Дополнительные измерения управления рисками

В последние годы международная практика управления бизнес-рисками получила значительное развитие, инициированное серией громких корпоративных скандалов 2000-х, продемонстрировавших недостаточную эффективность процессов управления рисками. Одним из направлений развития является повышение качества оценки и контроля рисков за счет введения дополнительных оцениваемых параметров.

Целью данной работы является освещение проблематики недостаточности оценки рисков применительно к паре «воздействие-вероятность», рассмотрение возможных вариантов учета дополнительных параметров, таких как скорость реализации риска, уязвимость к риску, динамика развития риска, а также предложения по визуализации оценки рисков с учетом дополнительных параметров.

Управление рисками как реализация желания большего контроля над событиями, которые еще не произошли, но могут произойти, существует с незапамятных времен. Одним из первых документальных свидетельств формализованного управления рисками, дошедших до нас, является свод законов Хаммурапи [1] (датируемый приблизительно 1750 г. до н. э.). Различные статьи этого свода законов устанавливали коллективную ответственность по убыткам в товариществах, освобождали от уплаты процентов по ренте в случае стихийных бедствий, а также регламентировали страхование перевозки грузов морским транспортом (в дополнение к обычному займу на снаряжение флота заемщик платил дополнительный страховой взнос, который освобождал его от уплаты залога в случае потери флота в катастрофе или в результате пиратства). Традиции междуречья в Средние века были продолжены торговыми гильдиями Генуи, затем Англии, а в дальнейшем получила распространение во всем мире. Постепенно страхование расширило свою деятельность на другие области – страхование предметов собственности, жизни и здоровья, а в последнее время даже ответственность руководителей высшего звена. Таким образом, до прошлого века наибольшее развитие теории управления рисками происходило в области страховой деятельности. Проводя оценку страхового риска, важно было получить достоверную величину вероятности реализации риска и, в зависимости от размера страховой компенсации, установить стоимость страхования риска. Позднее теорию управления рисками перенесли на область управления инвестиционными пакетами (за что автору Г. Марковицу была присуждена Нобелевская премия). В наши дни область применения управления рисками вышла далеко за пределы сферы страхования, процесс управления рисками стал неотъемлемой частью общей теории управления. Внедрение риск-ориентированного подхода как пропагандируется некоммерческими профессиональными организациями, так и в ряде случаев устанавливается законодательно. В то же время классическое управление рисками, определенное международными стандартами, подразумевает все ту же традиционную оценку риска по величине возможного ущерба и вероятности реализации риска. И если с оценкой возможного ущерба, как правило, больших проблем не возникает (кроме статистики и экспертной оценки используются другие методы, например, основанные на сценариях реализации риска), то с оценкой вероятности реализации риска зачастую возникают трудности. Оценка вероятности наступления страхового случая (реализации риска) базируется на значительной накопленной статистике, что позволяет с высокой точностью получать частоту реализации страхового риска в зависимости от параметров страхуемого объекта (для страхования жизни – в первую очередь возраст, выявленные болезни, приверженность опасным видам спорта и т. д.). В то же время попытка оценить вероятность типичного бизнес-риска приводит либо к излишне «загрубленной» оценке, либо к большому разбросу оценок среди оценивающих экспертов. Одной из причин этого является отсутствие достоверной статистики ввиду того, что зачастую бизнес-риски связаны с реализацией уникальных событий, никогда до этого не имевших места. Неспроста при принятии решений в отношении риска величина возможного ущерба имеет для людей решающее по отношению к вероятности значение [2]. Понимание ущербности оценки бизнес-рисков только по величине возможного ущерба и вероятности реализации, достоверность оценки которой вызывает сомнения, побудила искать дополнительные параметры оценки и контроля риска. Одним из таких параметров является учет развития риска от его начального состояния к целевому, приемлемому риску. Действительно, основной задачей управления рисками является приведение риска к приемлемому уровню путем снижения воздействия риска в случае реализации либо снижение вероятности самого факта реализации риска. Достоинством данного подхода является также то, что он представляет собой весьма незначительную модификацию классического варианта, а также отличается простотой внедрения и визуализации. На матрице рисков (см. рис.1) показаны четыре риска – риск А находится в зоне приемлемых рисков, стабилен и не требует дополнительных действий, кроме контроля; риск B находится в зоне умеренных рисков и развивается в сторону зоны приемлемых рисков за счет снижения вероятности реализации риска; риск C находится в зоне неприемлемых рисков и развивается в направлении приемлемых рисков за счет снижения негативного воздействия в случае реализации риска; риск D находится в зоне умеренных рисков и движется в сторону неприемлемых за счет увеличения вероятности реализации.

Рис.1. Матрица рисков, демонстрирующая развитие рисков со временем: по горизонтали – воздействие риска, по вертикали – вероятность реализации

Однако предложенный подход не позволяет различить динамичные риски, близкие к своей реализации и требующие срочных действий от статичных рисков, реализации которых следует ожидать в некотором отдаленном будущем и не требующих принятия срочных мер. Для учета срочности предлагается использовать понятие скорости реализации риска. Введение третьего параметра оценки риска требует изменения визуализации матрицы риска – либо перехода к трехмерному отображению, либо отображения скорости риска цветом или размером точки на стандартной двумерной риск-матрице. На рис.2 показана матрица рисков, где риск A имеет наивысшую скорость реализации, риск B – умеренную, риск C – низкую.

Рис.2. Матрица рисков, демонстрирующая скорость реализации рисков: по горизонтали – воздействие риска, по вертикали – вероятность реализации

В то же время оба эти метода направлены на измерение риска и не дают представления о том, какие изменения происходят в организации, управляющей риском, степени контроля либо же уязвимости ее для данного риска. Очевидно, что риски управляемы в разной мере ввиду своей природы – внутренние риски, как правило, хорошо управляемы, внешние риски (например, относящиеся к изменениям экономической ситуации) управляемы хуже, а многие риски и вовсе не управляемы. В то же время понимание уязвимости к риску, степени его контроля во многих случаях может быть полезно для «приоритизации» усилий по управлению рисками. С точки зрения визуализации возможно либо пойти по пути, описанному выше – использовать цвет как дополнительное измерение, либо вместо воздействия откладывать уязвимость к риску, а воздействие обозначать размером, как представлено на рис.3.

Рис.3. Матрица рисков: по горизонтали – степень уязвимости, по вертикали вероятность реализации риска, размер точки – воздействие риска

Сочетание всех описанных выше критериев позволяет учесть развитие риска со временем, скорость реализации, степень контроля его организацией. В сочетании с воздействием риска и вероятности его реализации это дает четырехмерную модель оценки риска. Возможный пример показан на рис. 4. В таком случае риск А следует трактовать как стабильный риск, находящийся в зоне приемлемых рисков, со средней скоростью реализации и средней уязвимостью к риску; риск B находится в зоне умеренных рисков, развивается в сторону приемлемых рисков за счет снижения вероятности реализации, скорость реализации риска низкая, степень уязвимости высокая; риск C находится в зоне неприемлемых рисков, развивается в сторону умеренных рисков за счет снижения воздействия, скорость реализации риска низкая, степень уязвимости низкая; риск D находится в зоне умеренных рисков, развивается в сторону неприемлемых рисков, скорость реализации высокая, степень уязвимости к риску высокая. Как видно, использование двух дополнительных измерений – цвета и размера – позволяет отобразить четырехмерное измерение риска в доступной для восприятия человека и достаточно информативной форме.

Рис.4. Матрица рисков, демонстрирующая четыре измерения риска: по горизонтали – воздействие риска, по вертикали – вероятность реализации. Стрелками показано развитие рисков, размером точки – уязвимость, цветом – скорость реализации риска

Очевидно, можно сочетать не все упомянутые критерии оценки рисков, а при необходимости выбрать только наиболее подходящие в зависимости от потребностей организации. Например, в группе компаний Shell кроме классической пары «воздействие-вероятность» учитывается развитие риска от первичного к остаточному. При этом под первичным риском понимается риск с учетом уже реализованных мероприятий, а под остаточным – риск с учетом реализуемых в настоящий момент мероприятий.

Стоит отметить, что международные стандарты управления рисками упоминают различие первичного и остаточного рисков, но не детализируют в степени, достаточной для однозначной трактовки и тем более внедрения. В группе компаний Solvay учитывается степень контроля риска, что стимулирует руководство фокусировать внимание на развитии системы внутреннего контроля, а также позволяет органично интегрировать процессы управления рисками и внутреннего контроля с процессами внутреннего аудита. Согласно исследованиям The IIA [3], до кризиса 2008 г. ни одна из опрошенных компаний из списка Fortune 1000 не учитывала скорость реализации риска, но уже с 2011 г. ИВА рекомендует учитывать скорость реализации риска как лучшую практику. По данным Deloitte за 2012 г., скорость реализации риска учитывают в своей практике управления рисками 13 % опрошенных международных компаний, хотя более 70 % признают важность учета скорости реализации риска [4]. Насколько известно автору, в России подробные исследования существующих практик относительно использования дополнительных параметров при оценке риска не проводились. В то же время экспресс-опрос среди коллег, работающих в сфере управления рисками, внутреннего контроля и аудита в России, не выявил значимого количества примеров применения дополнительных измерений в практике риск-менеджмента. Это отражает факт значительного отставания развития практик управления рисками в России сопоставительно с таковым общемирового уровня.

Автору, на основе личного профессионального опыта, видится необходимость, в первую очередь, в дополнение к классической паре «воздействие-вероятность» учитывать скорость реализации риска, а также его развитие со временем ввиду как изменения самого риска, так и предпринятых мер. Вопрос о практической значимости учета уязвимости к риску (степени контроля риска) вне сферы внутреннего аудита остается открытым.

Список литературы

1. Законы вавилонского царя Хаммурапи. Электронная библиотека исторического факультета МГУ им. М. В. Ломоносова.

2. Бернулли, Даниил. Wikipedia.

3. Improving Board Risk Oversign, The IIA, 2011.

4. Risk and the organizational mindset: why risk managers need to learn to think like a commodities trader, Geary Sikich, 2014.

Версия для печати