Термины и сокращения

RCSA — Risk and Control Self-Assessment — самооценка рисков и контролей.

KRI — Key Risk Indicator — ключевой индикатор риска.

KCI — Key Control Indicator — ключевой индикатор контроля.

ORMF — Operational Risk Management Framework — система управления операционным риском.

HR — Human Resources — управление персоналом.

IOR — Institute of Operational Risk — Институт операционного риска.

IRM — Institute of Risk Management — Институт управления рисками.

Сценарный анализ, стресс-тестирование и обратное стресс-тестирование

[picture]

Ключевая схема по теме руководства (русская адаптация по материалам IOR/IRM).

Практическое руководство по управлению операционным риском

Institute of Operational Risk (IOR), компания группы IRM

Русское электронное издание подготовлено по предоставленному пользователем оригиналу. Терминология ORMF, RCSA, KRI/KCI, стресс-тестирование и reverse стресс-тестирование сохранена там, где это облегчает сопоставление с профессиональными источниками.

Предисловие

Институт операционного риска (IOR) создан в 2004 году и с 2019 года входит в Institute of Risk Management. Его задача — развивать управление операционным риском как профессиональную дисциплину и распространять практические методы надлежащего управления.

Эффективное управление операционным риском особенно важно в условиях крупных системных событий. Мировой финансовый кризис, пандемия COVID‑19 и другие примеры показали, что операционные сбои могут иметь далеко идущие последствия, а недостатки управления способны усилить ущерб.

Настоящее руководство дополняет общие стандарты риск-менеджмента, в частности ISO 31000, и сфокусировано на практическом применении методов сценарного анализа. Единого универсального решения нет: каждая организация должна выбирать подход, соответствующий её масштабу, профилю риска и зрелости управления.

Содержание

Введение

Разграничение сценарного анализа, стресс-тестирования и обратного стресс-тестирования

Как проводить эффективный сценарный анализ и стресс-тесты

3.1 Выбор и согласование фокуса анализа

3.2 Определение уровня анализа

3.3 Подготовка рабочая сессия

3.4 Проведение рабочая сессия

3.5 Валидация результатов

3.6 Корпоративное управление процесса

Эффективное использование результатов

Дополнительные рекомендации по stress и reverse стресс-тестирование

Выводы

1. Введение

Точная оценка операционного риска — одна из наиболее сложных задач для организации.

Исторических данных о вероятности и последствиях часто мало. Даже если статистика имеется, прошлые закономерности не обязательно повторятся в будущем.

Особенно трудно оценивать tail risks — события с низкой вероятностью, но очень тяжёлыми последствиями. По ним статистика нередко практически отсутствует.

Дополнительную проблему создаёт быстро меняющаяся среда: политические, технологические, социальные и иные изменения снижают полезность простого экстраполирования прошлого.

Сценарный анализ, стресс-тестирование и обратное стресс-тестирование стали распространённым ответом на проблему ограниченных данных и нестабильных трендов.

При грамотном применении они помогают:

проверять устойчивость организации к крупным операционным событиям и заранее обсуждать реакцию;

смотреть вперёд и рассматривать события, отличающиеся от прошлых;

выводить руководство из режима повседневного тушения проблем и давать пространство для совместного осмысления будущих угроз;

дополнять данные события потерь и RCSA, структурированно заполняя пробелы знаний;

улучшать контрольную среду, выявляя слабые места и пробелы в контролях.

2. Сценарный анализ, стресс-тестирование и reverse стресс-тестирование: различия

Эти инструменты взаимосвязаны, но имеют разный фокус.

Stress testing

Стресс-тестирование оценивает влияние конкретных тяжёлых событий внешней среды, способных воздействовать сразу на несколько типов риска, включая операционный.

Примеры:

экономическая рецессия;

пандемия;

крупное политическое событие;

резкий внешний шок.

Обычно это события с высоким воздействием и относительно низкой вероятностью.

Reverse стресс-тестирование

Обратное стресс-тестирование начинается не с события, а с точки нежизнеспособности организации.

Сначала определяется, например, максимальный финансовый убыток, который организация способна выдержать до угрозы банкротства или потери жизнеспособности. Затем задаётся вопрос:

Какие внутренние или внешние операционные события способны привести к потерям выше этого предела?

С точки зрения операционного риска это может быть:

масштабный отказ ИТ;

крупное мошенничество;

сочетание нескольких критических событий.

Scenario analysis

Сценарный анализ шире. Он включает элементы обычного и обратного стресс-тестирование, но применяется не только к экстремальным событиям.

Сценарии могут описывать:

редкие тяжёлые события;

более обычные ситуации;

события, которые могут происходить один или несколько раз в год.

Чем ближе анализ к stress и особенно reverse стресс-тестирование, тем, как правило, ниже вероятность и выше тяжесть воздействия.

Иногда различие проводят по числу анализируемых переменных: stress test якобы меняет одну-две переменные, а scenario analysis рассматривает множество факторов. IOR считает, что для операционного риска это разделение не особенно полезно, потому что операционные события почти всегда многомерны.

Поэтому лучше различать инструменты по тяжести воздействия:

scenario analysis — широкий диапазон событий;

стресс-тестирование — тяжёлые стресс-события;

reverse стресс-тестирование — события, способные поставить под угрозу жизнеспособность организации.

3. Проведение эффективного анализа

Качественный процесс включает несколько этапов:

определить и согласовать фокус;

выбрать уровень анализа;

подготовить рабочая сессия;

провести рабочая сессия;

валидировать результаты;

обеспечить корпоративное управление процесса.

3.1. Выбор и согласование фокуса

Сценарный анализ требует времени и ресурсов. Невозможно одинаково глубоко прорабатывать все риски одновременно, поэтому особенно важно выбирать действительно значимые темы.

Один из возможных подходов — брать по одному сценарию для каждой категории операционного риска уровня 1 или 2. Однако механическое правило не всегда разумно: несущественная категория может не требовать отдельного сценария, а критическая — наоборот, нескольких.

Количество сценариев должно зависеть от:

характера деятельности;

масштаба;

сложности;

стабильности среды операционного риска;

значимости конкретных категорий.

Выбор тем рекомендуется проводить совместно. Функция операционного риска должна работать с:

высшим руководством;

руководителями бизнес-единиц;

при необходимости советом директоров — особенно для reverse стресс-тестирование ключевых рисков.

Источники сценариев

Внешняя среда | Внутренняя среда
События операционного риска у сопоставимых организаций | Собственные события потерь и событие без последствийes
Риски, которые профессиональные организации, регуляторы или международные институты считают важными на ближайший период | Результаты RCSA, особенно риски с высокой вероятностью/воздействием или быстро растущей экспозицией
Регуляторные и законодательные изменения | Выявленные слабости контролей и результаты аудита
Социальные изменения | Тренды KRI/KCI
Экономические изменения | Изменения операционных и финансовых показателей
Политические изменения | Стратегические изменения, проекты, внедрение новых ИТ-систем
Технологические изменения | Изменения процессов, цепочек поставок, аутсорсинга
Экологические и климатические события | Внутренние организационные изменения

Событие без последствий особенно полезен: он позволяет исследовать, что могло бы произойти, если бы удачное стечение обстоятельств или контроль не остановили развитие события. Продолжая выбор тем, приоритет нужно повышать, если:

данные событий, RCSA, KRI/KCI или внешний мониторинг показывают заметный рост вероятности или тяжести конкретного риска;

организация не уверена в качестве текущих RCSA;

собственных событие потерь и событие без последствий мало;

исторические тренды нестабильны;

среда быстро меняется;

ожидается значимое технологическое, стратегическое или операционное изменение;

организация сомневается в своей способности контролировать конкретный источник риска.

Сценарии полезны именно там, где обычная статистика слаба. Например, можно анализировать взаимосвязь причин нескольких событий или стрессировать последствия ИТ-отказа разной продолжительности.

Два фундаментальных критерия выбора темы:

Близость (proximity) — насколько скоро и реально источник риска может материализоваться.

Уязвимость (vulnerability) — насколько организация способна контролировать этот риск и выдержать его воздействие.

Чем событие ближе и чем организация уязвимее, тем выше приоритет сценария.

Если регулятор предписывает конкретные сценарии или stress/reverse stress tests, их выполнение обязательно.

3.2. Уровень анализа

Минимально сценарный анализ и стресс-тестирование должны проводиться на уровне всей организации/группы.

Дополнительно возможны уровни:

бизнес-единица;

подразделение;

функция.

Последние два применяются реже.

Stress и reverse stress особенно важны на уровне всей организации, поскольку помогают совету и высшему руководству оценить финансовую жизнеспособность. Даже сильный текущий баланс может оказаться уязвимым к будущему крупному операционному событию.

Организационные сценарии лучше выбирать сверху вниз: риск-функция совместно с высшим руководством определяет темы.

Сценарии бизнес-единиц и подразделений могут формироваться снизу вверх, но риск-функция должна их проверить и утвердить, чтобы сохранить релевантность и сопоставимость отчётности.

3.3. Подготовка рабочая сессия

Для операционного риска рабочая сессия обычно эффективнее индивидуальной оценки. Причина — многогранность события: у него множество причин, эффектов, контролей и владельцев знаний. Один человек редко располагает всей информацией.

Однако рабочая сессия требует ресурсов, поэтому подготовка должна экономить время и удерживать фокус.

Основные подготовительные действия

Задача | Содержание
Согласовать тему и цель | Лучше один рабочая сессия — одна тема. Заранее определить тяжесть рассматриваемого сценария и нужные выходы: вероятность, impact, планы действий и т. п.
Провести background research | Риск-функция собирает события потерь, событие без последствийes, RCSA, KRI и другие данные и заранее доводит их до участников
Определить участников | См. ниже
Назначить фасилитатора | Им может быть специалист риск-функции или внешний фасилитатор; нужен также протоколист
Выбрать метод анализа | Структурированный или более свободный
Разослать agenda | Все должны понимать время, место, цели, состав и ожидаемый результат

3.4. Проведение рабочая сессия

Рабочая сессия должна проходить в спокойной обстановке, по возможности отдельно от повседневной работы участников.

Рекомендуемая продолжительность — 2–3 часа. При более длительной работе возрастает усталость. Перерыв разумно делать каждые 1–2 часа.

Сессию должен вести фасилитатор, придерживаясь согласованной повестки.

3.4.1. Участники

Как правило, нужны:

соответствующий владелец риска;

старший руководитель, отвечающий за рассматриваемую область, если он не является владельцем риска;

профильные эксперты: ИТ, информационная безопасность, клиентское обслуживание, маркетинг, HR, финансы и др.;

независимый наблюдатель — внутренний аудитор или представитель риск-функции.

Оптимально 6–8 человек, максимум около 12. Большая группа сложнее фасилитируется и не позволяет услышать всех.

Независимый наблюдатель следит за предвзятостью и вмешивается, если риск или эффективность контроля явно завышаются или занижаются.

Важно участие старших руководителей. Если обсуждение делегируется только младшим сотрудникам, качество результата и последующий management buy-in обычно снижаются. Именно высшее руководство будет отвечать за действия, если тяжёлый сценарий действительно реализуется.

3.4.2. Основные выходные переменные

Свободная дискуссия важна, но должна приводить к пригодной для управления информации.

Переменная | Что фиксируется
Описание сценария | Краткий сюжет: что произошло и в каком контексте, например крупное мошенничество в период рецессии или нарушение работы во время пандемии
Причины | Сбои людей, процессов, систем или внешние события, приведшие к сценарию
Эффекты | Финансовые, репутационные и иные последствия, включая здоровье/безопасность и мораль персонала
Контроли | Насколько существующие контроли выдержат сценарий, особенно стрессовый; какие могут отказать
Митигирующие действия во время события | Что организация будет делать непосредственно в ходе события, чтобы снизить ущерб
Вероятность и impact | Оценка вероятности/частоты и тяжести — см. следующий раздел
Текущие действия | Что нужно сделать после рабочая сессия, чтобы снизить вероятность или impact: усилить существующие или добавить новые контроли

3.4.3. Оценка вероятности и воздействия

Обычная шкала RCSA может быть недостаточной для stress/tail events. Кроме того, точную вероятность тяжёлых сценариев часто невозможно оценить из-за отсутствия объективной статистики.

Вероятность можно выражать тремя способами:

статистически — например 1% или 0,01;

через период возврата — «1 раз в 10 лет», «1 раз в 100 лет»;

качественно — routine/expected, stressed/unexpected, tail/worst-case.

Если используются проценты, лучше давать диапазоны, например 1–10%, 10–20%, а не псевдоточное число.

IOR отмечает, что формальные вероятности часто плохо воспринимаются руководителями, не являющимися риск-специалистами. Поэтому удобнее временные диапазоны или качественные категории.

Пример калибровки:

1 раз в 10 лет / routine — событие может произойти несколько раз за трудовую жизнь; участники, вероятно, имеют собственный опыт;

1 раз в 40 лет / stressed — может случиться один раз или не случиться вовсе за трудовую жизнь; личного опыта может не быть, но есть внешние примеры;

1 раз в 80 лет / tail — событие порядка одного раза за жизнь человека; современные аналоги могут отсутствовать, а исторические требуют адаптации к сегодняшним условиям.

Не нужно описывать все возможные варианты риска. Достаточно представительных, гипотетических, но правдоподобных и предвидимых сценариев, которые дают руководству полезный материал для решения.

Некоторые организации делают для одного риска три версии:

routine — например ремонтопригодное повреждение части здания;

stressed — ремонтопригодное повреждение всего здания;

tail — полное уничтожение здания.

Оценка impact

Сценарии stress/reverse stress по определению имеют высокое воздействие. В reverse stress impact фактически задаётся заранее — это уровень, угрожающий жизнеспособности.

Impact можно не переводить в точные деньги и обозначить как routine, stressed, extreme/tail.

Если количественная оценка нужна, лучше сначала обсудить последствия, а затем оценивать их масштаб.

Возможные финансовые эффекты:

ремонт или замена активов;

штрафы и требования ответственности;

очистка/восстановление;

расходы на юридические и другие внешние услуги;

потеря выручки из-за business interruption;

безнадёжные долги и невозмещаемые активы;

потеря инвестиционного дохода.

Репутационные эффекты:

потеря клиентов или доли рынка;

объём и длительность негативной прессы;

ухудшение морали персонала и текучесть;

снижение кредитного рейтинга;

регуляторное порицание и длительность повышенного внимания регулятора.

Даже количественный impact лучше задавать диапазоном. Точная цифра для гипотетического сценария создаёт ложное ощущение точности.

3.4.4. Методы анализа на рабочая сессия

Два основных подхода:

Неструктурированный — свободное обсуждение, участники поднимают наиболее важные для них аспекты.

Структурированный — обсуждение направляется специальным методом, например fault tree, event tree или Delphi.

Структурированный подход не обязательно лучше: он может ограничить креативность и увести внимание от особенностей конкретной организации.

Неструктурированный рабочая сессия всё равно должен иметь agenda; просто отдельные вопросы обсуждаются без формальной техники анализа.

3.5. Валидация результатов

Сценарии сильно зависят от экспертного суждения, поэтому результаты нужно системно проверять.

Возможные способы:

сравнить с внешними реальными событиями и публичными/профессиональными базами потерь;

при достаточном объёме внешних данных построить распределение вероятности для редких событий;

сравнить результаты похожих сценариев между внутренними бизнес-единицами;

обмениваться обезличенной информацией через профессиональные форумы;

использовать отраслевые стандартизированные наборы сценариев как ориентир.

Стандартный внешний сценарий нельзя слепо копировать: он не отражает масштаб и специфику конкретной организации. Но сильное расхождение со ориентир — хороший повод понять причину.

Процесс сценарного анализа должен периодически проверяться внутренним аудитом — как на предмет фактического исполнения, так и на соответствие хорошей практике.

3.6. Корпоративное управление процесса

Функция операционного риска обычно отвечает за дизайн и внедрение scenario/stress/reverse stress processes и должна периодически проверять их эффективность.

Если есть риск-комитет, ему можно делегировать утверждение дизайна и внедрения, особенно если метод обязателен по регулированию.

Если риск-комитета нет, при регуляторной обязанности эту роль может выполнять комитет по аудиту.

Совет директоров редко утверждает методику операционных сценариев целиком, но обычно получает результаты значимых сценариев и стресс-тестов.

Совет также может участвовать в выборе наиболее существенных тем.

Reverse стресс-тестирование всегда следует доводить до совета, поскольку он напрямую связан с долгосрочной жизнеспособностью и going concern.

В некоторых секторах результаты требуется направлять регулятору, особенно для системно значимых финансовых организаций и отдельных иных регулируемых отраслей.

4. Как использовать результаты

Сценарный анализ, стресс-тестирование и reverse стресс-тестирование требуют заметных ресурсов, поэтому результаты следует использовать максимально широко — для корпоративное управление, соблюдение требований, стратегических и операционных решений.

4.1. Отчётность

Совет директоров должен получать результаты сценариев и стресс-тестов, особенно если они затрагивают:

стратегию;

бизнес-план;

финансовую жизнеспособность;

крупные финансовые или репутационные последствия.

Высшее руководство и риск-комитет должны видеть не только оценки, но и действия по снижению вероятности и impact.

Отчёт должен быть кратким и ориентированным на решение. Основной акцент:

последствия события;

влияние на финансовое положение;

влияние на бизнес-план;

существенные слабости контролей;

ключевые корректирующие меры.

4.2. Использование сценариев в RCSA

Результаты сценарного анализа и стресс-тестирование полезны для RCSA, особенно для оценки inherent/gross risk.

Inherent risk по определению гипотетичен: он описывает экспозицию при отсутствии или неэффективности ключевых контролей. Руководителям трудно оценивать такой «мир без контролей». Сценарий даёт структурированный способ представить его и обсудить реалистичные последствия.

4.3. Моделирование риска и капитала

Некоторые организации, особенно финансовые, строят статистические распределения вероятности и потерь по операционным событиям.

Основные данные для моделей — внутренние и внешние данные о потерях. Но они исторические и часто неполные, особенно в хвосте распределения.

Поэтому результаты scenario/stress/reverse стресс-тестирование рекомендуется включать в модели как источник информации о редких тяжёлых исходах. Модель эффективна только тогда, когда отражает полный разумный диапазон результатов, а не только часто наблюдавшуюся центральную часть распределения.

5. Дополнительные рекомендации по stress и reverse стресс-тестирование

5.1. Stress testing

В операционном риске стресс-тестирование рассматривает крупное стресс-событие и его влияние на широкий набор факторов риска.

Примеры:

природная катастрофа: наводнение, шторм, извержение вулкана;

пандемия;

глубокая экономическая рецессия;

политический шок или торговая война;

отказ важного контрагента — поставщика, аутсорсера или крупного клиента;

крупная кибератака;

мощная негативная кампания в социальных сетях;

террористический акт.

Задача — «нагрузить» систему операционных рисков и проверить, что произойдёт с контролями.

Ключевые вопросы:

сохранят ли контроли эффективность;

какие контроли могут отказать;

каковы финансовые и репутационные последствия;

усилит ли отказ контролей impact;

можно ли смягчить последствия непосредственно во время события;

требуются ли новые контроли;

нужно ли усиливать существующие, чтобы они выдерживали стресс;

влияет ли момент возникновения события на тяжесть;

способны ли несколько стресс-событий произойти одновременно и каков будет совокупный эффект.

Чувствительность ко времени

Одно и то же событие может иметь разный impact в зависимости от момента.

Например, сбой в сезон пикового спроса — рождественские продажи — способен принести намного больший ущерб, чем тот же сбой в спокойный период.

Sensitivity analysis может учитывать:

сезонность;

фазу бизнес-цикла;

инфляцию;

процентные ставки;

состояние экономики.

Так, экономический фон перед пандемией способен существенно влиять на её финансовые последствия.

Комбинированные stress events

Отдельные тесты полезно объединять, чтобы понять совокупный impact.

Особенно важно анализировать:

коррелированные события, например кибератака → негативная медийная кампания;

одновременные независимые события, например новая волна пандемии вместе с политико-экономическим шоком.

Организация также может оценить, сколько крупных stress events она способна выдержать одновременно при текущем капитале, ликвидности и инфраструктуре.

Результат должен докладываться совету и высшему руководству как информация о будущей финансовой устойчивости.

5.2. Reverse стресс-тестирование

Цель — понять, когда организация перестаёт быть жизнеспособной.

Это может означать:

крах бизнес-плана;

потерю платёжеспособности;

потерю достаточной ликвидности;

невозможность продолжать деятельность.

Отправная точка обычно — три финансовых отчёта:

отчёт о доходах и расходах / P&L;

баланс;

отчёт о движении денежных средств.

Через P&L

Можно взять прибыль предыдущего года или прогноз текущего и определить событие, которое сведёт её к нулю.

Другой вариант — определить момент нарушения долговых ковенант, например по показателю покрытия процентов EBITDA.

Через баланс

Точка нежизнеспособности может наступить, когда:

капитал полностью потерян;

обязательства превышают активы;

организация больше не соответствует принципу going concern.

Через денежный поток

Критическая точка — невозможность своевременно платить по обязательствам.

После определения этих пределов задаётся вопрос: какие стресс-события или их комбинации способны привести сюда?

Примеры операционных причин нежизнеспособности:

экологическая катастрофа с огромными расходами на ликвидацию и судебные требования;

разрушение инфраструктуры и потеря способности генерировать доход;

длительный отказ критических систем;

потеря ключевых зданий;

длительный обрыв цепочки поставок;

внезапная потеря ликвидности после нарушения ковенант или снижения кредитного рейтинга;

катастрофическая потеря репутации и массовый уход клиентов, сотрудников и поставщиков;

тяжёлые регуляторные или судебные санкции вплоть до принудительного прекращения деятельности.

Reverse стресс-тестирование не обязан перечислить все мыслимые катастрофы. Основная цель — дать совету и высшему руководству ясное понимание:

где проходит граница нежизнеспособности;

достаточно ли капитала и ликвидности;

какие классы операционных событий способны эту границу пересечь.

Такой анализ одновременно показывает руководству реальную ценность операционного риск-менеджмента.

6. Выводы

IOR рассматривает scenario analysis, стресс-тестирование и reverse стресс-тестирование как важные элементы ORMF.

Операционные события способны превосходить по масштабу чистые рыночные, кредитные или обычные бизнес-риски. Пандемия COVID‑19 и мировой финансовый кризис показали, насколько сильным может быть эффект событий, в которых операционная составляющая играет существенную роль.

Организация должна готовиться к неожиданному, включая tail events, способные угрожать её жизнеспособности.

Невозможно предусмотреть каждый вариант — и это не цель. Цель состоит в том, чтобы совет и руководство:

понимали классы событий, способных серьёзно повредить организации;

знали её реальные уязвимости;

не принимали стратегических и операционных решений, которые чрезмерно увеличивают экспозицию;

заранее проверяли способность контролей, капитала, ликвидности и систем восстановления выдерживать стресс.

Практическая логика методики:

редкая/неопределённая угроза → структурированный сценарий → причины и эффекты → поведение контролей → вероятность/частота и impact → действия → проверка устойчивости → решения руководства.

Источник: Institute of Operational Risk / Institute of Risk Management — www.theirm.org.