Останні кілька років міжнародна професійна спільнота активно обговорювала окремі напрями розвитку систем управління ризиками. З’являлися нові підходи до управління кіберризиками, ризиками третіх сторін, використанням штучного інтелекту, цифровою трансформацією та корпоративним управлінням. Кожен із цих напрямів розвивався досить самостійно, породжуючи власі стандарти, рекомендації та регуляторні вимоги.

Проте події 2026 року свідчать про появу нового інтегруючого підходу. IAIS опублікувала фінальну редакцію документа щодо операційної стійкості страховиків, а McKinsey присвятила черговий номер журналу McKinsey on Risk & Resilience переходу від традиційного управління ризиками до побудови стійких організацій. Майже одночасно європейські наглядові органи оприлюднили перший узагальнений аналіз значних ІКТ-інцидентів у рамках DORA, зробивши акцент уже не лише на причинах інцидентів, а на здатності фінансових установ продовжувати надання критично важливих послуг.

Усе це свідчить про важливу зміну професійної парадигми. Якщо ще кілька років тому головною метою системи управління ризиками було виявлення, оцінка та мінімізація окремих ризиків, то сьогодні дедалі частіше оцінюється зовсім інший результат — чи здатна організація продовжувати працювати навіть тоді, коли ризик уже реалізувався. Ця зміна, на мою думку, стане одним із головних напрямів розвитку ризик-менеджменту протягом найближчих років.

Чому управління окремими ризиками вже недостатньо

Традиційна модель управління ризиками будувалася навколо окремих категорій ризиків. Страховики оцінювали страхові, ринкові, кредитні, операційні, юридичні або комплаєнс-ризики, визначали їхній рівень, встановлювали ліміти, розробляли заходи реагування та контролювали динаміку показників. Такий підхід залишається правильним і сьогодні, проте він дедалі частіше виявляється недостатнім для пояснення того, що відбувається з компанією під час великих криз.

Причина полягає в тому, що сучасні події майже ніколи не реалізують лише один ризик. Кібератака швидко перетворюється на операційну кризу, породжує юридичні наслідки, призводить до витоку персональних даних, викликає претензії клієнтів, активізує регулятора та створює репутаційні втрати. Збій хмарного провайдера одночасно стає ризиком третьої сторони, ризиком безперервності діяльності, ІТ-ризиком, операційним ризиком та фінансовим ризиком через зупинку продажів або врегулювання збитків. AI-помилка може початися як технологічна проблема, але завершитися неправомірною відмовою у страховій виплаті, судовим спором або санкціями регулятора.

У таких ситуаціях уже не має принципового значення, до якої категорії було віднесено початковий ризик. Значно важливішим стає інше питання: чи здатна компанія продовжувати виконувати свої ключові функції, незважаючи на розвиток подій. В міжнародній практиці дедалі частіше оцінюють не окремі ризики, а стійкість критично важливих бізнес-сервісів, іншими словами, увага переноситься з причини інциденту на його наслідки для клієнтів і діяльності компанії. Це дуже важлива зміна мислення. Раніше ризик-менеджер ставив питання: «Яка ймовірність реалізації цього ризику?», сьогодні ж дедалі частіше звучить інше питання: «Що станеться з компанією, якщо цей ризик все ж реалізується?», яке і лежить в основі сучасної концепції операційної стійкості.

Що насправді означає операційна стійкість

Операційна стійкість нерідко помилково сприймається як нова назва безперервності діяльності або аварійного відновлення інформаційних систем, насправді ж міжнародні документи пропонують значно ширший підхід. У центрі уваги перебуває не процес відновлення після інциденту, а здатність організації підтримувати надання критично важливих послуг навіть тоді, коли окремі елементи системи перестають працювати.

Для страхової компанії це означає, що головним об’єктом управління стає не сервер, не конкретний бізнес-процес і навіть не окремий ризик, а послуга, яку отримує клієнт, наприклад, можливість укласти договір страхування, повідомити про страховий випадок, отримати врегулювання збитку або здійснити страхову виплату у прийнятний строк.

Навколо цих критично важливих сервісів починає будуватися система управління. Компанія повинна розуміти, які процеси забезпечують їх функціонування, які інформаційні системи використовуються, які зовнішні постачальники залучені, які дані є критичними, які підрозділи відповідають за їх роботу і які ризики можуть порушити їх надання. Це принципово відрізняється від традиційного підходу, коли кожен підрозділ оцінював ризики у власній сфері відповідальності. Операційна стійкість змушує дивитися на компанію як на єдину систему, у якій будь-яке порушення може вплинути на кінцевий результат для клієнта.

IAIS, DORA та інші сучасні міжнародні документи дедалі більше уваги приділяють не окремим контрольним заходам, а взаємозв’язкам між процесами, інформаційними системами, постачальниками та людьми. Фактично йдеться про перехід від управління окремими ризиками до управління складною мережею взаємозалежностей.

Це змінює і роль ризик-менеджера

Мабуть, найглибші зміни стосуються не технологій і навіть не регуляторних вимог, — вони стосуються самої професії ризик-менеджера. Традиційно від функції управління ризиками очікували насамперед виявлення ризиків, їх оцінки, моніторингу та підготовки звітності для Правління і Наглядової ради. Ці завдання залишаються актуальними, але їх уже недостатньо.

Якщо метою компанії стає операційна стійкість, ризик-менеджер більше не може обмежуватися веденням реєстру ризиків або контролем KRI. Він повинен розуміти, які бізнес-сервіси є критичними, як вони побудовані, де виникають точки концентрації ризиків, які зовнішні залежності існують і як окремі інциденти можуть розвиватися за принципом доміно. Інакше кажучи, ризик-менеджер дедалі менше працює з окремими ризиками і дедалі більше — з архітектурою бізнесу. Він має бачити не лише дерево ризиків, а й карту взаємозв’язків між людьми, процесами, інформаційними системами, постачальниками та клієнтськими сервісами.мСьогодні професія ризик-менеджера поступово повертається до своєї первісної суті. Її завдання полягає не у веденні каталогів ризиків і не у складанні звітів, її завдання — допомагати компанії залишатися керованою навіть у ситуаціях, коли звичний порядок роботи порушено.

Що це означає для українських страховиків

Для українського страхового ринку концепція операційної стійкості поки що може здаватися черговою міжнародною тенденцією, яка ще не набула практичного значення, проте досвід останніх років свідчить про протилежне. Війна, масовані кібератаки, перебої з електропостачанням, релокація персоналу, зміни в роботі державних реєстрів, залежність від хмарних сервісів та цифрових платформ уже неодноразово перевіряли страховиків на здатність продовжувати роботу в надзвичайних умовах.

Більшість компаній успішно пройшла ці випробування, але досягнуто цього переважно завдяки професіоналізму працівників, швидким управлінським рішенням і високій адаптивності бізнесу. Міжнародна практика пропонує зробити наступний крок — перетворити цей досвід на системний підхід, який не залежить від конкретних людей чи обставин.

Для функції управління ризиками це означає зміну пріоритетів. Звичайно, реєстр ризиків, KRI, ліміти ризик-апетиту, сценарний аналіз і стрес-тестування залишаються важливими інструментами, але дедалі більшої ваги набувають інші питання. Які бізнес-сервіси є критичними для страховика? Який максимальний час їх припинення є прийнятним? Від яких інформаційних систем, зовнішніх постачальників і ключових працівників вони залежать? Які ризики можуть одночасно порушити роботу кількох критичних процесів? Відповіді на ці питання поступово стають не менш важливими, ніж оцінка окремих категорій ризиків.

Це змінює і характер взаємодії між функцією управління ризиками та бізнесом. Ризик-менеджер уже не обмежується підготовкою методології або квартального звіту, тепер він бере участь у проєктуванні нових процесів, аналізує наслідки цифрової трансформації, оцінює концентрацію залежностей, допомагає визначити критичні точки бізнесу та перевіряє, чи здатна компанія працювати після реалізації найбільш несприятливих сценаріїв. Іншими словами, ризик-менеджмент дедалі більше переходить від спостереження до участі у формуванні стійкої бізнес-моделі.

Для українських страховиків це ще й можливість переосмислити власний досвід. Те, що для багатьох європейських компаній стало предметом регуляторних вимог, український ринок значною мірою пережив на практиці. Сьогодні є всі підстави не просто адаптувати міжнародні рекомендації, а поєднати їх із власними напрацюваннями та побудувати систему управління, яка відповідатиме сучасним викликам.

Висновки

Останні міжнародні публікації демонструють, що розвиток ризик-менеджменту входить у новий етап. Якщо раніше основна увага приділялася окремим категоріям ризиків, то тепер у центрі професійної дискусії перебуває здатність організації зберігати працездатність під час кризи.

Ця зміна не скасовує класичні підходи до управління ризиками, навпаки, вона робить їх частиною ширшої системи. Страхові, операційні, ІТ-ризики, ризики третіх сторін, кіберризики, ризики використання штучного інтелекту — усе це більше не розглядається ізольовано. Вони оцінюються через їхній вплив на безперервність критично важливих бізнес-сервісів і здатність компанії виконувати свої зобов’язання перед клієнтами.

У цьому контексті операційна стійкість не є новою функцією, яка повинна замінити управління ризиками, вона є результатом зрілої роботи всієї системи корпоративного управління. Якщо ризик-менеджмент, інформаційна безпека, безперервність діяльності, внутрішній контроль, ІТ, комплаєнс і бізнес-підрозділи працюють узгоджено, компанія отримує не просто набір контрольних процедур, а здатність залишатися керованою в умовах невизначеності.

Цікаво, що всі теми, які ми розглядали в попередніх статтях цього циклу, природно складаються в єдину картину. Управління ризиками штучного інтелекту, корпоративне AI Governance, контроль ризиків третіх сторін і нові підходи до операційного ризику — це не окремі напрями розвитку професії. Вони є різними аспектами одного процесу: переходу від управління окремими ризиками до управління стійкістю організації.

Можливо, в цьому і полягає головний висновок останніх років. Зрілість сучасної страхової компанії визначається вже не тим, наскільки детально вона описала свої ризики, а тим, наскільки впевнено вона здатна працювати тоді, коли ці ризики реалізуються.

Сергій БАБИЧ