Більшість ризик-менеджерів, які вперше готуються до зустрічі з власником ризику, припускаються однієї й тієї самої помилки: вони вважають, що головна мета інтерв’ю — отримати перелік ризиків, які бачить керівник підрозділу. Такий підхід виглядає цілком логічним, адже людина, яка багато років відповідає за певний напрям діяльності, повинна найкраще знати, що може завадити досягненню поставлених цілей, проте вже перші хвилини розмови часто показують, що очікування ризик-менеджера і логіка мислення його співрозмовника далеко не завжди збігаються.

Проблема полягає не в тому, що власник процесу не знає своїх ризиків або не хоче про них говорити, найчастіше він узагалі не мислить такими категоріями. Його щоденна робота пов’язана з виконанням планів, дотриманням строків, роботою персоналу, скаргами клієнтів, відмовами інформаційних систем, нестачею ресурсів або необхідністю швидко знаходити рішення у нестандартних ситуаціях, тому запитання «Які у вас ризики?» нерідко викликає паузу або закінчується короткою відповіддю: «Та нічого особливого, працюємо».

Як на мене, “правильні” ризик-менеджери майже ніколи не починають інтерв’ю з обговорення ризиків, вони починають із процесу. Їх цікавить, як організована робота, де виникають затримки, які рішення доводиться приймати вручну, що найчастіше викликає суперечки, від чого залежить результат і які ситуації останнім часом змусили людей відступити від звичного порядку роботи, і поступово з відповідей складається картина процесу, а разом із нею стають помітними і ризики, про існування яких співрозмовник нерідко навіть не замислювався.

У цій статті ми не будемо говорити про методики проведення інтерв’ю або психологічні прийоми спілкування. Мова піде про інше — як підготуватися до зустрічі, які запитання допомагають зрозуміти процес, чому одна й та сама відповідь може приховувати різні ризики і як зробити так, щоб після розмови у реєстрі ризиків з’явилися не загальні фрази, а дійсно корисна для управління інформація.

Починати потрібно не з людини, а з процесу

Підготовка до ризик-інтерв’ю починається задовго до того, як ризик-менеджер заходить до кабінету керівника підрозділу. Якщо єдине, що він зробив перед зустріччю, — домовився про час і підготував перелік стандартних запитань, розмова майже напевно піде за добре знайомим сценарієм: співрозмовник перерахує кілька очевидних ризиків, згадає людський фактор, інформаційні системи, можливе шахрайство або кадрові проблеми, після чого обидві сторони ввічливо подякують одна одній за зустріч. Формально інтерв’ю відбулося, але навряд чи після нього ризик-менеджер дізнався щось таке, чого не можна було написати ще до початку розмови.

З мого досвіду, якість інтерв’ю значно більше залежить від підготовки, ніж від уміння ставити запитання, тому перед зустріччю варто зрозуміти не лише призначення процесу, а й те, як він працює в реальному житті. Для цього корисно переглянути внутрішні регламенти, результати попередніх перевірок, статистику інцидентів, скарги клієнтів, ключові показники діяльності, інформацію про винятки із затверджених процедур і навіть останні управлінські рішення, які могли вплинути на роботу підрозділу. Така підготовка займає небагато часу, проте вона повністю змінює характер майбутньої розмови.

Уявімо, що ризик-менеджер готується до зустрічі з керівником підрозділу врегулювання збитків страхової компанії. Якщо він поставить запитання: «Які основні ризики вашого підрозділу?», відповідь майже напевно буде передбачуваною: шахрайство, помилки під час оцінки збитків, порушення строків виплат або судові спори. Але якщо ще до зустрічі він зверне увагу, що середній строк врегулювання за останній квартал збільшився, кількість повторних звернень клієнтів помітно зросла, а найбільше затримок припадає на один вид страхових випадків, розмова відразу перейде в іншу площину. Замість абстрактних запитань про ризики він поцікавиться, чому виникають затримки, що змінилося в роботі підрозділу, які рішення останнім часом доводиться приймати поза стандартною процедурою, хто їх погоджує і чи не перетворилися такі винятки на звичну практику, і після цього співрозмовники вже обговорюватимуть не перелік можливих ризиків, а процес, його слабкі місця і причини відхилень, а ризики стануть логічним результатом цієї розмови, а не її відправною точкою.

Не запитуйте про ризики — попросіть показати, як працює процес

Після того як ризик-менеджер розібрався із загальною схемою процесу, переглянув внутрішні документи, результати попередніх перевірок, статистику інцидентів і ключові показники діяльності підрозділу, виникає природне бажання скласти перелік запитань, однак саме на цьому етапі дуже важливо втриматися від спокуси перетворити майбутню зустріч на анкетування, оскільки мета ризик-інтерв’ю полягає не в тому, щоб отримати відповіді на заздалегідь підготовлений перелік запитань, а в тому, щоб зрозуміти, як процес функціонує в реальному житті і чому він іноді працює зовсім не так, як це описано у внутрішніх положеннях компанії.

Пригадую одну розмову з керівником підрозділу врегулювання збитків, яка почалася досить звично. На прохання розповісти про найбільші ризики свого напряму він без вагань назвав шахрайство, судові спори, людський фактор і порушення строків виплат, тобто фактично перелічив ті самі ризики, які вже кілька років поспіль містилися в профілі ризиків компанії, після чого настала пауза, бо додати, здавалося, більше нічого. Тоді я поставив інше запитання: «Покажіть, будь ласка, як проходить звичайний страховий випадок по цьому страховому продукту від моменту отримання заяви до виплати відшкодування». І буквально через десять хвилин розмови стало зрозуміло, що майже кожен другий складний випадок проходить повз затверджену процедуру, оскільки для економії часу документи надсилаються електронною поштою, окремі погодження даються телефоном, а частина рішень узагалі приймається усно, після чого оформлюється заднім числом. Жоден із цих фактів не був прихований навмисно — для керівника підрозділу це вже давно стало звичайною робочою практикою, тоді як для ризик-менеджера саме тут і починалася справжня розмова про ризики.

Цей приклад, на мою думку, показує одну важливу особливість ризик-інтерв’ю: люди значно охочіше розповідають про свою роботу, ніж про ризики, адже процес вони знають досконало, можуть детально пояснити, що відбувається на кожному етапі, які труднощі виникають найчастіше, де доводиться шукати нестандартні рішення і що найбільше заважає виконувати роботу так, як це передбачено регламентом, тоді як ризики для них є лише наслідком цих щоденних ситуацій, а не окремим предметом для роздумів.

Тому досвідчені ризик-менеджери дуже часто просять не перелічити ризики, а буквально «провести їх» процесом, ніби вони є новими працівниками підрозділу. Під час такої розмови природно виникають уточнювальні запитання: що відбувається, якщо клієнт не надав усіх документів, хто ухвалює рішення у нестандартних випадках, як часто доводиться відступати від процедури, які дії виконуються вручну, від кого залежить остаточне погодження і що станеться, якщо цієї людини завтра не буде на роботі. У більшості випадків саме відповіді на такі запитання дозволяють побачити ті ризики, які ніколи не з’явилися б у розмові, побудованій навколо абстрактного питання: «Які ризики існують у вашому процесі?» 

Хороше ризик-інтерв’ю починається не з відповідей, а з правильних запитань

Після того як співрозмовник почав розповідати про процес, у ризик-менеджера виникає інша спокуса — ставити дедалі більше запитань, намагаючись нічого не пропустити, проте кількість запитань майже ніколи не визначає якість інтерв’ю, адже досвід показує, що одна вдало поставлена фраза може дати більше інформації, ніж півгодини розмови за заздалегідь підготовленою анкетою. Причина проста: більшість керівників чудово знають, що відбувається в їхньому підрозділі, але значно рідше замислюються, чому це відбувається саме так і які наслідки можуть мати окремі управлінські рішення через пів року або рік.

Наприклад, запитання «Які найбільші ризики існують у процесі андеррайтингу?» майже гарантовано приведе до стандартного переліку добре відомих ризиків: недостатність інформації про клієнта, неправильне визначення тарифу, шахрайство або людська помилка. Але якщо поставити інше запитання — «Яке рішення вам останнім часом було найважче погодити?» — розмова нерідко повертає в зовсім несподіваному напрямі. Керівник може згадати великого корпоративного клієнта, заради якого довелося зробити виняток із андеррайтингової політики, погодитися на розширене страхове покриття або суттєво знизити тариф, після чого вже природно виникають наступні запитання: хто ініціював це рішення, чи були подібні випадки раніше, як часто вони трапляються, чи аналізуються після укладення договору і чи не починають такі винятки поступово змінювати якість усього страхового портфеля.

Інший приклад можна навести з практики врегулювання збитків. Запитання «Чи трапляються затримки виплат?» навряд чи допоможе дізнатися щось нове, оскільки відповідь майже завжди буде позитивною. Набагато цікавіше запитати: «Через що ви останнього разу не змогли виконати внутрішній строк врегулювання?». У більшості випадків співрозмовник почне описувати конкретну ситуацію, а разом із нею — причини, які рідко потрапляють до звітів: експерт не зміг виїхати на огляд, інформаційна система не дозволяла завершити операцію, документи кілька днів очікували погодження в іншому підрозділі, рішення довелося переглядати після телефонної розмови з продавцем або великим клієнтом. Для власника процесу це лише опис одного робочого дня, тоді як для ризик-менеджера — можливість побачити концентрацію ручних операцій, приховані залежності між підрозділами, вузькі місця процесу і контролі, які вже давно не працюють так, як було задумано.

Є ще одна категорія запитань, яку досвідчені ризик-менеджери використовують набагато частіше, ніж це може здатися на перший погляд. Вони майже ніколи не питають: «Що може статися?», натомість просять пригадати, що вже одного разу сталося, оскільки реальні інциденти значно краще розкривають слабкі місця процесу, ніж будь-які гіпотетичні сценарії. Якщо співрозмовник згадує випадок, коли через відсутність одного працівника робота фактично зупинилася, або розповідає, як нестандартний договір довелося погоджувати майже тиждень, ризик-менеджер отримує не лише приклад минулої проблеми, а й матеріал для аналізу причин, контролів і потенційних наслідків у майбутньому.

Наприкінці таких інтерв’ю дуже часто виникає цікава ситуація: власник процесу щиро дивується, чому ризик-менеджер заніс до своїх нотаток зовсім не ті ризики, про які вони говорили на початку зустрічі. Насправді нічого дивного в цьому немає —  на початку розмови співрозмовник перелічував ризики, які пам’ятав, а наприкінці ризик-менеджер уже записував ризики, які побачив під час аналізу процесу, і між цими двома списками дуже часто виявляється набагато менше спільного, ніж можна було очікувати.

Найважливіше в ризик-інтерв’ю часто звучить між рядків

З часом ризик-менеджер починає помічати цікаву закономірність: найцінніша інформація під час інтерв’ю дуже рідко з’являється у відповідь на пряме запитання про ризики. Набагато частіше вона виникає тоді, коли співрозмовник пояснює, як він працює, чому доводиться відступати від затвердженої процедури або що, на його думку, є «звичайною практикою». Для керівника підрозділу це лише опис повсякденної роботи, тоді як для ризик-менеджера подібні фрази можуть стати першим сигналом про існування проблеми, яка досі не потрапляла ні до профілю ризиків, ні до звітів, ні до порядку денного Правління.

Пригадую розмову з керівником одного з підрозділів страхової компанії, який кілька разів повторив майже однакову фразу: «Якщо виникає складна ситуація, ми телефонуємо директору, і він одразу приймає рішення», і для нього це було підтвердженням високої оперативності управління, але ризик-менеджер почув зовсім інше. Якщо значна частина нестандартних рішень залежить від однієї людини, то виникає не лише кадровий ризик, а й ризик концентрації повноважень, оскільки процес фактично перестає працювати без участі конкретного керівника. Наступні запитання лише підтвердили це припущення: письмових критеріїв прийняття таких рішень не існувало, журнал винятків не вівся, а аналіз подібних випадків ніколи не проводився. Цікаво, що до початку інтерв’ю ні сам керівник, ні його команда не вважали цю ситуацію ризиком.

Схожа історія трапилася під час обговорення процесу андеррайтингу. На запитання, як часто компанія відступає від андеррайтингової політики, керівник відповів: «Та нечасто, лише коли цього вимагає бізнес». Якби інтерв’ю закінчилося на цьому, у нотатках ризик-менеджера з’явився б короткий запис про окремі винятки із затверджених правил, проте подальша розмова показала зовсім іншу картину. Виявилося, що за останні пів року кількість таких винятків поступово зростала, частина з них уже перестала погоджуватися на рівні головного офісу, а керівники філій почали сприймати їх як звичайний інструмент боротьби за великого клієнта. Формально андеррайтингова політика залишалася незмінною, але фактична практика її застосування вже істотно відрізнялася від затверджених правил, жодного порушення процедури не було, проте ризик-апетит компанії почав змінюватися без будь-якого рішення Правління або Наглядової ради. Власне,  про таку ситуацію ми детально говорили в одній із попередніх статей, і вона добре демонструє, чому ризик-менеджер повинен аналізувати не лише документи, а й реальну поведінку організації.

Є фрази, які досвідчені ризик-менеджери майже автоматично сприймають як привід поставити ще кілька уточнювальних запитань. «Так було завжди», «Ми вже звикли», «Інакше процес просто не працює», «Усе тримається на одній людині», «Після оновлення системи стало трохи складніше, але ми пристосувалися», «Це займає кілька хвилин, тому ми не документуємо такі рішення» — жодна з них ще не означає існування ризику, але кожна свідчить, що перед ризик-менеджером відкривається тема, яку варто дослідити значно глибше. Досвід показує, що за подібними, на перший погляд, буденними поясненнями нерідко приховуються не окремі інциденти, а системні особливості процесу, які роками залишаються поза увагою керівництва лише тому, що до них усі звикли. Ось чому, на мою думку, під час ризик-інтерв’ю варто уважно слухати не лише відповіді на поставлені запитання, а й ті пояснення, які співрозмовник дає між іншим, намагаючись описати свою повсякденну роботу, оскільки дуже часто вони виявляються значно ціннішими за будь-який перелік ризиків, підготовлений заздалегідь.

За багато років роботи я дедалі більше переконуюся, що успішність ризик-інтерв’ю визначається не досвідом, посадою чи навіть знанням методології ризик-менеджменту. Набагато важливіше вміння уважно слухати, ставити правильні запитання, не поспішати з висновками і поступово складати цілісну картину процесу з окремих, на перший погляд, не пов’язаних між собою деталей. Не існує універсального сценарію, який однаково добре працював би в кожній компанії, проте практика дозволяє сформулювати кілька принципів, що майже завжди допомагають зробити ризик-інтерв’ю змістовним і корисним як для ризик-менеджера, так і для власника процесу.

Хороше ризик-інтерв’ю рідко закінчується в той момент, коли співрозмовники потиснули один одному руки. Насправді після цього починається не менш відповідальна частина роботи — потрібно впорядкувати почуте, відокремити факти від припущень, зрозуміти, які проблеми справді є ризиками, а які лише їхніми проявами, і сформулювати їх так, щоб вони були зрозумілими не лише ризик-менеджеру, а й Правлінню, Наглядовій раді та власнику процесу, і від якості цієї роботи залежить, чи стане ризик-інтерв’ю джерелом корисної управлінської інформації, чи завершиться черговим поповненням реєстру загальними фразами.

Десять порад, які не знайдеш у стандарті ISO 31000, але які варто пам’ятати перед кожним ризик-інтерв’ю

1. Не починайте розмову із запитання «Які у вас ризики?», починайте з прохання показати процес.
2. Готуйтеся до інтерв’ю так само ретельно, як аудитор готується до перевірки: вивчіть документи, статистику, інциденти й показники діяльності.
3. Не шукайте правильних відповідей — шукайте логіку, за якою працює процес.
4. Якщо співрозмовник говорить про винятки, ручні рішення або постійні відступи від процедури, не поспішайте переходити до наступного запитання. Дуже часто саме там прихований ризик, який ще не потрапив до жодного звіту.
5. Просіть пригадати реальні ситуації, а не гіпотетичні ризики. Інциденти завжди говорять більше, ніж припущення.
6. Уважно слухайте фрази «так було завжди», «ми вже звикли», «інакше процес не працює». Вони не доводять існування ризику, але майже завжди вказують напрям, у якому його варто шукати.
7. Не намагайтеся завершити інтерв’ю готовим переліком ризиків. Дайте собі час осмислити почуте, звірити його з документами та фактами, а вже потім формулюйте висновки.
8. Не сперечайтеся з власником процесу, оскільки ваше завдання — зрозуміти його логіку, а не довести власну правоту.
9. Пам’ятайте, що керівник підрозділу не зобов’язаний мислити категоріями ризик-менеджменту. Це професія ризик-менеджера — побачити ризик там, де інші бачать звичайний робочий процес.
10. Якщо після інтерв’ю у вашому реєстрі з’явилися лише ризики, які ви знали ще до початку зустрічі, найімовірніше, проблема не у співрозмовнику, а в тому, як було проведено інтерв’ю.

Провести хороше ризик-інтерв’ю — лише половина справи. Не менш важливо правильно описати виявлений ризик, оскільки від одного невдалого формулювання залежить, чи побачить керівництво реальну проблему, чи сприйме її як ще один абстрактний запис у реєстрі ризиків. Наступна стаття буде присвячена питанню, яке на практиці виявляється значно складнішим, ніж здається на перший погляд: як правильно сформулювати ризик, щоб він став інструментом управління, а не формальним записом у внутрішньому документі. Побачити ризик — ще недостатньо, його потрібно правильно сформулювати, і це значно складніше, ніж може здатися після вдало проведеного інтерв’ю.

Сергій БАБИЧ