Риск-аппетит — это заранее названная величина потерь, которую компания готова принять по конкретному виду риска за период, не меняя стратегию. Ключевое слово — величина: число или четкая граница, соблюдение которой можно проверить.
Почему формулировка должна быть измеримой
Фраза «мы принимаем умеренный уровень операционного риска» бесполезна: под нее подходит любое решение и любое его последствие. Проверить соблюдение такого аппетита невозможно, а значит он ни на что не влияет.
Рабочая формулировка звучит иначе. Совокупные потери от простоев не превышают сорока миллионов рублей в год. Потеря клиентских операционных данных недопустима ни при каких обстоятельствах. По внутренней управленческой отчетности допустима потеря в пределах суток. Из таких границ прямо выводятся требования к восстановлению — целевое время и допустимая потеря данных, которые определяет анализ воздействия на бизнес.
Кто утверждает и что с этим делают дальше
Аппетит утверждает совет директоров или собственник, потому что это решение о том, чем компания готова рисковать ради доходности. Менеджмент его исполняет, но не назначает сам себе.
Дальше аппетит раскладывается на лимиты для подразделений — это и называют каскадированием. Общая граница потерь превращается в конкретные ограничения по направлениям, площадкам и видам операций. Если превышение лимита никого ни к чему не обязывает, аппетита в компании нет, есть текст в папке.
Как сформулировать за одну встречу
- Возьмите три-пять главных видов риска. Обычно это остановка операций, утечка данных, потеря ключевого поставщика, санкционные ограничения.
- По каждому назовите цифру или запрет. Сумма за год, либо формулировка «недопустимо» без оговорок.
- Проверьте на прошлом. Возьмите крупнейший инцидент за три года и посмотрите, укладывается ли он в объявленную границу. Если нет — либо граница нереалистична, либо компания живет вне своего аппетита.
- Назначьте адресата эскалации. Кто и как узнает о приближении к границе и что обязан сделать — см. три линии защиты.
Как этот разговор ведут с советом директоров, разобрано в материале BCM для совета директоров, а способ оценки отдельного решения — в материале метод трех сценариев.
Частые вопросы
Это заранее проведенная граница между «можно» и «нужно отдельное решение». Например: потеря до 5 процентов годовой прибыли от одного события допустима, больше требует решения совета. Пока риск внутри границы, решения принимают руководители на местах; за границей вопрос поднимается выше.
Это качественные ярлыки для уровня границы. Низкий аппетит означает узкие лимиты и требование согласовывать почти все отклонения, умеренный более широкие. Сами по себе слова не работают: аппетит становится инструментом, только когда за словом стоит число или правило.
Плановый пересмотр раз в год вместе со стратегией и бюджетом. Внеплановый при существенном изменении условий: новая стратегия, крупная сделка, изменение регулирования, серьезный инцидент. Чаще раза в квартал пересматривать не стоит: границы, которые двигаются каждый месяц, перестают быть границами.
В банках аппетит к риску это документ, утверждаемый наблюдательным советом, с показателями по видам рисков: достаточность капитала, лимиты кредитного и рыночного риска, ликвидность, операционные потери. Это часть требований Банка России к системе управления рисками и капиталом банков. Для промышленной компании подход тот же, показателей меньше: обычно от пяти до десяти.
Чем риск-аппетит отличается от толерантности к риску? Аппетит — это желаемый уровень риска, который компания сознательно принимает. Толерантность — предельно допустимое отклонение от него, после которого нужны действия. Аппетит задает курс, толерантность задает границу коридора.
Можно ли обойтись без цифр? Для запретов да: формулировка «недопустимо» работает. Для всего остального цифра нужна, иначе соблюдение аппетита нельзя проверить.
От реестра рисков к решениям руководства
Проверьте, доходят ли ваши риски до тех, кто принимает решения. Дашборд показывает состояние одним экраном, система под ключ доводит его до рабочего.