Риск-аппетит — это заранее названная величина потерь, которую компания готова принять по конкретному виду риска за период, не меняя стратегию. Ключевое слово — величина. Не философия, не декларация о намерениях, а число или четкая граница.
Почему формулировка должна быть измеримой
Фраза «мы принимаем умеренный уровень операционного риска» бесполезна: под нее подходит любое решение и любое его последствие. Проверить соблюдение такого аппетита невозможно, а значит он ни на что не влияет.
Рабочая формулировка звучит иначе. Совокупные потери от простоев не превышают сорока миллионов рублей в год. Потеря клиентских операционных данных недопустима ни при каких обстоятельствах. По внутренней управленческой отчетности допустима потеря в пределах суток. Из таких границ прямо выводятся требования к восстановлению — целевое время и допустимая потеря данных, которые определяет анализ воздействия на бизнес.
Кто утверждает и что с этим делают дальше
Аппетит утверждает совет директоров или собственник, потому что это решение о том, чем компания готова рисковать ради доходности. Менеджмент его исполняет, но не назначает сам себе.
Дальше аппетит раскладывается на лимиты для подразделений — это и называют каскадированием. Общая граница потерь превращается в конкретные ограничения по направлениям, площадкам и видам операций. Если превышение лимита никого ни к чему не обязывает, аппетита в компании нет, есть текст в папке.
Как сформулировать за одну встречу
- Возьмите три-пять видов риска, а не весь реестр. Обычно это остановка операций, утечка данных, потеря ключевого поставщика, санкционные ограничения.
- По каждому назовите цифру или запрет. Сумма за год, либо формулировка «недопустимо» без оговорок.
- Проверьте на прошлом. Возьмите крупнейший инцидент за три года и посмотрите, укладывается ли он в объявленную границу. Если нет — либо граница нереалистична, либо компания живет вне своего аппетита.
- Назначьте адресата эскалации. Кто и как узнает о приближении к границе и что обязан сделать — см. три линии защиты.
Как этот разговор ведут с советом директоров, разобрано в материале BCM для совета директоров, а способ оценки отдельного решения — в материале метод трех сценариев.
Частые вопросы
Чем риск-аппетит отличается от толерантности к риску? Аппетит — это желаемый уровень риска, который компания сознательно принимает. Толерантность — предельно допустимое отклонение от него, после которого нужны действия. Аппетит задает курс, толерантность задает границу коридора.
Можно ли обойтись без цифр? Для запретов да: формулировка «недопустимо» работает. Для всего остального цифра нужна, иначе соблюдение аппетита нельзя проверить.
Как часто пересматривать? Раз в год вместе со стратегией и внепланово при существенном изменении условий — крупном инциденте, смене рынка, новых регуляторных требованиях.