Будущие тенденции в управлении рисками, которые нужно использовать уже сегодня

622
Алексей Сидоренко

Если бы риск-менеджеры тратили хотя бы 10% времени, которое сейчас уходит у них на изобретение велосипеда (на поиск способов борьбы с новым риском, внедрение новых международных стандартов), на поиск уже готовых решений в смежных отраслях, польза от управления рисками для бизнеса была бы многократно выше. В этом убежден основатель портала www.risk-academy.ru, руководитель направления международного сотрудничества АНО ДПО «Институт стратегического анализа рисков управленческих решений» (ИСАР), Chief Risk Officer EuroChem Group Алексей Сидоренко. На форуме RISK AWARENESS WEEK 2021 он рассказал о тенденциях в сфере управления рисками.

 

– Одна из моих основных гипотез связана с тем, что большинство проблем, с которыми бьются риск-менеджеры и которые кажутся им уникальными и новыми (кибербезопасность, климат, COVID-19), зачастую уже имеют описанную методологию и подход, просто из смежных областей. Например, ответы на практически любой вопрос методологии риск-менеджмента есть в одной из четырех книг:

– «The Flaw of Averages» (автор – Sam L. Savage);
– «Thinking, Fast and Slow» (автор – Daniel Kahneman; в русском издании «Думай медленно… решай быстро»);
– «Decision Quality» (авторы: Jennifer Meyer, Carl Spetzler, Hannah Winter; в русском издании «Качество решений»);
– «The Failure of Risk Management. Why It’s Broken and How to Fix It» (автор – Douglas Hubbard W.)

Практически всем этим теориям и исследованиям более десяти лет, а некоторые инструменты были доступны со времен Второй мировой войны. Получается, все ответы были у нас на столе, и многие риск-менеджеры давно прочитали эту литературу. Вывод: для того чтобы повысить качество принятия решения, зачастую необязательно изобретать колесо, достаточно просто применять теории, проверенные временем.

Остановлюсь на нескольких важных аспектах.

1. Риск невозможно описать одним словом или одной цифрой.

Риск – это всегда некое вероятностное распределение, имеющее тело, состоящее из ожидаемых последствий, которые могут произойти с большей вероятностью, и хвоста распределения – он содержит катастрофические и маловероятные последствия. Риск – это всегда некое распределение от – «нам ничего не будет, все хорошо» до «страшно, все самое ужасное случилось». Риск – это не одна точка где‑то посередине этого спектра, а весь спектр.

Исходя из этого, любой документ, любая методология, любые требования внешних проверяющих, которые заставляют вас или навязывают вам, что риск можно оценить через ущерб, умноженный на вероятность, чтобы получить какую‑то одну цифру, – это профанация. Риск по своей природе намного сложнее, чем какая‑то сущность, которую можно перемножить друг на друга и получить какой‑то результат. Риск – это всегда бесконечное множество сценариев реализации будущего. Какой сценарий в итоге реализуется, мы не знаем, можем только предположить, что оно, возможно, будет следовать этой некой кривой риска. Поэтому, когда мы говорим о будущем, а любое будущее неопределенно (хотя есть некоторые практически стопроцентно вероятные события, которые могут произойти в будущем), нужно немного больше уважения оказывать этой неопределенности и не пытаться ее «схлопнуть» в одну цифру. Во многих исследованиях говорится о том, что когда мы пытаемся неопределенность «схлопнуть» в одну цифру, получается не просто бесполезно, а опасно. Профессиональные риск-менеджеры так не делают.

2. Задача риск-менеджера – не обогнать мишку, а обогнать вчерашний способ принятия решений.

Эту фундаментальную идею я позаимствовал у Дагласа Хаббарда – автора одной из самых знаменитых книг по риск-менеджменту «The Failure of Risk Management. Why It’s Broken and How to Fix It». В своей книге он рассказывает интересную историю «beat the bear fallacy» («заблуждение про обгон медведя»): два человека отправляются в лес, и первый надевает стандартные ботинки для ходьбы по лесу, а второй – кроссовки. Первый его спрашивает, зачем он надевает кроссовки, ведь лучше надеть специальные ботинки, защищающие лодыжки. Второй отвечает: «Я слышал, что в лесу медведь. Я надеваю кроссовки, чтобы быстрее бегать». Первый ему говорит: «Не будь наивным, от медведя тебе не убежать», а второй отвечает: «Мне не нужно убегать от медведя, мне нужно лишь обогнать тебя», подразумевая, что первый станет едой для медведя и, тем самым, второй спасется.

Это квинтэссенция риск-менеджмента: мы не пытаемся с помощью своих моделей и подходов осознать, оцифровать и предсказать будущее. Наверное, когда‑нибудь у человеческой расы появится способность предсказывать будущее, пока же оно слишком сложное, слишком комплексное, слишком много факторов на него влияют. Мир стохастический – слишком много случайных величин происходит в нашей жизни для того, чтобы мы смогли это выстроить в какую‑то однозначную модель. Так вот, наша задача в риск-менеджменте – не предсказать будущее, а повысить качество вчерашнего инструмента принятия решения. Если вы вчера принимали инвестиционные решения и делали анализ чувствительности, а завтра сделаете сценарный анализ, то уже повысите качество принятия решения, поскольку сценарный анализ – более полезный инструмент, так как он учитывает зависимости между факторами, а не подразу-мевает, что они независимо влияют на решение. Если послезавтра вы замените сценарный анализ на моделирование методом Монте-Карло и сделаете не три сценария, а десять тысяч сценариев и учтете корреляцию между риск-факторами, то снова существенно повысите качество принятия решения.

 

Риск – это всегда бесконечное множество сценариев реализации будущего.

 

Меня часто спрашивают: как оценить маловероятные катастрофические события, как, например, пандемия COVID-19 или авария на Фукусимской АЭС. Некоторые всерьез полагают, что риск-менеджмент бесполезен, поскольку не может предсказать маловероятные катастрофические риски. Это, конечно, нонсенс. Фокус риск-менеджмента, в первую очередь, – это тот доверительный интервал, который принят акционером. Многие компании оценивают риски с доверительным интервалом 90%, это означает, что 5% самых лучших и 5% самых худших сценариев остаются за скобкой анализа рисков. Для принятия большинства решений этого достаточно, так как помимо таких, маловероятных катастрофических событий, которые «сидят» в хвосте распределения рисков, есть «тело» распределения, а именно остальные 150 рисков.

Не переживайте, 5% худших сценариев не остаются забытыми, просто для них другая математика и другие способы управления. Например, у страховщиков есть подходы к оцифровке маловероятных событий, они используют для этого другие распределения.

Что касается риск-менеджеров. Даже если мы пока не научились оцифровывать этот «хвост» и если мы оцифруем «тело» – основную массу рисков, это уже повысит качество принятия решений. Мы так не делаем, но чисто технически могли бы на разные проекты каждый раз добавлять по одному риску, тем самым повышая качество принятия решений, ведь еще вчера этот риск не учитывался, а сегодня уже учитывается. Миссия риск-менеджмента не в том, чтобы создать удивительную всеобъемлющую модель, описывающую вселенную. Мы пытаемся повысить качество решений по сравнению с тем, как эти решения принимались вчера. Например, вчера вы учитывали риск колебания валюты, но не учитывали, что валюта коррелирует с другими рыночными рисками в модели, а сегодня это учли и повысили качество принятия решений.

3. Прогнозы, основанные на средних значениях, в среднем неверны, а сумма рисков не равна риску суммы.

Большинство инструментов, которые бизнес использует для планирования, прогнозирования и принятия решений, фундаментально игнорируют неопределенность. Наша задача в риск-менеджменте – перестать воспринимать риск-менеджмент как какую‑то параллельную самостоятельную задачу. Пока зачастую происходит так: посчитали в компании бизнес-план, а потом пришел специалист по рискам и посчитал риски этого бизнес-плана. Это неправильно. Мы должны начать считать бизнес-планы, NPV проектов, бюджетов или оценку эффективности, лучше с помощью не только тех старых инструментов, которые всегда использовались, но и с помощью новых, позволяющих учитывать эффект неопределенности.

Помните, что прогнозы, основанные на каких‑то точечных, детерминистических значениях, в среднем неверны, а сумма рисков не равна риску суммы. Нельзя просто взять, например, пессимистичный курс, пессимистичную инфляцию, пессимистичные цены на продукты, подставить их в бизнес-план и получить пессимистичный сценарий бизнес-плана. Так не работает. Когда мы начинаем мешать разные риски в один котел, то сложение рисков между собой без учета корреляции между рисками дает существенно неправильный результат.

Допустим, если вы возьмете пессимистичный курс, пессимистичную инфляцию, пессимистичные цены на продукты, подставите все это в бизнес-план и пересчитаете его, ориентируясь на эти пессимистичные прогнозы, то у вас получится пессимистичный результат в части денежного потока, NPV бизнеса или любого другого показателя, и высока вероятность пробития ковенант. Сложение этих трех пессимистичных факторов даст вам нереалистичный, намного более пессимистичный ответ, чем на самом деле, потому что если бы вы взяли эти риски, сложили и замоделировали их с помощью Монте-Карло, то получили бы другой ответ – намного более реалистичный и, соответственно, менее пессимистичный.

Таким образом, сложение рисков и их моделирование, особенно с учетом корреляции, дает совершенно иные результаты. Даже математически нельзя подставить в расчеты три плохие цифры и, получив в результате еще одну плохую цифру, всерьез к ней отнестись. В таком случае бизнес может не делать каких‑то важных проектов, полагая, что риска больше, чем на самом деле.

 

Миссия риск-менеджмента не в том, чтобы создать удивительную всеобъемлющую модель, описывающую вселенную. Мы пытаемся повысить качество решений по сравнению с тем, как эти решения принимались вчера.

 

4. Чаще всего нас интересует не само распределение риска, а эффект рисков на решение или какой‑либо выбор.

За редким исключением рисков, которые обычно как‑то связаны с юридическими, комплаенсными обязательствами, нас интересует не само распределение риска, а эффект этих рисков, обычно совокупный эффект, с учетом корреляции между этими рисками, на какое‑то решение или какой‑то целевой показатель.

Нассим Талеб – американский писатель, трейдер, риск-менеджер обозначает распределение риска X, а функцию риска F (X). Поясню на примере. Нас интересует не то, что убыток от аварии может составить 13 миллионов или что убыток от риска может составить от 5 до 13 миллионов. Это X. Иногда действительно это может быть полезно – мы поймем, сколько денег нужно потратить, чтобы управлять конкретным риском, но это только в 10% случаев. В 90% случаев нас интересует не диапазон стоимости риска, а как эта стоимость повлияет на решение. Допустим, у нас авария стоит от 5 до 13 миллионов, и куда правильнее, важнее и полезнее говорить о том, как это повлияет на сроки проекта или бюджет проекта или подразделения, или на денежный поток и ковенанты всего предприятия с учетом этой аварии.

Пример из практики: когда мы оценивали риски, связанные с экологией, говорили, что этот риск может стоить компаний от Х до У миллионов, а та инвестпрограмма, которая есть в компании, с учетом этих рисков может составить не миллиард, а больше миллиарда за счет дополнительного эффекта от риска.

Посчитать риск – это полбеды, куда важнее и интереснее – посмотреть, что будет с нашим решением или каким‑то выбором с учетом этих рисков. Допустим, менеджмент планирует купить фабрику и смотрит два варианта. Можно просто сказать, что на первой фабрике риска на 50 миллионов, на второй – на 70 миллионов, и можно таким образом их сравнивать. Это Х. Но куда лучше сказать, что стоимость первой фабрики с учетом рисков и эффекта их корреляции в первом случае – такова, во втором – такова. И тогда можно сравнивать две фабрики не через какую‑то искусственную конструкцию, которая называется «стоимость риска», а через стоимость этих фабрик уже с учетом рисков.

5. Любое решение – это выбор между вариантами с разными доходностями и рисками.

Сегодня мы движемся в сторону того, что риск-менеджмент – это не только самостоятельная история, где нужно отчитываться, готовить документы, проводить какие‑то расчеты, это также очень важный инструмент принятия решений. Любое решение – всегда выбор между вариантами. Можно сделать так, можно по‑другому или вообще ничего не делать. В каждом из этих вариантов свой набор рисков и своя ожидаемая доходность с учетом рисков.

Риск-менеджмент – это история про то, чтобы оцифровать рискованность каждой опции и дать менеджменту возможность выбирать что‑то на кривой оптимального выбора, где соотношение доходности и риска для них приемлемо. В бизнесе любое решение – это выбор между доходностью и риском, поэтому зачастую нет правильного решения, нет единственно верного варианта, всегда существует несколько вариантов. Где‑то доходность чуть выше, но и риск чуть выше, где‑то доходность чуть ниже и риск чуть ниже, а выбор – это всегда предмет аппетита к риску конкретного человека, принимающего решение, совета директоров или акционеров. Решение – это всегда выбор какой‑то опции, которая для человека, принимающего решение, содержит какое‑то оптимальное соотношение риска и доходности. Аппетит к риску, как правило, индивидуальный. Кто‑то выберет менее рискованный вариант, а кто‑то более рискованный, при этом оба будут правы, потому что это их личное восприятие риска. Кстати, на то, как человек делает выбор, влияет множество факторов, в том числе погода, настроение, наличие или отсутствие чувства голода.

6. Всем знакомые артефакты риск-менеджмента не просто бесполезны, они делают хуже – добавляют дополнительную ошибку.

На английском это называется model error – когда тот способ, который мы используем для принятия решений, закладывает в наши решения дополнительную ошибку больше, чем если бы мы вообще не использовали никакой инструмент.

Проведено множество исследований, подтверждающих, что карты или матрицы рисков дают худший результат, чем любые элементарные способы экстраполяции. Могу дать ссылку на такое исследование: https://www.researchgate.net/publication/266666768_The_Risk_of_Using_Risk_Matrices.

Рекомендую коллегам – риск-менеджерам использовать инструменты, за которыми стоят эмпирические исследования, показывающие, что результат оценки риска лучше, чем вчерашний.

Поскольку мы пытаемся сделать лучше, чем вчера, использование таких артефактов, как карты и матрицы рисков, в принципе попытка оцифровать риски через какие‑то качественные индикаторы – замечательный пример того, как мы не обгоняем мишку, а все приближаемся к нему, потому что эти артефакты не улучшают оценку рисков по сравнению со вчерашним днем, а ухудшают.

 

Риск-менеджмент – это история про то, чтобы оцифровать рискованность каждой опции и дать менеджменту возможность выбирать что-то на кривой оптимального выбора, где соотношение доходности и риска для них приемлемо.

 

7. Риск – это ограниченный и не бесплатный ресурс, который задает рамки для управления компанией.

То есть нужно определять, сколько риска можно дать каждому подразделению, заводу, – это риск-капитал. Риск-капитал является базисом, чтобы рисками управлять, плюс к этому резервировать на случай, если реализуются непредвиденные риски, это и есть будущее управления бизнесом. Во многих компаниях это уже реализовано. Кстати, в финансовом секторе это стандартная история, которая всегда существовала. Даже регуляторами прописано, что риск – это некий риск-капитал, некий ограниченный ресурс, который не бесплатный и раздается подразделениям; они, в свою очередь, идут и рискуют в рамках своих функций, и, если им недостаточно риска, они его докупают, чтобы рисковать больше.

На мой взгляд, бесспорным будущим риск-менеджмента является crowdsourcing models, crowdsourcing distributions, то есть краудсорсинг распределений, когда нам будет достаточно просто покупать распределения из каких‑то депозитариев. Я до сих пор не понимаю, зачем мне строить свое распределение валютных колебаний, а всем моим коллегам, учитывая, что у всех есть этот риск, нужно строить свои распределения для валютных колебаний. Мне кажется, это нонсенс. Достаточно договориться об общем подходе, загрузить расчеты в облако, автоматизировать, делать регулярно back-текст, чтобы следить, как оно работает. Краудсорсинг распределений – идея будущего.

Также хочу отметить попытку движения риск-менеджеров в сторону того, что риски нужно закладывать в денежные потоки и их нужно учитывать, не просто пытаясь все риски «схлопнуть» в одну ставку дисконтирования, и говорить, что этот проект рискованный, поэтому мы в него верим на 80%. Это не риск-менеджмент. В этом случаев у нас нет ответов на следующие вопросы: какие риски там наиболее важные, как мы ими управляем, что мы учли, а что нет, собираемся ли мы просто резервировать капитал под риски или будем снижать вероятность их наступления, или придется покупать дополнительные страховки. В итоге мы риск не «схлопываем», а «расхлопываем».

Елена ВОСКАНЯН