Ostatnio zetknąłem się z kilkoma próbami wdrożenia w polskich spółkach zarządzania ryzykiem w oparciu o koncepcje kontroli wewnętrznej, gdzie ZR miało być traktowane jako rozszerzenie czy funkcja wsparcia dla KW. To moim zdaniem zabójcza dla ZR tendencja wynikająca z jednej strony z wygodnictwa dużych firm konsultingowych uczestniczących we wdrożenia a z drugiej z małej wiedzy i doświadczenia osób, którym w przedsiębiorstwach powierza się zadanie zbudowania systemu ZR, a zwykle są to osoby naturalnie związane ze służbami kontroli wewnętrznej.

Zarządzanie ryzykiem – to wciąż raczkujący organizm w warunkach polskiej gospodarki wolnorynkowej, która istnieje od zaledwie 20 lat. Tym bardziej dużo wolniej postępuje wdrażanie owego „zjawiska” – jakim nazywany bywa proces zarządzania ryzykiem – w sektorze finansów publicznych, gdzie pojęcie to zostało wprowadzone formalnie w 2009 roku (nowelizacja ustawy o finansach publicznych). Traktowanie ZR jako rozszerzenia kontroli wewnętrznej czy ZR jako funkcja KW, wynika więc z naturalnej kolejności dochodzenia do sprawności przedsiębiorstwa (lub jednostki finansów publicznych) w obszarze ZR. Nie widzę więc błędu w takim podejściu, zakładając, że przedsiębiorstwo z czasem zdecydowanie rozdzieli zadania kontroli wewnętrznej od zadań zarządzania ryzykiem. 

Jestem zdania, że to stawianie sprawy na głowie – środowisko kontrolne i podejście urzędnicze, jakie przyjmuje się jedynie w bardzo sformalizowanych korporacjach, nie sprzyja świadomemu zarządzaniu ryzykiem oraz podejmowaniu inicjatywy i odpowiedzialności przez kadrę kierowniczą.

Posługując sie swego rodzaju synonimem, w moim przekonaniu – to właśnie stawianie sprawy na nogach, a dokładniej na podstawie – podstawie piramidy potrzeb Maslowa. Zarządzanie ryzykiem dla wielu polskich przedsiębiorstw stanowi szczyt tej piramidy. Podstawą, punktem wyjścia, od dawna znaną sprawnością, a przede wszystkim powszechnie stosowaną praktyką jest więc funkcja kontroli wewnętrznej. Naturalnym stanem wydaje się dojrzewanie zarządzania ryzykiem w środowisku kontroli wewnętrznej. Kontroli wewnętrznej, która w swych założeniach, ma za zadanie sprawdzić jak jest – z tym jak powinno być. Można założyć, że decyzja o powierzeniu zadania budowania systemu ZR kontrolerom, w naturalny sposób wynika z prostej logiki:  jest źle, ma być dobrze. W takim momencie myśli kierujących przedsiębiorstwem biegną właśnie w stronę kontroli wewnętrznej która, przynajmniej w założeniach, ma poprawiać rzeczywistość. Podejście urzędnicze ma swoje dobre strony, które mogą stanowić o sile sprawnego i świadomego zarzadzania ryzykiem. Moim zdaniem, urzędnicze podejście to nie tylko negatywnie odbierane niewychylanie się ze sztywnych ram. To też taka umiejętność formalnego podejścia, które na etapie raportowania i monitorowania staje się kluczową wartością. 

W projektowanych systemach ZR opartych o KW, którym miałem możliwość się przyjrzeć, najczęściej brakuje następujących, istotnych elementów lub ich wystarczającego rozwinięcia:

• przede wszystkim etapu/elementu menedżerskiego decydowania o ryzykach – tym samym zmieniania firmy i brania odpowiedzialności za decyzje (rozliczania za nie)
• dopracowanej koncepcji, w jaki sposób będzie mierzona skuteczność właścicieli ryzyk w ZR
• często również konkretnych (nazwanych) i przemyślanych metod, technik i narzędzi jakich będzie się używać podczas analizowania, kwantyfikowania i reagowania na ryzyko.

Taki najbardziej charakterystyczny przypadek z jednej ze znanych polskich firm, cechował się następującymi słabościami:

• próba opomiarowania ryzyk do granicy absurdu – mimo, że ryzyka nie zmieniają się na tyle szybko aby wszystkie mierzyć „real-time”
• struktura zarządcza skonstruowana tak, że wszystkie decyzje dotyczące istotnych ryzyk ogniskują się na poziomie zarządu (bardzo łatwo doprowadzić wtedy do  sytuacji, w której Zarząd staje się wąskim gardłem SZR i zamiast wpływać na jego  sprawność, spowalnia jego działanie)
• w procedurach (procesie) ZR brakuje decyzji o nominowaniu konkretnego właściciela ryzyka za nie odpowiedzialnego – zarówno na etapie oceny ryzyk, jak i na dalszych etapach (reakcja na ryzyko)
• dyrektorzy nie mają przez to inicjatywy, nie podejmą działań bez wcześniej przeprowadzonej kontroli lub audytu i otrzymania wniosków pokontrolnych; są tym samym zwolnieni z obowiązku zarządzania ryzykiem
• ZR jest traktowane jako funkcja służebna w stosunku do KW – a powinno być odwrotnie
• w procesie ZR (wzorowanym na COSO II) nie został zaakcentowany etap reagowania na ryzyko (risk response) a pojawia się od razu etap kontrolowania (control activities). Etap odpowiedzi na ryzyko (świadomej decyzji menedżerskiej) jest bezwzględnie konieczny i musi być mocno wzaakcentowany jako funkcja/odpowiedzialność menedżerska
• środki kontroli ryzyka funkcjonują jako procedury oderwane od ryzyk, ewentualnie są analizowane jedynie jako część planu kontroli wewnętrznej
• inicjatywy związane z reagowaniem na ryzyko są ograniczane do „działań kontrolnych” w rozumieniu np. COSO a nie do pełnego spektrum reakcji menedżerskich na ryzyko (tak jakby istniały tylko tzw „control risks”)

• Komitetowi ds Ryzyka nadaje się  kompetencje merytoryczne Właścicieli ryzyk, których Komitet nie ma. 

Nawiasem mówiąc, jeśli do obowiązków Komitetu miałoby należeć na przykład formułowanie propozycji dotyczących sposobu postępowania z ryzykiem korporacyjnym oraz zatwierdzanie opracowanych odpowiedzi na ryzyko, to Komitet powinien dysponować większymi kompetencjami merytorycznymi w obszarze poszczególnych ryzyk niż ich właściciele – a tak nigdy nie będzie. W jego skład wchodzą bowiem zwykle te same osoby, które są właścicielami ryzyk a ponadto kierownictwo z obszarów wsparcia (finanse, administracja, audyt, inwestycje, sprzedaż), które nie mają niezbędnej wiedzy merytorycznej. 

Dlaczego słychać tu bardzo wyraźny zgrzyt – piasku po szkle ? ZR z założenia zajmuje się obszarem niepewności a KW obszarem już rozpoznanych (wystandaryzowanych) zjawisk i zdarzeń. KW z założenia jest pasywna – ma za zadanie weryfikować  (kontrolować) zgodność postępowania i rozwiązań z pewnymi wzorcami, procedurami a ZR z założenia jest aktywne – służy zmienianiu lub tworzeniu nowych rozwiązań, procedur lub wzorców postępowania. Są to zadania i cele rozłączne.

Podejście kontrolne do zarządzania ryzykiem – bazujące na procedurach, monitorowaniu, czynnościach kontrolnych – osłabia właściwą kulturę organizacyjną, sprzyjającą ZR. Podejście menedżerskie – bazujące na obowiązku podejmowania czytelnej postawy wobec ryzyk, decyzji i brania za nie odpowiedzialności –  buduje ją. Monitorowanie i kontrolowanie to działanie reaktywne, bierne a nie proaktywne, jakie są pożądane przy zarządzaniu ryzykiem.

Podejście kontrolne do zarządzania ryzykiem – bazujące na procedurach, monitorowaniu, czynnościach kontrolnych – daje faktyczną, realną podstawę do menadżerskiego podejścia. Dostateczna ilość a przede wszystkim jakość i rzetelność informacji, daje podstawę do podejmowania właściwych decyzji. Takie podejście, daje pozytywne efekty w początkach wdrażania zarządzania ryzykiem w jednostkach sektora finansów publicznych, gdzie kultura organizacji jest mocno sformalizowana, sztywna i z trudem przyjmująca zmiany. Opisanie nowych zadań związanych z procesem zarządzania ryzykiem nie tylko w formie ustawy, ale też standardów, wytycznych, komunikatów a w kolejności skrupulatną kontrolę realizacji tych zapisów – daje wyraźny sygnał o ważności zjawiska. 

Zarządzanie ryzykiem bazuje na decyzjach i odpowiedzialności menedżerów a nie na funkcjach kontrolnych lub wsparcia. Aby tak się stało, należy zbudować bezpośrednią relację pomiędzy jakością ryzyk określonego właściciela, efektywnością środków kontroli za które odpowiada, oceną „performance” tego menedżera i jego systemem motywacyjnym. Już „wiekowy” Turnbull Guidance o tym wspomina. Innymi słowy – konieczne jest przejście od fazy „conform” do „perform”.

Zgodnie z z COSO II, kontrola wewnętrzna jest integralną częścią (służebną w stosunku do) zarządzania ryzykiem – do tego momentu jestem zwolennikiem COSO II. Jednak dokument ten ma zasadniczo kontrolny i urzędniczy charakter – kładąc nieproporcjonalnie duży akcent na kontrolę wewnętrzną. Powszechna krytyka COSO II wskazuje, że jedną ze słabości tego dokumentu – oprócz nierozróżniania pomiędzy „procesem” a „strukturą” ZR, jest wprowadzenie zamieszania interpretacyjnego jeśli chodzi o czynności „risk response”, „control activities” oraz „monitoring”.

Docelowa relacja obu funkcji (ZR i KW) powinna uwzględniać następujący uproszczony proces:

• analiza strategiczna (kontekst dla ZR)
• identyfikacja i analiza ryzyk (wyznaczenie właścicieli ryzyk – dyrektorzy i kierownicy)
• decyzja i implementacja pełnej reakcji na ryzyko (działanie menedżerskie właścicieli ryzyk, nie kontrolne)
• dopiero na tym etapie wkracza funkcja kontroli wewnętrznej, żeby kontrolować i raportować, czy plany zaradcze (środki kontrolne) są właściwie wdrażane i wykonywane (rola służebna kontroli wewnętrznej w stosunku do ZR)
• niezależnie od powyższych, funkcja audytu wewnętrznego powinna monitorować funkcjonowanie samego systemu ZR (nie tylko ryzyka).

Monitorowanie ryzyk przez audyt wewnętrzny można odbierać na dwóch płaszczyznach. Stwierdzenie powyższe, sugeruje pojmowanie funkcji audyt wewnętrznego jako tej części przedsiębiorstwa, która jest najlepiej zorientowana w obszarze wszelkich ryzyk. Nie należy jednak mylić ryzyka identyfikowanego, analizowanego i monitorowanego przez audyt wewnętrzny w odniesieniu do badanych procesów z mnogością ryzyk występujących w jednostce i będących w obszarze zainteresowania ZR. Ryzyko w audycie wewnętrznym jest silnie powiązane z przyjętym planem audytu, odnosi się do celów poddanych badaniu audytowemu. Audyt wewnętrzny powinien zatem monitorować (i najczęściej monitoruje) funkcjonowanie procesu zarządzania ryzykiem – procesu będącego jedynie narzędziem do osiągnięcia celów do których dąży przedsiębiorstwo. 

głos pierwszy: wasz w Ryzyku – R

oraz głos drugi: Agnieszka Mrozik

Dwóch znanych mi osobiścię dżentelmenów ze środowiska risk managementu popełniło ostatnio taką książkę, broszurę – „Zarządzanie ryzykiem w procesie zrównoważonego rozwoju biznesu„. 

                      

Osobiście uważam, że jeszcze u nas trochę za wcześnie i za biednie na „prawdziwe” CSR, ale skoro pokazał mi tę pozycje jeden z moich klientów – cóż, należy przeczytać. Tytuł, żeby to ująć delikatnie – nie wprost mówi o co chodzi, a nawet po lekturze tej broszury nie jestem przekonany czy szcześliwe jest zestawianie zarządzania ryzykiem i CSR jako coś tak bardzo nierozłącznego.

Nie będę tutaj oceniał części poświęconej CSR – może poza pojedynczymi refleksjami – lecz tą dotyczącą zarządzania ryzykiem. Ciekawa jest lista szans i zagrożeń związanych z podjęciem działań CSR. Ciekawa dlatego, że plasuje CSR w grupie tzw. „opportunity risks” – ryzyk (przedsięwzięć), jakie świadomie biznes podejmuje wierząc, że służą zbudowaniu wartości, zysków, wzrostu. Z ciekawszych ryzyk negatywnych (tj. „co by było, gdyby CSR poszło nie tak jak chcemy”) należy wymienić następujące:

• niska siła nabywcza konsumentów (interesuje nas niska cena a nie przyjazny społeczeństwu i środowisku sposób ich wytworzenia)
• wyższa niż przeciętna wrażliwość firmy praktykującej CSR na utratę reputacji (paradoks, prawda ?)
• zwiększone nakłady i niższy zwrot a także dłuższy czas wytworzenia i dystrybucji produktów powstających w otoczeniu CSR.

To bardzo ciężkie argumenty „przeciw”. Jednak duet Tomek i Sławek przeciwstawiają im co najmniej dwa twarde argumenty „za”:

• rząd RP (a raczej dedykowany zespół) przygotował rekomendacje dla spółek Skarbu Państwa zobowiązujące je do wprowadzenia zasad zarządzania „rozszerzonymi” ryzykami – właśnie z obszaru CSR i governance
• GPW od ponad dwóch lat prowadzi dla notowanych spółek „wskaźnik etyki biznesowej” (Respect Index).

I jedna polemiczna uwaga dotycząca grafiki na stronie 21, gdzie mowa o „pozornie rozbieżnych celach” właścicieli i zarządzających spółką oraz jej dostawców i podwykonawców. To przecież klasyka, model otoczenia konkurencyjnego Portera – od zawsze i na zawsze kupujący i sprzedający będą mieli rozbieżne cele i będą swoimi konkurentami, walcząc ze sobą ceną (o cenę). Świat gospodarczy się kręci, bo ciągle można „kupić taniej i sprzedać drożej”, jak skończy się model Portera, skończy się kapitalizm.

Za co mogę być wdzięczny Tomkowi i Sławkowi a o co mogę mieć do nich pretensję, jeśli chodzi o treści dotyczące zarządzania ryzykiem ?

Podstawową moim zdaniem wadą publikacji jest to, że na ograniczonej ilości stron próbuje bardzo ambitnie przedstawić bogactwo i różnorodność świata zarządzania ryzykiem i dość swobodnie żongluje zasadami i pomysłami z różnych „szkół zarządzania ryzykiem”. To wprowadza trochę poczucia chaosu, niewprawny czytelnik ma prawo się w nim zagubić. Zawiedziony jestem ponadto:

• dysproporcją uwagi poświęconej ustaleniu kryteriów hierarchizacji ryzyka (za mało !) i zasadom dekompozycji (kaskadowania) celów biznesowych organizacji (za dużo !)
• nieprecyzyjnym (nieprawdziwym) przedstawieniem zasad konstruowania diagramu Bow-Tie, na stronie 61; ta metoda nie pozwala na pokazanie w jednym diagramie pra-przyczyn i skutków następczych, a jedynie bezpośrednie przyczyny i bezpośrednie skutki tzw. „top event” (zdarzenia krytycznego); efekt rozbudowania łańcucha przyczynowo-skutkowego można jedynie osiągnąć łącząc diagramy ze sobą w ten sposób, że skutek jednego diagramu stanowi zagrożenie (przyczynę) dla kolejnego diagramu; wcześniej pisałem już o metodzie Bow-Tie

Przy okazji – ilustracja na stronie 27 pokazuje jak nie należy postępować z karabinkami – karabinków nie łączy się bezpośednio ze sobą (gdyż mogą powstać dźwignie – momenty obrotowe), lecz za pomocą taśmy. Ponadto wełniane rękawice przy pracy z taki sprzętem są diabelnie ryzykowne – mogą zostać przytrzaśnięte przez przesuwającą się linę. No, ale biorąc pod uwagę odległość Gdańska od Tatr, taki drobiazg można wybaczyć 🙂

Jestem wdzięczny za kilka bardzo ważnych praktycznych prawd, które zwykle są pokazywane jedynie sporadycznie, natomiast w omawianej publikacji zostały wyeksponowane w sposób należyty:

• „dobrą strategię można streścić w kilku zwięzłych zdaniach” (przypomina mi się ostatnio widziana strategia, wyrażona zestawem wskaźników mieszczącym się na siedmiu stronach !)
• zarządzanie ryzykiem potrzebuje prostego, zrozumiałego intuicyjnie słownictwa – potrzebują go kierownicy i pracownicy firmy
• nadmierne sformalizowanie procesu zarządzania ryzykiem znacząco ogranicza jego skuteczność, gdyż rodzi opór i brak zaangażowania managementu (najboleśniej widać to we wszystkich chybionych wdrożeniach ERM)
• szczególnie ważny jest zrozumiały i jednoznaczny opis ryzyka; autorzy zwracają uwagę na wymóg zrozumiałości definicji ryzyka dla decydentów (a najczęściej to nie te same osoby, które zdefiniowały, opisały i zmierzyły ryzyko)
• za rozszerzenie – od strony praktycznej – pojęcia apetytu na ryzyko, jakie pojawiło się w załączniku.

Miło mi było zaobserwować, że na stronie 49 autorzy posłużyli się elementami mojego wykładu przedstawionego na kursie Polrisk (cechy efektywnych systemów zarządzania ryzykiem), bazującymi na opisanym na tym blogu badaniu AIRMIC.

13.04.2012 – Sprostowanie: Sławek poinformował, że wraz z Tomkiem korzystali z materiałów oryginalnych tj. opracowania DNV w Anglii przygotowanego dla AIRMIC. Wyrazy uznania za dociekliwość i docieranie do źródeł.

Również, oglądając przykładowy rejestr ryzyka przedstawiony na stronie 68 miałem nieodparte wrażenie, że widziałem identyczny w jednej z polskich firm. Unikalną wręcz kolumną – biorąc pod uwagę to, co widzi się w książkach i poradnikach – w proponowanym rejestrze ryzyka jest „opis sposobu kalkulacji skutków”, który ma krytyczne znaczenie dla powodzenia dalszego monitorowania ryzyka i decydowania o nim.

Konkluzja – trochę wybuchowa mieszanka, trochę za mało obszerna jak na tak szeroki zakres zagadnień – ale kawał dobrej roboty. Gratuluję !

Wasz w ryzyku,

R

Nie tak dawno na tym blogu została poruszona kwestia płci w naszej grupie zawodowej, a już szykuje się dość mocno komentowany w prasie zagranicznej skandalik. Australijski magazyn risk managerów Risk Magazine uniżenie donosi, że wyniki ostatnich niemieckich badań dostarczają wniosków zaprzeczających poprzednim badaniom, jeśli chodzi o wpływ „zawartości” płci pięknej w zarządach firm na ich skłonność do podejmowania ryzyka i wyniki finansowe.

Raport wprost konkluduje, że kobiety w zarządach są mniej doświadczone, bardziej agresywne i bardziej skłonne do podejmowania ryzyka niż mężczyźni. Ponadto, zdaniem akademików i specjalistów z Bundesbank, mieszane składy zarządów wywołują wewnętrzne konflikty i tzw „power struggle” (walkę o władzę). Wnioski wysnuto na podstawie analizy zmienności wyników finansowych banków w ciągu 16 lat i ich skorelowania ze zmianami w składzie zarządów.

Wszystkich zorientowanych – szczególnie Australijczyków i Amerykanów, którzy mają własne badania – dziwią takie wyniki. Bowiem badania z tych dwóch odległych od Europy kontynentów bez najmniejszych wątpliwości wskazują na dobroczynny wpływ mieszanych składów zarządów na wyniki finansowe przedsiębiorstw. DCA (Diversity Council of Australia) porównuje wartości wskaźników finansowych dla dwóch skrajnych grup firm: tych, w których jest największy udział kobiet w zarządach i tych, gdzie ten udział jest najmniejszy. Zarządy zdominowane przez kobiety wypracowują lepsze wyniki: ROE (Return on Equity) o 53%, ROS (return on Sales) o 42% i ROI (Return on Investment o 66%.

Być może wyniki tłumaczy skład ekipy niemieckich badaczy: w pełni męski zespół.

Pierwszą trudnością, z jaką mają do czynienia firmy wdrażające ERM jest wstępna faza przygotowania kontekstu do zarządzania ryzykiem, wyznaczenie wynikającego z niego apetytu na ryzyko, kryteriów i miar ryzyka – czyli całego warsztatu analitycznego. 

Jednak przyglądając się kolejnym wdrożeniom ERM dokonywanym przez różne polskie firmy wspomagane przez tzw „doradców instytucjonalnych”, zarówno wdrożeniom chybionym jak i tym wolno, w bólach się przyjmującym, coraz bardziej utwierdzam się w przekonaniu, że brak właściwej kultury zarządzania ryzykiem lub niezdolność jej wytworzenia przez zarząd jest tym prawdziwym „show killer„.

O kulturzed zarządzania ryzykiem pisałem już prawie 3 lata temu ale zagadnienie nadal stanowi bardzo wysoko postawioną dla firm poprzeczkę.

Trochę nie wprost mówi o tym pani risk manager – Marie-Eve Albertelli z firmy Aeroports de Paris na łamach ostatniego wydania Strategic Risk. Marie-Eve zauważa, że risk management nie jest już dyscypliną administracyjno-techniczną a największym wyzwaniem risk managerów jest wytworzenie w firmach „kultury ryzyka”, sprzyjającej transparentnej wymianie wiedzy i know how w firmie. Jedynie to może doprowadzić firmę do stanu, w którym – skutecznie kontrolując poznane ryzyka – może podejmować kolejne wyzwania i szanse. Jej zdaniem kluczem do sukcesu jest komunikacja. Menedżerowie ryzyka nie powinni być już tylko inżynierami, administratorami ale doskonałymi liderami i moderatorami dialogu pomiędzy departamentami w przedsiębiorstwie. 

Zresztą to nie jest nic bardzo odkrywczego – stanowi jedynie potwierdzenie badań, o jakich pisałem kilka miesięcy temu. Zarządy firm poszukują nowej generacji proaktywnych menedżerów ryzyka: wizjonerów, doskonałych komunikatorów o wysokoch zdolnościach społecznych, skutecznych w przekonywaniu innych a niekoniecznie uwielbiających łamigłówki analityczne.

Wasz w ryzyku,

R

Natknąłem się na dokument pt: „The High Cost of ERM Herd Mentality” wyprodukowany przez kanadyjczytka, Tima J. Leech. Dokument stanowi frontalną krytykę niektórych, dotąd uznawanych za fundamentalne, zasad zarządzania ryzykiem korporacyjnym. Co gorsza, w wielu miejscach nie sposób nie zgodzić się z konkluzjami.

Tysiące przedsiębiorstw zaimplementowało lub zaczęło implementować różne formuły ERM, zwykle opierając się na którymś ze standardów promowanych przez silnie lobbujące organizacje; ASNZS 4360, ISO 31000, COSO 1992 i COSO 2004, the Combined Code, IRM/AIRMIC Standard. Regulatorzy w Europie i Ameryce Północnej przykręcają śrubę i żądają od publicznych firm wyczerpujących informacji jak zarządzają swoim ryzykiem. Liczba firm przyjmujących ERM będzie nadal wzrastać i to w postępie geometrycznym. 

Niestety, wiele z tych firm wykorzystuje nieoptymalne lub wręcz błędne, wadliwe podejście do zarządzania ryzykiem proponowane w wymienionych dokumentach. Większośc organizacji, które spowodowały wejście gospodarki w kryzys finansowy w roku 2008, poprawnie stosowało zalecenia COSO I co zostało pozytywnie zweryfikowane przez zewnętrznych audytorów. Dalsze stosowanie takich wybrakowanych systemów ramowych kontroli wewnętrznej i zarządzania ryzykiem, metod i technik promowanych w wymienionych wyżej standardach jest zdaniem Leech’a złą drogą. Autorzy bardzo krytycznie odnoszą sie do skuteczności COSO I (1992), którego głównym autorem był Coopers & Lybrand (poprzednik PWC) a także Sarbanes-Oxley Act (2002), i równie sceptycznie odnoszą się do jakości zaktualizowanej przez PWC w zeszłym roku wersji COSO 2012. Nie pozostawiają również suchej nitki na najnowszym ISO 31000.
Tim Leecz skrupulatnie wyłuskał zauważone błędy i nazwał je „Błędnymi zakrętami stadnej mentalności ERM” (“ERM HERD MENTALITY WRONG TURNS”). Jego zdaniem, ta mentalność była podstawową przyczyną kryzysu finansowego 2008.

• ISO 31000 sugeruje dokonywanie oceny pojedynczych ryzyk, lub nawet ich portfela na mapie ryzyka, jednak nie wymaga, aby dokonywać zagregowanego pomiaru wszystkich ryzyk oddziałujących na dany cel biznesowy, w efekcie ryzyka są rozpatrywane ze względu na ich wielkość bezwzględną a nie wielkość / wagę celu, jakiemu zagrażają. Muszę przyznać, że rzeczywiście w wielu firmach brakuje mi elementu agregowania ryzyk (o czym pisałem już prawie trzy lata temu temu, podkreślając wartość agregowania ryzyk „po celu biznesowym”).
• Zarówno COSO 1992 jak i zrewidowane COSO 2012 ustanawiają pięć elementów ramowego systemu kontroli (Control Environment, Risk Assessment, Control Activities, Information and Communication, & Monitoring Activities), ale wyłączają z nich ustalanie celów biznesowych, mimo, że później stwierdzają, że ich ustalenie jest warunkiem poprawnie funkcjonującej kontroli wewnętrznej. Osobiście nie widziałbym w tym zasadniczego problemu, tak długo jak cele biznesowe w ogóle zostaną sprecyzowane w procesie planowania biznesowego.
• Skupianie się większości metod, procesów i systemów ramowych ERM na ocenie wyizolowanych ryzyk a nie na ich kombinowanym wpływie na cele biznesowe, z uwzględnieniem wielkości tego celu i niepewności jego osiągnięcia. Konsekwencja tego jest widoczna w rejestrach ryzyka, którekładą nacisk na identyfikację, szacowanie i raportowanie Top 10 lub top 20 ryzyk. Natomiast w większości nie hierarhizują celów biznesowych pod kątem niepewności ich osiągnięcia i potencjalnego wpływu porażki na biznes. To samo dzieje się na mapach ryzyka („Heat Maps„) – widać na nich poszczególne, największe ryzyka ale nie widać które cele biznesowe są najbardziej zagrożone. 
• Ignorowanie „Czarnych Łabędzi” (”Black Swans”). Po kryzysie finansowym 2008 wzrosło zainteresowanie metodami oceny ryzyk w rogu „niskie prawdopodobieństwo / wielki skutek”. Tradycyjne systemy ratingowe i mapy ryzyka skupiające się na prawym górnym rogu pozostawiają Czarne Łabędzie na boku, wyłączając je z działań priorytetowych. Rzeczywiście, zwykle lewy górny róg jeśli nie mógł być ubezpieczony, był kandydatem do działań Business Continuity, które niestety wcale nie są w firmach priorytetem.
• Skupianie się na „kontrolach” (Controls). Duży odsetek szkół zarządzania ryzykiem skupia się na identyfikowaniu „kontroli” (środków kontroli) w relacji do określonych ryzyk zamiast identyfikować wszystkie sensowne formy i mechanizmy ograniczania ryzyka – jak np. transfer. Z zadowoleniem muszę zauważyć, że głoszona przeze mnie „szkoła” zdecydowanie wykracza poza wąski zakres środka kontroli w rozumieniu np COSO czy Turnbulla.

Spośród kilku wad i słabych miejsc istniejących systemów ERM w przedsiębiorstwach, autorzy podkreślają zbyt słabe zaangażowanie zarządów w codzienne praktykowanie i egzekwowanie zasad ERM, oraz nie zarządzanie ryzykiem nieskutecznego ERM, a szczególnie:

• sytuacjami, gdy środki ograniczania ryzyka nie działają
• kiedy zarząd nie ma sprecyzowanych oczekiwań, jakie korzyści ERM ma przynieść firmie
• gdy zarząd nie wie (nie mierzy) jakie w rzeczywistości spółka otrzymuje korzyści z funkcjonującego ERM w porównaniu do zamierzonych
• kiedy zarząd i dyrektorzy nie są chętni aby używać formalnych zasad i technik pomiaru ryzyka w wypadku ważnych, strategicznych projektów jak akwizycje lub inwestycje
• gdy zarządy nie chcą korzystać z ERM jako głównego elementu planowania strategicznego i budżetowania, bo nie wierzą w jego użyteczność.

Tim Leech pozostawia sugestie do przemyślenia dla trzech najbardziej wpływowych organizacji: ISO, COSO oraz IIA. Najbardziej interesujące dla mnie były zalecenia dokonania zmian w ISO 31000, które zapewnią, że:

• użytkownicy zrozumieją potrzebę jasnego zdefiniowania celów biznesowych podczas dokonywania oceny ryzyka, oraz utrzymania tej bezpośredniej relacji pomiędzy celami biznesowymi a oceną ryzyka
• koncentrację oceny ryzyka na zagregowanym wpływie grupy ryzyk na określone cele biznesowe – na ich wielkość i niepewność osiągnięcia; zarządy zamiast rejestrów ryzyka powinny otrzymać rejestry celów biznesowych pokazujące stopień niepewności ich osiągnięcia oraz skutki dla firmy
• częścią procesu przeglądu ryzyk (rezydualnych) i ich akceptowalności, powinna być ocena skonsolidowanego wpływu tych ryzyk na nieosiągnięcie celu biznesowego.

Dokument można załadować tutaj.

Wasz w ryzyku,

R