Коли правильна арифметика дає неправильну відповідь

Уявімо страховика, який послідовно розбудовував систему управління ризиками: визначив суттєві ризики та важливі процеси, встановив для них ключові індикатори ризику, порогові значення й ліміти, оцінив можливі фінансові наслідки реалізації окремих ризиків. Значна частина цих показників має грошове вираження, тому наступний крок здається цілком природним: скласти їх і отримати єдину величину, яка характеризуватиме ризик, прийнятний для компанії в цілому. Припустимо, така сума становить 300 млн грн. Її можна назвати сукупним ризик-апетитом (aggregate Risk Appetite), порівняти з капіталом або активами, встановити контроль за її дотриманням і навіть побудувати на цій основі систему каскадування лімітів. Арифметично конструкція виглядає переконливо. Проблема виникає тоді, коли ми намагаємося зрозуміти її економічний зміст.

Що означають ці 300 млн грн? Це максимальний збиток, який страховик готовий понести? Максимальний збиток, який він здатний витримати? Сукупна експозиція за всіма ризиками? Сума граничних значень, перевищення яких компанія вважає неприйнятним? Або лише результат додавання кількох десятків показників, кожен із яких має власне призначення? Відповідь принципова, оскільки одна й та сама сума може складатися з максимальної експозиції на контрагента, власного утримання за страховим ризиком, оцінених втрат від операційного інциденту, можливого штрафу за регуляторне порушення, граничної концентрації активів та інших показників. Усі вони можуть бути виражені у гривнях, але спільна одиниця виміру ще не робить їх економічно однорідними.

Проблема стає ще помітнішою, якщо до нашого умовного прикладу додати інші показники. Припустимо, страховик має 800 млн грн прийнятних активів, 220 млн грн прийнятного регулятивного капіталу, а його капітал платоспроможності (SCR) становить 160 млн грн. На перший погляд може виникнути дуже привабливий висновок: 300 млн грн сукупного ризик-апетиту більш ніж удвічі покриваються прийнятними активами, а отже компанія має значний запас фінансової стійкості, проте 800 млн грн активів не є 800 млн грн вільного ресурсу для поглинання збитків, 60 млн грн різниці між регулятивним капіталом і SCR автоматично не стають ризиковою спроможністю компанії, а 300 млн грн, отримані додаванням різнорідних показників, не перетворюються через це на економічно обґрунтований сукупний ризик-апетит.

Усі цифри в цьому прикладі умовні й використовуються виключно для ілюстрації методологічного підходу. Але питання, яке стоїть за ними, цілком практичне: як страховикові побудувати систему ризик-апетиту так, щоб за кожним показником стояв зрозумілий економічний зміст, а зв’язок між ризиковою спроможністю, ризик-апетитом, лімітами та індикаторами ризику був не арифметичним, а управлінським? Для відповіді на нього спочатку необхідно розібратися з поняттями, які у внутрішніх документах часто стоять поруч, але виконують різні функції.

П’ять понять, які легко переплутати

Побудова системи ризик-апетиту починається не з визначення конкретної суми, а з розмежування кількох рівнів управління ризиком. Ризикова спроможність (Risk Capacity) показує граничний рівень ризику, який страховик об’єктивно здатний витримати, зберігаючи платоспроможність, достатність капіталу, ліквідність, здатність виконувати зобов’язання перед страхувальниками та дотримуватися регуляторних вимог. Це верхня межа, яка визначається не бажанням менеджменту приймати більше або менше ризику, а фінансовими можливостями компанії та обмеженнями, за межами яких її стійкість опиняється під загрозою, тому ризикова спроможність не варто зводити до однієї простої арифметичної величини, наприклад до різниці між наявним регулятивним капіталом і SCR: для її оцінки мають значення також MCR, ліквідність, структура активів і зобов’язань, часовий горизонт, результати стрес-тестування та здатність страховика продовжувати виконання своїх зобов’язань після реалізації несприятливих сценаріїв.

Ризик-апетит (Risk Appetite) відповідає вже на інше питання: не скільки ризику компанія теоретично здатна витримати, а скільки і якого ризику вона свідомо готова приймати для досягнення своїх стратегічних і бізнес-цілей. Ризикова спроможність у цій конструкції є зовнішньою межею, а ризик-апетит — управлінським вибором усередині неї. Якщо страховик здатний витримати певний рівень ризикового навантаження, це зовсім не означає, що він повинен бути готовим працювати безпосередньо біля цієї межі. Між спроможністю витримати ризик і готовністю його прийняти має залишатися обґрунтований запас, величина якого залежить від бізнес-моделі, структури страхового портфеля, капітальної позиції, ліквідності, стратегічних цілей та ставлення власників і органів управління до ризику.

Звідси випливає ще одна важлива річ: сукупний ризик-апетит не слід автоматично розуміти як «допустимий збиток», який компанія готова понести. Страховик за своєю природою приймає ризикові експозиції, номінальний обсяг яких може багаторазово перевищувати його власний капітал, і управляє ними через тарифікацію, диверсифікацію портфеля, перестрахування, власне утримання, резервування, ліміти та інші механізми, тому економічно змістовніше розглядати сукупний ризик-апетит як граничний інтегрований рівень ризикового навантаження, який компанія готова приймати в межах своєї ризикової спроможності, а не як заздалегідь визначену суму майбутніх втрат.

Ліміт ризику (Risk Limit) переносить цю верхньорівневу логіку на рівень конкретного управлінського рішення. Він встановлює межу певної експозиції, концентрації, власного утримання, обсягу операцій або іншого параметра, яким компанія реально може управляти, наприклад, страховик може обмежити максимальне власне утримання за одним ризиком, концентрацію активів на одному контрагенті, частку певного сегмента у страховому портфелі або максимально допустиму тривалість недоступності критичної інформаційної системи. Уже з цих прикладів видно, чому не кожен ліміт повинен бути виражений у гривнях: для одного ризику природною одиницею виміру буде сума, для іншого — частка портфеля, відсоток, кількість випадків або час.

Допустиме відхилення, або толерантність до ризику (Risk Tolerance), характеризує простір відхилення від установленого цільового чи прийнятного рівня, який ще не потребує визнання ситуації остаточно неприйнятною, але може вимагати посилення контролю, ескалації або коригувальних дій. Тут особливо важливо не ототожнювати толерантність із лімітом. Ліміт відповідає на питання, де проходить управлінська межа, яку не можна перевищувати без спеціального рішення або негайного реагування, тоді як толерантність допомагає визначити, яке відхилення від цільового стану компанія ще готова приймати протягом певного часу та за певних умов. У конкретній системі ці межі можуть бути дуже близькими, але їх призначення залишається різним.

Нарешті, ключовий індикатор ризику (Key Risk Indicator, KRI) взагалі не визначає обсяг ризику, який компанія готова прийняти. Його завдання — показувати зміну ризикової ситуації та завчасно сигналізувати про наближення до небезпечної зони. Зростання збитковості, збільшення концентрації на одному контрагенті, кількість критичних ІТ-інцидентів, тривалість простою системи, частка простроченої дебіторської заборгованості або кількість помилок у регуляторній звітності можуть бути індикаторами ризику, але самі по собі вони не є ані ризик-апетитом, ані його грошовими складовими. Так само перехід індикатора у критичну зону не обов’язково означає, що ризикова подія вже реалізувалася: часто це сигнал про небезпечне зростання ризику, наближення до ліміту та необхідність управлінської реакції до того, як виникнуть реальні втрати.

Отже, загальна архітектура виглядає достатньо логічно: ризикова спроможність визначає зовнішню межу можливостей страховика, у її межах установлюється сукупний ризик-апетит, який далі конкретизується за суттєвими ризиками та каскадується через систему лімітів на рівень портфелів, продуктів, контрагентів і процесів. Допустимі відхилення та ключові індикатори доповнюють цю конструкцію, створюючи систему раннього попередження, контролю та реагування. Проблеми починаються тоді, коли цей рух намагаються розвернути у протилежному напрямі: беруть різні показники нижнього рівня, називають їх усі «лімітами», переводять у гривні, якщо це можливо, а потім додають і отриману суму оголошують сукупним ризик-апетитом. Чому така арифметика може створити методологічну ілюзію, розглянемо далі.

Головна пастка: одна гривня ще не робить показники однаковими

Повернімося до нашого умовного страховика. Припустимо, у межах системи управління ризиками він визначив для важливих процесів низку кількісних показників: 40 млн грн максимальної експозиції на одного контрагента, 25 млн грн максимального власного утримання за окремим страховим ризиком, 5 млн грн потенційних втрат у разі критичного операційного інциденту, 3 млн грн можливого фінансового впливу суттєвої помилки в актуарних розрахунках, 10 млн грн граничної експозиції за певним інвестиційним напрямом. Перелік можна продовжувати, і зрештою після додавання всіх подібних величин отримати вже згадані у вступі 300 млн грн. На рівні арифметики жодної помилки тут немає: гривні можна додати до гривень, але з погляду управління ризиками ми складаємо величини, які відповідають на різні запитання.

Експозиція (Exposure) показує обсяг позиції, активу, зобов’язання або іншого об’єкта, що перебуває під впливом ризику. Якщо страховик має 40 млн грн експозиції на певного контрагента, це ще не означає, що він може втратити всі 40 млн грн, і тим більше не означає, що 40 млн грн є збитком, який компанія готова прийняти. Для оцінки можливих наслідків необхідно враховувати характер експозиції, забезпечення, можливість відновлення коштів, перестраховий захист, імовірність дефолту та інші обставини, тому експозиція є характеристикою масштабу ризику, але не тотожна потенційному збитку.

Потенційний збиток (Potential Loss), навпаки, є оцінкою можливого фінансового наслідку реалізації певного сценарію. Якщо компанія оцінює, що критичний операційний інцидент може призвести до втрат у розмірі 5 млн грн, ця цифра характеризує наслідок ризикової події за визначених припущень, але не обов’язково є лімітом. Страховик не управляє таким ризиком, «дозволяючи втратити не більше 5 млн грн», він управляє причинами та масштабом можливого інциденту: встановлює вимоги до безперервності діяльності, резервного копіювання, часу відновлення систем, доступу до інформації, контрольних процедур, а вже потенційний збиток використовується для оцінки того, наскільки ефективними є ці обмеження і що станеться, якщо вони не спрацюють.

Ще виразніше ця різниця проявляється на прикладі можливого штрафу. Припустимо, у певному процесі компанія визначила 3 млн грн як максимальний фінансовий наслідок суттєвого регуляторного порушення і назвала цю величину «лімітом ризику». Але що в цьому випадку фактично лімітується? Навряд чи страховик свідомо дозволяє собі порушувати регуляторні вимоги доти, доки можливий штраф не перевищує 3 млн грн. Управлінські обмеження тут, імовірніше, мають стосуватися кількості та суттєвості порушень, строків подання звітності, своєчасності усунення виявлених недоліків або інших параметрів, на які компанія може безпосередньо впливати. Три мільйони в такому прикладі залишаються корисною величиною, але їх правильніше розглядати як оцінку потенційного фінансового впливу, а не автоматично називати лімітом ризику.

Іншу економічну природу має власне утримання страховика. Якщо воно встановлене на рівні 25 млн грн, ця величина справді може виконувати функцію управлінського обмеження, оскільки визначає, яку частину ризику компанія залишає на собі, а яку передає у перестрахування, проте й тут 25 млн грн власного утримання не дорівнюють 25 млн грн очікуваного або потенційного збитку. Реальний фінансовий результат залежатиме від характеру страхового випадку, умов договору, структури перестрахового захисту та інших чинників, тобто навіть два показники, кожен із яких цілком обґрунтовано виражений у гривнях і використовується в управлінні ризиками, можуть описувати принципово різні сторони ризикової позиції страховика.

Звідси випливає просте, але важливе правило: спільна одиниця виміру не створює спільної економічної природи. Якщо експозиція становить 40 млн грн, власне утримання — 25 млн грн, потенційний збиток від операційного сценарію — 5 млн грн, а можливий фінансовий наслідок іншого ризику — 3 млн грн, арифметична сума 73 млн грн математично існує, але її економічний зміст залишається невизначеним. Ми додали обсяг позиції під ризиком, управлінське обмеження та дві оцінки можливих наслідків. Отримана цифра не відповідає однозначно ані на питання про загальну експозицію страховика, ані на питання про максимальний збиток, ані на питання про ризикову спроможність чи ризик-апетит.

Це не означає, що такі показники треба вилучити із системи управління ризиками або відмовитися від їх грошового вимірювання, навпаки, кожен із них може бути корисним, якщо чітко визначено його призначення. Експозиція показує, скільки перебуває під ризиком; потенційний збиток — що компанія може втратити за певного сценарію; ліміт — яку межу вона встановлює для керованого параметра; допустиме відхилення — наскільки фактичний стан може відійти від цільового або прийнятного рівня до обов’язкового реагування; ключовий індикатор — як компанія бачить наближення до небезпечної зони. Методологічна проблема виникає не через наявність різних показників, а тоді, коли вони отримують однакову назву, а після цього починають використовуватися як взаємозамінні.

Для страховика це має цілком практичні наслідки. Якщо потенційний збиток названо лімітом, його перевищення важко правильно інтерпретувати: чи порушила компанія встановлене управлінське обмеження, чи лише змінилася оцінка наслідків несприятливого сценарію? Якщо експозиція названа потенційним збитком, ризик може виглядати значно більшим, ніж його реальний фінансовий вплив. Якщо порогове значення ключового індикатора ототожнюється з толерантністю до ризику, перехід індикатора в червону зону може помилково трактуватися як уже реалізована ризикова подія. А якщо всі ці величини після цього складаються, методологічна невизначеність кожної окремої складової переноситься на верхній рівень системи.

Тому перед визначенням сукупного ризик-апетиту страховикові доцільно провести, на перший погляд, дуже просту інвентаризацію: взяти кожен кількісний показник, який сьогодні називається «лімітом ризику», і поставити до нього запитання — що він насправді вимірює і яким управлінським рішенням компанія може на нього впливати? Після такої перевірки частина чинних «лімітів» залишиться лімітами, частина виявиться експозиціями, частина — оцінками потенційних збитків, а деякі показники доцільніше буде віднести до ключових індикаторів або порогів реагування. І лише після такого розмежування можна переходити до наступного питання: що ж тоді означає отримана шляхом їх додавання умовна сума 300 млн грн і чи має вона взагалі право називатися сукупним ризик-апетитом.

Умовні 300 млн грн: що насправді означає ця цифра?

Отже, наш умовний страховик провів значну роботу: визначив важливі процеси, встановив для них кількісні показники, частину з яких назвав лімітами ризику, і після їх додавання отримав 300 млн грн. На цьому етапі виникає спокуса зробити ще один, начебто цілком логічний крок — оголосити отриману суму сукупним ризик-апетитом компанії, адже якщо кожен окремий показник характеризує певну межу прийнятного ризику, то сума таких меж нібито повинна показувати, скільки ризику страховик готовий прийняти загалом. Проте після розмежування експозиції, потенційного збитку, ліміту, допустимого відхилення та ключового індикатора стає зрозуміло, що ця логіка працює лише за однієї важливої умови: усі складові мають бути економічно однорідними, вимірювати один і той самий вид величини та допускати коректне агрегування. У нашому прикладі цієї умови немає.

Припустимо, що до 300 млн грн увійшли максимальні експозиції на окремих контрагентів, власне утримання за страховими ризиками, оцінки можливих операційних втрат, потенційні витрати внаслідок помилок у внутрішніх процесах, можливі регуляторні санкції та кілька інших грошових показників. Частина з них показує обсяг позиції під ризиком, частина встановлює управлінську межу, а частина оцінює наслідки вже визначеного несприятливого сценарію. Тому твердження «ризик-апетит страховика становить 300 млн грн» відразу породжує питання: 300 млн чого? Експозиції? Потенційних втрат? Допустимих збитків? Лімітів? Капіталу під ризиком? Якщо на це питання немає однозначної відповіді, проблема полягає не у величині показника, а в його економічному змісті.

Не допомагає вирішити цю проблему й порівняння отриманої суми з активами. Припустимо, як ми вже зазначали у вступі, що умовний страховик має 800 млн грн прийнятних активів. Просте зіставлення дає привабливу картину: 800 млн грн проти 300 млн грн, тобто активи перевищують умовний «сукупний ризик-апетит» приблизно у 2,7 раза. Звідси легко перейти до висновку, що всі прийняті ризики повністю забезпечені активами, а компанія має значний запас фінансової стійкості, однак таке порівняння змішує дві різні сторони балансу страховика. Прийнятні активи не є вільним фондом, який можна повністю використати для поглинання будь-яких майбутніх збитків: вони забезпечують виконання зобов’язань страховика, зокрема тих, для покриття яких сформовано технічні резерви, та беруть участь у виконанні встановлених пруденційних вимог, тому сам факт того, що певна сума процесних показників у декілька разів менша за обсяг прийнятних активів, ще нічого не говорить про здатність страховика одночасно витримати відповідний обсяг втрат.

Не менш небезпечним було б зробити протилежний висновок і порівняти 300 млн грн безпосередньо з капіталом. Нехай прийнятний регулятивний капітал нашого умовного страховика становить 220 млн грн. Тоді арифметика нібито демонструє вже зовсім іншу картину: ризик-апетит 300 млн грн перевищує капітал на 80 млн грн, а отже компанія начебто прийняла ризиків більше, ніж здатна витримати, але й такий висновок був би передчасним, оскільки ми знову порівнюємо різні величини. Якщо до 300 млн грн входять експозиції, власне утримання, потенційні втрати та інші показники, немає підстав вважати, що всі вони перетворяться на збиток у повному розмірі. Страхова діяльність узагалі була б практично неможливою, якби кожна прийнята експозиція мала повністю покриватися власним капіталом страховика.

Це добре видно на найпростішому прикладі страхового портфеля. Загальна страхова відповідальність компанії може багаторазово перевищувати її капітал, але з цього не випливає, що страховик є неплатоспроможним або працює за межами своєї ризикової спроможності. Економічна модель страхування побудована на тому, що не всі застраховані ризики реалізуються одночасно і в максимальному розмірі, а їх фінансовий вплив управляється через тарифікацію, резервування, диверсифікацію, перестрахування, власне утримання та капітал. Аналогічна логіка має застосовуватися й до сукупної оцінки ризикового навантаження: номінальна експозиція, максимальна межа експозиції та можливий збиток за певним сценарієм не можуть механічно перетворюватися один в одного лише тому, що всі вони виражені у гривнях.

Тоді, можливо, 300 млн грн слід назвати ризиковою спроможністю (Risk Capacity)? Але й для цього немає достатніх підстав. Ризикова спроможність повинна показувати, який рівень ризику компанія об’єктивно здатна витримати без втрати платоспроможності, критичного погіршення ліквідності, порушення вимог до капіталу та нездатності виконувати зобов’язання. Арифметична сума показників нижнього рівня нічого з цього безпосередньо не вимірює і щоб оцінити ризикову спроможність, необхідно подивитися на капітальну позицію страховика, SCR і MCR, ліквідність, структуру активів і зобов’язань, часовий горизонт можливих втрат та результати стрес-тестування. Отже, перейменування 300 млн грн із «ризик-апетиту» на «ризикову спроможність» не вирішить проблему, а лише дасть методологічно невизначеній величині нову назву.

Можна піти ще одним шляхом і назвати 300 млн грн сукупним операційним лімітом. Проте це буде коректно лише тоді, коли всі складові справді є операційними лімітами, тобто встановленими компанією обмеженнями щодо керованих параметрів. Якщо серед них залишаються експозиції, потенційні збитки, можливі штрафи, власне утримання та інші показники різної природи, така назва також створюватиме хибне уявлення про зміст суми. Крім того, частина показників може стосуватися страхового, кредитного, ринкового або іншого ризику, а не операційного ризику в його звичайному розумінні, тому слово «операційний» лише додасть нову неоднозначність.

Що ж тоді залишається від наших 300 млн грн? Насправді їх не обов’язково негайно вилучати з усіх внутрішніх документів або робити вигляд, що такої цифри ніколи не існувало. Якщо вона вже використовується в системі моніторингу, накопичена історія її зміни або на неї орієнтуються органи управління, показник може певний час зберігатися для порівнянності. Але називати речі варто відповідно до їхнього змісту. До завершення перекласифікації складових 300 млн грн можна трактувати, наприклад, як довідкову арифметичну суму грошових показників, установлених для важливих процесів страховика, прямо зазначивши, що вона не є результатом економічного агрегування ризиків і сама по собі не характеризує ані сукупний ризик-апетит, ані ризикову спроможність компанії.

Це розмежування має значно більше значення, ніж може здатися. Якщо 300 млн грн назвати сукупним ризик-апетитом, виникає необхідність доводити, чому компанія готова прийняти ризикове навантаження такого розміру, як ця величина співвідноситься з її ризиковою спроможністю, що станеться при її досягненні та яким чином нижчі ліміти були отримані з верхньорівневого показника. Якщо ж 300 млн грн є лише довідковою сумою процесних величин, від неї не потрібно вимагати того економічного змісту, якого вона спочатку не мала. Натомість з’являється можливість поставити значно продуктивніше питання: як визначити справжній сукупний ризик-апетит страховика і на яких показниках він має ґрунтуватися?

Відповідь на це питання не полягає в тому, щоб замість 300 млн грн знайти іншу, більш привабливу цифру — наприклад, 200 або 150 млн грн. Якщо методологія залишиться тією самою, заміна одного числа іншим нічого принципово не змінить. Потрібно змінити напрям розрахунку: не будувати верхньорівневий ризик-апетит шляхом додавання показників знизу, а спочатку визначити фінансові та управлінські межі, в яких страховик здатний і готовий працювати, оцінити поведінку компанії за обґрунтованих стресових сценаріїв і лише після цього каскадувати встановлений ризик-апетит на конкретні види ризику, портфелі, продукти, контрагентів та процеси. І тоді ми підходимо до центрального питання цієї статті: якщо сукупний ризик-апетит не виникає шляхом додавання лімітів, то звідки він має взятися?

Поговоримо про це у другій частині нашої статті.

Сергій БАБИЧ