ניהול סיכונים תפעוליים

מנראוּת של סיכון להחלטות עסקיות מתואמות סיכון

מה אם היה אפשר למדוד סיכון באותה רציפוּת שבה מודדים הכנסות — ושהוא יופיע בכלכלת כל מוצר וכל שירות?

רוב מסגרות הסיכון התפעולי מספרות מה כבר השתבש. אירועים נרשמים, הפסדים נרשמים בספרים, מדדי סיכון נסקרים בקצב קבוע, תרחישים מעודכנים מעת לעת, והדירקטוריון מקבל תמונה מצרפית כמה שבועות לאחר התקופה שהיא מתארת. כל אלה נחוצים. מעט מאוד מהם עדכני.

החלופה אינה לזנוח את המסגרות הללו, אלא להוסיף מבט שני: מדידת סיכון קרוב למקום שבו הוא נוצר בפועל — לפי מוצר, לפי שירות, לפי נפח עסקאות ולפי הסביבה התפעולית שנושאת אותו — ועדכונה בתכיפות שמאפשרת להשפיע על החלטות בעודן פתוחות.

זו ההנחה שבבסיס Risk Accounting, מתודולוגיה שמפתח ומפרסם ה־Risk Accounting Standards Board. VODIS עוסקת בצד המימוש: תרגום השיטה למודל תפעולי, הנגשת הנתונים, בניית התצוגה לניהול — וכצעד נפרד, ששייך ל־VODIS ולא לתקן, בחינת המשמעות של סיכון נמדד עבור הכלכלה של מוצר.

מדוע מבט לאחור אינו מספיק

דוח סיכונים רבעוני עונה היטב על השאלה "מה קרה?". הוא עונה בצורה חלשה על "מה מצטבר עכשיו, ובאיזה מוצר?", וכמעט אינו עונה על "איזו השפעה תהיה להחלטה הזאת על הסיכון שלנו?".

ההשלכות המעשיות מוכרות לרוב פונקציות הסיכון והכספים:

• צמיחה מאושרת לפני שמישהו בדק אם הבקרות מתרחבות יחד איתה.
• שני מוצרים מושווים לפי מרווח, בלי מדידה בת־השוואה של הסיכון שכל אחד מהם נושא.
• חולשות בקרה מוכרות בקו הראשון זמן רב לפני שהן מגיעות למסמך לדירקטוריון.
• פעולות תיקון מתועדפות לפי ממצא ביקורת או כוח השפעה, ולא לפי החשיפה.
• החלטות מיקור חוץ מתקבלות לפי עלות, וההשפעה על הסיכון מתוארת באופן איכותני בלבד.

למדוד סיכון במקום שבו הוא נוצר

השינוי הוא מעבר ממדידת סיכון לאחר שהתממש למדידת החשיפה של פעילות בעודה מתבצעת. שלושה גורמים מכתיבים את החשיפה: מהו המוצר או השירות מבחינה מבנית, כמה ממנו מתבצע, וכמה טוב סביבת הבקרה סביבו אכן עובדת.

כשמנסחים זאת כך, הסיכון נעשה בר־השוואה לרוחב התיק, במקום להיות מתואר בנפרד לכל חלק.

Risk Accounting ויחידת הסיכון

Risk Accounting מפותח ומפורסם על ידי ה־Risk Accounting Standards Board (RASB), המתאר את עצמו כגוף תקינה עצמאי בעל בסיס אקדמי ומקצועי, המתארח ב־Durham University Business School. ההגדרות שלהלן מקורן ב־RASB.

השיטה מבטאת סיכון לא־פיננסי במכנה משותף, כך שחשיפות שונות יוכלו להיסכם ולהושווֹת:

• Risk Unit (RU) — יחידת סיכון: מדד התקן של RASB, המייצג חשיפה לא־פיננסית במכנה מדידה משותף.
• Inherent Risk — סיכון אינהרנטי: החשיפה הגולמית, לפני התחשבות בבקרות ובצמצום הסיכון.
• Exposure Uncertainty Factor (EUF) — מייצג את מאפייני הסיכון המבניים ואת אי־הוודאות של הפעילות, המוצר, השירות או התהליך המוגדר, כגון מורכבות, תלויות תפעוליות ויציבות הסביבה.
• Value-Based Weighting — שקלול מבוסס ערך: הנפח הנצפה או היקף העסקאות מזינים את השקלול היחסי של היחידה. RASB מבהיר במפורש שאין בכך טענה לסיבתיות מכנית, פרופורציונלית או חיזויית ביחס להפסדים בסופו של דבר.
• Risk Mitigation Index (RMI) — מדד אמפירי, דינמי ובר־ביקורת לאפקטיביות הבקרות, המבוטא מ־0 עד 100%.
• Residual Risk — סיכון שייר: החשיפה הנקייה שנותרת לאחר צמצום, המבוטאת גם היא ביחידות Risk Unit.

ההיגיון המפורסם מתקדם בסדר הזה: החשיפה המבנית, בשילוב הפעילות העסקית ושקלולה, מפיקה סיכון אינהרנטי ביחידות Risk Unit; יישום מדד אפקטיביות הבקרות מפיק את הסיכון השייר באותה יחידה.

שתי נקודות דיוק חשובות כאן, ו־VODIS מצהירה עליהן ולא מדלגת עליהן. RASB מפרסם את מבנה השיטה, אך לא את הסקאלות והנוסחאות המפורטות שלה בחומרים הפומביים; לפיכך דף זה אינו מציג מספרים שאינו יכול לתעד. ו־RASB מפורש: מדידה, הערכה כספית והכרה חשבונאית הן שאלות קשורות אך נפרדות — Risk Unit הוא מדד של חשיפה, לא סכום כסף.

תצוגת ניהול המתעדכנת באופן רציף

כשהחשיפה מבוטאת ביחידה אחת והקלט מגיע מהמערכות ולא משאלון תקופתי, המדידה יכולה להתעדכן בתכיפות גבוהה בהרבה ממה שמחזור דיווח מאפשר — בזמן אמת או קרוב לכך, היכן שהנתונים הבסיסיים וארכיטקטורת המימוש אכן תומכים בזאת. ההסתייגות מכוונת: ברוב הארגונים חלק מהקלט אוטומטי וחלק לא, והתשובה הכנה היא שתכיפות העדכון נגררת אחרי הנתונים.

היכן שזה עובד, משתנות השאלות שההנהלה יכולה לשאול:

• היכן החשיפה גדלה מהר יותר מהבקרות שסביבה?
• אילו מוצרים ושירותים נושאים את הסיכון השייר הגדול ביותר, במדידה זהה?
• האם צמיחת הקו הזה מגדילה את החשיפה מהר יותר מההכנסה?
• האם הסיכון השייר הורע לעומת החודש שעבר, ובאיזה תחום בקרה?
• אילו בקרות אפקטיביות באופן שניתן להוכיח, ואילו קיימות רק בנוהל?
• איזו פעולה תסיר את החשיפה הגדולה ביותר במאמץ הקטן ביותר?
• האם יש לעדכן עכשיו את הנפחים או המגבלות של הפעילות הזאת, ולא בסקירה הבאה?

מיחידות סיכון לכלכלת הסיכון

הפרק הזה מתאר הנחת מימוש של VODIS. הוא אינו חלק מתקן RASB, ואין לקרוא דבר מהבא להלן כעמדת RASB.

Risk Accounting מפיק מדד של חשיפה. החלטות ניהוליות, לעומת זאת, מתקבלות כמעט תמיד בכסף. הגשר ש־VODIS מבקשת לבנות הוא שכבת תרגום מכוונת ומתויגת בבירור: לקיחת הסיכון האינהרנטי והשייר שנמדדו באופן עקבי ומיפויָם — בעזרת הנחות מאומתות, היסטוריית ההפסדים של הארגון עצמו והערכה צופה פני עתיד — לעלות כלכלית מוערכת של נשיאת אותו סיכון.

היכן שתרגום זה מחזיק, הסיכון יכול להיכנס ישירות לכלכלת המוצר ולא לעמוד לצידה:

• עלות תפעולית
• עלות מימון והון, היכן שרלוונטי
• עלות מכירה ושירות
• עלות כלכלית מוערכת של הסיכון
• מרווח יעד

זהו מודל ניהולי, לא תקן חשבונאי ולא תחזית הפסדים. ההערכה טובה בדיוק כמו ההנחות שמאחוריה, ואת ההנחות הללו יש להציג במפורש כדי שניתן יהיה לערער עליהן, לנהל להן גרסאות ולבחון אותן מול המציאות. VODIS תתייחס למודל כזה כאל דבר שמאמתים יחד עם פונקציות הסיכון והכספים, ולא כאל מסירה בקופסה שחורה.

תמחור ורווחיות מתואמי סיכון

כשניתן להעריך את עלות הסיכון לכל מוצר, כמה החלטות שמטופלות בדרך כלל באופן איכותני הופכות בנות־השוואה:

• רווחיות מוצר מתואמת סיכון, במקום מרווח לפני סיכון.
• תמחור המשקף את הסיכון שהמוצר נושא בפועל.
• השוואה בין לקוחות, פלחים וערוצים, עד כמה שהנתונים מאפשרים.
• החלטות תיק: אילו מוצרים להגדיל, לתמחר מחדש, לעצב מחדש או להפסיק.
• קביעת נפחים ומגבלות על בסיס חשיפה, ולא על בסיס תיאבון סיכון בלבד.
• השקעה בבקרות הנמדדת מול החשיפה שהיא תסיר.
• החלטות מיקור חוץ ורכש, עם ההשפעה על הסיכון מגולמת במחיר.
• עיצוב מחדש של תהליכים היכן שהוא מצמצם את החשיפה יותר מכול.

התבנית שעולה לעיתים קרובות מוכרת, והיא מתוארת כאן באופן איכותני מפני שהמספרים האמיתיים ייחודיים לכל ארגון. מוצר יכול להיראות רווחי מאוד לפני סיכון ורווחי פחות בהרבה לאחר נשיאת עלות הסיכון השייר שלו. אותו היגיון עובד גם בכיוון ההפוך: השקעה בבקרות שמצמצמת את הסיכון השייר עשויה לשפר את התרומה המתואמת סיכון של מוצר, ולעיתים אף ליצור מרווח לתמחור תחרותי יותר ולא יקר יותר.

סיכון קיים וסיכון פוטנציאלי

מסגרת מדידה שימושית יותר אם ניתן לחשב אותה קדימה ולא רק אחורה. ארבעה דברים צריכים להישאר נפרדים:

• החשיפה הנצפית כיום — מה שהעסק נושא היום.
• סיכון אינהרנטי — חשיפה גולמית, לפני בקרות.
• סיכון שייר — מה שנותר לאחר צמצום.
• סיכון פוטנציאלי — למה תהפוך החשיפה בנפחים אחרים, במוצרים חדשים, בבקרות שהשתנו, במיקור חוץ אחר או בתרחיש מוגדר.

דווקא הקטגוריה האחרונה מעניקה לשיטה מקום בשיח הניהולי. היא תומכת בשאלות כמו: מה יקרה לכלכלה המתואמת סיכון שלנו אם נפחי העסקאות יוכפלו? איזו השפעה יש לירידה באפקטיביות הבקרות בתחום הזה? האם המרווח של המוצר הזה מתאים לסיכון שאנחנו מקבלים? האם שיפור הבקרה הזאת יעלה פחות מהמשך נשיאת הסיכון השייר? אלה שאלות לתמיכה בהחלטות. אינן תחזיות מובטחות ואין להציגן כך לדירקטוריון.

מעגל ניהולי מתמשך

בשימוש נכון אין זה תרגיל דיווח אלא מעגל שממשיך לנוע:

• למדוד — לבטא את החשיפה באופן עקבי בין מוצרים ושירותים.
• לכמת — להפיק סיכון אינהרנטי ושייר ביחידה משותפת.
• להשוות — לדרג ולהעמיד זה מול זה את כל התיק.
• לתרגם — להעריך את ההשפעה הכלכלית, עם הנחות מוצהרות.
• להחליט — ברמה שבה ההחלטה אכן נמצאת.
• לפעול — לצמצם, לתמחר מחדש, לעצב מחדש או להגביל.
• למדוד שוב — ולבדוק אם הפעולה הזיזה את המספר.

הצעד האחרון הוא המושמט ביותר והוא זה שמקנה אמינות לכל השאר: אם השקעה בבקרות אינה מזיזה את הסיכון השייר, זה כשלעצמו מידע חשוב.

Risk Accounting Standards Board

מתודולוגיית Risk Accounting, הטרמינולוגיה שלה ועבודת התקינה שלה מפותחות ומפורסמות על ידי ה־Risk Accounting Standards Board. RASB הוא המקור הסמכותי לשיטה עצמה, ואתר האינטרנט שלו ומסמכיו המקצועיים הם האסמכתא שעימה VODIS עובדת — ובכללם הפרסומים על מדידת סיכון תפעולי לפני שהוא הופך להפסד וההצעות בנוגע לטיפול החשבונאי ביחידות Risk Unit.

VODIS היא גוף מימוש ואינטגרציה. VODIS לא המציאה את Risk Accounting, אינה מחזיקה במתודולוגיה, ואינה טוענת שהיא שותפת מימוש מוסמכת של RASB.

להכיר את Risk Accounting ב־RASB — rasb.org

במה VODIS תורמת

המתודולוגיה היא נקודת הפתיחה, לא התוצאה. להפעיל אותה בארגון אמיתי זו תוכנית מימוש ואינטגרציה — וזה בדיוק החלק שעליו VODIS מופקדת:

• תרגום המתודולוגיה למודל תפעולי ולמשטר בקרה ניתנים לקיום.
• בניית מאגר המוצרים והשירותים שעליו המדידה נשענת.
• הנגשת נתונים ואינטגרציה, ובכלל זה חיבור למערכות העסקאות.
• עיצוב טקסונומיית הסיכון ומודל הנתונים.
• מיפוי תהליכים ובקרות והראיות לאפקטיביות הבקרות.
• ארכיטקטורת טכנולוגיה, אוטומציה והדרך אל תכיפות העדכון.
• לוחות בקרה ודיווח ניהולי שדירקטוריון אכן משתמש בהם.
• אינטגרציה עם דיווחי הסיכון, הכספים והניהול הקיימים, ולא לצידם.
• כלכלת מוצר מתואמת סיכון, הנבנית כמודל מפורש ובר־ערעור.
• מימוש פיילוט בהיקף מוגדר לפני כל התחייבות ברמת החברה.
• תוכנית השינוי והממשל הסובבים את כל המהלך.

נקודת פתיחה סבירה

השיחה הראשונה המועילה ביותר היא צרה: קו מוצר אחד או תחום תפעולי אחד, הנתונים שכבר קיימים עבורו, וההחלטות שההנהלה הייתה מקבלת אחרת אם החשיפה הייתה נמדדת באופן עקבי ומתעדכנת בתכיפות גבוהה יותר.

משם בדרך כלל ניתן לקבוע במהירות אם פיילוט מוגדר היקף שווה את המאמץ, איזו עבודת נתונים הוא מצריך, ומה יידרש כדי לחבר את תוצאתו לכלכלה שהחברה מנהלת כבר עכשיו.

נדבר על מדידת סיכונים תפעוליים