Managementul riscului operațional

De la conștientizarea și măsurarea riscurilor la decizii de business optimizate în funcție de risc

Dacă riscul ar putea fi măsurat la fel de continuu ca veniturile — și ar apărea în economia fiecărui produs și serviciu?

Majoritatea cadrelor de risc operațional spun ce a mers deja prost. Incidentele sunt înregistrate, pierderile contabilizate, indicatorii de risc revizuiți la o anumită cadență, scenariile actualizate periodic, iar consiliul primește o imagine agregată câteva săptămâni după perioada pe care o descrie. Toate acestea sunt necesare. Foarte puțin din ele este însă actual.

Alternativa nu este abandonarea acestor cadre, ci adăugarea unei a doua perspective: riscul măsurat aproape de locul în care apare efectiv — pe produs, pe serviciu, pe volum de tranzacții și pe mediul operațional care îl susține — și actualizat suficient de frecvent pentru a influența deciziile cât timp acestea sunt încă deschise.

Aceasta este premisa Risk Accounting, o metodologie dezvoltată și publicată de Risk Accounting Standards Board. VODIS lucrează pe partea de implementare: traducerea metodei într-un model operațional, deschiderea accesului la date, construirea perspectivei pentru management și — ca pas distinct, care aparține VODIS și nu standardului — explorarea a ceea ce înseamnă riscul măsurat pentru economia unui produs.

De ce o perspectivă retrospectivă nu este suficientă

Un raport trimestrial de risc răspunde bine la întrebarea „ce s-a întâmplat?". Răspunde slab la „ce se acumulează acum, și în ce produs?", și aproape deloc la „ce efect ar avea această decizie asupra riscului nostru?".

Consecințele practice sunt familiare majorității funcțiilor de risc și financiare:

• Creșterea este aprobată înainte ca cineva să verifice dacă controalele scalează împreună cu ea.
• Două produse sunt comparate pe marjă, fără o măsură comparabilă a riscului pe care fiecare îl suportă.
• Slăbiciunile de control sunt cunoscute în prima linie mult înainte să apară într-o notă pentru consiliu.
• Acțiunile de remediere sunt prioritizate după constatarea de audit sau după putere de influență, nu după expunere.
• Deciziile de externalizare se iau pe cost, iar efectul asupra riscului este descris doar calitativ.

Măsurarea riscului acolo unde apare

Schimbarea constă în a nu mai măsura riscul după ce s-a materializat, ci în a măsura expunerea unei activități în timp ce aceasta se desfășoară. Trei elemente o determină: ce este structural acel produs sau serviciu, cât din el se execută și cât de bine funcționează efectiv mediul de control din jurul lui.

Exprimat astfel, riscul devine comparabil într-un portofoliu, în loc să fie descris separat pentru fiecare componentă.

Risk Accounting și Risk Unit

Risk Accounting este dezvoltat și publicat de Risk Accounting Standards Board (RASB), care se descrie ca organism independent de standardizare, cu bază academică și profesională, găzduit la Durham University Business School. Definițiile care urmează provin de la RASB.

Metoda exprimă riscul nefinanciar într-o denominare comună, astfel încât expuneri diferite să poată fi adunate și comparate:

• Risk Unit (RU) — măsura standard a RASB, care reprezintă expunerea nefinanciară într-o denominare comună de măsurare.
• Inherent Risk (risc inerent) — expunerea brută, înainte de luarea în considerare a controalelor și a măsurilor de atenuare.
• Exposure Uncertainty Factor (EUF) — reprezintă caracteristicile structurale de risc și incertitudinea activității, produsului, serviciului sau procesului definit, precum complexitatea, dependențele operaționale și stabilitatea mediului.
• Value-Based Weighting — volumul observabil sau dimensiunea tranzacțiilor informează ponderarea relativă a unității. RASB precizează explicit că aceasta nu afirmă o cauzalitate mecanică, proporțională sau predictivă față de pierderile finale.
• Risk Mitigation Index (RMI) — un indice empiric, dinamic și auditabil al eficacității controalelor, exprimat de la 0 la 100 %.
• Residual Risk (risc rezidual) — expunerea netă rămasă după atenuare, exprimată de asemenea în Risk Units.

Logica publicată urmează această ordine: expunerea structurală, combinată cu activitatea de business și ponderarea acesteia, produce riscul inerent în Risk Units; aplicarea indicelui de eficacitate a controalelor produce riscul rezidual în aceeași unitate.

Două precizări contează aici, iar VODIS le declară în loc să treacă peste ele. RASB publică structura metodei, dar nu scalele și formulările detaliate în materialele publice; prin urmare, această pagină nu reproduce cifre pe care nu le poate documenta. Și RASB este explicit: măsurarea, evaluarea monetară și recunoașterea contabilă sunt chestiuni corelate, dar distincte — un Risk Unit este o măsură a expunerii, nu o sumă de bani.

O perspectivă de management actualizată continuu

Când expunerea este exprimată într-o unitate unică și datele de intrare provin din sisteme, nu din chestionare periodice, măsurarea poate fi actualizată mult mai des decât permite un ciclu de raportare — în timp real sau aproape real, acolo unde datele de bază și arhitectura de implementare susțin efectiv acest lucru. Rezerva este deliberată: în majoritatea organizațiilor unele intrări sunt automatizate și altele nu, iar răspunsul onest este că frecvența de actualizare urmează datele.

Unde funcționează, se schimbă întrebările pe care le poate pune managementul:

• Unde crește expunerea mai rapid decât controalele din jurul ei?
• Care produse și servicii suportă cel mai mult risc rezidual, măsurat în același fel?
• Creșterea acestei linii mărește expunerea mai rapid decât veniturile?
• S-a deteriorat riscul rezidual față de luna trecută, și în ce zonă de control?
• Care controale sunt demonstrabil eficace și care există doar într-o politică?
• Care acțiune ar elimina cea mai mare expunere cu cel mai mic efort?
• Ar trebui revizuite acum volumele sau limitele acestei activități, în loc de la următoarea revizuire?

De la Risk Units la economia riscului

Această secțiune descrie o ipoteză de implementare a VODIS. Nu face parte din standardul RASB, și nimic din ce urmează nu trebuie citit ca poziție a RASB.

Risk Accounting produce o măsură a expunerii. Deciziile de management se iau însă aproape întotdeauna în bani. Puntea pe care VODIS vrea să o construiască este un strat de traducere deliberat și clar etichetat: a lua riscul inerent și rezidual măsurate consecvent și a le mapa — folosind ipoteze validate, istoricul propriu de pierderi al organizației și o evaluare prospectivă — la un cost economic estimat al suportării acelui risc.

Unde această traducere se susține, riscul poate intra direct în economia produsului, în loc să stea alături de ea:

• cost operațional
• cost de finanțare și de capital, unde este relevant
• cost de vânzare și de servire
• cost economic estimat al riscului
• marjă țintă

Acesta este un model de management, nu un standard contabil și nu o previziune a pierderilor. Estimarea este la fel de bună ca ipotezele care o susțin, iar acele ipoteze trebuie făcute explicite pentru a putea fi contestate, versionate și verificate față de realitate. VODIS ar trata un astfel de model ca ceva de validat împreună cu funcțiile de risc și financiară, nu ca o furnizare de tip cutie neagră.

Prețuire și profitabilitate ajustate la risc

Când costul riscului poate fi estimat pe produs, mai multe decizii de obicei calitative devin comparabile:

• Profitabilitate de produs ajustată la risc, în loc de marjă înainte de risc.
• Prețuire care reflectă riscul pe care produsul îl suportă efectiv.
• Comparație între clienți, segmente și canale, în măsura în care datele o permit.
• Decizii de portofoliu privind ce produse se dezvoltă, se reprețuiesc, se reproiectează sau se retrag.
• Stabilirea volumelor și limitelor pe bază de expunere, nu doar pe apetit de risc.
• Investiția în controale măsurată față de expunerea pe care ar elimina-o.
• Decizii de externalizare și de furnizori, cu efectul asupra riscului inclus în preț.
• Reproiectarea proceselor acolo unde reduce cel mai mult expunerea.

Modelul care apare adesea este cunoscut și este descris aici calitativ, pentru că cifrele reale sunt specifice fiecărei organizații. Un produs poate părea foarte profitabil înainte de risc și considerabil mai puțin profitabil după suportarea costului riscului său rezidual. Aceeași logică funcționează și invers: o investiție în controale care reduce riscul rezidual poate îmbunătăți contribuția ajustată la risc a unui produs și, uneori, poate crea spațiu pentru o prețuire mai competitivă, nu mai scumpă.

Risc existent și risc potențial

Un cadru de măsurare este mai util dacă poate fi calculat înainte, nu doar retrospectiv. Patru elemente trebuie păstrate distincte:

• Expunerea observată în prezent — ceea ce business-ul suportă astăzi.
• Risc inerent — expunere brută, înainte de controale.
• Risc rezidual — ceea ce rămâne după atenuare.
• Risc potențial — ceea ce ar deveni expunerea la volume diferite, produse noi, controale modificate, altă externalizare sau într-un scenariu definit.

Ultima categorie este cea care dă metodei un loc în discuția de management. Ea susține întrebări precum: ce se întâmplă cu economia noastră ajustată la risc dacă volumele de tranzacții se dublează? Ce efect are o eficacitate a controalelor în scădere în această zonă? Este marja acestui produs adecvată riscului pe care îl acceptăm? Ar costa mai puțin îmbunătățirea acestui control decât continuarea suportării riscului rezidual? Acestea sunt întrebări de suport decizional. Nu sunt previziuni garantate și nu ar trebui prezentate astfel unui consiliu.

Un ciclu continuu de management

Folosit corect, acesta nu este un exercițiu de raportare, ci un ciclu care continuă să se rotească:

• Măsoară — exprimă expunerea consecvent între produse și servicii.
• Cuantifică — produce risc inerent și rezidual într-o unitate comună.
• Compară — ordonează și pune în contrast întregul portofoliu.
• Tradu — estimează efectul economic, cu ipoteze declarate.
• Decide — la nivelul la care decizia aparține efectiv.
• Acționează — atenuează, reprețuiește, reproiectează sau limitează.
• Măsoară din nou — și verifică dacă acțiunea a mișcat cifra.

Ultimul pas este cel omis cel mai des și cel care face credibil restul: dacă o investiție în controale nu mișcă riscul rezidual, aceasta este o informație importantă.

Risk Accounting Standards Board

Metodologia Risk Accounting, terminologia sa și activitatea sa de standardizare sunt dezvoltate și publicate de Risk Accounting Standards Board. RASB este sursa autoritativă pentru metoda în sine, iar site-ul și documentele sale tehnice sunt referința cu care lucrează VODIS — inclusiv publicațiile privind măsurarea riscului operațional înainte ca acesta să devină pierdere și propunerile privind tratamentul contabil al Risk Units.

VODIS este o practică de implementare și integrare. VODIS nu a inventat Risk Accounting, nu deține metodologia și nu pretinde că este partener de implementare acreditat al RASB.

Descoperiți Risk Accounting la RASB — rasb.org

Unde contribuie VODIS

Metodologia este punctul de plecare, nu rezultatul. Punerea ei în funcțiune într-o organizație reală este un program de implementare și integrare — exact partea de care se ocupă VODIS:

• Traducerea metodologiei într-un model operațional și o guvernanță sustenabile.
• Construirea inventarului de produse și servicii pe care se bazează măsurarea.
• Obținerea și integrarea datelor, inclusiv conectarea la sistemele tranzacționale.
• Proiectarea taxonomiei de risc și a modelului de date.
• Maparea proceselor și controalelor și dovezile privind eficacitatea controalelor.
• Arhitectura tehnologică, automatizarea și drumul către frecvența de actualizare.
• Tablouri de bord și raportare de management pe care un consiliu le folosește efectiv.
• Integrarea cu raportarea existentă de risc, financiară și de management, nu alături de ea.
• Economia de produs ajustată la risc, construită ca model explicit și contestabil.
• O implementare pilot cu perimetru delimitat, înainte de orice angajament la nivel de companie.
• Programul de schimbare și guvernanța din jurul întregului demers.

Un punct de plecare rezonabil

Cea mai utilă primă discuție este restrânsă: o linie de produs sau o zonă operațională, datele care există deja pentru ea și deciziile pe care managementul le-ar lua altfel dacă expunerea ar fi măsurată consecvent și actualizată mai frecvent.

De acolo este de obicei rapid de stabilit dacă un pilot delimitat merită efortul, ce muncă pe date presupune și ce ar fi necesar pentru a conecta rezultatul la economia pe care compania o conduce deja.

Să discutăm despre măsurarea riscului operațional