Po powrocie do kraju rozglądam się trochę za nową rzeczywistością dobrych zmian, zarządzanie ryzykiem pozostawiając za sobą, bez zbędnego oglądania się za siebie.

Wszystko wskazuje na to, że przynajmniej w naszej rzeczywistości gospodarczej, w których za ryzyko brały się spółki skarbu państwa i spółki giełdowe, ręka w rękę z psujami z rodziny Deloite, E&Y, KPMG i PWC, zarządzanie ryzykiem jest w fazie schyłkowej i zostało uśmiercone zanim na dobre się rozwinęło.

Przytoczę słowa Alexa z Rosji, który zadał sobie trud i coś na ten temat skrobnął …

Instead of being pragmatic, simple and focused on making money, risk management moved into the „land of buzz-words”.  If you are reading this and thinking: „Hold on, Alex, risk velocity is important, organisations should be risk resilient, risk management is about both opportunities and risks, risk appetite, capacity and tollerances should be quantified and discussed at the Board level and inherent risk is useful.” Congratulations! You may have lost touch with business reality and could be contributing to the problem. 

Tymczasem coraz bardziej przekonuję się do wartości biznesowej całego zestawu praktyk Lean Management, Continuous Improvement, Change Management i (z umiarem!) Six Sigma …

Wasz w ryzyku

R

 

Wybieram się na dwudniowe warsztaty „Risk Based Performance Management” prowadzone w Dubaju przez Andrew Smarta z Manigent w Anglii. Tutaj znajduje się zapowiedź, czego mogę się spodziewać.

Jeśli treść będize (pozytywnie) powalać na kolana, być może rozszerzę ten wpis …

Was w ryzyku,

R 

W zeszlym tygodniu bylem na szkoleniu dotyczacym zarzadzania ryzykiem terminow i kosztow w projektach. Szkolenie prowadzil juz leciwy ale bardzo energiczny amerykanin, Dawid Hulett. 

To osoba, ktora jest autorem czesci dotyczacej czasu trwania projektow i ryzyka w projektach z PMBok Guide. David wyrazil sie, ze ta czesc PMBOK jest juz „embarassing” i dzisiaj robi sie to znacznie nowoczesniej niz 3-points-estimate z konca zeszlego stulecia. Nawet proponowal PMI przepisanie tej czesi od nowa ….

Hulett wyraznie pokazal slabosci tradycyjnego sposobu szacowania czasu trwania projektow, ktory jest pochodna najbardziej prawdopodobnego oraz skrajnie optymistycznego i pesymistycznego czasu trwania poszczegolnych aktywnosci / etapow projektu. Pierwsza slabosc to bazowanie zasadniczo na jednej punktowej wartosci ktora prawie nigdy nie bedzie wlasciwa – z zalozenia projekty sa tak dynamicznym srodowiskiem, ze zakladanie zmieszczenia sie dokladnie w terminie jest idiotyzmemn. Druga slabosc to operaowanie wplywem grupy ryzyk na wahania np czasu wykonania lub kosztu projektow, bez mozliwosci pokazania jak jedno konkretne ryzyko moze wplynac na czas trwania lub koszt poszczegolnych aktywnosci i calego projektu. 

Hulett promuje podejscie dynamiczne, nowoczesne i mowi o nim Risk Driven Schedule Analysis. Otoz metoda w duzym skrocie bazuje na rejestrze ryzyk, przy czym rejestr definiuje dla kazdego z ryzyk:

• w jakim zakresie (od do) moze wplywac na termin
• w jakim zakresie (od do) moze wplywac na koszt
• na ktore czynnosi wplywa
• jeden projekt moze byc naturalnie wyeksponowany na wiele ryzyk, ryzyka moga dzialac lacznie lub rozlacznie – te interakcje powinny byc zdefiniowane.

Majac juz plan i kosztorys projektu (dla wszystkich aktywnosci, elementow jego sieci) oraz rejestr ryzyk nalezy calosc przepuscic przez „maszynke do wrozenia z fusow” – symulacje Monte Carlo.

Metoda w duzym skrocie polega na wyliczeniu wielu (tysiecy) wariantow przebiegu tego samego projektu, za kazdym razem przyjmujac inny zestaw wartosci dla zmiennych ktore jednoczesnie moga sie zmieniac. To moga byc koszty betonu (zmieniajace sie np od 90 do 132 jednostki za m3), wystapienie ryzyka A (oraz nadanie mu skutku w zakresie od zalozonego minimum do maksimum) – i kilkadziesiat innych czynnikow lub ryzyk. Monte Carlo generuje kilka tysiecy wynikow bioracych pod uwage wystapienie i nasilenie m.in ryzyk. Wyniki rozkladaja sie zwykle wg krzywej Gaussa, z ktorej mozna odczytac np ze zwykle planowany termin zakonczenia projektu ma …. 10-20% szansy na sukces.

Oczywiscie istnieje kilka specjalistycznych aplikacji do „zabawy” w monte carlo w projekcie, jednak metoda moze byc wykorzystana przez risk managerow w sposob znacznie bardziej uniwersalny i przy wykorzystaniu Excela. Troche wiecej nt podstaw znajdziecie tutaj:
projectsmart
msoffice
epix

Ponizszy bardzo prosty przyklad ma pokazac na jakie wyniki finansowe moze realnie liczyc producent rowerow, w zaleznosci od trzech parametrow ktore sa od niego niezalezne i stanowia strategiczne ryzyko:

• ile sprzeda rowerow (min 1800, max 3600)
• ile bedzie kosztowala stal, z jakiej je wyprodukuje (od 70 do 95 jednostek za kg)
• jaka bedzie rynkowa cena rowerow, dyktowana przez rownowage konkurencyjna (od 500 do 800 zl).

Jesliby przyjac najprostsza formule, wartosci minimalne daja wynik finansowy na poziomie 143 tys, optymistyczne ponad miliona. Bardzo duzy rozrzut, prognoza za malo wiarygodna dla ew udzialowcow i inwestorow.

Jednak mozna zalozyc dla kazdej z trzech zmiennych jaka wartosc jest najbardziej prawdopodobna („most likely”) i jak duze odchylenia w gore i w dol sa mozliwe („sigma”), tzn jaki mamy poziom pewnosci ze wartosci beda w takim zakresie. Sigma mowi o rozproszeniu wartosci w gore i w dol od tej najbardziej prawdopodobnej – tzn na ile prawdopodobne jest zblizenie sie do wartosci min/max.

Cala tajemnica montecarlo tkwi w kolumnie H, ktora za pomoca formuly np. rozkladu normalnego probkowanego w sposob losowy nadaje mozliwe wartosci – np cenie rynkowej roweru w wierszu 5:
=NORMINV(random(),E5,F5)
Bardziej doskonale byloby zastosowanie dystrybucji Beta, ale jakos nie doszukalem sie niczego sensownego dla Excela …

Jednak to obliczenie daloby nam jedynie mozliwosc generowania losowych wynikow w zalozonym wczesniej zakresie wahan zmiennych i z uwzglednieniem charakterystyki tego rozkladu (zageszczenia wokol wartosci np sredniej). Mozna oczywiscie tysiac razy nacisnac „F9” i za kazdym razem spisac wynik, a nastepnie zrobic z niego histogram, jednak ktos juz wczesniej mial taki problem i splodzil Add-in do Excela.
Po zainstalowaniu, nakladka wygeneruje dla nas losowo taka ilosc prob jaka sobie zazyczymy, nawet 100 tysiecy, i przedstawi jej wynik w postaci gotowego histogramu. Dla naszego rowerowego przykladu widac, ze zarzad powinien sie przygotowac na najbardziej prawdopodobny wynik finansowy w okolicach 470-530 tys PLN.

I z zyczeniami takich rocznych wynagrodzen dla risk managerow pozdrawiam,

Was w ryzyku,
R

Dzis w wiadomosciach z Holandii natknalem sie na informacje, ze szkolenie z metody i oprogramowania BowTie, ktore do tej pory bylo dostepne jedynie „face-to-face” (tak, jak prowadzilem to w Polsce), stalo sie dostepne jako kurs online.

Udostepnia je znana i renomowana brytyjska firma Risktec, jako czesc ich programu magisterskiego z zarzadzania ryzykiem, prowadzonego wspolnie z Uniwersytetem John Moore w Liverpoolu. Nawiasem – w tym samym uniwersytecie zdawalem swoje egzaminy koncowe na dyplom Certified Risk Manager londynskiego IRM.

Wasz w ryzyku,

R

„Derrick Crane Pipelaying Vessel” – nie brzmi to szczególnie romantycznie ale jest cudeńkiem technologicznym. Wykonując swoją pracę, miałem w zeszłym tygodniu możliwość wejść na pokład i dokładnie obejrzeć ten statek – oglądanie trwało około 5 godzin …

Statek służy do prowadzenia prac konstrukcyjnych na pełnym morzu, na dnie morskim. Może te prace prowadzić do głębokości ponad 1500 metrów. Można by zapytać, co takiego buduje się na dnie morza ? Instalacje do wydobywania i przetwarzania ropy naftowej i gazu ziemnego, oczywiście.

Sercem statku jest sześć generatorów energii elektrycznej, każdy o mocy 5500 KW, razem 33’000 KW. Można by zasilić z tego pewnie małe miasteczko …

Bardzo ciekawie zaczyna się robić, kiedy przejdzie się do kwestii napędu tego statku: został wyposażony w dwa główne napędy (propulsion engines) oraz 5 silników kierunkowych (thursters). Wszystkie napędzane energia elektryczną, co zapewnia dużą precyzję kontroli nad ich obrotami i mocą. Thrusters są wysuwane około 6 metrów pod kadłub statku dopiero kiedy ten wyjdzie z portu. 

Silniki kierunkowe są zamocowane na kolumnach w ten sposób, że mogą się obracać 360 stopni w dowolnym kierunku i służą nie tyle do przemieszczania statku i sterowania kierunkiem jego ruchu, co do … utrzymywania go w nieruchomej pozycji.

Z tego co usłyszałem, to jeden z dwóch takich statków na świecie. Pracując na dużych głębokościach (np powyżej 1000 m) statek nie może korzystać z kotwic żeby stabilizować swoją pozycję, gdyż długość kotwicy musi być 10-cio krotnie większa niż głębokość i w pewnym momencie rozmieszczanie i kontrolowanie tak oddalonych kotwic jest już niemożliwe. Dlatego wymyślono statek, który kotwic na pełnym morzu nie potrzebuje – w ustalonej pozycji utrzymują go silniki kierunkowe.

Silniki są sterowane systemem DP2 (Dynamic Positioning System drugiej generacji), który składa się z jednostki obliczeniowej (komputera), systemu DGPS (GPS podwójnej precyzji), systemu sonarowego i systemów pozycjonujących opartych na falach radiowych.

Te trzy niezależne źródła informacji o pozycji statku są podpięte pod komputer, który precyzyjnie steruje pracą siedmiu silników i utrzymuje statek w zadanej pozycji niezależnie od warunków pogodowych. Jak precyzyjnie ? Z dokładnością do 10 milimetrów …

W sytuacjach awaryjnych kontrolę nad statkiem może przejąc człowiek, i wtedy może wszystkimi silnikami, o połączonej mocy około 30 tysięcy KW sterować a pomocą jednego joysticka …

Aż ciarki przechodzą po plecach …

Mostek nawigacyjny jest tak przestronny, że można by w nim grać w piłkę a ilość urządzeń, monitorów, kontrolek i przycisków przywodzi na myśl gwiezdne wojny …

Wszystkie systemy są na statku zdublowane, niektóre (związane z mocą i napędem oraz pozycjonowaniem) mają aż czterokrotną redundancję. Statek ma symetryczną konstrukcję (lewa i prawa strona) i począwszy od jego struktury, poprzez generację mocy, napędy, klimatyzację i wentylację, komputery i ich zasilanie, systemy pozycjonujące, stanowiska sterowania statkiem – wszystko jest podzielone na co najmniej dwa bliźniacze zespoły.

Jedną z ciekawszych funkcji statku jest kładzenie ropociągów lub gazociągów na dnie morza – rur z wysokiej jakości stali, odpowiednio wielowarstwowo zabezpieczanych. Rury są spawane  na wielokondygnacyjnej taśmie produkcyjnej …

… a każdy spaw jest prześwietlany promieniami rentgena, żeby zweryfikować jego perfekcyjną jakość i długowieczność. Ostatecznie, w dość skomplikowanym procesie, z odcinków 12 metrowych rura jest łączona w jeden wielokilometrowy ciąg i za pomocą specjalnego wysięgnika osadzania na dnie morza …

Naliczyłem w statku około 5 pokładów dolnych (maszynownia, linia związana z kładzeniem rurociągu) oraz 5 pokładów górnych (mostek nawigacyjny, mostek konstrukcyjny, kwatery marynarskie i oficerskie, kwatery inżynierów budowlanych, kuchnia, sale konferencyjne, pokład dla helikoptera …). Taka ilość pokładów daje wysokość – i możliwość spojrzenia na kontury miasta, parędziesiąt kilometrów dalej …

A najsympatyczniejsze w tym jest to, że pierwszym oficerem na statku (czyli pierwszym po kapitanie) – jest Polak, jeden z nielicznych na świecie oficerów, który potrafi obsługiwać tę technologię …

Wasz w ryzyku,

R

Kilka lat temu, podczas Forum FERMA w Lizbonie, przedstawiano nam badania z których wynikało, że do roku 2030 (czyli już za kilkanaście lat) europejczycy będą mniejszością w Europie, a większość stanowić będą azjaci oraz mieszkańcy Ameryki Południowej. Już zresztą od lat media śledzą większe i mniejsze napięcia powodowane ciągle mniejszością np turecką w Niemczech, arabską we Francji oraz mieszanką z całego świata w Wielkiej Brytanii. Na wyspie widać zakusy do ukrócenia ogólnej tolerancji narodowościowej i kulturowej. Również Skandynawia zaczyna się ostatnio nerowo oglądać na emigrantów z innych kultur i wyznań. Jak tak dalej pójdzie, zbyt szeroka liberalność (patrz – nie szanujemy dorobku własnej kultury), demokracja (patrz – oddajemy władzę nad sobą innym) i poprawność polityczna (patrz – niekiedy zwykła tchórzliwość) nas europejczyków zgubią.

Tu gdzie jestem od bardzo niedawna obserwuję inną rzeczywistość i ciągle niewiele wiem na jej temat, jednak jako nowy expat akurat bardzo dogłębnie zostałem zapoznany z mechanizmem zarządzania ryzykiem zdominowania emirackiej mniejszości trzymającej władzę i petrodolary, przez przeważającą mieszankę kulturowo-etniczno-religijną, którą sami Emiratczycy zapraszają do swojego kraju. Proporcje liczbowe są mniej więcej takie: do naszej 38-milionowej Polski zapraszamy ok 15-20 milionów Europejczyków, Amerykanów i Australijczyków jako wysoko opłacanych dawców know-how. A następnie zapraszamy ok 80-85 milionów mieszkańców Południowej Azji – Hindusów, Pakistańczyków, Filipińczyków, obywateli Malezji, Korei … Stajemy się mniejszością we własnym kraju a mimo tego trzymamy nad nim kontrolę żelazną ręką.

Jak to się dzieje ? Otóż każdy ze 100 milionów zaproszonych dawców know-how i taniej siły roboczej musi przejśc kilka warstw bardzo szczelnego sita mechanizmów kontrolnych …

Jeszcze przed przyjazdem do kraju gospodarzy, firma w jakiej kandydat do przyjazdu chce się zatrudnić musi złożyć mu ofertę na podstawie rozmowy rekrutacyjnej – czyli całkowicie odpada „przyjazd w ciemno” i szukanie pracy na dziko, tym bardziej „na lewo”. Odpadają zatem całe chmary przyszłych przestępców lub żebraków.

Również przed przyjazdem, delikwent musi wykonać i przedstawić pracodawcy wyniki badań ogólnych, krwi, moczu, rentgena, EKG, badania słuchu i wydolności płuc oraz okulisty. Innymi słowym nie sprowadzimy do siebie delikwenta chuderlawego, który nam zaraz padnie albo przywlecze jakieś choróbsko. Ponadto kandydat musi przekazać „żywe” referencje, które następnie są drobiazgowo sprawdzane telefoniczne przez pracodawcę. W ten sposób pracdawca wie, że ma zamiar zainwestować w pracownika z pokryciem w sprawdzonej rzeczywistości.

W dalszej kolejności (a do wyjazdu jeszcze daleko …) musi przedstawić wyczerpującą historię edukacji wyższej walidowaną przez ministerstwo a następnie ambasadę. Na jej podstawie, pracodawca będzie mógł udowodnić władzom kraju, że ściągnięcie tego konkretnie delikwenta jest niezbędne, bo żaden obywatel kraju (w tym wypadku Emiratczyk) nie ma akurat takich kwalifikacji i szykuje się na to miejsce pracy. Dzięki temu ściągnięcie tych 100 milionów gastarbeiterów nie będzie strzałem w kolano i nie spowoduje wzrosu bezrobocia (będa wykonywać pracę, której nikt ze „swoich” nie chce albo nie potrafi wykonać).

Ostatnie sito przed wyjazdem to sprawdzenie uwarunkowań bezpieczeństwa, za pośrednictwem służb specjalnych kraju, z którego zapraszamy gościa. Tu niestety (jakt ze służbami bezpieczeństwa bywa) trwa to długo i nie do końca wiadomo co jest sprawdzane – z pewnością miejsce zamieszkania, pracy, rodzina, ich adresy, wyroki i przestępstwa – w tym gospodarcze / finansowe, ekscesy seksualne i pijackie, wywiad środowiskowy w miejscowej policji. Być może powiązania finansowe, byc może zadłużenie, być może wierzyciele i urzędy … Dzięki temu rząd kraju gospodarza wie, że nie ściąga przestępców, osób ukrywających lub uchylających się przed prawem, z brudną kartoteką.

To jest półmetek i można „już” przyjechać. Na granicy gość zostaje pięknie sfotografowany i jest na wieki rozpoznawalny w systemie niezależnie od tego z jakim paszportem przyjedzie.

Na miejscu pracodawca powtarza cały zestaw badań medycznych co do joty, w „swoim” zaufanym, emirackim ośrodku medycznym – wykluczamy malwersacje delikwenta i próbę wwiezienia nam jakiejś choroby. Równocześnie delikwent musi wystąpić o wizę rezydencką i miejscowy dowód osobisty, lecz aby go otrzymać musi … tak, tak znów przejść badania krwi – na obecność wirusa HIV i podobnych, oraz ponownie rentgen płuc, aby wykluczyc gruźlicę i inne niespodzianki. Rezydentami mogą zostać tylko osoby zdrowe i jest to sprawdzane wielokrotnie – taka niedemokratyczna selekcja gwarantuje budowę zdrowego społeczeństwa.

Kolejny i ostatni już warunek otrzymania miejscowego dowodu osobistego, to znów dać się sfotografować i dać sobie zdjąć odciski wszystkich palców, wszystkich dłoni z każdej strony. Nie ma dzięki temu najmniejszego problemu, żeby później z worka wybrać te pojedyncze śliwki, które zaczną na miejscu robaczywieć … prewencja.

Czy na tym etapie można już powiedzieć „hulaj dusza piekła nie ma” ? Oczywiście, nie. Rząd zadbał o to, aby związać zaproszonych gości z nowym krajem i pracodawcą, żeby zbyt popędliwi nie ulotnili się z zainkasowanymi zaliczkami i nie pozostawili pracodawców na lodzie. Mieszkanie jakie sobie wynajmiesz – wynajmujesz na rok i płacisz za to zgóry – takie jest prawo. Wtedy wyjazd po 2-3 miesiącach jest bolesny, prawda ? A gdybyś nawet się na to zdobył i wyjechał bez zgody pracodawcy, nie otrzymasz od niego obowiązkowego listu z błogosławieństwem (Non Objection Certificate), czyli masz zakaz wjazdu do kraju gospodarza i podjęcia tu pracy przez co najmniej rok.

Teraz proszę sobie wyobrazić wdrożenie takich procedur zarządzania ryzykiem demograficznym w niewydolnej biurokratycznie Europie, lub chociażby tylko w Polsce. Odsuwając na bok kwestie wykonalności – co do której mam duże wątpliwości, natychmiast mielibyśmy tysiące pozwów o naruszenie praw człowieka, setki wieców i manifestacji … Być może więc, na własne życzenie jesteśmy skazani na stanie się słabą mniejszością we własnym gospodarstwie.

Wasz w ryzyku,
R

Prawie cztery lata temu wyciągnąłem na światło dzienne zasady ZR obowiązujące w kolejnictwie, dziś spoglądam w przestworza – chodzi o przyjętą dwa lata temu przez Ministerstwo Obrony Narodowej „Metodykę Zarządzania Ryzykiem w Lotnictwie Sił Zbrojnych RP” (MZR-2010).

Zgodnie z informacjami przekazanymi przez gen broni, Dowódcę Sił Powietrznych, Lecha Majewskiego podczas wywiadu udzielonego portalowi dlapilota.pl, powstanie tych zasad było konsekwencją refleksji nad przyczynami katastrofy lotniczej pod Smoleńskiem. Metodyka obejmuje wszystkie aspekty funkcjonowania lotnictwa sil zbrojnych, gdyż jak zapisano „ma zastosowanie w całym zakresie działań na ziemi i w powietrzu” i jest  dokumentem przeznaczonym dla „personelu latającego, technicznego i zabezpieczającego oraz biorącego udział w planowaniu i realizacji działań lotniczych” – integrującym praktykę ZR ze wszystkimi procesami decyzyjnymi dotyczącymi operacji lotniczych. Innymi słowy, zasady ZR mają być procesem wspierającym podejmowanie decyzji w lotnictwie wojskowym, zupełnie jak w biznesie.

Tak jak ISO 31000 wspomina o 11 zasadach ZR, a IRM w swoich materiałach szkoleniowych sprowadza je do 5 zasad (zwanych PACED), to lotnictwo przyjmuje 4 podstawowe zasady ZR:

• celem jest efektywne wykonanie zadania lotniczego przy możliwie najmniejszych stratach własnych sił i środków
• nie akceptowanie zbędnego ryzyka
• akceptowanie ryzyka w sytuacji gdy korzyści są większe od ewentualnych strat
• zgodny z najlepszymi praktykami sposób rozproszenia właścicielstwa na poszczególnych szczeblach zarządczych: „podejmowanie decyzji związanych z danym poziomem ryzyka na odpowiednich szczeblach”.

Proces ZR i jego etapy nie odbiegają od ogólnie przyjętej metodyki, choć pojawiają się pierwsze ślady specyfiki wojskowej: identyfikacja zagrożeń, ocena ryzyka, minimalizowanie ryzyka, podejmowanie decyzji, wprowadzanie decyzji, nadzorowanie i kontrola zmian.

Trochę nielogiczne wydaje się najpierw „minimalizowanie ryzyka” a potem „podejmowanie decyzji”, ale to pierwsze oznacza w praktyce rozważanie jak ryzyko zminimalizować, jakie działania podjąć, a drugie podjęcie faktycznej decyzji o działaniu. Przy definicji minimalizacji ryzyka po raz pierwszy pojawia się odniesienie do trzech, a nie dwóch parametrów oceny ryzyka: prawdopodobieństwa, dotkliwości i ekspozycji – czyli identycznie jak to zaproponowano w metodykach wykorzystywanych w realizacji normy „BHP”: ISO 18000. Ekspozycja – nieco odmiennie niż w ISO 18000 – została tu zdefiniowana jako „wartość określająca, jaka liczba osób lub sprzętu jest narażona na straty w czasie występowania zagrożenia”. Decyzja nt postępowania z ryzykiem zostaje podjęta w oparciu o kompleksową analizę kosztów i efektów – czyli zgodnie z dobrymi praktykami.

W szczegółowym opisie etapu identyfikacji zagrożeń widać, że lotnicy przyjęli swoją własną, charakterystyczną filozofię ZR: punktem odniesienia są nie tyle cele biznesowe czy procesy, ale zadania. Zagrożeniem jest to, co w kontekście konkretnego zadania może sprowadzić: częściowe lub całkowite niewykonanie zadania, uszkodzenia ciała lub śmierć personelu bądź straty materialne.

Z zasad zapisanych w „Metodzie” można wyłuskać ślady znanych metod, jakie bez wątpienia tutaj wykorzystano:

• elementy FMEA w przyjętym toku rozumowania: od zadań, do listy zagrożeń i dalej do listy ich przyczyn, gdzie po przeprowadzeniu analizy zadania należy stworzyć listę jego podstawowych faz (tak jak w modelu FMEA dzielimy produkcję na podprocesy, segmenty)
• elementy diagramu Ishikawa, a przynajmniej wzorca 5M: „Man – człowiek; Media – środowisko; Machine – sprzęt; Mission – zadanie; Management – zarządzanie”

Przyjęty rejestr ryzyka (zwany tutaj Arkuszem Zarządzania Ryzykiem – AZR) zawiera klasyczne składowe: Etapy realizacji zadania -> Zagrożenia -> Przyczyny -> Prawdopodobieństwo -> Dotkliwość -> Indeks ryzyka, ale z kolei nie widać składowej „ekspozycja” o jakiej była mowa na początku dokumentu. Brak konsekwencji w wojsku ?
Pokazując jak szacować prawdopodobieństwo, Metoda MZR-2010 dość sprytnie uciekła od problemu trzeciego składnik (ekspozycji), który pojawia się w metodyce bezpieczeństwa pracy i nijak nie pasuje do klasycznej, dwuskładnikowej metody wyliczania ryzyka promowanej w nadrzędnym ISO 31000. Założono bowiem uwzględnienie ekspozycji już w kalkulacji prawdopodobieństwa, a następnie wykorzystanie wyniku tych obliczeń jako końcowej wartości „prawdopodobieństwa”.

Wymiar mapy ryzyka jest nietypowy – przyjęto 5-cio stopniową skalę prawdopodobieństwa i 4-stopniową skale skutku. Kryteria oceny skutku bazują na kategoriach: brak możliwości wykonania zadania, śmierć lub strata systemu (sprzętu).

Efektem oceny ryzyka jest znana nam matryca ryzyka (tutaj nazwana tabelą indeksów). Proszę zwrócić uwagę, że wielkość indeksu nie jest wynikiem przemnożenia lecz „numerem” pola tabeli, nie wynikającym wprost z jego położenia. Może intuicyjnie ma to sens, ale jeśli Lotnictwo Sił Zbrojnych RP będzie się przymierzać do systemu informatycznego wspierającego zarządzanie ryzykiem, ta jedna „fanaberia” będzie je kosztować dodatkowe kilkanaście lub kilkadziesiąt tysięcy EURo, jakie będzie warte przystosowanie oprogramowania do tej specyfiki.

Dzięki temu, że zadania wykonywane przez Lotnictwo są stosunkowo jednorodne, można było stworzyć tzw Kartę Szacowania Ryzyka, czyli pewnego rodzaju gotowy „taryfikator” pozwalający dość precyzyjnie ocenić ryzyko w różnych konfiguracjach, wg wspomnianego wzorca 5M: „Man – Media – Machine – Mission – Management”.

Minimalizowanie ryzyka – czyli zastanawianie się, co można z nim zrobić, jest w dokumencie etapem bardzo drobiazgowo i z głową rozpisanym. Wachlarz możliwych postępowań jest szerszy niż w klasycznym „4T”:

• odrzucenie wykonania zadania, jeśli jest obarczone ryzykiem niewspółmiernie wysokim
• uniknięcie ryzyka poprzez zmianę warunków wykonania zadania
• opóźnienie, przeniesienie lub podział zadania
• kompensacja (zdublowanie zasobów)
• oraz lista 10 sposobów redukcji ryzyka.

Elementem planowania możliwych akcji jest „określenie skutków nowych rozwiązań” – czyli analiza kosztów i korzyści połączona z określeniem wielkości ryzyka rezydualnego. Rozwiązanie doskonale, oby tylko było stosowane w codziennych realiach, konsekwentnie za każdym razem.

Definiując właścicielstwo ryzyka (choć w dokumencie nie zostało to tak nazwane), a tym samym przesądzając, kto ma podjąć decyzje nt postępowania z ryzykiem, posłużono się zasadą: ma to być „osoba funkcyjna, która ma największy wpływ i odpowiednie możliwości na zmniejszenie ryzyka”. Jest to zasada dość zbliżona do promowanej przeze mnie zasady którą „kupiłem” od Anglików: osoba, która ma kompetencje, władzę menedżerską i budżet. Szczebel dowódczy na jakim powinna zostać podjęta decyzja jest zdeterminowany przez indeks ryzyka (jego wielkość) – czyli zasada proporcjonalności w ZR zastosowana w praktyce.

Autorzy wiele uwagi poświęcili – nie tylko na etapie wdrażania decyzji – konsultacjom i komunikacji z „interesaiuszami”, tj z wykonawcami zadania, działań zaradczych i wszystkimi zainteresowanymi a także zapewnieniu wsparcia przełożonych. Jest to znamienne, gdyż komunikacja to jeden z obszarów, który stwarzał warunki do katastrofy Smoleńskiej. Nowatorskie, precyzyjne zdefiniowanie możliwych poziomów zaangażowania i wsparcia przełożonych zasługuje na naśladowanie w biznesie:

Na etapie nadzorowania i kontrolowania zmian, wojsko zastosowało coś co nazwałbym „skróconą pętlą Deminga”: zamiast „Planuj – Wykonaj – Sprawdź – Skoryguj” przyjęto „monitoruj – oceń  – skoryguj”. Dokument podkreśla konieczność oceny, czy poniesione nakłady odpowiadają zaplanowanym a także jaka jest efektywność przyjętych rozwiązań (środków kontroli ryzyka) w aspekcie skuteczności. Ewidentnie w tworzeniu dokumentu uczestniczyły osoby mające praktyczne doświadczenia we wdrażaniu zarządzania ryzykiem, gdyż zwrócono uwagę na spodziewaną niedoskonałość pierwszych szacunków ryzyka i konieczność rejestrowania przesłanek oceny ryzyka a także incydentów, dzięki czemu organizacja będzie doskonalić wiarygodność dokonywanej kolejnej oceny ryzyka.

Dokumentacji działań związanych z ZR poświęcono sporo miejsca – powinno się je rejestrować na każdym etapie i na wszystkich poziomach dowodzenia oraz archiwizować. Wygląda na to, że bez systemu informatycznego lotnicy się pogubią. W dokumencie brakuje mi jasnego zarysowania struktury organizacyjnej służącej zarządzaniu ryzykiem i obowiązków poszczególnych jej uczestników. W szczególności – kto pełni rolę „menedżera ryzyka” (osoby odpowiedzialnej za codzienne funkcjonowanie Metody ZR) ? Metoda Zarządzania Ryzykiem mówi jedynie, że dokumenty są przechowywane przez Inspektora Bezpieczeństwa Lotów, ale to stanowczo za mało. Zbyt dużo tutaj czasowników w formie bezosobowej: wypełnia się, zabrania się, należy sprawdzać, wymagane jest uzyskanie akceptacji  …

Konkluzje ?

Obawiam się, jak będzie wyglądać w praktyce implementacja systemu – obszernego, niezwykle drobiazgowo opisującego wszystkie kroki, bazującego na dużej ilości informacji i dokumentów, nie dość ostro zakreślającego obowiązki związane z konkretnymi funkcjami i zadaniami w tym systemie. Ale być może jako cywil nie widzę w jaki sposób istniejąca hierarchia wojskowa mogłaby porządkować zakres kompetencji, obowiązków i odpowiedzialności w zarządzaniu ryzykiem.

Z pewnością widać praktyczne doświadczenie i pracę, przemyślenia towarzyszące powstawaniu dokumentu. Nie jest on ani kopią ISO 31000, ani ISO 18000, ani FMEA, ani Ishikawy, ani formuł promowanych przez IRM – natomiast widać w nim wszystkie te elementy i sporo specjalistycznego, wojskowo-lotniczego „kolorytu”. Pod względem filozofii tworzenia systemu ZR jest to praca wzorcowa, gdyż system stworzono na miarę i potrzeby odbiorcy – z jego własnymi rozwiązaniami i narzędziami.

Wasz w ryzyku,
R 

Tsambika, Steve, Marc i John. Branże finansowa, energetyczna, FMCG i kopalnia. Europa i Australia. Na konferencji w Serocku zademonstrowali jak ZR wygląda w ich firmach, jak się za to zabrali, z czym mieli problemy, gdzie odnieśli sukcesy i dlaczego. Reprezentowali trochę różne poglądy, zdecydowanie różne techniki i narzędzia menedżerskie ale wszyscy wierzyli w trzy dogmaty zarządzania ryzykiem: w prostotę, komunikację i konsekwencję. Mimo, że dyskutowali ze sobą po raz pierwszy – rozumieli się w lot, nawzajem się uzupełniali i wspierali – przy całej swojej różnorodności. Profesjonaliści ryzyka.

Kilka spostrzeżeń, prawd schowanych pod tym głównym przesłaniem każdego z prelegentów:

• Tsambika: wykorzystuje podział ryzyk na kategorie po to, aby dla każdej z nich przyjąć apetyt na ryzyko wg formuły właściwej dla danego typu ryzyka (dokładnie 4 lata temu kwestionowałem sens podziału ryzyka na kategorie – przykład Tsambiki jest jednym z niewielu, który ma głęboki sens)
• John, Marc: działy zarządzania ryzykiem nawet w ogromnych firmach mogą być niewielkie; zarządzanie ryzykiem jest częścią wszystkich spotkań i inicjatyw biznesowych (czy uczysz dziecko przechodzić przez jezdnię zawsze 3go dnia miesiąca w godzinach od 14:00 do 14:30 ? nie – robisz to cały czas, przy każdej okazji, która tego wymaga)
• Steve: zarządzanie ryzykiem nie powinno „zaraportować managementu na śmierć” (report to death)
• Marc – o niespełnialnym marzeniu polskich spółek giełdowych: decyzje nt zarządzania ryzykiem zostają podjęte, zarządy się zmieniają, a kwestia zarządzania ryzykiem biegnie swoim torem
• Marc: różnica między ryzykiem inherentnym a rezydualnym mówi o tym, jak bardzo warto wdrażać środki zaradcze, ile jest do osiągnięcia
• John: czynnikiem, który powinien ważyć wiarygodność oceny ryzyka dokonanej przez członków zespołu, powinno być nie tylko stanowisko, ale ilość lat doświadczenia w firmie
• John, Marc: monitorowanie stanu ryzyk oraz incydentów powinno bazować na zmianie, trendach, a nie na śledzeniu bezwzględnych wartości, cyferek
• Steve: pokazał, jak silne jest powiązanie pomiędzy zarządzaniem ciągłością biznesu a odpornością łańcucha dostaw.

Ciekawostki: w Australii odpowiadasz za śmierć lub wypadek człowieka na twoim terenie tylko dlatego, że jesteś właścicielem tego terenu. Niezależnie jak nieostrożnym idiotą był ten człowiek. Nestle przez 150 lat swojej historii tylko w jednym roku poniosło stratę – w roku wojny.

Próbowałem – jak zawsze przy takich okazjach – nauczyć się do lepszych, wyłapać coś dla mnie nowego, zaskakującego. Z roku na rok jest tych nowości coraz mniej, to co słyszę coraz bardziej przypomina moje własne przekonania, narzędzia i wnioski.

Przy tym odnoszę wrażenie, że nasz mały i płytki rynek jest zbyt mało wymagający, nie dość różnorodny i odważny żeby mógł stać się poligonem na którym będzie powstawać nowa jakość – nie ma od kogo i na kim się uczyć.

Wasz w ryzyku,

R

Jakiś czas temu z entuzjazmem zapowiadałem książkę „Practical Enterprise Risk Management” Gregorego Duckerta i obiecałem, że podzielę się refleksjami po jej przeczytaniu. Ten wpis ukazuje się wiele tygodni później niż chciałem, gdyż wraz z czytaniem „grzęzłem” w tekście. Książka zapowiadała się znakomicie, jednak w trakcie jej czytania coraz bardziej czułem rozczarowanie.

Zastanawiam się, czy bardziej mówi ona o zarządzaniu ryzykiem, rzemiośle rzetelnego zarządzania firmą, czy o utopijnej koncepcji opomiarowania wszystkiego terabajtami wskaźników o jakiej wspominał kiedyś Pan Jerzy na jednej z konferencji Polrisk. Poniżej kilka spostrzeżeń, na temat dość charakterystycznych dla Duckerta koncepcji.

Duckert uważa, że jednym z przedsięwzięć, które najbardziej zaszkodziło ERM jest wprowadzenie SOX (Sorbannes Oxley Act), z czym się całym sercem zgadzam. Problemy ryzyka bowiem ani nie rodzą się ani nie kończą w obszarze finansów, lecz poza nim. Lakarstwem na tę chorobę miało być COSO II, któremu autor poświęca sporo miejsca. Podkreśla różnice pomiędzy COSO I i COSO II, np. pojawienie się strategii jako bazy nowego procesu oraz wskazuje na absurdy COSO I, które np. najpierw mówi o działaniach kontrolnych (pozbawionych kontekstu ryzyka) a dopiero później o oszacowaniu ryzyka. 

Duckert obnaża próby porównywania ERM do kontroli finansowej argmentując, że w sprawozdaniach finansowych widać jedynie to co już się stało faktem, a nie ryzyka – które należą do przyszłości, obszaru niepewności – i nie można na ich podstawie kontrolować ryzyka. Ale podobnie nie oszczędza pewnych powszechnych w ERM praktyk – na przykład stosowanie miar skutku lub ryzyka: „mały”, „średni”, „duży” – bez żadnego umocowania do twardych wartości. Równie bezlitośnie obszedł się z tzw. Wielkim Konsultingiem zauważając, że ich przekonanie o generowaniu wartości dodanej przez wdrażane skomplikowane systemy zarządczej de facto dotyczy jedynie wartości (pieniężnej) generowanej przez projekty wzdrożeniowe dla samych doradców …  

Wg Duckerta ryzyko to łańcuch zdarzeń, a zdarzenie inicjujące (prekursor) zwykle pociąga za sobą wiele ryzyk następczych potęgujących intensywność ekspozycji. Ryzyko pierwotne (trigger) ujawnia się w postaci ryzyk następczych w innych, niekiedy odległych funkcjach czy obszarach firmy. Stąd ryzykiem należy zarządzać – mitygować je – u źródła. Na potrzeby tego stosunkowo prostego stwierdzenia Duckert tworzy dwa nowe pojęcia: TREC (The Risk Evolution Chain) i MORE (Multiple Organizational Risk Effect). To jeden z problemów tej książki i autora – dziesiątki skrótów tworzonych na potrzeby tekstu zajmującego kilka stron. Jak można w sposób bardziej skomplikowany nazwać koncepcję właścicielstwa ryzyka ? Na przykład DRAM (Distributed Risk Assesment and Management). 

Autor proponuje zupełnie nowe znaczenie terminu ekspozycja (exposure), z którym się zupełnie nie zgadzam – próbuje jego znaczenie przyrównywać do terminu „skutek” – oba wg Duckerta są następstwem wystąpienia ryzyka jako zdarzenia. Być może tak jest w Stanach Zjednoczonych, ale w Europie nie mamy wątpliwości, że
złożenie ekspozycji i hazardu daje ryzyko, które ma swoje następstwa (skutki)

Również trudno się zgodzić z tezą, że ryzyko to odwrotność rezultatu, efektu procesu (jeśli np. rezultatem procesu ma być minimalizacja kosztów wydobycia jednej tony to ryzykiem byłaby maksymalizacja kosztów wydobycie …)

Myślą przewodnią, mantrą całej książki jest zarządzanie ryzykiem oparte na danych (data driven risk management). Duckert wyobraża sobie zarządzanie ryzykiem jako bibliotekę wskaźników opisujących wszystkie procesy i każdy jego element, za pomocą których – dzięki wszechogarniającego firmę systemu informatycznego – zarządzający mają wyprzedzającą informację o zagrożeniach dostępną w czasie rzeczywistym i w czasie rzeczywistym zapobiegają ryzykom w sposób najbardziej optymalny. Jeśli już cokolwiek realnego to przypomina – to po prostu zarządzanie procesem, nie ryzykiem. Trzeba autorowi przyznać, że rzeczywiście przyłożył się do skatalogowania pokaźnej listy przykładowych KRI dla różnych dziedzin i funkcji typowej firmy, chociażby:

• finanse, skarb, podatki, prawo
• HR, IT, zakupy, marketing
• planowanie biznesowe, planowanie produkcji, 
• logistyka, kontrola stanów magazynowych
• zapewnienie jakości.

Jednak wspomniana lista KRI zajmująca kilkanaście stron wydaje się potwierdzać, że Duckert nie pisze o zarządzaniu ryzykami lecz o optymalizacji biznesu, procesów i funkcji.

Czym głębiej w las, tym więcej muchomorów – kolejne strony poświęcone jakoby metodom analizy ryzyka opisują mniej czy badziej znane metody analizy statystycznej ogólnie: analiza trendu, punkt kluczowej zmiany (Pivotal Point of Change), analiza średniej dyspersji, analiza porównawcza okresów … Niestety wszystkie dotyczą analizy historii, żadne nie pomaga zrozumieć ryzyka rozumianego jako niepewność przyszłości.

Na koniec – bardzo zabawna jest maniakalna poprawność polityczna autora: wszędzie gdzie normalnie napisano by „on, jemu” itp Duckert pisze „ona, jej„, np. „taki właśnie model raportowania powinna budować każda CRO w jej organizacji”.

stąd – Wasza w ryzyku,
R

Zgodnie z zapowiedzią, listopad zaczynam od recenzji bardzo obiecującego tytułu: „Enterprise Risk Management” autorstwa Johna Frasera i Betty Simkins. Do książki podchodziłem z dużym zaciekawieniem, gdyż Panią Simkins mamy gościć na dniu warsztatowym towarzyszącym konferencji Polrisk (choć szkoda, że nie na samej konferencji), już za parę tygodni.

Nie przeczytałem całej pozycji „od dechy do dechy” – to ponad 500 stron tekstu, gdzie tematyka części rozdziałów nakłada się na siebie – bywa tak zwykle, kiedy każdy rozdział stanowi zamkniętą część przedstawianą przez innego autora. Zacznę od tego co mnie rozczarowało, potem już będa same pozytywy: otóż nazwisko Betty Simkins odpowiada za najmniej interesujące rozdziały: wstęp, badania pt „Co czytają risk managerowie”, badania akademickie dot ERM oraz moderowanie panelu dyskusyjnego nt praktyki ERM. Niezaprzeczalną jednak zasługą obu autorów-redaktorów jest to, że potrafili dotrzeć do praktyków zarządzania ryzykiem.

Szczególnie zainteresowały mnie poniższe rozdziały i podzielę się swoimi refleksjami na ich temat:

• Identifying and Communicating Key Risk Indicators
• How to Create and Use Corporate Risk Tolerance
• How to Prepare a Risk Profile
• How to Allocate Resources Based on Risk
• Quantitative Risk Assessment in ERM
• Operational Risk Management
• Enterprise Risk Management: Lessons from the Field

Każdy rozdział to inne nazwisko, dlatego każdy z nich wywołuje inny odbiór, emocje i refleksje.

Identifying and Communicating Key Risk Indicators
Susan Hwang, Deloitte

Nie doznałem objawienia typu „teraz wiem jak wyznaczać KRI” bo takiej informacji / instrukcji tam nie ma. Jednak jest kilka ciekawych spostrzeżeń, które mają sens. Autorka widzi jako jedną logiczną strukturę takie obszary jak cele strategiczne, performance, ryzyko i jego przyczyny, skutki ryzyka i ich oddziaływanie na performance – a to wszystko połączone za pomocą współpracujących ze sobą wskaźników KPI (Key Performance Indicators) oraz KRI. Susan zauważa, że zwykle KPI są modelowane podczas budowania strategii, a KRI – w oderwaniu od nich – podczas budowania systemu ERM, co jest jej zdaniem błędem, gdyż powinien to być proces powiązany i równoległy. Okazuje się, że zaprojektowanie KRI musi zostać poprzedzoną głęboką analizą czynników determinujących ryzyko (risk drivers), która – niezależnie od zaprojektowania KRI – stanowi metodę walidacji przyjętej strategii i celów. Kształtując KRI powinno się jednocześnie przyjąć jego wartości krytyczne odpowiadające tolerancji (apetytowi) na określone ryzyko a także tzw „escalation values” – czyli wartości KRI, przy której „kierownik” stwierdza, że nie panuje nad sytuacją i musi o niej powiadomić przełożonego – dyrektora.

Kompletnie nie zgadzam sie z tezą stawianą przez Suzan, że można za pomocą KRI identyfikować ryzyko. Logicznie rzecz biorąc, najpierw należy wiedzieć o ryzyku, potem poznać mechanizmy jaki nim rządzą, a na końcu zaprojektować KRI odzwierciedlające te mechanizmy. Z kolei KRI zaprojektowane żeby informować np. o ryzykach pogodowych nie powiedzą nam nic o nadchodzących ryzykach politycznych czy walutowych …

Ważny test, czy zaprojektowane KRI są czegoś warte to odpowiedź na pytanie: jakie decyzje musi podejmować zarząd i inni użytkownicy systemu ERM w firmie ? Czy nasze KRI pomogą im w podjęciu decyzji ? Nie wszystkie KRI są równie mocno skorelowane z mierzonym ryzykiem, dlatego należy im przypisać wagi i rozróżniać pomiędzy bardziej i mniej „wiernymi” KRI. Raporty nie powinny zwierać wszystkich KRI i ich wartości, a jedynie te, które odchylają się od oczekiwań (są niepokojące –  za duże albo za małe), w innym razie raporty stają się nieczytelne jak pulpity sterownicze Boeinga.

Bardzo apetyczny rozdział Susan kończy jednym rozczarowującym poddytułem, w którym stwierdza, że KRI w zasadzie dają się wykorzystać w dużych instytucjach finansowych, szczególnie tych, które muszą spełnić regulacyjne wymagania kapitałowe (Bazylea II czyli banki a później, być może, Solvency II czyli towarzystwa ubezpieczeniowe).

How to Create and Use Corporate Risk Tolerance
Ken Mylrea, Canada Deposit Insurance
Joshua Lattimore, Canada Deposit Insurance

Właściwie to nie jest gotowy przepis na zdefiniowanie, wyliczenie tolerancji na ryzyko a jedynie przywołanie tego, co powinno się wziąć pod uwagę określając ten próg. Postawa organizacji wobec ryzyka, cele organizacji, koszty i korzyści środków zaradczych, potencjał (finansowy) do przejmowania skutków zrealizowanego ryzyka i – niezwykle trafne spostrzeżenie – zdolność firmy do zarządzania ryzykiem. Jak wykorzystać koncepcję apetytu (tolerancji) na ryzyko ? Ken i Joshua nie są specjalnie odkrywczy – każą uzależnić rodzaj i poziom decyzji podejmownaych na danym szczeblu zarządczym od poziomów (limitów) tolerancji na ryzyko przypisanych do tychże poziomów.

How to Prepare a Risk Profile
John Fraser, Hydro One Networks

John dość mocno odwołuje się do wymogów regulacyjnych i podejścia compliancde, próbując pokazać różnice pomiędzy tym podejściem a duchem ERM. Wskazuje na spore nieporozumienia co do praktycznego znaczenia terminu „risk profile” w różnych środowiskach i dyscyplinach. Sam przekonuje do holistycznego zastosowania „profili ryzyka” w każdej organizacji i pokazuje w rozdziale kilka prostych i znanych konwencji, jak:

• ranking „top ten”
• mapa ryzyka na osiach skutek / prawdopodobieństwo
• tzw „heat map” pokazująca nasilenie ryzyk w podziale na kategorie (grupy) w różnych obszarach organizacji.

Jednak bardzo rażą archaiczne metody proponowane przez Johna, chociażby ustalanie wartości ryzyka za pomoca „głosowania” podczas warsztatów. Moje doświadczenia wskazują, że to najbardziej karygodne marnowanie potencjału intelektualnego i czasu menedżerów zaangażowanych w warsztaty a także przepis na mało wiarygodną ocenę ryzyka. 

To, co może okazać się wartościowe dla praktyków, to dokładny opis wykorzystywanej przez Johna metody, ścieżki gromadzenia danych o ryzykach i mapowania ryzyk, krok po kroku. Sama metoda nie jest szczególnie innowacyjna lub skuteczna, ale dobrze opisana. To co napawa mnie nieufnością to sposób w jaki John proponuje identyfikować ryzyka: risk manager powinien na podstawie informacji rynkowych, branżowych i prasowych sporządzić listę możliwych ryzyk a następnie przedstawić ją managerom do przedyskutowania i wybrania. Mimo, że bardzo mocnym filarem metody Johna jest szerokie konsultowanie i dyskutowanie oceny ryzyka z managementerm, to jest też słaby punkt: oparcie oceny ryka  na całkowitym subiektywizmie, ratingu na „very high, high, medium, low”. 

How to Allocate Resources Based on Risk
Joseph Toneguzzo, Ontario Power Authority

Ten rozdział powinien się nazywać: „o co tak naprawdę chodzi w zarządzaniu ryzykiem”. Joseph zahacza o tak wiele istotnych zagadnień, że nie sposób ich wszystkich opisać. Wymienię zatem kilka kluczowych. 

Bez zrozumienia ścisłego związku pomiędzy celami strategicznymi i ryzykami nie ma co zabierać się za planowanie strategiczne – podobnie jak bezużyteczna jest próba identyfikacji ryzyk bez poprzedniego zrozumienia celów firmy. Joseph uważa, że cele biznesowe powinny natychmiast zostać „ubrane” w KPI, a te powiązane z ryzykami im zagrażającymi dla których powinno wyznaczyć się progi tolerancji (KRI powiązane z KPI – podobnie jak to widzi Sue, wcześniejszy rozdział). Dalej, w ten sposób owskaźnikowane cele, ryzyka i progi tolerancji powinny zostać zintegrowane w jeden model opisujący ekspozycję firmy na ryzyko. Hmm, bardzo mocno pachnie mi teoretyzowaniem … chociaż Joseph podaje sporo konkretnych przykładów dla dobrze sformułowanych „Business Objectives”, „Key success factors” oraz KPI i odpowiadającym im definicjom i progom tolerancji na ryzyko (KRI). Ciekawa refleksja dotycząca ustalania prawdopodobieństwa – Joseph proponuje przyjąć horyzont czasowy (typowo 5 lat, na jakie planuje się w wymiarze strategicznym), a następnie wyznaczać prawdopodobieństwo zrealizowania się zdarzenia / zagrożenia w tym horyzoncie. I znów wątpliwość – Joseph posługuje się procentami w ustalaniu prawdopodobieństwa, co wróży mnóstwo subiektywizmu i nieporozumierń na poziomie managementu.

Efekt pracy nad ryzykami, Joseph nakłada na dobrze znaną nam mapę ryzyka. Sporo uwagi zostaje poświęcone rozbudowanemu wyjaśnieniu, czemu służy analiza cost-benefit oraz jak można w sposób zorganizowany i wariantowy ogarnąć za jej pomocą cały portfel ryzyk i możliwych decyzji o postępowaniu z ryzykiem. A to przecież clue ERM … Całość rozważań na ten temat zostaje zamknięta ładnym wykresem pokazującym relacje pomiędzy kosztem środka ograniczającego ryzyko i korzyścią z jego zastosowania:

Quantitative Risk Assessment in ERM
John Hargreaves, Hargreaves Risk & Strategy

Autor widzi związek pomiędzy filozofią zarządzania ryzykiem w firmie i sposobem, w jaki ryzyka się mierzy i ocenia. Wyróżnia zatem cztery podstawowe formy czy szkoły szacowania ryzyka:

• active management of largest risks (wiemy intuicyjnie które są nasze największe ryzyka i na nich koncentrujemy uwagę i zasoby – zasada Pareto 80/20)
• high / medium / low classification (firma ocenia ryzyka subiektywnie, stosując 2-wymiarową mapę ryzyka)
• refined risk classification (wysubimowana ocena ryzyka)
  Refined risk classification dość dobrze odzwiertciedla moje własne podejście do szacowania ryzyka i zakłada stworzenie skal (zakresów) dla prawdopodobieństwa ryzyka oraz jego skutku. Ocena tego ostatniego odbywa się wariantowo według kilku kryteriów odzwierciedlających cele biznesowe / business drivers itp (John podaje przykład skutków oddziałujących na finanse, realizację projektów strategicznych, klientów i pracowników, prawo i regulatorów).
• statistical analysis (mająca zastosowania generalnie wobec ryzyk, mogących mieć ogromne skutki).

John wspomina również o agregowaniu wystąpienia łącznie kilku ryzyk / scenariuszy, opartym o tzw. składane prawdopodobieństwo ich wystąpienia (combined loss probability). Ale tutaj znów zaczynają sie moje wątpliwości – żeby móc zacząć „żonglować” procentowym prawdopodobieństwem, musimy mieć wysoki poziom ufności, pewności, że nasze liczby nie kłamią. Jeśli jednak prawdopodobieństwo jest wyznaczane intuicyjnie, subiektywnie, w przybliżeniu – to może równie dobrze wynosić 35% jak i 60% dla tego samego zdarzenia.

Operational Risk Management
Diana Del Bel Belluz, Risk Wise

Właściwie na początku odsuwałem się od książki na samą myśl o tym rozdziale, jak od czegoś śmierdzącego. Moje poglądy na temat użycia terminu „ryzyko operacyjne” oraz jego korzeni już przedstawiałem ponad 4 lata temu – są one bardzo krytyczne i radykalne. Jednak przemogłm się – i całe szczęście, gdyż Diana odczarowała dla mnie ten termin. Rozdział jest poświęcony poprostu rzetelnemu rzemiosłu zarządzania ryzykiem biznesowym i nie stanowi uzasadnienia mojego krytycznego podejścia dla terminu „ryzyko operacyjne”.

Diana zwraca uwagę na konieczność przeniesienia osi uwagi managementu i możliwych rozwiązań w zależności od typu ryzyk, z jakimi ma do czynienia: odpowiedź na ryzyka przewidywalne (częste) powinna polegać na prewencji i kontroli wewnętrznej, podczas gdy ryzyka mało przewidywalne lub niepoddające się kontroli wymagają budowania odporności (resilience) i gotowości (BCM). W odróżnieniu od większości konsultantów BCM, skupiających się na warstwie analitycznej (procesy, zasoby, impact analysis, recovery time itp) Diana – poza wymienionymi technikaliami – kładzie duży nacisk na dwa obszary miękkie: świadomość ekspozycji na ryzyka i monitorowanie jej przy wykorzystaniu kierowników, budowanie relacji z zewnętrznymi interesariuszami.

Zasady, kroki dobrej identyfikacji ryzyk operacyjnych przedstawiane przez Dianę są tak samo prawdziwe dla każdego innego ryzyka korporacyjnego:

• zdefiniuj cele
• określ, od czego zależy ich realizacja (performance drivers)
• określ czynniki, które determinują ryzyko dla celów (risk drivers)
• ustal konkretne ryzyka (Diana nazywa je „factors likely do impact objectives„)
• ustal wielkość możliwego wpływu, skutku
• wybierz te kilka najważniejszych
• jeszcze raz przeanalizuj wszystkie założenia, jakie poczyniłeś podczas oceny ryzyka.

Ostatecznym „dowodem”, że Diana pisze o ryzyku biznesowym a nie operacyjnym, jest sposób w jaki pisze o ustalaniu poziomów tolerancji na ryzyko. Jednocześnie podaje trzy najczęstsze powody, dla których organizacje (zarządzający) nie potrafią ustalić wysokości apetytu na ryzyko:

• obawiają się, że wyartykułowanie poziomu tolerancji na ryzyko będzie przyzwoleniem do jego nadmiernego podejmowania w organizacji
• po drugie, nie wiedzą jak to zrobić
• po trzecie, nie zawsze wiedzą jak dostosować wyznaczony poziom tolerancji na ryzyko do celów biznesowych na różnych poziomach zarządczych.

Diana proponuje przebrnąć przez ten etap najpierw definiując jaki poziom ryzyka przedsiębiorstwo w rzeczywistości, obecnie podejmuje. Stanowi on bowiem intuicyjnie, nieproceduralnie, wyznaczony poziom ryzyka jaki zarząd akceptuje i chce podejmowć i artykuuje w podejmowanych decyzjach i wyciąganych konsekwencjach. Diana pięknie demonstruje zastosowanie metody BowTie w zarządzaniu ryzykiem operacyjnym, które tym samym okazuje się być ryzykiem biznesowym, tylko po raz kolejny nazwanym w dość specyficzny sposób.

Ostatnie strony Diana poświęca wadze kultury zarządzania ryzykiem i wskazuje, jak ją budować:

• sam postępuj modelowo, jeśli chodzi o zasady zarządzania ryzykiem (lider daje przykład)
• dawaj jasny przekaz, jakich postaw oczekujesz od podwładnych w kontekście zarządzania ryzykiem
• dawaj jasny przekaz, jakie są konsekwencje – zarówno pozytywne jak i negatywne – ich zachowania i postawy oraz 
• bądź konsekwentny w ich stosowaniu.

ERM: Current Initiatives and Issues
moderuje Betty Simkins

Moderowana dyskusja porusza kilka typowych dla współczesnych amerykańskich risk managerów problemów: jak definiują ERM, jaki jest stopień zaawansowania amerykańskich firm w ERM, jak można poprawic edukację w obszarze ERM pod kątem potrzeb przedsiębiorstw, czy i w jaki sposób ERM dodaje wartości spółkom, co jest kluczowe – jeśli chodzi o strukturę i procesy zarządzania ryzykiem – dla sukcesu w jego wdrożeniu, oraz co jest konieczne aby system ERM pozostawał dynamiczny.

Zwraca uwagę przede wszystkim taki sam problem z terminologią u naszych amerykańskich kolegów, jaki mamy my, europejczycy. Tam chyba jest jeszcze o tyle gorzej, ze ciążą bardzo mocno compliansowe korzenie SOXu i zakorzenienie pierwszych praktyk zarządzania ryzykiem w instytucjach finansowych, co teraz odbija się czkawką wszystkim risk managerom. Taki skrajny przykład – to brak konsensusu jak definiować „ryzyko operacyjne” i pogarszające sprawę pojawiające się potworki pojęciowe, typu rozróżnianie pomiędzy ryzykiem operacyjnym (operational) a operatywnym (operative) – brr makabra …

Reasumując – książka nie jest może wybitna, ale pokazuje obszerny kawałek amarykańskiej praktyki zarządzania ryzykiem i warto ją potraktować jako wartościową lekturę uzuopełniającą, nie spodziewając się jednak znaleźć tam gotowych rozwiązań i odpowiedzi na wszystkie pytania.

Wasz w ryzyku,
R