Building and developing a culture of risk management

Введение. Для всех компаний, даже в очень благоприятных условиях экономики, всегда остается возможность наступления переломных моментов. Такая возможность сопряжена с риском. Риск характерен для всех сфер человеческой деятельности, что связано с большим количеством факторов и кризисных условий, воздействующих на благоприятный исход принимаемых решений.

Понятие «риск» имеет множество определений, однако все они говорят о возникновении неблагоприятных событий или отрицательных последствий при принятии и воплощении каких-либо решений.

В научной литературе выделено огромное количество видов рисков, которые напрямую влияют на деятельность организации – это и производственные, и финансовые, и инвестиционные, и рыночные, и институциональные, и экологические. Стоит отметить, что это далеко неполный список рисков, с которыми приходиться сталкиваться компаниям.

Организационные риски – это риски, которые связаны с выбором и оценкой необходимости реализации определенного варианта структурных изменений. К ним относятся, например, социальная напряженность, жалобы и претензии работников, неэффективное управление процессами компании, недостижение целевых показателей по направлениям деятельности, отсутствие экономического эффекта от организационных изменений и т.д.

Представляет интерес, следующее определения риска - деятельность по преодолению неопределенности в обстоятельствах неотвратимости выбора, когда имеется возможность всесторонне оценить возможность достижения либо предполагаемой цели, либо отклонения от нее, неудачи [1, С. 51].

Стоит отметить, что организационные риски обладают некоторыми отличительными характеристиками:

1) любые организационные изменения связаны с риском;

2) риски никогда не равны 0, что обусловлено объективно существующей неопределенностью внутренней (отсутствие мониторинга эффективности процессов, несбалансированное распределение функций, полномочий и ответственности организационных единиц, неэффективная оптимизация штатной численности, несвоевременное или некорректное формирование организационных документов, отсутствие системной оценки эффективности организационной структуры и т.д.) и внешней среды (правительственные инициативы, изменение законодательства, изменение условий взаимодействия с клиентами/поставщиками, технологические изменения и т.д.);

3) причин возникновения организационных рисков огромное количество, поскольку, прежде всего, отличаются подразделения, в которых проводятся изменения, а также разнообразна степень влияние факторов внешней и внутренней среды на деятельность компании в целом;

4) риски складываются из рисков результата изменений и рисков от их непроведения;

5) организационные риски оценить крайне сложно из-за отсутствия возможности проведения бенчмаркинга, в связи с тем, что подразделения, в которых проводятся изменения, каждый раз различны, а также влияние внутренних и внешних факторов с течением времени постоянно варьируется. Итак, организационные изменения даже при стабильном функционировании системы компании происходят постоянно под воздействием как внешних, так и внутренних факторов.

Культура управления рисками оказывает влияние на принимаемые руководством и работниками решения, даже если не проводится оправданный анализ возможных рисков и потенциальных выгод. В целом культуру управления рисками можно охарактеризовать как существующую в организации систему ценностей и способов поведения, которая определяет суть и форму решений, принимаемых в области управления рисками [2].

Культура риска - это термин, описывающий ценности, убеждения, знания, отношение и понимание риска, разделяемые группой людей с общей целью. Это относится ко всем организациям, включая частные компании, государственные органы, правительства и некоммерческие организации.

Наличие культуры, учитывающей риски, означает, что все понимает подход организации к риску, берет на себя личную ответственность за управление рисками во всем, что они и поощряет других следовать их примеру. Символы организации, системы управления и поведенческие нормы поведения должны быть согласованы, чтобы побуждать людей принимать правильные решения, связанные с риском, и демонстрировать соответствующее поведения, связанного с управлением рисками.

Первым шагом является понимание существующей культуры риска и оценка того, насколько хорошо она поддерживает стратегию организации в отношении рисков и подход к управлению рисками.

Цель данного исследования – оценить, насколько в компании ОАО «РЖД» развита культура управления рисками и какие направления управления организационными рисками нуждаются в развитии.

Научная гипотеза исследования – формирование и развитие управления культурой риска должно являться частью интегрированного управления рисками.

Методология исследования. Для оценки культуры управления рисками был проведен опрос в виде анкетирования 50 работников компании ОАО «РЖД», занимающих руководящие посты, такие как начальник отдела, сектора, службы, а также их заместители. Данная выбора является обоснованной, так как данные руководители имеют непосредственное отношение к управлению рисками в своих подразделениях. Опрос проводился в период с 01 по 15 декабря 2022 года.

Обзор литературы. Согласно данным Комитета спонсорских организаций Комиссии Тредуэя (COSO), "культура риска относится к этическим ценностям, желаемому поведению и пониманию риска в организации" [3]. Насколько рискуют люди в организации при выполнении своих обязанностей? Стремится ли организация или подгруппы внутри нее к риску или относится к нему негативно? Когда, как и кому следует сообщать о рисках? Наказываются ли люди за информирование о рисках? Вознаграждаются или наказываются ли люди, которые разумно идут на риск, но в итоге терпят неудачу? Ответы на эти вопросы составляют основу культуры риска организации. Ответы и поведение старших руководителей, руководителей среднего звена и передового персонала на вышеуказанные вопросы гораздо лучше показывают культуру риска, чем любое количество политик и меморандумов. Культура риска влияет на такие решения, как постановка стратегических целей, аппетиты к риску (сколько рисков необходимо принять для достижения целей) и готовность соответствовать нормативным требованиям [4]. Оценка культуры риска позволит получить представление о мышлении лиц, принимающих решения, до принятия этих важных решений.

Выделяют следующие ключевые характеристики культуры, учитывающей риски [5]:

1. Общность целей, ценностей и этики. Индивидуальные интересы, ценности и этические нормы людей согласованы с интересами, ценностями и этическими нормами стратегией организации, ее склонностью к риску, толерантностью и подходом.

2. Всеобщее принятие и применение. Риск учитывается во всех видах деятельности, от стратегического планирования до повседневной работы, в каждой части организации.

3. Обучающаяся организация. Коллективная способность организации более эффективно управлять рисками постоянно совершенствуется.

4. Своевременные, прозрачные и честные коммуникации. Людям удобно открыто и честно говорить о рисках, используя общей терминологии рисков, которая способствует общему пониманию.

5. Понимание ценности эффективного управления рисками. Люди понимают и с энтузиазмом формулируют ценность, которую эффективное управление рисками приносит организации.

6. Ответственность - индивидуальная и коллективная. Люди берут на себя личную ответственность за управление рисками и активно стремятся привлечь других.

На рис. 1 в упрощенном виде показан сложный и взаимосвязанный набор отношений к различным влияниям на культуру риска, разработанный Институтом риск-менеджмента.

Рисунок 1. Структура культуры риска [6]

Культура управления рисками относится к общим нормам и ценностям, связанным с определением, управлением и оценкой рисков в организации. Кроме того, культура управления рисками является вопросом всей организации [7, С. 117-131] и должна быть разработана в соответствии с отношением к рискам и поведением, определенным стратегически для достижения корпоративных целей. Кроме того, компаниям необходимо внедрить аналитические и статистические инструменты для оценки рисков, а также ознакомить сотрудников с общим языком и тоном поведения при выявлении и управлении рисками. Чтобы определить определенные установки и модели поведения, связанные с рисками, и внедрить культуру управления рисками во всей компании, культура управления рисками должна найти свое место в стратегическом планировании.

Надо отметить, что восприятие значимости того или иного уровня риска для конкретного предприятия носит индивидуальный характер, и при выборе антирисковых мероприятий исполнитель (рядовой сотрудник предприятия) может признать достигнутый уровень приемлемым, тогда как для руководства предприятия, совета директоров или риск-менеджера в соответствии с действующими на предприятии нормами и сложившимися традициями этот же уровень риска следовало бы отнести к критическим [8, С.88].

Для проведения мониторинга эффективности организационной структуры необходимо учитывать установленные параметры достижения целевых показателей, которые бывают количественными (например, KPI, финансовые цели компании, объем выпуска продукции, метрики процессов и т.д.) и качественными (например, соблюдение законодательства, в т.ч. комплаенс, реализация стратегии развития, достижение поставленных целей и задач и т.д.). Стоит отметить, что грамотно выстроенная система мониторинга эффективности организационной структуры организации напрямую влияет на финансовые показатели, рост производительности и высокий уровень конкурентоспособности.

Отметим, что важной составляющей минимизации организационных рисков является оценка предлагаемых изменений, которая проводится с целью выбора наиболее рационального и наименее затратного из предложенных вариантов преобразований.

Для этого компаниям рекомендуется тщательно прорабатывать материалы по изменению организационной структуры с применением элементов организационного дизайна, таких как процессное управление, нормирование труда, показатели эффективности организационной структуры и другие. Кроме того, эффективность предлагаемых изменений следует подтверждать расчетами технологического, экономического, организационного, социального и других эффектов.

Однако в данном случае нельзя забывать, прежде всего, о причинах, повлекших необходимость тех или иных изменений, в т.ч. с учетом возникновения рисков в будущем. Т.е. при проведении оценки необходимо учитывать влияние временного фактора, поскольку в будущем это может стать причиной дополнительных расходов.

Для получения более точной информации о текущем положении дел и тенденциях в организации, исследования необходимо проводить ежеквартально, что особенно полезно в периоды перемен. Результаты таких исследований указывают на сильные и слабые стороны культуры организации.

продолжительный процесс [9, С.271].

Именно поэтому руководителям важно интегрировать в процессы компании риск-менеджмент или управление рисками, который направлен на определение перспектив и выявление возможностей для совершенствования деятельности в целом, а также на недопущение или снижение вероятности нежелательного исхода событий и является важной частью управления компанией и представляет собой непрерывный процесс, осуществляемый на всех уровнях управления и охватывающий все виды деятельности компании, бизнес-процессы, проекты и программы.

Исходя из потребности построения эффективности управления рисками внутри каждого субъекта бизнеса вполне логично, что особое внимание должно уделяться именно методике оценки риском. Однако анализ нормативной, справочной и научно-исследовательской литературы по исследуемой проблематике свидетельствует об обратной тенденции [10, С.9].

Главная задача риск-менеджмента – это работа на опережение, т.е. необходимо заранее выявить и рассчитать вероятность наступления риска, это требует четкого распределения ответственности и полномочий для принятия управленческих решений.

Для этого привлекаются работники, обладающие достаточными знаниями, опытом и компетенциями в рассматриваемом направлении деятельности. В связи с важностью риск-менеджмента для существования компании для управления рисками создаются специализированные подразделения или формируются рабочие группы.

В современных условиях целесообразно рассматривать систему управления рисками с учетом процессов цифровой трансформации экономических процессов в деятельности бизнес – структур [11, С. 56].

С целью эффективной организации процесса риск-менеджмента компания должна определять и регулярно пересматривать риск-аппетит, т.е. уровень риска, на который готова пойти компания для достижения своих целей. Допустимый уровень риска, устанавливается для каждого риска на основе риска-аппетита, превышение допустимого уровня или приближение к нему может привести к превышению его порогового значения. Процесс риск-менеджмента представлен на рисунке 2.

Рисунок 2. Процесс риск-менеджмента

Источник: составлено авторами.

Управление рисками организации происходит не как линейный процесс, где один компонент воздействует на другой, а является многонаправленным и имеет циклический характер [12, С. 2871-2886].

Идентификация рисков подразумевает:

- выявление и анализ целей компании, бизнес-процесса, проекта;

- выявление и описание рисков по отношению к целям компании, бизнес-процесса, проекта;

- определение и описание риск-факторов (или вероятность риска), возможных последствий от реализации риска;

- определение владельцев рисков, т.е. руководителя, отвечающего за эффективное управление определенным риском и его мониторинг;

- классификация рисков.

На этапе анализа и оценки рисков проводится:

- определение текущего уровня каждого выявленного риска: определение величины влияния выявленных рисков на цели и вероятности их реализации;

- определение итоговой оценки текущего риска каждого выявленного риска на основании величины влияния и вероятности реализации;

- ранжирование рисков на основании итоговой оценки;

- определение и описание ключевых индикаторов риска.

При анализе рисков используется качественный или количественный подходы. Качественный метод – это проведение качественной оценки рисков на основе заданных количественных диапазонов и качественных характеристик. Количественный метод проводится на основе расчета количественных показателей, сформированных с учетом статистических данных и прогнозных значений. Классификация видов анализа рисков представлены на рисунке 3.

Рисунок 3. Классификация видов анализа рисков

Источник: составлено авторами.

Воздействие на выявленные риски включает в себя:

- анализ текущего уровня риска с точки зрения его приемлемости и необходимости воздействия на риск, в том числе контрольных процедур;

- анализ возможности воздействия на риск и эффективности существующих мероприятий;

- определение методов и мероприятий по воздействию на риск, в том числе контрольных процедур и анализ затрат, необходимых на их выполнение;

- прогнозная оценка остаточного риска, то есть прогнозного уровня риска после реализации мероприятий по воздействию на риск, в том числе контрольных процедур;

- определение ответственных исполнителей за выполнение мероприятий по воздействию на риск, в том числе контрольных процедур;

- обеспечение выполнения выбранных мероприятий по воздействию на риск.

В качестве методов воздействия на риск можно выбрать один из четырех вариантов: избежание, минимизация, принятие или передача риска.

Избежание риска (прекращение деятельности, вызывающей риски) подразумевает отказ от деятельности, проекта, при этом другие стратегии воздействия экономически неэффективны или невозможны (например, продажа дочернего общества, замена оборудования и технологии на исключающие риск).

Минимизация риска подразумевает воздействие на риск при помощи мероприятий, направленных на снижение вероятности и/или потенциального влияния рискового события, в случае его реализации, до допустимого уровня. Мероприятия, внедряемые в рамках минимизации риска, могут включать в себя как внедрение и выполнение контрольных процедур, так и реализацию прочих мероприятий.

Принятие риска без воздействия на него применяется в случаях, когда: а) уровень риска находится на допустимом уровне; б) избежание риска, минимизация риска, передача риска экономически неэффективны либо невозможны (например, политические или макроэкономические риски).

Передача риска осуществляется в случаях, когда минимизация риска со стороны компании неэффективна, при этом уровень риска не является допустимым (риск невозможно принять) и возможно использовать для воздействия на риск услуги сторонней компании (передача риска в основном направлена на снижение последствий, а не вероятности реализации риска). Как бы заманчив ни был этот вид воздействия на риск, использовать его постоянно невозможно, это крах системы управления.

На этапе мониторинга и пересмотра осуществляется:

- отслеживание существенных событий внутренней и внешней среды, изменений оценки рисков, возникновения новых рисков, реализации рисков, о ходе выполнения и анализе эффективности мероприятий по воздействию на риски, их необходимая корректировка;

- принятие мер по реализовавшимся рискам, анализ причин их реализации, оценка последствий реализации риска, разработка корректирующих мероприятий.

Кроме того, важную роль играет обмен информацией о рисках, способах влияния на риски, результатах мониторинга, а также консультирование и обучение по вопросам риск-менеджмента.

Чтобы понять весь масштаб рисков, руководству предприятия требуется всестороннее, комплексное представление обо всех бизнес-процессах и бизнес-подразделениях, функциях по управлению рисками и соблюдению установленных норм и требований [13, C. 73-88].

Результаты анкетирования. Мнение работников о наличии эффективной системы, которая позволяет сотрудникам рапортовать информацию о рисках руководству показано на рис. 4. Большинство работников либо частично, либо полностью с этим согласно. Однако четверть считает, что данная система либо отсутствует, либо недостаточно эффективна.

Рисунок 4. Мнение сотрудников о наличии эффективной системы, позволяющей руководству вовремя получать информацию о рисках от сотрудников, %

Источник: составлено авторами.

Более полярными оказались мнения сотрудников по поводу того, насколько поощряется выявление и управления рисками со стороны руководства. Так 38,8% не согласились, что данный критерий учитывается при выплате премий (рис. 5).

Рисунок 5. То, как эффективно наши сотрудники выявляют и управляют рисками, оценивается в рамках ежегодного процесса оценки эффективности и учитывается при выплате премий, %

Источник: составлено авторами.

На рис. 6 показаны ответы на вопрос, как выстроен процесс управления рисками. В целом почти половина опрошенных указала, что выявляются и оцениваются риски, управление которыми выходит за рамки, определенным законодательством рисков, а сама процедура хорошо регламентирована. Принципы научности, системности и интегрированности закладывают основу концептуальности управления предпринимательскими рисками, определяя конструктивные ориентиры эффективного риск-менеджмента [14, С.77-90].

Рисунок 6. Как в вашей организации построен процесс управления рисками, связанными с основными бизнес-процессами?

Источник: составлено авторами.

В организации практически не используются неформальные методы оценки рисков, что показывает зрелость культуры управления рисками (рис.7). В тоже время всего четверть опрошенных указало, что применяется широкий инструментарий оценки рисков, такой как имитационное моделирование. Оценка рисков на основе экспертного мнения не всегда объективна и точна.

Рисунок 7. Какие инструменты используются в вашей организации для оценки рисков?

Источник: составлено авторами.

Риск программы организационных изменений можно сопоставить с риском инновационного проекта, поэтому оценка риска необходима. Большинство респондентов считают, что анализ рисков проводится по отдельным проектам, по всем новым проектам (рис.8). Для того чтобы формировать эффективные программы и проекты по развитию и совершенствованию системы по управлению рисками, менеджменту необходимо в любой момент осознавать, на какой стадии развития находится эта система [15, С. 25].

Рисунок 8. Каким образом проводится анализ рисков при проведении организационных изменений?

Источник: составлено авторами.

Культура риска может стать серьезным препятствием на пути повышения эффективности управления рисками, независимо от того, осознает это руководство или нет.

Заключение. Таким образом, уровень культуры управления рисками достаточно высок. Однако есть ряд недочетов, среди которых необходимость расширения возможностей для информирования руководства о возникающих рисках, добавить критерии эффективности при премировании, связанные с минимизацией рисков, расширить инструментарий моделирования и качественной оценки рисков.

Считаем, что несмотря на достаточно высокий уровень культуры риска в организации необходимо более широко использовать методы самооценки, внутренние опросы, фокус-группы и другие методы, чтобы понять текущее состояние культуры риска в организации, рассмотрев следующее:

1. Улучшение коммуникаций. Сообщения сверху не имеют большого влияния, если сотрудники организации каждый день видят и слышат разные сообщения от руководителей, которым они подчиняются. Чем больше уровней управления в организации, тем выше риск несоответствия тональности на верхнем, среднем и нижнем уровнях. Аналогично, тем выше риск того, что высшее руководство не будет знать о серьезных финансовых, операционных и нормативных рисках, которые могут быть известны одному или нескольким менеджерам среднего звена и рядовым сотрудникам. Информация часто искажается по мере продвижения вверх и вниз по управленческой цепочке, создавая разобщенных руководителей.

2. Механизмы, определяющие культуру риска. Эти материальные механизмы влияют на тон организации и включают в себя многие вещи, в том числе структуру управления рисками, включая корпоративные ценностные заявления, кодекс поведения и этические программы, политики и процедуры, надзорную деятельность комитета по рискам, программы стимулирования, процессы оценки рисков, отчетность по ключевым показателям риска, обзоры и процессы усиления эффективности, среди прочего. Они также включают диалог об аппетите к риску с исполнительной группой и советом директоров, а также декомпозицию аппетита к риску на допуски к риску и структуры лимитов, используемые ежедневно при реализации корпоративной стратегии.

3. Внутренние атрибуты, определяющие культуру риска. Эти атрибуты включают в себя установки, системы убеждений и основные ценности, которые определяют поведение и направляют повседневную деятельность и принятие решений в организации, особенно в отношении предпринимательской деятельности. Например, поведение, связанное с управлением рисками и подотчетностью в области внутреннего контроля, часто проявляется в том, как люди решают вопросы аудита, устраняют недостатки контроля. Своевременность выполнения таких действий дает мощные «подсказки» относительно культуры риска в организации. Также как и реакция (или отсутствие таковой) исполнительного руководства на предупреждающие сигналы, подаваемые независимыми функциями управления рисками.

4. Внешние атрибуты, определяющие культуру риска. Эти атрибуты включают нормативные требования и ожидания клиентов, инвесторов и других лиц.

5. Субкультуры, которые могут оказывать влияние на управление рисками. Множественные субкультуры позволяют организации, реагируя на изменяющуюся бизнес-среду, быть более гибкой в решении проблем, обмене знаниями и обслуживании клиентов, чего не может сделать так называемая унитарная культура. С другой стороны, они также могут привести к мошенническому, рискованному поведению, которое в конечном итоге может нанести вред организации.

6. Взаимосвязь с общей культурой - культура риска не действует в вакууме. Общая организационная культура влияет на нее многими способами, а некоторые утверждают, что это одно и то же понятие.

В заключении хотелось бы сказать, что управление организационными рисками в деятельности компании, имеет огромное значение для успешного ее функционирования, поскольку позволяет быстро реагировать на изменение факторов внешней и внутренней среды, минимизировать влияние риска и защитить компанию от негативных последствий. Однако требуется более глубокое исследование моделей культуры риска, так чтобы найти оптимальный вариант, который позволит изменить отношение работников к риску намеренным и управляемым образом, что даст возможность создать более зрелую культуру риска.