По итогам 2020 года, доля российских нефинансовых организаций, в которых есть отдельное подразделение, ответственное за сопровождение и методологическую поддержку процессов управления рисками, составила 76% — на один процентный пункт больше, чем годом ранее. При этом 23% организаций имеют утвержденную генеральным директором или cоветом директоров политику по управлению рисками, а 35% анализируют риски при годовом бюджетировании и регламентируют порядок проведения анализа рисков в политике или регламенте, в то время как полный анализ рисков при стратегическом планировании проводят только 21% организаций.
К такому выводу пришли аналитики компании «Делойт», СНГ, подготовившие совместно с Институтом стратегического анализа рисков и информационным порталом www.risk-academy.ru исследование «Оценка уровня зрелости управления рисками в российских нефинансовых организациях в 2020 году» https://www2.deloitte.com/ru/ru/pages/risk/articles/2021/rezultaty-issledovaniya-urovnya-zrelosti-upravleniya-riskami.html.
Портрет современного подразделения
В частности, в исследовании представлен портрет современного подразделения по управлению рисками в таких организациях. Эксперты отмечают, что в прошлом году доля организаций, у которых функция по управлению рисками выведена в подчинение финансовому директору, сократилась на 5 процентных пунктов, а в подчинение отделу внутреннего аудита – увеличилась на 7 процентных пунктов.
Выявлена интересная особенность: все металлургические компании, участвовавшие в опросе, заявляют, что в их организациях функции по управлению рисками осуществляет отдельное подразделение. В 37% организаций с выручкой до 100 миллионов долларов США функции по управлению рисками осуществляют специалисты смежных подразделений (внутреннего аудита, финансов или другие), среди организаций с выручкой от 100 до 500 миллионов долларов США таких 22%.
Лидеры в области продолжительности работы подразделений по управлению рисками – компании из индустрии высоких технологий: в данном секторе 60% сформировали такое подразделение более пяти лет назад. Среди организаций потребительского сектора и транспорта подразделения, ответственные за сопровождение и методологическую поддержку процессов управления рисками, существуют наименьшую продолжительность времени. У компаний с большей выручкой подразделение по управлению рисками существует дольше.
Как распределяется ответственность?
Что касается количества сотрудников, ответственных за управление рисками, здесь наблюдается следующая тенденция: в минувшем году доля организаций, держащих в штате единственного специалиста, ответственного за управление рисками, снизилась на 15%, а доля организаций, где эту функцию выполняют два или три сотрудника, увеличилась на 12 процентных пунктов. Кстати, доля организаций, где четыре или пять сотрудников выполняют данную функцию, сократилась на 5 процентных пунктов, доля же компаний с более пятью сотрудниками увеличилась на 8 процентных пунктов. Такая тенденция обусловлена принятием участия в опросе организаций с более «взрослыми» подразделениями по управлению рисками, для которых характерен более крупный штат сотрудников.
В 33% организаций сектора ТМТ (телекоммуникации, медиа и технологии) за сопровождение и методологическую поддержку процессов управления рисками отвечают более пяти сотрудников (включая руководителя), в то время как половина из опрошенных компаний потребительского сектора и транспорта отметили, что за управление рисками отвечает один сотрудник. В 80% организаций с выручкой от 500 миллионов долларов США до 2 миллиардов долларов США за это отвечают два или три сотрудника.
Лидеры в области продолжительности работы подразделений по управлению рисками – компании из индустрии высоких технологий: в данном секторе 60% сформировали такое подразделение более пяти лет назад.
– В 2020 году мы видим рост числа сотрудников, отвечающих за внедрение процессов управления рисками (16% относительно 31%). Но всегда ли это хорошо? Мы согласны, что большое количество времени таких специалистов нужно на этапе выстраивания подходов к управлению рисками и интеграции данных подходов в процессы принятия решений и основные бизнес-процессы компании. Но чем лучше данные подходы будут встроены в бизнес-процессы, тем меньше потребуется вовлечения риск-менеджера. Нужно стремиться к максимальной интеграции управления рисками в процессы компании, чтобы риск-менеджер оказывал методологическую экспертную поддержку бизнесу и направлял усилия на развитие риск-культуры, – комментирует директор Департамента управления рисками компании «Делойт» в СНГ Татьяна Будишевская.
Между тем, по сравнению с 2019 годом, доля организаций, в которых ответственность за процессы управления рисками закреплена на каждом отдельном административном уровне, практически не изменилась. При этом число организаций, в которых за управление рисками отвечает только риск-менеджмент, сократилась на 6 процентных пунктов – до 6%.
Во всех опрошенных организациях металлургической промышленности, а также среди всех организаций с выручкой от 500 миллионов до 2 миллиардов долларов США ответственность в рамках управления рисками закреплена за руководством, советом директоров, комитетами при совете директоров и за риск-менеджерами.
Аналитики уже третий год наблюдают устойчивый позитивный тренд по росту доли компаний, в которых ответственность за управление рисками распределена на все уровни организации.
– Напомним, что 1 октября 2020 года вышли рекомендации Центрального банка по организации управления рисками, внутреннего контроля, внутреннего аудита, работы комитета совета директоров (наблюдательного совета) по аудиту в ПАО, являющиеся ориентиром при распределении ответственности по управлению рисками. Мы советуем использовать данные рекомендации при выстраивании процессов управления рисками в компании, – отмечает Татьяна Будишевская.
Положительный тренд в стратегическом планировании
В 2020 году аналитики «Делойта» увидели позитивную динамику и в вопросе анализа рисков при стратегическом планировании: на 9% увеличилась доля организаций, в которых риски анализируются при постановке целей, а порядок проведения анализа рисков регламентирован. В свою очередь, на 6 процентных пунктов снизилась доля компаний, в которых не анализируются риски при стратегическом планировании или анализируются постфактум.
В прошлом году все респонденты нефтегазового сектора отметили, что в их организациях риски анализируются при постановке стратегических целей, но порядок проведения анализа рисков не регламентирован. Примечательно, что лишь половина респондентов производственного сектора ответила так же, а четверть уточнила, что риски, связанные с достижением стратегических целей, не анализируются или анализируются постфактум.
В компаниях с численностью штата более пяти тысяч человек доля организаций, в которых риски, связанные с достижением стратегических целей, не анализируются, на 17 процентных пунктов меньше, чем среди организаций с численностью штата менее пяти тысяч человек.
– Мы наблюдаем положительный тренд в одном из самых важных видов применения инструментов анализа рисков – при планировании, – говорит руководитель направления международного сотрудничества АНО ДПО «Институт стратегического анализа рисков» и основатель портала www. risk-academy.ru Алексей Сидоренко. – Все больше компаний уделяют внимание рискам при системном планировании. У руководителей, принимающих решения, возникает необходимость проводить анализ рисков в рамках планирования.
Кстати, в прошлом году, в рамках процесса годового бюджетирования, анализ рисков проводился более детально, чем в рамках стратегического планирования. По итогам опроса выяснилось: 35% организаций анализируют риски при годовом бюджетировании и при этом регламентируют порядок проведения анализа рисков в политике/регламенте, в то время как полный анализ рисков при стратегическом планировании проводят 21% организаций.
Оказывается, две трети нефтегазовых организаций анализируют риски при годовом бюджетировании, порядок проведения анализа рисков регламентирован в политике/регламенте о бюджетировании. При этом всего 29% организаций производственного сектора ответили так же, а 57% отметили, что риски, связанные с утверждением годового бюджета организации, не анализируются или анализируются постфактум.
В 2020 году на 7 процентных пунктов сократилась доля организаций, в которых анализ рисков не влияет на пересмотр стратегических целей и бюджетов организации, также на 4 процентных пункта увеличилась доля организаций, в которых анализ рисков имеет непосредственное влияние на данные аспекты. Доля организаций, где анализ влияния рисков оказывает косвенное влияние на изменение целей и пересмотр бюджета, увеличилась на 3 процентных пункта.
Эксперты выделили здесь следующие особенности: 43% организаций производственного сектора не рассматривают анализ рисков как фактор, влияющий на изменение целей и пересмотр бюджета. Среди опрошенных нефтегазовых организаций нет тех, где анализ рисков напрямую влияет на пересмотр стратегических целей и бюджетов.
В организациях с выручкой до 100 миллионов долларов США среди 12%, а в организациях с численностью сотрудников от пяти тысяч человек среди 18% опрошенных анализ рисков напрямую влияет на пересмотр стратегических целей и бюджетов.
Пора переходить к серьезным шагам
Важный аспект исследования – уровень интеграции управления рисками в процессы принятия решений.
– От года к году в исследовании мы наблюдаем разную динамику уровня внедрения управления рисками в принятие решений, – отмечает директор АНО ДПО «ИСАР», начальник отдела управления рисками АО «Технодинамика» Любовь Фролова. – На мой взгляд, это заставляет риск-менеджеров задуматься – может быть, настало время переходить к более серьезным шагам для укрепления позиции риск-ориентированного принятия решений? Надеюсь, специфика «ковидного» 2020 года, скорость изменений и принятия управленческих решений подтолкнет риск-менеджеров и специалистов смежных профессий к тому, чтобы применять инструменты количественного анализа рисков, деревья решений, а также моделирование, чтобы предоставлять качественную информацию для принятия решений высшему руководству и иметь авторитетную позицию.
В материалах исследования говорится, что на 14 процентных пунктов выросла доля организаций, вопросы управления существенными рисками в которых обсуждаются на заседаниях коллегиальных органов чаще, чем раз в квартал (в любых ситуациях с высокой неопределенностью), а к участию в процессе принятия решений привлекаются специалисты по управлению рисками.
Доля организаций, которые не привлекают риск-менеджеров к принятию высшим руководством стратегических и инвестиционных решений в течение года, снизилась, но несущественно – на 2 процентных пункта. А вот доля организаций, которые привлекают риск-менеджеров и проводят анализ рисков при принятии всех существенных решений, увеличилась на 7 процентных пунктов.
43% организаций потребительского сектора принимает стратегические и инвестиционные решения в течение года без привлечения риск-менеджеров, в то время как в 50% опрошенных металлургических компаний риск-менеджеры привлекаются при принятии решений. Анализ рисков оказывает наибольшее влияние на принятие существенных стратегических, бюджетных и инвестиционных решений в организациях с количеством сотрудников более 5 тысяч человек (27%).
В 2020 году стало больше организаций, которые регулярно проводят последующий мониторинг рисков, их количество увеличилось на 8 процентных пунктов. Также на 8 процентных пунктов снизилась доля организаций, которые его реализуют нерегулярно.
Наилучшим образом процедуры последующего мониторинга реализованы в металлургической отрасли: 75% этих организаций установили подобные процедуры и проводят их в соответствии с установленной периодичностью.
С другой стороны, треть организаций с численностью сотрудников менее пяти тысяч человек не ввели процедуры последующего мониторинга рисков.
На 22 процентных пункта выросло число организаций, которые выявляют и оценивают риски, управление которыми выходит за рамки регламентированного законодательством, осуществляют процедуру на постоянной основе и интегрируют ее в операционные процессы.
Кстати, значительно – на 22 процентных пункта выросло число организаций, которые выявляют и оценивают риски, управление которыми выходит за рамки регламентированного законодательством, осуществляют процедуру на постоянной основе и интегрируют ее в операционные процессы. При этом практически неизменной осталась доля организаций, выявляющих и оценивающих только те риски, управление которыми регламентировано законодательством, на нерегулярной основе, не интегрируя ее в операционные процессы.
Все опрошенные компании металлургической отрасли сообщили, что выявляются и оцениваются риски, управление которыми выходит за рамки процесса, регламентированного законодательством. Процедура регулярна, интегрирована в бизнес-процессы.
В 87% организаций с выручкой от 5 миллиардов долларов США выявляются и оцениваются риски, управление которыми выходит за регламентированные законодательством рамки; данная процедура осуществляется на постоянной основе и интегрирована в операционные процессы; список рисков и их оценка обновляются каждый год.
По словам Алексея Сидоренко, собственные ресурсы риск-менеджера, как правило, достаточно ограничены, поэтому для внедрения риск-ориентированного управления крайне важно не замыкать все процессы и решения на риск-менеджере с его экспертным опытом, а перестроить ключевые процессы так, чтобы риски учитывались даже без присутствия риск-менеджера.
Риск-аппетит
Согласно Информационному письму от Банка России о рекомендациях по организации управления рисками, внутреннего контроля, внутреннего аудита, работы комитета совета директоров (наблюдательного совета) по аудиту в публичных акционерных обществах, Обществу целесообразно применять риск‑аппетит для установления запретов и разрешений по величине риска, единого понимания приемлемых рисков и достижения стратегических и операционных целей.
Аналитики выяснили, что доля организаций, где риск-аппетит определен, но скорее не учитывается при принятии решений, сократилась на 10 процентных пунктов в сравнении с 2019 годом. Помимо этого, за последний год произошло смещение в сторону организаций, не определяющих формальный риск-аппетит (на 6 процентных пунктов), а также увеличилась (на 4 процентных пункта) доля организаций, которые определяют и пересматривают риск-аппетит на регулярной основе, определяя стратегию и годовые цели, а также используют риск-аппетит в качестве инструмента при принятии решений.
– Доля компаний, которые применяют формализованные показатели риск-аппетита при принятии решений, все еще невысока, и мы ожидаем дальнейшей положительной динамики, – говорит Татьяна Будишевская. – Между тем, многие компании используют ряд лимитов и ориентиров, которые прямо или косвенно определяют отношение компании к риску, но не имеют статуса показателей риск-аппетита. Мы в «Делойте» считаем, что при внедрении формальной концепции важно опираться на такие действующие «прокси» риск-аппетита, встроенные в принятие решений, дополняя их недостающими компонентами по тем областям принятия риска, где обоснованных ориентиров не установлено, добиваясь ясного понимания границ и ответственности за принятие рисков в компании.
Факторы-препятствия и ключевые перспективы развития 2020 года
Кроме того, аналитики выявили факторы, препятствующие эффективному управлению рисками в организациях. В прошлом году на первый план вышли следующие факторы: восприятие управления рисками как отвлекающего процесса (актуален для 54% организаций) и отсутствие выстроенных и регламентирующих процессов (его отметили 38% организаций). Неполноту данных и разрозненные ИТ-системы в качестве фактора выделили 35% организаций (в 2019-м – 51% организаций).
В 2020 году наиболее значимым фактором, препятствующим эффективному управлению рисками, стало восприятие управления рисками, как отвлекающего процесса (54% опрошенных респондентов). Восприятие управления рисками как отвлекающего процесса и низкий уровень культуры управления рисками является значимым фактором для более чем половины организаций производственного (71% организаций) и металлургического сектора (75% организаций). Отсутствие выстроенных и регламентированных процессов в организации – препятствие для половины организаций производственного сектора (50%) и сектора высоких технологий (50%). Барьер в виде неполноты данных и разрозненных ИТ-систем актуален для большинства организаций металлургической промышленности (50%).
В исследовании названы и прочие факторы 2020 года, упомянутые организациями: динамичность организации, «аллергия» на формализованные (бюрократические) описания и подходы; нехватка персонала в подразделении по управлению рисками; процесс управления краткосрочными рисками хорошо организован на уровне регулярного управления бизнесом со стороны руководства, добавленная стоимость от риск-менеджмента требуется для средне- и дальнесрочных рисков.
Каждый год минимум 65% респондентов отмечали риск-культуру как один из важнейших шагов развития. Между тем, развитие риск-культуры выделяется Банком России в качестве одной из ключевых рекомендаций к развитию системы управления рисками публичных компаний. Помимо этого, в 2020 году наиболее популярными направлениями дальнейшего развития управления рисками в организациях стали: интеграция управления рисками в процесс постановки целей и формирования КПЭ/КИР (для 60% организаций) и интеграция управления рисками в процесс принятия инвестиционных решений (для 60% организаций).
Уровень компетенций вырос
Несмотря на то что прошлый, коронакризисный год действительно был непростым для многих организаций, уровень развития компетенций по управлению рисками существенно вырос. Так, увеличилась доля организаций, где развитие компетенций осуществляется в рамках всей компании (рост на 3%), а также в рамках одного или нескольких подразделений (рост на 20%). Теперь только в 14% организаций развитие компетенций по управлению рисками целенаправленно не осуществляется.
Две трети металлургических организаций сообщили, что развивают компетенции по управлению рисками в рамках всей компании. Аналогичная картина среди нефтегазовых (67%) и организаций с выручкой от 500 миллионов до 2 миллиардов долларов США (60%). Развитие компетенций по управлению рисками целенаправленно не осуществляется лишь среди организаций производственного сектора (14%), ТМТ (33%), организаций с выручкой до 100 миллионов долларов США (38%), от 500 миллионов до 2 миллиардов долларов США (22%) и организаций с численностью сотрудников менее пяти тысяч человек (20%) и более пяти тысяч человек (9%).
Любовь Фролова отмечает: тренд 2020 года по качественному составу прошедших обучение и сертификацию по управлению рисками говорит о том, что около половины всех слушателей – не риск-менеджеры, а руководители процессов и топ-менеджеры.
– Важно, что уровень развития компетенций растет именно среди целевой группы не риск-менеджеров. Надеюсь, через некоторое время это отразится и на общем уровне внедрения инструментов управления рисками в принятие решений. А сейчас не стоит останавливаться на достигнутом, нужно развивать компетенции ваших руководителей дальше. В 2021 году мы, например, проведем несколько новых тренингов для руководителей, топ-менеджеров, собственников, аудиторов и контроллеров, – подчеркнула она.
Банк России выделяет среди рекомендаций к построению риск-ориентированной системы мотивации – формирование как у работников, так и у руководителей подразделений персональной ответственности и понимания, в рамках которых они при принятии каких‑либо решений оценивают последствия таких решений с точки зрения рисков. Аналитики выяснили, что интеграция управления рисками в процесс постановки целей и формирования КПЭ/КИР в течение последних трех лет отмечается дальнейшим направлением развития минимум 49% респондентов. В свою очередь, в 2020 году интеграцию в процесс постановки целей и формирования КПЭ/КИР отметили 60% опрошенных.
Эффективность под вопросом?
Что касается эффективности управления рисками российскими нефинансовыми организациями. В 2020 году всего 11% (снижение на 21 процентный пункт) не проводили оценку эффективности управления рисками. Большинство опрошенных утверждают, что оценка эффективности управления рисками проводится раз в год или реже, и 22% организаций проводят оценку эффективности чаще, чем раз в год.
Здесь опять отличились металлургические компании: четверть из них проводит оценку эффективности управления рисками чаще, чем раз в год. Во всех отраслях большинство опрошенных отметили, что оценка эффективности управления рисками проводится раз в год или реже. Среди организаций с выручкой от 2 до 5 миллиардов долларов США нет организаций, в которых проводилась оценка эффективности управления рисками.
В 2020 году 54% (зафиксировано снижение на 16 процентных пунктов) организаций проводят анализ рисков при внедрении изменений по отдельным проектам. На 12 процентных пунктов увеличилась доля компаний, которые осуществляют анализ рисков при внедрении изменений в обязательном порядке по всем существующим проектам. Практически пятая часть организаций не проводит анализ рисков при внедрении изменений.
Кстати, половина металлургических организаций и треть компаний нефтегазовых и ТМТ секторов проводят анализ рисков в обязательном порядке по всем существенным проектам. Треть нефтегазовых организаций и компаний сектора ТМТ не проводят анализ рисков при внедрении изменений.
В крупных организациях с выручкой от 500 миллионов до 2 миллиардов долларов США 60% проводят анализ рисков в обязательном порядке по всем существенным проектам, а среди компаний с выручкой менее 100 миллионов долларов США лишь 12%.
Тренд 2020 года по качественному составу прошедших обучение и сертификацию по управлению рисками говорит о том, что около половины всех слушателей – не риск-менеджеры, а руководители процессов и топ-менеджеры.
Вместе с тем, доля организаций, которые рассматривают управление рисками как важный элемент и проводят оценку эффективности на периодической основе, в 2020 году упала в два раза. Организаций, не рассматривающих управление рисками как важный элемент, стало меньше (падение на 6%), а доля организаций, которые рассматривают управление рисками как важный элемент, но реализуют непостоянно, существенно выросла (увеличение на 33%).
– К сожалению, агрегированные результаты исследования отношения российских компаний к процессам управления с учетом рисков в 2020 году не только не обрадовали меня, но даже огорчили, хотя в целом не стали такой уж неожиданностью – пока что нам еще тяжело дается данная сфера управления бизнесом, которую я образно определяю как метод «русской рулетки», – отмечает первый заместитель директора Некоммерческого партнерства «Российский институт директоров» Владимир Вербицкий. – А как еще можно интерпретировать цифры исследования в году, когда всевозможные риски просто зашкаливали, сам этот год по последствиям для мировой экономики фактически ставили в один ряд с годами Великой депрессии и Второй мировой войны, а ценность управления рисками упала вдвое? Остается надеяться, что это было краткосрочным эффектом и не станет долгосрочным трендом.
В исследовании уточняется, что 38% опрошенных организаций считают, что управление рисками должно способствовать созданию стоимости, но не ставят такую задачу перед риск-менеджментом. 49% респондентов начали предпринимать шаги в данном направлении, а 13% организаций активно используют инструменты управления рисками для этой цели. Для сравнения: в 2019 году об использовании инструментов управления рисками для создания стоимости преимущественно заявляли многоотраслевые холдинги (75%).
Подготовила Елена ВОСКАНЯН
