Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KRI — Key Risk Indicator — ключевой индикатор риска.

KCI — Key Control Indicator — ключевой индикатор контроля.

KPI — Key Performance Indicator — ключевой показатель эффективности.

ORMF — Operational Risk Management Framework — система управления операционным риском.

CRO — Chief Risk Officer — руководитель функции управления рисками.

CEO — Chief Executive Officer — генеральный директор.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

Встраивание системы управления операционным риском в деятельность организации

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по надлежащей практике

Institute of Operational Risk / Institute of Risk Management
Русское учебное издание

Введение

У большинства организаций есть хотя бы часть Operational Risk Management Framework (ORMF) — системы управления операционным риском: процедуры выявления, оценки, мониторинга и контроля рисков, политики, регламенты, отчётность и элементы риск-культуры.

Но наличие документов и инструментов ещё не означает, что система работает. Она должна быть встроена в повседневные решения и процессы. Сотрудники должны видеть в ней не внешнюю бюрократическую обязанность, а инструмент, который помогает им делать работу лучше.

1. Что означает «встроенная» ORMF

Любая управленческая система потребляет деньги, время и внимание. Поэтому она устойчиво работает только тогда, когда создаёт ценность — фактическую и воспринимаемую пользователями.

Ценность может быть:

материальной: меньше операционных потерь и штрафов, лучше решения, выше эффективность;

нематериальной: сотрудники считают риск-менеджмент полезным и доверяют системе.

Парадокс операционного риск-менеджмента: затраты на контроль видны сразу, а выгода часто заключается в событии, которое не произошло. Поэтому доказать эффект бывает сложно. Тем важнее показывать конкретные улучшения, а не просто требовать заполнения реестров.

Встроенная ORMF — это система, которая и реально добавляет ценность, и воспринимается сотрудниками как полезная.

2. Критические факторы успеха

2.1. Риск-культура

Культура определяет, считают ли люди операционный риск частью бизнеса и готовы ли тратить время на его управление.

Что мешает встраиванию

риск считается чем-то внешним по отношению к работе;

сотрудники не думают о риске при обычных решениях;

руководство игнорирует или высмеивает риск-менеджмент;

управление риском считается исключительно задачей риск-функции;

ORMF воспринимается как «красная лента» и контроль ради контроля;

риск-функция изолирована от бизнеса;

персоналу объективно не хватает ресурсов на выполнение риск-процедур.

Что помогает

риск признаётся естественной частью достижения целей;

сотрудники учитывают риски в ежедневной работе;

руководство регулярно показывает ценность ORMF собственным поведением;

операционный риск считается общей ответственностью;

система помогает экономить, повышать эффективность и принимать решения;

риск-функция присутствует в реальных бизнес-процессах;

людям хватает ресурсов для выполнения своих обязанностей.

2.2. Эффективное управление

Для встраивания важны две вещи:

простая и понятная формальная архитектура полномочий и отчётности;

рабочие отношения между бизнесом, риск-функцией и внутренним аудитом.

Слишком много комитетов и линий отчётности создают задержки, дублирование и размывание ответственности. Структуру следует делать настолько простой, насколько позволяет масштаб организации.

Модель трёх линий не означает, что линии не должны разговаривать. Бизнес отвечает за внедрение и ежедневное управление, риск-функция — за дизайн и надзор, аудит — за независимую уверенность. Но жёсткая социальная изоляция этих групп может породить недоверие.

Практики, которые помогают:

риск-функция регулярно делится с бизнесом данными об инцидентах, внешних событиях и хороших практиках;

риск-менеджеры проводят неформальные 1:1 встречи с ключевыми руководителями;

при изменении ORMF бизнес вовлекают в обсуждение;

проводятся тематические коммуникационные кампании;

риск-функция обучает и консультирует пользователей;

внутренний аудит и риск-функция регулярно обмениваются информацией.

Чем лучше личные отношения и взаимное уважение, тем легче встроить систему.

3. Отчётность как инструмент встраивания

Отчёты по операционному риску должны поддерживать стратегические и тактические решения. Плохой, неточный или неудобный отчёт быстро дискредитирует всю систему.

3.1. Для кого отчёты

Недостаточно готовить отчёты только для совета директоров и топ-менеджмента. Основной объём данных часто собирают линейные руководители: обновляют RCSA, регистрируют инциденты, собирают KRI/KCI. Они также должны получать полезную обратную информацию.

Локальные отчёты могут помогать:

видеть узкие места процессов;

готовиться к аудиту;

управлять безопасностью и соответствием;

отслеживать мероприятия;

принимать решения по контролям.

Хорошая ИТ-система должна позволять бизнесу формировать локальные отчёты и одновременно сохранять единый набор данных для корпоративной отчётности.

3.2. Качество отчётности

Три базовых требования:

своевременность;

точность;

достаточная полнота.

Полнота не означает «показать всё». Избыточная информация может сделать отчёт бесполезным.

Получателей нужно вовлекать в дизайн отчётов: спросить, что им нужно для решений, показать прототип, затем регулярно пересматривать формат.

3.3. Удобство использования

IOR рекомендует:

Краткость

Для многих управленческих аудиторий 1–2 страницы лучше длинного отчёта. Документ должен запускать обсуждение, а не заменять его.

Фокус на исключениях

Показывать прежде всего:

текущие наиболее существенные риски;

нарушения порогов;

слабости контролей;

значимые изменения и тренды.

Простота визуализации

Графика должна помогать понять ситуацию, а не демонстрировать сложность аналитики. Простая ясная диаграмма лучше перегруженного дашборда.

4. Ответственность за пределами риск-функции

Риск-функция не способна самостоятельно встроить ORMF.

4.1. Владельцы рисков

Обычно это руководители подразделений или функций. Они отвечают за ежедневное управление экспозицией, своевременность оценок и действия при слабостях контроля или росте риска.

4.2. Владельцы контролей и данных

Владелец контроля отвечает за работу конкретной меры.
Владелец данных — за своевременное предоставление надёжных данных для индикаторов и отчётности.

4.3. Risk champions

Риск-координаторы/«чемпионы» помогают применять ORMF локально:

дают практические разъяснения;

помогают менеджерам решать вопросы по контролям;

являются точкой контакта центральной риск-функции;

объясняют бизнесу пользу системы.

Риск-функция должна инвестировать в этих людей: проводить встречи, обучение и создавать форумы обмена практикой.

5. Интеграция с организационными процессами

Чем ближе управление операционным риском к реальным процессам, тем заметнее его ценность.

5.1. Стратегическое планирование

Риск-функцию нужно подключать до принятия стратегии, а не после. Она должна помогать понять операционные экспозиции новых целей и предложить способы контроля.

5.2. Управление изменениями

Риск-функция может фасилитировать оценки рисков изменений и помогать проектировать контроли. Но решение и ответственность остаются у бизнеса.

5.3. Принятие решений

Информация ORMF должна использоваться при выборе «принять риск или снизить», запуске продукта, изменении процесса, выборе поставщика и других управленческих решениях.

5.4. Мотивация и вознаграждение

Нельзя создавать стимулы, толкающие сотрудников к неоправданному риску. Риск-функция должна оценивать новые системы KPI/бонусов и при необходимости эскалировать опасные конструкции.

5.5. Обучение

Риск-обучение лучше встраивать в обычное развитие руководителей, вводное обучение и программы личной эффективности, а не всегда проводить отдельным «курсом по рискам».

5.6. Коммуникации

Сообщения о рисках желательно включать в обычные коммуникации бизнеса. Это делает управление риском частью нормальной работы, а не отдельным информационным потоком «от отдела рисков».

При тесной работе со первой линией риск-функция должна сохранять независимую линию отчётности, например через CRO к CEO или совету.

6. Как оценить встроенность ORMF

Периодически — например ежегодно или ежеквартально для отдельных элементов — организация должна проверять, действительно ли ORMF встроена.

Ключевые вопросы:

Нужная инфраструктура существует и связана с бизнес-процессами?

Данные об операционном риске реально влияют на решения?

Можно ли доказать, что система эффективна?

Хороший признак встроенности — наличие решений, которые были изменены или отменены из-за анализа операционного риска, например отказ от запуска продукта или рынка, который вывел бы профиль риска за аппетит.

7. Подходы к оценке эффективности

IOR перечисляет несколько моделей.

7.1. Принципы ISO 31000

Проверяется, создаёт ли риск-менеджмент ценность, интегрирован ли он в процессы и решения, учитывает ли неопределённость, использует ли лучшую доступную информацию, учитывает ли человеческий фактор и поддерживает ли постоянное улучшение.

7.2. Модель зрелости

Определяются уровни зрелости и сравнивается текущее состояние с желаемым. Обычно присутствуют стандарты практики, критерии, измерение результатов, отчётность и независимая проверка.

7.3. Процессный подход

Оцениваются элементы процесса:

коммуникация;

контекст;

идентификация;

анализ;

оценка приоритетов;

обработка;

мониторинг и пересмотр.

7.4. Компонентный подход COSO

Анализируются среда, цели, события, оценка риска, реакция, контроли, информация/коммуникация и мониторинг.

8. Пять шагов оценки встроенности

Определить целевое состояние — что означает «хорошо» для организации.

Зафиксировать текущую базу — интервью, документы, доказательства, метрики.

Найти разрывы между текущим и целевым состоянием; каждому разрыву назначить действие, владельца и срок.

Доложить руководству и регулярно обновлять статус мероприятий.

Повторять оценку, например ежегодно, поскольку процессы, люди и среда меняются.

Привязка улучшения встроенности к scorecard руководителей может заметно повысить внимание к ORMF.

9. Индикаторы встроенности

Полезные признаки:

менеджеры сами обращаются в риск-функцию за советом — «pull», а не только получают требования «push»;

доля просроченных оценок риска;

нарушения риск-политики;

количество и длительность просроченных мероприятий;

переход от реактивных контролей к предупреждающим;

больше leading KRI, а не только индикаторов уже случившегося ущерба;

комитеты действительно обсуждают и используют риск-отчётность;

профиль риска остаётся внутри аппетита/толерантности;

есть доказательства учёта риска в управленческих решениях;

сотрудники считают ORMF полезной;

внешние аудиторы, регуляторы и рейтинговые агентства подтверждают достаточную зрелость.

10. Вывод

Даже технически совершенная ORMF не работает, если её считают громоздкой бюрократией. Поэтому профессиональному риск-менеджеру нужны не только методические знания, но и навыки влияния, переговоров и построения отношений.

Риск-функция не сможет добиться устойчивого результата без реальной поддержки совета директоров и высшего руководства. Встроенная система — это не набор форм, а ситуация, когда управление операционным риском естественно присутствует в повседневных решениях компании.

Приложение. Типовая архитектура ORMF

ORMF включает инфраструктуру и инструменты, поддерживающие:

идентификацию рисков;

оценку;

мониторинг;

контроль и обработку.

Она существует внутри внешней среды — экономики, регулирования, конкуренции — и внутренней операционной среды. Стратегия и цели влияют на профиль риска, а сама система опирается на:

корпоративное управление;

риск-аппетит;

категоризацию;

риск-культуру;

политики и процедуры;

ИТ-системы;

компетенции и ресурсы людей.

Источник: Institute of Operational Risk / Institute of Risk Management, Embedding an Operational Risk Management Framework — Operational Risk Sound Practice Guidance.

Примечание к русскому изданию: профессионально адаптированный перевод с сохранением логики, структуры, практических рекомендаций и ключевых примеров исходного руководства; повторы сокращены.