В 2022 году отраслью с наивысшим уровнем зрелости управления рисками признан энергетический сектор. На втором месте – сектор транспорта и связи, третью строчку заняла отрасль строительства и операции с недвижимостью. К такому выводу пришли аналитики компании «ДРТ» («Деловые решения и технологии»), продолжившие традицию проведения ежегодных исследований уровня зрелости управления рисками в российских нефинансовых организациях, начатую компанией «Делойт» в партнерстве с АНО ДПО «Институт стратегического анализа рисков» и информационным порталом www.risk-academy.ru.
Повышенные требования
Поскольку сбор данных для исследования проводился с начала января до середины февраля 2022 года, некоторые выводы отражают прошлые реалии.
– Несмотря на то что кардинальная смена внешнего контекста организаций происходит не в первый раз, текущую ситуацию сложно сравнивать с предыдущими кризисами или с пандемией COVID-19. Мы понимаем, что новая реальность для компаний – это другие вызовы, неопределенности, риски и потребности в их управлении, – отмечают руководитель Департамента управленческого консультирования АО «ДРТ» Наталья Капризина и руководитель направления международного сотрудничества АНО ДПО «Институт стратегического анализа рисков» и основатель портала www.risk-academy.ru Алексей Сидоренко. – Темпы развития событий сейчас таковы, что горизонт адекватного прогнозирования сократился до месяцев, недель, а иногда и дней.
При наблюдаемом росте неопределенности увеличивается число вызовов, следовательно, меняется роль риск-менеджера.
Тем не менее, по словам экспертов, высокая скорость изменений и слабая предсказуемость внешних факторов не означают отсутствия необходимости в анализе неопределенности и рисков. Напротив, новые реалии выдвигают повышенные требования к риск-менеджменту: он должен стать более оперативным, точным и направленным инструментом для ключевых бизнес-функций.
Исследователи акцентируют внимание на том, что при наблюдаемом росте неопределенности увеличивается число вызовов, следовательно, меняется роль риск-менеджера. В частности, возникает необходимость в переосмыслении критических рисков в связи с геополитическим кризисом и для эффективной поддержки бизнеса в принятии решений с учетом новых рисков. Например, для некоторых компаний на первый план выйдут кредитные риски (изменения в цепочках поставок, продажи на рынках с менее развитыми кредитными оценками), операционные риски (рост аварий из‑за дефицита комплектующих, снижение продуктивности из‑за перенастройки производственных процессов) и риски ликвидности (невозможность проведения платежей, ухудшение рабочего капитала). Менее актуальными могут стать ценовые и валютные риски. Кроме того, риск-менеджер должен активно участвовать в реагировании на кризис и развитии антикризисного управления. Скорость принятия решений – ключевой фактор выживания в кризисное время.
– Оперативное управление в данный период может осуществлять кризисный штаб, в состав которого входит риск-менеджер, – подчеркивают Наталья Капризина и Алексей Сидоренко. – Роль риск-менеджера в этом случае может заключаться как в координации работы штаба, так и в поддержке принятия решений с учетом ключевых факторов риска. Риск-менеджер должен поддерживать адаптацию планов по непрерывности бизнеса к новой реальности, если такие планы существовали в компании, или разрабатывать такие планы по критичным направлениям, если такие планы не были сформированы, а также участвовать в реализации соответствующих мероприятий. Более точный и глубокий риск-менеджмент в условиях быстро меняющихся вводных и высокой загрузки будет реализовываться по большей части не за счет развития современных подходов к количественной оценке рисков, а за счет непрерывного вовлечения бизнес-функций в процесс управления рисками и быстрого тестирования гипотез. В новых реалиях нехватка опыта в управлении рисками и потребность в обучении сотрудников станут более очевидными. Возможно, команды риск-менеджмента станут меньше по размеру, но будут более специализированными. При этом в обозримом будущем используемый инструментарий риск-менеджмента может стать проще из‑за высокой неопределенности, короткого горизонта планирования и изменения приоритетов.
Структура респондентов не сильно изменилась
Аналитики компании «ДРТ» отмечают: с одной стороны, риск-менеджмент стал крайне востребованной функцией – сегодня риск-менеджеры максимально включены в процесс и помогают компаниям реагировать на меняющиеся в режиме нон-стоп риски. С другой, фиксируется высокая степень неопределенности, большинство компаний вынуждены сокращать горизонт планирования. Следовательно, существует необходимость быстрого реагирования и расчета самых разных гипотез.
Согласно результатам опроса, в 2022 году общий уровень зрелости управления рисками в российских компаниях нефинансового сектора составил 0,34 балла из 1 балла. Это самый низкий показатель за пять лет. В 2021 году уровень зрелости был равен 0,51 балла. Даже в 2017 году, когда исследование проводилось впервые, этот показатель достиг отметки 0,41 балла.
Более точный и глубокий риск-менеджмент в условиях быстро меняющихся вводных и высокой загрузки будет реализовываться по большей части не за счет развития современных подходов к количественной оценке рисков, а за счет непрерывного вовлечения бизнес-функций в процесс управления рисками и быстрого тестирования гипотез.
– Первое, что мы сделали, чтобы проанализировать этот статистический факт, посмотрели, какова структура наших респондентов, – комментирует директор Департамента управления рисками компании «ДРТ» Татьяна Будишевская. – В частности, посмотрели структуру респондентов по выручке, но она не сильно поменялась: если в 2021 году доля респондентов с самой маленькой выручкой составляла 32%, то в этом году доля компаний с выручкой до 100 миллионов долларов США достигла 35%. Доля респондентов с самой крупной выручкой – от 5 миллиардов долларов США так и осталась на отметке 17%. Таким образом, сказать, что полученные результаты связаны с глубинным изменением структуры представленных компаний, нельзя.
Изменился и портрет подразделения по управлению рисками: в 2021 году почти ¾, а именно 74% компаний-респондентов имели собственное выделенное подразделение по управлению рисками, а в 2022‑м доля организаций, в которых есть отдельное подразделение, ответственное за сопровождение и методологическую поддержку процессов управления рисками, составила 53%. С 24% до 17% уменьшилась доля организаций, где вопросы управления рисками рассматривает как Комитет по управлению рисками, так и Комитет по аудиту. 52% респондентов отметили, что лицом, которому чаще всего подотчетны подразделения, отвечающие за процессы управления рисками, является генеральный директор. При этом 54% участников опроса подчеркнули, что в их организациях в среднем за процессы управления рисками ответственны три сотрудника. В 24% организаций этим занимаются четыре-шесть сотрудников, в 17% компаний – более десяти сотрудников и в 6% компаний – семь-десять человек.
Насколько высок риск-аппетит?
Один из разделов исследования касается интеграции в процессы стратегического планирования и бюджетирования. Аналитики пришли к выводу, что доля организаций, которые не проводят анализ рисков при бюджетном и стратегическом планировании, все еще высока, 30% и 22% соответственно, при этом абсолютное большинство респондентов не регламентировали анализ рисков при планировании. Кстати, наиболее высокий результат в части интеграции управления рисками в стратегическое и бюджетное планирование отмечен в энергетическом секторе. Противоположные результаты в потребительском секторе, телекоммуникациях и производственном секторе.
Эксперты компании «ДРТ» отмечают: интеграция анализа рисков, в том числе в рамках регламентированного процесса в бюджетное и стратегическое планирование для большинства респондентов – одно из актуальных направлений повышения уровня зрелости управления рисками. Однако порядка 39% респондентов отмечают недостаток компетенций для количественной оценки влияния рисков на бюджет и цели компании, что зачастую становится препятствием для реализации эффективного управления рисками, встроенного в процессы принятия решений, в том числе на этапах планирования.
Доля организаций, которые не проводят анализ рисков при бюджетном и стратегическом планировании, все еще высока, 30% и 22% соответственно.
Отдельного внимания заслуживает аналитика по риск-аппетиту. Так, в рекомендациях Банка России внедрение риск-аппетита необходимо для установления запретов и разрешений по величине риска, единого понимания приемлемых рисков, а также для достижения стратегических и операционных целей за счет контроля риска в пределах допустимых границ. В рамках свежего исследования 33% респондентов подчеркнули, что метрики риск-аппетита определяются/пересматриваются на периодической основе, Совет директоров или топ‑менеджмент получают регулярную отчетность о фактическом статусе превышения метрик риск-аппетита. В 37% организаций метрики риск-аппетита также определяются/пересматриваются на периодической основе, но Совет директоров или топ-менеджмент не получают регулярную отчетность по метрикам. А в 30% компаний метрики риск-аппетита вообще не определяются и не документируются. При этом 66% респондентов признали, что их компании определяют набор качественных и/или количественных метрик риск-аппетита, при этом риск-аппетит не декомпозируется на риск-лимиты операционного уровня. Еще в 32% компаний определяется набор качественных и/или количественных метрик риск-аппетита, риск-аппетит декомпозируется на риск-лимиты операционного уровня. 3% компаний определяют только качественные метрики риск-аппетита.
Анализ рисков как залог успеха
Вместе с тем, аналитики убеждены, что риск-менеджеры должны выступать надежной опорой для принятия решений руководством, особенно в моменты высокой неопределенности. Согласно результатам опроса, 82% респондентов анализируют риски при принятии решений, в частности, за счет использования инструментов анализа рисков, включая количественное моделирование рисков.
О том, что проведение количественного анализа рисков в рамках инвестиционной деятельности является обязательным условием при принятии решений, заявили 60% респондентов. Еще 40% в качестве приоритета для проведения стоимостного анализа рисков назвали бюджетное планирование. 39% опрошенных считают производственную деятельность бизнес‑процессом, где стоимостной анализ рисков необходим в момент принятия решений.
Аналитики фокусируют внимание на том, что причинами проведения стоимостного анализа рисков при инвестиционной деятельности могут выступать сложность реализации инвестиционных проектов в установленных бюджетных и временных рамках, наличие специализированного ПО для анализа проектных рисков или наличие статистических данных для проведения количественной оценки. В этой связи не стоит игнорировать риск-ориентированный подход к бюджетному планированию, поскольку он позволяет повысить точность планирования. При этом стоимостный анализ рисков при производственной деятельности необходим для минимизации неблагоприятных последствий для обеспечения целостности производственного процесса.
Ключевой шаг – мотивация сотрудников
Примечательно, что во многих компаниях (по результатам исследования 2022 года их доля достигла 70%) принятие решений происходит с вовлечением риск‑менеджера. В 30% случаев участие риск-менеджера в коллегиальных органах для принятия решений является обязательным. Только в 31% организаций анализ рисков при принятии решений производится без участия специалиста по рискам.
Согласно результатам исследования, в 13% организаций, представители которых поучаствовали в опросе, целевые показатели для ключевых сотрудников устанавливаются на основании результатов количественного анализа рисков и/или отслеживаются с учетом рисков. В 31% компаний для менеджеров и некоторых сотрудников установлены КПЭ по управлению рисками (участие в выявлении, оценке рисков и управлении ими), а в 56% организаций действующая в компании система КПЭ напрямую не связана с результатами анализа рисков.
Эксперты из компании «ДРТ» отмечают, что ключевым шагом к развитию риск-культуры является мотивация сотрудников к вовлечению в процесс управления рисками. В связи с этим КПЭ по управлению рисками, включенные в индивидуальные планы эффективности сотрудников, будут способствовать восприятию риск-менеджмента как одной из составляющих ежедневной деятельности.
Важный аспект – уровень компетенций специалистов по управлению рисками. Исследователи пришли к выводу, что в 78% компаний-респондентов проводится обучение по управлению рисками. Однако 41% опрошенных признали, что соответствующее обучение проводится только для ключевых сотрудников и 37% отметили наличие такого обучения для всех сотрудников компании.
Кстати, в 2022 году компании стали чаще проводить обучение по управлению рисками для всех сотрудников по сравнению с 2020 годом. Если два года назад этот показатель был на отметке 27%, то в 2022‑м вырос до 37%. В 2020 году 60% респондентов признавали, что компетенции в сфере управления рисками не являются важной составляющей при приеме на работу в организацию, в 2022‑м этот показатель ненамного улучшился – такая же ситуация в 57% компаний.
Взаимодействие в целом налажено
Узнали исследователи и о том, как в организациях происходит взаимодействие подразделений по управлению рисками и внутреннего аудита. В 31% компаний деятельность отдела внутреннего аудита построена на принципах риск-ориентированности, в 48% организаций риск-менеджеры предоставляют информацию в отдел внутреннего аудита. В 21% компаний такое взаимодействие в принципе отсутствует. Наиболее зрелая отрасль в плане подобного взаимодействия – энергетический сектор, наименьшая зрелость наблюдается в производственном секторе, а также среди прочих компаний, к которым относятся многоотраслевые холдинги, компании из сектора консалтинга и науки. Кроме того, фиксируется пропорциональный рост зрелости в зависимости от объема выручки компаний.
Что касается взаимодействия управления рисками с системой внутреннего контроля, в 11% организаций управление рисками слабо связано или совсем не связано с внутренним контролем. В 57% компаний деятельность в сфере внутреннего контроля частично основана на принципах риск-ориентированности, однако в рамках системы внутреннего контроля используются преимущественно качественные методы оценки рисков. В 31% компаний деятельность в данной сфере основана на принципах риск-ориентированности: результаты количественной оценки передаются и используются в рамках системы внутреннего контроля. Часть респондентов разработали регламентированные контрольные процедуры, обеспечивающие обмен информацией между данными подразделениями, в других организациях информирование системы внутреннего контроля осуществляется с помощью ежегодной отчетности.
Зрелость раскрытия информации растет
Задача специалиста по управлению рисками – не только качественно выполнять свою работу, но и доносить информацию относительно рисков до руководства. Оказывается, при оценке рисков 50% респондентов используют качественные методы, 41% – инструменты моделирования и количественные методы, 9% – неформальные и интуитивные методы. При этом 39% участников опроса признались, что в их организациях компетенции в области количественной оценки рисков вообще не развиты или развиты слабо, 46% отметили, что компетенции по количественной оценке рисков развиты в рамках подразделения по управлению рисками. Только в 15% организаций, представители которых участвовали в опросе, компетенции по количественной оценке рисков развиты в рамках подразделения по управлению рисками и других направлений, в числе которых стратегическое планирование, инвестиционный анализ и финансовый контроль.
Проанализировали эксперты «ДРТ» и эффективность управления рисками в российских компаниях нефинансового сектора. Оказывается, в 37% организаций (в 2020 году их было 16%) независимая проверка качества оценки рисков/бэк-тестирование проводится периодически независимыми сотрудниками, например, службами внутреннего аудита или внешними экспертами. В 30% компаний (два года назад их было 46%) такая проверка проводится периодически, например ежегодно, самими риск-менеджерами. В 33% компаний (в 2020‑м их было 38%) независимая проверка качества оценки рисков вообще не проводится.
Эксперты констатируют: большинство опрошенных указали, что информация об интегрированном управлении рисками включена в ключевую внешнюю отчетность, в то время как 33% респондентов сочли, что информация об управлении рисками в компании раскрывается в минимальном размере. Лишь среди 13% опрошенных компаний управление рисками не отражается в отчетности организации. Наиболее зрелыми секторами в плане представления информации об управлении рисками в отчетности являются энергетический сектор, а также транспорт и связь, наименее зрелые – производственный, потребительский и телекоммуникационный секторы. Примечательно, что зрелость раскрытия информации о рисках растет пропорционально выручке.
Недостаток компетенций и низкая заинтересованность
Что касается перспектив развития управления рисками. Среди основных факторов, препятствующих эффективному управлению рисками в организациях, лидируют отсутствие компетенций, необходимых для количественной оценки влияния рисков на цели и бюджет компании (39% респондентов), низкий уровень культуры управления рисками (32%), низкая заинтересованность руководства компании в анализе рисков и системном управлении рисками (24%). Кроме того, респонденты отметили такие препятствия, как превалирование качественной/экспертной оценки над количественной, низкую вовлеченность сотрудников компании; нежелание указывать актуальную (высокую) оценку риска; отсутствие накопления данных по реализации рисков и инцидентов.
Ключевыми направлениями дальнейшего развития управления рисками в организациях, по мнению участников опроса, могут стать: развитие культуры управления рисками (54%), развитие ИТ-системы и автоматизации процессов (23%), обучение сотрудников управлению рисками (18%), интеграция управления рисками в процесс стратегического планирования (18%). Также были отмечены следующие направления: развитие процесса управления рисками непрерывности деятельности, валидация полноты выявленных рисков, развитие системы управления ESG‑рисками, интеграция управления рисками в ключевые бизнес-процессы, такие как закупка, логистика, коммерция.
Подготовила Елена ВОСКАНЯН
