Анализ существующих систем управления рисками в финансовых и нефинансовых организациях

Введение

Целостный подход к управлению рисками, предполагающий тесное взаимодействие со стратегией, целями организации и проникновение на все уровни организации, способствует повышению безопасности, росту конкурентоспособности, увеличению стоимости и проч. Целями настоящего исследования являются анализ существующих систем управления рисками в организациях различных секторов, который включает в себя теоретические (определение и сравнение терминов «риск», «система управления рисками», характеристика основных стандартов в области риск-менеджмента) и практические (сравнение СУР в финансовых и нефинансовых организациях) аспекты, а также выявление у банков как у основных финансовых организаций с наиболее развернутой системой управления рисками слабой ниши в системе управления рисками собственных бизнес-процессов и предложение пути нивелирования этих рисков. В рамках данной работы авторами были использованы теоретические и эмпирические методы исследования – сбор и анализ литературы, сравнение, анализ, систематизация, индукция, измерение. Авторы пришли к следующим основным результатам: во-первых, существующая многогранность понятий свидетельствует об отсутствии единого подхода к определению риск-менеджмента, что затрудняет его внедрение и развитие на практике; во-вторых, уровень развития СУР в компаниях различных отраслей существенно отличается. Научная новизна заключается в представлении авторского определения понятия «ESG-риск», а также выявлении направления модернизации системы управления рисками бизнес-процессов коммерческих банков в условиях формирования экосистем.

Теоретические аспекты управления рисками

Теоретиками и практиками в области риск-менеджмента отмечается, что общепринятых концептуально полных классификации и теории рисков не существует, хотя целенаправленная работа в этом направлении ведется с конца 1950-х гг. Трудности этой работы связаны с многомерностью и многоаспектностью феноменов, которые принято называть рисками [7, с.5]. Авторами настоящей работы собраны и проанализированы дефиниции термина «риск», которые приведены в зарубежных и отечественных источниках (Таблица 1).

Таблица 1. Определения термина «риск»

Анализ этих определений позволяет сделать следующие выводы:

1. Вероятность против последствий. В то время как некоторые определения риска сосредоточены только на вероятности возникновения события, другие определения являются более всеобъемлющими, включая как вероятность проявления риска, так и последствия события.

2. Риск и угроза. Некоторые специалисты ставят знак равенства между риском и угрозой. Однако стоит отметить, что угроза – это событие с малой вероятностью проявления, но с высокими негативными последствиями, поскольку вероятность проявления в этих случаях трудно оценить. Риск — это событие с более высокой вероятностью возникновения, для которого имеется достаточно информации, чтобы оценить вероятность и последствия.

3. Сравнение только отрицательных результатов. Одни концепции риска ориентированы только на негативные события, другие учитывают все переменные, как угрозы, так и возможности.

В разных дисциплинах термин «риск» определяется по-разному. Специалисты по охране труда и технике безопасности используют определение риска как сочетания вероятности и величины, но этого может быть недостаточно для более общих целей управления рисками.

Риск в организационном контексте обычно определяется как все, что может повлиять на достижение корпоративных целей.

Общепризнано, что лучше всего определять риск, сосредоточив внимание на рисках как на событиях, как в определении риска, представленном в ISO 31000, и в определении, данном Институтом внутренних аудиторов. Чтобы риск материализовался, должно произойти событие. Вероятно, процесс управления рисками станет более ясным, если основное внимание будет уделяться событиям [1, с.12].

Вопросам управления рисками уделяется все большее внимание в силу высокой и нарастающей в геометрической прогрессии степени неопределенности вследствие ряда причин – изменение климата (глобальное потепление, углубление углеродного следа), развитие новых штаммов коронавируса, рост кибератак вследствие колоссального развития цифровых технологий и проч.

Согласно опросу, проведенному среди экспертов по управлению рисками в конце 2021 г., киберинциденты будут основным риском для бизнеса во всем мире в 2022 г. – их указали 44% опрошенных. Доля респондентов, обеспокоенных вспышкой пандемии, упала до 22% в 2022 г. по сравнению с 40% в опросе 2021 г. Меньше всего опрошенных беспокоит риски, связанные с управлением качеством, воровством, отключением критически важной инфраструктуры [2].

Эффективное управление рисками, являющееся первостепенной задачей для многих организаций сегодня, приносит много преимуществ. Менеджмент риска, предполагающий скоординированные действия по руководству и управлению организацией в области риска, является итеративным процессом и помогает организациям в определении стратегии, достижении целей и принятии обоснованных решений. Он способствует совершенствованию системы управления организацией, повышает осведомленность стейкхолдеров о возможностях и угрозах организации, увеличивает операционную эффективность за счет более последовательного применения процессов управления и контроля, способствует росту безопасности для сотрудников и клиентов, является одним из конкурентных преимуществ организации и может способствовать росту стоимости бизнеса.

Менеджмент риска является частью корпоративного управления организации и имеет фундаментальное значение для управления на всех уровнях. Для более эффективного менеджмента в данной области разрабатываются комплексные системы управления рисками, включающие в себя множество взаимосвязанных компонентов (Таблица 2).

Таблица 2. Определение термина «система управления рисками»

Определение СУР, представленное в Рекомендациях ЦБ РФ, является достаточно общим и в большей степени сконцентрировано на том, что обеспечивает, чему способствует внедрение такой системы. По мнению авторов, наиболее точным являются дефиниции НРД и PwC, поскольку они включают в себя ключевые элементы процесса управления рисками.

Основные стандарты в области построения СУР

По мере того, как за последние два десятилетия правительственные и отраслевые правила соблюдения требований расширились, регулирующие органы и советы директоров также усилили контроль над методами управления корпоративными рисками, что сделало анализ рисков, внутренние аудиты, оценки рисков и другие функции управления рисками основным компонентом бизнес-стратегии. Для эффективной взаимосвязи всех элементов СУР были сформированы тщательно проработанные и постоянно развивающиеся структуры в области управления рисками. К наиболее известным из них относятся [3;4]:

1. Фреймворк COSO ERM определяет ключевые концепции и принципы управления корпоративными рисками (ERM – Enterprise Risk Management), предлагает общий терминологический язык ERM и дает четкие указания по управлению рисками в виде набора из 20 принципов, объединенных в 5 взаимосвязанных компонентов (управление и культура, стратегия и постановка целей, представление рисков, обзор и пересмотр, информация, коммуникация и отчетность). В обновленной версии COSO 2017 г. подчеркивается важность внедрения рисков в бизнес-стратегии и увязывания рисков с операционными показателями;

2. Стандарт ISO 31000:2019 включает в себя список принципов ERM, структуру, помогающую организациям применять механизмы управления рисками к операциям, а также процесс выявления, оценки, приоритизации и снижения рисков. Он включает больше стратегических указаний по ERM, чем первоначальный вариант. Новый стандарт также подчеркивает важную роль высшего руководства в управлении рисками и интеграции управления рисками во всей организации;

3. Британский стандарт BS 31100:2021 обеспечивает процесс реализации концепций, описанных в ISO 31000, включая такие функции, как идентификация, оценка, реагирование, отчетность и обзор;

4. Модель зрелости риска (RMM - Risk Maturity Model) описывает ключевые индикаторы и действия, которые составляют устойчивую, воспроизводимую и зрелую программу управления рисками предприятия (ERM). Модель определяет 7 ключевых атрибутов эффективного управления рисками предприятия - внедрение процесса на основе ERM, управление ERM-процессами, управление аппетитом к риску, дисциплина первопричин, выявление рисков, управление производительностью, ограниченность и устойчивость бизнеса.

С практической точки зрения многие эксперты отмечают, что построение системы управления рисками, ее содержание значительно отличаются в нефинансовых и финансовых секторах [4].

Существующие СУР в банковской сфере

Банки и страховые компании, например, уже давно имеют крупные отделы рисков, которые обычно возглавляет директор по рискам - должность, которая все еще относительно редка за пределами финансовой индустрии. Более того, риски, с которыми сталкиваются компании, предоставляющие финансовые услуги, как правило, коренятся в цифрах и поэтому могут быть количественно определены и эффективно проанализированы с использованием известных технологий и устоявшихся методов. Сценарии рисков в финансовых компаниях могут быть смоделированы с некоторой точностью.

Деятельность коммерческого банка как основной финансовой организации сопряжена с определенными рисками, влияние на которые оказывают связанные с процессом глобализации современные тенденции социально-экономического развития. Ключевыми из них являются цифровизация как следствие перехода на новый технологический уклад, именуемый как «Индустрия 4.0», эпидемиологическая ситуация, вызванная появлением и распространением вируса Covid-19, ESG-повестка как тренд на высокую социальную ответственность банков, их ответственность по отношению к окружающей среде и высокое качество корпоративного управления; геополотическая обстановка.

Все это приводит к усилению ряда рисков, присущих коммерческим банкам, изменению списка ключевых за счет повышения важности одних и снижения на основе этого других, а также появления новых (например, ESG-рисков). В связи с этим возникает необходимость пересмотра действующих систем управления бизнес-процессами банка, их модернизации с учетом смены приоритетности выбора.

Коммерческий банк в рамках осуществления своей деятельности подвержен, в целом, набору следующих рисков, которые условно можно разделить на 2 большие группы: «нефинансовые» и «финансовые».

К первой группе относятся такие риски, как стратегический, природно-естественный, репутационный, операционный риск и прочие риски [5, с.11].

Особое внимание в силу активного распространения политики устойчивого развития в нынешних реалиях выделяется ESG-рискам [12, с.187], под которым предлагаем понимать возможность появления для банка негативных последствий в результате несоблюдения постулатов концепции устойчивого развития и ответственного финансирования им и взаимодействующими с банком сторонами.

Вторая группа – финансовая – включает в себя следующие виды рисков: кредитный, рыночный, процентный, валютный, риск ликвидности, потери платежеспособности и финансовой устойчивости и др. [15, с.259]; [17, с.31]; [16, c. 156-157]; [9, c. 465], [11, c.314].

Система управления рисками бизнес-процессов исследуемых банков, в целом, схожа, и может быть представлена следующим образом (рисунок 1): планирование и контроль рисков распределен между Наблюдательным советом, Правлением и службами управления рисками (модель «трех линий защиты»).

Высшим органом управления рисками бизнес-процессов банка обычно является Наблюдательный совет. Он утверждает общую Стратегию управления рисками и капиталом банка, устанавливает аппетит к риску и целевые уровни риска, оценивает эффективность системы управления рисками, утверждает сценарии стресс-тестирования, рассматривает отчеты по рискам.

Стратегия управления рисками и капиталом банка регламентирует систему управления рисками. В ней, как правило, содержится информация о целях и задачах управления рисками и капиталом, указываются объекты такого управления, его принципы, перечисляются основные участники системы управления рисками и капиталом банка, рассматривается организация этой системы.

Установление аппетита к риску предполагает ограничение подверженности риску за счет определения лимита совокупного значения системы показателей, характеризующих уровень риска банка.

Рисунок 1 – Модель «трех линий защиты» от рисков бизнес-процессов в банках (составлено автором)

При Наблюдательном совете в целях выполнения поставленных перед ним задач созданы комитеты.

В функции Правления в рамках управления рисками входит общее управление капиталом банка и рисками, регулярное отслеживание уровня текущих рисков, их соответствия принятому аппетиту к риску. При Правлении так же созданы и функционируют комитеты.

Службы управления рисками осуществляет функции непосредственного управления рисками банка, предполагающего, в основном, осуществление следующей последовательности действий: идентификация рисков, их оценка, мониторинг, контроль их объема, концентрации, структуры; выработка мер по снижению и оптимизации риска, ведение регулярной отчетности о его состоянии. Идентификация рисков и оценка их существенности проводится службами на ежегодной основе. Вместе с тем, при появлении новых факторов, способных оказать влияние на изменение состояния уровня рисков, появление их новых видов, а также усилении действия существующих возможно проведение внеплановой идентификации и оценки существенности рисков.

В современных условиях ключевыми факторами воздействия на протекающие в банке бизнес-процессы выступают непрекращающийся процесс цифровизации, эпидемическая ситуация в стране и мире, стоящая перед миром, странами и организациями ESG-повестка и ухудшение геополитической обстановки в связи с военными действиями России на Украине. Очевидно, идентификация и оценка рисков необходима. Вместе с тем, требует пересмотра и сама система управления рисками бизнес-процессов, ибо она являет собой инструмент и механизм их нивелирования, то есть базирующейся на них в качестве ее основы.

Поступательное развитие банков в настоящее время показывает их движение в сторону создания экосистем (либо вхождения в них). Касается это, в основном, крупных коммерческих банков, которые исчерпали по большей части возможность своего развития за счет традиционных для банка видов деятельности. То есть речь идет о попытке выйти на новые рынки, на которых у банка пока недостаточно опыта для эффективного управления своей деятельностью в этой части. В связи с этим встает вопрос о возможности применения действующей системы управления рисками бизнес-процессов, ведь как можно эффективно управлять тем, что не полностью находится в зоне твоей ответственности и в чем у тебя пока недостаточно опыта?

Модель «трех линий защиты» при таком варианте развития банка представляется неполной и должна представлять собой модель уже «четырех линий защиты» (рисунок 2), ведь недостаточно курировать бизнес-процесс лишь на уровне банка, который отныне при экосистеме рассматривается как часть этой системы.

Рисунок 2 – Модель «четырех линий защиты» от рисков бизнес-процессов в банках (составлено авторами)

Однако и для любого другого участника экосистемы недопустимо ограничение управления только в рамках самой организации. Вместе с тем, добавление еще одного уровня защиты от рисков не должно идти по каждой организации отдельно. Скорее речь идет о необходимости создания общего органа управления, находящегося над уровнем каждой входящей в экосистему организации, который оценивал бы как риски самой экосистемы, так и риски каждой входящей в нее организации. Несмотря на превалирующее положение эффективности работы экосистемы над эффективностью входящих в нее участников, актуальная информация по присущим каждому участнику рисков должна доноситься до них так же ежегодно, а при необходимости и чаще. На основе этой информации уже каждая организация, входящая в экосистему, должна принимать решение о целесообразности своего дальнейшего участия в экосистеме и позиционирования в рамках нахождения в ней.

СУР в нефинансовых отраслях

В нефинансовых отраслях риск, как правило, характеризуется зачастую как более качественный, поэтому сложнее поддается управлению, что увеличивает потребность в продуманном, тщательном и последовательном подходе к управлению рисками. Учитывая широкий спектр сегментов нефинансовых организаций, далее приведены основные выводы по всему российскому нефинансовому сектору с указанием отдельных, наиболее выделяющихся позиций по отраслям.

На ежегодной основе Deloitte совместно с партнерами проводит исследование, посвященное оценке уровня зрелости управления рисками в российских нефинансовых организациях (представители телекоммуникаций, нефти и газа, металлургической промышленности, производственного и потребительского секторов). Ключевыми выводами исследования по итогам 2020 г. стали следующие результаты [13]:

- в 2019-2020 гг. несущественно (с 75% до 76%) выросла доля организаций, в которых есть обособленное подразделение, занимающееся процессом управления рисками. Все (100%) опрошенные металлургические компании заявляют, что в их организации функции по управлению рисками осуществляет отдельное подразделение. Все представители нефтегазовой промышленности указали, что данной функцией занимаются смежные подразделения. Положительным моментом является факт того, что не было компаний, которые бы отметили, что данная функция в организации не реализована. Комитеты сформированы лишь у 24% опрошенных;

- на 3 п.п. (с 73% до 70%) сократилось количество организаций, в которых вопросами рисков занимаются 1-3 чел. Среднее количество сотрудников, занимающихся вопросами риск-менеджмента, отражается на уровне 3-4 чел. (2019-2020 гг.). В 50% организаций металлургической промышленности отметили, что данным вопросом занимаются более 5 чел. Чаще всего риск-подразделения подотчетны генеральному или финансовому директору;

- чуть более половины опрошенных (52% в 2019 г и 54% в 2020 г.) сформировали подразделение по управлению рисками 1-5 лет назад. Средний период существования отдельного риск-подразделения – 3-4 года. Лидерами по продолжительности существования подобного подразделения являются телекоммуникационные компании – более 60% отметили, что такое риск-подразделение создано более 5 лет назад;

- к ключевым проблемам повышения уровня зрелости риск-менеджмента респонденты отнесли отвлекающий характер процесса (54%), отсутствие регламентированных процессов (38%), разрозненность и неполнота данных (35%). К соответствующим перспективам относят развитие риск-культуры (65%), внедрение СУР в процесс постановки корпоративных целей, принятия инвестиционных решений и KPI (60%), внедрение механизмов количественной оценки рисков (57%);

- лишь четверть опрошенных (23%) имеет утвержденную Политику по управлению рисками;

- полный анализ рисков при годовом планировании проводит лишь 21% компаний. 46% проводят данный анализ при принятии важных решений;

- 65% организаций знакомы с изменениями ISO 31000, COSO ERM, 59% провели актуализацию методологий в соответствии с ними. Наибольшая доля неосведомленных наблюдается в производственном и телекоммуникационном секторах;

- практически в два раза (с 27% до 50%) выросла доля компаний, внедривших информацию о СУР во внутреннюю отчетность;

- 22% в 2020 г. (против 29% в 2019 г.) отметили, что анализ рисков не влияет на планы и бюджеты;

- в 38% организаций установлены риск-KPI менеджеров и ответственных сотрудников (20% в 2019 г.);

- 24% опрошенных привлекают риск-менеджеров к принятию важных решений (17% в 2019 г.);

- существенно выросла доля организаций (с 27% до 41%), занимающихся обсуждением риск-вопросов чаще, чем 1 раз в 3 мес.;

- в 38% компаний независимая проверка качества оценки рисков не проводится (54% в 2019 г.);

- общий уровень зрелости управления рисками по итогам 2020 г. оценивается экспертами на уровне 0,51 (0,45 – по итогам 2019 г., 0,54 – 2018 г., 0,41 – 2017 г.). В разрезе нефинансовых отраслей наиболее развитым с точки зрения эффективного риск-менеджмента являются предприятия металлургической (0,74) и нефтегазовой (0,63) промышленности; в «аутсайдерах» – производственный сектор (0,41).

Заключение

Таким образом, как процессы управления рисками, так и уровень зрелости, могут значительно отличаться даже внутри одного сектора. В среднем 68% организаций выявляют и оценивают риски, управление которыми не регламентировано законодательством: данная процедура осуществляется на регулярной основе и внедрена в бизнес-процессы (перечень рисков и их оценка обновляются каждый год).

В случае финансовых организаций, к примеру, появился новый риск – ESG-риск, под которым предлагаем понимать возможность появления для банка негативных последствий в результате несоблюдения постулатов концепции устойчивого развития и ответственного финансирования им и взаимодействующими с банком сторонами. Выявление новых рисков может свидетельствовать о том, что организации заинтересованы в построении эффективной системы риск-менеджмента не только для соблюдения законодательных требований, но и для увеличения стоимости компаний и прочих преимуществ. Необходимо преодоление барьеров и проблем, которые затрудняют внедрение и развитие эффективных систем управления рисками. Для этого стоит более внимательно и детально рассматривать стандарты и имеющиеся успешные практики управления рисками, разрабатывать собственные методологии в соответствии с особенностями бизнеса и проч. Составленная авторами модель управления рисками банка в виде «четырех линий защиты» является примером совершенствования подобных методологий.