Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KRI — Key Risk Indicator — ключевой индикатор риска.

KCI — Key Control Indicator — ключевой индикатор контроля.

SLA — Service Level Agreement — соглашение об уровне сервиса.

HR — Human Resources — управление персоналом.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

RAG — Red Amber Green — красный, жёлтый и зелёный уровни состояния.

Аппетит к операционному риску и толерантность

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по надлежащей практике управления операционным риском

Institute of Operational Risk / Institute of Risk Management
Русское учебное издание

Предисловие

Аппетит к операционному риску — одна из областей, где терминология и практика заметно различаются между организациями. Масштаб системы зависит от отрасли, размера бизнеса и профиля рисков. Одни организации используют термин risk appetite — аппетит к риску, другие предпочитают говорить о risk tolerance — толерантности/допустимом уровне риска.

IOR не предлагает единственный универсальный шаблон. Цель руководства — показать набор практик, из которых организация может собрать соразмерную собственным условиям систему.

По сути аппетит к риску — это механизм принятия решений. Любая деятельность создаёт некоторую экспозицию к риску. Организации необходимо понимать, какие риски приемлемы ради достижения целей, а какие способны разрушить ценность и потому требуют предотвращения, снижения или ограничения.

Для операционного риска эта тема особенно важна: большинство таких рисков не несут самостоятельной выгоды. Компания не стремится к пожарам, ошибкам персонала или отказам систем, но не может полностью устранить их без остановки деятельности или непропорциональных затрат.

Система аппетита и толерантности помогает:

совету директоров задать границы приемлемого и неприемлемого поведения;

довести отношение руководства к риску до всей организации;

различать риски, которые можно принять, и риски, требующие обработки;

концентрировать ресурсы на экспозициях и слабостях контроля за пределами допустимого;

не допускать, чтобы стоимость контроля превышала выгоды;

согласовывать операционные решения со стратегическими целями.

1. Основные понятия

1.1. Аппетит к риску

IRM определяет риск-аппетит как объём и тип риска, который организация готова принять ради достижения стратегических целей.

Для операционного риска уместнее формулировка «готова допустить/принять», а не «готова брать»: операционные потери обычно не создают дохода сами по себе.

Главная задача — найти разумный баланс между:

ожидаемыми потерями от риска;

стоимостью предотвращения и смягчения;

операционными потерями эффективности, которые могут создать дополнительные контроли.

Нулевой операционный риск чаще всего недостижим. Полностью исключить экспозицию обычно можно только прекратив саму деятельность.

IOR подчёркивает отраслевую специфику. В финансовом секторе и в отраслях с высокой угрозой жизни, безопасности или окружающей среде — например в атомной энергетике и химической промышленности — логичнее определять аппетит через приемлемость риска, а не через желание его принимать. В предпринимательских и технологических средах допустима более «рисковая» трактовка, поскольку развитие новых продуктов и процессов требует некоторой операционной неопределённости.

1.2. Толерантность к риску

Аппетит — верхнеуровневая стратегическая позиция. Толерантность — более конкретный ориентир допустимости определённой экспозиции или метрики.

Например, организация может принять, что полностью устранить операционные ошибки экономически невозможно, но установить границу количества ошибок, после которой требуется расследование или вмешательство.

Практичный способ — RAG-модель:

Статус | Значение | Реакция
Зелёный | Приемлемо | Немедленных действий не требуется, кроме обычного мониторинга
Жёлтый/Amber | Допустимо, но требует внимания | Проверить причины и рассмотреть снижение в установленный срок
Красный | Неприемлемо | Немедленно принять меры по снижению или избеганию

Границы между зонами и есть конкретное выражение уровня толерантности.

Нулевая толерантность

Нулевая толерантность к самому событию часто нереалистична. Нельзя гарантировать абсолютный ноль несчастных случаев или мошенничества. Но можно устанавливать нулевую толерантность к определённому поведению или последствию, например сознательному нарушению обязательных требований.

IOR формулирует принцип: организация не должна осознанно принимать операционный риск с высокой вероятностью привести к:

смерти или травме;

нарушению закона или обязательного регулирования;

финансовой несостоятельности или банкротству.

Это важное дополнение к простой матрице вероятности и последствий: не вся приемлемость определяется произведением двух баллов.

2. Как определить аппетит и толерантность

Процесс включает три шага:

определить, кто принимает решения;

решить, как выражать аппетит и толерантность;

установить конкретные уровни и пороги.

2.1. Роль совета директоров

Совет директоров несёт ключевую ответственность за общий аппетит к операционному риску. IOR предостерегает от ситуации, когда совет лишь утверждает готовое предложение менеджмента и тем самым оказывается «привязан» к предложенной точке зрения.

Более зрелый подход: риск-функция проектирует процесс и предоставляет шаблон/данные, но не подменяет собой решение совета.

Один из вариантов:

каждый член совета независимо оценивает приемлемый аппетит по категориям;

результаты обсуждаются;

проводится повторное голосование;

формируется консенсус;

оценка пересматривается как минимум ежегодно.

Такой процесс лучше проводить в формате отдельной стратегической сессии, а не в конце перегруженного заседания.

2.2. Бизнес-руководители

Линейные руководители управляют операционными рисками ежедневно и могут быть владельцами риска или контроля. Обычно они не устанавливают корпоративный риск-аппетит, но участвуют в настройке конкретных порогов толерантности — например для доступности системы, числа ошибок, просроченных контролей или текучести персонала.

Эти пороги не должны противоречить общему аппетиту, утверждённому советом.

2.3. Риск-функция

У риск-функции двойная роль:

помогать совету организовать процесс определения аппетита;

контролировать согласованность локальных порогов толерантности с корпоративной позицией.

Риск-функция должна оспаривать слишком мягкие или слишком жёсткие пороги, если они ведут к чрезмерному риску или ненужным затратам контроля.

2.4. Внутренний аудит

Внутренний аудит обычно не определяет уровни аппетита и толерантности, поскольку должен сохранять независимость. Его роль — проверять качество самого процесса и давать рекомендации по улучшению.

3. Качественное и количественное выражение

3.1. Качественные формулировки

Качественные statements полезны, когда риск трудно свести к одной цифре или когда важно задать поведенческие границы.

Они могут фиксировать, что:

определённые внешние события невозможно полностью предотвратить, но их последствия должны быть ограничены планами непрерывности и антикризисного управления;

риск допустимо принять, если стоимость снижения существенно превышает ожидаемую потерю и при этом нет угрозы жизни, банкротства или нарушения обязательных требований;

потери допустимы только в установленных пределах;

сознательное нарушение закона, требований регулятора или политики компании неприемлемо;

неприемлемы действия, создающие неоправданную угрозу людям или окружающей среде;

репутация организации должна учитываться при выборе допустимого риска.

3.2. Количественные показатели

Количественная толерантность обычно выражается через показатели риска, контроля или эффективности.

Примеры:

лимиты полномочий, после которых решение обязательно эскалируется;

максимально допустимая вероятность/длительность недоступности критической системы;

финансовый лимит потерь на одно событие, категорию или период;

границы RCSA для приемлемого/допустимого/неприемлемого риска;

пороги KRI/KCI в штуках, процентах, деньгах или отклонении от нормы.

Для финансовых организаций общий аппетит иногда выражают через капитал, выделенный под операционный риск, включая дополнительный буфер на неожиданные потери.

Важно покрывать оба типа операционных событий:

частые и небольшие;

редкие и крупные.

4. Как выбрать конкретные уровни

Совет директоров при определении аппетита должен учитывать как минимум:

Стратегические цели. Быстро растущая компания может сознательно принять больше операционного риска.

Предпочтения заинтересованных сторон. Чем ниже допустимость ущерба для клиентов, собственников, общества или регулятора, тем ниже аппетит.

Финансовую прочность. Слабая организация имеет меньше способности поглощать крупные потери.

Для конкретных порогов толерантности можно использовать:

исторические тренды;

отраслевой сопоставительный анализ;

сравнение подразделений;

экспертное суждение, если данных пока нет.

Экспертные предположения необходимо документировать, утверждать и затем уточнять по мере накопления данных.

Пример 1. Текучесть персонала

Обычная месячная текучесть — 3%, нормальный диапазон — примерно 2–4%. Исторически при 6% в течение нескольких месяцев возникали проблемы морального состояния персонала.

Организация устанавливает:

Amber: 4,5%;

Red: 6%.

Порог отражает не эстетическое предпочтение, а опыт, когда рост показателя начал сигнализировать об операционной угрозе.

Пример 2. Доступность критической ИТ-системы

Для новой системы ещё нет собственной истории. По опыту других решений недоступность менее 1% считается переносимой, а 2% и более уже нарушает операции.

Устанавливаются пороги:

Amber: доступность 99%;

Red: доступность 98%.

Далее пороги пересматриваются по фактической статистике эксплуатации.

5. Внедрение аппетита и толерантности

5.1. Коммуникация

Сформулированный аппетит бесполезен, если сотрудники не понимают, как он влияет на решения. Информация должна доводиться через несколько каналов:

вводное обучение;

тренинги;

совещания;

внутренний портал;

оценку эффективности;

специальные инструкции владельцам рисков и контролей.

Конкретные пороги необходимо доводить именно до тех, кто управляет соответствующим риском или контролем.

5.2. Мониторинг

Мониторинг состоит из двух разных задач.

Шаг 1. Получить качественные данные

Данные должны быть:

полными;

точными;

своевременными;

собираться с согласованной периодичностью.

Лучше включать отчётность по аппетиту и толерантности в существующие риск-отчёты, а не плодить отдельные документы.

Шаг 2. Превратить данные в управленческую информацию

Сам светофор не объясняет ситуацию. Нужно добавлять контекст:

почему показатель изменился;

ухудшается или улучшается тренд;

как он связан с бизнес-показателями;

что является первопричиной;

требуют ли повторяющиеся Amber пересмотра мер;

означает ли группа Amber в совокупности фактический Red;

не показывают ли постоянные Green, что порог слишком широкий и нечувствительный.

Для качественных statements мониторинг сложнее. Полезны регулярные обсуждения на совете, риск-комитете и в риск-функции, результаты аудита, HR-наблюдения, расследования инцидентов и оценка поведения сотрудников.

6. Агрегация и отчётность

Одинаковый абсолютный порог не работает на всех уровнях компании. Маленькое подразделение может никогда не достигнуть группового Red, хотя локально ситуация критична. И наоборот, локальный Red небольшого бизнеса может почти не влиять на группу.

Поэтому некоторые организации перекалибровывают пороги по уровням структуры с учётом масштаба подразделения.

Но вес нельзя уменьшать механически до нуля:

плохое управление в маленьком подразделении может повредить репутации всей группы;

локальная проблема может оказаться первым признаком системного дефекта.

Следовательно, агрегированная модель всегда нуждается в профессиональном суждении. Формула не заменяет анализа.

7. Управленческие решения при превышении порога

Аппетит и толерантность должны приводить к действию. При нарушении границы возможны три основных реакции:

Временно принять отклонение. Например, если случай действительно разовый или прежний порог оказался чрезмерно чувствительным. Решение документируется и регулярно пересматривается.

Снизить или избежать риска. Обычно основной ответ на устойчивое нарушение: усилить существующие меры или внедрить новые.

Промежуточные действия. Усиленный мониторинг, дополнительный анализ первопричин, расчёт затрат/выгод разных вариантов.

Решение «ничего не делать» также должно быть осознанным управленческим решением, а не следствием того, что красный индикатор никто не заметил.

8. Что особенно важно для предприятия и ЦОД

Из логики руководства можно вывести практическую архитектуру для критической инфраструктуры:

корпоративный аппетит задаёт верхние принципы;

для отдельных систем создаются измеримые толерантности;

критичность услуги связывается с допустимой длительностью деградации;

KRI/KCI дают раннее предупреждение до фактического инцидента;

некоторые последствия — жизнь и здоровье, нарушение обязательных требований, угроза жизнеспособности компании — не должны становиться «приемлемыми» только из-за низкой вероятности;

решение о дополнительном контроле должно учитывать соотношение затрат и эффекта.

Пример для ЦОД: корпоративная формулировка может требовать очень низкого аппетита к потере критических сервисов, а конкретная толерантность будет выражена доступностью, количеством потерянных резервных элементов, длительностью работы без N+1, количеством просроченных аварийных мероприятий или временем восстановления.

9. Вывод

Система аппетита и толерантности нужна не для красивой «декларации о рисках», а для ежедневного выбора: какой риск принять, где вмешаться, что эскалировать и сколько ресурсов потратить на контроль.

Организации терпят неудачу как из-за чрезмерного риска, так и из-за недостаточного риска и чрезмерного контроля. Зрелая система задаёт границы, внутри которых бизнес может действовать, и заранее определяет, что произойдёт при приближении к этим границам или их нарушении.

Приложение. Практический шаблон аппетита и толерантности

Категория риска | Качественный аппетит | Green | Amber | Red | Владелец | Действие при Red
Критические ИТ-системы | Очень низкий | В пределах нормы | Ранний сигнал | Неприемлемая деградация | Владелец сервиса | Эскалация и план снижения
Ошибки процесса | Ограниченный | Нормальная частота | Рост тренда | Устойчивое превышение | Владелец процесса | RCA + корректирующие меры
Охрана труда | Минимальный | Контроли исправны | Слабость контроля | Обязательное требование нарушено | Руководитель функции | Немедленное устранение
Подрядчики | Ограниченный | SLA и контроли соблюдаются | Отклонения | Системное нарушение | Владелец договора | Претензия/усиление контроля/смена модели

Источник: Institute of Operational Risk / Institute of Risk Management, Operational Risk Appetite and Tolerance — Operational Risk Sound Practice Guidance.

Примечание к русскому изданию: профессионально адаптированный перевод. Сохранены структура, определения, примеры, пороговая логика и ключевые рекомендации; повторяющиеся формулировки сокращены без изменения основного смысла.