Три понятия, которые надо развести
Риск-аппетит это уровень риска, который компания готова принимать при достижении своих целей. Он задается сверху, обычно советом директоров, и выражается качественно или количественно.
Толерантность это допустимое отклонение от аппетита по конкретному риску или направлению. Аппетит один на компанию, толерантностей много.
Ключевой индикатор риска это измеримая величина, изменение которой сигнализирует о приближении к границе. Индикатор нужен именно для того, чтобы превышение обнаруживалось заранее, а не по факту.
Как это выглядит на практике
Пример по направлению снабжения.
| Элемент | Формулировка |
|---|---|
| Аппетит | Компания не принимает риски, реализация которых угрожает непрерывности отгрузок ключевым клиентам |
| Толерантность | Допустимая длительность недоступности любой позиции критичного сырья не более 10 суток |
| Индикатор | Остаток критичного сырья в сутках потребления |
| Порог предупреждения | 14 суток, включается проработка альтернатив |
| Порог нарушения | 10 суток, вопрос выносится на правление в течение суток |
Правила формулирования аппетита, которые стандарт делает явными
- Аппетит формулируется относительно целей, а не абстрактно
- Он должен быть различимым, то есть допускать проверку, вышли мы за границу или нет
- У аппетита есть адресат, конкретный орган, который принимает решение при превышении
- Аппетит различается по категориям. Нулевой по безопасности людей и ненулевой по коммерческим рискам это норма
- Аппетит пересматривается вместе со стратегией, а не живет отдельной жизнью
Типовая ошибка при внедрении
Компании часто заявляют аппетит одной фразой в политике, «компания придерживается умеренного аппетита к риску», и на этом останавливаются. Такая формулировка не проверяема и ни к чему не обязывает.
Работающий аппетит состоит из набора конкретных границ по направлениям, каждая из которых имеет индикатор и адресата решения. Начинать проще с трех-четырех направлений, где границы очевидны, безопасность людей, ликвидность, непрерывность поставок ключевым клиентам, соблюдение обязательных требований. Остальное добавляется по мере зрелости.
Частые вопросы
Да. Значительная часть границ формулируется в операционных величинах, сутках простоя, доле выручки от одного клиента, числе нарушений требований.
Совет директоров или собственник. Правление предлагает, но не утверждает, иначе граница теряет смысл контроля со стороны собственника.
Три допустимых решения. Добавить меры, пересмотреть границу или сознательно принять превышение решением уполномоченного органа с записью в протоколе.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
