Парадигма управления рисками

В январе 2008 года руководство Société Générale обнаружило, что трейдер Жером Кервьель годами обходил лимиты риска, маскируя реальные позиции фиктивными хеджирующими сделками. К концу 2007 года его необеспеченные позиции превысили €50 млрд по номиналу — в разы больше рыночной капитализации самого банка. Закрытие этих позиций обошлось Société Générale в €4,9 млрд убытков. Это не был стратегический риск, на который банк сознательно пошёл ради дохода, — это была катастрофа предотвратимого риска: внутренние контроли, которые должны были остановить одного трейдера задолго до такого масштаба, годами не срабатывали. Именно различие между рисками, которые нужно предотвращать без исключений, и рисками, которые компания сознательно принимает ради результата, легло в основу трёхкатегорийной классификации Роберта Каплана и Аннет Микес.

Происхождение и исследовательская база

Трёхкатегорийная классификация рисков разработана Робертом Капланом и Аннет Микес в статье «Managing Risks: A New Framework» (Harvard Business Review, 2012) как ответ на волну корпоративных провалов управления рисками (включая финансовый кризис 2008 года), где универсальные системы риск-менеджмента одинаково применялись ко всем типам угроз и одинаково проваливались. Развивает более раннюю концепцию Enterprise Risk Management (COSO ERM Framework) добавлением критически важного разграничения по типу риска.

Ключевые идеи и принципы

1. Принцип: Предотвратимые риски требуют нулевой терпимости

   Внутренние операционные риски (нарушение регламентов, мошенничество, ошибки процессов) не создают стратегической ценности — их нужно предотвращать через правила, контроли и надзор, а не "балансировать" с потенциальной выгодой, которой попросту нет.

2. Принцип: Стратегические риски принимаются осознанно ради доходности

   Риски, связанные с выбором стратегии (выход на новый рынок, крупная инвестиция, смена бизнес-модели), нельзя устранить правилами — организация сознательно идёт на них ради потенциального дохода, и задача управления — не исключить риск, а снизить вероятность реализации и подготовить план смягчения последствий.

   Рабочий механизм на практике: в Лаборатории реактивного движения NASA (JPL) решения по стратегическим рискам космических миссий проходят независимую экспертную комиссию, не входящую в проектную команду, — она присваивает каждому элементу миссии уровень технической новизны и требует резерв бюджета на непредвиденное (contingency reserve) пропорционально этой новизне: около 10-20% для проверенных технологий против 50-75% для принципиально новых решений, что не позволяет проектной команде занижать риск из желания уложиться в бюджет.

3. Принцип: Внешние риски требуют не контроля, а устойчивости

   Риски, полностью находящиеся вне контроля компании (природные катастрофы, геополитика, макроэкономические шоки), невозможно предотвратить или сознательно принять — единственная разумная стратегия — сценарное планирование и построение организационной устойчивости к разным вариантам будущего.

   Конкретный инструмент, а не абстрактный призыв к «устойчивости»: сценарное планирование как систематическая техника зародилось в Shell Oil в 1960-х годах — классический метод строит сценарии на основе 4 ключевых драйверов неопределённости, комбинация которых даёт до 16 различных сценариев будущего, для каждого из которых заранее продумывается стратегическая реакция компании. Второй инструмент — военные игры (war-gaming): 3-4 команды, каждая играющая роль одного из реальных конкурентов, разыгрывают конкурентную динамику в ответ на решения компании, вскрывая риски конкурентного ответа, которые линейное планирование обычно упускает. Оба инструмента годятся именно потому, что не пытаются предсказать один "правильный" вариант будущего, а тренируют организационную готовность реагировать на разные варианты.

   Пример провала инструмента: банковские стресс-тесты перед кризисом 2007-2008 годов не предсказали катастрофу именно потому, что были построены на ошибочном допущении о невозможности одновременного падения цен на жильё по всей территории США — модели оценивали риск ипотечных портфелей регионально, не учитывая сценарий синхронного общенационального обвала, что сделало устойчивость к «хвостовым» событиям иллюзорной.

4. Принцип: Разные риски — разные владельцы и процессы эскалации

   Смешение всех трёх типов рисков в единый реестр с единой методологией оценки систематически приводит к тому, что дешёвые в предотвращении операционные риски получают неоправданно много внимания, а действительно значимые стратегические риски — недостаточно.

   Рабочие примеры интеграции обсуждения рисков в стратегический процесс, а не в отдельный изолированный контур: Infosys встраивает обсуждение риска непосредственно в совещания по сбалансированной системе показателей — например, риск дефолта клиента увязан с конкретной стратегической целью диверсификации выручки, с мониторингом через кредитно-дефолтные свопы по крупным клиентам с выручкой от $50 млн. Volkswagen do Brasil использует парные «карточки риск-события» и «карточки риск-отчёта», явно привязанные к конкретным целям стратегической карты компании — каждая существенная цель имеет привязанный к ней явно определённый риск с назначенным владельцем и планом реагирования, а не абстрактный пункт в общем реестре.

   На практике встречаются две рабочие модели распределения владельцев: канадская энергокомпания Hydro One использует модель фасилитатора — директор по рискам организует анонимные голосования по шкале 1-5 на семинарах с руководителями подразделений, сводя оценки в единую картину без единоличного решения одного риск-менеджера; JP Morgan Private Bank с 2007 года использует модель встроенных экспертов — специалисты по рискам физически входят в бизнес-подразделения и участвуют в решениях изнутри, платя за это риском «одомашнивания» (потери независимости суждения), который приходится компенсировать регулярной ротацией и прямой линией отчётности перед центральной риск-функцией.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: все риски компании ведутся в едином реестре с единой методологией оценки, независимо от типа.

   Операционные и стратегические риски требуют принципиально разного подхода — единый чек-лист размывает и то, и другое, не давая ни жёсткого контроля там, где он нужен, ни осознанного принятия риска там, где оно оправдано.

   Как избежать

   явно классифицировать каждый риск по одной из трёх категорий и применять соответствующий управленческий подход, а не универсальный чек-лист.

2. Ошибка 2: к стратегическим рискам применяется логика «нулевой терпимости», как к предотвратимым.

   Организация начинает избегать оправданных рисков ради видимости безопасности, теряя доходность, которую эти риски были призваны принести.

   Как избежать

   явно признавать, что стратегические риски принимаются сознательно ради дохода, и фокусироваться на снижении вероятности и смягчении последствий, а не на полном избегании.

3. Ошибка 3: компания не готовится к внешним рискам, потому что «их всё равно нельзя контролировать».

   Отсутствие сценарного планирования оставляет организацию без плана действий именно в момент, когда внешний риск реализуется и нужна быстрая, продуманная реакция.

   Как избежать

   регулярно прорабатывать сценарии реализации внешних рисков и заранее готовить планы обеспечения устойчивости, даже не имея возможности предотвратить сам риск.

4. Ошибка 4: контроли предотвратимых рисков ослабевают со временем без внешней проверки.

   Как в случае Société Générale, внутренние контроли формально существуют, но годами не проверяются независимо и не срабатывают на реальных нарушениях, создавая ложное чувство защищённости.

   Как избежать

   регулярно и независимо аудировать реальную работу контролей предотвратимых рисков, а не полагаться на факт их формального существования.

5. Ошибка 5: риск смешанной природы (например, кибербезопасность) относится только к одной категории.

   Риск, объединяющий черты предотвратимого (внутренние уязвимости) и внешнего (действия атакующих) типов, управляется только по одной логике, упуская вторую половину проблемы.

   Как избежать

   для рисков смешанной природы явно прорабатывать оба применимых управленческих подхода одновременно, не сводя их к одной категории.

6. Ошибка 6: контроль предотвратимых рисков подменяется показным комплаенсом — соблюдением тривиальных правил без внимания к реальным источникам катастрофы.

   BP перед аварией на платформе Deepwater Horizon в Мексиканском заливе (апрель 2010, 11 погибших, крупнейший разлив нефти в истории США) отчитывалась о рекордно низком уровне травматизма и требовала от сотрудников носить крышки на кофейных стаканах и не пользоваться телефоном на лестницах — но не отслеживала риски на уровне самой буровой операции: отказ цементирования скважины и системы блоу-аутного превентора остались вне поля зрения формальных процедур безопасности.

   Как избежать

   разделять метрики "показного" комплаенса (травмы, дисциплина) и метрики реального риска на уровне критических операций — низкий травматизм персонала не означает, что предотвратимый риск катастрофического отказа оборудования или процесса под контролем.

7. Ошибка 7: разделение рисков на категории закрепляется отдельными изолированными командами, которые не обсуждают риски друг с другом.

   Каплан и Микес называют это «ловушкой функций» (function trap): организации создают отдельные команды по кредитному, рыночному и операционному риску, каждая из которых глубоко компетентна в своей узкой области — но именно из-за этого разделения риск смешанной природы (например, тот же кибербезопасность или риск дефолта крупного контрагента) проваливается в разрыв между функциями, потому что формально относится сразу к нескольким из них, а интегрированного обсуждения между командами не происходит.

   Как избежать

   создавать регулярные механизмы кросс-функционального обсуждения рисков между командами разных категорий, а не полагаться на то, что закрепление ответственности по типам рисков само по себе обеспечит полноту картины.

План внедрения

1. Месяц 1: инвентаризировать и классифицировать риски

   Провести инвентаризацию существующих рисков компании и классифицировать каждый по одной из трёх категорий.

2. Месяц 2: внедрить подходящий подход для каждой категории

   Для предотвратимых рисков — внедрить или усилить контроли; для стратегических — определить владельцев и планы смягчения последствий.

3. Месяц 3: проработать сценарии для внешних рисков

   Провести сценарное планирование для ключевых внешних рисков и разработать планы обеспечения устойчивости.

4. Далее: регулярно пересматривать реестр рисков

   Регулярно (например, ежеквартально) пересматривать реестр рисков, проверяя, не изменилась ли категория конкретного риска и адекватность текущего подхода.

Как реализовать этот план с помощью фрейма «Парадигма управления рисками» в OrgDevTools

Фрейм устроен как четыре карточки — Предотвратимые риски, Стратегические риски, Внешние риски, Система реагирования, — три категории классификации Каплана и Микес плюс отдельная карточка для реального механизма реагирования.

Месяц 1 — все три карточки категорий рисков. Требуют явного распределения рисков по трём категориям — структура фрейма не позволяет свести их в единый недифференцированный список (защита от ошибки 1).

Месяц 2-3 — карточка «Система реагирования». Фиксирует конкретный механизм действий для каждой категории — контроли для предотвратимых, планы смягчения для стратегических, сценарии устойчивости для внешних, — не позволяя оставить классификацию без практических последствий (защита от ошибки 3).

Книги по теме

Роберт Каплан, Аннет Микес — «Managing Risks: A New Framework» (HBR, 2012). Первоисточник трёхкатегорийной классификации рисков.

Нассим Николас Талеб — «Чёрный лебедь» (2007). Смежная концепция редких, труднопредсказуемых внешних событий с непропорционально большими последствиями — расширяет понимание категории внешних рисков за пределы стандартного сценарного планирования.