Что такое репутационный риск
Репутационный риск это риск того, что компания потеряет доверие клиентов, партнеров, банков, регулятора или сотрудников из-за события, которое стало известно за ее пределами, и понесет из-за этого убытки. Его характеристика в том, что он почти всегда вторичен: источником служит операционный, комплаенс, информационный или другой риск, а репутационным он становится в момент огласки.
Ключевое слово в определении «известно». Утечка данных, о которой узнали трое, это информационный риск. Та же утечка в новостях это репутационный. Событие одно, риски разные, и владельцы у них разные.
Отсюда первое правило управления. Работать приходится на двух участках: снижать вероятность событий, из которых вырастает репутационный риск, и управлять тем, что происходит после огласки. Второй участок и есть собственная территория репутационного риска.
Репутационные потери это убытки компании, вызванные потерей доверия после огласки события, сверх прямого ущерба от самого события: отток клиентов, дорогие заимствования, расходы на восстановление. Полный перечень в разделе «Репутационные потери».
Как он попадает в реестр
Есть два способа, и работает только второй. Первый: завести строку «репутационный риск» с оценкой «высокий» и владельцем в лице директора по коммуникациям. Такая строка неуправляема: у нее нет события, нет причины, нет меры. Второй: добавить в реестр колонку «влияние на репутацию» и оценивать ее для каждого риска отдельно, по той же шкале, что и финансовое влияние.
| Событие в реестре | Прямое влияние | Влияние на репутацию | Что меняется в мере |
|---|---|---|---|
| Утечка персональных данных клиентов | Штраф, расходы на уведомление | Высокое: отток клиентов, публикации | К техническим мерам добавляется готовое заявление и порядок уведомления клиентов до публикации в СМИ |
| Срыв поставки крупному покупателю | Неустойка | Среднее: зависит от того, узнает ли рынок | Договор о том, кто и как сообщает покупателю, до того как он узнает сам |
| Несчастный случай на производстве | Компенсация, простой | Высокое: проверки, публичное внимание | Отработанный порядок общения с семьей, инспекцией и прессой |
| Ошибка в отчетности | Пересдача, аудит | Высокое для публичной компании, низкое для частной | Для публичной компании мера включает раскрытие, для частной нет |
Так репутация перестает быть отдельным туманным риском и становится измерением каждого события. Владелец у колонки один, обычно директор по коммуникациям или генеральный директор, а владельцы событий остаются прежними. Как устроены поля реестра, разобрано в материале поля реестра рисков.
Первые часы публичного инцидента
Ущерб репутации определяется не событием, а первыми часами после него. Четыре решения принимаются в это время, и все четыре должны быть подготовлены заранее.
- Кто говорит. Один человек с полномочиями, назначенный до инцидента. Молчание и разноголосица вредят больше любого признания.
- Что говорим в первый час. Три заготовленных сообщения: подтверждаем, что знаем; что делаем; когда сообщим больше. Без оценок вины и причин, которые еще неизвестны.
- Кому сообщаем первым. Пострадавшим и регулятору до прессы. Компания, о чьем инциденте клиент узнал из новостей, теряет больше, чем от самого инцидента.
- Что фиксируем. Хронология решений с первой минуты. Она понадобится регулятору, страховщику и для разбора после.
Это тот же порядок, что в кризисном управлении вообще, и он подробно разобран на нашем сайте о непрерывности бизнеса: кризисные коммуникации в первые часы.
Как измерять ущерб репутации
Репутация измеряется через поведение тех, чье доверие потеряно. Четыре показателя, которые можно снять до и после инцидента: отток клиентов за период против обычного; доля отказов при найме на ключевые позиции; условия у банков и поставщиков, включая отсрочки и залоги; упоминания в отраслевых и деловых источниках с оценкой тона. Все четыре переводятся в деньги, пусть и приблизительно, и именно в деньгах репутационный ущерб становится сопоставим с остальными строками реестра.
Индексы репутации и опросы дополняют картину, но сами по себе ничего не решают: совет директоров спросит не «какой у нас индекс», а «сколько клиентов мы потеряли и что сделали, чтобы это не повторилось».
Виды репутационных рисков
Классифицировать удобнее всего по источнику: так сразу видно, из какой строки реестра вырастает репутационный сценарий и кто его владелец.
| Вид по источнику | Пример события | Кто реагирует первым |
|---|---|---|
| Операционный инцидент | Авария, остановка сервиса, сорванные поставки | Клиенты, местные СМИ |
| Поведение сотрудников и руководства | Грубость в соцсетях, конфликт интересов, высказывания топ-менеджера | Соцсети, кандидаты |
| Продукт и качество | Брак, отзыв продукции, вред здоровью потребителя | Клиенты, Роспотребнадзор |
| Комплаенс и санкции | Штраф регулятора, нарушение санкционного режима, коррупционный эпизод | Регулятор, банки, контрагенты |
| Информационная безопасность | Утечка персональных данных, взлом сайта | Клиенты, Роскомнадзор, СМИ |
| Экология и охрана труда | Выброс, несчастный случай со смертельным исходом | Местное сообщество, надзорные органы |
| Контрагенты и окружение | Скандал у поставщика, партнера, акционера | Партнеры, инвесторы |
Отдельно стоит информационная атака: событие может быть выдуманным, а ущерб настоящим. Для нее работают те же меры первых часов, что и для реального инцидента.
Репутационный риск банка
В банке этот риск ведет себя иначе, чем в производственной компании, по одной причине: доверие здесь и есть продукт. Клиент не может проверить устойчивость банка сам, он судит по косвенным признакам, поэтому слух расходится быстрее, чем опровержение, а последствия приходят не через квартал, а в тот же день.
Банк России относит риск потери деловой репутации к нефинансовым рискам и ждет, что банк его отслеживает, а не декларирует. Значимые риски и их владельцы закрепляются в рамках внутренних процедур оценки достаточности капитала, ВПОДК, и репутационный попадает туда наравне с остальными.
Три отличия, которые меняют работу с риском.
| Отличие | Как проявляется | Что из этого следует |
|---|---|---|
| Скорость | Отток вкладов начинается в часы, а не в недели: деньги переводятся из приложения | Порядок первых часов должен быть отработан до инцидента, согласование текста по цепочке не успевает |
| Переход в ликвидность | Репутационное событие почти сразу становится риском ликвидности и фондирования | Сценарий оттока по репутационной причине входит в стресс-тест ликвидности, а не только в реестр |
| Внимание регулятора | Жалобы и публикации видны надзору раньше, чем банк успевает отчитаться | Регулятор и пострадавшие клиенты узнают о событии от банка, а не из ленты |
Индикаторы, которые банку имеет смысл снимать ежемесячно: число и тема жалоб, в том числе в книге обращений регулятора; отток средств по продуктам против обычного уровня; доля негативных упоминаний в деловых и отраслевых источниках; число запросов от журналистов; скорость ответа на обращение клиента. Каждому задается порог, при котором тема выносится на комитет.
Шкала и расчет ущерба для банка разобраны отдельно: оценка репутационных рисков. Остальные банковские риски и их связь между собой: риски банка.
Примеры репутационных рисков
Шесть типовых ситуаций по источникам из таблицы выше. В каждой показано, что именно стало публичным, что компания потеряла сверх прямого ущерба и какая подготовка изменила бы исход.
| Ситуация | Что стало публичным | Потери сверх прямого ущерба | Что сработало бы |
|---|---|---|---|
| Утечка базы клиентов | Объявление о продаже базы и подтверждение от исследователей | Отток клиентов, проверка регулятора, рост стоимости привлечения | Уведомление клиентов до публикации и готовое заявление с планом действий |
| Высказывание руководителя | Запись выступления в соцсетях | Отказы кандидатов, разрыв с частью партнеров | Правило о публичных выступлениях и один назначенный спикер |
| Отзыв партии продукции | Жалобы покупателей и сюжет в СМИ | Падение продаж линейки, требования сетей о компенсации | Собственный отзыв до внешней огласки и прозрачный порядок возврата |
| Штраф за нарушение требований | Решение регулятора в открытом реестре | Проверки смежных направлений, осторожность банков | Самостоятельное раскрытие и описание исправленного процесса |
| Несчастный случай на производстве | Сообщение инспекции и публикации в местных источниках | Внимание надзора к другим площадкам, напряжение в поселке | Порядок общения с семьей и местным сообществом, подготовленный заранее |
| Скандал у поставщика | Расследование о подрядчике, которого компания нанимала | Вопросы клиентов о цепочке поставок, пересмотр контрактов | Проверка контрагентов и условие о расторжении при нарушении |
Общее в примерах одно: сумма прямого ущерба обычно известна заранее, а репутационная часть зависит от того, кто рассказал о событии первым. Это и есть управляемый участок.
Характеристики, которые отличают репутационный риск
- Вторичность. Своей строки в реестре у него обычно нет: он оценивается как последствие других рисков, ставших публичными.
- Скорость. Ущерб формируется за первые часы после огласки; дальше компания уже догоняет повестку.
- Асимметрия. Репутация копится годами, а теряется одним эпизодом, поэтому шкала последствий у него круче, чем у исходного риска.
- Много аудиторий. Клиенты, банки, регулятор и кандидаты реагируют по-разному и в разные сроки; оценивать надо по худшей из них.
- Долгое восстановление. Отток клиентов и рост стоимости денег держатся месяцами после того, как новость ушла из ленты.
Репутационные потери: что к ним относится
Репутационные потери, их же называют репутационными издержками, это убытки от потери доверия сверх прямого ущерба от самого события. К ним относятся:
- недополученная выручка из-за оттока клиентов и падения новых продаж;
- рост стоимости заимствований, сокращение лимитов и отсрочек у банков и поставщиков;
- расходы на восстановление: коммуникации, компенсации клиентам, внешние консультанты;
- рост стоимости найма и уход ключевых сотрудников;
- для публичных компаний снижение капитализации.
Как перевести эти потери в рубли и сравнить сценарии между собой, разобрано на странице «Оценка репутационных рисков», там же шаблон Excel.
Частые вопросы
Колонки «влияние на репутацию» в реестре директор по коммуникациям или генеральный директор. Самих событий их прежние владельцы: репутационный риск не заменяет ответственность за операционную причину.
Нет. Нужен порядок действий в первые часы публичного инцидента, и он часть плана кризисного управления, а не отдельный документ.
По той же шкале влияния, что и финансовый, в отдельной колонке для каждого события. Отдельная строка «репутационный риск, высокий» не оценивается, потому что у нее нет события.
Страхуются отдельные последствия: расходы на кризисные коммуникации, на уведомление клиентов после утечки, часть потерь от перерыва в деятельности. Саму репутацию застраховать нельзя.
Риск оттока вкладчиков и клиентов, удорожания фондирования и внимания регулятора из-за потери доверия. Банк России относит его к нефинансовым рискам и ждет мониторинга: жалобы, упоминания, отток по продуктам. Подробнее в материале оценка репутационных рисков.
Риск, последствия которого ограничены одной аудиторией, регионом или сегментом и не переходят на другие. Как только инцидент замечает вторая аудитория, риск перестает быть локальным.
Регулярный цикл из оценки по аудиториям, мониторинга индикаторов, готового плана на первые часы инцидента и назначенного владельца. Методы оценки, шкала и пример разобраны отдельно: оценка репутационных рисков.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
