От страхования к управлению рисками
Начиная с 1970-х годов компании стали расширять свой арсенал средств по управлению рисками, включая в него, помимо традиционного страхования, комплексные инициативы по снижению потенциальных убытков – такие, например, как усиление мер по технике безопасности в сборочных цехах для снижения уровня травматизма. Постепенно руководители фирм начали использовать такое понятие, как “риск предприятия”, тем самым признав важность анализа не отдельных рисков, а совокупного влияния любой неопределенности на бизнес компании в целом. К концу 1990-х годов некоторые крупные корпорации начали внедрять программы управления рисками предприятия (УРП), позволяющие регулярно инспектировать уже известные риски и проводить работу по выявлению скрытых угроз и благоприятных экономических возможностей.
“Специфика рисков, с которыми сталкивается предприятие, зависит от особенностей отрасли, характера его хозяйственной деятельности, политической и экономической обстановки, а также ряда других факторов”.
Задачи современных систем УРП – это снижение вероятности воздействия физических рисков, контроль соблюдения законодательных требований и создание в компании механизмов внутреннего контроля. Известно множество разновидностей этих систем, эффективность которых варьирует от предприятия к предприятию. Спектр рисков, с которыми может столкнуться современный бизнес, чрезвычайно широк, поэтому сформулировать универсальный рецепт контроля рисков невозможно даже в рамках одной отрасли. Возьмем, например, рынок пассажирских авиаперевозок. Авиакомпания JetBlue, которая базируется в Нью-Йорке, подвергается совсем иным погодным рискам, чем авиакомпании, базирующиеся на юге США или в других климатических зонах. Так, в 2007 году JetBlue из-за снежной бури пришлось приостановить вылеты из аэропорта имени Кеннеди – узлового аэропорта в сети ее авиамаршрутов. Множество пассажиров, поднявшихся на борт ее самолетов, были вынуждены провести в ожидании долгие часы из-за того, что JetBlue не смогла вовремя подготовиться к капризам погоды.
С чего начать создание системы УРП
Чтобы организация могла точно определить, на какой риск она готова пойти, а какого следует избегать, в ней должен вестись внутренний контроль рисков. Сотрудник или группа сотрудников, которые исполняют роль координаторов мероприятий по управлению рисками, передают собранные данные менеджерам и сотрудникам, ответственным за анализ и минимизацию конкретных рисков. Чтобы повысить эффективность системы УРП, разрабатывать и применять ее нужно так, чтобы она согласовалась с существующим распределением управленческих функций и гармонично вписывалась в текущую деятельность компании, не обременяя менеджеров тяжелым грузом дополнительных обязанностей.
“Чтобы система УРП доказала свою полезность, организация должна сначала ее внедрить, но руководство нередко требует таких доказательств еще до ее внедрения”.
Например, компании-производителю необходимо отслеживать риски в сфере производства, маркетинга, финансов, технологий, управления, а также риски, связанные со спецификой работы отдельных подразделений и реализацией основных проектов. В такой компании отвечать за риски, связанные с разработкой продукта, поставками, налаживанием производства и общей эффективностью работы может, скажем, директор по производству. Выстраивать систему УРП нужно так, чтобы для оценки всех рисков использовался один и тот же механизм, и чтобы те лица, которым поручен контроль конкретных рисков, несли за это личную ответственность.
Непредвиденный риск и ложный оптимизм
Если некоторые опасности можно предвидеть, то другие остаются скрытыми до тех пор, пока не проявятся их отрицательные последствия. Непредвиденным, но значимым событиям посвящена известная книга Николаса Талеба “Черный лебедь”, вышедшая в 2007 году. Талеб доказывает, что некоторые события (он называет их “черными лебедями”; европейцы когда-то считали, что все лебеди белые) настолько неожиданны и масштабны, что кажутся непостижимыми. Пример такого события, выходящего за рамки разумного прогнозирования, – террористическая атака 11 сентября 2001 года.
“Внешние риски чаще всего контролировать невозможно, так как их источники – конкурентная среда, экономические факторы, действия регулирующих органов и другие посторонние силы”.
Согласно Талебу, управление рисками предприятия – скорее искусство, чем наука. Он справедливо критикует системы УРП, в которых слишком большое значение придается анализу количественных данных. Множество систем УРП уделяют чрезмерное внимание событиям, которые происходят с вероятностью в 95%, упуская из виду потенциально опасные последствия событий, вероятность которых не превышает 5%. Талеб показал несостоятельность методов, основанных на анализе фактической информации о риске, и в особенности на экстраполяции данных за прошлые периоды. Эти методы придают руководителю компании безосновательную уверенность в том, что он хорошо понимает динамику событий, которые на самом деле не поддаются рациональному анализу. Склонность человека проявлять оптимизм перед лицом неопределенности может подвергать организации и целые сообщества огромному риску.
“Графическое представление риска в виде иерархической диаграммы значительно облегчает понимание всей совокупности рисков, с которыми сталкивается предприятие, и взаимозависимости между ними”.
Некоторые из прогнозистов предвидели коллапс рынка ипотечного кредитования в США, вызвавшего глобальную финансовую панику в 2008 году. Однако лишь очень немногие из них сумели точно предсказать глубину кризиса или всю серьезность порожденной им проблемы с кредитными средствами. Это говорит о том, что “черные лебеди”, замеченные издалека, могут резко вырастать в размерах по мере приближения. Таким образом, опытным специалистам по контролю рисков следует учитывать в своем анализе как вероятные события, так и те, которые кажутся невероятными, но чреваты масштабными негативными последствиями.
Компьютерные программы для УРП
Некоторые специальные компьютерные программы позволяют визуально отображать всю совокупность рисков для отдельного бизнеса, что облегчает их отслеживание и ранжирование по значимости. Менеджерам такое ПО помогает понять, существует ли вероятность взаимоусиления рисков, и следить за тем, насколько успешно сотрудники минимизируют убытки организации в каждом конкретном случае.
“Так что же такое управление риском – наука или искусство? Талеб полагает, что это искусство, потому что, как и в искусстве, практическое воплощение одного и того же замысла будет иметь свои неповторимые особенности, тогда как наука предполагает многократное и точное воспроизведение полученных результатов”.
Программы для обслуживания УРП позволяют пользователям визуально группировать риски по категориям и подкатегориям, чтобы лучше представлять взаимосвязи между ними. Так, например, если компания считает наиболее серьезным риском финансовую нестабильность, то в качестве подкатегорий ей следует выделить факторы, вызывающие эту нестабильность, то есть риски, связанные с падением объема продаж, недоступностью кредитных средств, юридическими санкциями и ужесточением требований регуляторов. Компании, подверженные широкому спектру рисков, для комплексного анализа могут использовать программную функцию, позволяющую выявить связанные между собой риски, чтобы изучить их изолированно. Эта функция также помогает пользователям отслеживать внешние риски, не зависящие от действий компании, и оценить их потенциальное воздействие на бизнес.
Пять видов риска, контроль которых требует командных усилий
Даже если компания не желает делать крупные инвестиции в программы по контролю рисков, понимание сущности определенных рисков принесет ей большую пользу. Наиболее распространенными из рисков, с которыми может столкнуться бизнес, являются риски, связанные со стратегией компании, качеством управленческих решений, корпоративной культурой, продолжительностью ее работы на рынке и практикой долгосрочного планирования. Управление этими рисками требует коллективных усилий.
- Риск, связанный со стратегией бизнеса. Осознанный и запланированный риск этого рода может принести прибыль, тогда как непреднамеренное подвергание компании этому риску может ее погубить. Именно поэтому в разработке корпоративных стратегий должен участвовать единый координационный центр. В частности, угрозы стратегического характера для американских производителей могут исходить из Китая, Индии и других развивающихся стран, где конкуренты в состоянии производить аналогичные продукты со сниженной себестоимостью.
- Управленческий риск. Фирмы, занимающиеся УРП, должны учитывать риски, связанные с решениями, которые принимают их топ-менеджеры. Руководство принимает решения, опираясь на мнения, догадки или просто интуицию. Менеджеры играют иную роль – они исполняют решения руководства. Фирма нуждается и в сильных лидерах, и в умелых менеджерах, чтобы вовремя выявлять риски, грозящие серьезным ущербом, какими бы маловероятными они ни казались.
- Риск негативного влияния субкультур. В некоторых компаниях существуют корпоративные субкультуры, осложняющие повседневную работу организации. Например, сотрудники одних отделов могут проявлять враждебность по отношению к другим, что пагубно влияет на общую производительность. Или же в некоторых отделах крупных компаний может царить бюрократия, подрывающая все старания руководства наладить эффективную работу. Организация должна в первую очередь постараться адаптировать систему УРП к своей корпоративной культуре.
- Риск, связанный с особенностями стадии жизненного цикла. Большинство компаний в своем развитии проходят цикл, состоящий из стадий рождения, роста, зрелости и упадка. Проблемы могут возникать, если руководство проводит политику, не соответствующую стадии развития компании. Такой ошибкой, например, будет принятие стратегии интенсивного роста для зрелой компании.
- Риск недальновидного планирования. Руководство многих компаний обращает внимание только на те риски, которые непосредственно воздействуют на бизнес, но не следит за рисками более отдаленными. Минимизируйте эту опасность, сосредоточившись на выявлении трех видов риска – на проблемах, связанных с несовершенством модели бизнеса компании, на нехватке важных ресурсов и неблагоприятных последствиях действий клиентов или конкурентов.
Переменчивая природа рисков
Совокупность рисков, которым подвергается компания, непрерывно меняется. Некоторые выявленные в прошлом риски отходят на второй план при возникновении новых. Например, развитие Интернета породило неизвестные ранее виды противоправных действий, способных принести компании огромный ущерб, среди них – взлом корпоративных компьютерных сетей и заражение их вирусами. А после террористических актов 2001 года в США одним из основных приоритетов как государства, так и бизнеса стало предотвращение угроз общественной и корпоративной безопасности.
“К стратегическим рискам относятся риски, связанные с нечеткостью конечных целей организации, ошибками планирования, появлением новых конкурентов или агрессивными действиями старых, а также с неспособностью компании оперативно реагировать на изменения во внешней деловой среде”.
Нормативные нововведения также меняют характер рисков, которым подвергается компания. Например, в США согласно закону Сарбейнса-Оксли от 2002 года главы многих акционерных компаний сегодня обязаны ежеквартально предоставлять в Комиссию США по ценным бумагам отчеты о достоверности результатов внутреннего аудита. Исполнительный директор, не уделяющий внимания этой стороне деятельности фирмы, рискует не только потерять свое место, но и подвергнуться уголовному преследованию.
“Возможно, самый большой стратегический риск – это степень нашей зависимости от углеводородных источников энергии”.
Печальный опыт мирового финансового кризиса заставил компании удвоить усилия, направленные на защиту бизнеса от риска, связанного с нехваткой кредитных средств, а также риска неплатежеспособности. Очевидно, список рисков, угрожающих интересам бизнеса, сегодня обширнее, чем он был когда-либо еще, и единственный пункт, который можно с некоторой долей уверенности из него исключить, – это риск начала ядерной войны, вероятность которой заметно снизилась.
Лидеры есть, а где последователи?
Опыт ведущих специалистов по управлению рисками показывает, как УРП может улучшить результаты работы компании. Один из этих специалистов – Пол Бакли. Именно благодаря ему управление рисками превратилось в самостоятельную управленческую специальность. Из телекоммуникационной отрасли (где он проработал 29 лет) Бакли ушел в промышленный конгломерат Tyco International, заняв должность вице-президента по управлению риском. В Tyco он расширил систему управления риском и превратил консультантов по вопросам риска в полноценный операционный персонал, наделив их конкретными обязанностями по реализации элементов корпоративной программы УРП.
“Управление рисками предполагает внутреннюю оценку ситуации в компании, которая должна установить, что менеджеры отвечают за те участки, где требуется стабильность, а лидеры – за те, где необходимы перемены”.
Другой пример – Ланс Юинг, начавший свою карьеру в страховой отрасли, где он занимался оценкой риска несчастных случаев на лесопильных заводах, в транспортных компаниях и других высокорисковых областях. Затем фокус его интересов сместился в сторону контроля и предотвращения убытков. После пяти лет работы в страховом бизнесе Юинг перешел на должность менеджера по риску в администрацию муниципальных школ Филадельфии в штате Пенсильвания. Разработанные им методы предотвращения убытков привели к значительному сокращению размера страховых выплат из бюджета школьного округа. Еще позднее он стал вице-президентом по управлению риском в Harrah’s Entertainment – ведущей компании на рынке игорного бизнеса.
“Риск упустить возможность извлечь выгоду еще более серьезен, чем сбой в нормальном функционировании компании”.
Однако бизнес в целом не спешит следовать примеру лидеров в сфере управления рисками. Исследование, проведенное в 2008 году среди руководителей американских компаний, показало, что к этому времени лишь 7% фирм имели полнофункциональные системы управления риском, а 33% фирм даже не имели планов по их внедрению. Совершенствование систем управления риском сегодня актуально, как никогда ранее. Хотя с момента принятия закона Сарбейнса-Оксли компании США стали уделять больше внимания выполнению требований регулирующих органов, простое соблюдение законодательных требований не может заменить активного выявления и предотвращения всей совокупности рисков, угрожающих современному бизнесу.