Сучасна організація дедалі рідше може забезпечити виконання всіх своїх функцій виключно власними силами. Інформаційні технології, хмарна інфраструктура, обробка даних, платіжні сервіси, логістика, технічне обслуговування, врегулювання страхових випадків, юридичний супровід та багато інших процесів значною мірою залежать від зовнішніх постачальників. Така модель дозволяє компаніям зосереджувати ресурси на основній діяльності, отримувати доступ до спеціалізованих компетенцій і швидше впроваджувати технологічні рішення, але водночас формує ризики, джерела яких перебувають поза межами безпосереднього організаційного контролю.

У професійній дискусії, започаткованій Ліндою Так Чепмен (Linda Tuck Chapman), керівницею Third Party Risk Institute, порушено питання, яке має безпосереднє відношення до цієї проблеми: яким чином керівники можуть ухвалювати послідовні рішення щодо ризиків, якщо організація не визначила, який їх рівень готова приймати? Авторка розглядає взаємозв’язок ризик-апетиту (Risk Appetite) і толерантності до ризику (Risk Tolerance), використовуючи як приклад залежність компанії від хмарного провайдера. Вибір такого провайдера може бути обґрунтованим стратегічним рішенням, тоді як максимально допустима тривалість переривання його послуг уже визначає операційну межу, порушення якої потребує управлінського реагування.

Ця постановка питання заслуговує на увагу не лише через розмежування двох понять, добре відомих фахівцям з управління ризиками. Вона дозволяє розглянути значно ширшу проблему: чому навіть організації, які регулярно оцінюють своїх постачальників, ведуть реєстри ризиків і затверджують відповідні політики, не завжди здатні своєчасно реагувати на небезпечне зростання залежності від третіх сторін.

Третя сторона як джерело ризику, а не лише постачальник послуг

Традиційний підхід до взаємодії з постачальниками здебільшого зосереджувався на ціні, якості послуг, дотриманні строків і виконанні договірних зобов’язань. У межах такого підходу оцінювання контрагента часто завершувалося перевіркою його реєстраційних документів, фінансового стану, ділової репутації та відповідності встановленим кваліфікаційним вимогам. Для багатьох звичайних закупівель цього може бути достатньо, але ситуація принципово змінюється, коли зовнішня організація отримує доступ до критичних інформаційних систем, обробляє конфіденційні дані, забезпечує безперервність основних бізнес-процесів або фактично стає незамінною для виконання зобов’язань перед клієнтами.

У таких випадках виникає не просто ризик неналежного виконання договору, а цілий комплекс взаємопов’язаних загроз. Порушення роботи постачальника може спричинити операційні втрати, кібератаку або витік інформації, невиконання нормативних вимог, репутаційні наслідки, фінансові збитки та переривання діяльності. Додаткову складність створює те, що організація не завжди має повну інформацію про внутрішні процеси контрагента, його субпідрядників, технологічну інфраструктуру та власну залежність від інших постачальників.

Управління ризиками третіх сторін (Third-Party Risk Management, TPRM) передбачає значно ширший підхід, ніж одноразова перевірка перед укладенням договору, йдеться про управління ризиками протягом усього життєвого циклу відносин: від визначення потреби в залученні зовнішнього постачальника та його попереднього оцінювання до постійного моніторингу, перегляду умов співпраці й організованого завершення договірних відносин.

Водночас необхідно розрізняти управління ризиками третіх сторін і управління ризиками аутсорсингу. Перше поняття охоплює ширше коло зовнішніх відносин, тоді як друге стосується передання зовнішньому виконавцю певних функцій або процесів. Не кожен постачальник є аутсорсером, але ризики, пов’язані з його діяльністю, можуть бути суттєвими для організації незалежно від юридичної класифікації договору.

Чому оцінювання ризику ще не означає управління ним

Уявімо страхову компанію, яка використовує зовнішню інформаційну платформу для обліку договорів страхування та супроводу врегулювання збитків. Перед укладенням договору компанія перевірила постачальника, оцінила його фінансову стійкість, інформаційну безпеку, технічні можливості та досвід роботи. За результатами оцінювання ризик визнано прийнятним, договір укладено, відповідні документи погоджено.

Через певний час компанія розширює використання платформи, переносить на неї додаткові процеси, збільшує обсяг персональних даних і скорочує власні технічні ресурси, які раніше забезпечували можливість автономної роботи. Постачальник залишається тим самим, договір формально виконується, а результати щорічної перевірки не містять критичних зауважень, при цьому наслідки можливого припинення його послуг уже суттєво відрізняються від тих, які оцінювалися на початку співпраці.

Цей приклад демонструє одну з характерних проблем управління ризиками третіх сторін: оцінка постачальника може залишатися незмінною, хоча ризик для компанії зростає. Причина полягає в тому, що ризик визначається не лише характеристиками контрагента, а й масштабом залежності від нього, критичністю процесів, можливостями заміни, наявністю альтернативних каналів обслуговування та здатністю організації відновити діяльність у разі порушення послуг.

Відповідно, управлінське питання має звучати не лише як «Чи є цей постачальник надійним?», а насамперед як «Які наслідки для нашої організації матиме його відмова, наскільки ми готові до таких наслідків і чи залишаються вони в межах прийнятного ризику?». Якщо результати оцінювання не впливають на умови договору, обсяг переданих функцій, резервні механізми, розподіл відповідальності та рішення щодо продовження співпраці, проведена перевірка ризику може залишитися формальною процедурою без належного управлінського результату.

Ризик-апетит і толерантність: від загального принципу до конкретного рішення

У цьому контексті особливого значення набуває розмежування ризик-апетиту й толерантності до ризику. Ризик-апетит визначає характер і величину ризиків, які організація готова приймати заради досягнення своїх цілей, тоді як толерантність конкретизує допустимі відхилення та межі ризикових експозицій, у яких діяльність має залишатися контрольованою.

Для страховика рішення використовувати зовнішню хмарну інфраструктуру може відповідати затвердженому ризик-апетиту, оскільки забезпечує технологічний розвиток, масштабованість і зменшення витрат на власну інфраструктуру, але така готовність приймати ризики зовнішньої залежності не означає згоди на будь-які наслідки її реалізації.

Компанія може встановити максимально допустиму тривалість недоступності критичного сервісу, вимоги до резервного копіювання та відновлення даних, обмеження щодо концентрації критичних функцій в одного провайдера, вимоги до географічного розміщення інформації та умови залучення субпідрядників. Ці показники перетворюють загальну управлінську позицію на конкретні обмеження, дотримання яких можна контролювати.

Припустимо, компанія визначила, що переривання критичної інформаційної системи понад дві години є неприйнятним. Такий поріг може використовуватися як один з операційних критеріїв толерантності, але його практичне значення залежить від того, чи узгоджений він із результатами аналізу впливу на бізнес (Business Impact Analysis, BIA), цілями відновлення та реальними технічними можливостями постачальника. Саме по собі внесення двогодинного обмеження до договору не гарантує, що система буде відновлена в цей строк.

Не менш важливо розмежовувати показники, які характеризують поточний стан ризику, та пороги, що запускають управлінську реакцію. Якщо гранично допустиме переривання становить дві години, очікування фактичного порушення цієї межі означатиме запізніле реагування. Система моніторингу повинна передбачати ранні сигнали: погіршення доступності сервісу, збільшення кількості інцидентів, невиконання тестів відновлення, зростання часу усунення несправностей або погіршення фінансового стану провайдера.

Таким чином, ризик-апетит визначає управлінську позицію, толерантність установлює допустимі межі, ліміти та ключові індикатори ризику (Key Risk Indicators, KRI) забезпечують можливість їх контролю, а процедури ескалації пов’язують отриману інформацію з конкретними рішеннями.

Український контекст: оцінювання ризиків третіх сторін як регуляторна вимога

Для українського фінансового сектору управління ризиками третіх сторін має не лише методологічне, а й нормативне значення. Національний банк України, здійснюючи регулювання та нагляд за банками і небанківськими фінансовими установами, встановлює вимоги до організації систем управління ризиками, внутрішнього контролю та передання певних функцій на аутсорсинг.

Зокрема, для страховиків важливе значення має постанова Правління НБУ від 27 грудня 2023 року № 194, якою затверджено Положення про вимоги до системи управління страховика. Вона формує нормативну основу організації управління ризиками та внутрішнього контролю, включно з питаннями, пов’язаними з аутсорсингом. Вимоги до інших категорій фінансових установ визначаються відповідними спеціальними нормативними актами, тому їх не слід механічно переносити з одного сектору на інший.

Для практики управління ризиками це означає, що взаємодія з критичними зовнішніми виконавцями не може розглядатися виключно як компетенція закупівельного підрозділу, юридичної служби або ІТ-функції. Передання процесу сторонньому виконавцю не усуває ризиків, пов’язаних із цим процесом, і не звільняє фінансову установу від відповідальності за належне виконання своїх обов’язків.

Особливу увагу доцільно приділяти оцінюванню критичності переданих функцій, можливості здійснення контролю за виконавцем, захисту інформації, безперервності діяльності, умовам доступу до необхідних даних та можливості припинення співпраці без неприйнятних наслідків для установи та її клієнтів. При цьому виконання нормативних вимог не повинно зводитися до наявності договору, анкети перевірки постачальника чи формального висновку функції управління ризиками. Практична цінність регуляторних вимог реалізується тоді, коли результати оцінювання впливають на рішення органів управління, визначення допустимого рівня залежності від зовнішніх виконавців і вибір заходів контролю.

Для українських компаній додаткового значення набувають ризики, пов’язані з воєнними загрозами, порушенням енергопостачання та зв’язку, географічною концентрацією інфраструктури, обмеженнями доступу до критичних ресурсів і залежністю від міжнародних технологічних платформ. За таких умов навіть постачальник із високим рівнем технологічної надійності не завжди може гарантувати безперервність надання послуг, якщо організація не передбачила альтернативних сценаріїв роботи.

Хто повинен управляти ризиками зовнішніх постачальників

Одна з найскладніших проблем TPRM полягає у розподілі відповідальності. Договір укладає один підрозділ, послугою користується інший, технічні питання контролює третій, а оцінювання ризиків здійснює спеціалізована функція. За відсутності чіткого розмежування повноважень кожен учасник може вважати, що ключові ризики перебувають під контролем когось іншого.

У межах моделі трьох ліній відповідальність за ризики, пов’язані з використанням зовнішнього постачальника, насамперед повинна залишатися за керівником процесу, який використовує відповідну послугу. Він має розуміти критичність залежності, контролювати виконання встановлених вимог і своєчасно ініціювати перегляд оцінки ризику в разі зміни умов співпраці.

Функція управління ризиками забезпечує методологічну підтримку, незалежний моніторинг, аналіз сукупної ризикової експозиції та інформування керівництва про суттєві відхилення. Комплаєнс-функція оцінює відповідність установленим вимогам у межах своєї компетенції, а внутрішній аудит надає незалежну оцінку ефективності відповідних механізмів управління та контролю.

Органи управління визначають загальні межі прийнятного ризику, розглядають суттєві відхилення та забезпечують ухвалення рішень у межах своїх повноважень, при цьому рішення про прийняття підвищеного ризику не повинно підміняти виконання обов’язкових нормативних вимог: порушення встановленої регулятором заборони або обов’язкового обмеження не може бути легітимізоване внутрішнім погодженням.

Належний розподіл відповідальності особливо важливий тоді, коли ризик постачальника поступово зростає. Збільшення обсягу послуг, зміна власників, передання частини функцій субпідрядникам, повторювані інциденти або погіршення фінансових показників мають розглядатися як підстави для перегляду ризикової експозиції, а не лише як питання поточного договірного адміністрування.

Концентрація ризиків: проблема, яку не видно в окремих оцінках

Навіть якісне оцінювання кожного постачальника окремо не гарантує належного контролю сукупного ризику. Компанія може використовувати кількох зовнішніх виконавців, кожен із яких має прийнятний індивідуальний ризиковий профіль, але всі вони можуть залежати від одного центру обробки даних, спільного хмарного провайдера, телекомунікаційної мережі або субпідрядника.

У такому випадку диверсифікація, яка формально існує на рівні договорів, не забезпечує реального зниження ризику концентрації. Один інцидент може одночасно порушити роботу декількох критичних процесів, хоча жоден окремий постачальник до цього не демонстрував ознак неприйнятного ризику. Це означає, що управління ризиками третіх сторін повинно включати не лише оцінювання окремих контрагентів, а й аналіз сукупної залежності організації від зовнішньої інфраструктури, технологій, географічних локацій та ключових учасників ланцюга постачання.

Саме на цьому рівні ризик-апетит набуває стратегічного значення. Організація має визначити, наскільки вона готова концентрувати критичні процеси в одного виконавця або в межах спільної технологічної екосистеми, які наслідки такого рішення вважає прийнятними та які резервні механізми необхідні для підтримання стійкості діяльності.

Як зрозуміти, що система управління ризиками третіх сторін працює

Ефективність TPRM не варто оцінювати виключно за кількістю перевірених постачальників, заповнених анкет або проведених аудитів. Такі показники характеризують обсяг виконаної роботи, але не завжди свідчать про зниження ризикової експозиції.

Значно інформативнішими є результати управлінських рішень. Чи змінювалися умови договорів після виявлення суттєвих ризиків? Чи відмовлялася компанія від співпраці, якщо залежність від постачальника виходила за встановлені межі? Чи переглядалися резервні процедури після інцидентів? Чи виявляв моніторинг небезпечні тенденції до фактичного порушення лімітів? Чи отримували органи управління інформацію про концентрацію ризиків, яку неможливо побачити під час аналізу окремих контрагентів?

Не менш важливо перевіряти, чи охоплює система ризики, які ще не були належним чином ідентифіковані, наприклад, використання зовнішніх цифрових сервісів окремими підрозділами без погодження, неформальне передання даних контрагентам або поступове розширення функцій постачальника без перегляду початкової оцінки можуть створювати приховану ризикову експозицію. За таких умов відсутність зареєстрованих порушень не обов’язково свідчить про відсутність неприйнятних ризиків.

Практичним критерієм зрілості системи є здатність організації своєчасно отримувати достовірну інформацію про зміни ризикового профілю, співвідносити її із затвердженим ризик-апетитом, визначати відповідальних за реагування та контролювати виконання ухвалених рішень.

Від оцінювання постачальника до управління залежністю

Професійна дискусія, започаткована Ліндою Так Чепмен, нагадує про фундаментальну особливість управління ризиками: наявність формально визначеного ризик-апетиту ще не означає, що організація дотримується його під час повсякденних рішень. Це повною мірою стосується і взаємодії з третіми сторонами, де стратегічні рішення про використання зовнішніх ресурсів поступово формують операційні залежності, які можуть залишатися недостатньо помітними для керівництва.

Оцінювання ризиків постачальника є необхідним елементом системи управління, але його не можна вважати завершенням процесу. Ризик змінюється разом із характером послуг, масштабом залежності, зовнішнім середовищем і можливостями самої організації. Відповідно, результати оцінювання повинні регулярно переглядатися та впливати на конкретні управлінські рішення.

Для українських фінансових установ це питання має додатковий вимір, оскільки вимоги НБУ до управління ризиками та аутсорсингу формують обов’язкову нормативну основу, а воєнні умови підвищують значення безперервності діяльності й контролю критичних залежностей. Зрештою, головне питання полягає не в тому, скільки постачальників перевірила організація, а в тому, чи здатна вона визначити, які ризики створює залежність від них, які з цих ризиків готова прийняти та що робитиме, коли обставини зміняться.

Оцінювання ризику дає інформацію для рішення. Управління ризиком починається тоді, коли ця інформація змінює рішення.

Матеріал підготовлено за мотивами професійної дискусії, започаткованої Ліндою Так Чепмен (Linda Tuck Chapman), CEO Third Party Risk Institute, щодо взаємозв’язку ризик-апетиту, толерантності та управління ризиками третіх сторін.

Сергій БАБИЧ

Докладніше за посиланням