Dobre praktyki dla spółek notowanych na GPW stanowią w sekcji III pkt 1, że rada nadzorcza powinna raz w roku sporządzać i przedstawiać zwyczajnemu walnemu zgromadzeniu zwięzłą ocenę sytuacji spółki, z uwzględnieniem oceny systemu kontroli wewnętrznej i systemu zarządzania ryzykiem istotnym dla spółki. Taki zapis w Dobrych Praktykach obowiązuje już od co najmniej trzech lat, jednak spółki robią z tym zapisem „dziwne rzeczy” – albo go nie rozumieją i interpretują jako zapis o charakterze SOX, albo udają że nie rozumieją – gdyż boją się zarządzania ryzykiem i nie wiedzą co z nim począć.

Pierwszy z brzegu przykład oświadczenia spólki giełdowej o stosowaniu Dobrych Praktyk:
„3. Opis głównych cech stosowanych w spółce systemów kontroli wewnętrznej i zarządzania ryzykiem w odniesieniu do procesu sporządzania sprawozdań finansowych i skonsolidowanych sprawozdań finansowych”. Proszę zwrócić uwagę, jak zgrabnie spółka sprowadziła bardzo ambitne zadanie „zarządzania ryzykiem istotnym dla spółki” do czynności czysto księgowej – „żebyśmy tylko nie pomylili się w papierach dotyczących sprawozdania finansowego”. W tym miejscu każdego risk managera aż korci, żeby rzucić jakimś bardzo ciężkim słowem.

Z drugiej strony, to idealna sytuacja, w której powinno uaktywnić się Stowarzyszenie Polrisk i wydać przewodnik, manual, zalecenia – cokolwiek, co ten krótki zapis z Dobrych Praktyk zamieni w jednoznaczy opis ról, obowiązków, zadań i ich rezultatów, adresowany do zarządów i rad nadzorczych spółek notowanych na GPW. Jestem przekonany, że jeśli będzie to rzetelnie przygotowany dokument, znajdzie poparcie wśród środowisk giełdowych.

Do tej pory spółki mogły postępować jeszcze bardziej przewrotnie – mogły w swoich oświadczeniach zwyczajnie informować, że w spółce nie ma systemu zarządzania ryzykiem i/lub kontroli wewnętrznej a zatem rada nadzorcza zwalnia się z obowiązku kontrolowania tegoż i meldowania akcjonariuszom. To trochę tak, jakby specjalista ppoż w przedsiebiorstwie produkcyjnym informował, że „u nas nie stosuje się gaśnic ani hydrantów, w związku z tym specjalista ppoż nie widzi potrzeby aby raportować zarządowi nt stanu systemu ppoż w przedsiębiorstwie”.

Jednak należy pamiętać, że od paru lat mamy Dyrektywę UE nr 8, która (w najnowszej wersji) w artykule 41 sekcji 2b jednoznacznie stwierdza, że:
„komited audytu (tj organ rady nadzorczej) powinien monitorować efektywność systemów kontroli wewnętrznej, audytu wewnętrznego oraz zarządzania ryzykiem”
Interesujące nas zapisy z Dobrych Praktyk GPW stają się zatem obowiązującym prawem. Przez niektórych, 8 dyrektywa jest zwana „europejskim Sarbanes Oxley Act” lub Euro-SOX, choć moim zdaniem to nazwa krzywdząca i spłycająca sens dyrektywy (niezależnie od faktu, że 8 dyrektywa pozostawia spółkom znacznie wiecej swobody niż SOX w obszarze „JAK ?”). Tak jak na poziomie narodowym w naszym Kraju zabrakło szybkiej reakcji społeczności menedżerów ryzyka na pojawienie się Dobrych Praktyk, tak na rynku europejskim społeczność w końcu zareagowała i to właściwie. FERMA (Federation of European Risk Management Associations) wraz z ECIIA (European Confederation of Institutes of Internal Auditing) wspólnie zredagowały i opublikowały przewodnik dla rad nadzorczych, zarządów, audytorów wewnętrznych i komitetów audytów, oraz osób odpowiedzialnych za zarządzanie ryzykiem i kontrolę wewnętrznę w spółkach.

Przewodnik stanowi wykładnię, jak 8 dyrektywa (art 41 sekcja 2b) powinna być należycie rozumiana. Nawiasem, przewodnik jednoznacznie stwierdza, że mechanizmy kontroli wewnętrznej stanowią jedynie element składowy systemu zarządzania ryzykiem.

Co ciekawego znalazłem w przewodniku ? Przede wszystkim jasny podział ról i obowiązków podstawowych szczebli zarządczych spółki:

• Rada nadzorcza
  1. ustanawia apetyt na ryzyko
  2. jest informowana o najwazniejszych ryzykach spółki
  3. upewnia się, że zarząd własciwie reaguje na nie
• CEO i zarząd
  1. odpowiada za zaistnienie w spółce właściwej kultury i środowiska sprzyjających ERM
  2. stanowi siłę przewodnią dla dyrektorów operacyjnych w kontekście zarządzania ryzykiem
  3. reaguje w sytuacji braku harmonii pomiędzy apetytem na ryzyko a podejmowanym ryzykiem
  4. członkowie zarządu osobiście zarządzaja istotnymi ryzykami w ich obszarach funkcjonalnych lub kompetencyjnych
• Dyrektorzy operacyjni
  1. są właścicielami ryzyk w obszarze konkretnych funkcji, procesów i departamentów
  2. odpowiadają za codzienne czynności i procedury systemu zarządzania ryzykiem.

Obie organizacje, które stworzyły przewodnik,  jednoznacznie popierają utworzenie centralnej funkcji risk managera, który powinien raportować bezpośrednio do CEO lub członka zarządu. Przywołują nawet górnolotny tytuł Chief Risk Officer, sugerujący zasiadanie w zarządzie.

• Obowiązki risk managera bądź jego działu to:
  1. ustanawianie celu dla ERM (choc zdaniem autora poprzeczka odpowiedzialności jest postawiona zbyt wysoko, to jest bowiem rola zarządu)
  2. ustanowienie ram, procesów i funkcji systemu zarządzania ryzykiem
  3. promowanie kompetencji potrzebnych w zarządzaniu ryzykiem (wspólny język i kryteria oceny, zasady raportowania).
• W końcu zdefiniowana zostaje rola audytu wewnętrznego:
  1. gwarantowanie, że ryzyka w spółce są rozumiane i właściwie oraz aktywnie zarządzane
  2. funkcjonowanie w roli wewnętrznego konsultanta, doradzającego jak poprawić funkcjonowanie corporate governance, zarządzanie ryzykiem i środowisko kontroli.

Warunkiem powyższego jest całkowita niezależność audytu.

Trzy podstawowe systemy omawiane w przewodniku: kontroli wewnętrznej, zarządzania ryzykiem oraz audytu wewnętrznego stanowią tzw. „trzy linie obrony” i fundamenty corporate governance.

W sferze szczegółowych zaleceń przewodnika interesujące są następujące tezy:

• sens wymaganego przez 8 dyrektywę monitorowania efektywności systemów kontroli wewnętrznej, audytu wewnętrznego oraz zarządzania ryzykiem polega na uzyskaniu dogłębnej wiedzy, jak zagrożenia i szanse wpłyną na model biznesowy i zdolność generowania wartości przez firmę
• właścicielstwo ryzyka jest częścią zasady delegowania obowiązków w firmie, a jakość jego sprawowania wpływa na zasady wynagradzania
• przedmiotem raportowania ryzyk powinien być nie tyle ich stan, co zmiana
• ważne i często niedoceniane komponenty systemu kontroli wewnętrznej to kultura i „code of conduct” organizacji (w tym ochrona tzw. whistleblowers), polityka HR oraz system motywacyjny
• dwa podstawowe warunki skutecznej kontroli wewnetrznej to niezależność i profesjonalizm audytorów.

Przewodnik podsumowuje, że monitorowanie efektywności systemów kontroli wewnętrznej, audytu wewnętrznego oraz zarządzania ryzykiem wymaga sporego zaangażowania czasowego członków rady nadzorczej (komitetu audytu), wykraczającego poza kilka spotkań.

Zredagowanie takiego dokumentu to kolejna dobra inicjatywa FERMA, zasługująca na lokalne naśladownictwo. Dla nas, risk managerów, to spora szansa rozwoju profesji – mówi jego współautor, Paul Tylor. Przewodnik jest dostępny do pobrania na witrynie FERMA.

 

Poniżej pobieżne porównanie 8 Dyrektywy oraz SOX:

Jeszcze kilka lat temu oswajaliśmy się z pojęciem ryzyka i obłaskawialiśmy je, zastanawiając się, jak je opisać jako coś wymiernego, namacalnego i zrozumiałego dla menedżerów operacyjnych. Wtedy była mowa o elementarzu: „skutek razy prawdopodobieństwo” i zawsze były skojarzenia negatywnego skutku. Tylko wtajemniczeni potrafili sobie wyobrazić ryzyko jako wartość księgową, którą można amortyzować rok po roku. Szczytem awangardy było przyjęcie do wiadomości istnienie tzw ryzyk pozytywnych (upside risk) w odróżnieniu od negatywnych. Pojawiały się pierwsze dwubiegunowe mapy ryzyka uwzględniające jego ciemną ale i jasna stronę, jak ta poniżej.

Jednak czas już trochę skomplikować ten prosty, czarno-biały świat złego i dobrego ryzyka. Ryzyko ma więcej form pośrednich – jakby półcieni, i postanowiłem pokazać je z takiej perspektywy podczas prowadzonego przez siebie modułu Kursu Polrisk, o jakim już pisałem.

W krajach anglosaskich na poziomie korporacji mówi się o kilku typach i formach ryzyka, z których tutaj przytoczę kanon promowany przez Paula Hopkina – między innymi w jego najnowszej książce.

• Ryzyka hazardowe (ogień, powódź, kradzież, utrata klienta) mogą być wyłącznie negatywne (akademicy nazwaliby je ryzykami czystymi). Pojęcie tego ryzyka pojawiło się już dawno – jeszcze przed latami 80-tymi. Menedżer ryzyka będzie się starał zmniejszyć możliwą do wystąpienia stratę.
• Jest jeszcze „ryzyko kontroli” lub po prostu ryzyko niepewności czy też ryzyko spekulacyjne – to pojęcie pojawiło się w latach 90-tych. Podobnie jak w ryzykach hazardowych możemy mieć do czynienia jedynie z bilansem ujemnym, ale ma on nieco inne podłoże. Ryzyko kontroli dotyczy zjawisk które z natury obarczone są niepewnością, a do wyników których chcemy mieć jak najwyższą pewność (np wynik prowadzonych projektów). Bilans ujemny to niekoniecznie wynik działania samego ryzyka, ale nakłady jakie jesteśmy skłonni ponieść na kontrolowanie tego typu ryzyk – sprowadzenie wszystkich możliwych scenariuszy i wyników do jak najwęższego zakresu; to jest zwykle zadanie risk managera.
• „Ryzyka korzyści” (opportunity risks) wiążą się z akcją podejmowania ryzyka przez firmy (inwestycja, nowy rynek, nowy produkt czy też ulubione rok temu przez polskich przedsiębiorców opcje walutowe) w pogoni za nowymi przychodami i zyskami. Jak wszystko pójdzie dobrze – ryzyko będzie miało wynik pozytywny, jak firma będzie miała pecha i dodatkowo wszystko zchrzani – ryzyko będzie miało wynik negatywny. Wszystkie trzy grupy ryzyk stanowią pewnego rodzaju continuum.

I żeby spointować – po co aż tak sobie utrudniać życie ? Bowiem zsumowanie maksymalnej ujemnej wartości ryzyka hazardowego, jakie firma jest w stanie przetrwać (czyli po ludzku – największej szkody), z maksymalną ujemną wartością ryzyka korzyści (czyli ilością kapitału, jaki firma jest w stanie zaryzykować w kontekście np nowego produktu) oraz maksymalnymi nakładami jakie firma godzi się ponieść na zjawiska niepewności – daje w sumie tzw pojemność na ryzyko.

Z zasady, pojemność na ryzyko powinna być nieco większa niż apetyt na ryzyko lub zbliżona do niego – wtedy firma jest zbilansowana w sposób neutralny (optymalny). Jeśli firma ma apetyt znacznie przekraczający jej pojemność na ryzyko – mówimy o tzw risk takers lub firmach agresywnie podejmujących ryzyko (jak na poniższym obrazku). Jeśli apetyt na ryzyko jest znacznie niższy niż pojemność na ryzyko – mamy do czynienia z firmą przejawiającą awersję do ryzyka.

Z półtoramiesięcznym opóźnieniem spowodowanym przez Wielką Chmurę zjawił się w Polsce Kevin Knight, współautor AS/NZS 4360 oraz współtwórca ISO 31000, o którym już pisałem.

Poczytuję to za źródło mojej osobistej satysfakcji, gdyż wypalił pomysł „sprzedania” Stowarzyszeniu Polrisk mojego wieloletniego – choć dotąd niezbyt pielęgnowanego – kontaktu z Kevinem, jaki nawiązałem jeszcze na Forum FERMA w Lizbonie. Kevin spędził w Polsce trzy dni, z czego cały dzień 07 czerwca i cały dzień 09 czerwca rozmawiał z nami na temat praktycznych aspektów wdrażania ISO 31000 w firmie. Niby dla mnie już „stary” temat, ale jednak było warto przyjechać – wynotowałem kilka nowych spostrzeżeń.

Dlaczego to menedżerowie operacyjni (a nie tylko menedżer ryzyka) powinni czuć się odpowiedzialni za zarządzanie ryzykiem ? „The risk makers and the risk takers should be the risk managers„.

W kontekście znanej zasady, że identyfikacja ryzyk powinna być osadzona w strukturze celów biznesowych, zapytałem co Kevin sądzi o tezie wyprowadzonej przez Paula Hopkina w jego nowej książce. W skrócie teza mówi, że wyprowadzanie ryzyk z (ich identyfikacja na podstawie) wyłącznie celów biznesowych nie jest wystarczająco dobra. Paul argumentuje, że należy rozpocząć od celów biznesowych oraz interesów stakeholders, z których wynikają procesy biznesowe przebiegające w firmie, bazujące na zależnościach (np ze światem zewnętrznym). Stąd ryzyk należy również szukać w zależnościach i procesach. Kevin zgodził się z tą tezą, podkreślając, że identyfikując ryzyka nie należy patrzeć tylko do wewnątrz firmy (jak to np dzieje się w COSO) lecz również na zewnątrz – np przez wspomniane zalezności. Opowiadając o ISO 31000 Kevin podkreślał wagę nie tylko informowania ale i konsultowania wszystkich działań i aspektów ryzyka podczas wdrażania struktur ramowych ERM. Ten „duplexowy” aspekt komunikowania spełnia wielką rolę wyczucia interesów stakeholders oraz percepcji ryzyka przez kluczowych graczy w firmie.

Padło z sali ciekawe pytanie jak się ma w Australii wprowadzanie ISO 31000 do małych i średnich firm bez rozbudowanych struktur corporate governance. Kevin przyznał, że w gospodarkach o korzeniach anglosaskich (np USA, Anglia, Australia czy RPA) zasady corporate governance – w tym wymóg zarządzania ryzykiem – są wymuszone przez otoczenie prawne i regulatorów, a tym samym egzekwowanie ERM – nawet wśród małych firm – jest tam znacznie łatwiejsze.

Niby banał, ale ciekawa refleksja: wśród tzw „residual risks” (do dziś nie znalazłem dobrego polskiego odpowiednika), są również ryzyka dotąd niezbadane (tzw „emerging risks„) lub nawet nieuświadomione (tzw „unknown unknowns„) – stąd ta pozostałość może się w kluczowym momencie okazać znacznie większa i bardziej zabójcza, niż wyobraża sobie zarząd firmy …

Bezpośrednio po opublikowaniu ISO 31000 (a konkretnie w listopadzie zeszłego roku) opublikowano uzupełniający dokument ISO 31010 – „Risk Assessment Techniques”. Jak mówił mi Kevin, dokument jest praktycznym przewodnikiem po gąszczu metod i narzędzi, wsród których dotąd łatwo było się zgubić początkującym menedżerom ryzyka. Mimo, że w pogoni za terminem publikacji (miał on być jak najbliższy publikacji normy 31000) utracono część wartości merytorycznej jaką dokument mógł nieść, wypełnia on lukę jakiej nie wypełniała porządnie żadna z dotychczasowych praktyk ERM. Kevin zapowiedział, że podczas najbliższego przeglądu standardu 31010 (w roku 2012) nastąpi jego uzupełnienie i rozwinięcie jego pełnego potencjału.

Kolejną dla mnie nowością była informacja, że prawdziwe ERM zaczęło się w Australii nie od wielkich międzynarodowych korporacji, ale od instytucji państwowych, gdyż nie było im wolno kupować ubezpieczenia – musiały więc sobie radzić inaczej. Z kolei głos Ani Słodczyk uzupełnił tę informację o spostrzeżenie, że ISO 31000 idealnie wpisuje się w wymogi stawiane przed jednostkami finansów publicznych przez nową regulację dotyczącą kontroli zarządczej (Komunikat 23).

Znając awersję Kevina do COSO II – ERM Framework i pasję, z jaką krytykuje ten dokument, z zaciekawieniem czekałem na wielki finał (gdyby do niego nie doszło miałem sam zamiar wyciagnąć trupa z szafy i zadać pytanie nt COSO). I rozczarowałem się – Kevin wypowiedział się w niebywale polityczny sposób, że COSO nie sprawdziło się w wiekszości sektórów, gdzie zarządzanie finansami nie było krytyczne. Podczas dyskusji na Forum FERMA w Pradze atak na COSO był frontalny, miażdżący i bezkompromisowy …

W materiałach, jakie przekazał autor można znaleźć mnóstwo intersujących źródeł i „ściąg”:
– źródła ryzyk i wskazówki gdzie ich szukać
– przykład wielowymiarowego definiowania skali skutku
– checklista możliwych interesariuszy
– kilkustronnicowa lista książek i witryn internetowych z materiałami do ściagnięcia.