Półtorej roku temu mogłem sobie pozwolić na zaproponowanie mojej własnej koncepcji apetytu na ryzyko, gdyż nie było consensusu czym jest apetyt na ryzyko i jak go liczyć. Consensusu nie ma nadal – o czym pisze każde z trzech niezależnych opracowań, jakie ostatnio zgłębiałem. Panuje natomiast ogólna zgoda, że zaimplementowany apetyt na ryzyko z pewnością sprowadzi zarządzanie ryzykiem znacznie bliżej biznesu, operacji i pozwoli lepiej zrozumieć menedżerom czego chce od nich zarząd i co w praktyce ERM znaczy dla ich części operacji, odpowiedzialności, zakresu kompetencji i podejmowanych na co dzień decyzji.

W tym miesiącu IRM otworzył puszkę pandory i rozpoczął publiczną debatę nt apetytu na ryzyko, publikując dokument „Risk Appetite and Risk Tolerance”  proponujący zarys dobrych praktyk. Jest to spory dokument (45 stron), pierwszy który wnosi coś nowego i konstruktywnego do dyskusji nt apetytu na ryzyko – i do zarządzania ryzykiem w ogóle, dlatego warto poświęcić mu trochę czasu.

Jak punkt wyjścia warto sobie przypomnieć, co na temat apetytu na ryzyko mają do powiedzenia istniejące standardy oraz niektóre z globalnych firm konsultingowych.

• COSO: „ilość ryzyka, na dużym poziomie ogólności, jakie organizacja jest chętna ponieść podczas tworzenia wartości dla interesariuszy”, czyli definicja z rodzaju „koń jaki jest każdy widzi”.
• ISO 31000 nie wspomina o apetycie na ryzyko jako takim, lecz mówi o konieczności ustanowienia kryteriów oceny ryzyk (risk criteria) i dokonania oceny ryzyk pod kątem tych kryteriów (risk evaluation); czy autorzy ISO 31000 w ten sposób uczciwie przyznali, że nie ma dobrego pomysłu na opisanie apetytu na ryzyko ?
• z kolei ISO Guide 73 (nawiasem mówiąc dość nieszczęśliwie i miejscami błędnie przetłumaczone na język polski) operuje znacznie większą ilością terminów: postawa wobec ryzyka (risk attitude), poziom ryzyka (level of risk) i w końcu apetyt na ryzyko, rozumiany jako ilość i rodzaj ryzyka, jakie organizacja jest skłonna ponieść lub utrzymać oraz tolerancja na ryzyko, rozumiana jako gotowość organizacji do poniesienia określonego poziomu ryzyka pozostałego po zastosowaniu środków kontroli
• Ernst & Young przyjmują metodologię dość podobną do opisanej wcześniej metodyki Paula Hopkina, bazującej na pojęciach: pojemność na ryzyko (risk capacity) – czyli sumaryczna ilość ryzyka, jaką firma jest w stanie obiektywnie utrzymać, apetyt na ryzyko – czyli sumaryczna ilość ryzyka, jakie firma chce podejmować, tolerancja na ryzyko – to jest maksymalna dopuszczalna wartość danego ryzyka, limit ryzyka – liczbowy punkt odniesienia np. dla śledzonych KRI.

Z kolei KPMG zastrzega, że jest olbrzymia przepaść pomiędzy teoretycznymi modelami wyznaczania apetytu na ryzyko a ich praktycznym zastosowaniem. Wartościowe i trafne jest zalecenie, aby apetyt na ryzyko był określany w ścisłej relacji do umiejętności, zasobów i technologii jakie są potrzebne do skutecznego panowania nad ryzykiem. KPMG również dotyka ciągle wstydliwego przedmiotu mierzenia i kwantyfikowania apetytu na ryzyko. Wstydliwego, bo ciągle nie ma dobrego pomysłu i zgody jak to robić. KMPG proponuje to robić tak:

Ja osobiście wartości znajdujące się w lewej kolumnie przełożyłbym na kryteria, jakie wcześniej posłużyły do oszacowania skutku ryzyka, na przykład:

1. przychody lub zysk
2. odsetek wypadków przy pracy
3. ilość niedostarczonych megawatów, godzin zatrzymanej produkcji, odsetek zwróconych towarów
4. reputacja mierzona niepochlebnymi informacjami medialnymi lub spadkiem akcji
5. szkody środowiskowe mierzone ich rozległością i czasem przywrócenia do stanu wyjściowego.

KPMG podaje swój przepis na apetyt na ryzyko, lecz brakuje w nim konkretów i „warstwy wykonawczej”:

1. dokonać pomiaru zagregowanej wielkości ryzyk, jakie firma podejmuje (pytanie: jak ? Czy wszystko sprowadzać do złotówek ? Czy do subiektywnych, teoretycznych punktów ?)
2. przeanalizować i określić faktyczną, obiektywna zdolność finansową firmy do poniesienia ryzyk (zdolność podejmowania ryzyka – risk taking capacity)
3. wyliczyć wielkość bufora finansowego (rezerw kapitałowych) pomiędzy ryzykiem podejmowanym a zdolnością podejmowania ryzyka
4. apetyt firmy na ryzyko określa, jak duży bufor powinien być utrzymany – innymi słowy jest wyrażony jedną kwotą w pieniądzu
5. zdefiniować tolerancję na ryzyko – akceptowalne poziomy dla każdego z istotnych ryzyk, pozostające w ścisłym związku z ogólnym apetytem na ryzyko (wymaganym buforem kapitałowym)
6. monitorować odstępstwa wielkości ryzyk od poziomów tolerancji i reagować, to znaczy modyfikować decyzje biznesowe na wszystkich poziomach zarządczych.

KPMG szczególnie podkreśla ostatni akt, gdyż on nadaje sens istnieniu apetytu na ryzyko i całej „zabawy” z jego wyznaczeniem. Mechanizm monitorowania wielkości ryzyk w odniesieniu do poziomów tolerancji na ryzyko powinno być sprzężone z mechanizmami mierzenia performance w firmie oraz kształtowaniem kultury ryzyka. 

 

Wstęp pokazujący w skrócie dotychczasowe przemyślenia mamy za sobą – czas otworzyć puszkę pandory przygotowaną przez IRM.

Zespół pracujący pod okiem Richarda Andersona jest dość kategoryczny na temat kilku kluczowych kwestii:

• pojęcie apetytu na ryzyko opiera się na równowadze skłonności do podejmowania ryzyka (propensity to take risk) oraz skłonności do kontrolowania ryzyka (propensity to exercise control); nie można tych dwóch zjawisk rozpatrywać w oderwaniu od siebie
• apetyt na ryzyko musi być mierzalny, a różne miary będą przykładane na poziomie strategicznym, taktycznym i operacyjnym
• nie ma jednego zagregowanego apetytu na ryzyko dla firmy – są różne apetyty na ryzyko dla różnych (grup) ryzyk
• apetyt na ryzyko zmienia się w czasie, musi być więc co jakiś czas wyznaczany od nowa (aktualizowany)
• wyjątkowo w przypadku apetytu na ryzyko prostota może prowadzić donikąd
• apetyt na ryzyko nie jest dla początkujących: wymaga określonej dojrzałości systemu zarządzania ryzykiem w organizacji. 

Dokument zasadniczo skupił się na pojęciu apetytu na ryzyko przyjmując, że tolerancja na ryzyko jest wtórnym i znacznie mniej kłopotliwym pojęciem oraz jest znacznie łatwiejsza do zdefiniowania i wyznaczenia. Zespół IRM zgadza się zasadniczo z moją propozycją sprzed kilkunstu miesięcy, że apetyt na ryzyko określa chęć przemyślanego podejmowania ryzyka „w pogoni” za zyskiem czy wartością, natomiast tolerancja na ryzyko określa poziom (niechcianego) ryzyka, jakie jesteśmy przygotowani ponieść.

IRM studzi nadmierny zapał do przedwczesnej „zabawy” w apetyt na ryzyko: posługiwanie się tym narzędziem przez organizację, która jest niedojrzała i nie potrafi jeszcze w pełni kontrolować swoich ryzyk i ich poziomu, zupełnie niczego nie wnosi. To trochę tak, jakbyśmy planowali wycieczkę rowerową nie potrafiąc jeszcze samodzielnie jeździć i skręcać rowerem. IRM proponuje oceniać dojrzałość zarządczą firmy na czterech płaszczyznach:

1. kontekst biznesowy (sektor, złożoność łańcucha dostaw, otoczenie konkurencyjne, rozproszenie geograficzne …)
2. kultura zarządzania ryzykiem (postawy wobec ERM, czy wiedza / informacja na temat ryzyk w firmie realnie wpływa na sposób podejmowania decyzji, czy porażki w zarządzaniu ryzykiem czegokolwiek uczą firmę)
3. proces zarządzania ryzykiem (integracja ze strategią i planowaniem, integracja z systemem zarządczym i raportowaniem, procedury delegowania)
4. systemy IT wspierające zarządzanie ryzykiem. 

Z kolei poziom kultury zarządzania ryzykiem może być mierzony – tutaj IRM wzoruje się na opracowaniach Alexa Hindsona, IRM Chairman, którego miałem przyjemność poznać kilka lat temu w AIRMIC. Jako punkt odniesienia Alex proponuje badać między innymi następujące cechy czy zachowania firmy:

1. przywództwo zarządzania ryzykiem
2. sposób reagowania na złe wieści
3. transparentność ryzyka w firmie
4. zasoby i kompetencje oddane do dyspozycji funkcji zarządzania ryzykiem
5. decyzje związane z ryzykiem
6. nagradzanie właściwego podejmowania ryzyka.

Zespół Andersona stwierdza, że nie da się sformułować apetytu na ryzyko w firmie jedną liczbą, czy też jednym czarno-białym określeniem. Proponuje natomiast myśleć o wielu apetytach na ryzyko, innych dla różnych grup (klas) ryzyk oraz dla różnych poziomów zarządczych w firmie. Myślę, że ta teza jest trzonem raportu IRM i przełomem w myśleniu o apetycie. Ilustracją nowego myślenia na temat apetytu na ryzyko jest poniższy schemat:

Równowaga pomiędzy skłonnością do podejmowania ryzyka (propensity to take risk) oraz skłonnością do jego kontrolowania (propensity to exercise control) na każdym poziomie zarządczym znajduje się gdzieś indziej:

• na poziomie strategicznym apetyt na ryzyko dotyczy ryzyk, które stanowią o przewadze konkurencyjnej, albo wobec których firma dysponuje unikalną kompetencją (wiedzą); tutaj równowaga jest zdecydowanie przesunięta w kierunku podejmowania ryzyk (np. outsourcingu, rozwoju nowych produktów, nowych źródeł finansowania, wejść na nowe rynki)
• na poziomie taktycznym następuje zbilansowanie stopnia podejmowania ryzyka i jego kontrolowania; utrzymywanie założonego apetytu na ryzyko dotyczy zwykle ryzyk wiążących się z realizacją już ustalonej strategii firmy – tam gdzie zakłada ona podejmowanie większego ryzyka, na poziomie operacyjnym powinno nastąpić odpowiednie  wzmocnienie (dopasowanie) środków kontroli
• apetyt na ryzyko na poziomie operacyjnym ma być wskazówką dla kierowników, jak mają postępować i decydować w obliczu określonych zagrożeń bez konieczności konsultowania wszystkiego z poziomem dyrektorów czy zarządu; tak pojęty apetyt na ryzyko wzmacnia ich kompetencje i uprawnienia.

Ustalanie apetytu na ryzyko powinno rozpocząć się od ustalenia, dlaczego ogóle firma podejmuje określone ryzyko lub chce się nim zajmować. W tym celu zespół IRM, idąc w ślad za Richardem Andersonem, posiłkuje się zupełnie nową taksonomią ryzyk:

Zgodnie z tą taksonomią, punktem wyjścia do zdefiniowania apetytu na ryzyka we wszystkich obszarach w firmie byłaby następująca postawa:

1. podejmujemy tylko ryzyka dla nas wyraźnie widoczne (directly discernible)
2. warunkowo – tj kiedy dysponujemy wiedzą i zasobami – eksponujemy się na ryzyka widoczne za pomocą nauki (visible through science)
3. nigdy nie podejmuje my ryzyk dla nas abstrakcyjnych, gdzie nie mamy żadnego know-how (virtual).

Rzecz w tym, że to samo portfolio ryzyk zostałoby w zupełnie inny sposób podzielone na trzy wymienione grupy w firmach z różnych sektorów czy też z różnymi doświadczeniami.

Cierpliwości – dochodzimy do sedna (czy pisałem już, że dokument ma 45 stron ?)

Trochę odmiennie niż na poprzednim obrazku, Richard Anderson (szef zespołu roboczego AIRMIC) sam jest zwolennikiem postrzegania apetytu na ryzyko zgodnie z poniższą ilustracją:

Tutaj również jest równowaga pomiędzy skłonnością do podejmowania ryzyka i skłonnością do jego kontrolowania, ale widziana z perspektywy:

1. rodzaju ryzyka (jak wyżej)
2. charakteru naszej interakcji z ryzykiem
3. risk clockspeed
4. środków kontroli.

Na trzech wymienionych poziomach zarządczych IRM proponuje inaczej wyznaczać  mierzyć apetyt na ryzyko. Na poziomie strategicznym punktem odniesienia ma by wartość dla udziałowców, mierzona w następujący sposób:

Uogólniając, jest ona wypadkową cash flow, zdyskontowaną o koszt kapitału i pomniejszoną o wartość zadłużenia. Powyższy ideogram jest przykładem – IRM zaprasza do własnych wariacji na temat i jako alternatywę podaje np. EVA (Economic Value Added). Ja osobiście zastanowiłbym się, co stanowi tzw „value drivers” dla firmy i postarał się wyrazić apetyt na ryzyko właśnie tą wartością. Na poziomie taktycznym zespół Andersona proponuje stare i „sprawdzone” KRI (Key Risk Indicators) a na poziomie operacyjnym – KCI (Key Control Indicators).

W tym miejscu staje się jasne, że wyznaczenie apetytu na ryzyko (i monitorowanie wielkości ryzyk w stosunku do apetytu lub poziomu tolerancji) nie obędzie się bez twardych danych. Samo ciśnie się pytanie: jak zgrać opomiarowanie ryzyk z opomiarowaniem (wyznaczeniem) apetytu na ryzyko ? Obie grupy danych muszą się przecież opierać na tych samych kryteriach – po raz pierwszy w sposób twardy apetyt na ryzyko będzie przywoływany już na etapie szacowania i mapowania ryzyk.

Sama metodologia wyznaczania apetytu na ryzyko proponowana przez IRM opiera się na kilku etapach, między innymi na określeniu aktualnej, ogólnej ekspozycji firmy na ryzyko, określeniu „pojemności” firmy na ryzyko (risk bearing capacity) oraz maksymalnej ekspozycji, jaką zarząd będzie jeszcze tolerował w podziale na klasę ryzyk. Pachnie to bardzo mocno metodologią Paula Hopkina równoważenia pojemności i ekspozycji na ryzyko, jaką opisywałem wcześniej.

Dokument zespołu IRM do końca odziera nas ze złudzeń zakładając, że za pierwszym razem opracowanie algorytmu wyznaczania apetytu na ryzyko nie będzie satysfakcjonujące i będzie wymagać prawdopodobnie wielokrotnych poprawek. Ponadto, dobrą praktyką powinno być dokonanie corocznych przeglądów apetytu na ryzyko, gdyż ten będzie zmienny.

Apetyt na ryzyko wymaga żelaznej konsekwencji: po tym jak już zostanie wyznaczony dla poszczególnych grup (klas) ryzyk i skaskadowany w dół w postaci tolerancji na określone ryzyka, zarząd powinien wymagać, aby dyrektorzy i kierownicy decydowali i funkcjonowali w granicach w ten sposób wyznaczonych. Powinno się określić zasady postępowania w sytuacjach, gdy ryzyko zbliża się lub przekracza wyznaczone poziomy krytyczne oraz zasady „eskalowania” decyzji w górę. Zarząd również powinien wiedzieć, jak będzie sobie radził z sytuacjami, kiedy „gorset” wynikający z apetytu na ryzyko będzie wywoływał spięcia i napięcia w firmie.

Zapowiada się, że apetyt na ryzyko to początek bardzo długiej podróży … 

 

IRM wierzy, że rozwój i implementacja apetytu na ryzyko będzie miało diametralny wpływ na sposób, w jaki firmy są zarządzane. Instytut mówi o swoim dokumencie „consultation paper” i zachęca wszystkich – a więc również i Ciebie, drogi czytelniku – do zgłaszania swoich uwag i pomysłów, oraz kształtowania ostatecznej formy tego dokumentu, na adres mailowy Carolyn Williams, the Head of Thought Leadership w IRM: Carolyn.Williams@theirm.org

Przyczynkiem do dalszej dyskusji jest seria pytań kierowanych do Ciebie i zarządu Twojej firmy, na przykład:

1. jakie istotne ryzyka chce zarząd podejmować, a których nie chce podejmować ?
2. czy firma jest w stanie jednoznacznie ocenić dojrzałość swojego zarządzania ryzykiem ? Czy ta ocena jest zbieżna na wszystkich poziomach zarządczych ?
3. ile rocznie firma wydaje na zarządzanie ryzykiem ? Czy to kwota optymalna, czy też za dużo lub za mało ?
4. jakie są wewnętrzne i zewnętrzne czynniki, determinujące wagę i relacje skłonności do podejmowania ryzyka przez firmę i jej skłonności do kontrolowania ryzyka ?
5. czy firma ma pełną świadomość swojej interakcji z różnymi ryzykami ?
6. czy firma jest gotowa radzić sobie z wewnętrznymi napięciami i tarciami, jakie będzie wywoływać przestrzeganie wyznaczonego apetytu (tolerancji) na ryzyko ?

Prawie rok temu, relacjonując dyskusję z Kevinem Knight nt nowo publikowanego ISO 31000, pisałem (co prawda nie wprost) równiez o słabych stronach COSO II. 

Ostatnio trafiłem na inny głos – poza głosem Kevina – na temat wybitnych słabości COSO II.

Wywód Normana Marksa jest tak zrozumiały i przyjazny, że nie tłumaczę go – proszę przeczytać w oryginale.

Wasz w ryzyku,

R.