Чому формальне погодження ризику не може замінити його оцінювання та обґрунтоване управлінське рішення

Уявімо ситуацію: виробник готується відвантажити замовнику новий електронний модуль, але під час завершальних випробувань виявляється несправність, причини якої поки що не встановлені. Для додаткового тестування потрібно десять днів, заміна підозрюваного компонента може затримати постачання на шість тижнів, а замовник наполягає на дотриманні погоджених строків, оскільки також має зобов’язання перед власними клієнтами. Після напруженого обговорення сторони знаходять, здавалося б, прийнятне рішення: замовник письмово погоджується прийняти ризик, необхідні документи підписані, продукцію можна відвантажувати.

Чи означає це, що ризик став прийнятним?

Цю ситуацію описав у своєму дописі в LinkedIn доктор Халід Діма (Dr. Khalid Dhima), фахівець із виробничої готовності, запуску складних продуктів та операційної ефективності. Його публікація має іронічну назву «The Customer Accepted the Risk!», а головна думка сформульована надзвичайно влучно: сім підписів можуть задокументувати рішення, але не здатні поліпшити доказову базу, на якій воно ґрунтується. Цей приклад вартий уваги ризик-менеджерів незалежно від галузі, оскільки демонструє поширену управлінську помилку: процедуру погодження ризику починають сприймати як підтвердження його прийнятності.

 

Погодження ризику не означає, що його зрозуміли

Управління ризиками передбачає можливість свідомого прийняття певного рівня невизначеності. Компанія не зобов’язана уникати всіх ризиків, адже без їх прийняття неможливі розвиток бізнесу, інвестиції, інновації та реалізація стратегічних цілей. Водночас рішення про прийняття ризику має спиратися на достатню інформацію про його природу, можливі наслідки, ймовірність їх виникнення та ефективність наявних заходів контролю.

У наведеному прикладі проблема полягає не в тому, що сторони готові ризикувати заради виконання контракту. Значно важливіше, що механізм технічної відмови залишається невстановленим, а можливість виникнення небезпечних наслідків не виключена. За таких обставин погодження замовника не усуває невизначеності й не створює нових підстав вважати продукцію безпечною.

Звичайно, не кожна невизначеність потребує зупинення діяльності до її повного усунення. Можливі обмежене використання продукції, додаткові контрольні заходи, поетапне впровадження або інші рішення, які дозволяють продовжувати роботу в контрольованих умовах. Ключова вимога полягає в тому, щоб межі такого рішення були визначені на підставі достовірних даних, а залишковий ризик — належно оцінений. Інакше компанія фактично приймає не оцінений ризик, а невизначеність, масштаби якої вона ще не розуміє.

 

Хто має право приймати ризик?

Є ще один аспект, який виходить за межі виробничого прикладу й безпосередньо стосується корпоративного управління. Навіть належно оцінений ризик не може бути прийнятий будь-якою посадовою особою лише тому, що вона готова підписати відповідний документ.

У компанії повинні існувати визначені повноваження щодо прийняття ризиків, встановлені ліміти, критерії ескалації та порядок ухвалення рішень у разі перевищення допустимих значень. Такі механізми забезпечують зв’язок між окремими управлінськими рішеннями та затвердженим ризик-апетитом організації.

Погодження клієнта може означати прийняття ним певних комерційних наслідків, але не звільняє постачальника від обов’язкових вимог безпеки та інших зобов’язань, які не можуть бути скасовані домовленістю сторін. Аналогічно рішення керівника підрозділу не повинно підміняти процедуру погодження ризику на рівні, визначеному внутрішніми документами компанії.

Ризик-апетит — це не декларація про готовність ризикувати, а система меж, у яких компанія погоджується діяти. Якщо ці межі можна обійти шляхом додаткового підпису, вони фактично перестають виконувати свою управлінську функцію.

 

Чому комерційний тиск змінює сприйняття ризику

Особливо цінною в дописі Халіда Діми є увага до поведінки учасників ситуації. Ніхто з них не обов’язково діє недобросовісно чи непрофесійно: постачальник прагне виконати контракт, замовник — уникнути зриву власного проєкту, інженери намагаються встановити причину несправності, а керівництво шукає рішення, яке дозволить мінімізувати втрати.

Проблема виникає тоді, коли вартість затримки є очевидною, негайною та порівняно легко вимірюваною, тоді як наслідки потенційної відмови залишаються невизначеними. У такій ситуації управлінська увага поступово зміщується від питання «Що ми знаємо про ризик?» до питання «Хто погодиться взяти на себе відповідальність?».

Це небезпечне зміщення, адже розподіл відповідальності не тотожний зниженню ризику. Документ може визначити, хто ухвалив рішення і хто відповідатиме за його наслідки, але не змінить технічних характеристик обладнання, фінансового стану контрагента або надійності інформаційної системи.

Для функції управління ризиками це означає необхідність не лише перевіряти дотримання процедур, а й своєчасно ставити незручні запитання щодо достатності інформації, припущень, альтернативних сценаріїв та реальної прийнятності наслідків.

 

Чого цей приклад навчає фінансові установи

У страхових компаніях подібні ситуації можуть виникати під час погодження нестандартних умов страхування, встановлення винятків з андеррайтингових правил, прийняття значної концентрації ризиків, вибору перестрахового захисту або укладення договорів із критичними ІТ-постачальниками.

Наприклад, рішення про прийняття великого страхового ризику може бути формально погоджене всіма необхідними посадовими особами, хоча інформація про об’єкт страхування залишається неповною, можливі максимальні збитки оцінені недостатньо, а вплив нового договору на сукупну концентрацію портфеля не досліджений. Наявність погоджень у такому випадку підтверджує проходження процедури, але ще не доводить обґрунтованості рішення.

Аналогічна проблема виникає, коли компанія приймає ризик залежності від зовнішнього постачальника, спираючись переважно на його договірні гарантії та заявлені показники надійності, але не перевіряє власну здатність продовжувати критичні операції в разі відмови сервісу.

Для українських фінансових установ, які працюють в умовах війни, питання достатності інформації, меж прийнятного ризику та практичної дієвості заходів контролю набувають додаткової ваги. Обмеженість часу й ресурсів може вимагати швидких рішень, але не повинна перетворювати процедуру погодження на заміну професійного оцінювання.

 

Рішення має спиратися на докази, а не лише на підписи

З погляду ISO 31000 прийняття ризику є одним із можливих результатів процесу управління ризиками, але воно не скасовує необхідності аналізу, оцінювання та врахування встановлених критеріїв ризику. Якість такого рішення визначається не кількістю погоджень, а достатністю інформації, зрозумілістю можливих наслідків, відповідністю повноваженням і здатністю організації контролювати прийнятий ризик.

Практичний висновок із допису Халіда Діми полягає в тому, що ризик-менеджер має оцінювати не лише правильність оформлення рішення, а й обґрунтованість його змісту. Якщо після завершення процедури погодження невизначеність залишилася незмінною, а підстави для висновку про прийнятність ризику не стали переконливішими, виникає закономірне запитання: що, крім розподілу відповідальності, дала компанії ця процедура? Підписи необхідні для належного корпоративного управління, але їхня справжня цінність з’являється лише тоді, коли вони засвідчують усвідомлене, обґрунтоване рішення, ухвалене в межах визначених повноважень і ризик-апетиту.

Адже ризик не стає меншим лише від того, що хтось погодився його прийняти.

 

Матеріал підготовлено за мотивами публікації Dr. Khalid Dhima «The Customer Accepted the Risk!» у LinkedIn. Виробничий приклад наведено за змістом авторського допису; висновки щодо корпоративного управління ризиками та практики фінансових установ є розвитком порушеної ним теми.

Джерело: https://www.linkedin.com/feed/update/urn:li:share:7521961268727971840/ .

 

Сергій БАБИЧ

Докладніше за посиланням