Управление рисками: новые принципы

Став в 2007 году генеральным директором ВР, Тони Хейворд торжественно поклялся, что займется прежде всего вопросами безопасности. Он ввел новые правила. Согласно им, например, переносить с места на место чашку с кофе можно было, только накрыв ее крышкой. А еще сотрудникам рекомендовалось не вести смс-переписку, управляя автомобилем. Прошло три года, и в июне 2010 года на глазах Хейворда в Мексиканском заливе взорвалась буровая платформа Deepwater Horizon, что привело к одной из самых страшных в истории рукотворных экологических катастроф. Американская следственная комиссия пришла к выводу, что причиной трагедии стали ошибки в управлении, парализовавшие «способность ответственных лиц выявлять риски, надлежащим образом оценивать их, сообщать о них и их устранять».

История Хейворда высвечивает общую проблему. На управление рисками, сколько бы об этом ни говорили и сколько бы денег в это ни вкладывали, чаще всего смотрят с одной точки зрения: соответствия требованиям. Чтобы их выполнять, надо сформулировать побольше правил и заставить персонал следовать им. Конечно, многие правила вполне разумны и действительно предотвращают некоторые потенциально серьезные опасности. Но никакими правилами не снизить вероятность катаст­рофы вроде той, что произошла с Deepwater Horizon, и не уменьшить ее последствий. Ведь правила не предотвратили банкротства многих финансовых организаций во время кредитного кризиса 2007—2008 годов.

В этой статье мы предлагаем новую классификацию рисков. Она позволяет понять, какие из них можно держать под контролем с помощью правил, а для каких нужны иные меры. Мы рассказываем о том, какие трудности сопряжены с проведением открытых, конструктивных обсуждений рисков, сопутствующих реализации корпоративной стратегии, и доказываем, что такого рода дискуссии должны иметь не просто теоретическую, но и практическую значимость, то есть их выводы должны прямо отражаться на процедурах выработки и воплощения стратегии. И в заключение мы поговорим о том, как выявлять непредвиденные риски, которые возникают независимо от стратегии и работы организации, и как готовиться к ним.

Управление рисками: правила или диалог?

Первый шаг на пути к созданию надежной системы управления рисками — понимание того, что организация сталкивается с разными по своей природе угрозами. В ходе исследования мы выявили три их категории. К какой бы ни относилась та или иная опасность, она может оказаться роковой для стратегии компании и даже для дальнейшего существования бизнеса.

Категория 1: предотвратимые риски. Имеются в виду опасности, возникающие в самой организации; их можно контролировать, необходимо устранять или избегать. Речь, в частности, идет о последствиях неправомочных, незаконных, неэтичных, ошибочных дейст­вий рядовых сотрудников и руководителей, а также сбоев в стандартных рабочих процессах. Что касается дефектов и ошибок, из-за которых бизнес серьезно не пострадает и избавиться от которых полностью слишком дорого, то тут, конечно, компания должна предусмотреть «поле допуска». Но в целом подобные риски следует устранять, поскольку они нежелательны стратегически. Не слишком щепетильный торговый агент или сотрудник, дающий взятку чиновнику, могут обеспечить фирме некую сиюминутную выгоду, но в целом их действия подрывают репутацию компании, что обязательно отразится на ее стоимости. Рисков этой категории лучше вообще не допускать, а для этого нужно жестко контролировать рабочие процессы, укоренять желательные нормы поведения и добиваться грамотных решений. Поскольку о соблюдении правил уже написано немало, мы не будем здесь вдаваться в подробности; отсылаем заинтересованных читателей к врезке «Выявление предотвратимых рисков и выработка контрмер».

Категория 2: риски стратегии. Некоторые риски предприятия берут на себя добровольно — ради максимальной прибыли, которую можно получить, реализуя бизнес-стратегию. Банк, например, рискует, предоставляя кредиты, компании-производители — вкладывая деньги в исследования и разработки. Риски этой категории существенно отличаются от предотвратимых, поскольку их нельзя назвать нежелательными по сути. Если стратегия нацелена на получение большой прибыли, то она изначально подразумевает высокий риск, и значит, ради потенциальной прибыли надо тщательно отслеживать этот ключевой фактор ее достижения. ВР, бурившая в Мексиканском заливе скважину глубиной в несколько километров, очень рисковала, надеясь хорошо заработать на нефти и газе, которые рассчитывала добыть. Риски стратегии невозможно контролировать и предотвращать, только соблюдая правила. В этом случае нужна система управления рисками, которая бы снижала вероятность их «материализации», а если события развиваются по негативному сценарию, то помогала бы компании направлять их в нужное русло. Такая система не помешает компаниям браться за самые авантюрные начинания; наоборот, она позволит идти на больший риск, сулящий более высокие прибыли, чем у конкурентов, не обладающих столь же эффективной системой.

Категория 3: внешние риски. Иногда компания попадает в зону риска из-за событий, происходящих вне ее стен, которые от нее не зависят и на которые она никак не может воздействовать. Это природные и политические катастрофы, глубинные макроэкономические сдвиги. Управлять внешними рисками нужно особым образом. Поскольку предотвратить вызывающие их события компании не в силах, важно прежде всего выявлять их признаки (задним числом обычно становится понятно, что они не могли не случиться) и пытаться смягчить их последствия. Процедуры управления рисками компании должны соответствовать перечисленным трем категориям. Соблюдать правила важно, если речь идет о рисках предотвратимых, но для внеш­них и угрожающих стратегии это абсолютно не применимо, а значит, в подобных случаях нужны другие подходы, предполагающие в том числе открытое и подробное обсуждение риска. Правда, это легко только на словах. Как показали обширные исследования поведения отдельных людей и целых организаций, наша психика устроена таким образом, что мы предпочитаем закрывать глаза на вероятные опасности и не любим заранее их обсуждать.

Почему так трудно обсуждать риски

В результате многочисленных исследований ученые сделали вывод, что люди переоценивают свою способность оказывать влияние на события, которые на самом деле во многом определяются стечением обстоятельств. Мы слишком уверены в точности наших прогнозов и оценок риска и, мягко говоря, не совсем адекватно представляем себе их вероятные последствия.