Как научиться избегать потерь: четыре правила управления рисками

1975
Павел Смолков

Павел Смолков, руководитель департамента внутреннего контроля и управления рисками ПАО «Интер РАО» в рамках X Национальной практической онлайн-конференции «Неделя внутреннего контроля и аудита в России» представил «Золотые правила управления рисками, написанные историей убытков». История их создания основана на более чем 20‑летней деятельности Павла Смолкова в промышленных и финансовых корпорациях, включая личную ответственность за управление рисками, внутренний контроль в крупных промышленных группах и в рамках собственного бизнеса. Этих правил нет в широко известных стандартах по управлению рисками, но их соблюдение дает возможность компаниям защитить себя от рисков и кризисных событий. Сегодня мы публикуем тезисы выступления Павла Смолкова.

 

Золотое правило № 1

Не имеет значения, какое событие может произойти, что конкретно может случиться; значение имеет, какой ресурс может потерять или приобрести компания.

– У любого бизнеса есть цели, которые необходимо достичь. На горизонте есть и риски, которые могут помешать достижению целей. Современные концепции и стандарты управления рисками говорят о необходимости создать перечень неопределенностей или событий в зависимости от концепции, а затем – проанализировать каждую неопределенность или событие: искать вероятности, диапазоны отклонений и т.д.

Сколько теоретически может произойти событий, которые могут помешать достижению целей бизнеса и сколько теоретически у бизнеса есть неопределенностей? Понятно, что их может быть очень много: внешние, внутренние, операционные, финансовые риски, человеческие ошибки, сбои ИТ-систем, сбои цепочек поставок, аварии на производстве и др. Неопределенностей и событий, которые могут повлиять на бизнес, проект и организацию и помешать достижению целей, – не сосчитать. При этом у компании есть широкий выбор методов и подходов, которые необходимо применять для управления рисками. Например, организации могут использовать реестр или карту рисков как попытку изложить все риски и у каждого оценить вероятность и последствия. Можно применить и другие методы, более продвинутые. Например, структурировать перечень ключевых неопределенностей для бизнеса, организации, проекта, найти распределение вероятностей по каждой неопределенности – либо дискретные, либо непрерывные, сделать модель риска или оценки рисков, провести моделирование, получить распределение вероятностей на выходе ключевых показателей бизнеса под рисками и т.д. Помогли ли эти методы управления рисками? Что начальные – реестр, карты рисков, что более продвинутые – имитационное моделирование, количественный анализ рисков, отношение к риску не как к событию, а как к неопределенности?

Мы не должны более анализировать, по каким сценариям и событиям может произойти потеря ресурсов. Следует больше думать о том, что случится, если не будет доступа к нашим ключевым ресурсам, и действовать в этом ключе.

Помогло ли это бизнесу и организациям своевременно выявить и заранее подготовиться к наступлению такого события, как коронавирусная эпидемия в 2020 году? Большинство организаций были не готовы к этому, включая те компании, где был продвинутый риск-менеджмент.

Пандемия перечеркнула все модели риск-менеджмента, применяемые ранее. Пандемия – не падение большой кометы на планету Земля, от чего защититься невозможно при всем желании, и при таком событии весь совокупный текущий бизнес планеты был бы уничтожен. Пандемия – это такое событие, которое не останавливает бизнес, а делает недоступным ключевые ресурсы со стороны производства, сбыта, финансов, а к этому уже можно подготовиться.

Многие компании понесли серьезные потери во время пандемии. Мелкий и средний бизнес в некоторых случаях был вынужден прекратить свою деятельность. Конечно, крупные компании базовых отраслей – нефтяной, энергетической, металлургической – не ушли с рынка, но их потери были существенными. Многим не помог риск-менеджмент. Ни карты рисков, ни модели количественных оценок рисков.

С моей точки зрения, в подходах, которые были описаны в текущих стандартах и концепциях, основой был событийный анализ, и во главу угла ставились события. Надо было определить риски и нанести их на карту как события либо определить ключевые неопределенности и смоделировать их влияние на показатели компании или проекта, используя математическое моделирование. Шла фокусировка на события, которых было так много, что утопичной была сама идея предсказать конкретную силу влияния и конкретный сценарий. Кроме того, практически ни у каких компаний, за редким исключением, в карте рисков на 2020 год не был коронавирус. И вряд ли кто‑то моделировал, применяя количественные методы, влияние пандемии на бизнес. Никто не предвидел ситуацию 2020 года в конце 2019 года, но, когда она началась, кто‑то быстро отреагировал. Компании, которые в феврале начали защищать свои ключевые ресурсы, среагировали быстро, кто‑то медленнее отреагировал, однако потери были у всех.

Тезис, который я выдвинул на суд общественности, гласит, что во главу угла риск-менеджмента надо ставить не событие и событийный анализ, а ресурсы и ресурсный анализ. Речь о том, что у любой организации есть долгосрочные планы, набор ключевых ресурсов, без которых реализация планов и достижение долгосрочных целей невозможны. Это человеческие, административные, информационные, технологические и финансовые ресурсы. В любом случае определить ключевые ресурсы, которые требуют защиты, гораздо легче, чем сделать попытки определить набор всех возможных событий, которые могут повлиять на бизнес, и оценить их. Я считаю, что в риск-менеджменте надо переориентироваться с событийного анализа на ресурсный.

Когда государство рекомендует самоизоляцию, то на языке риск-менеджмента государство рекомендует стратегию избегания риска.

Мы не должны более анализировать, по каким сценариям и событиям может произойти потеря ресурсов. Следует больше думать о том, что случится, если не будет доступа к нашим ключевым ресурсам, и действовать в этом ключе. Тогда организации и бизнес были бы больше готовы к наступлению любых кризисных событий, если бы ключевые ресурсы были защищены. Как? – это другой вопрос. В любом случае, анализ и защита ключевых ресурсов для меня выглядит как более простой и надежный риск-менеджмент, нежели анализ всех возможных событий, их приоритизация и подготовка реакции на них.

 

Золотое правило № 2

Стратегические риски важнее других рисков.

– Этот тезис я выдвигаю уже больше 10 лет. Но большинство компаний фокусируется на операционных рисках, рисках следующего отчетного периода; эти компании смотрят риски по бизнес-планам, часто думают над рисками 2021 года. А вот стратегические риски мало кто анализирует и фокусирует на них свое внимание.

Стратегический риск имеет вероятность возникновения не в следующем году или отчетном периоде, а на всем горизонте реализации стратегии. Может быть, в следующем году будет нулевая вероятность того, что серьезно изменится, например, климат, а в течение 5–10 лет это могут быть драматические изменения, и перестраивать стратегию компании надо уже сейчас.

Те, кто когда‑то занимался стационарной телефонией, имели нулевую вероятность того, что в следующем году появится больше мобильных телефонов, однако в перспективе 5–10 лет это вынуждало компании уходить с рынка стационарной телефонии. И есть еще множество примеров: неверный выбор стратегии, ориентация не на те рынки, выбор не тех продуктов, игнорирование рисков конкуренции, рисков изменения законодательной базы, политических рисков. Множество примеров, как стратегические риски уничтожали бизнес.

Есть малая доля рисков, которые вызывают огромное количество потерь, в то время как большинство рисков не приводят к большим потерям для бизнеса. Поэтому фокусироваться надо именно на стратегических рисках – той самой малой доле, которая способна вызвать необратимые потери. И конечно же, основные стратегические риски – это не события и конкретные сценарии, это потеря контроля над ключевыми ресурсами. Стратегия, как нам известно, это своего рода план по захвату и удержанию контроля над ключевыми ресурсами. Без стратегии действия компании на рынке похожи на действия Бунша и Милославского в фильме «Иван Васильевич меняет профессию». Горизонт планирования 30 минут. Пообедали, отправили войска в Крым, приняли шведского посла, а что дальше будет – разберемся по ситуации. Поэтому, безусловно, стратегия – краеугольный камень развития любого бизнеса, а в риск-менеджменте краеугольным камнем должны быть именно стратегические риски.

 

Золотое правило № 3

Среди всех стратегий управления рисками основной рассматриваемой стратегией должна быть стратегия избегания.

– В данном случае я использую слово «основная». То есть не имею в виду, что надо заниматься только избеганием рисков, это лишь первоочередная стратегия.

Поговорим для начала о других стратегиях. Стратегия принятия известна всем: можно ничего не предпринимать по рискам неподконтрольным либо рискам с крайне малой вероятностью и маленькими убытками. Можно много работать, снижать риски, если мы говорим о стратегии снижения. Если в применении к коронавирусу, то примером стратегии усилий и работы является ношение масок, перчаток, которые минимизируют вероятность заражения инфекцией, но при этом мы не избегаем этого риска. Ношение масок, перчаток – это стратегия снижения. Ходить везде без масок и перчаток – это стратегия принятия риска. Избегание – это изоляция, отказ от источника риска. Поэтому, когда государство рекомендует самоизоляцию, то на языке риск-менеджмента государство рекомендует стратегию избегания риска.

Может к рискам применяться и стратегия передачи, перекладывания проблемы на других, например на страховые компании, хеджирование, аутсорсинг. Стратегия диверсификации источников риска и прочие стратегии. Но стратегия избегания, на мой взгляд, должна рассматриваться, в первую очередь, при работе с любым риском. И если она возможна, то нужно применять именно ее. Это не значит полный отказ от всех рисков. Нет рисков – нет бизнеса. Это значит, что рассматривать стратегию отказа от источника риска надо в первую очередь, а это совсем другое. В том числе путем замены источника, например. Замены слишком рискованного поставщика на менее рискованного. Замены слишком рискованного логистического канала на другой, менее рискованный. Источника рискованных решений в правлении или совете директоров на другой, более уравновешенный источник мнений. Однако далеко не всегда это возможно, и иногда единственным шансом достичь цели является риск. Тогда надо идти на риск, если это оправдано. Вот тогда в ход идут другие стратегии управления риском. Главное, чтобы цель была достигнута.

Я думаю, что стратегия избегания в наше время должна быть той стратегией, которая рассматривается в первую очередь. Представим риск крайне малой вероятности, например на каком‑то горизонте – 1%. Последствия критичны, то есть бизнес умирает. И теория вероятности, статистика убытков, экономика говорят нам о том, что даже если есть какая‑то крайне малая вероятность события на определенном горизонте, то ничто не запрещает этому событию реализовываться хоть завтра, хоть сейчас. Коронавирус – событие, о котором в 2019 году сигнализировали СМИ, а Всемирная организация здравоохранения и Всемирный банк запускали пандемические бонды со сроком погашения в июле 2020 года. Инвесторы, купившие бонды в 2017 году, в итоге потеряли деньги. Теперь кажется, неспроста первым руководителем Всемирного банка стал врач-эпидемиолог Джим Ен Ким по протекции президента Барака Обамы.

Таким образом, в банке понимали, что может произойти какое‑то событие, связанное с пандемией.

Но это тогда казалось крайне маловероятным и даже не рассматривалось как сигнал. Тем не менее события разворачивались стремительно по меркам бизнеса начиная с января 2020 года до марта 2020‑го.

При ненулевой вероятности ничто не запрещает реализовываться критическим рискам прямо сейчас с крайне малой вероятностью. Это математика и история убытков. Если мы не хотим реализации критических последствий, единственной стратегией будет стратегия избегания, только она сводит в ноль вероятность риска, за счет отказа от источника риска. То есть – не работать с рискованным поставщиком, клиентом, рынком, уходить от какого‑то проекта, если это не является жизненно необходимым.

 

Золотое правило № 4

Персональная ответственность за коммерческие убытки.

– Ответственность физических и юридических лиц изложена в Уголовном кодексе Российской Федерации, Административном кодексе и документах, регламентирующих эти направления в других странах. Но за многие убытки – например, выбор экономически неэффективного проекта, – которые создал для компании коммерческие риски, ни Уголовный, ни Административный кодексы не предусматривают меры наказания. Тем не менее убытки наступают и компании банкротятся либо очень много теряют, проигрывая конкурентную борьбу.

Часто происходит так: принимается неэффективное решение, потом начинается проект (допустим, строительство объекта) и возникают риски, которые ранее не учли. А между тем в ходе реализации проекта уже премировали ответственных лиц в рамках ежегодных премий. Затем эти руководители и специалисты ушли из компании, а проект продолжил реализовываться. И вот наступают те риски, которые были давно заложены неверными управленческими решениями с большим потенциалом стратегического риска, и бизнес умирает, причем ответственности за это никто не несет. Это в будущем надо исключать. Несмотря на то что очень сложно наладить персональную ответственность за коммерческие убытки, это надо делать. За реализацию критических для бизнеса и проектов рисков неизбежно должна наступать персональная ответственность.

Ирина КРИВОШАПКА