Ключевые индикаторы риска: факторы, влияющие на эффективность внедрения

Автор: Анатолий Дороничев, эксперт в области внутреннего аудита и управления рисками, член Ассоциации «Институт внутренних аудиторов»¹

В конце 2022 года вновь активизировалось обсуждение темы ключевых индикаторов риска в связи с выходом нового ГОСТ Р «Менеджмент риска. Риск-аппетит и ключевые индикаторы риска». С одной стороны, тема полезная, при правильном применении может дать существенный эффект в повышении управляемости процессов и способности достижения целей как отдельных руководителей и специалистов, так процессов и компании в целом. Но, с другой стороны, есть в этом «яблоке» какой-то «червячок». Давайте попробуем надкусить этот «фрукт».

Исторически сложилось, что данная тема особенно продвигается внутренними аудиторами, контролерами и специалистами по управлению рисками. Данные службы часто воспринимаются как осложняющие жизнь всем остальным. Конечно же, всегда есть сотрудники, которые понимают возможности этих подразделений и то, как получить от них измеримые результаты своей деятельности для достижения целей компании. Однако, внутренние аудиторы, контролеры и специалисты по управлению рисками «продают» внутренним заказчикам весьма специфический продукт еще и с негативным клеймом в названии – «ключевые индикаторы РИСКА».

Именно поэтому хотел бы поделиться с вами размышлениями на тему не самих КИР – что это такое, какие возможны классификации, подробные характеристики, которыми они должны обладать – а посмотреть на факторы, влияющие на работоспособность данных инструментов.

В контексте данной статьи рассматривается подход, при котором именно внутренними аудиторами, контролерами или менеджерами по рискам предлагается бизнесу внедрить ключевые индикаторы рисков. Хотя мне больше импонирует называть их вспомогательными индикаторами достижения целей. Для легкости восприятия остановимся на привычной аббревиатуре «КИР».

Статья построена на описании трех факторов, существенно влияющих на эффективность внедрения КИР.

Тезис 1. Необходимо «упаковывать» продукт для внутреннего потребителя, чтобы он хотел его купить.

Что в начале нового аудита часто слышат внутренние аудиторы в ответ от бизнеса на вопрос: какие у вас есть риски в процессе? Правильно: у нас нет рисков.

А что будет, если спросить: кто или что вам мешает выполнять свою работу эффективно? И здесь вы можете услышать про недоработки всех и вся.

А в чем разница? В подаче вопроса.

Несмотря на совершенствование практик управления, на территории нашей страны все равно прослеживается аналогичная проблема с КИР.

По сути, ключевой индикатор риска представляет собой бизнес-показатель, который может быть использован для своевременной корректировки процесса для достижения его целей и целей организации. Из этой формулировки следует, что показатель, который показывает только факт на текущий момент без призыва к действию, потребует дополнительных ресурсов для понимания необходимых дальнейших действий.

Предлагается 2 основных пути дальнейшего развития:

1. Доработать имеющийся индикатор, и на основании доработанного показателя принимать управленческие решения. Пример КИРа, отражающего факт: снижение страхового запаса по одному из видов сырья до 1% сегодня.

Это хорошо или плохо? Слишком мало данных для ответа на этот вопрос.

Прогнозный показатель дефицита сырья с учетом производственной программы и сырья в пути – это уже другое дело. На основании такого показателя можно, как минимум:

• изменить производственную программу для исключения остановки оборудования;

• найти механизмы ускорения поставки из альтернативных источников.

2. Показатель не имеет прогнозной составляющей в краткосрочном периоде, также как и краткосрочного эффекта. При этом мониторинг данных КИР подразумевает использование значительного человеческого ресурса, поскольку требует постоянной оценки критичности текущего показателя, который достаточно сложно алгоритмизировать. Например, количество отклонений от утвержденных процедур, «красные флаги» потенциального мошенничества или махинаций, количество ошибок в управленческой/ бухгалтерской отчетности, уровень финансового состояния контрагентов и т.п. На критичность данных показателей влияет большое количество факторов (внутренняя культура, финансовое состояние компании и экономики в целом, текущий уровень риск-аппетита, настроение менеджмента), и одинаковый уровень показателя в различные временные периоды может иметь отличные итоговые оценки.

Краткосрочный финансовый эффект от мониторинга данных показателей может быть незначительным, следовательно, «продать» необходимость отслеживания данных показателей будет значительно сложнее, даже несмотря на то, что в долгосрочной перспективе последствия могут быть существенными. Чаще всего в данном случае подразделениям внутреннего аудита, контроля или управления рисками необходимо решить, готовы ли они на постоянной основе использовать свои ресурсы для отслеживания данных показателей и насколько работа целесообразна, с учетом имеющихся ресурсов, заинтересованности прочих сторон и потенциального эффекта.

Кстати, исходя из такой логики, КИР, выраженные качественно², также относятся ко второму типу показателей, поскольку не позволяют принять какое-либо решение без дополнительных данных.

Также к «упаковке продукта» можно отнести то, что ты приходишь презентовать.

Хорошо подготовленная презентация и рассказ о том, сколько мы заработаем/ сэкономим/ как снизим риски за счет контроля показателей – это хорошо. Но если за этим следуют слова: «Вам для этого нужно сделать/ разработать/ внедрить и т.п.», это понижает рейтинг привлекательности вашего предложения на несколько пунктов.

Для этого необходимо разработать прототип, или MVP (Minimum Viable Product), для презентации менеджменту. В лучшем случае MVP должен показывать не только текущие оценочные показатели, но и ретроспективные оценки при наличии значительных отклонений. В этом случае вероятность положительной реакции на внедрение презентуемого инструмента гораздо выше.

Тезис 2. Для внедрения КИР необходимы ресурсы.

Внедрение КИР может требовать значительный объем ресурсов для получения более существенного эффекта. К основным требуемым ресурсам можно отнести:

• финансовые ресурсы: программное обеспечение, обучение сотрудников;

• квалификация и время сотрудников;

• данные.

Если исходить из предыдущего тезиса, в котором было указано, что КИР должны стремиться давать прогнозную информацию для своевременного реагирования, то однозначно для этого понадобится программное обеспечение (можно формировать прогнозные таблицы и графики и на бумаге, но при этом могут возникнуть некоторые трудности). Для внедрения КИР можно использовать любое программное обеспечение начиная с простого Excel и заканчивая сложными математическими моделями, рассчитывающими огромное количество сценариев на основании заданных статистических распределений. Из всего этого множества программных продуктов я бы выделил 3 категории:

• Простые в эксплуатации.

К простым можно отнести инструменты, обладающие следующими характеристиками:

• распространенные,

• имеется значительное количество обучающих материалов в свободном доступе,

• требуют незначительного времени для изучения.

Например, формирование таблиц и стандартных графиков и диаграмм возможно с помощью простых макросов, показывающих прогнозные отклонения.

• Средняя сложность эксплуатации.

К средним по сложности можно отнести инструменты, которые также имеют значительное количество обучающих материалов в свободном доступе, но при этом не так распространены в использовании и требуют большего времени для изучения.

Примером таких инструментов может выступить Power Query или более сложные макросы в Excel. Данные инструменты позволяют систематизировать информацию из различных источников (иногда не самую подходящую для обработки) и на ее основе уже стоить прогнозные модели. При этом при повторном выполнении задачи время работы будет значительно снижаться за счет автоматизированного повторения выполненных вами действий.

• Сложные в эксплуатации.

К сложным инструментам можно отнести те, которые требуют значительного времени для изучения и имеют ограниченное количество обучающего материала в свободном доступе.

К таким можно отнести ModelRisk, Tamara, Oracle Strategic Network Optimization, программирование с помощью различных языков и т.п.

Внедрение КИР по инициативе служб внутреннего аудита, контроля и управления рисками с помощью простых инструментов маловероятно, поскольку наверняка уже будут реализованы в том или ином виде бизнесом (бизнес в большинстве случаев контролирует существенные риски, а квалификация сотрудников достаточна для использования Excel).

Поэтому будет более вероятным внедрение более сложных инструментов, дающих более обширные возможности. Конечно, чем амбициознее цели, тем более сложный инструментарий и квалифицированный персонал необходим. Более квалифицированный персонал в большинстве случаев будет обозначать дополнительный бюджет ФОТ. Здесь возникает классическая дилемма:

Что же делать, если дополнительных бюджетов нет? Есть выход: обучение имеющихся сотрудников. Но на этом пути также есть свои нюансы:

1. Желание сотрудников.

2. Подходы к использованию полученных новых навыков.

3. Способность удержать сотрудников после повышения квалификации.

Все стремятся к ситуации «и рыбку съесть, и поле перейти», т.е. желают, чтобы сотрудник либо сам обучится, либо обучался за счет компании, но во внерабочее время или с минимальным отвлечением. Где найти таких сотрудников?

Практика показывает, что доля сотрудников, желающих обучаться, не так высока. А доля тех из них, кто готов делать это во внерабочее время, еще меньше. В этом случае требуется индивидуальный подход в мотивации. На внутренние процессы внутреннего аудита, контроля или управления рисками действуют аналогичные принципы, что и в менеджменте: финансовая и нефинансовая мотивация.

Интересное наблюдение: работники в больших городах более ориентированы на нефинансовую составляющую, т.е. ощущение полезности своей работы в сочетании с собственным интересом к теме вопроса дает больший долгосрочный результат по сравнению с финансовой мотивацией.

Далее вступают в силу требования руководства к использованию полученных навыков. Нельзя забывать о кривой результативности при внедрении новых инструментов. В большинстве случаев эффективность работников будет сначала падать и возможностей решить поставленные задачи со сроком выполнения «вчера» станет меньше. В силах руководства лишь снизить просадку эффективности работы.

Последний существенный ресурс, без которого невозможна реализация КИР, – это данные. От наличия и качества данных будет зависеть возможность формирования КИР. Здесь можно выделить 3 возможных вектора:

• Данные находятся на бумажном носителе (самый запущенный вариант) – в этом случае вы можете рекомендовать перевод формирования данных в электронный вид. Не всегда это просто, поскольку часть данных может формироваться в журналах, требуемых регуляторами. В этом случае потребуется обосновать необходимость их дублирования в электронном виде, поскольку это будет связано с дополнительными трудозатратами и необходимостью установки ПК (если его нет) и ПО.

В этом может помочь реализованный негативный кейс и способность «упаковать» продукт. На практике оцифровать данные за предыдущие периоды часто не представляется возможным в силу значительных трудозатрат. Следовательно, построить модель для расчета превентивных показателей можно будет только после наполнения минимально необходимым объемом данных.

• Данные находятся на электронном носителе (в т.ч. в сети Интернет), но при этом требуют систематизации и дополнения – вам могут помочь инструменты обработки данных такие как Power Query, SQL, Python и подобные. Также с помощью этих инструментов можно дополнить исходные данные информацией из собственных информационных систем (в случае необходимости) и повторно собрать и обработать данные без значительных дополнительных трудозатрат. «Подводными камнями» могут выступать минимум 2 ситуации:

1. пользователь решил изменить формат заполняемой информации без уведомления;

2. появление дополнительного источника данных, несоответствующего исходному формату. В этом случае придется доработать алгоритмы использования данных.

• Данные выгружаются в фиксированном формате из информационной системы или находятся в базе данных. Наиболее позитивный вариант, при котором есть возможность связывать данные на основании структурированных справочников из различных информационных систем.

Тезис 3. Существенный эффект от внедрения КИР более вероятен в компаниях с высоким уровнем культуры.

Что первично для компаний – использование современных инструментов управления или высокий уровень корпоративной культуры? Культура может развиваться параллельно с внедрением современных инструментов управления. При этом все же есть минимальные требования к культуре, способной «справиться» с этими инструментами управления. Спасением является то, что культура может отличаться даже в соседних отделах, и в компаниях всегда найдутся подразделения, готовые к внедрению инструментов повышения эффективности, понимающие важность и полезность наличия таких инструментов для выполнения целей функции и компании в целом.

Можно обозначить следующий минимальный набор требований для культуры:

• имеются зачатки процессного управления;

• используется делегирование;

• линейные руководители наделены полномочиями для принятия решений и ресурсами для их осуществления;

• линейные руководители и специалисты понимают ценность дисциплины выполнения своих должностных обязанностей, но при этом есть понимание, что результат важнее «правила».

Чего не должно быть:

• жесткая культура, где людей наказывают за обозначение проблем вместо того, чтобы искать пути их решения, и делают акцент на том, «кто виноват», а не на том, «что с этим делать»;

• отсутствуют выстроенные базовые процессы.

Согласно спиральной теории развития организаций, под данное описание подходит уровень между культурой правил и культурой успеха.

Что будет, если начать реализовывать превентивные показатели в подразделениях с более низкой культурой? Возможны 3 варианта развития событий:

• игнорирование

• инструмент поиска виновных

• толчок к развитию корпоративной культуры.

При этом инициатор (мы) может влиять на вектор развития данного инструмента при презентации своих рекомендаций путем смещения акцентов именно в сторону повышения эффективности, оставляя на заднем плане детальное описание ответственных за выявленные отклонения.

Что же делать нашим подразделениям, если в организации недостаточно развитая культура?

Есть минимум 2 жизнеспособных варианта внедрения превентивных показателей достижения целей, или КИР:

• выбрать подразделение, открытое к внедрению более современных инструментов управления и презентовать ему свою модель расчета показателей для дальнейшей передачи в использование;

• разработать и презентовать превентивные показатели для наиболее материальных процессов с ощутимым эффектом от внедрения.

Вернемся к культуре. Кто же ответственный за внедрение культуры, позволяющей использовать полный спектр управленческих инструментов для принятия взвешенных решений?

В первую очередь это менеджеры всех уровней. И чем выше уровень менеджмента, тем больший должен быть акцент на требование управляемости достижения целей, в т.ч. на понимание риск-аппетита на всех уровнях, факторов, влияющих на достижение целей, и необходимости их мониторинга, ценности наличия данных и способности их обработки.

При этом по данному вопросу полезны не только коммуникации «сверху-вниз» и «снизу-вверх», а также горизонтальные коммуникации, которые позволяют выявить влияющие риск-факторы, находящиеся на стыке процессов, и совместно определить способы их контроля.

Авраам Линкольн сказал: «Если бы у меня было восемь часов на то, чтобы срубить дерево, я потратил бы шесть часов на то, чтобы наточить топор».

Важно, чтобы на создание, разработку и внедрение превентивных КИР руководство выделяло обособленное время, а не ставило эту работу на второй план.

Функции внутреннего аудита, контроля и управления рисками могут выступать инициаторами, помощниками или менторами в данном вопросе.

* * *

Подведем краткий итог сказанного:

1. чем выше уровень корпоративной культуры, тем более эффективные инструменты управления достижения целей возможно применить;

2. для внедрения превентивных показателей по достижению целей необходимы ресурсы;

3. необходимо уметь продать продукт внутреннему потребителю.

---