яку створили ризик-менеджери?

Таке незручне для нашої професії запитання поставив професор ризик-менеджменту Люцернської школи бізнесу Stefan Hunziker у своєму дописі «Management Ignores Risk Management. Maybe Rightly So.». Публікація викликала змістовну дискусію серед фахівців із корпоративного управління, фінансів, внутрішнього аудиту та управління ризиками. Учасники не обмежилися звичними міркуваннями про ризик-культуру, а спробували з’ясувати, чому формальний ризик-менеджмент іноді залишається осторонь управлінських рішень і що він повинен робити, аби змінити ситуацію.

Керівництво може ігнорувати ризик-менеджмент, але не ризики

Головна теза Гунцікера полягає у розмежуванні двох явищ, які часто помилково ототожнюють: уваги керівництва до ризиків та уваги до формальної функції управління ризиками. Керівники можуть постійно працювати з невизначеностями під час стратегічного планування, бюджетування, інвестиційного аналізу або ухвалення операційних рішень, не звертаючись при цьому до корпоративного реєстру ризиків. Відсутність інтересу до формальних процедур у такому випадку ще не означає відсутності управління ризиками.

Професор пропонує розрізняти шість можливих причин недостатньої уваги менеджменту. Формальний процес може дублювати оцінки, які вже виконуються в межах звичайної управлінської діяльності; важлива інформація може губитися серед інших питань порядку денного; ризик-звіт може надходити після ухвалення рішення; його зміст може не мати зрозумілого зв’язку з цілями компанії; сама функція може сприйматися переважно як інструмент забезпечення відповідності нормативним вимогам; нарешті, звіт може докладно описувати ризики, але не пояснювати, які управлінські дії необхідно змінити.

Ці причини мають різну природу, а отже, потребують різних рішень. Додаткове навчання не допоможе, якщо інформація надходить запізно, новий комітет не усуне дублювання управлінських процедур, а вдосконалена теплова карта не зробить корисним звіт, який не впливає на жодне рішення. Звідси випливає важливий висновок: перш ніж вимагати від керівництва більшої уваги до ризик-менеджменту, необхідно з’ясувати, чого бракує управлінським рішенням і чи здатна функція управління ризиками заповнити цю прогалину.

Не кількість звітів, а якість рішень

Цей напрям думки підтримав один із учасників дискусії, який звернув увагу на поширену практику підготовки ризик-звітів без попереднього визначення рішення, на яке вони повинні вплинути. Якщо керівництво здатне ухвалити цілком аналогічне рішення, навіть не відкривши звіт, варто переглянути не поведінку керівництва, а зміст роботи ризик-менеджера. Гунцікер прямо підтримав цей коментар.

Схожу позицію висловив інший учасник обговорення, представник фінансового менеджменту. За його спостереженнями, невизначеності вже враховуються під час розроблення стратегії, розподілу капіталу, бюджетування та інвестиційного планування. Завдання ефективної функції управління ризиками полягає не у створенні паралельного процесу, а в підвищенні якості рішень, які компанія все одно повинна ухвалювати, для цього ризикові компетенції мають бути своєчасно залучені до наявних управлінських процедур.

Ще один коментатор запропонував важливе розмежування: управління ризиками як реальна діяльність і управління ризиками як організаційна функція або сукупність адміністративних процедур — не тотожні поняття. Компанія може мати розвинену здатність ухвалювати рішення в умовах невизначеності, навіть якщо ця діяльність не завжди помітна у формальній звітності, і навпаки, наявність численних презентацій, показників та оцінок не гарантує належної якості управлінських рішень.

У цих коментарях простежується спільна думка: результативність ризик-менеджменту слід оцінювати не за кількістю проведених оцінювань, підготовлених документів чи засідань, а за його внеском у процес ухвалення рішень, причому такий внесок не обов’язково означає відмову від запланованої дії. Іноді ризик-менеджмент допомагає обрати інший варіант, змінити строки реалізації, передбачити додаткові резерви або встановити умови, за яких рішення залишається прийнятним.

Це цілком узгоджується з підходом ISO 31000, відповідно до якого управління ризиками має бути інтегрованим в управління організацією та сприяти створенню і захисту цінності. Формальна процедура є інструментом досягнення цієї мети, а не самостійним результатом.

Коли ризик-менеджмент приходить надто пізно

Особливо практичний аспект дискусії порушив один із представників внутрішнього аудиту. Він звернув увагу на невідповідність між періодичністю формальних ризикових процедур і швидкістю реального бізнесу. Ризик-менеджери нерідко працюють у межах квартальних або річних циклів, тоді як стратегічні й інвестиційні рішення ухвалюються тоді, коли цього потребують ринок і бізнес.

Якщо оцінка ризиків надходить після погодження інвестиційного проєкту, її практична цінність різко зменшується. Ще цікавіше його спостереження щодо організаційних стимулів: менеджмент оцінюють за швидкістю та результативністю рішень, тоді як роботу ризик-менеджменту нерідко вимірюють повнотою документації та дотриманням процедур. За таких умов навіть професійно підготовлені звіти можуть виявитися практично незатребуваними.

Цю проблему конкретизував інший учасник дискусії, навівши приклад виходу компанії на новий регіональний ринок. Фінансування вже погоджено, строки запуску оголошено, а оцінювання ризиків лише після цього виявляє регуляторну невизначеність, додаткові технологічні витрати та обмежені можливості управлінської команди. Компанії доводиться переглядати взяті зобов’язання або шукати додаткові ресурси, а ризик-менеджмент починає сприйматися як перешкода для розвитку.

Якби відповідні невизначеності були розглянуті до ухвалення рішення, компанія могла б порівняти альтернативні моделі виходу на ринок, перевірити припущення та визначити умови реалізації проєкту. Стратегічна мета при цьому могла залишитися незмінною, але підстави для її досягнення стали б значно надійнішими.

Для практики це означає необхідність переглянути звичну логіку взаємодії ризик-менеджера з бізнесом. Замість того щоб чекати завершення звітного періоду, функція управління ризиками повинна знати, які суттєві рішення готуються, коли вони будуть ухвалені та яка інформація про невизначеності може бути корисною до їх затвердження.

Інтеграція замість окремого порядку денного

Одна з учасниць дискусії запропонувала цілком конкретний організаційний підхід: інформація про ризики не повинна обмежуватися спеціальним питанням порядку денного, присвяченим розгляду ризик-звіту. Відомості про поточну ризикову експозицію, характер невизначеностей і наслідки можливих заходів реагування доцільно включати безпосередньо до стратегічних, операційних та фінансових матеріалів, які розглядають виконавче керівництво й органи управління. Гунцікер позитивно відгукнувся на цю пропозицію.

Такий підхід змінює роль ризик-менеджменту. Замість окремого процесу, результати якого періодично представляють керівництву, він стає частиною підготовки управлінських рішень, наприклад, інвестиційна пропозиція має містити не лише очікувану дохідність і потребу у фінансуванні, а й ключові припущення, сценарії несприятливого розвитку подій, можливі наслідки для ліквідності та капіталу, а також умови, за яких реалізацію проєкту необхідно переглянути.

Водночас інтеграція не повинна перетворюватися на механічне додавання однакової таблиці ризиків до кожного документа. Для різних рішень потрібні різні інструменти: десь достатньо аналізу критичних припущень, десь необхідні сценарні розрахунки, а для складного інвестиційного рішення може знадобитися оцінювання впливу на капітал, ліквідність і сукупну ризикову експозицію. Сутність інтеграції полягає не в присутності ризик-менеджера на кожній нараді, а в тому, щоб суттєві невизначеності враховувалися в належний момент і в належному обсязі.

Чи достатньо керівництву самостійно управляти ризиками?

Попри переконливість аргументів Гунцікера, дискусія залишає відкритим важливе запитання: чи завжди професійне врахування ризиків під час окремих управлінських рішень забезпечує належне управління ризиками компанії загалом?

У коментарі від Української асоціації ризик-менеджерів я звернув увагу на те, що ефективне управління окремими невизначеностями ще не гарантує цілісного бачення сукупного ризикового профілю організації. Керівники можуть ухвалювати цілком обґрунтовані стратегічні та операційні рішення, але не завжди враховувати взаємозалежності між ними, концентрацію ризиків або їхній спільний вплив на ризик-апетит і достатність капіталу.

Розглянемо умовний приклад страхової компанії. Керівник напряму страхування оцінює можливості збільшення портфеля, фінансовий директор ухвалює рішення щодо розміщення активів, відповідальний за перестрахування оптимізує програму захисту, а ІТ-підрозділ обирає нового постачальника хмарних послуг. Кожне рішення може бути економічно виправданим, супроводжуватися належним аналізом ризиків і відповідати встановленим для відповідного напряму обмеженням. Але що станеться, якщо одночасно зростуть страхові виплати, знизиться ліквідність інвестицій, виникнуть затримки у перестрахових відшкодуваннях і порушиться доступність критичної інформаційної системи? Чи оцінював хтось спільний вплив цих подій на платоспроможність і безперервність діяльності? Чи не призвела сукупність прийнятних окремих рішень до неприйнятного загального рівня ризику?

Тут незалежна функція управління ризиками може створювати цінність, яку складно забезпечити в межах окремих бізнес-процесів. Її завдання полягає не в повторному виконанні оцінок першої лінії, а у формуванні цілісної картини ризиків, перевірці критичних припущень, виявленні взаємозалежностей і концентрацій, оцінюванні спільних сценаріїв та зіставленні результатів із ризик-апетитом компанії.

При цьому агрегування ризиків не можна зводити до механічного додавання показників із різних підрозділів. Воно потребує розуміння спільних факторів, можливих кореляцій, сценаріїв одночасної реалізації ризиків і обмежень використовуваних моделей. Цей аспект особливо важливий для фінансових установ, де окремі рішення можуть бути прийнятними з погляду конкретного бізнес-напряму, але створювати небажаний сукупний вплив на капітал, ліквідність або виконання зобов’язань.

Між двома крайнощами: надмірна формалізація та втрата контролю

Дискусія виявила ще одну суперечність. Один із коментаторів зауважив, що прагнення керівництва отримувати лише коротку, агреговану та узагальнену інформацію іноді призводить до втрати суттєвих деталей. У результаті виникає формальна культура звітності, коли якість вихідних даних і зміст оцінювання поступаються вимозі подати зручний для сприйняття документ. Це слушне застереження. Надмірна деталізація ризик-звітів перевантажує керівництво, але надмірне спрощення може приховати невизначеності, які мають визначальне значення для рішення. Від ризик-менеджера потрібне не скорочення інформації за будь-яку ціну, а професійне розмежування того, що керівництво повинно знати для ухвалення рішення, і того, що має залишатися доступним для поглибленого аналізу.

Інший учасник обговорення звернув увагу на очікування наглядових органів щодо формальних процедур. Для регульованих фінансових установ це принципове питання, оскільки навіть ефективна інтеграція ризикового аналізу в повсякденне управління не скасовує вимог до незалежної функції, внутрішніх документів, процедур контролю та звітності.

Українські страховики добре знають цю дилему. Вимоги Національного банку України до системи управління страховика передбачають формалізовану організацію управління ризиками, визначення повноважень і відповідальності, внутрішні процедури та відповідну звітність, водночас регуляторна відповідність і практична результативність — не тотожні характеристики. Можна належно виконувати формальні вимоги, але не забезпечувати впливу ризикової інформації на рішення. Можна також мати сильну управлінську практику, але недостатньо документувати її результати та не забезпечувати належного незалежного контролю. Зріла система повинна поєднувати обидві складові, не перетворюючи жодну з них на самоціль.

Отже, питання полягає не у виборі між формальним і неформальним управлінням ризиками, а в пошуку такої організації роботи, за якої необхідні процедури підтримують реальні рішення, забезпечують незалежну оцінку та зберігають належну доказову базу для корпоративного управління і нагляду.

Як перевірити, чи потрібен компанії її ризик-менеджмент

Найціннішою практичною пропозицією Гунцікера я вважаю рекомендацію починати діагностику не з ризик-звіту, а з управлінських рішень. Для цього не обов’язково проводити масштабне дослідження або створювати нову систему показників ефективності, лише достатньо обрати кілька суттєвих рішень, ухвалених компанією протягом останнього року, і проаналізувати, як у процесі їх підготовки враховувалися ризики.

Варто з’ясувати, які невизначеності були визначені до ухвалення рішення, хто їх оцінював, які припущення перевірялися, чи розглядалися альтернативні варіанти та чи вплинула отримана інформація на остаточні умови рішення. Окремо потрібно встановити, яку роль відіграла функція управління ризиками, чи своєчасно вона була залучена і яку додаткову інформацію надала.

Якщо виявиться, що всі суттєві ризики були належно враховані без її участі, це не обов’язково свідчитиме про проблему. Можливо, перша лінія має достатні компетенції, а функції управління ризиками варто зосередитися на незалежній перевірці, агрегуванні ризиків і моніторингу сукупного профілю. Якщо ж оцінювання проводилося вже після затвердження рішення, необхідно змінити момент залучення ризик-менеджера. Якщо ризикові матеріали не містили зрозумілих висновків для керівництва, потрібно переглянути їхню структуру та зміст. Якщо рішення ухвалювалися без урахування критичних невизначеностей, варто дослідити причини такого недоліку, включно з управлінською культурою, розподілом відповідальності та доступністю інформації.

Окремої уваги заслуговують ситуації, коли функція управління ризиками своєчасно надала обґрунтовані рекомендації, але вони не були враховані. У такому випадку проблема може полягати не в якості ризикового аналізу, а в механізмах ескалації, повноваженнях і відповідальності за прийняття ризику. Ці ситуації не слід змішувати з випадками, коли ризик-менеджмент справді не створює додаткової цінності. Практичним результатом такої діагностики має стати не черговий звіт про ефективність функції, а конкретне рішення щодо того, які процедури потрібно зберегти, які спростити, які інтегрувати в бізнес-процеси та де необхідно посилити незалежну оцінку.

Від захисту професії — до доведення її цінності

Дискусія, започаткована Стефаном Гунцікером, цікава насамперед тим, що пропонує ризик-менеджерам змінити звичну постановку питання. Замість того щоб переконувати керівництво приділяти більше уваги функції управління ризиками, варто запитати себе, чому ця увага повинна бути виправданою і що компанія втратила б, якби формальна функція перестала виконувати частину своїх нинішніх процедур.

Відповідь не може зводитися лише до необхідності виконувати регуляторні вимоги, хоча для фінансових установ вони залишаються обов’язковими. Професійна цінність ризик-менеджменту проявляється тоді, коли він допомагає вчасно побачити суттєві невизначеності, перевірити припущення, порівняти альтернативи, зрозуміти наслідки рішень і не допустити ситуації, за якої локально обґрунтовані дії створюють неприйнятний ризик для організації загалом.

При цьому не кожна рекомендація ризик-менеджера повинна змінювати рішення керівництва. Іноді результатом його роботи є підтвердження обґрунтованості обраного варіанта, але вже після незалежної перевірки припущень і можливих наслідків. Важливо, щоб керівництво ухвалювало рішення усвідомлено, розуміючи характер невизначеності, межі прийнятного ризику та власну відповідальність.

Професор має рацію в одному принциповому питанні: формальний ризик-менеджмент не заслуговує на увагу керівництва лише тому, що він існує. Цю увагу необхідно виправдовувати практичною користю. Але є й інший бік проблеми. Навіть коли керівники добре управляють ризиками у своїх напрямах діяльності, компанії потрібен механізм, який дозволяє побачити їхню сукупність, оцінити взаємозалежності та зіставити загальний рівень ризику з її стратегічними цілями й можливостями.

Отже, головне запитання полягає не в тому, чи звертає керівництво увагу на ризик-менеджмент, а в тому, чи допомагає система управління ризиками побачити те, чого без неї компанія могла б не помітити, і ухвалити рішення, які за інших обставин були б менш обґрунтованими.

Матеріал підготовлено за мотивами публікації професора Stefan Hunziker «Management Ignores Risk Management. Maybe Rightly So.» та професійної дискусії під нею у LinkedIn. Позиції учасників передано в авторському викладі. Приклади застосування до українських страховиків і висновки щодо сукупного ризикового профілю є авторським розвитком теми.

Сергій БАБИЧ

Докладніше за посиланням