Независимо от внешних факторов и обстоятельств, оказывающих влияние на отрасли экономики в данный момент времени, неизменными остаются методологии и инструменты, которые хорошие риск-менеджеры используют для оценки рисков инвестиционных решений или оценки рисков в рамках целеполагания и оценки эффективности. Риск-менеджмент 2 (РМ2) прочно вошел в практику специалистов по управлению рисками. О том, как написать и реализовать стратегию внедрения РМ2, в ходе Risk Awareness Week-2020 рассказал основатель портала www.risk-academy.ru, руководитель направления международного сотрудничества АНО ДПО «Институт стратегического анализа рисков управленческих решений» (ИСАР) Алексей Сидоренко.
Функция риска, а не уровень риска
– Напомню: риск-менеджмент 1 – это управление рисками в интересах внешних стейкхолдеров (регуляторов, акционеров, совета директоров, банков, страховых и рейтинговых агентств), риск-менеджмент 2 – управление рисками, а скорее даже их анализ, в интересах руководителей, принимающих решения внутри организации. В РМ2 риск-менеджеры используют инструменты, техники и методологии, позволяющие сделать процесс закупок более эффективным, бюджетирование – более быстрым и качественным, принимать инвестиционные решения более взвешенно и видеть риски, которые могут повлиять на финансовые показатели проекта.
Если вы решили заняться внедрением инструментов риск-менеджмента в своей организации, важно понимать: риск-менеджмент – это все же наука, а не маркетинг и не какие‑то лучшие практики, рекомендуемые стандартами, ассоциациями, институтами или международными консультантами.
Как и в любой другой профессии, в риск-менеджменте много шума, мешающего разобраться, какой инструмент является научно подтвержденным и работающим, а какой – всего лишь красивая иллюстрация в маркетинговой брошюре, написанной кем‑то с целью продажи своих услуг (вполне вероятно, что такой инструмент никогда не тестировался на практике, следовательно, его эффективность не доказана).
Говоря о риск-менеджменте как об инструменте принятия эффективных и качественных решений, я имею в виду риск-менеджмент, основанный на мощной фундаментальной научной базе, которая закладывалась более ста лет; а инструменты, которые мы пропагандируем в риск-менеджменте, годами эмпирически тестировались – специалисты замеряли их эффективность, сравнивали результаты и публиковали научные статьи с выводами.
Бизнес – достаточно сложная система, на которую влияет огромное количество факторов, в том числе политика регулятора, действия конкурентов и поведение клиентов. Да и наша жизнь в целом настолько сложна и непредсказуема, что пытаться описать будущее одной цифрой, одним словом или одним сценарием, как и пытаться оценить риски одной цифрой или словом, как минимум наивно. Допустим, если мы, строя сценарии будущего и в том числе планируя бюджет проекта, будем принимать решения исходя из одной версии будущего, что курс доллара в 2021 году составит 75 рублей, то многое упустим из вида. Да, возможно, курс будет находиться в районе этой отметки, а возможно, существенно вырастет, или упадет, или будет постоянно колебаться в течение года. Ценность риск-менеджмента именно в осознании разброса возможных отметок курса, ведь таким образом компании зачастую принимают иные решения, отличные от тех, которые основаны на «среднем по больнице» значении. Средняя температура по больнице (средние значения) в риск-менеджменте – не просто пустой звук, а злейший враг, которого нужно пытаться избегать, потому что вся ценность принятия решения – в деталях, которые вокруг этого среднего значения, в волатильности ключевых допущений.
Помните: мы внедряем риск-менеджмент не для того, чтобы начать эффективнее управлять рисками, а для того, чтобы понять, как они влияют на то, что для нас важно: стоимость компании, объем требуемых инвестиций, срок завершения проекта, выполнение целевых показателей, вероятность пробития ковенантов. Оценив влияние рисков на что‑то важное для нас, задумываемся, как этим риском можно было бы управлять, чтобы снизить этот эффект. Известный американский экономист, трейдер и эксперт в области влияния случайных и непредсказуемых событий на мировую экономику и биржевую торговлю Нассим Талеб называет это «функцией Х», то есть функцией риска. Если разобраться, нас чаще всего интересует не сам риск, а его функция, то есть его влияние на цель или решение.
Также хочу отметить, что основным инструментам, которые существуют в багаже риск-менеджера, от 50 до 500 лет, а теориям – от 100 до 500. Некоторые инструменты действительно относительно молодые, но даже самые продвинутые математические методы имитационного моделирования, используемые для оценки инвестиционной привлекательности проекта, придуманы еще в 1946 году.
Если разобраться, риск-менеджмент – это попсовое название, за которым стоит набор фундаментальных наук: теория вероятностей, теория принятия решений, психология восприятия риска. Риск-менеджмент 2 – по сути, является нашей попыткой агрегировать и использовать перечисленные инструменты в бизнес-контексте с целью принятия более взвешенных решений.
Делать оценку рисков просто для информации – бессмысленно, она должна влиять на структуру принимаемого решения.
Не влюбляйтесь в одно решение
– Мы разделили имеющиеся теории и практики на две корзины – все не очень полезное – это РМ1, а все, что основано на фундаментальных науках, называем РМ2. Внедрять риск-менеджмент 2 на практике тяжело, но результаты для бизнеса от этого подхода колоссальные.
Цель РМ2 – изменить процесс принятия управленческих решений в организации. К настоящему моменту во многих компаниях сложилась практика, когда кто‑то один готовит решение, а затем презентует его топ-менеджменту, пытаясь убедить в правильности и логичности конкретного варианта действия. Нередко, чтобы решение выглядело прилично, его приукрашают, делая более привлекательным. То есть условно происходит следующее: специалист какую‑то идею вырастил, воспитал, влюбился в нее и потом всем доказывает, что она самая лучшая. Остальные же либо пытаются с ним спорить, либо не спорят, соблюдая принцип политкорректности, чтобы потом их идеи не оспаривали. Такая традиционная система принятия решений крайне вредна.
Любой проект, инициатива, решение всегда имеет множество возможных вариантов развития, зависящих от того, какие допущения мы делаем при формировании той или иной гипотезы, того или иного бюджета или бизнес-плана. То есть альтернатива традиционному процессу принятия решений – это не влюбляться в какую‑то одну версию, а показывать несколько возможных вариантов развития ситуации и давать возможность людям, принимающим решения, видеть, как неопределенность влияет на принятие решения. Например, если неопределенность высокая, а мы пытаемся во что‑то инвестировать, то может быть множество возможных сценариев, и их нужно показывать. Мы действительно можем не обладать достаточной информацией для того, чтобы принять взвешенное и качественное решение. Цена дополнительной информации – оцифровываемая величина, которую можно и нужно считать.
Таким образом, через риск-менеджмент мы пытаемся двигаться к практике, где в процессе принятия решения неопределенности и риски не прячут, а, наоборот, показывают руководству и дают возможность сравнивать различные сценарии. Есть замечательные графические способы, позволяющие соотнести риск и доходность и показать все сценарии. В результате получается некая кривая, которая показывает, что есть, допустим, три варианта реализации данного проекта, и все они хорошие. Разница в этих вариантах измеряется лишь аппетитом к риску людей, принимающих решение. Например, один вариант может быть дороже, но там риск ниже, а другой, возможно, дешевле, но риск выше.
Риск-менеджеру не нужно влюбляться в один из вариантов и придумывать, как представить его в выигрышном свете. Надо показывать все варианты, потому что аппетит к риску у акционеров и владельцев бизнеса может меняться в зависимости от погоды или настроения. На эту тему есть соответствующие исследования. Поэтому, чтобы не попадать в ментальные ловушки, мы должны стараться «подсветить» неопределенность и показать ее максимально прозрачно поверх принятия решения.
Вопреки сложившейся практике, когда риски оцениваются раз в квартал или раз в полгода-год, и тогда оценка рисков бесполезна, поскольку все решения уже приняты, в РМ2 оценку рисков мы проводим перед тем, как принимается любое важное решение. То есть в момент его принятия обсуждаются и риски, связанные с принятием или непринятием этого решения. Отсюда следующий вывод – оценка риска должна иметь прямое и непосредственное влияние на принимаемые решения. Делать оценку рисков просто для информации – бессмысленно, она должна влиять на структуру принимаемого решения. Например, NPV можно считать не точкой, а диапазоном, и данные из этого распределения вносить в итоговый документ в виде вероятности достижения цели или вероятности NPV ниже нуля. И точно не нужно считать NPV так же, как раньше, одной точкой, а сбоку прикладывать реестр рисков. Это не РМ2.
Еще один важный аспект – лица, принимающие решения, должны быть вознаграждены за осознанное восприятие риска (в английском языке есть соответствующее определение «intelligent risk taking»). Нассим Талеб постоянно говорит, что людей нужно учить не риск-менеджменту, а тому, как брать на себя риски осознанно, как понимать и рассчитывать их и оценивать то, какие риски мы на себя берем. В конце концов, бизнес – это история про принятие рисков на себя как сотрудниками, так и руководителями, и организацией в целом. Поэтому так важно делиться теми сессиями на RAW2020, которые могут быть полезны другим людям. Если вы посмотрели какой‑то семинар, где прозвучала мысль, которую давно хотите донести до коллег по работе, просто поделитесь с ними ссылкой.
Важно учитывать специфику каждого решения, каждого процесса, куда мы пытаемся встраивать инструменты риск-менеджмента. Например, в инвестиционном анализе может использоваться сценарный анализ, анализ чувствительности или имитационное моделирование. В бюджетировании – оценка ключевых допущений и имитационное моделирование. В стратегическом планировании пригодятся деревья решений и имитационное моделирование, в закупках – скоринг.
В каждом процессе риск-менеджмент свой, и для каждого процесса, каждой задачи существует несколько проверенных инструментов риск-менеджмента, которые могут быть полезны для ее решения. К сожалению, регуляторы и многие консультанты считают, что вместо индивидуального подхода должен быть всеобъемлющий – так называемая «система управления рисками». На практике это совершенно не так. Это не просто бесполезно – иметь общекорпоративный системный подход к управлению рисками, а крайне вредно и с точки зрения уничтожения репутации риск-менеджмента, и неполучения никогда приглашений для участия в процессе принятия решений, и с точки зрения полезности бизнеса и эффективного расходования ресурсов на управление рисками.
Профанацию под названием «система управления рисками» придумали примерно 40 лет назад, и некоторые риск-менеджеры, особенно только закончившие обучение и начинающие делать карьеру, считают, что это что‑то серьезное. На самом деле СУР – пустышка, за которой нет никакой субстанции. Чтобы сформировать целостную картину рисков или агрегированный профиль рискованности организации, оценить аппетиты к различным типам рисков организации, необязательно внедрять систему управления рисками, можно сделать это через встраивание рабочих инструментов в принятие стратегических решений, формирование бизнес-планов, бюджетов, стратегий с учетом рисков. Например, сейчас у меня считается VaR, вероятность кассовых разрывов и вероятность пробития ковенантов по всей компании не в рамках СУР, а как часть стратегической модели компании, которую курируют стратеги и инвестиционщики, а мы просто поставляем им стохастику для модели. Мы уже 15 лет этим занимаемся, не внедряя никаких СУР.
Как реализовать стратегию РМ2
– Стратегия внедрения риск-менеджмента 2 обычно состоит из четырех блоков. Они необязательно должны идти по порядку, можно реализовывать их параллельно.
Первый большой блок предполагает встраивание инструментов управления рисками в различные процессы организации. Это абсолютно индивидуально для каждой организации. Если она занимается реализацией крупных проектов, то логично, что план-графики и бюджеты по ним должны формироваться с учетом рисков. Вероятно, компания начнет со встраивания инструментов количественного анализа, например имитационного моделирования, в бюджетирование и проектирование. Если компания находится на стадии стратегической развилки или пересмотра долгосрочной стратегии, то учитывая, что высокая неопределенность автоматически несет высокие риски, нужно встроить риск-менеджмент в процесс целеполагания стратегического планирования и выбора стратегических инициатив.
Если компания занимается производством, то логичным представляется встроить инструменты РМ2 в производственные цепочки: производственное планирование, формирование производственной программы, оптимизацию логистики и загрузки производств с учетом рыночных рисков.
Таким образом, в зависимости от профиля компании нужно встраивать управление рисками в те процессы, которые для нее важны. При этом риск-менеджмент можно встраивать в абсолютно любые процессы: бюджетирование, закупки, ИТ-деятельность, внедрение новых систем и т.д. Но так как время и ресурсы у нас ограничены, мы обычно начинаем с одного-двух процессов. На этот блок приходится 60–70% трудовых затрат риск-менеджера.
Второй блок – корпоративное управление. У каждого министерства и ведомства – Центрального банка, Фондовой биржи, Федеральной налоговой службы, Росимущества (если речь идет о госкомпании), Министерства финансов РФ и Министерства экономического развития РФ – есть свое мнение о том, каким должен быть эффективный риск-менеджмент. В этой связи мы должны потратить часть своих усилий на удовлетворение их ожиданий, хотя их видение риск-менеджмента зачастую отличается от того, что такое настоящий эффективный риск-менеджмент. Регуляторы, как правило, ориентируются на различные международные лучшие практики, что накладывает свой отпечаток на то, каким они ожидают видеть риск-менеджмент.
В рамках риск-менеджмента в организации всегда есть блок по корпоративному управлению, мы называем его РМ1, должны быть собраны политики и другие документы по рискам, может быть Комитет по рискам (это зависит от требований законодательства в рамках деятельности вашей организации). Например, в ГОСТ Р ИСО 31000, официально вышедшем в России в марте 2020 года, указан только один необходимый документ – политика по управлению рисками, все остальное является опциональным, так как не упоминается в стандарте.
В зависимости от профиля компании нужно встраивать управление рисками в те процессы, которые для нее важны.
Сегодня о риск-ориентированной деятельности компании принято писать не только в годовых отчетах, но и на сайте организации, чтобы показать ее позицию как ответственного корпоративного участника экосистемы. Риск-менеджеры тратят на это часть своего времени и должны иметь четкое понимание, кто и что требует, когда и в какие сроки. В рамках внедрения вашей стратегии должен быть выделен набор задач под выполнение этих внешних требований.
Третий блок – встраивание идеологии риск-ориентированного принятия решений в корпоративную культуру организации. Это тоже трудозатратный блок, включающий обучение, публикации на корпоративном портале и в корпоративной газете, выступления на разных совещаниях, написание речей для руководителей, встраивание в существующие маркетинговые материалы, добавление слайдов в презентации руководителей по стратегии. Такой подход позволит привить сотрудникам желание думать о рисках в момент принятия решения, а не после этого.
Четвертый блок – развитие собственных компетенций. Чтобы быть «в теме», нужно понимать и теорию вероятностей, и корпоративные финансы, и психологию, и основы статистики, и суть бизнеса, в котором вы работаете, знать внешние корпоративные требования к управлению рисками. Процесс обучения должен быть бесконечным. Хотя в АНО ДПО ИСАР много программ, позволяющих подтянуть компетенции, даже мы не покрываем все компетенции, которые необходимо развивать риск-менеджеру, ведь он должен быть разносторонним специалистом: математиком, психологом, консультантом, хорошо понимающим суть бизнеса, в котором работает. Только в таком случае ему удастся внедрить РМ2 и эффективно использовать его механизмы на практике.
Подготовила Елена ВОСКАНЯН
