1. Загальне визначення та мета Key Risk Indicators (KRI)

      Ключові індикатори ризиків (Key Risk Indicators, KRI) — це заздалегідь визначені кількісні або якісні показники, що використовуються для моніторингу змін у рівні ризиків, з якими стикається організація. Вони є складовою частиною системи управління ризиками та виконують роль «сигнальних лампочок», які дозволяють завчасно виявити негативні тенденції та вжити відповідних заходів до того, як ризики матеріалізуються у збитки.

       Основна мета використання KRI:

• Раннє попередження про зміну профілю ризику або настання подій, що можуть вплинути на досягнення цілей.
• Підвищення прозорості у прийнятті рішень керівництвом та радою директорів.
• Виявлення системних вразливостей та точок контролю, які потребують підсилення.
• Кількісне вимірювання ризиків, що дає змогу не лише відстежувати динаміку, а й будувати тренди.
• Встановлення порогових значень для активації ескалаційних процедур.

        KRI vs KPI: у чому відмінність?

      Хоча і KRI, і KPI (Key Performance Indicators) — це індикатори, які використовуються для оцінки ситуації, між ними є принципова різниця:

      Таким чином, KRI не є індикаторами результату, а індикаторами ризику, які дозволяють оперативно адаптуватися до змін у середовищі.

Чому важливо використовувати KRI?

      У сучасному світі, де зростає регуляторний тиск, кіберзагрози, технологічні ризики та ризики репутаційного характеру, відсутність належного моніторингу ризиків може призвести до фатальних наслідків для компанії. Використання KRI дозволяє не просто реагувати на проблеми постфактум, а будувати проактивну модель управління, де ризик контролюється ще на етапі його зародження.

2. Види та класифікація KRI

      Ефективне застосування KRI передбачає не лише їх наявність, але й усвідомлений вибір відповідного типу індикатора, що найкраще відображає природу конкретного ризику та його динаміку. Залежно від сфери застосування, форми подання та функціонального призначення, KRI можна класифікувати за кількома ознаками.

2.1. За типом ризику, який вимірюється

KRI повинні бути специфічними до природи ризику, який вони відображають. Наприклад:

• Операційні ризики: кількість інцидентів, пов’язаних з ІТ; частота порушень внутрішніх регламентів; кількість збоїв у бізнес-процесах.
• Кредитні ризики: частка прострочених платежів; коефіцієнт покриття резервами; середній скоринг позичальників.
• Страхові ризики: коефіцієнт збитковості (loss ratio), рівень відхилень від андеррайтингових правил, частота виплат понад визначений ліміт.
• Інформаційні ризики: кількість спроб несанкціонованого доступу, обсяг незашифрованого трафіку, кількість днів без оновлення антивірусу.
• Регуляторні та комплаєнс-ризики: кількість порушень НПА, частота затримок зі звітністю до НБУ, відхилення від вимог AML.

2.2. За природою індикатора

2.3. За часовою природою впливу

• Випереджальні індикатори (Leading KRI): сигналізують про ймовірне зростання ризику ще до того, як він проявиться.
  👉 Приклад: різке збільшення обсягу запитів до бази даних може свідчити про підготовку до кібератаки.
• Запізнілі індикатори (Lagging KRI): фіксують факт реалізації ризику або негативної події.
  👉 Приклад: кількість вже виявлених порушень у періоді.

        Обидва типи важливі: leading KRI дозволяють діяти на випередження, а lagging KRI — підтверджують наявність або відсутність контролю над ризиком.

2.4. За джерелом даних

• Внутрішні: статистика інцидентів, фінансові показники, аудиторські висновки.
• Зовнішні: новини галузі, звіти регулятора, ринкова інформація, дані постачальників.

Правильне групування KRI дозволяє побудувати багаторівневу систему раннього попередження, яка охоплює як поточні індикатори стабільності, так і потенційні тригери змін у ризиковому профілі.

3. Побудова ефективної системи KRI

      Запровадження KRI — це не просто визначення показників, а створення чіткої, структурованої системи моніторингу ризиків, яка дозволяє приймати обґрунтовані управлінські рішення. Для цього необхідно враховувати кілька ключових принципів.

3.1. Вимоги до якісного KRI

     Щоб KRI виконував свою функцію, він має відповідати наступним критеріям:

3.2. Побудова формул і логіки розрахунку

Формули повинні бути простими, інтуїтивно зрозумілими та мати чітке джерело даних. Наприклад:

• Коефіцієнт збитковості (Loss Ratio):

Loss Ratio= Сума виплачених збитків \ Зароблена страхова премія × 100%

• Відхилення від актуарних прогнозів:

= (Факт – Прогноз) / Прогноз × 100%

• Відхилення від плану внутрішнього аудиту:

Deviation Rate = Кількість не проведених перевірок \ Запланована кількість перевірок × 100%

3.3. Встановлення порогів (Thresholds) та зон ризику

Для кожного KRI (для любителів теплових карт) можна визначати три зони ризику, які відображають стан ситуації та тригерять відповідні дії:

Приклад:
     Для Loss Ratio компанії з низьким ризик-апетитом:

• Зелена зона: < 60%
• Жовта зона: 60–75%
• Червона зона: > 75%

 3.4. Підключення до Risk Appetite

       Порогові значення KRI повинні бути безпосередньо пов’язані з рівнями Risk Appetite та Risk Tolerance, що зафіксовані у внутрішніх політиках. Це дозволяє забезпечити узгодженість між стратегією компанії та її поточним ризик-профілем.

      Побудова системи KRI — це не разова дія, а динамічний процес, що потребує регулярного перегляду індикаторів, адаптації до змін зовнішнього середовища та внутрішніх процесів.

       Цим завершую першу частину нашого огляду. У другій  частині  планую розглянути такі питання, як здійснюється інтеграція KRI в Risk Management Framework, як практично впровадити та використовувати KRI у щоденній діяльності компанії. Окремо планую зупинитися на огляді застосування KRI у страховій сфері, з фокусом на специфіку non-life компаній і вимоги НБУ. Завершити  роботу над статтею планую фінальним блоком —  Приклади KRI з практики, де буде подано узагальнену таблицю з типових індикаторів для страхової компанії (non-life), з відповідними формулами, зонами ризику та поясненнями.