Суть управления рисками прежде всего заключается в создании внутри организации такой культуры, которая бы способствовала проведению анализа рисков при принятии любых управленческих, инвестиционных или проектных решений. Оценку стратегических целей компании «под риском» можно считать логическим началом процесса.
Ниже приведены некоторые практические шаги, которые менеджеры по управлению рисками могут предпринять, чтобы начать внедрение управления рисками. Тем не менее, шагом номер “ноль” всегда должен быть откровенный разговор с руководством или акционером с тем, чтобы определить их ожидания от управления рисками и серьезность желаний сделать организацию более риск-ориентированной.
Выберите международный стандарт по управлению рисками для внедрения
Самым актуальным стандартом по управлению рисками на данный момент в России является ГОСТ Р ИСО 31000:2010. Российский стандарт является полной копией международного ISO31000:2009, самого распространенного стандарта по управлению рисками в мире. Стандарт официально переведен и адаптирован в 44 из 50 крупнейших стран мира по ВВП. Поскольку все организации в определенной степени управляют рисками, ГОСТ Р ИСО 31000:2010 устанавливает ряд принципов, которые необходимо соблюдать для того, чтобы риск-менеджмент был эффективным. Стандарт устанавливает принципы и общее руководство по риск-менеджменту и не подлежит сертификации (организации не могут сертифицироваться на предмет соответствия стандарту). Тем не менее, ГОСТ Р ИСО 31000:2010 далеко не единственный в мире стандарт по управлению рисками, хоть он и является самым распространенным и, по мнению авторов, самым качественным. Для некоторых отраслей, например, для инвестиционных компаний, существуют собственные стандарты, разработанные отраслевыми ассоциациями.
Имейте в виду, что сложность методологии управления рисками должна быть пропорциональна размеру и степени сложности вашего бизнеса, а также общей зрелости организации в области управления рисками. Поэтому, если перед вами поставлена задача выбора методологии для организации, для которой системное управление рисками все еще в новинку, или где сотрудники предпочитают игнорировать, а не обсуждать риски, было бы крайне неуместно сделать выбор в пользу сложной и непрозрачной методологии.
Подготовьте анализ ключевых стратегических целей с учетом рисков
После того, как методология согласована и принята заинтересованными сторонами, настало время проанализировать насколько стратегические цели компании находятся «под риском».
ДЕКОМПОЗИЦИЯ СТРАТЕГИЧЕСКИХ ЦЕЛЕЙ
Ключевым шагом в процессе оценки рисков стратегических целей является декомпозиция и детализация этих целей. Сложные, высокоуровневые цели должны быть декомпозированы до уровня понятных и логичных компонентов для последующего анализа рисков. Декомпозиция может быть произведена качественно и экспертно до уровня тактических целей, на основании бизнес плана или плана долгосрочного развития (если речь идет о гос корпорациях) или количественно, на основании стратегической финансовой модели компании.
При декомпозиции целей важно придерживаться принципа MECE (ME — Mutually Exclusive — Взаимоисключающие, CE — Collectively Exhaustive — Совместно исчерпывающие). Во многих компаниях, где уже внедрена система целеполагания, стратегические цели уже декомпозированы, что существенно упрощает работу риск-менеджера.
ВЫЯВЛЕНИЕ ФАКТОРОВ НЕОПРЕДЕЛЕННОСТИ И РИСКОВ
Используйте стратегическую финансовую модель или бизнес план для определения ключевых допущений (assumptions), сделанных менеджментом при формировании стратегии. Большинство из этих допущений связано с высокой неопределенностью и требуют анализа рисков. Например, для крупной инвестиционной компании допущения, которые связаны с наибольшей неопределённостью включают: ожидаемую доходность от инвестиций, сроки возврата инвестиционных средств, сроки и стоимость привлечения заемных средств, плечо со-инвестирования, курс валюты и так далее.
Необходимо выбрать ключевые допущения для их последующего включения в анализ рисков стратегических целей. Вот лишь несколько критериев для выбора допущений:
- Фактор, связан с высокой неопределенностью.
- Влияние фактора корректно отражено в финансовой модели (например, нет смысла оценивать валютные риски, если в финансовой модели
- все валютные расходы зафиксированы в рублях, а изменение валюты несущественно влияет на результат).
- В организации существует достоверная статистика и эксперты для определения возможного диапазона значений фактора.
- Существуют внешние достоверные источники информации для определения возможного диапазона значений фактора.
Допущения могут выбираться количественно, с помощью анализа чувствительности, так и эксперта, через изучение нормативной базы. В результате этого этапа должен быть сформирован перечь допущений финансовой модели или бизнес плана, возможные диапазоны их значений и вероятные формы распределения таких значений.
Параллельно с этим необходимо провести классическое выявление рисков, чтобы определить все ли ключевые допущения и факторы были включены в анализ. Выявление рисков необходимо проводить через анализ существующей управленческой и финансовой отчетности компании, изучение отраслевых отчетов и данных конкурентов, анализ отчетов аудиторов, проверяющих органов и контрольно-ревизионных комиссий, а также интервью ключевых сотрудников компании. Бесплатные шаблоны для выявления рисков доступны на портале www.risk-academy.ru.
ПРОВЕДИТЕ ОЦЕНКУ СТРАТЕГИЧЕСКИХ ЦЕЛЕЙ С УЧЕТОМ РИСКОВ
Используйте сценарный анализ или имитационное моделирование для оценки влияния неопределенности и рисков на целевые показатели стратегии компании. Для имитационного моделирования могут использоваться различные программные продукты, такие как Palisade Decision Tools или Oracle Crystal Ball.
Авторы используют и рекомендуют решения Palisade Decision Tools, которые позволяют расширить базовый функционал MS Excel для моделирования рисков.
Необходимо учитывать корреляцию между факторами для корректного анализа рисков. Комплексность и взаимосвязанность глобальной бизнес-среды делает очень сложным отслеживание процессов того, как одни события могут повлиять на другие. Управление ключевыми связями требует глубокого понимания организации, осознания ее уязвимостей и принятия сознательных решений о том, какие из них принять и смягчить. Одним из полезных инструментов для проведения углубленного анализа рисков и выявления взаимозависимостей является методика галстук-бабочка. При подобном анализе определяются причинные факторы риска, а также (потенциальные) последствия риска.
Анализ методом галстук-бабочка часто используется для графического описания риска или установления связей между основными рисками.
В завершении, оцените, насколько полученный диапазон значений целевых показателей приемлем с учетом рисков. Определите вероятность достижения целевых показателей стратегии с учетом рисков (с помощью распределения результатов) и ключевые риски, которые могут отрицательно или положительно сказаться на достижении стратегических целей компании (с помощью диаграммы торнадо). Обсудите с руководством, насколько получение результаты соответствуют их ожиданиям, что они считают нужным откорректировать, и определите дальнейшие шаги.
АКТУАЛИЗАЦИЯ СТРАТЕГИИ С УЧЕТОМ РИСКОВ
Существует высокая вероятность, что анализ рисков наглядно укажет на не реалистичность или чрезмерную рискованность некоторых допущений, сделанных менеджментом. Анализ стратегических целей с учетом рисков может потребовать пересмотра некоторых факторов или стратегии компании целиком. Именно поэтому анализ стратегии с учетом рисков целесообразнее всего проводить на этапе формирования этой самой стратегии, а не после ее утверждения.
Тем не менее, анализ рисков может потребовать актуализации стратегии. Задача риск менеджера, совместно с руководством компании, определить какие изменения должны быть реализованы, чтобы сделать уровень риска приемлемым для организации.
Там, где уровень риска выше условного аппетита к риску, руководство, при помощи риск-менеджера, должно:
- Пересмотреть допущения, сделанные при формировании стратегии.
- Рассмотреть возможность передачи части рисков путем использования контрактов или механизмов хеджирования / страхования.
- Рассмотреть возможность снижения рисков путем принятия альтернативных подходов к достижению той же цели или реализации соответствующих мер контроля риска.
- Принятие риска и разработка планов на случай непредвиденных обстоятельств, чтобы свести к минимуму воздействие в случае наступления риска (разработка плана Б, если риски реализуются).
- Или, возможно, изменить стратегию.
Риск-менеджер, совместно с внутренним аудитом, также должен проверить, насколько эффективно выявленные риски в настоящее время контролируются. Одной из самых насущных потребностей является анализ того, насколько хорошо в настоящее время удерживаются под контролем идентифицированные риски. Далеко не всегда заявления владельцев процессов о контролируемости того или иного риска соответствуют действительности.
