Як правильно описати ризик: чому одна невдала фраза може зробити невидимою реальну проблему

Ризик-інтерв'ю завершилося. На столі лежить кілька сторінок нотаток, у яких переплітаються цифри, факти, окремі репліки співрозмовника, власні спостереження ризик-менеджера і питання, відповіді на які ще належить знайти. На цьому етапі багатьом здається, що найскладніша частина роботи вже позаду, адже інформацію зібрано, залишилося лише перенести її до реєстру ризиків, однак практика показує протилежне: одна й та сама розмова може завершитися двома абсолютно різними записами залежно від того, хто їх робить, а від якості цього формулювання нерідко залежить, чи побачить керівництво проблему, яка потребує управлінського рішення, чи сприйме її як черговий абстрактний запис у внутрішньому документі.

За роки роботи мені доводилося переглядати десятки реєстрів ризиків різних компаній, і майже в кожному з них повторювалися одні й ті самі записи: "ризик персоналу", "ІТ-ризик", "ризик шахрайства", "операційний ризик", "ризик помилки". Формально вони не містять жодної помилки, проте практична цінність таких формулювань майже нульова, оскільки вони не пояснюють, що може статися, чому це може статися, які наслідки матиме подія для компанії, хто повинен реагувати і якими інструментами цей ризик можна контролювати. Іншими словами, вони називають тему, але не описують ризик.

На перший погляд різниця між вдалим і невдалим формулюванням може здаватися несуттєвою, однак саме вона визначає подальшу якість усієї системи управління ризиками. Якщо ризик описано нечітко, дуже складно визначити його власника, оцінити ймовірність і вплив, встановити ключові індикатори ризику (KRI), перевірити ефективність контролів або зрозуміти, чи вдалося його зменшити після впровадження відповідних заходів. Не випадково "правильні" ризик-менеджери приділяють опису ризику не менше уваги, ніж його виявленню, оскільки добре сформульований ризик уже містить значну частину відповіді на запитання, як ним управляти.

Назва ризику ще не є його описом

Під час навчання молодих ризик-менеджерів я іноді пропоную просту вправу. На екрані з'являються три записи з реєстру ризиків: "ризик шахрайства", "ризик персоналу" і "ризик кібербезпеки", після чого ставлю лише одне запитання: що ви можете сказати про ці ризики, не маючи жодної іншої інформації? Зазвичай у відповідь настає коротка пауза, а потім хтось обережно відповідає: "Практично нічого". І це правильна відповідь, адже перед нами не описи ризиків, а лише назви великих тематичних груп, усередині яких можуть приховуватися десятки абсолютно різних ситуацій, що потребують різних управлінських рішень.

Для страхової компанії запис "ризик шахрайства" може означати: організовану схему незаконного отримання страхового відшкодування, змову працівника з клієнтом, підроблення документів, використання викрадених персональних даних, маніпулювання результатами огляду пошкодженого майна або навмисне завищення вартості ремонту партнерською станцією технічного обслуговування. Усі ці ситуації належать до шахрайства, проте вони мають різні причини, різні механізми виникнення, різні наслідки і, що найважливіше, потребують різних контрольних процедур, тому об'єднати їх одним рядком реєстру означає позбавити керівництво можливості зрозуміти, про яку проблему йдеться.

Подібна ситуація виникає і з формулюванням "ризик персоналу". Якщо уважніше придивитися до діяльності будь-якої страхової компанії, швидко стане зрозуміло, що за цими двома словами можуть приховуватися дефіцит андеррайтерів із певною спеціалізацією, залежність критично важливого процесу від одного досвідченого працівника, висока плинність кадрів у регіональних підрозділах, недостатній рівень підготовки нових співробітників або втрата ключових компетенцій після звільнення керівника напряму. З погляду управління ризиками це абсолютно різні ризики, хоча в реєстрі вони часто записані однаковою фразою.

Тому перше правило, яке варто запам'ятати кожному ризик-менеджеру, звучить досить просто: назва теми ще не є описом ризику. Якщо після прочитання одного рядка реєстру член Правління не може зрозуміти, що відбулося, чому це може відбутися і чому ця подія повинна його хвилювати, ризик ще не описаний – він лише отримав назву.

Хороший опис ризику відповідає не на одне, а щонайменше на три запитання

Коли молодий ризик-менеджер уперше починає самостійно формувати реєстр ризиків, він зазвичай намагається якомога точніше назвати проблему, і це цілком природно. Проте через деякий час приходить розуміння, що назва ризику цікавить керівництво найменше, оскільки значно важливіше зрозуміти, чому цей ризик може реалізуватися, що відбудеться, якщо це станеться, і які наслідки матиме така подія для компанії. Якщо хоча б одна з цих трьох складових відсутня, запис перестає бути інструментом управління і перетворюється на короткий опис теми, яку ще належить досліджувати.

Розглянемо простий приклад із практики страхової компанії. Після аналізу процесу врегулювання збитків ризик-менеджер записує до реєстру: "Ризик порушення строків виплати страхового відшкодування". Формально все правильно, але після прочитання цього запису виникає відразу кілька запитань. Чому строки можуть бути порушені? Через нестачу персоналу? Через помилки інформаційної системи? Через несвоєчасне надходження документів від клієнта? Через необхідність додаткових погоджень? Відповіді на ці запитання немає, а отже, незрозуміло, яким ризиком компанія фактично управляє.

Тепер спробуємо описати ту саму ситуацію інакше: "У разі різкого збільшення кількості заяв про страхові випадки підрозділ врегулювання може не забезпечити їх своєчасний розгляд через недостатню кількість підготовлених фахівців, що призведе до порушення внутрішніх строків врегулювання, зростання кількості скарг клієнтів, можливих регуляторних претензій і репутаційних втрат". Запис став довшим, проте разом із цим він став значно кориснішим для управління, оскільки тепер зрозуміло, що є причиною ризику, яка подія може відбутися і які наслідки очікують компанію, якщо вона не втрутиться.

Аналогічна ситуація виникає під час опису ризиків інформаційної безпеки. У реєстрах часто можна побачити запис "ризик кібератаки", хоча він майже нічого не говорить про реальну проблему. Якщо ж написати: "Унаслідок недостатнього контролю привілейованих облікових записів стороння особа може отримати несанкціонований доступ до системи врегулювання збитків, що призведе до зміни інформації про страхові випадки, затримки виплат і порушення вимог щодо захисту персональних даних", одразу стає зрозуміло, де потрібно шукати контроль, хто є власником ризику і які показники можна використати для моніторингу його рівня.

Є ще одна причина, через яку варто витрачати час на якісне формулювання ризику. Добре написаний запис майже завжди підказує напрям подальшої роботи і, прочитавши його, досвідчений ризик-менеджер уже розуміє, які контрольні процедури потрібно перевірити, які ключові індикатори ризику (KRI) доцільно встановити, кого призначити власником ризику і які заходи можуть реально зменшити його рівень. Якщо ж після прочитання запису виникає бажання поставити ще десять уточнювальних запитань, це зазвичай означає, що проблема полягає не в недостатності інформації, а в тому, що ризик ще не сформульований належним чином.

Не намагайтеся одразу написати ризик – спочатку опишіть подію

Під час перегляду реєстрів ризиків я неодноразово помічав одну цікаву особливість. Якщо ризик-менеджер намагається відразу сформулювати ризик, він дуже часто отримує загальний і нечіткий запис. Якщо ж спочатку відповідає собі на просте запитання "Що конкретно може статися?", подальше формулювання складається майже природно. Причина досить проста: людському мисленню легше працювати з конкретною подією, ніж з абстрактним поняттям "ризик".

Припустімо, під час ризик-інтерв'ю керівник підрозділу розповідає, що останнім часом погодження великих договорів страхування почало тривати значно довше, ніж раніше, оскільки всі нестандартні рішення фактично зосередилися в однієї посадової особи. Недосвідчений ризик-менеджер майже напевно запише до реєстру "ризик затримки укладення договорів" або "операційний ризик андеррайтингу". Проте обидва формулювання описують наслідок, а не проблему.

Досвідчений ризик-менеджер, найімовірніше, почне аналіз із зовсім іншого боку. Він спробує зрозуміти, яка подія може реально відбутися. Наприклад: через відсутність керівника, який одноосібно погоджує нестандартні договори, процес ухвалення рішень може зупинитися на кілька днів. Лише після цього виникає наступне запитання: чому це може статися? Відповідь також поступово стає очевидною: у компанії відсутні визначені критерії прийняття таких рішень, повноваження не делеговані, а процедура погодження повністю залежить від однієї людини. Завершити опис ризику вже значно простіше, оскільки залишається лише показати можливі наслідки: затримку укладення договорів, втрату клієнтів, погіршення фінансових результатів або репутаційні втрати.

Подібний підхід однаково добре працює і для інших категорій ризиків. Під час аналізу інформаційної безпеки набагато корисніше поставити запитання "Яка подія нас турбує найбільше?" замість "Який тут ІТ-ризик?". Після цього розмова природно переходить до причин: чому стороння особа може отримати доступ до системи, чому резервне копіювання може не спрацювати, чому компанія може втратити критично важливі дані. Коли послідовність міркувань вибудовується саме так, ризик перестає бути красивим формулюванням у реєстрі й перетворюється на логічний опис події, яку компанія повинна попередити або бути готовою ефективно контролювати.

Є ще одна перевага такого підходу, яку я вважаю дуже важливою. Якщо ризик сформульовано через конкретну подію, його набагато легше обговорювати з власником процесу. Люди можуть не погоджуватися з оцінкою ймовірності, сперечатися щодо можливих наслідків або ефективності контрольних процедур, але вони майже завжди здатні відповісти на просте запитання: "Чи може така подія реально статися у вашому процесі?". Іноді вже одна відповідь на це запитання дозволяє зрозуміти, чи правильно ризик-менеджер побачив проблему, чи йому ще потрібно глибше розібратися в особливостях процесу.

Хороший опис ризику повинен однаково розуміти і ризик-менеджер, і власник процесу, і Правління

Є ще один критерій, який, на мою думку, добре відрізняє якісний опис ризику від формального запису в реєстрі, хоча про нього говорять значно рідше. Добре сформульований ризик не потребує додаткових пояснень залежно від того, хто його читає. Власник процесу повинен упізнати в ньому свою повсякденну роботу, ризик-менеджер – побачити логічний зв'язок між причиною, подією і наслідками, а член Правління – швидко зрозуміти, чому ця ситуація заслуговує на увагу керівництва і яких управлінських рішень вона може потребувати. Якщо для кожного з них доводиться окремо пояснювати, що мав на увазі автор запису, швидше за все, проблема полягає не в читачах, а в самому формулюванні ризику.

Колись мені довелося аналізувати реєстр ризиків страхової компанії, у якому був запис: "Ризик недостатнього перестрахового захисту". Формально він виглядав цілком професійно, однак після обговорення з керівниками різних підрозділів виявилося, що кожен розумів його по-своєму. Для директора з продажу це означало можливу відмову перестраховиків приймати великі ризики, для фінансового директора – небезпеку надмірного навантаження на капітал компанії, для керівника андеррайтингу – обмеження можливостей укладати договори страхування, а ризик-менеджер узагалі мав на увазі концентрацію відповідальності в одного перестраховика. У результаті всі обговорювали один і той самий запис, але фактично говорили про різні ризики.

Після кількох робочих зустрічей це формулювання вдалося уточнити: "Унаслідок надмірної концентрації перестрахового захисту в обмеженої кількості перестраховиків компанія може втратити можливість своєчасно поновити договори перестрахування або отримати належне відшкодування у разі погіршення їхнього фінансового стану, що призведе до збільшення власного утримання, додаткового навантаження на капітал і необхідності перегляду андеррайтингової політики". Запис став довшим, але разом із цим зникла неоднозначність, оскільки кожен учасник обговорення почав однаково розуміти, про яку проблему йдеться і чому вона має значення для компанії.

Схожі ситуації виникають значно частіше, ніж може здатися. Наприклад, запис "ризик втрати клієнтів" для підрозділу продажів означає зменшення обсягів премій, для служби врегулювання збитків – можливі претензії щодо якості обслуговування, для маркетингу – погіршення репутації бренду, а для Правління – недоотримання доходів і зміну фінансового результату. Якщо ризик-менеджер не уточнить, про яку подію йдеться, чому вона може виникнути і які наслідки матиме, кожен учасник дискусії несвідомо "домалює" власний зміст, а це майже завжди призводить до різного розуміння одного й того самого ризику.

Тому після завершення роботи над черговим записом у реєстрі корисно поставити собі просте запитання: чи однаково зрозуміє цей текст керівник підрозділу, член Правління і людина, яка через рік відкриє реєстр ризиків, але не братиме участі в сьогоднішній дискусії? Якщо відповідь викликає хоча б найменший сумнів, запис варто переглянути ще раз, оскільки хороший опис ризику не залишає простору для різночитань і не потребує усних коментарів автора.

Найпоширеніші помилки під час опису ризиків виникають не через незнання методології, а через поспіх

Після завершення ризик-інтерв'ю виникає природне бажання якомога швидше перенести отриману інформацію до реєстру ризиків, оскільки попереду ще десятки зустрічей, звітів і поточних завдань. Проте саме на цьому етапі ризик-менеджери найчастіше починають спрощувати побачене, поступово замінюючи конкретні події загальними поняттями, а реальні причини – звичними формулюваннями на кшталт "людський фактор", "операційний ризик" або "недостатній контроль", хоча жодне з них не пояснює, що відбулося, чому це стало можливим і які управлінські рішення можуть змінити ситуацію.

Пригадую реєстр ризиків однієї страхової компанії, у якому майже кожен другий запис починався словами "недостатній контроль". Після детального аналізу з'ясувалося, що за цими двома словами приховувалися абсолютно різні проблеми: в одному випадку контроль взагалі не був передбачений процедурою, в іншому він існував лише формально, у третьому працівники систематично його обходили через надмірну складність процесу, а в четвертому контроль працював належним чином, проте вже не відповідав новим бізнес-процесам після впровадження інформаційної системи. Формально всі записи виглядали однаково, але жоден із них не дозволяв зрозуміти, що необхідно зробити для зменшення ризику.

Ще одна типова помилка полягає в тому, що ризик-менеджер описує не ризик, а вже реалізовану проблему. Наприклад, у реєстрі з'являється запис "велика кількість скарг клієнтів". Проте скарги – це вже наслідок, який свідчить, що певний ризик або навіть кілька ризиків уже реалізувалися. Значно корисніше поставити собі запитання, чому ці скарги виникли. Можливо, причиною стали затримки виплат, неузгодженість роботи кількох підрозділів, відсутність єдиної практики врегулювання або недостатня якість комунікації з клієнтами. Лише після відповіді на це запитання ризик набуває форми, придатної для управління.

Досвід показує, що майже всі подібні помилки мають одну спільну причину – ризик-менеджер починає працювати з текстом раніше, ніж завершує працювати з процесом, він уже відкрив реєстр ризиків, але ще не поставив собі всі необхідні запитання. Коректні описи ризиків дуже рідко народжуються з першої спроби, найчастіше вони з'являються після того, як ризик-менеджер кілька разів перечитає власні нотатки, повернеться до окремих епізодів інтерв'ю, уточнить певні деталі у власника процесу і лише після цього почне підбирати слова, які точно відображають зміст побаченого.

На завершення

Якщо уважно подивитися на роботу досвідчених ризик-менеджерів, швидко стає зрозуміло, що вони витрачають значно менше часу на написання тексту, ніж на осмислення інформації, отриманої під час ризик-інтерв'ю, і це не випадковість. Добре сформульований ризик є результатом якісного аналізу процесу, а не вдалого володіння професійною термінологією. Одна й та сама подія в руках різних ризик-менеджерів може перетворитися або на формальний запис, який ніхто більше не відкриє, або на інструмент, що допоможе керівництву побачити проблему, оцінити її наслідки й ухвалити своєчасне управлінське рішення.

Практика дозволяє сформулювати кілька принципів, які, на мою думку, допомагають критично оцінити якість будь-якого запису в реєстрі ризиків ще до того, як він буде винесений на розгляд керівництва.

Десять принципів хорошого опису ризику

Не записуйте першу думку, яка спала на думку після інтерв'ю, – спочатку переконайтеся, що ви зрозуміли процес, а вже потім починайте формулювати ризик.

Не підміняйте ризик назвою теми: "ризик персоналу", "ризик шахрайства" або "ІТ-ризик" ще нічого не говорять про реальну проблему.

Описуйте не загальне явище, а конкретну подію, яка може відбутися за певних умов.

Пояснюйте причину виникнення ризику. Якщо вона незрозуміла, навряд чи вдасться знайти ефективний спосіб управління.

Не плутайте причину, подію і наслідки. Кожна з цих складових відповідає на різні запитання і має власне значення для подальшого аналізу.

Використовуйте формулювання, які однаково зрозуміють власник процесу, ризик-менеджер і член Правління.

Після написання ризику запитайте себе: чи зрозуміє його людина, яка не брала участі в ризик-інтерв'ю? Якщо ні – опис потребує доопрацювання.

Не використовуйте універсальні пояснення на кшталт "людський фактор", доки не стане зрозуміло, які конкретні обставини призводять до виникнення ризику.

Якщо після прочитання запису незрозуміло, який контроль потрібно перевірити або хто має реагувати на ризик, формулювання ще не завершене.

Пам'ятайте, що реєстр ризиків – це не архів спостережень ризик-менеджера, а робочий інструмент керівництва, тому кожен запис повинен допомагати ухвалювати рішення, а не вимагати додаткових пояснень.

Після завершення роботи над реєстром ризиків може скластися враження, що найскладніше вже позаду, однак практика показує інше. Ризик може бути чудово описаний, правильно оцінений і навіть забезпечений ефективними контрольними процедурами, але це ще не гарантує, що компанія вчасно помітить зміну його рівня або зрозуміє, коли ситуація починає виходити за межі прийнятного ризик-апетиту. Для цього потрібні інші інструменти – показники, які здатні сигналізувати про зміни ще до того, як ризик реалізується. Саме про них і піде мова в наступній статті цього циклу.