Представители разных отраслей экономики - в том числе и наши клиенты - зачастую задают нам, как консультантам по управлению рисками вопрос: есть ли простые и наглядные методы, доступные и неспециалистам, которые помогли бы хотя бы грубо оценить риски при развитии новых стратегических направлений бизнеса, крупных инвестиционных планов и т.п. Бывает, что в процессе разработки стратегии оценивается до десяти возможных стратегий. Каждой из них свойственен свой набор зачастую катастрофических рисков. Так есть ли способ быстрого и сжатого отображения деловых рисков вашей организации, препятствующих достижению стратегических целей. Как на нескольких страницах описать детали этих рисков, а также состав действий по их снижению или устранению, как установить и распределить временные рамки выполнения работы, меры успеха и исполнителей, ответственных за успешное выполнение?
Это можно сделать при помощи построения карты рисков вашей организации или отдельного стратегического направления развития бизнеса.
Что такое карта риска и чем она полезна?
Карта риска - графическое и текстовое описание ограниченного числа рисков организации, расположенных в прямоугольной таблице, по одной «оси» которой указана сила воздействия или значимость риска, а по другой вероятность или частота его возникновения. На рисунке 1 показан частный пример карты рисков.
Ч то Вы можете сделать сами: процесс построения карты риска.
В общем случае процесс картографирования рисков - часть систематической, охватывающей все стороны деятельности компании методологии, позволяющей выделить, расположить по приоритетам, и оценить количественно (разбить на классы) риски организации. Методы, которые применяют консультанты при составлении карты рисков, включают интервью, формализованные и неформализованные опросники, обзоры и исследования отрасли, анализ документационного комплекта компании, численные методы оценки и т.п. Необходимо отметить, что в том случае, когда идет речь об оценке финансовых рисков, важным является именно количественный анализ финансовой отчетности компании. Конечно, индивидуальные характеристики компании-клиента и его потребности диктуют соответствующий метод сбора и анализа данных.
Мы опишем пример процесса самостоятельного картографирования рисков при решении задачи выявления критических для организации рисков (угрожающих существованию организации), выдвигая на первый план только главные шаги. Эти шаги включают первичное обучение, определение границ анализа, формирование состава команды, горизонты времени, анализ сценариев и ранжирование, определение границы терпимости к риску, составление плана действий, технологии количественных оценок и моделирования.
Первичное обучение.
При составлении карты рисков организации очень важно, чтобы хотя бы один или два сотрудника компании, прошли обучение основам риск-менеджмента. Они в дальнейшем помогут наладить диалог между членами команды и вести всю команду во время процесса картографирования. Для этого необходимо провести предварительное обучение, которое может длиться от одного до пяти дней. По нашему опыту, наилучший результат достигается при длительности установочных семинаров в два-три дня. Роль такого обученного сотрудника компании - менеджер процесса картографирования рисков внутри компании, постоянно ориентирующий команду на нужную цель. В тех случаях, когда требуется специальная предметная экспертиза, эксперт может быть введен в команду. Конечно, если Ваша организация располагает большим количеством грамотных специалистов, это усилит команду.
Не доверяйте работу дилетантам. Если Вы не намерены обращаться к консультантам, обучите своих сотрудников.
Границы анализа.
Границы анализа, определяющие, какие области бизнес-решений затрагивает картографирование, определяются на начальном этапе процесса. Консультанты по управлению рисками также делают это на первом этапе обследования организации. В рассматриваемом примере границы определим как идентификацию, установление приоритетов и понимание всех рисков, препятствующих достижению корпоративных стратегических целей при реализации конкретного стратегического плана. Отметим, что границы анализа могут быть столь широкими или столь узкими, как это желательно организации. Однако должен соблюдаться баланс между широтой границ, глубиной информации и ценностью той информации, которая будет получена из процесса картографирования рисков. Например, ценность одной карты риска для всей компании может быть значительно меньше, чем карт риска для каждого бизнес-подразделения или какой-то одной деловой единицы компании, а может быть и наоборот.
Определитесь с целями, доступностью и стоимостью информации. Затем уже очертите границы анализа для построения карты рисков.
Состав команды.
Состав команды является критическим для успеха процесса картографирования рисков. При проведении работы профессиональными консультантами команда (рабочая группа) включает обычно топ-менеджмент компании, т.е. тех специалистов, которые обладают опытом и экспертными знаниями. В случае самостоятельного картографирования рисков консультант - это по сути «коллективный разум» топ-менеджмента организации, направляемый прошедшими обучение сотрудниками. Опыт показывает, что команда работает эффективно, если состоит из шести - десяти человек.
Только определив границы анализа, можно определить, кто включается в команду. При составлении карты стратегических рисков компании, например, в команду включаются главный администратор, руководитель финансового отдела, руководитель казначейства, руководитель юридического, контрольного, IT отделов, руководитель отдела стратегического планирования, если таковой отдел имеется в компании. Если компания уже имеет отдел риск менеджмента, то, конечно же, его руководитель включается в рабочую группу.
Для более узких границ, таких как выявление и картографирование рисков специфического подразделения или операционной бизнес-единицы, команда будет состоять из топ-менеджмента команды управления подразделения. Или, если анализируются риски определенной области деятельности типа электронной коммерции, то состав команды будет формироваться из старших представителей соответствующих функциональных областей и тех подразделений, интересы которых затрагиваются.
Наиболее важно, чтобы команда наиболее репрезентативно представляла институциональные знания своей компании и включала топ-менеджмент.
Сценарный анализ и ранжирование.
На этом шаге команда предпринимает управляемый мозговой штурм, чтобы выявить все потенциальные риски компании при данной стратегии развития и сценарии, сопутствующие их появлению. После того как они идентифицированы, риски и сценарии обсуждаются, достигается консенсус и готовится письменное описание сценариев. Ключевыми моментами каждого сценария являются "уязвимость" компании (объект риска), "триггерный механизм" (факторы риска) и "последствия" (величина возможных потерь).
Уязвимость или объект риска - это ценность компании, которой свойственна подверженность потенциальным угрозам. Триггерные механизмы (факторы риска) вызывают негативные последствия для объектов риска. Последствия выражаются в терминах природы и величины потерь, следующей из уязвимости объекта риска и природы триггерного механизма. При этом бывает так, что с виду непохожие сценарии и триггерные механизмы, приводящие к одинаковым последствиям для объекта риска, объединяются, при их рассмотрении с высоты птичьего полета в один сценарий. Уже на этом этапе работы нужно стремиться понять, можно ли множество мелких рисков, которые, как правило, выявляют сотрудники организации при самостоятельной работе, объединить в какие-то группы, на основании чего это можно сделать.
Когда выявлено ограниченное количество сценариев, и достигнут консенсус, команда должна ранжировать сценарии в терминах «воздействия» и «вероятности». Команда определяет и воздействие и вероятность в тех терминах, которые релевантны для организации. Например, в качественных терминах четыре ранга воздействия можно определить в нисходящем порядке как (1) катастрофический, (2) критический, (3) существенный, и (4) граничный. Ранги вероятности, которых на нашей карте шесть, определены также в качественных терминах от «почти невозможно» к «почти точно произойдет». Как вероятность, так и значимость могут также в принципе быть оценены компанией количественно. Команда может использовать любые количественные определения, однако, эта процедура намного более сложна и требует значительного времени на анализ.
Определение границы толерантности к риску.
Критическая граница терпимости к риску - ломаная жирная линия, отделяет те риски, которые являются в настоящее время терпимыми от тех, которые требуют постоянного контроля и именно сейчас. Деловые риски, расположенные выше и справа от границы считают «невыносимыми» и требуют непосредственного внимания с точки зрения управления. В случае разработки стратегии организации желательно до принятия стратегии понять, как ими управлять или устранить их, не приведет ли это к такому снижению доходности бизнес, что стратегия станет непривлекательной? Те угрозы, которые расположены ниже и слева от границы, в настоящее время считаются терпимыми (это не значит, что ими вообще не нужно будет управлять).
Граница толерантности к риску изменяется в зависимости от аппетита организации на риск. При классификации рисков по значимости/вероятности даже без численной оценки можно примерно оценить величину финансовых потерь от того или иного риска, что позволяет определиться в какой-то мере с аппетитом организации на риск и определить границу терпимости к риску на карте.
А вот и карта риска!
Заключительный шаг в построении карты - размещение деловых рисков на карту рисков на основании ранга их воздействия и ранга вероятности, т.е. по сути, классификация рисков по двум параметрам. В общем, более сложном случае таких параметров может быть и три и пять. Тогда уж без математики не обойтись. В нашем примере параметра два, и команда стремится разместить каждый риск в соответствующую ячейку воздействия / вероятности. При этом в одну ячейку попадает только один риск.
Важно понять, что окончательная ценность карты риска организации состоит не в определении точного воздействия или уровня вероятности специфической угрозы, а в относительном расположении одной угрозы относительно других угроз, и в их расположении по отношению к границе терпимости к риску. Теперь, чтобы принять данную стратеги, если она устраивает нас по параметрам доходности, важно понять, как все риски, лежащие в красно-сиреневой зоне «нетерпимости», перевести в зеленую зону.
План действий.
Риски, лежащие выше границы толерантности требуют непосредственного внимания именно сейчас. Поэтому важно разработать определенные планы действий для уменьшения величины или вероятность потерь от данного риска. Необходимо также определить целевые показатели и меру оценки успеха в управлении риском, даты достижения целевых показателей и назначить ответственных. Цель плана действий в данном случае состоит в том, чтобы понять, как переместить каждый «невыносимый» риск левее и ниже в «терпимую зону». Здесь следует заметить, что нужно соотносить затраты на такое перемещение с выгодами от него, а также учитывать, что сильное снижение рисков компании может привести и к потере ею большей части доходности.
Количественная оценка и моделирование.
Степень необходимой при анализе детализации специфична для каждого риска и изменяется от одного риска к другому, а зависит, в основном, от целей, которые преследует организация. Если западные банки зачастую борются за доли процента при оценке возможных потерь, то даже нашим банкам, не говоря уж о предприятиях реального сектора экономики, пока такая точность не нужна. Вообще при оценке достаточно широкого круга деловых рисков существенная детализация не требуется или не может быть произведена. Другие риски и планы действий будут требовать более детального исследования и количественной оценки, чем это может быть достигнуто в процессе анкетирования, мозговых штурмов или изучения отраслевых данных и т.п.
Для рисков, требующих дополнительного анализа, необходимо использовать сложные количественные оценки и методы моделирования.
Карта риска - картинка или процесс?
С точки зрения технологии управления риском с построением карты рисков процесс управления не завершается, а только начинается. Более того, карта риска вашей компании - это «живой организм», который реагирует на принимаемые решения и выполняемые операции. Она живет и развивается с развитием вашего бизнеса, вместе с новыми возможностями появляются новые риски, некоторые из старых рисков утрачивают актуальность и становятся незначимыми для вашего бизнеса. Поэтому важно, чтобы процесс картографирования риска, уточнения карты был встроен в действия организации.
Это позволит проводить актуализацию рисков компании с той периодичностью, которая необходима. Обычно срок «плановой актуализации» составляет год, иногда ее привязывают к сезонным циклам, если они имеют место в бизнесе и т.п. Однако при появлении даже слабых сигналов о событиях, которые могут сильно повлиять на объекты риска компании, следует оценить их влияние на карту рисков компании вне всякой периодичности.
Создание ценности для компании.
Картографирование рисков компании необходимо использовать для проверки существующих стратегий в контексте реализованных и нереализованных рисков и возможностей компании для генерации доходности, а также для поддержки принятия управленческих решений по развитию новых стратегических направлений.
Рассмотрим традиционные подходы к стратегическому планированию. В то время как большинство компаний выполняет какой-либо тип формального стратегического планирования (они все хорошо известны), у компаний нет бизнес-процесса для идентификации, оценки и интеграции возможностей и рисков, т.е. некоей «обучающей стратегии». Это легко может быть проиллюстрировано на примере электронной коммерции, где традиционные стратегические методы планирования не могут справиться со скоростью происходящих изменений. Характер технологических изменений свидетельствует, что те основания (доходность и риски), которые считаются правильными для многих из сегодняшних решений, очень вероятно, не будут таковыми уже через шесть месяцев, и не будет иметь никакого сходства с теми, которые будут иметь место через три года.
Имеется разрыв между теми, кто обычно проводит стратегический процесс планирования, и теми, кто взаимодействует с клиентами и ответственны за выигрыш или фактические деловые потери в текущем процессе деятельности. Традиционные «стратегические планировщики» полагаются на знание, доступное в определенной точке времени, в то время как линейное управление полагается на «живое» знание, основанное на фактической рыночной динамике, которое можно назвать «обучающей стратегией». Деловой успех зависит от качества решений, сделанных в динамическом настоящем. Перманентный процесс картографирования риска, нацеленный на стратегию компании, может ликвидировать или уменьшить разрыв между «планировщиками стратегии» и линейными менеджерами, включая "живую" рыночную информацию о том, где конкурентоспособное преимущество компании фактически может быть реализовано.
Таким образом, картографирование риска является мощным аналитическим инструментом для того, чтобы разобраться в деловых рисках компании и расположить их по приоритетам. Помимо этого во многих случаях карта рисков является источником для создания экономической ценности компании, т.к. уже сейчас ясно, что эта методология может применяться и сверх процесса управления рисками как такового. Она играет важную роль в стратегическом и текущем планировании, осуществлении существующей и оценке будущих деловых стратегий.
Карта рисков – баловство для конечных пользователей. В консультационных проектах один из авторов навострился изображать эти карты вручную в PowerPoint буквально за 10-15 минут, вместе с красивыми кружочками и легендой. Но ручной труд методологически неправилен, так как повышает вероятность ошибки. Исходя из этого и решили все-таки сделать карту рисков в формате Microsoft Excel.
В качестве технического задания взяли наиболее наглядную карту рисков в терминологии страницы « ». Из существующих типов диаграмм в Microsoft Excel можно использовать пузырьковую и точечную (XY-диаграмму). Результат на примере карты рисков условного предприятия в Excel2016 – . В предыдущих версиях сделать автоматическую нумерацию не получается (собственно, поэтому раньше и статьи такой не было).
Последовательность действий для людей, знающих Microsoft Excel:
- создаем диаграмму. При этом выбираем по оси абсцисс – ущерб, по оси ординат – вероятность, в качестве имени ряда в источнике данных добавляем номера рисков. Для пузырьковой диаграммы дополнительно рассчитываем долю математического ожидания каждого риска в общем математическом ожидании. Целесообразно использовать именно этот параметр, так как размер должен отражать что-то новое, а привязка к ущербу либо вероятности приведет к банальности в виде того, что чем правее и выше риск, тем больше кружочек. Отметим, что для правильного размера кружочков риски должны быть независимыми друг от друга, что достигается автоматически, если следовать рекомендациям соответствующего ;
- добавляем подписи данных, помещаем эти подписи сверху ряда. В качестве подписи отображаем номера рисков. Чтобы кружочки были одинаковыми по размеру, номера рисков с 1 по 9 заменяем на текстовый формат « 1», « 2» и т.д. (извините за извращение, но другого варианта не нашли);
- опционально оформляем диаграмму: добавляем название, подписываем оси, выбираем градиентную заливку и играемся с градиентами, добавляем логарифмическую шкалу по ущербу, украшаем ряды данных и пр.
Какие проблемы при автоматическом построении карты рисков в Microsoft Excel нужно дополнительно решить:
- При одинаковых или близких по значению рисках отображается только один из них. Например, на картах рисков условного предприятия не видны риски под №9 и №22. Варианты устранения: (1) немного изменить исходные данные, то есть вместо двух рисков с вероятностью 50% и ущербом в 100 млн. руб. нарисовать риски с вероятностями 48 и 52% и ущербом 96 и 104 млн. руб., (2) дорисовывать кружочки руками или же (3) увеличить размер диаграммы (как в рассматриваемом случае, когда нет одинаковых рисков по вероятности и ущербу).
- Линия толерантности в виде линии в автоматическом режиме не отражается. Варианты устранения: (1) использовать градиентную заливку, в Microsoft Excel 2016 она автоматически принимает нужные цвета (кстати, особенно красиво выглядит, если по ущербу поставить логарифмическую ось) или же (2) дорисовывать линию руками.
- Для наиболее наглядной карты рисков кружочки с рисками, не попадающими на карту, необходимо дорисовать руками.
- Практически невозможно вставить в легенду названия рисков. На самом деле проблемой это не является, так как автоматические средства Microsoft Excel не очень экономно расходуют пространство в диаграмме, и в результате диаграмма при печати оказывается мельче, чем могла бы быть.
Несмотря на указанные недостатки, задача выполнена. Пользоваться можно если не для представления уважаемым людям, то в качестве контрольной процедуры.
В ходе идентификации и оценки финансовых рисков применяются различные графические методы, дающие наглядное представление распределения рисков во времени, по видам деятельности, по стадиям бизнес-процесса, в пространстве (например по помещениям), по размерам выявленного ущерба и т.д. Но самым универсальным инструментом визуализации информации, широко используемым в риск-менеджменте, является так называемая карта рисков. Она строится на основе реестра рисков и их качественных и количественных характеристик, полученных в процессе измерения. Карту рисков можно построить либо для всей организации, либо для какого-либо подразделения. Кроме того, карты рисков могут быть составлены для направления деятельности организации или для отдельного проекта, программы.
Наиболее простые карты рисков, как правило, представляются в табличной форме. В случаях, когда для измерения рисков используются качественно-количественные шкалы вероятностей и последствий, применяют матричные карты рисков. Матричная карта риска – графическое и текстовое описание ограниченного числа рисков организации, расположенных в прямоугольной таблице, по одной "оси" которой указана сила воздействия или значимость риска, а по другой – вероятность или частота его возникновения. В случаях, когда для измерения рисков используются качественно- количественные шкалы вероятностей и последствий, то весь спектр рисков делится на ячейки. Из-за внешнего сходства такую карту рисков иногда называют "матрицей".
Вообще говоря, методологии построения карты рисков столь же различны, как различны риски компаний. Построение карты рисков может производиться как в рамках внедрения системы управления рисками на уровне всей организации, так и для решения обособленного круга задач по управлению рисками. Методы, которые применяют консультанты (эксперты) при составлении карты рисков, включают интервью , формализованные и неформализованные опросники у обзоры и исследования отрасли , анализ документационного комплекта компапииу численные методы оценки и т.п.
Состав команды консультантов (экспертов) является очень важным для успеха процесса картографирования рисков. При проведении работы профессиональными консультантами, команда (рабочая группа) включает обычно тех специалистов, которые обладают опытом и экспертными знаниями. Опыт показывает, что команда работает эффективно, если состоит из шести – десяти человек. Только определив границы анализа, можно определить, кто включается в команду. При составлении карты финансовых рисков компании, в команду в обязательном порядке включается руководитель финансового отдела, руководитель юридического, контрольного, ГГ отделов и др. Степень детализации, необходимой при анализе, специфична для каждого риска и изменяется от одного риска к другому, а зависит в основном от целей, которые преследует организация.
Картографирование – это сложный процесс, включающий в себя множество конкретных операций, но в обобщенном виде он заключается в визуализации выявленных рисков. Выявление рисков включает в себя анализ финансовых рисков, направленный на идентификацию и оценку рисков.
Напомним, что идентификация является первым и одним из основных этапов анализа риска. Результаты идентификации рисков позволяют описать и составить реестр рисков. Оценка рисков предполагает определение (расчеты) основных качественных и количественных параметров (величины) риска.
Результаты идентификации и оценки рисков заносятся в карты финансовых рисков. Для построения карты финансовых рисков (далее – Карта) необходимо выполнить следующие последовательные шаги и заполнить все графы следующей таблицы (табл. 2.6).
На начальном этапе идентификация предполагает выбор владельца риска {субъект риска). В нашей Карте это строка – должность.
Так называемые владельцы рисков (от англ. – riskowners) – это сотрудники, специалисты, которым руководитель поручает наблюдать за триггерами некоторого определенного риска, а также управлять ответными процедурами в случае возникновения данного риска. Сотрудники становятся владельцами рисков в силу специфических экспертных знаний относительно той или иной проблемы или в связи с тем, что они обладают определенным контролем над специфическим риском.
Здесь проводится выбор должности сотрудника и идентификация выполняемых им видов деятельности и связанных с этими видами деятельности объектов управления. Выбранный вид деятельности занесем в графу 2 Карты.
В группу субъектов с повышенным финансовым риском входят те, для которых характерно:
- наличие полномочий, связанных с распределением значительных финансовых средств;
- высокая степень свободы действия, вызванная спецификой их работы;
- высокая интенсивность контактов с организациями и их представителями.
Следующим шагом является определение перечня должностных обязанностей с высоким финансовым риском. Идентификация и оценка рисков проводится по конкретному перечню должностных обязанностей с высокой вероятностью проявления финансовых рисков.
Графа 3 Карты предполагает рассмотрение и анализ условий в работе. Обычно выделяют следующие условия:
КАРТА ФИНАНСОВЫХ РИСКОВ №________________
Подразделение: _________________________________________________
Должность: ____________________________________________________
Заполнил
(Руководитель подразделения) (подпись) (Фамилия И. О.) (дата) СОГЛАСОВАНО
Руководитель организации (подразделения) _____________________________________________________________
______________________________________________________________________
- (ЭКСПЕРТ/КОНСУЛЬТАНТ)
- нормальные (плановая деятельность) – обозначаются буквой "Н";
- аварийные (инциденты и другие чрезвычайные ситуации) – обозначаются буквой "А".
Идентификация конкретных видов финансовых рисков, связанных с выбранными видами деятельности, заносится в графу 4 Карты.
Выявленные риски описываются и оформляются в виде Реестра финансовых рисков (табл. 2.7).
Таблица 2.7
Реестр финансовых рисков
|
Объект риска |
Название риска |
Описание риска |
Фактор риска |
|
|
п |
Графа 5 Карты предполагает идентификацию существующих мер от воздействия опасностей (регламентов, мер) по выбранному виду деятельности (работы). К мерам от воздействия опасностей можно отнести:
- обучение и повышение квалификации в области минимизации финансовых рисков;
- проведение паспортизации рабочих мест;
- проведение аттестации рабочих мест по условиям труда;
- проведение тестирования внедренных стандартов, норм, нормативов;
- выявление зон бизнес-процессов, не покрытых контролями;
- выявление неэффективных контролей;
- внедрение новых индикаторов финансовых рисков;
- другие аналогичные меры.
Идентификация по происшествиям (коммерческий подкуп, служебный подлог, торговля инсайдерской информацией, превышение должностных полномочий и т.д.) в организации заполняется в графе 6 Карты. Информация по происшествиям накапливается в представленной таблице (табл. 2.8).
Таблица 2.8
Информация по происшествиям
Описание тяжести опасного события (предполагаемого – при отсутствии статистики) от возможного воздействия опасности (графа 7 Карты) с учетом выполнения существующих мер от этого воздействия (стандартов по минимизации финансовых рисков).
Наиболее сложный шаг – это оценка риска. Оценка риска, связанного с идентифицированной опасностью, заносится в графы 7–10 Карты.
Оценка риска, связанного с идентифицированной опасностью, осуществляется по следующей формуле:
где Р – риск; Т – тяжесть вреда; – вероятность проявления опасности; – подверженность воздействию опасности.
Тяжесть вреда (Т) оценивается в балльной системе (например в десятибалльной) и заполняется в виде таблицы (табл. 2.9).
Таблица 2.9
Тяжесть вреда Т
|
Характеристика |
|
|
Банкротство |
|
|
Потеря первичного финансового документа |
Тяжесть вреда определяется экспертной оценкой рабочей группы, которая проводит картографирование. Они определяют тяжесть и проставляют баллы исходя из специфики хозяйствующего субъекта. Поэтому, например, вред от отзыва лицензии на осуществление операций в иностранной валюте для одних организаций будет составлять 9 баллов, а для других, непрофильных организаций, гораздо меньше.
Вероятность вреда (В) рассматривается экспертами с точки зрения вероятности проявления опасности и подверженности воздействию опасности и заполняется в следующей табличной форме (табл. 2.10).
Таблица 2.10
Вероятность вреда В
|
Вероятность проявления опасности, B1 |
Подверженность воздействию опасности, В2 |
|
|
1 событие в день |
От 90% рабочего времени |
|
|
1 событие в месяц и реже |
От 80 до 90% рабочего времени |
|
|
1 событие в квартал |
От 70 до 80% рабочего времени |
|
|
1 событие за полугодие |
От 60 до 70% рабочего времени |
|
|
1 событие за 9 месяцев |
От 50 до 60% рабочего времени |
|
|
1 событие в 1 год |
От 40 до 50% рабочего времени |
|
|
1 событие за 2 года |
От 30 до 40% рабочего времени |
|
|
1 событие за 3 года |
От 20 до 30% рабочего времени |
|
|
1 событие за 4 года |
От 10 до 20% рабочего времени |
|
|
1 событие за 5 лет |
До 10% рабочего времени |
Далее выявленные риски необходимо отсортировать. Разберем реальную технику сортировки большого количества рисков, которая зарекомендовала себя на примере не одной сотни компаний. Она активно используется и пропагандируется подразделением Risk Management Special Interest Group (RMSIG ) из Project Management Institute . Суть метода состоит в том, чтобы распределить риски по специальной карте (другое ее название – PI- матрица). Карта должна выглядеть так, как показано в табл. 2.11. Обычно все идентифицированные риски распределяются между сотрудниками группы по работе с рисками. За риск, как правило, отвечает тот, кто идентифицировал данный риск (источник указан на RMC- карте). Риски, определенные теми, кто не присутствует при данной процедуре, делятся поровну между всеми остальными участниками. Затем участники распределяют имеющиеся у них риски по определенным квадратам, т.е. ранжируют вероятности и степени влияния данных рисков.
Таблица 2.11
Карта сортировки рисков
|
Вероятность |
||||||||
|
Степень воздействия |
||||||||
Бывает необходимо повысить качество индивидуальных решений о вероятности и степени влияния рисков. Рекомендуется раздать членам команды фломастеры разных цветов и предложить, просмотрев все риски, промаркировать те, с которыми они не согласны и которые, по их мнению, необходимо обсудить отдельно. После этого маркированные риски обсуждаются и делаются соответствующие изменения. По окончании данного шага вероятность и степень воздействия каждого риска на проект считается установленной, и в RMC- карты вносятся вероятность данного риска и степень влияния.
Кроме процедуры сортировки рисков, их необходимо прораижировать, т.е. определить RR (от англ. – risk ranking) для каждого риска. Формула для определения RR такова:
RR = Вероятность риска (В) × Степень воздействия риска (Y ).
Этот шаг повторяет сортировку рисков по карте, однако специалисты советуют проводить его, так как это понадобится в дальнейшем. Потом уже можно определить, какие риски будут запущены в процесс управления рисками. Список рисков согласно значению RR позволяет отсортировать их. Таким образом, риски, которые возникают с очень низкой вероятностью или будут оказывать очень незначительное воздействие на проект, могут быть удалены из дальнейшего анализа.
Самое важное на этом шаге – принять решение по поводу пороговых величин рисков, которые будут участвовать в дальнейшем рассмотрении. Это сложный вопрос, по которому трудно дать конкретные рекомендации. Огромную роль здесь играет опыт руководителя проекта, а также уровни рисков, которые приняты как пороговые в компании. Если в компании принят максимальный уровень риска проектов 70, то все риски, имеющие RR выше 45–50, должны быть признаны значимыми. Все риски, имеющие RR ниже 45–50, документируются, но в работу по управлению рисками не запускаются. Выявленные риски ранжируются, составляется их письменное описание, которое заносят в специальную таблицу (табл. 2.12). Подобная таблица заполняется каждым экспертом.
Таблица 2.12
Карта ранжирования рисков
|
Объект риска |
Название риска |
Фактор риска |
Вероятность возникновения |
Ущерб от риска |
Индекс риска (I r = В × Y) |
|
|
п |
Результаты идентификации и оценки рисков заносятся в Карты для предоставления руководству. Выявленные, отсортированные и проранжированные риски заносятся в первый вариант итоговой Карты коррупционных рисков. По сути, часть этой работы мы уже сделали, заполнив табл. 2.6.
Для более наглядного представления выявленные и отсортированные риски заносятся в матричную Карту рисков. В зависимости от степени опасности выделяют несколько категорий рисков. Количество категорий соответствует потребностям исследования. В качестве отправной точки можно воспользоваться представленной табл. 2.13. Она поможет определить Высокий , Средний или Низкий уровень риска в зависимости от его вероятности и последствий. К примеру, сочетание Высокая вероятность + Высокое влияние будет, очевидно, означать Высокий уровень риска.
Таблица 2.13
Уровень риска
|
Серьезность последствий / Вероятность возникновения |
Общий уровень риска |
|
Высокие потери/Высокая вероятность |
|
|
Высокие потери/Средняя вероятность |
|
|
Высокие потери/Низкая вероятность |
Средний/Низкий |
|
Средние потери/Высокая вероятность |
|
|
Средние потери/Средняя вероятность |
Средний/Низкий |
|
Средние потери/Низкая вероятность |
|
|
Малые потери/Высокая вероятность |
|
|
Малые потери/Средняя вероятность |
|
|
Малые потери/Низкая вероятность |
Эти девять простых сочетаний характеристик рисков можно также представить в табличном виде следующим образом (табл. 2.14).
Таблица 2.14
Уровень риска и меры по их управлению
|
Вероятность/ Влияние |
|||
В клетках представлены сочетания вероятности и последствий, которые вполне безопасно можно проигнорировать. В клетках представлены сочетания, которые требуют принятия срочных мер по управлению рисками. Клетки представляют сочетания, которые требуют пристального внимания и регулярной переоценки в будущем.
Оценка рисков действует на протяжении определенного периода. Чтобы иметь основания применять аппарат теории вероятностей, этот период должен быть достаточно большим (три-пять лет). Если вероятность события (например кража) мала, рассматриваемый период следует еще увеличить. Но за это время ситуация существенно изменится и старые оценки потеряют смысл. Следовательно, при оценке рисков событиями с вероятностью меньше определенного порогового значения можно пренебречь, несмотря на то что потенциальный ущерб от них может быть велик. Отметим, что это противоречит традиционной практике, когда руководители склонны уделять чрезмерное внимание рискам с большим ущербом и малой вероятностью. На самом деле, па первом плане должны быть риски с умеренным ущербом, но высокой вероятностью (например, атаки вредоносного программного обеспечения), многократно реализующиеся в течение рассматриваемого периода. В то же время необходимо иметь в виду, что вероятность негативного события оценить сколько-нибудь точно очень сложно. Поэтому рекомендуется рассматривать риски не как числовые значения, а как точки на плоскости, где координатными осями служат вероятности и потери (рис. 2.4). Линиями уровня для функции риска служат гиперболы.
Риск события U1 относится к числу обычно переоцениваемых руководителями; на практике, в силу низкой вероятности, большей частью подобных рисков целесообразно пренебречь.
Очень важным шагом в анализе рисков является определение границы толерантности к риску. Граница толерантности к риску – критическая граница терпимости к риску. Выбор линии толерантности осуществляется волевым решением менеджмента компании. Финансовые риски, расположенные выше и справа от границы, считаются "неприемлемыми" и требуют непосредственного внимания с точки зрения управления. Те угрозы, которые расположены ниже и слева от границы, в настоящее время считаются терпи-
Рис. 2.4.
мыми. Граница толерантности к риску изменяется в зависимости от аппетита организации на риск. При классификации рисков по значимости/вероятности даже без численной оценки можно примерно оценить величину финансовых потерь от того или иного риска, что позволяет определиться в какой-то мере с аппетитом организации на риск и определить границу терпимости к риску на карте. С целью наглядного представления границы толерантности (терпимости, приемлемости) к риску, карту финансовых рисков представляют в следующем виде (рис. 2.5).
Рис. 2.5.
Границы приемлемости рисков позволяют сразу же визуально определить деление рисков по категориям с точки зрения опасности, которую они представляют. Карту рисков можно немного усложнить и представить в цвете. Например, матричная Карта рисков может иметь такой вид (рис. 2.6).
Рис. 2.6.
На этой карте рисков вероятность или частота отображается по вертикальной оси, а сила воздействия или значимость – по горизонтальной оси. В этом случае вероятность появления риска увеличивается снизу вверх при продвижении по вертикальной оси, а воздействие риска увеличивается слева направо по горизонтальной оси. Арабские цифры на карте – обозначения рисков, которые были классифицированы так, чтобы каждому сочетанию вероятность/значимость был приписан один вид риска.
Такая классификация, размещающая каждый риск в специфическую отдельную "коробочку", не является обязательной, но упрощает процесс установки приоритетов, показывая положение каждого риска относительно других (увеличивает разрешающую способность данного метода). Жирная ломаная линия – критическая граница терпимости к риску; клетки – сочетания вероятности и значимости (последствий), которые вполне безопасно можно проигнорировать. При выявлении критических рисков, сценарии, приводящие к рискам выше этой границы, считаются неприемлемыми.
На карте они обозначены и . Клетки представляют сочетания, которые требуют пристального внимания и регулярной переоценки в будущем. По выявленным неприемлемым (непереносимым) рискам требуется понять, как уменьшить или передать такие риски, в то время как риски ниже границы являются управляемыми в рабочем порядке. Управлению рисками соответствует перемещение точек по плоскости. Обычно стремятся приблизиться к началу координат вдоль одной оси, не меняя значения другой координаты. Впрочем, если удастся уменьшить сразу обе координаты, это будет еще лучше. На самом деле, в зависимости от целей построения можно построить много разных видов карт риска или вариаций данной карты риска.
Реестр и составленные на его основе карты рисков являются основной информационной базой для принятия решений по дальнейшей обработке рисков. Для возможно более точной оценки риска существенное значение имеет учет полной группы факторов, определяющих риск. Совокупность факторов риска должна отражать все условия внешней и внутренней среды организации, порождающие возможные коррупционные риски.
Карта рисков составлена, теперь необходимо разработать мероприятия по нейтрализации тех рисков, которые оказались выше границы толерантности. На основании Карт подразделений эксперты (консультанты) совместно с заинтересованными подразделениями и специалистами организации в течение 10 рабочих дней составляют "Реестр неприемлемых рисков организации (подразделения)". Рабочая группа должна определить, следует ли оставить все как есть и не применять никаких дополнительных действий или разработать новый план действий по управлению рисками, если не устраивают их последствия. В результате проведенных мероприятий можно уменьшить вероятность риска , уменьшить вероятность потерь , либо изменить последствия риска.
Цель составления плана действий заключается в том, чтобы уяснить, как переместить каждый непереносимый риск левее – ниже в терпимую зону. Следует отметить, что необходимо соотносить затраты на такое перемещение с выгодами от него. Предлагаемые меры управления неприемлемыми рисками должны предварительно быть проанализированы на предмет наличия новых опасностей и связанных с ними рисков. Степень допустимости риска зависит от важности для каждого субъекта риска, а также их целей и ожиданий. Выбирается способ воздействия на риск. Например, если риск был определен как недопустимый, то разрабатывается вариант его смягчения. Если он не приводит к снижению уровня риска до приемлемого, то используется вариант уклонения. При невозможности передать риск он подлежит принятию с обязательным резервированием средств на случай непредвиденных обстоятельств.
С точки зрения технологии управления риском с построением карты рисков процесс управления не завершается, а только начинается. Более того, карта риска – это "живой организм", который реагирует на принимаемые решения и выполняемые операции. Она живет и развивается с развитием организации, вместе с новыми возможностями появляются новые риски, некоторые из старых рисков утрачивают актуальность и становятся незначимыми, несущественными для организации. Поэтому важно, чтобы процесс картографирования риска, уточнения карты был встроен в действия организации. Это позволит проводить актуализацию рисков организации с той периодичностью, которая необходима. Обычно срок "плановой актуализации" составляет год, иногда ее привязывают к определенным циклам (сезонным, календарным) если они имеют место в деятельности организации. Однако при появлении даже слабых сигналов о событиях, которые могут сильно повлиять на объекты риска организации, следует оценить их влияние на карту рисков организации вне всякой периодичности. Важно понять, что ценность карты рисков состоит не в определении точного размера вероятности или ущерба от рисков, а в относительном расположении одной угрозы относительно другой и в их расположении относительно границы приемлемости.
Таким образом, картографирование риска является универсальным аналитическим инструментом для того, чтобы разобраться в финансовых рисках хозяйствующих субъектов, расположить их по значимости, и подготовить мероприятия по их минимизации.
- URL: iemag.ru/master-class/detail.php?ID=15716
Карта рисков может стать не просто перечнем вероятных проблем компании для их мониторинга и контроля, а инструментом реализации стратегии. Менеджмент может спрогнозировать возможную проекцию через несколько лет. Приведем конкретный пример.
В состав рассматриваемой компании входило несколько «дочек», а также субхолдинг, в котором я занимал должность финансового директора. Подконтрольные фирмы вели разнообразную деятельность, в том числе производство, услуги по агентским договорам. Общая выручка холдинга составляла несколько миллиардов рублей в год.
В субхолдинге процесс был достаточно формализован. Для всех дочерних предприятий акционеры ввели в действие общий регламент. В нем была прописана методология ее создания, сроки и ответственные лица.
Основная ответственность по за процесс в субхолдинге была на департаменте финансов, в дочерних фирмах - на руководителях финансовых служб. Со стороны управляющей организации эту работу выполнял один человек - директор финансового департамента.
Ежегодно компании группы заполняли специальную таблицу, которая касалась всех существующих у них рисков.
Построение карты рисков
Таблица . Информация для подготовки документа
| № | Наименование риска | Владелец | Вероятность реализации (от 0 до 100%) | Степень воздействия, выраженная в денежной форме | Описание | Мероприятия по управлению |
| 1 | Падения реализации из-за высокого уровня конкуренции и ограниченного числа заказчиков на рынке | Генеральный директор | 60 | 100 млн руб. (потеря выручки) | Непродление договора с одним из заказчиков | Принимается. Мониторинг статуса осуществляется через операционный комитет |
| 2 | Нарушения ковенант и объявления дефолта по кредиту | Финансовый директор | 50 | 400 млн руб. (досрочное погашение кредита, дополнительные денежные средства) | В виду нерегулярности поступления выручки и разрывов в ликвидности возможно нарушение ряда банковских ковенант. Согласно кредитному договору, при их нарушении банк может объявить дефолт |
Ужесточение санкций за несвоевременную оплату в договорах с заказчиками Регулярные напоминания о предстоящих платежах Ежемесячный прогноз показателей банковских ковенант на конец квартала Подготовка отказа (Waiver) заранее, согласование с банком |
| 3 | Доначисление налога на прибыль в случае налоговой проверки по спорному вопросу | Финансовый директор, главный бухгалтер | 40 | 10 млн руб. (включая пени и штрафы, уменьшение прибыли) | По данному вопросу существует неоднозначная судебная практика | Принимается. В случае доначисления налогов могут быть использованы отложенные налоговые активы |
| 4 | Возникновение плохих долгов | Коммерческий отдел (нужно указать имя конкретного сотрудника) | 30 | 10 млн руб. (списание долга, снижение прибыли) | Есть просроченная задолженность от двух клиентов, существует вероятность невыплаты долга |
Регулярное проведение комитета по работе с плохими долгами, недопущение роста просроченной задолженности Поиск факторингового агентства, обсуждение возможности продать часть долгов К каждому пункту назначить ответственного и прописать срок исполнения |
Предположим, у одной из «дочек» с оборотом 1 млрд рублей есть четыре основных риска. Вероятность их возникновения - субъективный фактор, значение которого определяется экспертным путем. В графе «Степень воздействия риска» указывается, на какой финансовый показатель риск влияет напрямую. Это важно, так как степень воздействия на разные показатели (выручка, прибыль, остаток денежных средств) нельзя сравнивать между собой.
Сократите риски компании до минимума
Скачайте таблицу в Excel, чтобы быстро проанализировать основные риски компании
Затем показатели ранжируются по стоимости, которая на основании указанных в таблице данных рассчитывается так: вероятность возникновения × степень воздействия. Полученный результат переносится на карту рисков (см. ниже пример карты рисков). Красным цветом в ней маркированы наиболее существенные риски с высокой вероятностью возникновения.
Разница между зонами в холдинге определялась материальностью риска (от выручки), которую просчитывали экспертным путем сотрудники финансовой службы управляющей компании. Например, в красную зону могли попасть риски, превышающие по стоимости 50 млн рублей, в зеленую - менее 3 млн рублей, в желтую зону - остальные.
Карта рисков предприятия на примере
Рисунок 1 . Карта рисков - пример
Схема управления рисками
Для контроля деятельности «дочек» один раз в два месяца мы проводили операционные комитеты. В их состав обязательно входили финансовый и операционный директора группы. Позиции из красной зоны карты обязательно проговаривались в ходе каждого такого совещания
Кроме того, в субхолдинге для дочерних компаний также раз в два месяца собирался совет директоров. Перед каждой встречей обязательно организовывалось собрание операционного комитета, где детально прорабатывались все вопросы повестки предстоящего совета директоров.
Мне, как финансовому директору субхолдинга, необходимо было участвовать во всех этих мероприятиях. Благодаря этому при составлении сводной карты рисков предприятия я понимал их суть и знал, что реально делается для их предотвращения. С одной стороны, такая практика отнимала колоссальное количество времени, с другой - оно «инвестировалось» в детальное знакомство с бизнесом каждой компании.
В конце года вся полученная информация по рискам обсуждалась на собрании комитета по аудиту, рассматривалась правлением холдинга, выносилась на совет директоров. Для этого специалисты финансового блока готовили подробную презентацию, в которой показывали динамику карты рисков проекта за год, рассказывали о крупнейших рисках и вероятных способах их минимизации.
Например, если по итогам налоговой проверки налог на прибыль доначислен не был, то этот риск считался нереализованным. Если мы видели, что какой-то риск неустраним, то принимали его и оставляли в карте как присущий нашему бизнесу. К этой категории относился бы риск «Падение реализации из-за высокого уровня конкуренции и ограниченного числа заказчиков на рынке», приведенный в рассматриваемой таблице.
Так был построен процесс управления рисками. Но, как оказалось, этого было недостаточно для достижения целей. Акционеры задали субхолдингу определенный уровень показателя годовой прибыли, и в конце I квартала мы поняли, что в силу новых факторов и изменившихся условий на рынке поставленную задачу не выполняем. Также мы увидели, что при работе над стратегией соответствующий департамент сам анализирует бизнес-риски. Получалось, что данный процесс дублируется - при отчетности для акционеров и при составлении стратегии. Мы решили повысить эффективность использования собранных данных о рисках внутри субхолдинга, определили два направления: стратегическое и операционное. Акционеры одобрили наше предложение.
Карта рисков компании и SWOT-анализ
В процессе обсуждения уже существующей стратегии мы провели исследование основных рисков и сделали SWOT-анализ проекта . Правда, он не был полностью совмещен с составлением карты рисков, по сути, указанные мероприятия реализовывались параллельно. В нашем случае это произошло из-за особенностей самой стратегии. Дело в том, что она в большей степени была направлена на покупку новых компаний, так как все существующие бизнесы работали стабильно и взрывной рост для них был недостижим.
Затем менеджмент на основании существующей карты рисков и аудированной финансовой отчетности составил график «Риск - Доходность» по субхолдингу. На рисунке ниже приведен его условный пример. Разберемся, как его использовать.
Рисунок 2.
Возможное текущее состояние компании (на рис. 2 отмечено красной звездой). Используем маржу по EBITDA за последний отчетный год (или прогноз на текущий) по вертикальной оси, а по горизонтальной - проводим общую оценку всех рисков компании согласно составленной карте. Для примера показаны возможные расположения на графике. Допустим, организация может работать при наличии высоких бизнес-рискови иметь относительно небольшую маржу. Или же иметь недостаточную, но стабильную маржу при невысокой степени риска. Такой анализ кажется простым, но на протяжении своей 20-летней карьеры в финансах я не часто встречал его.
Положение компании через несколько лет (на рис. 2 отмечено зеленой звездой) оцениваем, исходя из стратегии развития на три или пять лет. Оценку степени риска в будущем можно получить за счет стресс-тестов финансовой модели. Также целесообразно использовать и субъективное мнение менеджмента, поскольку понимание бизнеса может оказаться более важным, чем механические проверки. Акционеру нужно, чтобы компания двигалась по графику налево и вверх. Если это происходит, то следует на финальном этапе разработать план мероприятий, которые обеспечат данное перемещение.
Так, построение карты рисков становится не просто перечнем вероятных проблем для их мониторинга и контроля, а инструментом реализации стратегии. Менеджмент может спрогнозировать возможную проекцию карты через несколько лет. В таком контексте стоит использовать не всю карту рисков, а только те позиции, которые в приведенном примере на карте рисков обозначены красным цветом. Они больше всего влияют на результат и на успех реализации стратегии.
Выводы по карте рисков и планирование
Еще в начале второго квартала отчетного года мы спрогнозировали высокий риск невыполнения бюджетного показателя по чистой прибыли. Чтобы разработать план необходимых для его предотвращения мероприятий, мы взяли за основу существующую карту рисков.
По факту к середине года провели детальный дополнительный анализ всех рисков, которые влияют на прибыль по всем компаниям группы. Если вспомнить наш условный пример в первой части статьи, то во время дополнительного анализа дочерняя компания еще раз изучила все факторы, которые могли привести к падению прибыли, и выявила, например, еще шесть рисков. Каждый из них в отдельности не был достаточно существенным по стоимости, чтобы попасть в красную зону. Однако при реализации всех рисков получался наиболее пессимистичный прогноз показателя чистой прибыли на конец года.
Так, если в первом случае мы работали с макро-рисками, чтобы «совместить» управление ими с текущей стратегией, то здесь анализировали микро-риски, влияющие на результат данного года. Причем в отличие от стандартных ежегодных или квартальных манипуляций с картой рисков, которые проводились прежде, нам пришлось ежемесячно до конца года мониторить ситуацию по каждой организации. Для такого анализа мы использовали таблицу 1. При этом она активно корректировалась к очередному собранию операционного комитета - исчезали риски, которые закрывались в результате проведенных мероприятий, появлялись другие. Менялась также степень вероятности их реализации в связи с изменившейся оценкой менеджмента и как следствие - прогноз прибыли по году.
Таким образом, если прежде компании группы просто отчитывались по уже существующей карте рисков и обсуждали с нами перечень мероприятий, то теперь работа с ней велась непрерывно и активно. Заявленные мероприятия по минимизации рисков начинали реализовываться сразу, и все внимание было сфокусировано только на тех из них, которые влияют на прибыль организации. В результате уже к концу третьего квартала рассматриваемого года прогноз по прибыли достиг бюджетного уровня и в конце периода удалось выполнить запланированный показатель.
