Jakiś czas temu z entuzjazmem zapowiadałem książkę „Practical Enterprise Risk Management” Gregorego Duckerta i obiecałem, że podzielę się refleksjami po jej przeczytaniu. Ten wpis ukazuje się wiele tygodni później niż chciałem, gdyż wraz z czytaniem „grzęzłem” w tekście. Książka zapowiadała się znakomicie, jednak w trakcie jej czytania coraz bardziej czułem rozczarowanie.

Zastanawiam się, czy bardziej mówi ona o zarządzaniu ryzykiem, rzemiośle rzetelnego zarządzania firmą, czy o utopijnej koncepcji opomiarowania wszystkiego terabajtami wskaźników o jakiej wspominał kiedyś Pan Jerzy na jednej z konferencji Polrisk. Poniżej kilka spostrzeżeń, na temat dość charakterystycznych dla Duckerta koncepcji.

Duckert uważa, że jednym z przedsięwzięć, które najbardziej zaszkodziło ERM jest wprowadzenie SOX (Sorbannes Oxley Act), z czym się całym sercem zgadzam. Problemy ryzyka bowiem ani nie rodzą się ani nie kończą w obszarze finansów, lecz poza nim. Lakarstwem na tę chorobę miało być COSO II, któremu autor poświęca sporo miejsca. Podkreśla różnice pomiędzy COSO I i COSO II, np. pojawienie się strategii jako bazy nowego procesu oraz wskazuje na absurdy COSO I, które np. najpierw mówi o działaniach kontrolnych (pozbawionych kontekstu ryzyka) a dopiero później o oszacowaniu ryzyka. 

Duckert obnaża próby porównywania ERM do kontroli finansowej argmentując, że w sprawozdaniach finansowych widać jedynie to co już się stało faktem, a nie ryzyka – które należą do przyszłości, obszaru niepewności – i nie można na ich podstawie kontrolować ryzyka. Ale podobnie nie oszczędza pewnych powszechnych w ERM praktyk – na przykład stosowanie miar skutku lub ryzyka: „mały”, „średni”, „duży” – bez żadnego umocowania do twardych wartości. Równie bezlitośnie obszedł się z tzw. Wielkim Konsultingiem zauważając, że ich przekonanie o generowaniu wartości dodanej przez wdrażane skomplikowane systemy zarządczej de facto dotyczy jedynie wartości (pieniężnej) generowanej przez projekty wzdrożeniowe dla samych doradców …  

Wg Duckerta ryzyko to łańcuch zdarzeń, a zdarzenie inicjujące (prekursor) zwykle pociąga za sobą wiele ryzyk następczych potęgujących intensywność ekspozycji. Ryzyko pierwotne (trigger) ujawnia się w postaci ryzyk następczych w innych, niekiedy odległych funkcjach czy obszarach firmy. Stąd ryzykiem należy zarządzać – mitygować je – u źródła. Na potrzeby tego stosunkowo prostego stwierdzenia Duckert tworzy dwa nowe pojęcia: TREC (The Risk Evolution Chain) i MORE (Multiple Organizational Risk Effect). To jeden z problemów tej książki i autora – dziesiątki skrótów tworzonych na potrzeby tekstu zajmującego kilka stron. Jak można w sposób bardziej skomplikowany nazwać koncepcję właścicielstwa ryzyka ? Na przykład DRAM (Distributed Risk Assesment and Management). 

Autor proponuje zupełnie nowe znaczenie terminu ekspozycja (exposure), z którym się zupełnie nie zgadzam – próbuje jego znaczenie przyrównywać do terminu „skutek” – oba wg Duckerta są następstwem wystąpienia ryzyka jako zdarzenia. Być może tak jest w Stanach Zjednoczonych, ale w Europie nie mamy wątpliwości, że
złożenie ekspozycji i hazardu daje ryzyko, które ma swoje następstwa (skutki)

Również trudno się zgodzić z tezą, że ryzyko to odwrotność rezultatu, efektu procesu (jeśli np. rezultatem procesu ma być minimalizacja kosztów wydobycia jednej tony to ryzykiem byłaby maksymalizacja kosztów wydobycie …)

Myślą przewodnią, mantrą całej książki jest zarządzanie ryzykiem oparte na danych (data driven risk management). Duckert wyobraża sobie zarządzanie ryzykiem jako bibliotekę wskaźników opisujących wszystkie procesy i każdy jego element, za pomocą których – dzięki wszechogarniającego firmę systemu informatycznego – zarządzający mają wyprzedzającą informację o zagrożeniach dostępną w czasie rzeczywistym i w czasie rzeczywistym zapobiegają ryzykom w sposób najbardziej optymalny. Jeśli już cokolwiek realnego to przypomina – to po prostu zarządzanie procesem, nie ryzykiem. Trzeba autorowi przyznać, że rzeczywiście przyłożył się do skatalogowania pokaźnej listy przykładowych KRI dla różnych dziedzin i funkcji typowej firmy, chociażby:

• finanse, skarb, podatki, prawo
• HR, IT, zakupy, marketing
• planowanie biznesowe, planowanie produkcji, 
• logistyka, kontrola stanów magazynowych
• zapewnienie jakości.

Jednak wspomniana lista KRI zajmująca kilkanaście stron wydaje się potwierdzać, że Duckert nie pisze o zarządzaniu ryzykami lecz o optymalizacji biznesu, procesów i funkcji.

Czym głębiej w las, tym więcej muchomorów – kolejne strony poświęcone jakoby metodom analizy ryzyka opisują mniej czy badziej znane metody analizy statystycznej ogólnie: analiza trendu, punkt kluczowej zmiany (Pivotal Point of Change), analiza średniej dyspersji, analiza porównawcza okresów … Niestety wszystkie dotyczą analizy historii, żadne nie pomaga zrozumieć ryzyka rozumianego jako niepewność przyszłości.

Na koniec – bardzo zabawna jest maniakalna poprawność polityczna autora: wszędzie gdzie normalnie napisano by „on, jemu” itp Duckert pisze „ona, jej„, np. „taki właśnie model raportowania powinna budować każda CRO w jej organizacji”.

stąd – Wasza w ryzyku,
R