W ostatnich dniach otrzmałem od kogoś link do organizacji, która – o zgrozo ! – próbuje sprzedawać usługi certyfikowania ISO 31000.

Gwoli przypomnienia – po co i w jakiej trudnej atmosferze powstawało ISO 31000 – już wcześniej o tym pisałem. 

A teraz do rzeczy:

• standard de facto nazywa się „Risk management — Principles and guidelines”, nie stanowi więc wiążącej metodologii czy systemu
• sam standard ISO 31000 w punkcie 1 „Scope” (zakres) wyraźnie mówi, że „This International Standard is not intended for the purpose of certification.”

I właściwie mógłbym na tym wpis zakończyć, ale nie mogę nie podkreślić, że:

• zarządzanie ryzykiem ma służyć poprawie decyzyjności w firmie, zharmonizowaniu wykonania strategii firmy z jej zdolnością i chęcią do świadomego podejmowania ryzyka – a tym samym rozwojowi proaktywnej kultury zarządczej
• nie ma natomiast służyć rozwojowi biurokarcji i myślenia „compliance”
• a już na pewno nie ma służyć nabijaniu kiesy przez firmy certyfikacyjne, które albo nie mają kompletnego pojęcia o czym piszą, albo nie mają poszanowania dla nas, risk managerów.

„Częstotliwość taktowania ryzyka”, „prędkość ryzyka” – kolejny termin, który tłumaczony na język polski brzmi fatalnie. Niemniej termin ważny, bo nazywa po imieniu obawy jakie instynktownie czuje wiele firm wdrażających ERM – czy wobec nowych, coraz mniej przewidywalnych a bardziej gwałtownych ryzyk, nasz system zarządzania ryzykiem nie stanie się beznadziejnie wolną maszyna biurokratyczną, spowalniającą nasz czas reakcji, zmniejszającą naszą elastyczność na rynku i konkurencyjność ?

Termin pierwszy raz padł z ust Keitha Smitha w zeszłym roku i dzięki temu, że trafił w dziesiątkę na gorącej tarczy risk managementu – zrobił błyskawiczna karierę. Keith dał terminowi solidną podbudowę teoretyczną z pogranicza biznesu i psychologii (nawiasem – wspominał o niej również Nassim Taleb w swojej książce), mówiąc o kognitywnym i heurystycznym sposobie podejmowania decyzji. Myśl została podjęta przez Richarda Andersona (IRM Deputy Chairman and European GRC Regional Practice Leader) a dzisiaj ten termin zapożyczył szacowny Institute of Risk Management i wykorzystał w swoich dobrych praktykach, pisząc na temat roli środowiska kontroli w kształtowaniu apetytu na ryzyko (o czym będę meldował wkrótce).

W czym rzecz ?

Otóż klasycznie pojmowane systemy, mechanizmy kontroli i procesy zarządzania ryzykiem dobrze nadają się do zarządzania klasycznymi ryzykami – low clockspeed risks (po polsku najsensowniej: ryzyka o małej/wolnej zmienności). Natomiast tzw fast clockspeed risks (ryzyka o wysokiej „częstoliwości” – tj zmieniające się szybko) wymagają reakcji szybszej, niż ta, na jaką pozwala naturalna prędkość z jaką przepływają informacje i decyzje w systemie zarządzania ryzykiem (czy systemie zarządczym firmy wogóle). 

Niezwykle ważna staje się tym samym prostota i niezawodność systemu zarządzania ryzykiem (o czy pisałem kilka postów wcześniej). Mogą to być również nowo pojawiające się ryzyka, które realizują się wkrótce po ich ujawnieniu (short time from identification to impact). Dobrym przykładem takich ryzyk był islandzki wulkan lub problem z opcjami.

„Szybkie ryzyka” muszą w znacznie większym stopniu być zarządzane mechanizmami kulturowymi organizacji i przy wykorzystaniu wyuczonego instynktu menedżerskiego, niż wymuszonymi, formalnymi procesami. Z definicji niewiele informacji będzie dostępnych na temat takich ryzyk, a możliwość ich wstępnej analizy będzie bardzo ograniczona. Przygotowanie się do fast clockspeed risks polega na poznaniu wyuczonego sposobu reagowania menedżerów (heurystyki decydowania), kultury zarządczej i dokonaniu jej zmiany lub wzmocnieniu za pomocą treningów, tak aby przygotować management do szybkiej, instynktownej odpowiedzi na takie ryzyka. 

Richard Anderson te dwa podejścia porównał graficznie:

(07.04.2012)

Z opóźnieniem, ale jednak – podaję link, pod którym można poczytać jak sam Keith Smith, autor pojęcia Fast Clockspeed Risk, pisze o tym zjawisku.

Między innymi takie pytanie postawiła sobie firma Korn/Ferry prowadząc „konsultowaną ankietę” wśród członków zarządu i rad nadzorczych największych europejskich firm.

Polsce jest to ciągle pytanie na wyrost, bo tutaj zarządy zaledwie zaczynają się uczyć risk managementu a rady nadzorcze są w tej kwestii co najwyżej w wieku niemowlęcym. Jednak pierwsze zapowiedzi takich wątpliwości mamy już dzisiaj, podczas ostrych niekiedy dyskusji na ile aktywna i sprawcza powinna być rola audytu wewnetrznego w obszarze zarządzania ryzykiem.

Ankieta Korn/Ferry została przeprowadzona podczas wywiadów – kontaktu z żywymi respondentami, dlatego byc może sięga głębiej, bliżej źródła problemu. A co najważniejsze, pozwala na wyciągnięcie kilku zasadniczych wniosków (lekcji):

• rola rady w zarządzaniu ryzykiem
  – czy ma polegać na zapoznaniu sie z decyzjami czy na aktywnym uczestniczeniu w ich wypracowaniu (risk-engaged boards) ?
  – koncepcja rady nadzorczej jako źródła inspiracji, konsultanta, dodającego odwagi a nie policjanta stojącego ze wzniesioną pałką
  – zagrożenie mikrozarządzaniem – rady nadzorcze duplikujące część decyzji czy kompetencji zarządu
   
• komitet ds ryzyka – brak consensusu
  – komitet ryzyka jest niezbędny w dużych instytucjach, może stanowić pomost pomiędzy radą nadzorczą (board of directors) i zarządem (executive board)
  – komitet ds ryzyka nie prawa bytu: odpowiedzialna rada nadzorcza nie może delegować w dół spraw ryzyka, bo są one zbyt ważne dla akcjonariuszy
   
• jakośc raportowania nt ryzyka
  – kiepskie raporty ograniczają praktyczne możliwości rady włączenia się w konsultowanie spraw ryzyk w firmie; rada nie może wnieść wartości w proces decydowania o ryzyku, bo nie ma właściwych danych
  – dane są zbytnio zagregowane i uogólnione oraz wstępnie zinterpretowane, a także przychodzą zbyt późno w cyklu decyzyjnym
  – dane nie wyprzedzają bieżącej (lub historycznej) sytuacji – brakuje tzw lead indicators („wyprzedzających” Key Performance Indicators)
   
• rola rady nadzorczej w kształtowaniu kultury firmy
  – firma nie poprawi się po dodaniu kolejnych środków kontroli, powinno się zwracać uwagę na wartości
  – rada powinna pojawiać się na korytarzach i węszyć atmosferę w firmie
  – są obiektywne wskaźniki pozwalające mierzyć jakość kultury firmy: rotacja personelu, ilość kandydatów na miejsce, ilość wypadków
  – rola „digital listening”: co o firmie pisze się na blogach, twitterze, forach, chat roomach
  – budiowanie właściwej kultury powinno zacząć się od zapewnienia właściwego składu rady nadzorczej, następnie właściwego składu zarządu
   
• skład i odmładzanie rady nadzorczej
  – rada nadzorcza, jak każdy zespół, ma swoją żywotność
  – wymiana członków rady ponownie ładuje baterie wyobraźni biznesowej
  – najbardziej pożądane cechy członka rady nadzorczej: doświadczenie w sprawach ryzyka, kompetencje psa węszącego, instynkt biznesowy i strategiczna perspektywa.

Raport jest do wzięcia tutaj:

Wasz w ryzyku,

R.

Jeszcze nie tak dawno temu dowodziłem, że bankowcy mogliby uczyć się zarządzania ryzykiem od ryb, gdy przychodzi nam połknąć kolejną gorzką lekcję.

Trzeba było skrajnego zjawiska, aby wystawić na ciężką próbę technologię, o której zwykło się mówić, że jest najlepsza. Ale okazuje się, że nawet inżynierowie tego technologicznie zorientowanego kraju popełniają błędy. Nam pozostaje się znów na nich uczyć.

Południowoafrykański miesięcznik Enterprise Risk pisze, czego nas – po krótkiej, wstępnej refleksji – nauczyła Fukushima.

Oprócz oceniania jakości samych środków kontroli należy ocenić zasoby, od których zależą. Niekiedy wydaje się, że tych środków zaradczych jest sporo i są zbudowane wielowarstwowo, ale jeśli zależą od jednego, wspólnego zasobu – sa mało warte. Tak stało się w Fukushimie, gdzie kilka awaryjnych systemów chłodzenia (teoretycznie niezależnych) zależało od jednego agregatu prądotwórczego – stanowiły zatem tylko jeden środek zaradczy.

Analizowanie ryzyk w kontekście business unitów, funkcji czy pojedynczych zasobów prowadzi do wycinkowego (silosowego) zarządzania ryzykami. Dopiero spojrzenie procesowe, pokazujące zależności krytycznych procesów od zdawałoby się nieistotnych zasobów czy podprocesów, pokazuje pełne spektrum zagrożeń. W elektrowni w Fukushimie zwrócono szczególna uwagę na zapobieżenie ryzyku stopienia się rdzenia reaktora, a nieproporcjonalnie mniejszą uwagę poświęcono ryzykom związanym ze zużytym paliwem, co teraz obraca się przeciwko Japończykom.

Na prowadzonych przez siebie warsztatach podkreślam ogromną rolę uzasadniania i rejestrowania sposobu oszacowania ryzyka oraz przyjmowanych założeń. Jest to podstawa do późniejszych rewizji i przeglądów wcześniejszej oceny ryzyka, która może okazać się nieaktualna między innymi z powodu starzejących się założeń i zmieniających sięokoliczności, w jakich może zaistnieć ryzyko. Jeśli nasza ocena ryzyka nie bedzie reagować na zmiany tzw kontekstu, będzie zwyczajnie niewiarygodna. Prawdopodobnie Japończycy nie dość często uaktualniali swoje założenia i modele budowlane elektrowni o najnowsze wyniki badań geologicznych (tektonicznych).

I ostatnie zagadnienie, które zaczynamy udczuwać w Europie – łańcuch dostaw. Błędem jest kończenie analizy ryzyka na murach swojego zamku. Potrzebne jest spojrzenie na cały łańcuch dostawców oraz firm którym outsourcujemy istotne dla firmy funkcje. Jak raportuje Commercial Risk Europe, pierwszy dreszcz przechodzi właśnie przez Europejski łańcuch dostaw. Może jednak być gorzej, bo wkrótce wyczerpią sie wszystkie bufory magazynowe rozciągnięte pomiędzy Japonią a Europą. A japońskie fabryki – nawet te niezniszczone – mają problem z energią elektryczną, dostawami surowców do produkcji, paliwami i logistyką. Przypomina się klasyczny już case Nokia vs Ericsson …

Wasz w ryzyku

R.

 

Niedawno redakcja nowego czasopisma Strategie przesłała do sekretariatu Polrisk propozycję przeprowadzenia wywiadu z wybranymi członkami Stowarzyszenia a wraz z nim kilka pytań z prośbą o proste, krótkie odpowiedzi. Jako, że w tym okresie dość intensywnie podróżowałem do moich Szanownych Klientów, zaniedbałem sprawę wywiadu i nie zdążyłem udzielić odpowiedzi na łamach Strategii. Nic straconego, można to nadrobić w potężnym medium jakim jest World Wide Web.

Jak to zwykle bywa z redaktorami początkujących czasopism, chcą wiedzieć wszystko i szybko a nie zawsze jest to możliwe – przesłane pytania wymagałyby wielogodzinnej dyskusji. Ale wybrałem te ciekawsze, które myślę że zasługują na rozwinięcie.

• Zarządzanie ryzykiem a polska ułańska fantazja: Polacy uważani są za naród, który nad chłodne kalkulacje ryzyka przedkłada ułańską fantazję, szaleńcze zrywy (powstania, etc) i nierzadko brak refleksji nad konsekwencjami poczynań/snucia alternatywnych scenariuszy rozwoju wydarzeń (a po nas choćby potop).

Fantazja – ułańska czy też fantazja księgowego – nie ma tutaj nic do rzeczy, gdyż każdy system zarządzania ryzykiem powinien być osadzony w kontekście danej firmy, a bardzo ważną część tego kontekstu stanowi tzw apetyt firmy na ryzyko, wyznaczany generalnie przez zarząd. Jeśli zarząd ma ułańską fantazję i wie jak tę fantazje chce wykorzystać w swojej grze rynkowej, przekłada się to na odpowiedni stopień „niewrażliwości” miar ryzyka i narzędzi zarządzania nim w tej firmie.

• Czy w takich okolicznościach łatwo przekonywać właścicieli firm, że CRO* jest im absolutnie niezbędny ? Jakich argumentów użyłby Pan w rozmowie z firmą, której właściciel/szef mówi, że nie potrzebuje takiego stanowiska, bo przecież ryzyko jest immanentną cechą biznesu, bez ryzyka nie ma zysku? Słowem, dlaczego RM jest tak ważny ?

Mam już za sobą wiele rozmów z członkami zarządów wielu firm rozważających wdrożenie u siebie zarządzanie ryzykiem korporacyjnym i miałem możliwość obserwować różne scenariusze, mniej czy bardziej szczęśliwe, jak ERM (Enterprise Risk Management) się rozpoczyna w wielu firmach. Bogatszy tymi doświadczeniami dzisiaj nie przekonywałbym do ERM żadnego zarządu czy właściciela, gdyż musi on zdobyć takie przekonanie sam, w swoim rytmie i czasie. Pomóc mu w tym mogą bardzo duże i bolesne porażki, silni klienci lub partnerzy biznesowi, regulatorzy bądź akcjonariusze. Dopiero zarządy “doświadczone” presją zewnętrzną są gotowe na wdrożenie zarządzania ryzykiem.

• O branży: kiedy w Polsce zaczęto poważnie myśleć o „okiełznaniu” biznesowego ryzyka? Kto był pionierem na tym polu? (wiadomo, że firmy zagraniczne, a jakie było kolejne ogniwo w tym łańcuszku krzewienia dobrych praktyk?) Jak wypadamy na tle świata?

Kiedy zaczynałem wprowadzać zarządzanie ryzykiem korporacyjnym w logistycznej grupie kapitałowej (kapitał holenderski, jednak zarząd i siedziba w Polsce) – był koniec roku 2003. Byłem wtedy na polskim rynku sam jak palec, mogę więc o sobie mówić że jestem pionierem ERM w Polsce. Moje pierwsze kontakty z zachodnią, dojrzałą szkołą zarządzania ryzykiem, uczestnictwo w pierwszych szkoleniach i konferencjach w Anglii – to był rok 2004. Od roku 2005 zaczynałem zauważać kolejne pojedyncze osoby w Polsce również nieśmiało oglądające się na zagadnienie ERM, wtedy też nastąpiły pierwsze nieformalne spotkania współtwórców dzisiejszego Polrisk, zresztą z udziałem członków zarządu FERMA. Polrisk założono w 2006 roku i można ten rok przyjąć jako początek sformalizowanego, zinstytucjonalizowanego nurtu zarządzania ryzykiem biznesowym w Polsce. Zdecydowane przyspieszenie polskich firm i „umasowienie” tej dyscypliny zarządczej w Polsce to ostatnie 2, może 3 lata. Dochodzę również do wniosku, że nasze rodzime – odpowiednio duże – firmy mają większe szanse samodzielnego stworzenia nowoczesnych systemów ERM niż ich konkurenci będący spółkami-córkami firm zagranicznych, gdyż tym ostatnim po prostu narzuca się rozwiązania spółek-matek, nie zawsze spełniające najnowsze osiągnięcia zarządzania ryzykiem.

• Które z obowiązujących praktyk/sposobów myślenia o RM z rynków na których podmioty mają świadomość wagi profesjonalnego RM przeniósłby Pan do Polski?

Dzisiaj zasadniczo można mówić o czterech a właściwie o dwóch dobrych praktykach:

1. ISO 31000 z 2010 r – zdecydowanie najbardziej nowoczesne i uniwersalne dobre praktyki
2. powyższe jest w dużej mierze są oparte na australijsko-nowozelandzkim AS/NZS 4360 z 2004 r, stąd australijczycy dobrowolnie odłożyli tę normę do szuflady i sugerują skorzystanie z ISO
3. COSO ERM Framework – które wyrasta z potrzeb kontroli wewnętrznej (dlatego więcej tam mowy o procesach i kontroli niż o biznesowym podejściu do zarządzana ryzykiem); jest to dokument już wyraźnie przestarzały
4. AIRMIC/IRM/ALARM Risk Management Standard, przyjęty również przez FERMA (Federacja Europejskich Stowarzyszeń Zarządzania Ryzykiem), dokument już bardzo niedoskonały, sam usunął się w cień.

Z tej czwórki głosuję zdecydowanie za ISO 31000.

• Jak dużo firm – zwłaszcza spoza świata finansów, gdzie ocena ryzyka jest niejako wpisana w core business – ma świadomość RM i umie profesjonalnie je „uprawiać”?

Po pierwsze, świat finansów nie potrafi uprawiać zarządzania ryzykiem a jedynie markuje, że to robi. Pokazał to dobitnie w 2008 roku dołując swoim nieudolnym postępowaniem z ryzykiem całą gospodarkę światową. Gdyby brać pod uwagę gospodarkę europejską, oraz Amerykę Północną a także Australię i Nową Zelandię – można mówić o ok 30-50% dużych firm (powyżej pół miliarda EUR obrotów), które są na rożnych etapach wdrażania lub funkcjonowania ERM. Rynek polski jest pod tym względem znacznie młodszy: z giełdowej top 50-ki myślę, że jest to około 10%, z giełdowej top 200-ki, około 5%. I to są moim zdaniem absolutne maxima.

• Jak wiele jest CRO*, odpowiedzialnych całościowo/na poziomie zarządu za wszystkie czynniki ryzyka?

Jeśli mowa o sektorach pozafinansowych, to niewielu, praktycznie wcale. ERM to nie jest zadanie, które wypełni „cały etat” członka zarządu. Używanie (czy w ogóle stworzenie) nazwy CRO to szkodliwy dla naszego środowiska zawodowego przerost formy nad treścią, wręcz bufonada.

• Jak ewoluuje rola CRO w organizacjach ?

Na podstawie dyskusji z innymi europejskimi menedżerami ryzyka – chociażby podczas ostatniego Forum FERMA oceniam, że funkcja czy tytuł CRO – przynajmniej na świecie – przestała już nas emocjonować i umarła zanim na dobre znalazła swoje miejsce i znaczenie. To pusta nazwa, gdyż w praktyce osoby na funkcji managera ryzyka (a właśnie o nich mowa) nie dochodzą do poziomu składu zarządu (C-Suit), chyba, ze członek zarządu przyjmuje na siebie dodatkową rolę risk managera (i wtedy mowa o CFO, CEO lub COO, który przy okazji jest Risk Officerem), ale to ma miejsce sporadycznie.

• Jaki profil zawodowy (wykształcenie, wiek, wcześniejsze doświadczenie zawodowe) ma przeciętny CRO w Polsce ?

W Polsce nazwy CRO dla tej funkcji używa się bodajże tylko w niektórych bankach, stąd to zawsze bankowcy, analitycy finansowi. Poza bankami używa się nazwy risk manager (menedżer ryzyka), i są to ludzie z korzeniami w ubezpieczeniach, audycie wewnętrznym lub po prostu wszechstronni kierownicy/dyrektorzy, bo takimi musza się stać risk managerowie.

• Jak wygląda późniejsza kariera CRO – do jakich pozycji to jest przepustka ?

Jeśli ktoś nie popełni tego błędu i nie stara zrobić z siebie mosiężnego posągu pod nazwą CRO, natomiast poprzestanie na tytule i roli managera ryzyka, to staje się:

1. albo coraz bardziej kompetentnym administratorem bardzo ważnego wycinka biznesu, po czym wchłania obszary pokrewne – np ubezpieczenia, zarządzania procesami, zarządzanie kryzysowe itp, a z czasem staje się członkiem ważnych ciał doradczych – komitetu ds ryzyka, ds strategii;
2. albo też przeskakuje na obszary pokrewne – audyt wewnętrzny, dział M&A w firmie, dział finansow;
3. lub przeskakuje na tej samej funkcji do kolejnych firm – coraz większych, bardziej złożonych i jadących coraz bardziej „na ostrzu noża”.

• Na czym polega typowy dzień CRO ? Czemu poświęca najwięcej czasu ? Co sprawia największą przyjemność/co jest największą bolączką?

Jeśli mowa o risk managerach – to nie ma typowego dnia. Ten dzień jest zupełnie inny w ciągu pierwszego, drugiego, czwartego kwartału, zmienia się po roku i po dwóch latach od wdrożenia ERM. Nie ma rutyny, nie ma dwóch takich samych risk managerów, nie ma dwóch firm tak samo zarządzających ryzykiem.

• Proszę o potwierdzenie moich przypuszczeń – wydaje się, że bycie strażnikiem bezpieczeństwa firmy wymaga specjalnych cech (asertywność, odwaga w bronieniu własnych racji, umiejętność wpływania na innych i przekonywania do racji), ale także odpowiednio wysoko umieszczenia w firmowej – formalnej i nieformalnej – hierarchii, tak by ewentualny alarm podniesiony przez CRO spotkał się z należytym odzewem ?

Rzeczywiście, risk manager o słabej konstrukcji psychicznej jest risk managerem jednego sezonu, nawet nie jednego projektu wdrożeniowego. Musi być w stanie wyobrazić sobie cos na kształt swojej konfrontacji z CEO i nie przestraszyć się tej perspektywy. Niekoniecznie musi do niej dojść, jednak konfrontacje z managerami liniowymi, dyrektorami to pewnik, na który risk manager musi być gotowy. Jest kilka złotych reguł, które pomagają menedżerom ryzyka zdobyć autorytet i być cenioną osobą w firmie – ale to już temat na kolejny wpis.

 

Przy okazji – myślę, że CRO to na tyle ciekawe zagadnienie, że zasługuje na bardziej publiczne przedyskutowanie w większym gronie. Może Strategie zorganizowałyby taką dyskusję przy jednym stole korzystając z kwietniowej konferencji Polrisk – wtedy w jednym miejscu będą wszystkie “mądre głowy”. Podobne spotkania organizuje Strategic Risk (chodzi o tzw round table, czyli tematyczne spotkania ekspertów z danej dziedziny przy jednym stole, moderowane przez dziennikarza). W kilku uczestniczyłem – sprawdzają się doskonale.

 

* CRO – Chief Risk Officer, termin używany najczęściej w instytucjach finansowych, opisujący członka zarządu zajmującego się ekspozycją banku na ryzyko oraz funkcjami kontroli wewnętrznej, które to ryzyko miały kontrolować. W latach 2009-2010 próbowano – szczególnie w Stanach Zjednoczonych – ochrzcić tym mianem Risk Managerów spoza sektora finansowego, mając nadzieję na podniesienie w ten sposób ich statusu, jednak ostatecznie ta próba została bardzo sceptycznie przyjęta przez Risk Managerów na ostatnim Forum FERMA w Londynie. Na status trzeba sobie zapracować przydatnością w firmie, a nie “sztukować” go tytułem.

Od ostatniego Seminarium FERMA przymierzałem się do przeanalizowania ostatniego badania europejskich trendów w zarządzaniu ryzykiem, jakie co dwa lata FERMA przeprowadza (FERMA European Risk Management Benchmarking Survey 2010). W końcu udało się …

W tym roku odpowiedziało 782 firmy (podczas gdy na pierwsze tego typu badanie w roku 2002 odpowiedziało zaledwie 49 firm …). Nie będę oczywiście streszczał całego badania – aby je otrzymać, wystarczy stać się członkiem FERMA, a jest nim automatycznie każdy członek Polrisk/link/, który jest risk managerem. Jedynie poruszę najbardziej frapujące mnie wątki.

• Wątek „8th EU Directive” można żartobliwie podsumować odpowiedzią „Ale o co chodzi, o co chodzi ?” Takim mniej więcej pytaniem na to pytanie odpowiedziało aż 40% europejskich firm a kolejne 12% stwierdziło, że to ich nie dotyczy (zapewniam – mylą się …). Niestety, to żałosne.
• Wątek „Jaki standard” pozwala wysnuc bardzo ciekawy wniosek: ISO 31000, mimo że istnieje zaledwie pół roku, już wywalczyło sobie 13% rynku, a biorąc pod uwagę fakt, że aż 47% firm praktykuje ERM na wyczucie lub na chłopski rozum – to jest bez standardu – ISO 31000 zdobyło sobie przez pół roku już 25% firm świadomych zarządzania ryzykiem.

• Wątek „Dlaczego zarządzasz ryzykiem” nie przyniósł istotnych zmian w stosunku do roku 2008 (patrz wykres niżej), jedynie delikatnie zaczyna się zaznaczać wzrost czynnika wewnętrznego: „wymagania udziałowców” przy jednoczesnym spadku czynnika ubezpieczeniowego („zdarzenia katastroficzne” i „rosnące stawki ubezpieczeniowe”).

Trzynaście pytań, dotyczących obszarów:
– risk governance
– risk practices & tools
– risk communication
miało dać w sumie odpowiedź na pytanie, jak zmienia się dojrzałość systemów ERM.

Niestety, w mojej opinii obraz jaki się wyłania jest bardzo niejednoznaczny. Z tych ciekawszych odpowiedzi przytoczę następujące:

• Wątek „Czy mapujesz ryzyka” pozwala stwierdzić, że ogólnoeuropejska odpowiedź brzmi zdecydowanie „TAK”. Jedynie 6% firm nie robi tego wcale, 17% robi to tylko dla niektórych obszarów, natomiast pozostałe 77% firm robi to w skali globalnej i/lub kaskaduje mapy ryzyka dla różnych poziomów zarządczych na drabinie korporacyjnej.
• Wątek „Jak mierzysz ryzyka” jednoznacznie wskazuje, że firmy albo boją się albo nie widzą korzyści w posługiwaniu się zaawansowanymi narzędziami, jak Monte carlo, VaR lub metody stochastyczne. Jedynie 5% podniosło palec w górę, podczas gdy aż 83% przyznało sie do stosowania warsztató i burzy mózgów a 41% dodatkowo analizuje własne i obce bazy danych dotyczące incydentów.
• Wątek „Pokaż mi swój Audyt Wewnętrzny a powiem ci jak u Ciebie stoi ERM” pokazał, że jest spora różnorodność w stopniu zaawansowania, oraz że generalnie jeszcze się tego uczymy.

• To co z kolei pociesza, to wątek „Rola risk managera” – przeważająca wiekszość firm (83%) już dokładnie zdefiniowała bądź definiuje zakres obowiązków, ról i umowowanie risk managementu w firmie. To postęp, bo dwa lata temu było to zaledwie 66% firm.

Na koniec dwie bardzo ciekawe, chociaż kontrowersyjne obserwacje Ernst&Young, który analizował wyniki:

• Złożoność firm* (organizacji, grup) jest dodatnio skorelowana z ich stopniem zaawansowania na polu „risk governance” oraz na polu „risk communication”. Konsultanci tłumaczą to po pierwsze wymogami giełdowymi jakie się przed tymi organizacjami stawia oraz tym, że w im większej ilości krajów dana korporacja funkcjonuje tym wymaga większego uporządkowania i stopnia sformalizowania. Co ciekawe, organizacje złożone nie są znacząco lepsze w stosowaniu narzędzi i metod zarządzania ryzykiem.
• Nie ma żadnej korelacji pomiędzy wielkością ryzyka a apetytem na nie (innymi słowy duże ryzyko wcale nie musi oznaczać dużej awersji do tego ryzyka), natomiast jest taka korelacja pomiędzy apetytem na ryzyko a typem ryzyka. Przykładowo, firmy chętniej podejmują ryzyka związane z konkurencją, rynkami finansowymi lub M&A natomiast mają awersję do ryzyk dotyczących compliance i kontroli wewnętrznej, zdrowia i bezpieczeństwa lub płynności.

* złożonośc firm była tutaj mierzona jako funkcja obrotów, liczby pracowników, ilości krajów w jakich firma funkcjonuje oraz przedmiotu działalności – na przykład założono, że „automotive” to forma prosta, „telecomy” to forma średnio złożona a banki i firmy farmaceutyczne mają formę wysoko złożoną; można oczywiście z takim podziałem sektorów na proste i skomplikowane dyskutować …

Jakiś czas temu „ścinałem się” z jednym z czytelników mojego bloga na temat użycia liczby mnogiej terminu „ryzyko”. Jako uczeń anglosaskich szkół zarządzania ryzykiem oczywiście nagminnie używałem liczby mnogiej, bo tak się robi w Anglii, Stanach, Australii i RPA.

Jednak słusznej uwadze przypiętej do jednego z moich tekstów nie mogłem przeciwstawić żadnego argumentu merytorycznego, poza praktyczną potrzebą użycia liczby mnogiej.

Teraz jednak – na wezwanie zarządu Polrisk – z pomocą przyszedł mi Pan prof Miodek: „To, że we wszystkich słownikach przy haśle ryzyko jest wskazanie niewystępowania tego rzeczownika w liczbie mnogiej, jest tylko kwestią zwyczaju językowego. A on się w ostatnich latach zmienia. Widzę przecież coraz częstsze użycia pluralne – ryzyka, ryzyk, ryzykom, o ryzykach – i nie mam przeciwko nim żadnych przeciwwskazań. One są formalnie najpoprawniejsze w świecie.”

To stwierdzenie to miód dla moich uszu.

Niedawno dotarłem do bardzo ciekawego raportu:”Rethinking Risk Management in Financial Services. Practices from other domains„, jaki powstał po kryzysie finansowym, pod patronatem World Economic Forum. W epoce przedkryzysowej wszyscy z zazdrością patrzyliśmy, jak banki potrafiły doskonale rozpracować swoje ryzyka i opisać je algorytmami i jak – wydawało się – nad nimi panują. Okazało się jednak wkrótce, że to jedynie fasada a pod spodem jest spory bałagan i brak wiedzy o własnych produktach i towarzyszących im ryzykach, nie mówiąc o kontroli nad nimi.

W epoce pokryzysowej, banki stoją pod pręgierzem i z jednej strony często gęsto się tłumaczą a z drugiej zaciskają pasa kredytom (i swoim klientom). Teraz, jak emocje nieco przycichły, wnikliwe badania – jak to na przykład prowadzone przez World Economic Forum pokazują, że role się odwracają – banki powinny się uczuć zarządzania ryzykiem na podstawie osiągnięć w innych dziedzinach. Hodowla ryb, zwalczanie pożarów na wielkich połaciach lasu, farmaceutyka, lotnictwo, telekomunikacja, kontrolowanie chorób zakaźnych czy też przemysł chemiczny i logistyka – tam finansiści powinni szukać przykładów i inspiracji.

Badania i dyskusje ekspertów wynajętych przez World Economic Forum wyselekcjonowały trzy obszary, w których banki i instytucje finansowe mogą uczyć się od innych sektorów:

• perspektywa systemowa (kompilacja i zestawienie zależności między ryzykami oddziałującymi pomiędzy instytucjami, w odróżnieniu od wyizolowanych ryzyk dotyczących określonych transakcji czy instytucji)
• transparentność i obieg informacji (to mechanizmy powodujące, że informacja płynnie krąży nie tylko w obrębie jednej organizacji ale w obrębie całego systemu, to sposób w jaki sygnały alarmujące o zagrożeniach są odbierane, raportowane i wykorzystywane przez decydentów w całym systemie)
• właścicielstwo i kultura ryzyka (zasady dotyczące własności ryzyka i nadzoru nad nim; pytania dlaczego pewne decyzje są podejmowane, jak, przez kogo i na jakiej podstawie).

W zakreślonych obszarach skupiono się tylko na doświadczeniach, jakie w pewnym stopniu da się przenieść z innych dziedzin do sektora finansowego oraz zaakceptowano fakt, że żadna z analizowanych dziedzin nie opanowała zarządzania ryzykiem do perfekcji. Jakie inspiracje były dla mniej najciekawsze ?

Światowa Organizacja Zdrowia (WHO) pomaga tworzyć krajowe plany kryzysowe, które miałyby być uruchamiane przez globalne alerty dotyczące na przykład pandemii a następnie wymagają, aby krajowe organizacje przeprowadzały realistyczne testy i symulacje sytuacji kryzysowych. Podobnie, banki powinny tworzyć plany kryzysowe, które odpowiadałyby na duże zagrożenia systemowe, pochodzące spoza samej organizacji. Takie plany powinny być intensywnie testowane – szczególnie pod kątem długofalowych, strategicznych konsekwencji.

W dziedzinie immunologii uważa się, że najniebezpieczniejsze wirusy to te, które potrafią zmutować zanim nastąpi odpowiedź systemu odpornościowego, gdyż w ten sposób zdolność organizmu do obrony zawsze pozostaje w tyle za atakiem wirusa. Przez analogię, instytucje i regulatorzy finansowi powinni czujnie obserwować „mutujące” instrumenty, charakteryzujące się szybkim wzrostem i dużą zmiennością i wykorzystać wszystkie dostępne narzędzia kontrolowania ryzyka w przypadku powstania nowych mutacji.

Strażacy i specjaliści od zwalczania „dzikich pożarów” lasu (wildfires) twierdzą, że w niektórych okolicznościach – kiedy nie ma wysokiego zagrożenia życia ludzkiego – lepiej jest pozwolić się wypalić pożarowi i dać mu pochłonąć pewien obszar, aby w ten sposób odizolować i ochronić cały regionalny ekosystem. Jak to się przekłada na system finansowy ? Należy pozwolić słabym instytucjom na zbankrutowanie (vide finansowe wsparcie z budżetów państw) oraz utworzyć „przegrody ogniowe” – które spowodują, że pożar systemu finansowego obejmie jedynie jego słabą część, a większość tego systemu pozostanie odizolowana.

W farmaceutyce, nowe leki podlegają dogłębnym testom i badaniom – między innymi skutków ubocznych i interakcji z innymi lekami. Podobnie, sektor usług finansowych powinien rutynowo przeprowadzać szczegółowe analizy nowych produktów i strategii inwestowania na cały rynek (system). Takie analizy powinny spoglądać znacznie dalej, niż tylko bezpośrednie skutki wprowadzenia nowych produktów i strategii. Regulatorzy powinni mieć możliwość ograniczania wolumenu produktu na rynku, jeśli jego dalszy wzrost mógłby być potencjalnie niebezpieczny dla systemu.

W roku 2007, miliony hodowlanych łososi chilijskich padło ofiarą wirusa – podobnie, jak system bankowy padł ofiarą własnych toksycznych produktów. Okazało się, że tym razem wielka skala była słabością: duża gęstość hodowli, stosowanie identycznych środków zapobiegawczych i antybiotyków w stosunku do każdego osobnika, wyeksponowały całą hodowlę na jedno wspólne zagrożenie biologiczne. Raport sugeruje, że finansowi regulatorzy powinni zachęcać banki do rozwijania niejednorodnych środków zarządzania ryzykiem – w zależności od profilu banku – oraz wprowadzać wyższe wymogi kapitałowe w stosunku do powtarzalnych produktów (instrumentów), które się rozwijają na rynku na wielką skalę i charakteryzują się wysoką zmiennością i wysokim wzrostem.

W lotnictwie cywilnym przyjęło się, że pilot i drugi pilot oraz mechanicy mogą zarządzić opóźnienie lub odwołanie startu, jeśli nie ma pewności co do pełnej sprawności samolotu. Podobnie, strażacy znajdujący się bezpośrednio na linii ognia mają prawo podejmować decyzje taktyczne. Jeśli banki miałyby brać z nich przykład, musiałoby to oznaczać odwrócenie dotychczasowej polityki: kierownicy operacyjni powinni zacząć bezpośrednio reagować na ryzyko i podejmować decyzje prewencyjne; każdy pracownik powinien mieć możliwość podnieść alarm bez strachu o reperkusje (patrz casus banku HBOS w Londynie), a zarządy tych banków powinny nagradzać nie tylko wyniki sprzedażowe, ale i proaktywny stosunek do podejmowanego ryzyka.

Po lekturze tego ciekawego raportu sądzę – i w zasadzie tylko dlatego umieściłem ten wpis na blogu – że każdy szanujący się risk manager powinien czerpać z tego raportu inspiracje i przykład, jak wykorzystywać swoją wyobraźnię i czyjeś doświadczenie aby przełamywać kolejne progi i bariery w zarządzaniu ryzykiem. To fakt, nie ma szans, żebyśmy z góry znali wszystkie ryzyka i odpowiedzi na pytania jakie nam się nasuwają, ale w dużej mierze podpowiedzi i inspiracje są w zasięgu ręki – wydawałoby się w odległych nam lub obcych dziedzinach.

Raport jest dostępny na stronie World Economic Forum.

Wulkan Eyjafjallajökull przestaje nam ostatnio dokuczać, wydaje się również, że najgorsze co mogła przynieść powódź w Polsce mamy już za sobą – ale nie znaczy to, że natura nam odpuściła. Zurich Services Corporation przypomina o zagrożeniu, jakie szykuje nam nasz odwieczny towarzysz i sprzymierzeniec: Słońce. Dotychczas ewentualne negatywne oddziaływanie słońca kojarzyło się mniej czy bardziej bezpośrednio ze zjawiskiem zmiany klimatu, lecz okazuje się, że naturalna aktywność słońca może w sposób znaczny wpływać na funkcjonowanie naszej najnowszej technologii. Chodzi o zdarzające się dość regularnie tzw „wyrzuty koronalne” (wybuchy na powierzchni słońca), które powodują nasilone promieniowanie i aktywność elektromagnetyczną naszej gwiazdy.

Są one jednak zwykle:

• tłumione przez pole magnetyczne ziemi, a jeśli już są silne, to
• są stosunkowo sporadyczne.

Nie jesteśmy świadomi skali możliwych skutków oddziaływania słońca na urządzenia elektryczne, gdyż nie kojarzymy takich incydentów na wielką skalę – zwyczajnie nie było ich za naszego życia. Ponad 150 lat temu (w 1859 roku) z nowinek technicznych mieliśmy jedynie telegraf. Drugiego września tegoż roku, niezwykle silny wybuch powierzchni słońca wysłał w kierunku Ziemi wiązkę magnetycznie naładowanej plazmy o niezwykle wysokiej energii. W ciągu 17 godzin promieniowało dotarło do Ziemi i spowodowało odkształcenie (i penetrację) naturalnego pola magnetycznego naszej planety a w efekcie burze elektromagnetyczne i wyładowania pola elektrycznego. Operatorzy telegrafów próbowali uchronić swoją infrastrukturę od zniszczenia i odłączyli urządzenia od prądu. Okazało się jednak, że po odłączeniu od zewnętrznego źródła prądu telegraf pracował nadal, a burze elektromagnetyczne spowodowały miejscami taką koncentrację energii elektrycznej, że powodowała ona zapalenie się urządzeń i budynków telegrafu. Tę „superburzę” nazwano Zjawiskiem Carringtona.

Dlaczego miałoby nas to dzisiaj obchodzić ? Otóż przewiduje się nasilenie wybuchów na słońcu – do skali podobnej do tej sprzed 150 lat – już za kilkanaście miesięcy. Co więcej, tym razem mamy znacznie więcej do stracenia niż tylko telegraf: prawie tysiąc satelit o różnym przeznaczeniu, sieci telekomunikacyjne – w tym komórkowe, a przede wszystkim bardzo zaawansowane technologicznie sieci energetyczne, od których zależne jest funkcjonowanie praktycznie całego przemysłu, handlu i globalnego systemu finansowego. W końcu linie lotnicze – zakłócenia w komunikacji samolotu z ziemią spowodowane burzami elektromagnetycznymi powodują zmiany tras przelotu, co przekłada się na setki tysięcy litrów dodatkowego paliwa, nie mówiac o opóźnieniach. I nie jest to fantazjowanie: kilkanaście lat temu, stosunkowo nieduży wybuch na powierzchni słońca znokautował całą sieć energetyczną Quebeck na 9 godzin, co odczuło około 6 milionów Kanadyjczyków i kosztowało ich kraj ponad 10 miliardów dolarów.

Tegoroczny raport opublikowany przez The Academmy of Natural Sciences w Filadelfii szacuje, że skutki ekonomiczne burzy elektromagnetycznej o skali zjawiska Carringtona spowodują straty w wysokości od biliona (milion milionów) do dwóch bilionów dolarów – tylko w samych Stanach Zjednoczonych. W tym 30 miliardów dziennie traciłyby sieci energetyczne, a 70 miliardów dziennie operatorzy sieci komórkowych. Nic dziwnego, że utworzono rządowy Space Weather Prediction Center, a zagrożeniem interesuje się nawet NASA, która kontroluje kilka satelitów dedykowanych obserwacji aktywności słońca. Istniejący system bezpieczeństwa daje nam wyprzedzenie rzędu 15 do maksymalnie 60 minut – tyle czasu mamy, aby uchronić najbardziej eksponowane części sieci enegrgetycznych przed przeładowaniem i zniszczeniem. System sprawdził się już 12 lat temu, kiedy alarm wysłany przez NASA z 40 minutowym wyprzedzeniem, uratował amerykańska sieć energetyczną.

Co prawda Polska będzie mniej narażona na skutki wzmożonej aktywności elektromagnetycznej słońca niż Kanada czy chociażby kraje Skandynawskie, jednak zagrożenie jest realne. Zarządy firm już powinny się zastanawiać, co zmieniłaby w ich firmach nagła utrata energii elektrycznej ze wszystkich możliwych źródeł i jej długotrwały brak u wszystkich dostawców i dystrybutorów. Wygaszenie pieca hutniczego zajmuje znacznie więcej niż 60 minut, fabryka chemiczna bazująca na reakcjach egzotermicznych potrzebuje niezawodnego zasilania w energię elektryczną, chłodnie nie mogące liczyć na backup z drugiego lub trzeciego podłączenia do sieci energetycznej są skazane na kleskę … No cóż, jednak bez dokładnej analizy tak złożonego ryzyka, bez poznania mechanizmów nim rządzących nie sposób przedsiębrać sensowne kroki zaradcze. Najwyższy czas, aby nasze krajowe firmy energetyczne rozpoczęły rzetelną kampanię informacyjną, w której przedstawią jak wyglądają realne zagrożenia i możliwe konsekwencje Zjawiska Carringtona na naszych szerokościach geograficznych i w jakim stopniu operatorzy są w stanie uchronić przed nimi naszą krajową sieć energetyczną.

(12.11.2010) Niedawno ukazał się solidny raport na ten temat, opublikowany przez Lloyd’s of London

* Informacje liczbowe na podstawie Strategic Risk
Zdjęcia: NASA oraz SOHO (sohowww.nascom.nasa.gov)

Woda opada, liczymy straty. Ostatnio takie straty liczyliśmy 13 lat temu. Niestety, powinniśmy się przyzwyczajać do powodziowego krajobrazu w Polsce – już dwa lata temu pisałem o tym. Obstawiam, że następna tej skali powódź w naszym Kraju nastąpi nie za 13 lat, ale za 5 do 7 lat.

Nie wystarczy już uprzejma sugestia sprzed 13 lat, że „trzeba było się ubezpieczyć”. W tym roku powinno stać się modne powiedzenie „nie trzeba było się tam budować”. Na całym świecie powstają mapy powodziowe, jak choćby ta dla Londynu

Kiedy powstaną takie mapy dla Polski ? Kiedy będzie jednoznacznie wiadomo, gdzie nie budować ? Posunąłbym się nawet dalej – na pewnych obszarach powinno zakazać się stawiać pewnego typu obiektów – np mieszkalnych lub  użyteczności publicznej, lub postawić wymóg stawiania ich na przykład na palach i wyniesienia sporo ponad grunt. Naturalnie, ziemia stawałaby się tam tańsza.

A takie mapy powstają na świecie już od dawna i robi się z nich doskonały użytek. Jest sporo firm – jak na przykład losowo znaleziona RMS – które posługując się algorytmem podobnym do poniższego tworzą bardzo przydatne oprogramowanie.

Na podstawie map terenu (układu warstwic), tworzą wieloscenariuszowe modele powodzi, następnie nakładają je na informacje o gestości i jakości zabudowy w danym terenie i przekładają na bardzo konkretne straty w pieniądzu. Takie oprogramowanie jest następnie wykorzystywane przez ubezpieczycieli do wspomagania aktuariatu.

Niestety, Polska ciągle nie leży w obszarze zainteresowania tych firm, jesteśmy nawet za Filipinami – czyżby zbyt mały popyt ?