Сучасні організації дедалі більше уваги приділяють розвитку систем управління ризиками. Впроваджуються нові методики оцінювання, удосконалюються реєстри ризиків, розробляються системи ключових індикаторів ризику (KRI), автоматизуються процеси моніторингу та підготовки звітності. Особливо помітні ці процеси у фінансовому секторі, де вимоги до організації управління ризиками значною мірою визначаються регуляторним середовищем, проте залишається питання, на яке не завжди можна отримати переконливу відповідь: як визначити, чи справді система управління ризиками є ефективною і яку користь вона приносить організації?

На перший погляд, відповідь видається очевидною. Якщо ризики своєчасно ідентифікуються, оцінюються, контролюються, а керівництво регулярно отримує відповідну інформацію, система виконує свої функції, але чи достатньо цього? Адже можна мати добре організовану систему управління ризиками, яка формально відповідає встановленим вимогам, проте майже не впливає на стратегічні та операційні рішення, і навпаки, відносно нескладна система може забезпечувати суттєву управлінську цінність завдяки своєчасному виявленню критичних загроз, обґрунтованим рекомендаціям і належному реагуванню.

Ця проблема особливо актуальна сьогодні, коли розвиток цифрових технологій і штучного інтелекту дозволяє значно збільшити обсяги ризик-аналітики. Організації отримують можливість аналізувати більше інформації, будувати складніші моделі та швидше формувати звіти, однак збільшення кількості аналітичних матеріалів саме собою ще не свідчить про підвищення якості управління ризиками. Виникає необхідність переходу від оцінювання діяльності системи до оцінювання її результатів і реального впливу на досягнення цілей організації.

 

Наявність системи ще не означає її ефективності

Показовим прикладом традиційного підходу до організації управління ризиками є інфографіка «Types of Risk», підготовлена Excellog.Biz та поширена професійною спільнотою Risk Simplified. У ній представлено шість поширених категорій ризиків: стратегічні, операційні, фінансові, комплаєнс-ризики, кіберризики та ризики третіх сторін. Для кожної категорії наведено характерні джерела ризику, можливі наслідки, підходи до оцінювання, заходи управління та індикатори моніторингу.

Інфографіка досить наочно демонструє основні складові процесу управління ризиками. Вона нагадує про необхідність визначення відповідальних осіб, перевірки ефективності контролів, моніторингу змін ризикового середовища та готовності до відновлення діяльності після несприятливих подій. Водночас наведена класифікація є ілюстративною, а не універсальною: окремі категорії можуть перетинатися, зокрема кіберризики та ризики третіх сторін нерідко розглядаються як складові операційного ризику.

Проте найбільший інтерес становить питання, яке виникає під час аналізу цієї схеми: а де тут результат? Як визначити, чи справді впроваджені контролі зменшили ризикову експозицію, чи своєчасно спрацювали індикатори раннього попередження, чи вплинули результати оцінювання ризиків на управлінські рішення? І головне — чи допомогла система управління ризиками організації досягти поставлених цілей?

Варто зазначити, що автори супровідного допису Risk Simplified також звертають увагу на цю проблему, наголошуючи, що цінність реєстру ризиків визначається рішеннями, які він допомагає приймати, а зрілість ризик-менеджменту — здатністю організації передбачати зміни, реагувати на них та адаптуватися.

Цей підхід узгоджується з основоположною логікою міжнародного стандарту ISO 31000:2018, відповідно до якого призначення управління ризиками полягає у створенні та захисті цінності. Стандарт також наголошує на необхідності інтеграції управління ризиками в діяльність організації та процеси прийняття рішень. Отже, наявність процедур, документів і контрольних механізмів є необхідною передумовою, але не кінцевою метою функціонування системи.

Саме тут виникає принципова відмінність між оцінюванням відповідності системи встановленим вимогам та оцінюванням її результативності. Перше дозволяє встановити, чи правильно організовано процеси, тоді як друге має відповісти, чи забезпечують ці процеси очікувані результати. Ці два підходи не суперечать один одному, але й не можуть підміняти один одного.

 

Що саме ми сьогодні вимірюємо?

У практиці фінансових установ оцінювання роботи системи управління ризиками часто ґрунтується на показниках, які відносно легко отримати та перевірити. Це кількість ідентифікованих ризиків, проведених оцінювань, актуалізованих документів, підготовлених звітів, засідань відповідних комітетів, виявлених порушень лімітів або виконаних контрольних процедур. Такі показники важливі, оскільки дозволяють контролювати організацію процесу та дисципліну його виконання.

Проте більшість із них характеризують насамперед діяльність системи, а не її результативність, наприклад, збільшення кількості ризиків у реєстрі може свідчити як про покращення процесу ідентифікації, так і про погіршення ризикового профілю організації. Зменшення кількості зареєстрованих інцидентів може бути наслідком ефективних превентивних заходів, але також може свідчити про недоліки системи повідомлення про інциденти. Навіть стовідсоткове виконання плану контрольних заходів не гарантує, що ці заходи були правильно визначені та забезпечили очікуване зниження ризику.

Аналогічна проблема виникає з ключовими індикаторами ризику. У багатьох організаціях KRI фактично використовуються як показники поточного стану або статистика вже реалізованих ризикових подій. Це може бути корисним для моніторингу, однак не завжди забезпечує раннє попередження про погіршення ситуації. Якщо індикатор сигналізує про проблему лише після виникнення збитків, його можливості як інструменту превентивного управління обмежені.

Не менш важливим є питання ефективності контролів. Поширена практика оцінювання контролю за фактом його наявності або виконання процедури не завжди дозволяє встановити, наскільки він реально знижує ризик. Контроль може регулярно здійснюватися, належно документуватися і водночас не запобігати критичним помилкам через неправильне визначення контрольної точки, недоліки самої процедури або зміну умов діяльності.

Тому оцінювання системи управління ризиками лише за кількісними характеристиками її роботи створює небезпеку формування хибного уявлення про ефективність. Організація може демонструвати високий рівень процедурної дисципліни, але залишатися вразливою до ризиків, які не були належно враховані під час прийняття рішень.

 

Від показників діяльності до показників результату та впливу

Для більш об’єктивного оцінювання ефективності ризик-менеджменту доцільно розмежовувати три групи показників: показники діяльності, показники безпосередніх результатів та показники впливу на досягнення цілей організації. Такий поділ не є новою універсальною класифікацією ризиків чи окремою вимогою ISO 31000. Це практичний підхід до побудови системи оцінювання, який дозволяє уникнути змішування процесів та їхніх наслідків.

Показники діяльності характеризують те, що робить функція управління ризиками та інші учасники відповідного процесу, наприклад, своєчасність проведення оцінювань, повноту охоплення суттєвих ризиків, регулярність перегляду лімітів, якість і своєчасність підготовки звітності. Вони дозволяють визначити, чи належним чином організовано роботу, але не дають остаточної відповіді щодо її користі.

Показники безпосередніх результатів мають демонструвати, що змінилося внаслідок управління ризиками. Серед можливих прикладів — частка суттєвих порушень ризик-апетиту, за якими своєчасно прийнято управлінські рішення; частка коригувальних заходів, результативність яких підтверджена повторним оцінюванням; зменшення частоти повторюваних операційних інцидентів після усунення їхніх причин; частка критичних ризиків, для яких визначено та перевірено механізми реагування.

Особливе значення мають показники, пов’язані з використанням ризик-аналітики під час прийняття рішень, наприклад, можна оцінювати частку суттєвих інвестиційних, продуктових або стратегічних рішень, під час підготовки яких було проведено належний ризик-аналіз. Проте важливо оцінювати не лише факт його проведення, а й якість: чи розглядалися альтернативні сценарії, чи перевірялися критичні припущення, чи були визначені межі допустимого ризику та умови перегляду рішення.

При цьому було б методологічною помилкою вимірювати ефективність ризик-менеджменту виключно кількістю рішень, змінених за рекомендацією ризик-менеджера. Іноді найкращим результатом аналізу є підтвердження обґрунтованості початкового рішення, а в інших випадках — свідоме прийняття підвищеного ризику заради досягнення стратегічної мети, якщо таке рішення відповідає затвердженому ризик-апетиту та супроводжується належними заходами управління.

Нарешті, показники впливу мають відображати внесок управління ризиками у досягнення цілей організації. Для фінансових установ це можуть бути підвищення стійкості до несприятливих сценаріїв, збереження платоспроможності та ліквідності, зменшення вразливості критичних бізнес-процесів, обмеження наслідків операційних інцидентів або забезпечення стабільності виконання стратегічних планів.

Однак саме ця група показників є найскладнішою для оцінювання. Фінансові результати та стійкість організації залежать від багатьох чинників, тому безпосередньо приписувати позитивні зміни виключно роботі функції управління ризиками було б некоректно. Необхідно встановлювати обґрунтований зв’язок між конкретними управлінськими заходами, змінами ризикової експозиції та отриманими результатами.

 

Чи можна виміряти цінність ризик-менеджменту?

Одне з найскладніших питань полягає в тому, що результативність управління ризиками нерідко проявляється через події, які не відбулися. Якщо завдяки своєчасному виявленню вразливості вдалося запобігти значним збиткам, фактичний фінансовий результат може не містити жодних ознак небезпеки, якої вдалося уникнути, але це не означає, що система не створила цінності.

Водночас відсутність збитків не є автоматичним доказом ефективності ризик-менеджменту. Організація могла просто не зіткнутися з несприятливими подіями протягом відповідного періоду. Аналогічно реалізація ризику не обов’язково свідчить про неефективність системи, оскільки управління ризиками не передбачає повного усунення невизначеності. Його завдання — забезпечити обґрунтоване прийняття ризиків та належне управління ними відповідно до цілей організації.

Для оцінювання цінності ризик-менеджменту доцільно використовувати поєднання кількісних і якісних методів. Одним із них є порівняння очікуваних наслідків ризикової події за різних сценаріїв: без додаткових заходів управління та після їх впровадження. Якщо обґрунтовано встановлено, що певний контроль зменшує ймовірність або тяжкість наслідків події, це може бути підставою для оцінювання його економічної доцільності.

Наприклад, фінансова установа впроваджує додаткові механізми перевірки платіжних операцій для запобігання шахрайству. Формальним показником буде кількість проведених перевірок. Показником результату — частка виявлених підозрілих операцій, підтверджених випадків шахрайства та своєчасно заблокованих неправомірних платежів, а для оцінювання економічної цінності необхідно додатково врахувати обґрунтовану оцінку попереджених втрат, вартість впровадження та експлуатації контролю, а також можливі негативні наслідки для клієнтського обслуговування.

Інший приклад — забезпечення безперервності діяльності. Наявність затвердженого плану відновлення є показником організації процесу. Проведення тестування та підтвердження здатності відновити критичні операції в межах визначеного часу — показником результативності, а реальна здатність установи підтримувати виконання критичних функцій під час масштабного збою вже характеризує внесок відповідних заходів у її операційну стійкість.

Для українських фінансових установ це питання має особливе значення в умовах повномасштабної війни, коли загрози енергопостачанню, зв’язку, фізичній інфраструктурі та безпеці персоналу створюють постійну необхідність перевіряти практичну дієвість механізмів безперервності діяльності. У таких умовах оцінювання результативності не може обмежуватися наявністю затверджених документів або формальним виконанням планів тестування.

Водночас слід пам’ятати, що не всі результати управління ризиками можна достовірно перевести у грошовий вимір. Збереження довіри клієнтів, якість управлінських рішень, здатність своєчасно адаптуватися до змін або підтримувати належну культуру управління ризиками мають суттєву цінність, хоча їх кількісне оцінювання може бути складним і залежати від обраної методики.

Отже, метою має бути не пошук одного універсального фінансового показника ефективності ризик-менеджменту, а формування достатньо переконливої сукупності доказів того, що управління ризиками сприяє досягненню цілей організації.

 

Від звітності про ризики до звітності про ефективність управління ними

Перехід до оцінювання реальної результативності ризик-менеджменту неминуче потребує перегляду підходів до управлінської звітності. Традиційні звіти переважно містять інформацію про ризиковий профіль, дотримання лімітів, динаміку KRI, реалізовані ризикові події та виконання планів заходів. Усе це необхідно для належного контролю, проте така звітність не завжди дозволяє Правлінню та Наглядовій раді оцінити, наскільки ефективно працює сама система управління ризиками.

На мою думку, звітність доцільно доповнювати інформацією про результати управлінських заходів, зокрема, важливо показувати, які суттєві ризики були своєчасно виявлені, які рішення прийнято за результатами їх оцінювання, як змінилася ризикова експозиція після реалізації відповідних заходів і чи підтверджено їхню результативність.

Особливу увагу варто приділяти випадкам, коли система раннього попередження дозволила виявити негативну тенденцію до порушення встановлених лімітів. Для керівництва важливо знати не лише про сам факт спрацювання індикатора, а й про те, наскільки своєчасно було прийнято рішення, чи виявилися достатніми запроваджені заходи та чи вдалося запобігти подальшому погіршенню ситуації.

Аналогічний підхід доцільно застосовувати до операційних інцидентів. Замість обмеження звітності інформацією про кількість подій і розмір збитків варто аналізувати повторюваність інцидентів, ефективність усунення першопричин, результативність коригувальних заходів та зміни вразливості відповідних процесів.

Для практичного впровадження такого підходу не обов’язково створювати складну нову систему показників. Доцільніше почати з обмеженої кількості метрик, безпосередньо пов’язаних із найбільш суттєвими ризиками та управлінськими рішеннями. Для кожного показника необхідно визначити його призначення, джерело даних, методику розрахунку, відповідального за інформацію, періодичність оцінювання та порядок реагування на відхилення.

При цьому важливо не допустити появи ще одного формального рівня звітності. Якщо показник регулярно розраховується, але його результати не аналізуються і не використовуються під час прийняття рішень, він лише збільшує адміністративне навантаження, і тому кожна нова метрика має проходити своєрідну перевірку на управлінську корисність: яке питання вона допомагає вирішити і які дії можуть бути ініційовані за результатами її аналізу?

Не менш важливим є розмежування відповідальності. Функція управління ризиками має сприяти формуванню методології оцінювання, здійснювати незалежний моніторинг, аналізувати результати та надавати рекомендації. Водночас відповідальність за управління конкретними ризиками, впровадження заходів і досягнення операційних результатів залишається за відповідними власниками ризиків та керівниками бізнес-процесів. Без такого розмежування система оцінювання ефективності може створити хибне уявлення, що саме функція управління ризиками повинна відповідати за всі результати діяльності організації.

Зрештою, оцінювання результативності має стати не окремою щорічною процедурою, а частиною регулярного управлінського циклу. Його результати повинні використовуватися для перегляду ризик-апетиту, удосконалення контрольного середовища, коригування стратегічних і операційних планів, визначення пріоритетів розвитку системи управління ризиками.

 

Замість висновків

Дискусія щодо ефективності ризик-менеджменту поступово зміщується від питання наявності необхідних процедур до питання їхньої реальної користі, і це закономірний етап розвитку професії. Сучасні організації вже не можуть обмежуватися підтвердженням того, що ризики ідентифіковано, відповідальних призначено, контролі впроваджено, а звіти своєчасно підготовлено, — необхідно розуміти, що саме змінилося завдяки цій роботі.

Водночас не слід протиставляти традиційні показники діяльності та показники результативності. Перші дозволяють контролювати належну організацію процесів, другі — оцінювати їхні наслідки. Лише їх збалансоване використання може забезпечити достатньо об’єктивне уявлення про ефективність системи управління ризиками.

На мою думку, одним із головних завдань подальшого розвитку ризик-менеджменту має стати формування практичних підходів до оцінювання його внеску у створення та захист цінності організації. Це складне завдання, оскільки потребує не лише нових показників, а й перегляду самої логіки управлінської звітності, підходів до аналізу результатів та взаємодії функції управління ризиками з керівництвом.

І, мабуть, головне: ефективність ризик-менеджменту визначається не тим, скільки ризиків ми виявили, скільки контролів запровадили або скільки звітів підготували, а тим, наскільки обґрунтованішими стали управлінські рішення і наскільки краще організація здатна досягати своїх цілей в умовах невизначеності, — це і має бути кінцевим критерієм оцінювання реальної цінності управління ризиками.

 

Матеріал підготовлено з урахуванням положень ISO 31000:2018 «Risk management — Guidelines» та професійної дискусії, ініційованої публікацією Risk Simplified. Інфографіка «Types of Risk» — Excellog.Biz.

Докладніше за посиланням

Сергій БАБИЧ