Професійні дискусії у сфері ризик-менеджменту найчастіше стосуються інструментів. Ми порівнюємо якісні та кількісні методи оцінки ризиків, сперечаємося про ефективність теплових карт, аналізу сценаріїв, математичного моделювання, ключових індикаторів ризику або різних підходів до побудови реєстрів ризиків. Зазвичай кожен із цих підходів має своїх прихильників, власні аргументи та приклади успішного застосування. Водночас значно рідше звучить інше запитання: наскільки переконливими є докази того, що один метод дійсно кращий за інший?

Поштовхом до цих моїх роздумів знову стала чергова публікація професора Стефана Хунцікера, який сформулював надзвичайно незручну, але дуже важливу тезу: ризик-менеджмент вимагає доказів щодо кожного окремого ризику, проте майже не має таких доказів стосовно власних методів роботи. Це твердження змушує по-новому подивитися на багато звичних інструментів. Чому ми використовуємо п’ятибальну шкалу оцінювання ризиків, а не семибальну? Чому будуємо теплові карти, а не інші моделі візуалізації? Чому обираємо два сценарії розвитку подій, а не п’ять? Чому агрегуємо ризики одним способом, а не іншим? У більшості випадків відповідь звучить досить просто: так прийнято у професійній практиці.

На перший погляд, у цьому немає нічого незвичайного. Багато професій спираються не лише на результати наукових досліджень, а й на багаторічний практичний досвід. Проте ризик-менеджмент має одну особливість. Він постійно закликає керівництво ухвалювати рішення на основі фактів, аналізу та обґрунтованих висновків. Тому цілком природно поставити аналогічне запитання і до самої професії: чи достатньо обґрунтованими є методи, якими користуються сучасні ризик-менеджери?

Ця стаття не ставить за мету критику міжнародних стандартів або загальновизнаних практик. Навпаки, її завдання полягає у тому, щоб спробувати розібратися, де ризик-менеджмент спирається на результати досліджень, де — на професійний досвід, а де — на експертний консенсус. На мою думку, така розмова давно назріла, адже вона стосується не окремих методик, а довіри до професії в цілому.

Чому це незручне запитання для всієї професії?

Якщо уважно подивитися на сучасний ризик-менеджмент, можна помітити цікаву закономірність. Ми звикли аналізувати ризики, оцінювати якість інформації, перевіряти припущення, шукати підтвердження своїм висновкам. Від власників ризиків ми очікуємо аргументів, від бізнес-підрозділів — достовірних даних, від керівництва — рішень, заснованих на фактах. Такий підхід є абсолютно правильним, адже без нього ризик-менеджмент швидко перетворився б на набір суб’єктивних припущень.

Однак професор Стефан Хунцікер пропонує подивитися на проблему з іншого боку. Він ставить запитання, яке рідко звучить у професійних дискусіях: чи застосовуємо ми такі самі високі стандарти доказовості до власних методів роботи? Наприклад, чи існують переконливі емпіричні докази того, що одна модель побудови реєстру ризиків ефективніша за іншу? Чи підтверджено дослідженнями, що певний формат теплової карти забезпечує кращі управлінські рішення? Чи доведено, що п’ятибальна шкала оцінювання ризиків працює краще, ніж будь-яка інша?

Чесна відповідь, як не дивно, далеко не завжди буде ствердною. Більшість широко відомих методів ризик-менеджменту сформувалися поступово під впливом професійної практики, експертного досвіду та міжнародного консенсусу. Це зовсім не означає, що вони є неправильними або неефективними. Проте між твердженнями «цей підхід широко використовується» і «цей підхід доведено є найкращим» існує принципова різниця, на що звертає увагу професор.

На мою думку, цінність цієї постановки питання полягає не у спробі поставити під сумнів існуючі стандарти. Навпаки, вона допомагає чіткіше зрозуміти природу сучасного ризик-менеджменту. Значна частина його методології виникла як результат накопиченого професійного досвіду. І це цілком природно. Проте визнання цього факту відкриває шлях до наступного, набагато цікавішого питання: чи можливо взагалі побудувати доказовий ризик-менеджмент, подібно до того, як у медицині сформувалася концепція доказової медицини?

Чому доказів так мало?

Після постановки цього питання виникає цілком закономірна думка: якщо ризик-менеджмент існує вже багато десятиліть, чому досі немає великої кількості досліджень, які дозволили б упевнено сказати, що один підхід працює краще за інший?

Відповідь виявляється набагато складнішою, ніж може здатися на перший погляд. На відміну від багатьох інших сфер діяльності, ризик-менеджмент має справу не з тим, що сталося, а з тим, чого вдалося уникнути. Якщо система управління ризиками спрацювала добре, катастрофа не відбулася, фінансова криза не настала, масштабний кіберінцидент був попереджений, а помилкове стратегічне рішення так і не було прийняте. Але як виміряти подію, яка не сталася? Як довести, що причиною її відсутності була якісна робота системи управління ризиками, а не звичайний збіг обставин?

Ця особливість робить професію надзвичайно складною для наукового дослідження. Лікар може оцінити ефективність нового препарату, порівнявши результати лікування двох груп пацієнтів. Інженер може випробувати нову конструкцію мосту під різними навантаженнями. У ризик-менеджменті провести подібний експеримент практично неможливо. Жодна компанія не погодиться навмисно відмовитися від управління ризиками лише для того, щоб перевірити, чи працює інша методологія краще.

Є й інша проблема. Події, які мають найбільше значення для організації, трапляються надзвичайно рідко. Велика фінансова криза, масштабна кібератака або стратегічна помилка, здатна змінити долю компанії, можуть виникати раз на десять або навіть двадцять років. За всю професійну кар’єру ризик-менеджер може зіткнутися лише з кількома такими ситуаціями. Це надто мала кількість спостережень, щоб робити статистично надійні висновки про переваги тієї чи іншої методології.

Не менш важко оцінити й причини невдач. Якщо компанія зазнала значних збитків, далеко не завжди можна однозначно відповісти, що саме стало причиною. Чи була помилковою методика оцінювання ризиків? Чи некоректними виявилися початкові припущення? Чи проблема полягала не в самій методології, а в її неправильному застосуванні? У реальному житті ці чинники настільки тісно переплітаються, що відокремити один від іншого майже неможливо.

Тому, на мою думку, професор Хунцікер абсолютно справедливо називає цю проблему не наслідком недбалості дослідників, а особливістю самої професії. Ризик-менеджмент має справу з альтернативними варіантами розвитку подій, які неможливо спостерігати одночасно. Ми завжди бачимо лише один сценарій — той, який відбувся. Усі інші залишаються сферою припущень.  Через це професія значною мірою спирається не лише на емпіричні докази, а й на професійний досвід, експертне судження та накопичену практику. І в цьому немає нічого поганого. Важливо лише чесно розуміти межі того, що ми дійсно знаємо, і того, у що ми просто віримо.

Де ж тоді шукати докази?

Після такого аналізу може скластися враження, що ризик-менеджмент взагалі позбавлений наукової основи. Проте професор Хунцікер робить дуже цікаве спостереження. Він не говорить, що доказів не існує. Він стверджує інше: ми часто шукаємо їх не там, де потрібно.

Більшість професійних дискусій точиться навколо методології управління ризиками. Ми порівнюємо стандарти, сперечаємося про структуру реєстру ризиків, кількість сценаріїв, способи агрегування ризиків або правила побудови теплових карт. Однак емпіричних досліджень, які дозволили б упевнено віддати перевагу одному з цих підходів, небагато.

Водночас існує інша галузь знань, яка десятиліттями досліджує, як люди приймають рішення в умовах невизначеності. Це психологія прийняття рішень, поведінкова економіка, теорія прогнозування та аналіз експертних оцінок. І тут ситуація зовсім інша. За останні десятиліття накопичено величезний масив досліджень, які підтверджують досить цікаві закономірності.

Наприклад, добре відомо, що люди схильні надмірно довіряти власним оцінкам. Формулюючи можливий діапазон розвитку подій, експерти дуже часто називають межі, які виявляються занадто вузькими. Іншими словами, ми набагато впевненіші у своїх прогнозах, ніж дозволяють факти.

Не менш цікаві результати отримані щодо процесу експертного оцінювання. Якщо складну проблему розкласти на окремі складові, які оцінюються незалежно одна від одної, підсумковий результат зазвичай виявляється точнішим, ніж інтуїтивна оцінка всієї проблеми одразу. Аналогічно працює і структуроване опитування експертів. Воно часто дає якісніший результат, ніж звичайна колективна дискусія, під час якої домінують найбільш авторитетні учасники.

Ще один цікавий висновок стосується групових оцінок. Багато досліджень показують, що правильно організоване усереднення незалежних експертних суджень нерідко забезпечує точніший прогноз, ніж спроба виробити єдину «узгоджену» думку під час обговорення. Для багатьох практиків це звучить несподівано, але такий висновок підтверджується великою кількістю емпіричних досліджень.

Нарешті, професор згадує приклад, який вже давно став предметом дискусій у професійній літературі. Йдеться про теплові карти ризиків. Протягом останніх років опубліковано низку робіт, у яких показано, що за певних умов вони можуть спотворювати пріоритетність ризиків настільки суттєво, що отримані результати виявляються не кращими, а іноді навіть гіршими за випадкове ранжування. Це зовсім не означає, що теплові карти слід негайно відмовитися використовувати. Проте це означає, що до їхніх результатів варто ставитися значно обережніше, ніж це робиться на практиці.

На мою думку, тут прихована одна з найцікавіших ідей професора. Він фактично пропонує змістити центр уваги. Менше сперечатися про те, яка методика управління ризиками є «правильною», і більше використовувати знання з тих наук, які вже багато років досліджують поведінку людини, якість експертних оцінок і процес прийняття рішень. Можливо, майбутнє ризик-менеджменту полягає не у створенні дедалі складніших моделей, а у більш активному використанні результатів досліджень із суміжних дисциплін.

Що це означає для українського ризик-менеджменту?

На перший погляд може здатися, що ця дискусія має виключно академічний характер. Насправді її практичне значення набагато більше, ніж здається.

Останніми роками українські компанії активно впроваджують міжнародні стандарти управління ризиками, оновлюють внутрішні політики, розробляють реєстри ризиків, формують систему ключових індикаторів, проводять сценарний аналіз і стрес-тестування. Це безумовно позитивний процес, який підвищує якість корпоративного управління та робить бізнес більш стійким. Водночас варто пам’ятати, що впровадження будь-якої методології не повинно перетворюватися на самоціль.

Мабуть, найважливіший висновок із публікації професора полягає в іншому. Будь-який інструмент управління ризиками слід оцінювати не лише за тим, наскільки він відповідає міжнародним рекомендаціям, а й за тим, чи допомагає він приймати кращі управлінські рішення. Якщо реєстр ризиків існує лише для виконання вимог регулятора, якщо теплова карта щокварталу оновлюється, але не впливає на рішення Правління, якщо сценарний аналіз завершується красивою презентацією, а не переглядом стратегії, то виникає закономірне запитання: яку практичну цінність створюють ці інструменти?

Не менш важливим є й інший висновок. Визнання того, що далеко не всі методи ризик-менеджменту мають однаковий рівень емпіричного підтвердження, зовсім не означає відмову від них. Навпаки, це спонукає використовувати їх більш усвідомлено. Одні інструменти добре зарекомендували себе завдяки багаторічній практиці. Інші підтверджуються результатами досліджень у психології, поведінковій економіці чи теорії прийняття рішень. Треті продовжують розвиватися і ще потребують перевірки. Такий підхід, на мою думку, є значно чеснішим, ніж переконання, що всі елементи сучасного ризик-менеджменту однаково добре доведені.

Можливо, у найближчі роки професія все частіше звертатиметься до результатів досліджень із суміжних наук. Це виглядає цілком природно. Адже ризик-менеджмент не існує окремо від економіки, психології, статистики, теорії прийняття рішень чи організаційної поведінки. Чим активніше він використовуватиме знання цих дисциплін, тим більш обґрунтованими ставатимуть і його власні методи.

Висновки

Публікація професора Стефана Хунцікера цікава не лише поставленим питанням, а й зміною фокуса професійної дискусії. Замість чергової суперечки про переваги окремих методик він пропонує поставити значно фундаментальніше запитання: наскільки обґрунтованими є наші власні інструменти?

Відповідь, яку пропонує автор, виглядає досить виваженою. Значна частина сучасного ризик-менеджменту спирається на професійний досвід, міжнародний консенсус і накопичену практику. Це не робить такі підходи неправильними. Проте між поняттями «широко використовується» і «емпірично доведено» існує суттєва різниця, яку варто чесно визнавати.

Водночас дослідження у сфері психології прийняття рішень, прогнозування та поведінкової економіки вже сьогодні пропонують велику кількість практичних висновків, здатних підсилити сучасний ризик-менеджмент. Можливо, найближчий етап розвитку професії полягатиме не у створенні нових стандартів або дедалі складніших моделей, а у більш активному використанні знань, накопичених у суміжних дисциплінах.

Якщо цей прогноз справдиться, професійна дискусія поступово змінить свій характер. Ми все рідше запитуватимемо, який інструмент є моднішим або популярнішим, і дедалі частіше — чому ми вважаємо його ефективним, які дослідження це підтверджують і за яких умов він дійсно допомагає бізнесу приймати кращі рішення. І, чесно кажучи, мені здається, що такий розвиток професії був би дуже корисним для всіх, хто займається управлінням ризиками.

Сергій БАБИЧ