Цикл «Ризик-менеджмент та врегулювання збитків»

За останні роки написано тисячі сторінок про ризик-менеджмент. Ми читаємо про апетит до ризику, систему трьох ліній захисту, ключові індикатори ризику, самооцінку ризиків і контролів, сценарний аналіз та власну оцінку ризиків і платоспроможності. Усе це важливо і потрібне. Проте після чергової конференції, навчального курсу або прочитаної статті у багатьох керівників підрозділів залишається одна й та сама думка: «Добре, тепер я знаю, що таке ризик-менеджмент. Але що конкретно я маю робити завтра на роботі?»

Особливо часто таке питання виникає у людей, яких призначили власниками ризиків. Формально все виглядає зрозуміло. У профілі ризиків навпроти певного ризику зазначене ваше прізвище. У посадовій інструкції написано, що ви відповідаєте за управління цим ризиком. Головний ризик-менеджер періодично просить надати інформацію про стан ризику, інциденти або виконання заходів реагування. Але що означає бути власником ризику на практиці? Які дії потрібно виконувати щодня, щотижня та щомісяця?

Ця стаття є спробою дати максимально практичну відповідь на це питання. Вона не претендує на універсальність і не замінює внутрішні документи компанії. Її мета значно простіша. Уявімо, що ви керуєте підрозділом врегулювання збитків і одночасно є власником операційного ризику цього процесу. Настає понеділок. Дев’ята година ранку. Починається новий робочий тиждень. Що ж має робити власник ризику протягом цього тижня?

Понеділок. Подивіться на процес, а не на звіти

Багато власників ризиків починають свій тиждень із електронної пошти. Хтось перевіряє виконання доручень, хтось готується до нарад, хтось одразу занурюється в поточні операційні питання. Проблема полягає в тому, що ризики рідко приходять у вигляді окремого листа з темою «Увага, у вас проблема». Як правило, вони проявляються через поступові зміни показників процесу. Перше завдання власника ризику в понеділок — не читати звіти про ризики, а оцінити стан процесу, за який він відповідає.

Для керівника врегулювання збитків такий огляд може займати від тридцяти хвилин до години. Його мета не в тому, щоб розглянути кожну справу окремо. Навпаки, потрібно піднятися над деталями і подивитися на процес цілком. Скільки справ перебуває в роботі? Чи збільшилася кількість прострочених справ? Чи є великі збитки, які потребують особливої уваги? Скільки судових спорів відкрито? Чи з’явилися нові скарги клієнтів? Чи були за минулий тиждень випадки потенційного шахрайства або внутрішніх помилок? Ці і подібні питання дозволяють побачити перші сигнали можливих проблем.

Досвід показує, що ризики дуже рідко реалізуються миттєво. Значно частіше їм передує серія дрібних відхилень. Наприклад, середній строк врегулювання починає поступово зростати. Потім збільшується кількість скарг. Через деякий час з’являються перші судові спори. Якщо власник ризику помічає проблему на першому етапі, вона зазвичай залишається керованою. Якщо ж увага зосереджена лише на окремих справах, системна проблема може залишатися непоміченою місяцями.

Саме тут вперше з’являється поняття ризик-апетиту. Для більшості власників ризиків ризик-апетит здається чимось абстрактним із документів ризик-менеджера. Насправді це дуже практичний інструмент. Якщо компанія визначила допустимий рівень прострочених справ у п’ять відсотків, а сьогодні цей показник становить чотири з половиною відсотки і продовжує зростати, це вже не просто операційна статистика. Це сигнал ризику. Якщо встановлено граничну кількість підтверджених випадків внутрішніх помилок на квартал, власник ризику повинен бачити цей показник так само добре, як бачить виконання бюджету або виробничих планів.

Наприкінці такого аналізу керівник має поставити собі просте питання: чи бачу я сьогодні щось таке, що може перетворитися на проблему через місяць або квартал? Якщо відповідь позитивна, то ця тема має стати предметом подальшого аналізу протягом тижня. Якщо відповідь негативна, це також корисний результат. Адже управління ризиками полягає не лише у виявленні проблем, а й у регулярному підтвердженні того, що процес залишається в контрольованому стані.

Понеділок власника ризику починається не з матриці ризиків, не з реєстру ризиків і навіть не зі звіту для головного ризик-менеджера. Він починається з уважного погляду на процес, за який ця людина відповідає щодня. Усі інші інструменти ризик-менеджменту мають сенс лише тоді, коли допомагають краще зрозуміти реальний стан цього процесу.

Вівторок. Не шукайте винних. Шукайте причини

Якщо понеділок був днем спостереження, то вівторок має стати днем аналізу. Найбільша помилка багатьох власників ризиків полягає в тому, що вони зупиняються на  факті відхилення. Вони бачать, що кількість прострочених справ зросла. Помічають збільшення скарг клієнтів. Фіксують появу нових судових спорів. Проте на цьому аналіз часто завершується. У кращому випадку проблему вносять до чергового звіту. У гіршому — просто беруть до відома. Насправді ж саме після виявлення відхилення починається справжня робота власника ризику.

Припустимо, у понеділок керівник врегулювання помітив, що середній строк врегулювання збитків за останні два місяці зріс на десять відсотків. Це ще не ризик. Це лише симптом. Аналогічно лікар не лікує підвищену температуру як самостійну хворобу. Він намагається зрозуміти причину її виникнення. Саме так має діяти і власник ризику. Його завдання полягає не у фіксації проблеми, а в пошуку механізму, який до неї призвів.

На цьому етапі дуже корисним стає підхід, який ризик-менеджери часто називають аналізом першопричин. Простими словами це означає, що потрібно кілька разів поспіль поставити запитання «чому». Чому збільшився строк врегулювання? Тому що зросла кількість справ. Чому зросла кількість справ? Тому що компанія збільшила продажі. Чому підрозділ не впорався зі збільшеним навантаженням? Тому що кількість працівників залишилася незмінною. Уже на цьому етапі стає зрозуміло, що проблема полягає не в роботі конкретного врегулювальника, а в управлінському рішенні щодо ресурсів процесу. Такий аналіз дозволяє перейти від боротьби із симптомами до управління реальними ризиками.

Досвід показує, що дуже часто причини відхилень лежать зовсім не там, де їх шукають спочатку. Наприклад, зростання кількості судових спорів може бути пов’язане не з якістю роботи юридичного підрозділу, а з некоректними формулюваннями в умовах страхування. Збільшення кількості скарг клієнтів може бути наслідком не помилок врегулювальників, а затримок у роботі зовнішніх експертів або ремонтних організацій. Власник ризику повинен дивитися на процес цілком, а не лише на ту його частину, яка формально знаходиться в його безпосередньому підпорядкуванні.

Ось чому у вівторок часто стає зрозуміло, чи є проблема випадковим інцидентом або ознакою системного ризику. Якщо затримка виникла через хворобу одного працівника, ситуація може вирішитися сама собою протягом кількох днів. Якщо ж причина полягає у хронічній нестачі ресурсів, недоліках програмного забезпечення або неефективній взаємодії між підрозділами, власник ризику має справу вже не з інцидентом, а з ризиком, який потребує окремого управлінського рішення.

На цьому етапі багато хто помилково починає заповнювати нові таблиці або готувати презентації для керівництва. Насправді поспішати не варто. Спочатку необхідно зрозуміти масштаб проблеми. Наскільки вона поширена? Як довго існує? Які наслідки може спричинити? Чи впливає вона на встановлений ризик-апетит? Без відповідей на ці питання будь-які плани заходів ризикують перетворитися на боротьбу з наслідками замість управління причинами.

До кінця вівторка у власника ризику має сформуватися значно чіткіша картина ситуації, ніж була в понеділок вранці. Він уже не просто знає, що показник погіршився. Він розуміє, чому це сталося, які фактори впливають на проблему та наскільки серйозними можуть бути наслідки. Ця інформація стане основою для наступного етапу роботи — обговорення ризиків із командою та пошуку можливих рішень.

І тут варто пам’ятати одну важливу річ. Хороший власник ризику не шукає винних. Він шукає причини. Винний допомагає пояснити минуле. Причина допомагає змінити майбутнє. Вівторок є одним із найважливіших днів у робочому тижні власника ризику.

Середа. Не вирішуйте ризики наодинці

Після двох перших днів у власника ризику вже повинно сформуватися певне розуміння ситуації. Він бачить відхилення, розуміє його можливі причини та може оцінити потенційні наслідки для процесу. На жаль, на цьому етапі багато керівників припускаються дуже характерної помилки. Вони намагаються самостійно знайти рішення та одразу переходять до видачі доручень. На перший погляд це виглядає логічно. Адже керівник відповідає за процес. Проте ризики рідко виникають через одну людину або один підрозділ. А тому і якісні рішення також рідко народжуються в кабінеті однієї людини.

Тому середа є хорошим днем для роботи з командою. Не для чергової оперативної наради про виконання планів і не для обговорення всіх поточних справ. Йдеться про окрему розмову щодо відхилень, інцидентів та ризиків. У багатьох компаніях такі зустрічі займають від тридцяти хвилин до години на тиждень, але їхня користь часто значно перевищує користь від багатогодинних нарад про виробничі показники.

Уявімо, що під час аналізу у вівторок керівник врегулювання дійшов висновку, що причиною зростання строків врегулювання стала не нестача персоналу, як здавалося спочатку, а затримки під час отримання висновків зовнішніх експертів. Самостійно він може лише припускати причини. Але саме працівники, які щодня взаємодіють із цими експертами, часто здатні пояснити реальну ситуацію. Можливо, змінилися внутрішні процедури. Можливо, виникла проблема з конкретним підрядником. А можливо, сам страховик почав вимагати більше документів, ніж раніше. Без цієї інформації будь-яке рішення ризикує виявитися помилковим.

Окрему увагу під час таких обговорень варто приділяти інцидентам. Дуже часто співробітники сприймають помилки як щось небажане, про що краще зайвий раз не згадувати. Для власника ризику це небезпечний підхід. Помилка — це не лише проблема. Це ще й джерело інформації про слабкі місця процесу. Якщо врегулювальник помилково здійснив виплату без одного з обов’язкових документів, головне питання полягає не в тому, хто винен. Головне питання — чому процес дозволив це зробити. Чи був контроль? Чи був він достатнім? Чи працює він зараз?

На цьому етапі часто виникають перші рішення щодо заходів реагування. Наприклад, команда може запропонувати змінити внутрішню процедуру, посилити контроль певного етапу процесу, автоматизувати окрему перевірку або переглянути розподіл відповідальності між працівниками. Важливо, що ці рішення народжуються не внаслідок формального виконання вимог ризик-менеджменту, а внаслідок спільного аналізу реальної проблеми.

Ще одна важлива функція таких зустрічей полягає у формуванні культури власності на ризик. У багатьох організаціях співробітники досі вважають, що ризик-менеджментом займається виключно головний ризик-менеджер або окремий підрозділ. Насправді ж ризики виникають саме в бізнес-процесах. І  люди, які щодня працюють у цих процесах, першими бачать ознаки майбутніх проблем. Якщо команда починає відкрито обговорювати ризики та інциденти, організація отримує значно більше шансів виявити проблему до того, як вона перетвориться на збиток.

До кінця середи власник ризику повинен мати не лише розуміння проблеми, а й попереднє бачення можливих рішень. Поки що це ще не план заходів і не матеріал для звіту головному ризик-менеджеру. Це лише перелік гіпотез та варіантів дій, які команда вважає доцільними. Але  на цьому етапі управління ризиками перестає бути індивідуальною роботою керівника і стає частиною роботи всього підрозділу.

Четвер. Не плутайте управління ризиком з ескалацією ризику

Якщо понеділок був присвячений виявленню відхилень, вівторок — пошуку причин, а середа — обговоренню можливих рішень, то четвер стає днем, коли власник ризику повинен відповісти на дуже важливе запитання: чи здатен я вирішити проблему власними силами, чи вона потребує залучення інших учасників системи управління ризиками? Тут починається те, що в більшості компаній називають ескалацією ризику.

На практиці навколо ескалації існує чимало непорозумінь. Одні власники ризиків бояться ескалювати проблеми, оскільки сприймають це як визнання власної неспроможності впоратися із ситуацією. Інші, навпаки, намагаються передати головному ризик-менеджеру практично будь-яке питання, яке виходить за межі повсякденної роботи. Обидва підходи є помилковими. Ескалація не означає передачу відповідальності. Власник ризику залишається власником ризику навіть після того, як проблема була винесена на вищий рівень управління.

На жаль, тут часто виникає одна з найпоширеніших помилок у побудові системи управління ризиками. У багатьох компаніях бізнес-підрозділи починають сприймати головного ризик-менеджера як людину, яка повинна вирішувати проблеми замість них. У результаті керівник врегулювання приходить до CRO і фактично говорить: «У мене проблема. Розкажіть, що мені робити». Насправді правильна комунікація виглядає зовсім інакше. До моменту ескалації власник ризику вже повинен виконати більшу частину роботи самостійно.

“Хороша” ескалація майже завжди складається з чотирьох елементів. По-перше, опис проблеми. По-друге, аналіз причин її виникнення. По-третє, оцінка потенційних наслідків. По-четверте, перелік можливих варіантів реагування. Іншими словами, власник ризику не приходить із питанням. Він приходить із проблемою, яку вже проаналізував, і з варіантами її вирішення. У такому випадку головний ризик-менеджер може виконати свою справжню функцію — допомогти оцінити ризик, надати незалежний погляд та забезпечити координацію між різними підрозділами компанії.

Уявімо, що керівник врегулювання встановив причину зростання строків розгляду справ. Аналіз показав, що проблема пов’язана не лише з роботою самого підрозділу, а й із затримками в інформаційній системі, яка використовується одночасно кількома функціями компанії. У такій ситуації власник ризику вже не може вирішити проблему самостійно. Потрібне залучення ІТ-підрозділу, можливо, додаткове фінансування або навіть рішення правління. В цей момент виникає підстава для ескалації.

Не менш важливим є питання ризик-апетиту. У багатьох компаніях ескалація відбувається автоматично після досягнення певних порогових значень. Наприклад, якщо кількість прострочених справ перевищила встановлений ліміт, якщо виник значний операційний інцидент або якщо потенційні втрати можуть перевищити визначений рівень. У таких випадках рішення про ескалацію не є питанням особистої думки керівника. Воно вже визначене внутрішніми правилами компанії.

Ще одна важлива функція четверга — підготовка інформації для ризикової звітності. І тут багато власників ризиків припускаються помилки. Вони намагаються описати все, що відбувається в підрозділі. Насправді головному ризик-менеджеру та правлінню не потрібен перелік усіх подій. Їм потрібна інформація про відхилення, тенденції, ризики та можливі наслідки для компанії. Хороша ризикова звітність завжди коротша за операційну, але значно змістовніша.

До кінця четверга власник ризику повинен чітко розуміти дві речі. Перша — які питання він здатен вирішити самостійно. Друга — які ризики потребують залучення інших рівнів управління. Ця межа між самостійним управлінням і своєчасною ескалацією багато в чому визначає зрілість усієї системи ризик-менеджменту.

Існує проста ознака якісної роботи власника ризику. Якщо головний ризик-менеджер регулярно дізнається про проблеми з чуток або вже після того, як вони реалізувалися, система працює погано. Якщо ж CRO отримує інформацію про ризик тоді, коли ще існує можливість вплинути на ситуацію, ескалація виконує свою функцію саме так, як і задумано.

П’ятниця. Оцініть не ризики, а власну систему управління ризиками

До п’ятниці більшість керівників уже занурюються в операційну рутину наступного тижня. Нові завдання поступово витісняють події попередніх днів, а увага перемикається на поточні питання. Саме тому багато ризиків залишаються невирішеними не через відсутність аналізу або ресурсів, а через відсутність моменту для осмислення отриманого досвіду. Для власника ризику п’ятниця повинна стати таким моментом.

Якщо понеділок був присвячений спостереженню, вівторок — пошуку причин, середа — обговоренню рішень, а четвер — визначенню потреби в ескалації, то п’ятниця має бути днем оцінки. Причому оцінювати потрібно не лише сам ризик. Набагато важливіше оцінити ефективність власної системи управління ризиками. Чи вдалося вчасно виявити проблему? Чи допомогли встановлені індикатори ризику побачити відхилення? Чи спрацювали контролі? Чи були вони достатніми? Ці і подібні питання дозволяють зрозуміти, наскільки зрілою є система управління ризиками в конкретному процесі.

У багатьох компаніях наприкінці тижня власники ризиків переглядають статус раніше погоджених заходів реагування. І це дуже корисна практика. Досвід показує, що ризики значно рідше стають проблемою через відсутність планів дій, ніж через відсутність контролю за їх виконанням. Майже в кожній організації можна знайти чудово написані плани заходів, які роками залишаються невиконаними. Ось чому власник ризику повинен регулярно ставити собі незручне запитання: що реально змінилося після прийняття того чи іншого рішення?

Не менш важливою є оцінка контрольних процедур. Наприклад, якщо протягом тижня було виявлено кілька випадків порушення встановлених процедур врегулювання, потрібно зрозуміти, чи є проблема в людях, чи в самих контролях. Можливо, контроль існує лише формально. Можливо, він занадто складний для практичного застосування. А можливо, процес змінився, а контроль залишився незмінним. Ефективний власник ризику регулярно переглядає не лише ризики, а й механізми управління ними.

П’ятниця також є хорошим моментом для перегляду ключових індикаторів ризику. У багатьох компаніях такі показники живуть власним життям. Їх колись визначили, погодили та включили до профілю ризиків, після чого вони роками залишаються незмінними. Проте бізнес-процеси змінюються. Змінюються технології, навантаження, організаційна структура та зовнішнє середовище. Тому власник ризику повинен періодично оцінювати, чи дійсно наявні індикатори допомагають бачити ризики, або вони перетворилися на звичайну статистику без управлінської цінності.

Ще одна важлива тема — накопичення знань. Кожен інцидент, кожна помилка, кожне відхилення та кожен успішно реалізований захід реагування є джерелом досвіду для майбутніх рішень. На жаль, у багатьох організаціях цей досвід залишається лише в пам’яті окремих працівників. Саме тому наприкінці тижня корисно зафіксувати ключові висновки: що сталося, чому сталося, які рішення були прийняті та що потрібно врахувати надалі. Для зрілої системи ризик-менеджменту такі знання нерідко є ціннішими за будь-які формальні звіти.

Іноді результатом такого аналізу стає висновок, що серйозних проблем немає. І це також важливий результат. Управління ризиками не повинно перетворюватися на безперервний пошук катастроф. Значна частина роботи власника ризику полягає і в підтвердженні того, що процес залишається в контрольованому стані, а наявні механізми управління працюють належним чином.

До кінця п’ятниці власник ризику має відповісти собі на просте запитання: чи став я краще розуміти свій процес, ніж тиждень тому? Якщо відповідь позитивна, система управління ризиками працює правильно. Якщо ж усі дії протягом тижня звелися лише до підготовки звітів і виконання формальних процедур, існує ризик, що справжні проблеми залишаться поза увагою.

Висновки

Звичайно, у реальному житті робота власника ризику не розкладається по днях тижня настільки акуратно, як це описано в цій статті. Іноді серйозний інцидент вимагає ескалації вже в понеділок. Іноді аналіз причин займає не один день, а кілька тижнів. А іноді весь описаний цикл від виявлення проблеми до прийняття рішення проходить протягом однієї наради. Саме тому понеділок, вівторок, середа, четвер і п’ятниця в цій статті є лише умовною моделлю.

Метою цієї моделі було не описати календар власника ризику, а показати логіку його мислення та послідовність дій. Спочатку потрібно побачити відхилення. Потім зрозуміти його причини. Далі залучити команду до пошуку рішень. За необхідності ескалювати проблему на вищий рівень управління. І нарешті оцінити результати та зробити висновки для майбутнього. Ця послідовність лежить в основі практичного управління ризиками незалежно від того, чи йдеться про врегулювання збитків, андеррайтинг, продажі, ІТ або будь-який інший бізнес-процес.

Мабуть, головний висновок полягає в тому, що власник ризику — це не автор чергової матриці ризиків і не постачальник інформації для головного ризик-менеджера. Його основне завдання полягає в управлінні процесом, за який він відповідає. Ризик-менеджмент у цьому випадку не є окремою функцією або набором документів. Він стає способом щоденної роботи керівника.

І якщо після прочитання цієї статті хтось із читачів у понеділок о дев’ятій ранку поставить собі питання не «який звіт мені потрібно підготувати», а «які сигнали ризику я бачу у своєму процесі», то своєї мети ця умовна “шпаргалка” вже досягла.

Сергій БАБИЧ