Apetyt i tolerancja na ryzyko – to magiczne słowa, jakie coraz częściej pojawiają się w prezentacjach, metodologiach i opracowaniach dotyczących ERM. Aby firma była w stanie zająć świadome stanowisko wobec swoich ryzyk i zdecydować jaką przyjąć filozofię postępowania wobec całego portfela ryzyk, powinna najpierw określić jaki jest jej apetyt na ryzyko, oraz (lub ?) tolerancja na ryzyko. Na ostatnim Walnym Zebraniu Polrisk ktoś powiedział, że „z apetytem i tolerancją na ryzyko jest jak z Yeti” (tj. niby ktoś go widział, ale nikt nie ma pewności jak wygląda i gdzie go znaleźć). Czy apetyt i tolerancja na ryzyko są tożsame, czy też określają inne wielkości ? Czy należy je określać indywidualnie dla każdego ryzyka, dla grupy (kategorii) ryzyk czy też dla całego portfela ryzyk w firmie ? Nie ma w tym względzie jednomyślności zarówno między firmami (praktykami) jak i teoretykami ERM, firmy robią to intuicyjnie. Również przedstawiciel Deloitte na tym samym spotkaniu nie był w stanie jednoznacznie, w sposób ostry przedstawić sposobu wykorzystania obu pojęć w praktyce.

Już kilka late temu w gronie Polrisk zaproponowaliśmy następującą definicję:
„Zdolność organizacji do zakceptowania określonego poziomu ryzyka, który będzie nieustannie kontrolowany np. za pomocą środków kontroli ryzyka. Poziom tolerowanego ryzyka można wyliczyć jedną z metod koszykowych, bazujących na podstawowych parametrach finansowych firmy: obroty, zysk, majątek trwały. Ryzyko akceptowalne jest zwykle znacznie mniejsze niż ryzyko tolerowane, są to dwie różne wartości i pojęcia.”

Apetyt na ryzyko to ciągle bardziej koncepcja, teza, niż przydatne i praktyczne narzędzie. Nadal, ma ona wielu przeciwników, jak np. Richard Anderson: „… in my mind most of what is written about risk appetite is self-serving nonsense. As we stand at the moment, risk appetite is almost impossible to measure and can never sensibly be expressed … The suggestion that risk appetite is an elusive concept is anathema to many risk practitioners and risk consultants. However, there is no adequate approach to risk appetite that fits comfortably within a risk management framework.”

Panowie J. David Dean i Andrew F. Giffin w artykule „What’s Your Risk Appetite ?” opublikowanym w Emphasis 2009/1*, różnicują te dwa pojęcia w ten sposób, że zarówno apetyt jak i tolerancja to maksymalna całkowita (zagregowana) ekspozycja na ryzyko, jaką firma chce (bądź może) na siebie przyjąć podczas sięgania po swoje cele biznesowe, przy czym:

• apetyt to wartość o charakterze jakościowym, opisowym , wyznaczona przez zarząd w dyskusji z managerami i po konsultacjach z udziałowcami
• tolerancja to wartość o charakterze ilościowym, jaka może być monitorowania w różnych zakątkach firmy.

Innymi słowy, oba terminy oddają zarówno konieczność ograniczania ryzyka jak i jego podejmowania. Kaskadowanie poziomów tolerancji na ryzyko, o jakim piszę niżej, nazywają wyznaczaniem limitów ryzyka dla poszczególnych departamentów. Dalsze wywody, wiążące te parametry z kapitałem ekonomicznym, mówiące o konieczności „przetestowania” tych limitów oraz dotyczące VAR i procentowo określonych poziomów pewności osiągnięcia celów tzw performance, wskazuje na bankowe doświadczenia autorów. Jednak uniwersalne są co najmniej dwa znajdujące się w tekście stwierdzenia:

• apetyt (tolerancja) na ryzyko jest pomostem łączącym strategię z zarządzaniem ryzykiem,
• nie wystarczy ich ustalenie na poziomie organizacji jako jednej zagregowanej wartości, konieczne jest ich odzwierciedlenie na niższych poziomach zarządczych.

Poniżej przedstawiam mój nieco odmienny pogląd, propozycję jak te terminy należy rozumieć, uporządkować i w praktyce wykorzystać w firmie.

Wszelkie ryzyka można dzielić na różne sposoby, jednak w omawianym kontekście jest istotny jedynie podział na ryzyka:

• czyste (hazardowe, „negatywne”) – np. pożar, śmierć pracownika przy linii produkcyjnej, zmniejszenie kontyngentu na nasz produkt w kraju naszego głównego odbiorcy …
• spekulacyjne („pozytywne”) – np. rozpoczęcie sprzedaży nowego prodktu, zainwestowanie w nową technologię produkcji, inwestowanie w opcje …

Pierwszych w firmie nie chcemy widzieć wogóle, a jeśli już musimy je tolerować to najchętniej na najniższym możliwym poziomie jaki można osiągnąć bez wydawania na to majątku. Jeśli ryzyka czyste staną się zbyt wielkie (a pamiętajmy, że za ich ponoszenie firma nie otrzyma żadnych benefitów), to zarząd czuje się niekomfortowo i wychodzi z gry lub reaguje inaczej – gdyż został przekroczony jego próg tolerancji na ryzyko.

Drugie ryzyka to te, które chcemy świadomie podejmować, w zamian za obietnicę adekwatnych zysków. Niektóre firmy są bardziej skłonne niż inne do inwestowania w ryzykowne technologie, gdy jest sporo do wygrania. Zarządy, które mają spory apetyt na zyski czerpane z nowych technologii mają nieuchronnie spory apetyt na ryzyko, jakie się z nimi wiąże – to ryzyko ich nie zraża, nie stanowi dla nich nadmiernego dyskomfortu.

Tutaj można się na moment zatrzymać i podsumować: moim zdaniem tolerancja na ryzyko i apetyt na ryzyko opisują inne zjawiska, parametry stanu umysłowego zarządu i powinny być traktowane i wyznaczane odrębnie.

Jak w praktyce wyznaczać i wykorzystać te wielkości ?

Przyjmijmy, że jest sobie zakład produkcji chemicznej, którego CFO ocenił, że sytuacja finansowa firmy pozwoliłaby jej teoretcznie sfinansować samodzielnie jednorazową stratę w wysokości 60 mln PLN. Każda większa stratę mogłaby pociagnąć firmę w kierunku bankructwa. Zarząd następująco zdecydował co do swojego do apetytu (na „dobre”) i tolerancji (na „złe”) ryzyko:

• apetyt = 2/3 ww. kwoty progowej (tj. zarząd jest w stanie położyć na szali 40 mln, jeśli przedsięwzięcie łączy się z wystarczająco dużym zyskiem)
• tolerancja = 1/3 ww. kwoty progowej (tj. żadne zagrożenie inherentne dla biznesu, ale nie niosące za sobą żadnych konkretnych zysków, nie może zabrać firmie więcej niż 20 mln).

Firma przymierza się do zbudowania nowej fabryki, gdzie z wykorzystaniem nowatorskiej technologii zamierza produkować jako pierwsza na świecie nową klasę produktu. Wśród wielu ryzyk jakie zidentyfikowano, pojawiają się dwa główne:

• ryzyko spekulacyjne: (1) jeśli nowa technologia będzie funkcjonować tak, jak się tego firma spodziewa, można liczyć na dodatkowe 150 mln przychodów rocznie, (2) jeśli technologia zawiedzie lub się „nie sprzeda”, to firma poniesie koszt nietrafionej inwestycji w wysokości 25 mln
• ryzyko czyste: pożar hali produkcyjnej spowodowany utratą kontroli nad nowym procesem produkcji bedzie firmę kosztował 40 mln zł.

Decyzja zarządu wobec tych ryzyk będzie prawdopodobnie wyglądać następująco: ryzyko spekulacyjne takiej wielkości jest warte podjęcia (zarząd ciągle ma na nie apetyt), natomiast ryzyko czyste jest nie do przyjęcia (zarząd takiego ryzyka nie toleruje). Innymi słowy – nowa technologia i fabryka tak, ale w innej konstrukcji budynku, z innymi zabezpieczeniami czy warunkami technicznymi lub ze skutecznym transferem ryzyka np. na ubezpieczyciela.

To był stosunkowo prosty przykład. W rzeczywistości nie ma decyzji zero-jedynkowych lecz wielość departamentów, projektów, procesów, ryzyk i ich właścicieli. Zatem dobrą praktyką byłoby „kaskadowanie” progów tolerancji i apetytu na ryzyko na niższe poziomy zarządcze (jednestki biznesowe, dyrektorzy departamentów itp.). Apetyt na przykład w proporcji do zysków lub przychodów jakie generują departamenty, a tolerancja np. do wartości majątku jakim zarządzają. Każdy dyrektor powinien wiedzieć, ile ryzyka może sumarycznie pociągnąć za sobą jego polityka sprzedażowa (apetyt na ryzyko), oraz jaki poziom ryzyka czystego może w sumie zaakceptować (tolerować) swoim departamencie. Takie kaskadowanie jest lustrzanym odbiciem kaskadowania celów biznesowych od poziomu zarządu do poziomów dyrektorów i kierowników, oraz kaskadowania właścicielstwa ryzyka, w dół tych samych szczebli zarządczych. Stanowi to czytelny sygnał dla właścicieli ryzyk (menedżerów) na poszczególnych szczeblach, czego zarząd od nich oczekuje: na ile agresywnie mają sięgać po „dobre” ryzyka i jak duża lub mała ma być ich awersja do „złych” ryzyk.

* Patrz również: „Risk Appetite: A Boundary for Decisions”, Emphasis 2008/1.

Kilkadziesiąt wpisów wcześniej pisałem o korzyściach z wprowadzenia ERM. W badaniach poświęconych ERM często przewija się wątek kosztów zarządzania ryzykiem – zarówno w kontekście kosztu ryzyka jak i ogólnie jako element bilansu zysków i strat z wprowadzenia ERM w firmie.

Jedynie sporadycznie wspomina się jednak o zasadzie proporcjonalności nakładów i kosztów ponoszonych na kontrolowanie określonego ryzyka do wielkości samego ryzyka. Zasada jest prosta: posługując się mapą ryzyka, lub inną metodą, firma wyłoniła pulę ryzyk krytycznych. W kolejnym kroku podejmuje decyzję, jaką strategię postępowania z ryzykiem należy przyjąć, a następnie przekłada strategie na określone projekty, inwestycje, czynności, zmiany czy procedury. Decydując się na wybór tych działań czy procedur, firma kieruje się zasadą, iż nakłady na zmniejszenie ryzyka powinny być w rozsądnej proporcji do samego ryzyka (tj wielokrotnie mniejsze), a ze wszystkich możliwych planów działania należy wybrać te, które rokują najlepsze przelożenie kosztów do korzyści.

Wydawałoby się, że to truizm i banał.

Spróbujmy jednak zastosować to rozumowanie trochę bardziej odważnie: już w momencie dokonywania wstępnej identyfikacji i tzw ewaluacji ryzyk, zastajemy pewien zestaw stosowanych w firmie środków kontroli ryzyka. Nawet jeśli stosujemy się do wskazówek AS/NZS 4360 (lub nowego ISO 31000) i oceniając wielkość ryzyk bierzemy pod uwagę istniejące środki kontroli (ich jakość i skuteczność), to jedynie prześlizgujemy się po nich zaledwie rejestrując ich obecność.

Należałoby jednak zajrzeć głębiej w istniejące środki kontroli, nie zadawalając się tym, że poprostu istnieją od lat i nikt ich nie kwestionuje. Należałoby je potraktować na równi ze wszystkimi nowymi i projektowanymi środkami zaradczymi, krytycznie oceniajac przełożenie kosztów jakie na nie ponosimy, na ich skuteczność i stopień w jakim zmniejszają ryzyko.

Być może wynikiem przeglądu istniejących środków kontroli będzie likwidacja niektórych z nich, lub drastyczne zmniejszenie wydatków na nie ? Jeśli istniejący środek kontroli dotyczy ryzyka, które w wyniku przeglądu ryzyk okazało się nie być krytyczne, to naturalnie ten środek kontroli powinien zostać zlikwidowany a nakłady finansowe przesunięte na obsługę nowych, bardziej naglących ryzyk.

Przykład: firma utrzymuje kosztowny system gaszenia CO2 w serwerowni. Alternatywą jest zaniechanie tego systemu i założenie, że pożar jest na tyle mało prawdopodobny, iż będzie w efekcie firmę mniej kosztować nawet jeśli całkowicie zniszczy serwerownię. Czy jest sens podtrzymywać dotychczasowy środek kontroli ryzyka – gaszenie gazowe ?

Przy takim ćwiczeniu myślowym dobrze posłuzy nam prosta metoda, porównująca:
– parametry ryzyka (prawdopodobieństwo i skutek) „bez środków kontroli”
– z parametrami ryzyka skontrolowanego (tj jego wielkość po zastosowaniu określonych środków kontroli)
– oraz z kosztami zastosowania środków kontroli.

Sens tego ćwiczenia polega na przeprowadzeniu prostego testu: czy warto wydać 600 tys PLN w ciągu pięciu lat na zainstalowanie i utrzymanie systemu gaszenia CO2 w serwerowni wartej 6 mln PLN ? Odpowiedź brzmi: po jego zainstalowaniu, ewentualne rozprzestrzenienie się pożaru na całą serwerownię jest 4-krotnie mniej prawdopodobne a koszt odbudowy serwerowni po pożarze niższy o ponad 5 mln PLN, zatem – tak, zdecydowanie warto. Nakłady na budowę tego systemu gaszenia stanowią zaledwie 12% tego co możemy zyskać, więc to dobra inwestycja.

Tryskacze występujące tutaj dla porównania pełnią rolę statysty, gdyż ich instalacja w serwerowni nie jest najlepszym pomysłem (chyba, żeby były to tryskacze proszkowe, jeśli takie będą kiedyś skonstruowane …)

Uwaga: liczby występujące w przykładzie są przypadkowe, nie powinny być wykorzystywane przy prawdziwych analizach czy też podejmowaniu decyzji o wyborze systemu gaszenia.

W czerwcowym wydaniu Enterprise Risk pojawił się krótki ale bardzo ciekawy tekst nt zjawiska reputacji, jako najbardziej istotnego składnika wartości rynkowej firmy a jednocześnie jako jednego z jej największych ryzyk. Reputacja jest tam zdefiniowana jako suma wszelkich poczynań firmy: decyzji marketingowych, jakości produktów lub usług oraz sposobu uprawiania  biznesu. Zarządzający widzą w reputacji źródło przewagi konkurencyjnej, a źródłem reputacji jest zaufanie.

Bardzo dużo o ryzyku reputacji mówi się w badaniach, raportach i opracowaniach.

Ale mówi się tam o nim trochę jak o Babie Jadze – wiadomo, że jest, ale nie wiadomo gdzie, jak wygląda i czy rzeczywiście może wyrządzić krzywdę. Co ciekawe, według badań przeprowadzonych przez Economist Intelligence Unit, niezależnie od problemów ze skwantyfikowaniem tego ryzyka, firmy dzielą się na dwie równe co do wielkości grupy:

• uważające ryzyko reputacji za zjawisko niezależne od innych ryzyk – pogląd reprezentowany przez firmy, które jeszcze nie uporządkowały swojej wiedzy i działań wobec podstawowych ryzyk,
• uważające, że jest ono jedynie konsekwencją zrealizowania się innych ryzyk (złego zarządzania nimi) – pogląd przeważający w firmach, które zdefiniowały i opanowały większość ryzyk podstawowych oraz które mają system dobrze funkcjonujących narzędzi ERM.

ERM jest podejściem systemowym, pragmatycznym i bliskim biznesowi. Spróbujmy wykorzystać logikę i metody ERM do zgłębienia tego niejasnego ryzyka.

Jakie są cechy firm najbardziej narażonych na ryzyko reputacji ? Już kilka lat temu w RMA Journal pojawił się ciekawy artykuł autorstwa Konrada Alta na temat ryzyka reputacyjnego w firmach finansowych, który odpowiada następująco na to pytanie:

• firmy duże
• firmy publiczne (notowane na giełdach)
• firmy zdywersyfikowane produktowo i geograficznie
• firmy o dynamicznej sytuacji finansowej (zarówno gwałtowna poprawa jak i szybkie pogorszenie się)
• niekorzystny profil populacji klientów firmy
• niska wartość marki.

Jeśli bliżej zastanowić się nad tym ryzykiem to staje się jasne, że mówimy o grupie dość różnorodnych ryzyk – każde z nich rządzi się własnymi mechanizmami i jest częścią innego łańcucha przyczynowo-skutkowego. Przykładowa lista ryzyk, jakie mogą dotyczyć reputacji mogłaby wyglądać tak:

• niedotrzymanie obietnicy danej przez firmę, dotyczącej jakości jej produktów lub usług (np. bardzo wysoki poziom reklamacji lub tzw. product recall)
• okazywanie lekceważenia interesariuszom – klientom, pracownikom, dostawcom (spektakularne, nagłośnione medialnie spory sądowe)
• niski poziom etyki i lojalności managementu (np. defraudacje itp)
• skutek słabo, nieumiejętnie zarządzanego kryzysu, w którego centrum jest firma.

Każdy z wymienionych – i wielu kolejnych – ryzyk reputacyjnych, można opisać unikalną parą wartości skutku i prawdopodobieństwa; na mapie ryzyka utworzy się zatem zbiór punktów, obrazujących obszar możliwego do wystąpienia „ryzyka reputacyjnego”.

Kolejną ciekawostką, do jakiej doprowadzi analiza tych ryzyk, są związki przyczynowo-skutkowe pomiędzy nimi oraz możliwość kumulowania się skutków niektórych z nich (np. wycofanie produktu jako sytuacja kryzysowa, przerodzenie się jej w źle zarządzany kryzys, dalej lekceważenie klientów i procesy sądowe).

Jeśli management chce na serio „dobrać się” do tego ryzyka, musi zacząć od jego oceny w skali zrozumiałej dla biznesu – w pieniądzu. Ocena prawdopodobieństwa jest znacznie łatwiejsza niż ocena skutku, jeśli znajdzie się czas na przeanalizowanie danych dostępnych na rynku, dotyczących incydentów reputacyjnych. O ryzyku reputacyjnym mówi się często, że jest niewymierne, tj trudno je przełożyć na liczby – choć wszyscy intuicyjnie czują, że może być bardzo kosztowne. Myślę, że rozsądnym podejściem jest zadanie pytania „o ile mniej, lub taniej, sprzedamy w ciągu najbliższego roku (dwóch, trzech lat), jeśli dojdzie do zjawiska X godzącego w reputację naszej firmy”.

Wartość strat poniesionych np. na skutek konieczności wycofania partii produktów z rynku dość łatwo wyznaczyć: wartość produkcji za okres od wyprodukowania pierwszego do ostatniego produktu z wadliwej serii, plus koszty dystrybucji plus koszty „dystrybucji zwrotnej” (tj. właściwego product recall). Jednak nie wyznaczy się w ten sposób skutku utraty reputacji, towarzyszącej wycofaniu produktu. Ten bowiem zaczyna być odczuwalny dopiero po zakończeniu dobrze przeprowadzonego wycofania produktu z rynku. O ile mniej sprzedamy, również innych produktów firmy, w ciągu 1, 2, 3 lub 5 lat od wycofania wadliwego produktu z rynku, tylko ze względu na nadszarpnięte zaufanie klientów ?

A jeśli product recall będzie niefachowo przeprowadzony i powstały w ten sposób kryzys będzie miał fatalny przebieg (relacje z klientami, mediami) ? Tutaj już wkraczamy w obszar odrębnego ryzyka – skutków reputacyjnych źle zarządzanego kryzysu. Podobne skutki może mieć każdy źle zarządzany kryzys (np spowodowany fuzją z konkurentem czy defraudacją dokonaną przez CFO), dlatego powinien być rozpatrywany jako odrębne ryzyko. Na jednym z moich pierwszych szkoleń z zarządzania ryzykiem, jakie przeszedłem w Anglii, przytaczano przykład zdaje się British Airways, kiedy zdarzyła się katastrofa lotnicza z udziałem samolotu tych linii. Przypadek chciał, że bardzo blisko miejsca rozbicia samolotu odbywało się posiedzenie zarządu BA, dzięki czemu osoby zarządzające linią lotniczą pojawiły się „w pełnej gali” na miejscu wypadku jeszcze przed mediami. Ich wzorowa reakcja – a przede wszystkim osobista obecność – zarejestrowana przez media na miejscu katastrofy spowodowały w długim horyzoncie czasowym wzrost obrotów firmy. Można się jedynie domyślać, jakie byłyby skutki reputacyjne, a co za tym idzie ekonomiczne, skrajnie źle zarządzanej katastrofy na podobną skalę.

Poszkodowani klienci i partnerzy biznesowi mogą domagać się zadośćuczynienia, a jeśli firma nie zdecyduje się na szybkie i ciche ugody, dojdzie do eskalacji i nagłośnienia pozwów sądowych. Same w sobie będa one kosztowne, ale znacznie więcej firma straci w kolejnych latach, ponosząc konsekwencje utraty zaufania klientów i  całego rynku.

Ocena skutku i prawdopodobieństwa trzech hipotetycznych ryzyk mogłaby wyglądać tak:

Uwaga: przyjąłem własną systematkę stopniowania prawdopodobieństwa (jeden raz na sto lat = 1/100 = 1%, raz na 5 lat = 1/5 = 20%, itp).

Te trzy ryzyka na mapie ryzyka wyglądałyby tak:

Teraz czas zastanowić się nad nakładaniem (kumulowaniem) się ryzyk reputacyjnych. Co przykładowo stanie się, z punktu widzenia risk managera, jeśli product recall przerodzi się w kryzys, źle zarządzany kryzys ? Jeśli przyjmiemy, że firma nie ma doświadczenia z wycofaniem produktu z rynku i z 75% pewnością operacja ta przerodzi się w kryzys, a połowa kryzysów jest zarządzana źle, to nowe (skumulowane) ryzyko miałoby następujące składniki i parametry:

• wycofanie produktu z rynku – utrata 35% rocznej sprzedaży, oraz
• źle zarządzany kryzys na skutek product recall – utrata kolejnych 20% rocznej sprzedaży.

W omawianym scenariuszu, oba zjawiska skumulują się z prawdopodobieństwem 35% (wycofanie produktu) x 75% (przerodzenie się w kryzys) X 50% (szansa, że kryzys będzie źle zarządzany) = ok. 13%.

Nowe (skumulowane) ryzyko plasuje się na mapie ryzyka zdecydowanie najwyżej:

Jak widać, nawet tak rozmyte ryzyko, jakim wydaje się być ryzyko reputacyjne, udaje się uporządkować i ująć w ramy logiki i metody ERM. Przestrzegam jednak przed sztywnym trzymaniem się założeń i liczb w tej żonglerce – ma ona służyć zarządowi jedynie za przybliżenie możliwej skali zjawiska, ilości zer na wekslu, jaki może im przedstawić do wykupienia los.

Przy zjawiskach tak powiązanych ze sobą jak ryzyka reputacyjne, aż prosi się o wykorzystanie metody Bow-Tie. Ale o tym być może w jakimś innym wpisie …

Dla zainteresowanych materią reputacji, więcej na tym blogu.