Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KPI — Key Performance Indicator — ключевой показатель эффективности.

HR — Human Resources — управление персоналом.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

Риск-культура

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по надлежащей практике управления операционным риском

Institute of Operational Risk / Institute of Risk Management
Русское учебное издание

Введение

Там, где люди совместно достигают целей, неизбежно возникает культура — система норм, убеждений и способов взаимодействия. Риск-культура является частью общей организационной культуры и способна как усиливать, так и ослаблять управление операционным риском.

Адекватная культура помогает сотрудникам признавать важность риска, соблюдать политики и действовать в пределах установленного аппетита. Неадекватная культура может сама стать причиной инцидента или увеличить его последствия.

Универсально «сильной» или «слабой» культуры не существует. Более того, крупная организация почти всегда содержит несколько субкультур: культура ИТ-подразделения, эксплуатации, продаж, финансов или конкретной площадки может существенно различаться.

1. Что такое риск-культура

IRM определяет риск-культуру как совокупность ценностей, убеждений, знаний, отношений и понимания риска, разделяемых группой людей с общей целью.

1.1. Пять составляющих

Ценности

Формальные и неформальные ценности определяют, что люди считают правильным. Провозглашённый приоритет клиента, безопасности или устойчивости может поддерживать операционный риск-менеджмент — либо вступать в конфликт с локальной установкой «главное выполнить план любой ценой».

Убеждения

Это представления людей о том, насколько риск-менеджмент важен, полезен или затратен. Один коллектив считает анализ рисков инструментом управления, другой — бюрократической формой.

Знания

Насколько сотрудники понимают, какие операционные события возможны и как ими управлять. Это фактическая компетентность.

Отношение к риску

Люди различаются по склонности к риску. Внутри социальных групп эти установки часто сближаются. Один и тот же человек может быть осторожным к угрозам безопасности и одновременно более готовым рисковать в коммерческих решениях.

Понимание

Знание развивается через обучение, а глубокое понимание — через практический опыт участия в идентификации, оценке и контроле риска.

2. «Айсберг» риск-культуры

IOR выделяет три уровня.

Верхний уровень — видимые артефакты

Политики, процедуры, протоколы, отчёты, комитеты, положения и формальные линии управления. Это самая заметная и легко проверяемая часть — верхушка айсберга.

Средний уровень — то, что люди говорят

Сюда относится tone from the top — посыл высшего руководства — и tune in the middle: как эти сигналы интерпретируют и транслируют руководители среднего звена.

Нижний уровень — невысказанные предположения

Самые глубокие установки редко проговариваются. Например:

«у нас серьёзной аварии быть не может»;

«киберриск преувеличен»;

«сообщать о событие без последствий опасно для карьеры»;

«риски — бюрократия, реальная работа важнее».

Чем глубже уровень, тем сложнее его измерить и изменить.

3. Субкультуры

Сотрудников сильнее всего формируют ближайшие коллеги и руководители, поэтому субкультуры естественны. Они не обязательно вредны: разные функции имеют разные задачи. Опасность появляется, когда локальные ценности начинают противоречить целям организации и интересам заинтересованных сторон.

Для риск-менеджера важно не стремиться механически сделать всех одинаковыми, а находить субкультуры, которые создают чрезмерный риск или блокируют контроль.

4. Как оценивать риск-культуру

Оценку могут проводить риск-функция, внутренний аудит, HR или их совместная команда. Ни один метод не даёт полной картины, поэтому разумно сочетать несколько.

4.1. Анкетирование

Это самый массовый метод. Анкета может проверять:

разделяют ли сотрудники цели политики по операционному риску;

как относятся к риск-функции, RCSA и другим инструментам;

различаются ли ответы по подразделениям, площадкам и уровням должности;

считают ли люди, что организация принимает слишком много или слишком мало риска;

достаточно ли у них знаний о риске.

Требования к хорошему опросу:

не использовать наводящие вопросы;

не делать его слишком длинным;

обеспечить репрезентативную выборку;

анализировать ответы в разрезе функций и старшинства;

по возможности повторять опрос во времени, а не проводить один раз.

Есть риск случайных и протестных ответов; полезны контрольные вопросы на внутреннюю согласованность.

IOR предупреждает: оценка культуры подвержена предвзятости. Чем глубже вы пытаетесь заглянуть в «айсберг», тем больше неопределённость. Даже руководство интерпретирует результаты через собственные убеждения.

4.2. Интервью

Рекомендуется полуструктурированный формат с открытыми ненаводящими вопросами. Примеры:

Что для вас означает операционный риск в вашей работе?

Как бы вы объяснили пользу управления операционным риском человеку извне?

Какие цели операционного риск-менеджмента вы считаете главными?

Вопросы лучше отправить заранее. Интервью стоит записывать и сравнивать между собой, выделяя повторяющиеся темы и противоречия.

Преимущество — глубина. Недостаток — высокая трудоёмкость. Поэтому интервью особенно полезны как дополнение к анкете или для исследования проблемной субкультуры.

4.3. Фокус-группы

Фокус-группа добавляет групповую дискуссию. Оптимально иметь двух фасилитаторов: один ведёт разговор, второй наблюдает, фиксирует упущенные моменты и помогает уточнять смысл.

Фокус-группы особенно полезны для проверки интерпретации количественного опроса. Один и тот же результат может иметь противоположные объяснения.

Исходное руководство приводит пример: руководитель клиентской функции увидел в результатах чрезмерную осторожность сотрудников и бюрократию, а финансовый руководитель счёл проблему обратной. После обсуждения выяснилось, что коллектив действительно слишком осторожен к одним рискам, но недооценивает другие, например внутреннее мошенничество.

4.4. Прямое наблюдение

Риск-менеджер постоянно взаимодействует с людьми и может наблюдать:

как они говорят о риске;

воспринимают ли контроль позитивно или враждебно;

как реагируют на вопросы о слабостях;

какова невербальная реакция.

Можно вести обезличенный журнал наблюдений: дата, подразделение, количество участников и ключевые культурные признаки. По мере формирования картины фиксировать уже только новые или противоречащие прежней оценке наблюдения.

4.5. Внешние инструменты

Консультанты могут дать независимый взгляд и сравнение с другими организациями. Но у них меньше глубины знания внутренней среды, а стандартные анкеты могут быть слишком общими.

IOR рекомендует осторожно относиться к единому «баллу силы риск-культуры». Предпосылка, что существует одна идеальная культура, неверна. Если используется внешний подрядчик, оценку следует адаптировать к организации и сочетать анкеты с интервью.

5. Мониторинг культуры через показатели

Оценка — снимок во времени. Культура меняется, а полноценные исследования дороги. Поэтому полезно сочетать редкие глубокие оценки — например ежегодные или раз в несколько лет — с ежемесячным/квартальным набором метрик.

Примеры показателей:

Метрика | Как интерпретировать
Текучесть персонала | Высокая текучесть меняет социальный состав и может сигнализировать о проблемах; слишком низкая иногда усиливает groupthink
Дисциплинарные случаи и жалобы | Рост/снижение может отражать культурные изменения
Соблюдение политик | Рост соблюдение требований обычно положителен
Просроченные аудиторские мероприятия | Долгие задержки могут показывать отношение к контролю и недостаток понимания
Потери и событие без последствий | Резкие изменения могут быть связаны с культурой; причины событий следует проверять на культурные факторы
Обращения бизнеса в риск-функцию | Количество добровольных запросов за советом показывает воспринимаемую ценность риск-функции

Метрики желательно сравнивать между подразделениями и площадками, чтобы выявлять субкультуры. Отчёт должен быть коротким — порядка 1–2 страниц.

HR и внутренний аудит здесь особенно полезны: они видят организацию с других ракурсов и могут раньше заметить локальные культурные проблемы.

6. Как влиять на риск-культуру

Культуру нельзя безопасно «перепрошить» одним проектом. Изменения должны быть точечными, постепенными и регулярно проверяться. Быстрые масштабные кампании часто вызывают сопротивление или дают обратный эффект.

6.1. Стратегия и лидерство

Стратегия и культура взаимно влияют друг на друга. Агрессивная стратегия роста склоняет организацию к большей терпимости к риску; консервативная — к осторожности.

Резкое изменение стратегии в конфликте с существующей культурой может провалиться. Если организация десятилетиями поощряла осторожность, внезапное требование «рискуйте и растите любой ценой» создаст противоречие.

Руководители должны:

быть последовательными в словах и действиях;

ясно объяснять ожидания по управлению риском;

поддерживать понятный риск-аппетит и политику;

демонстрировать, что риск-менеджмент создаёт ценность, а не является только центром затрат;

быть открытыми к несогласию и защищаться от groupthink;

не позволять установке «с нами этого не случится» подменять анализ.

Среднее руководство особенно сильно формирует локальные субкультуры.

6.2. Риск-аппетит и толерантность

Высокий аппетит обычно ведёт к более риск-ориентированной культуре, низкий — к более контролирующей. Значительные изменения аппетита лучше вводить постепенно: культура адаптируется медленнее, чем документ.

6.3. HR-политики

Этические нормы и кодекс поведения

Они должны ясно показывать ожидаемые ценности, поведение и неприемлемые действия — например мошенничество, нарушение безопасности или сознательное игнорирование обязательных требований.

Подбор персонала

При изменении культуры организация может искать руководителей и специалистов, чьи установки лучше соответствуют целевому состоянию. Для оценки используют ролевые ситуации, компетентностные интервью и другие HR-инструменты.

Мотивация и оценка деятельности

Система вознаграждения напрямую формирует поведение. Большие бонусы за краткосрочный результат могут стимулировать чрезмерный риск. Механизмы clawback и долгосрочные KPI смещают фокус на устойчивость.

Рекомендуется:

использовать более долгосрочные показатели;

учитывать качество управления риском наряду с продажами/прибылью;

связывать последствия вознаграждения с плохими риск-решениями;

включать операционный риск в вводное и регулярное обучение.

7. Коммуникации

Формальные и неформальные каналы — мощный инструмент культуры.

Полезно:

создать общий язык и классификацию рисков;

поддерживать контакт удалённых подразделений с центром;

иметь короткие каналы эскалации;

формировать just culture: люди могут открыто сообщать об ошибках и событие без последствий без автоматического наказания, но ответственность за сознательные нарушения сохраняется;

иметь эффективный whistleblowing;

регулярно повторять ключевые сообщения через встречи, презентации, вебинары и материалы.

8. Дизайн процессов и систем

Процессы не только отражают культуру, но и формируют её.

Опасности:

чрезмерная автоматизация может лишить людей способности мыслить и адаптироваться;

слишком жёсткие процессы затрудняют реакцию на новую угрозу;

установка «мы всегда делали так» — признак культурной негибкости.

Системы должны иметь понятные границы, но позволять квалифицированному персоналу разумно действовать в нестандартной ситуации.

9. Корпоративное управление и культура

Структура управления может усиливать плохие субкультуры:

длинные цепочки отчётности искажают плохие новости;

сложная дивизиональная структура создаёт изоляцию;

слияния и поглощения могут привести к конфликту культур.

Полезные меры:

ротации и временные назначения между подразделениями;

включение ответственности за риск в бизнес;

сеть Risk Champions;

более тесное сотрудничество первой и второй линий при сохранении различий в ответственности.

10. Выводы

Риск-культура влияет на способность организации балансировать между риском и возможностью. Ею можно управлять, но не механически. Нет одной формулы и единственного идеального профиля.

Профессиональный риск-менеджер должен сочетать измерения, наблюдение и суждение, учитывать субкультуры и проверять, дают ли вмешательства желаемый эффект. Культурные изменения должны быть постепенными, адресными и подкреплёнными поведением руководства.

Приложение. Каркас анкеты по риск-культуре

Исходное руководство содержит пример анкеты. Для практического использования вопросы можно сгруппировать так:

В моём подразделении риски регулярно обсуждаются и учитываются в решениях.

Существуют эффективные процессы выявления, эскалации и управления операционным риском.

Риск-менеджмент воспринимается как полезная деятельность, а не формальная обязанность.

Руководство уделяет внимание долгосрочной устойчивости, а не только краткосрочному результату.

Если что-то идёт не так, сотрудники могут своевременно сообщить об этом и запускается понятный процесс реагирования.

Какая доля рабочего времени уходит на управление рисками и контролями?

Как часто сотрудники связываются с риск-функцией по телефону/e-mail?

Как часто происходят личные 1:1 контакты с риск-функцией?

Как часто сотрудники участвуют в групповых обсуждениях рисков?

Как изменилась культура за последние 2–3 года по сравнению с предыдущим опытом?

Результаты важно сегментировать по функциям, географии и уровням управления — именно там часто проявляются субкультуры.

Источник: Institute of Operational Risk / Institute of Risk Management, Risk Culture — Operational Risk Sound Practice Guidance.

Примечание к русскому изданию: профессионально адаптированный перевод с сохранением ключевой структуры, терминологии, методов оценки, метрик и практических рекомендаций; повторяющийся текст сокращён.