Разработка системы ключевых индикаторов по основным рискам

В настоящее время ключевые индикаторы риска применяются, в основном, в системах управления рисками банков [1]. На уровне же отдельно взятых промышленных предприятий эта работа лишь только начинается. Поэтому большинство методических вопросов пока не решено.

Ключевые индикаторы риска (КИРы) являются основными инструментами в управлении операционными рисками, с помощью которых можно осуществлять широкий спектр их измерений. В отличие от контрольных мероприятий, которые проводятся периодически, они могут измеряться столько раз, сколько это потребуется (ежедневно, ежемесячно и т.д.).

Предполагается, что среди множества действующих случайных факторов риска есть такие, которые во многом определяют вероятность наступления неблагоприятного события и потенциальный размер ущерба. Если они известны, то можно с большей или меньшей уверенностью отслеживать и уровень риска, и прогнозировать убытки. В этом отношении они существенно отличаются от индикаторов деятельности (Key Performance Indicators), которые являются более общими, и сфокусированы скорее на прошлом, чем на будущем.

Формированию системы КИРов предшествует выявление критических рисков организации, процесс, состоящий из нескольких этапов.

1. Выявление событий, которые могут оказать отрицательное влияние на деятельность организации;

2. Оценка возможного ущерба от наступления рискового события;

3. Определение вероятности наступления рискового события;

4. Выделение критических рисков, чаще всего по критериям максимальной вероятности и максимальной величины возможных потерь в виде карты рисков.

В теории и практике управления рисками можно выделить несколько подходов для выявления собственно рисковых событий. Наиболее принятым является вариант, когда в организации, с определенной периодичностью, проводится выявление потенциальных факторов риска в соответствии с существующими классификациями, а далее вступает в действие принятый алгоритм оценки риска и разработки способов уменьшения риска и т.д.

Недостатком этого подхода является чрезмерно общий, широкий охват всех областей деятельности организации при оценке риска, что, с одной стороны, требует значительных усилий, а с другой – не позволяет сконцентрироваться на действительно существенных проблемах. Более приемлемым для большинства российских предприятий, по-нашему мнению, является подход, основанный на анализе угроз устойчивому развитию предприятия ^[2], в более жестком варианте – угроз прерывания деятельности вообще.

Концепция, методы и средства обеспечения непрерывности бизнеса (Business Continuity Planning) в общем достаточно известна, но еще не получила широкого распространения на практике. План (на случай непредвиденных обстоятельств) должен содержать лишь те «угрозы», которые менеджеры (эксперты) сочли высоковероятными и имеющими значительные последствия именно для данной компании, данной стратегии, данного периода, а не все прерыватели бизнеса.

План служит руководством к действию во время кризиса и гарантирует, что ни один важный аспект не будет упущен. Профессионально составленный план направляет действия даже неопытных сотрудников.

Важным моментом в процессе составления плана является участие в нем высшего руководства компании. Без такой поддержки практически невозможно заставить функциональные подразделения предоставлять ресурсы, необходимые для разработки плана. Ведение «Плана обеспечения бесперебойной деятельности» требует постоянных затрат времени и финансовых средств. Не обновлять план так же плохо, как и не иметь его вообще.

Эффективный план обеспечения бесперебойной деятельности является относительно недорогой формой страхования компаний от последствий возможных бедствий, и затраты на него должны рассматриваться как составляющая необходимых издержек на поддержание нормальной деятельности организации.

Однако этот подход также обладает своими недостатками, основным из которых можно считать отсутствие четко выраженной связи с целями и стратегией организации, которые, в свою очередь, могут (скорее даже должны!) быть источниками новых рисков. В связи с этим представляется перспективным подход, представленный на Форуме по управлению рисками компанией MARSH, обеспечивающий связь целеполагания и стратегического управления с управлением рисками.

Организации, внедрившие системы менеджмента качества (СМК), в соответствии со стандартами ISO, с целью реализации процессного подхода, определяют риски и разрабатывают мероприятия по их снижению для конкретных процессов. Часто считается, что процессный вариант позволяет отслеживать операционные риски. Однако, современные тенденции развития среды бизнеса практически никакие компоненты в организации не позволяют рассматривать полностью автономными, не зависящими от внешних процессов (или тех, которые считались таковыми ранее).

Таким образом, из четырех подходов к идентификации рисков в организации три базируются на привязке к конкретным объектам – прерывателям бизнеса, его целям/задачам и к бизнес-процессам. Этот список не является исчерпывающим. Так, например, заслуживает серьезного внимания подход идентификации рисков по факторам, называемым иногда драйверами доходов, т.е. факторами, определяющими способность организации наращивать оборот и генерировать денежные потоки.

Этот вариант в наибольшей степени подходит организации, находящейся на стадии быстрого роста и, как правило, в условиях ужесточающейся конкурентной борьбы. Выбор того или иного подхода к идентификации риска зависит от текущего состояния организации, выбранной стратегии развития. Скорее всего, речь должна идти о комбинации подходов, которая обеспечила бы концентрацию усилий на наиболее перспективных направлениях при допустимом уровне рисков прерывания деятельности.

После того, как риск идентифицированы, организация должна определить ключевые индикаторы риска.

Однако следует помнить, что не существует единственного и уникального индикатора, помогающего оценить одновременно все виды рисков и все направления деятельности. Зачастую индикаторы специфичны для видов деятельности или процессов. Для каких-то категорий риска подобрать подходящий индикатор гораздо легче, чем для других. Тем не менее, в любом случае к основным требованиям к КИРам следует отнести возможность на их основе прогнозировать неблагоприятные события и предотвращение возможных потерь.

КИРы должны быть достаточно «чувствительными», чтобы отражать текущий «профиль» потерь, а также тип риска, свойственный данному бизнес-процессу. Индикаторы по своей природе бывают опережающими (предикативными) и историческими (по факту).

На практике индикаторы рисков непосредственно связаны с потерями, которые по определению считаются реализованными. Поэтому средние значения исторических потерь служат, как правило, базой для оценки уровня ожидаемых потерь в будущем. Существуют также индикаторы, ориентированные не на потери, а на бизнес-процессы.

Например, часто меняющийся персонал подразделения трудно соотнести с какой-либо конкретной потерей, поскольку здесь мы имеем дело с процессом. Подобные индикаторы помогают оценить качество операций для всех видов риска. Они, как правило, тоже исторические, поскольку информируют нас о том, что уже произошло, но не указывают конкретно, на чем стоит сфокусировать свои усилия в будущем.

В принципе, можно попытаться путем определенных трансформаций перевести их в разряд предикативных, каковыми являются индикаторы окружения, такие, например, как число жалоб со стороны клиентов, удовлетворенность персонала своей работой, количество проведенных тренингов для сотрудников подразделения. То есть руководство организации должно использовать опережающие индикаторы с целью воздействия на профиль риска.

[1] www.sas.com/russia

[2] Марат Арсенович Арустамов «Устойчивость бизнеса: управление риском в условиях сетизации экономики»