Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KRI — Key Risk Indicator — ключевой индикатор риска.

KCI — Key Control Indicator — ключевой индикатор контроля.

KPI — Key Performance Indicator — ключевой показатель эффективности.

ORMF — Operational Risk Management Framework — система управления операционным риском.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

RAG — Red Amber Green — красный, жёлтый и зелёный уровни состояния.

SMART — Specific Measurable Achievable Relevant Time-bound — конкретность, измеримость, достижимость, значимость и ограниченность сроком.

Ключевые индикаторы риска (KRI)

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по надлежащему управлению операционным риском

Institute of Operational Risk (IOR), компания группы IRM

Русское электронное издание подготовлено по предоставленному пользователем оригиналу. Общепринятые сокращения KRI, KCI, KPI, RCSA и ORMF сохранены.

Предисловие

Институт операционного риска (IOR) создан в 2004 году и с 2019 года входит в Institute of Risk Management. Его задача — развивать управление операционным риском как профессию и распространять практические подходы к качественному управлению этим видом риска.

Эффективное управление операционным риском становится всё важнее. Крупные события — мировой финансовый кризис, пандемия COVID‑19 и многочисленные иные сбои — показали, что последствия операционных рисков могут быть масштабными, а ошибки управления способны серьёзно ударить по организации и её заинтересованным сторонам.

Руководство дополняет общие стандарты риск-менеджмента, например ISO 31000, но сфокусировано именно на практическом управлении операционным риском. Универсальной схемы не существует: организация должна выбирать соразмерные своему масштабу и профилю решения, регулярно сравнивать их с лучшими практиками и непрерывно улучшать.

Серия руководств IOR предназначена для того, чтобы:

объяснять построение устойчивой и эффективной ORMF;

показывать практическую ценность операционного риск-менеджмента;

передавать опыт специалистов и реальные сложности внедрения.

Содержание

Введение

Определения

2.1 Индикаторы риска

2.2 Индикаторы контроля

2.3 Индикаторы эффективности

2.4 Одна метрика может выполнять разные функции

2.5 Что делает индикатор «ключевым»

Использование индикаторов

3.1 Мониторинг риска

3.2 Реализация риск-аппетита

3.3 Корпоративное управление и независимое подтверждение

3.4 Оценка и моделирование риска

Желаемые свойства индикаторов операционного риска

Выбор индикаторов, порогов и лимитов

Управление индикаторами и отчётность

Выводы

1. Введение

Индикаторы риска, часто называемые Key Risk Indicators (KRI), — важный инструмент управления операционным риском.

Операционные риски динамичны: уровень подверженности меняется вслед за людьми, процессами, системами и внешней средой. KRI позволяют относительно недорого отслеживать такие изменения и вовремя замечать, что риск начинает расти или менять характер.

Фактически все организации уже используют индикаторы в той или иной форме. Руководители опираются на показатели работы людей, процессов и систем, а также на данные о влиянии внешних событий. Эти четыре элемента и образуют классический охват операционного риска.

Индикаторы используются на разных уровнях — от операционных руководителей до исполнительного менеджмента и совета директоров.

IOR считает мониторинг индикаторов обязательным элементом ORMF. Риск-функция должна играть центральную роль в проектировании и внедрении индикаторов именно как инструмента управленческого решения, а не как отчётности ради отчётности.

Хорошо организованный процесс KRI помогает:

оценивать уровень операционного риска;

отслеживать его изменение;

контролировать экспозиции;

повышать осведомлённость о риске;

принимать более обоснованные решения.

2. Определения

Индикатор операционного риска — измеримая метрика, которая служит приближённым показателем подверженности операционному риску.

Изменение метрики может сигнализировать, что:

меняется присущий/валовой риск — вероятность и/или воздействие потенциального события;

появились слабости контроля, из-за чего меняется остаточный риск;

ухудшаются результаты работы организации из-за реализующихся операционных рисков;

ухудшается сама эффективность ORMF.

Важно: индикатор обычно не показывает точное значение риска. Он даёт сигнал, который требует интерпретации и, при необходимости, управленческого действия.

2.1. Индикаторы риска

Индикатор риска выступает прокси-переменной для уровня риска. Изменение его значения указывает на возможное изменение вероятности и/или тяжести последствий.

Индикаторы могут быть связаны с причинами события или с его эффектами.

Примеры

Причинные индикаторы | Индикаторы последствий
Количество и типы причин, выявленных при анализе убытков и событие без последствий | Прямые финансовые потери: списания активов, резервы по требованиям ответственности
Текучесть персонала, % | Косвенные потери: снижение доли рынка, компенсации клиентам, штрафы
Мораль/вовлечённость персонала по опросам | Длительность отсутствия сотрудников из-за происшествий по охране труда
Количество неустановленных ИТ-патчей | Удовлетворённость клиентов
Число попыток взлома | Количество и продолжительность нарушений процессов и систем
Число просроченных мероприятий внутреннего аудита | Количество негативных публикаций после события
Число ручных вмешательств для исправления ошибок автоматизированного процесса | Количество негативных сообщений в социальных сетях после события

Чаще всего KRI сигнализирует об изменении присущего (gross/inherent) риска. Если исходная экспозиция растёт, организации может потребоваться усилить контрольную среду, чтобы сохранить остаточный риск на прежнем уровне. Если ничего не делать, рост присущего риска может перейти в рост остаточного.

2.2. Индикаторы контроля — KCI

Key Control Indicators (KCI) показывают, насколько конкретный контроль операционного риска достигает своей цели в данный момент времени.

Источниками KCI могут быть:

результаты формального тестирования контролей;

данные о потерях;

данные о событие без последствий;

сведения о том, где контроль предотвратил событие, обнаружил его или не сработал.

Оценка KCI должна быть связана с RCSA и общей системой оценки эффективности контролей.

2.3. Индикаторы эффективности — KPI

Key Performance Indicators (KPI) измеряют результативность или прогресс в достижении целей. Это могут быть финансовые показатели, производительность процессов и систем, выполнение бизнес-планов и проектов.

В операционном риске KPI также важны, потому что ухудшение эффективности нередко становится ранним сигналом риска.

Например, резкий рост бизнеса может выглядеть как хороший KPI, но одновременно повышать операционный риск: системы управления и внутренние контроли могут не успевать за ростом, увеличивая вероятность мошенничества, ошибок и сбоев.

Примеры KPI, значимых для операционного риска:

доступность, безопасность и время восстановления ИТ-систем;

число отказов оборудования или дефектов продукции;

надёжность продуктов и услуг, количество жалоб;

скорость ответа и закрытия обращений сервисным центром;

показатели качества работы аутсорсинговых поставщиков;

эффективность самих процедур и процессов операционного риск-менеджмента.

2.4. Одна метрика — разные роли

Один и тот же показатель в разных контекстах может быть KRI, KCI или KPI.

Пример: рост активов — обычный показатель эффективности бизнеса. Но слишком быстрый рост может одновременно быть индикатором операционного риска, если он создаёт нагрузку на системы управления, персонал и внутренние контроли.

Аналогично плохая работа ИТ или клиентского сервиса может быть KPI проблемы, но одновременно сигнализировать о росте киберриска, риска ошибок или жалоб.

Следовательно, классифицировать метрику нужно не по её названию, а по управленческой функции, которую она выполняет.

2.5. Когда индикатор становится «ключевым»

Не каждый показатель автоматически является ключевым.

Индикатор становится key, когда:

отслеживает действительно значимый операционный риск; или

особенно хорошо отражает изменение конкретного риска.

IOR предлагает в первую очередь использовать термин KRI для показателей, привязанных к ключевым операционным рискам — рискам с высокой экспозицией, угрозой целям организации или находящимся за пределами риск-аппетита.

Привязка риск-, контрольных и performance-индикаторов к ключевым рискам позволяет:

отслеживать изменение риска;

контролировать его;

подтверждать, что контроли работают;

обеспечивать совет директоров доказательной информацией о качестве управления.

Первый шаг при внедрении KRI — определить ключевые риски. Для этого можно использовать результаты RCSA на уровне группы или исполнительного руководства. Ключевыми обычно являются риски с наибольшей оценкой присущего и/или остаточного риска и, следовательно, наибольшей угрозой целям организации.

3. Использование индикаторов

Индикаторы — прежде всего инструмент business intelligence для риск-решений. Они поддерживают мониторинг и оценку риска, реализацию риск-аппетита и корпоративное управление.

3.1. Мониторинг риска

Особенно ценны опережающие (leading) индикаторы. Они помогают обнаруживать будущие изменения вероятности и/или воздействия.

KRI как прокси-показатель не сообщает точное изменение риска, но может показать, что экспозиция меняется или вскоре изменится. Такой сигнал должен запускать проверку причины и, при необходимости, дополнительные меры контроля.

Преимущество индикаторов перед полной RCSA — меньшая трудоёмкость. Поэтому между плановыми пересмотрами RCSA именно KRI/KCI могут отслеживать:

изменение inherent risk;

изменение эффективности контролей;

изменение residual risk.

Например, RCSA обновляется раз в квартал, а индикаторы — ежемесячно, еженедельно, ежедневно, ежечасно или в реальном времени. В крупных банках отдельные показатели финансовых преступлений контролируются фактически online.

3.2. Реализация риск-аппетита

Организация должна иметь процедуры, позволяющие удерживать операционный риск в рамках установленного appetite и tolerance.

Один из самых распространённых способов — установить для KRI, KCI и KPI пороги и лимиты, согласованные с риск-аппетитом.

Когда показатель:

нарушает порог;

нарушает лимит; или

устойчиво движется к нарушению,

должны запускаться целевые действия, возвращающие риск в допустимую область.

3.3. Корпоративное управление и независимое подтверждение

Совет директоров должен контролировать существенные риски организации и убеждаться, что системы управления рисками и внутреннего контроля адекватны.

Сводные отчёты по KRI/KCI/KPI позволяют совету:

отслеживать ключевые операционные риски;

получать независимое подтверждение об эффективности связанных с ними контролей;

оценивать результативность самой ORMF.

3.4. Оценка и моделирование риска

KRI и KCI могут использоваться как входные данные RCSA и риск-моделей.

При RCSA значительное изменение индикатора должно как минимум инициировать обсуждение оценок вероятности и воздействия. Владельцы риска могут решить оставить баллы без изменения, но это должно быть осознанное решение после анализа, а не автоматическое игнорирование сигнала.

В статистическом моделировании индикаторы могут выступать переменными модели либо использоваться для её валидации. Если модель показывает резкое изменение риска, а связанные KRI/KCI не меняются — или наоборот — это повод проверить либо качество модели, либо правильность выбранных индикаторов.

4. Желаемые свойства индикаторов операционного риска

Слишком много индикаторов может быть не менее вредно, чем слишком мало. Руководителю трудно выделить главное в массиве метрик, а сбор и отчётность по каждой из них требуют ресурсов.

Поэтому организация должна заранее определить требования к данным, используемым как KRI/KCI, и отличать просто имеющиеся данные от специально выбранных метрик, действительно отражающих изменение экспозиции, эффективности контроля или работы ORMF.

4.1. Релевантность

Индикатор должен давать надёжную и точную информацию о текущем и будущем уровне операционного риска.

Релевантность меняется со временем: возникают новые риски, старые снижаются, процессы и системы перестраиваются. Поэтому набор индикаторов следует периодически пересматривать, удобно совмещая это с RCSA.

При выборе и пересмотре полезно опираться на опыт владельцев риска и контроля.

Контрольные вопросы:

помогает ли метрика количественно описывать риск;

помогает ли она отслеживать экспозицию;

помогает ли она управлять риском и его последствиями?

Если на эти вопросы нельзя уверенно ответить «да», метрика, вероятно, не должна занимать место среди ключевых индикаторов.

4.2. Измеримость

Индикатор должен измеряться последовательно и воспроизводимо. Это необходимо для:

построения временных рядов;

сравнения периодов;

установления целей, порогов и лимитов.

Подходящие формы выражения:

количество или число случаев;

денежная величина;

процент или отношение;

продолжительность времени;

значение по заранее определённой рейтинговой шкале.

Текстовые описания нежелательны: они субъективны, неоднозначны и позволяют манипулировать смыслом формулировки.

Кардинальные и порядковые значения

Измеримая метрика может быть:

кардинальной — реальным числом, где можно сказать, что 2 вдвое больше 1;

порядковой (ordinal) — где известно лишь, что 2 больше 1, но не известно «во сколько».

Баллы вероятности и последствий в RCSA обычно порядковые. Статистическая модель, выдающая реальную вероятность или точную сумму потенциального ущерба, — кардинальная.

Хороший индикатор должен:

иметь достаточно точное значение и не зависеть чрезмерно от субъективного мнения;

быть сопоставимым во времени;

по возможности строиться на первичных данных;

быть понятным без дополнительного перевода в субъективную «зрелость» или иную искусственную шкалу.

Проценты и отношения часто полезнее абсолютных чисел, особенно если рядом показан разумный ориентир или ориентир.

4.3. Опережающий характер — leading indicators

IOR не рекомендует чрезмерно полагаться на запаздывающие (lagging) показатели, которые лишь описывают уже произошедшие события, если прошлые тренды не являются надёжным предиктором будущего.

Предпочтительнее leading/preventive indicators — показатели, которые дают руководству время исправить ситуацию до реализации убытка.

Ключ к опережающему индикатору — отслеживать не только число реализовавшихся событий, но и причины риска.

Здесь особенно полезны:

внутренние и внешние данные по событиям потерь, если собираются причины;

сценарный анализ, который помогает выявить причины, ещё не проявившиеся в исторической статистике.

Примеры leading и lagging

Опережающий показатель | Запаздывающий показатель
Разрыв в оплате труда и удовлетворённость работой как причины увольнений | Текучесть персонала
Метрики контроля качества продукта/услуги | Количество жалоб клиентов
Частота нарушений политик и процедур | Потери от уже произошедших нарушений
Частота обслуживания машин/транспорта | Стоимость их отказов

Крупные операционные события часто возникают как цепочки причин и следствий: плохая ИТ-система → плохая информация → неверное решение → плохой клиентский сервис → жалобы.

Поэтому один и тот же показатель может быть lagging для одного риска и leading для другого. Например, отказ ИТ — уже реализовавшееся событие для ИТ-риска, но одновременно ранний сигнал будущего роста клиентской неудовлетворённости.

Даже показатель нерешённых жалоб сочетает несколько временных горизонтов: жалоба относится к уже возникшей проблеме, но если её не закрыть, в будущем возможны судебные расходы и негативная публичность.

Настоящие leading indicators

Они встречаются реже и чаще описывают драйверы в среде бизнеса:

состояние людей;

состояние процессов;

состояние технологий;

изменения рынка или внешней среды.

Примеры:

число превышений лимитов;

необычные движения денежных средств;

средняя задержка критических операций.

Сами по себе такие отклонения ещё не являются убытком, но их рост может предсказывать повышение частоты или тяжести будущих событий.

Индикаторы экспозиции

Отражают состояние бизнес-среды и критических зависимостей:

волатильность или стабильность рынка;

быстрый рост или зрелость бизнеса;

степень регулирования;

финансовая устойчивость и поведение поставщиков, подрядчиков и крупных клиентов;

распространение пандемии;

регуляторные изменения;

тренды киберпреступности.

Такие сигналы нередко являются разовыми и не обязательно укладываются в классическую квартальную RAG-отчётность. Их задача — поднять тревогу при значимом изменении критического внешнего фактора.

Индикаторы отказа

Предупреждают о сбоях ключевых контролей, процедур или систем. KCI часто являются естественным источником таких показателей.

Индикаторы напряжения ресурсов

Отражают перегрузку человеческих, финансовых или технических ресурсов.

Примеры:

количество сверхурочных часов — косвенный индикатор усталости и роста вероятности ошибок/травм;

загрузка ИТ-оборудования и программных ресурсов — предвестник замедления, downtime или отказов.

4.4. Простота сбора и мониторинга

Ценность информации должна превышать стоимость её получения. Это правило cost-benefit применимо к KRI так же, как к любому другому инвестиционному решению, кроме обязательной регуляторной отчётности.

Стоимость и простота сбора должны быть одним из ключевых критериев отбора.

Лучший первый шаг — переиспользовать уже существующие метрики бизнеса. У организации обычно есть множество операционных показателей, из которых можно сформировать хороший набор KRI без нового дорогостоящего контура данных.

Автоматизированные системы KRI снижают трудозатраты, но IOR рекомендует внедрять их после того, как сама система индикаторов стала зрелой.

Практичный путь:

начать с небольшого числа индикаторов;

некоторое время собирать данные вручную;

понять источник данных, смысл метрики и управленческое применение;

автоматизировать только доказавшие полезность показатели;

сохранить возможность легко добавлять и заменять индикаторы.

Процесс сбора должен включать:

чёткие сроки предоставления данных;

прослеживаемые источники и каналы;

возможность аудита;

независимый контроль качества, чтобы руководству не уходили ошибочные или вводящие в заблуждение данные.

4.5. Сопоставимость

Индикатор должен сравниваться с каким-либо ориентир. Без контекста руководителю сложно понять масштаб значения и определить, требуется ли действие.

Сравнение возможно:

с собственной историей;

между подразделениями;

между бизнес-единицами;

с внешними организациями или отраслью.

Историческое сравнение работает, если определение метрики и способ сбора долго остаются стабильными.

Внешний и внутренний сопоставительный анализ иногда ещё полезнее, поскольку даёт широкий контекст. Например, отрасли могут обмениваться неперсонализированной статистикой больничных или происшествий по охране труда. Вместе с абсолютным значением можно показывать позицию организации относительно отраслевого распределения — например квартиль.

Так же можно сравнивать внутренние подразделения, создавая здоровую конкуренцию и мотивируя улучшать связанные риски и контроли.

4.6. Аудируемость

Данные индикатора должны быть:

полными и точными, причём это качество должно сохраняться во времени;

полученными из документированного источника;

рассчитанными по ясной и стабильной формуле;

своевременно и понятно представленными.

На раннем этапе развития программы KRI рекомендуется провести независимую валидацию процесса выбора индикаторов, включая:

источники данных;

агрегацию;

передачу показателей руководству.

Обычно такую проверку выполняет внутренний аудит.

Позднее должны проводиться периодические quality независимое подтверждение-проверки: остаются ли индикаторы релевантными, а данные — своевременными, точными и полными. Результаты аудитов KRI следует докладывать комитету по операционным рискам и аудиторскому комитету.

5. Выбор индикаторов, порогов и лимитов

5.1. Top-down и снизу вверх

Существует два основных подхода.

Top-down

Совет директоров и/или высшее руководство определяют набор показателей, который должен отслеживаться по всей организации.

Преимущества:

легче агрегировать показатели;

проще обеспечить единое понимание руководством;

удобно сравнивать бизнес-линии и регионы.

Top-down KRI должны:

отражать профиль операционного риска соответствующего уровня;

агрегироваться в понятную метрику;

применяться ко всем организационным единицам ниже уровня, на котором установлены;

быть обязательными к отчётности.

Bottom-up

Местные руководители выбирают показатели, действительно значимые для их процессов и рисков.

При выборе следует учитывать:

результаты RCSA;

регуляторные проверки и аудиторские замечания;

новые продукты и проекты — особенно на этапе внедрения;

мнение владельцев риска и локального риск-менеджера;

уроки недавних событий потерь;

изменения экономической среды, например рост мошенничества в период рецессии.

Ни один подход не является универсально лучшим. На практике оптимальна комбинация: единое сверху вниз ядро для корпоративного уровня и снизу вверх показатели для локальной операционной специфики.

5.2. Частота измерения

Частота должна соответствовать циклу деятельности. Возможен диапазон от real-time до ежемесячного, квартального или полугодового измерения.

Важно различать:

частоту мониторинга/сбора данных;

частоту отчётности.

Они не обязаны совпадать.

5.3. Пороги и лимиты

Набор KRI без правил интерпретации и без заранее определённых действий даёт мало пользы.

Для релевантных индикаторов необходимо установить пороги и/или лимиты, при нарушении которых организация понимает, что требуется действие. Это одновременно ключевой механизм реализации операционного риск-аппетита.

Но произвольные пороги также малоценны. IOR рекомендует сначала накопить статистику минимум 6 месяцев, а предпочтительно около года, и только затем калибровать первоначальные значения с учётом истории и доступных ориентирs.

Типы порогов

Верхний предел (cap): превышение запускает эскалацию.

Нижний предел (floor): падение ниже установленного значения запускает эскалацию.

Коридор (collar): показатель должен оставаться между верхней и нижней границами.

Можно использовать:

проценты;

абсолютные значения;

отклонения от заданной величины;

отношения и другие производные показатели.

По мере зрелости риск-менеджмента допустимо постепенно ужесточать пороги. Однако слишком узкие пределы создают ложные срабатывания и «усталость от сигналов» — сотрудники перестают реагировать. Слишком широкие пороги обнаруживают проблему слишком поздно.

Практический алгоритм первичной установки

Определить, нужен cap, floor или collar.

Определить форму метрики: число, %, отношение, отклонение и т. п.

Изучить исторические значения и естественный диапазон.

Сопоставить с бюджетами, целями, внешними данными и риск-аппетитом.

Найти первую точку, в которой значение начинает вызывать обоснованный управленческий дискомфорт.

Установить её как первый порог.

Проверить несколько следующих периодов и при необходимости скорректировать.

Часто применяется RAG-модель:

Green — нормальная зона;

Amber — повышенное внимание;

Red — наивысший приоритет и эскалация.

RAG-пороги и управленческий смысл

Обычная интерпретация зон:

Зона | Смысл | Реакция
Red | Значение слишком высокое/низкое; возможно существенное воздействие риска | Нужны немедленные действия руководства
Amber | Значение отклонилось от нормы; риск повышен и может стать существенным | Требуется внимание руководства, анализ причин и решение о мерах
Green | Значение в нормальном диапазоне | Срочные действия не требуются; достаточно обычного мониторинга

Для метрик с одним жёстким лимитом — например при фактической нулевой толерантности — промежуточная amber-зона может не использоваться: показатель будет только green или red.

Ключевой принцип: управлять нужно не индикатором, а риском, который он отражает. Возврат KRI в зелёную зону сам по себе ещё не доказывает, что угроза устранена.

Пороги должны быть связаны с каскадированным риск-аппетитом организации.

5.4. Триггеры эскалации

После установки порога необходимо заранее определить, что именно произойдёт при его нарушении и кто должен действовать. Это trigger condition.

Если имеется несколько уровней порогов, каждый последующий уровень обычно вызывает уведомление всё более старшего руководства.

Возможные механизмы:

touch trigger — сигнал возникает сразу при касании/пересечении границы;

repetitive touch — первое нарушение только фиксируется, а эскалация запускается, если показатель остаётся за границей в следующем отчётном периоде.

Триггеры должны соответствовать риск-аппетиту и реальной способности организации обслуживать систему предупреждений. Слишком сложные схемы требуют людей, ИТ и денег и не всегда создают дополнительную ценность.

6. Управление индикаторами и отчётность

После определения первоначального набора KRI и их порогов работа только начинается. Без качественного пересмотра и отчётности первоначальные усилия будут потеряны.

Минимально рекомендуется ежегодно пересматривать:

сами индикаторы;

их лимиты и пороги;

релевантность источников данных.

Более частый пересмотр нужен в динамичной среде.

Необходимо документировать:

порядок добавления и изменения индикаторов и порогов;

карточку каждой метрики: источник данных, формула, частота сбора, причина выбора, пороги/лимиты;

процедуру отчётности.

Обычно дизайн, внедрение и документирование процесса KRI находятся в зоне ответственности функции операционного риска.

6.1. Добавление, изменение и удаление индикаторов

Набор KRI следует пересматривать, когда:

меняются ключевые риски;

появляется новый значимый риск;

старый риск перестаёт быть ключевым;

выбранный показатель теряет связь с риском;

внедряется новый продукт или вид деятельности;

новые индикаторы рекомендуют бизнес, регулятор или аудит.

Процедура должна определять:

периодичность пересмотра;

кто имеет право предложить и утвердить добавление/изменение/удаление;

допускаются ли изменения сверху вниз и снизу вверх;

что происходит с историческими данными удалённой метрики;

нужно ли пересчитывать историю при замене индикатора сходным;

как долго контролировать временные KRI для нового продукта после внедрения.

6.2. Изменение порогов и лимитов

Корректировка порогов — нормальная практика, особенно для новых показателей, когда накоплено мало статистики.

Организация должна иметь формальный корпоративное управление-процесс, определяющий:

кто может менять значение;

кто утверждает изменение.

В снизу вверх модели локальное руководство может иметь право предложить новый порог, а риск-функция — его утвердить. В сверху вниз модели полномочие обычно принадлежит высшему руководству, а утверждение — совету директоров или делегированному риск-комитету.

6.3. Действия при нарушении порога

При выходе в amber или red должны быть сформированы действия.

Хорошая практика:

документировать действие;

назначать владельца — риск- или control owner;

формулировать действия по принципу SMART: конкретные, измеримые, реализуемые, реалистичные и ограниченные сроком;

контролировать прогресс и своевременность закрытия.

6.4. Отчётность

Собирать KRI бессмысленно, если информация не попадает вовремя к тем руководителям, которые способны принять решение.

Для совершенно новых индикаторов организация может сначала 6–12 месяцев собирать историю, а затем запускать полноценную отчётность и устанавливать пороги. Если используется уже имеющаяся историческая метрика, ждать не требуется — это ещё один аргумент в пользу reuse существующих данных.

6.4.1. Разные аудитории — разные отчёты

У совета, высшего руководства и локальных операционных менеджеров разные задачи, поэтому им нужны разные уровни детализации.

Отчёты желательно проектировать вместе с будущими пользователями — это повышает понятность и полезность. При этом централизованная координация нужна, чтобы определения и представление оставались единообразными и показатели можно было агрегировать и сравнивать между функциями и бизнес-линиями.

В крупных организациях правила KRI-отчётности целесообразно формально документировать.

Признаки качественного отчёта

Краткость. Нельзя перегружать руководство десятками страниц метрик. Полезен exception reporting — показывать прежде всего нарушения порогов и негативные тренды.

Простота. Минимум жаргона, огромных таблиц и ненужных формул. Использовать самые простые графики, которые доносят смысл.

Своевременность. Информация должна доходить до пользователя, пока на неё ещё можно воздействовать.

Точность. Ошибочный KRI может привести и к недооценке риска, и к неоправданным расходам на контроль. Нужны процедуры постоянной проверки данных.

Тренды. Отчёт должен показывать историю показателя, его волатильность и направление движения.

Понятная эскалация. Получатель должен знать, когда и кому передавать проблему выше.

Соответствие требованиям. Если применимы регуляторные правила, отчётность должна им соответствовать.

6.4.2. Частота отчётности

Единой правильной частоты нет. Она зависит от риска, показателя, среды и скорости принятия решений.

Частота | Преимущества | Подходит для | Основной пользователь | Ограничения
Ежедневно | Проблемы видны почти сразу | Рутинные операционные вопросы, call-centre, IT | Локальное руководство | Слишком часто для глубокого анализа
Еженедельно | Регулярно показывает повторяющиеся проблемы | Те же операционные процессы | Локальное руководство | Может не показать полный масштаб развивающегося события
Ежемесячно | Совпадает с управленческими комитетами | Операционная эффективность | Локальное и высшее руководство | Иногда недостаточно оперативно
Ежеквартально | Совпадает с многими audit/risk committee | Угрозы целям организации | Высшее руководство, комитеты совета | Мало деталей и низкая оперативность
Ежегодно | Связь с годовой отчётностью | Общий профиль операционного риска и going concern | Высшее руководство, совет | Слишком грубо и несвоевременно для текущего управления

6.4.3. Визуализация данных

Отчёт должен быть удобен пользователю и написан простым языком.

Возможные разрезы:

по странам или регионам;

по организации в целом;

по конкретному бизнесу;

тематические — мошенничество, информационная безопасность и т. п.

Риск-функции иногда требуется профессионально отбирать, что показывать на первом уровне, чтобы пользователь пришёл к правильному выводу и не утонул в шуме. Но все исходные показатели должны оставаться доступными по запросу пользователям и аудиторам.

К цифрам необходимо добавлять короткий содержательный комментарий — особенно для аномальных значений и трендов.

Помимо обычных таблиц и простых графиков организации могут применять:

heatmap;

интерактивные географические карты;

сетевые диаграммы взаимосвязей между различными KRI.

7. Выводы

Надёжная ORMF должна включать выбор, мониторинг и отчётность по риск-, контрольным и performance-индикаторам для ключевых операционных рисков.

Создание такой системы требует времени, однако без правильных метрик руководство фактически «слепо». Как невозможно безопасно управлять автомобилем без показателей скорости и температуры, так невозможно качественно управлять организацией без информации о её ключевых рисках и контролях.

Сложная система обычно не нужна. Главная задача — предоставить:

правильную информацию → правильному человеку → в правильный момент → в форме, которую легко понять и превратить в действие.

Источник: Institute of Operational Risk / Institute of Risk Management — www.theirm.org.