Все права защищены. Данная электронная книга предназначена исключительно для частного использования в личных (некоммерческих) целях. Электронная книга, ее части, фрагменты и элементы, включая текст, изображения и иное, не подлежат копированию и любому другому использованию без разрешения правообладателя. В частности, запрещено такое использование, в результате которого электронная книга, ее часть, фрагмент или элемент станут доступными ограниченному или неопределенному кругу лиц, в том числе посредством сети интернет, независимо от того, будет предоставляться доступ за плату или безвозмездно.

Копирование, воспроизведение и иное использование электронной книги, ее частей, фрагментов и элементов, выходящее за пределы частного использования в личных (некоммерческих) целях, без согласия правообладателя является незаконным и влечет уголовную, административную и гражданскую ответственность.

Управление рисками

Новая система

Роберт Каплан, Анетт Майкс

Когда в 2007 году Тони Хейворд стал генеральным директором BP, он торжественно пообещал сделать безопасность своим приоритетом. В числе правил, которые он ввел, были требования к сотрудникам закрывать кофейные чашки крышечками при ходьбе и воздерживаться от написания текстовых сообщений за рулем. Три года спустя на глазах Хейворда в Мексиканском заливе взорвалась нефтяная вышка Deepwater Horizon, вызвав одну из самых страшных техногенных катастроф в истории. Комиссия по расследованию определила, что причиной стали ошибки руководства, которые парализовали «способность ответственных лиц выявлять риски, надлежащим образом оценивать их, информировать о них и устранять».

История Хейворда отражает общую проблему. Несмотря на все обсуждения и вложенные средства, чаще всего управление рисками сводят к введению множества правил и принуждению сотрудников следовать им. Конечно, многие из таких правил разумны и снижают некоторые риски, способные нанести серьезный ущерб компании. Но управление рисками, основанное на правилах, не в силах ни снизить вероятность такой катастрофы, как взрыв Deepwater Horizon, ни уменьшить ее последствия. Ведь никакие правила не смогли предотвратить крах многих финансовых учреждений во время банковского кризиса 2007–2008 годов.

В этой статье мы представляем новую классификацию рисков, которая позволит определить, какими рисками можно управлять с помощью основанной на правилах модели, а какие требуют иных подходов. Мы исследовали индивидуальные и организационные проблемы, возникающие в ходе открытых конструктивных дискуссий на тему управления стратегическими рисками, и утверждаем, что компании должны включить эти обсуждения в процесс разработки и реализации своей стратегии. В заключение мы рассмотрим, как организации могут выявлять непредсказуемые внешние риски и готовиться к ним.

Управление рисками: правила или диалог?

Первый шаг в создании эффективной системы управления рисками — понимание, что организация сталкивается с разными типами рисков. Наши исследования показывают: любой риск попадает в одну из трех категорий. Каждая категория включает в себя события, которые могут оказаться роковыми для стратегии компании и даже для дальнейшего существования бизнеса.

Категория 1: предотвратимые риски

Это внутренние риски, которые возникают в самой организации. Их можно контролировать и необходимо устранять или избегать. Например, это могут быть риски, связанные с несанкционированными, незаконными, неэтичными, неправильными или неуместными действиями сотрудников и менеджеров, а также риски сбоев в повседневных рабочих процессах. Безусловно, у компаний должна быть «зона терпимости» к недостаткам или ошибкам, которые не приведут к серьезному ущербу или полное устранение которых обойдется слишком дорого. Но в целом такие риски нужно устранять, поскольку они не дают каких-либо стратегических преимуществ. Жуликоватый трейдер или сотрудник, подкупающий местного чиновника, могут принести компании некоторую краткосрочную прибыль, но со временем их действия снизят ее стоимость.

Риски этой категории лучше всего регулировать с помощью активной профилактики: следить за рабочими процессами и поведением людей, направлять их решения в русло, соответствующее нормам. Поскольку о таком подходе на основе правил уже написано немало, мы не станем подробно разбирать его и ограничимся врезкой «Выявление предотвратимых рисков и управление ими».

Категория 2: стратегические риски

Компания добровольно принимает на себя некоторые риски ради улучшения стратегических результатов. Банк берет на себя риск, например, когда он предоставляет кредит; многие компании рискуют, занимаясь исследованиями и разработками.

Стратегические риски сильно отличаются от предотвратимых рисков, так как по сути их нельзя назвать нежелательными. Стратегия, нацеленная на получение высокой прибыли, обычно предполагает значительные риски для компании, и управление ими — ключевой фактор получения потенциальной выгоды. BP серьезно рисковала, решив бурить в Мексиканском заливе скважину глубиной несколько километров, — но она надеялась хорошо заработать на добытых нефти и газе.

Модель, основанная на правилах, неприменима к стратегическим рискам. Вместо этого нужна система управления, которая снизит вероятность возникновения риска, а в случае наступления рискового события поможет компании контролировать или сдерживать последствия. Подобная система не помешает компании предпринимать рискованные шаги, а, напротив, позволит идти на более высокий риск, чтобы добиться потенциально большей прибыли, чем у конкурентов, не имеющих столь эффективной системы.

Категория 3: внешние риски

Некоторые риски возникают в результате событий, происходящих за пределами компании, и находятся вне сферы ее влияния или контроля. Источником могут быть стихийные бедствия, а также политические и крупные макроэкономические сдвиги. Внешние риски требуют особого подхода. Поскольку компании не могут предотвратить такие события, следует сосредоточиться на их выявлении (как правило, при помощи оценки событий прошлого) и смягчении последствий.

Компании должны выстраивать свои процессы управления рисками в соответствии с этими тремя категориями. Хотя тактика, основанная на соблюдении нормативных требований, эффективна в случае предотвратимых рисков, она не подходит для стратегических или внешних рисков, которые требуют принципиально иного подхода, основанного на прямом и открытом обсуждении. Это, однако, не так просто сделать; обширные исследования поведения людей и организаций показали, что мы предпочитаем не думать о вероятных рисках и не обсуждать их заранее.

Почему так трудно говорить о рисках

Многочисленные исследования показывают, что люди переоценивают свою способность влиять на события, которые на самом деле в значительной степени определяются случайностью. Мы слишком самонадеянны, когда дело касается точности наших прогнозов и оценок рисков, и не в полной мере представляем себе возможные последствия.

Мы также привязываем наши оценки к легкодоступным доказательствам, несмотря на то что линейно экстраполировать события прошлого на крайне неопределенное и переменчивое будущее довольно опасно. Часто этой особенности сопутствует предвзятость подтверждения, которая побуждает нас отдавать предпочтение информации (как правило, позитивной), поддерживающей нашу точку зрения, и подавлять информацию (чаще всего негативную), которая ей противоречит. Когда события не соответствуют нашим ожиданиям, мы склонны придерживаться выбранного курса, нерационально вкладываем в него еще больше ресурсов, выбрасывая деньги на ветер.

Организационные предубеждения также препятствуют нашей способности обсуждать риск и неудачи. В частности, команды, сталкивающиеся с неопределенными условиями, часто прибегают к групповому мышлению: после того как какие-то решения или действия получают поддержку большинства, остальные несогласные придерживают при себе свои возражения (хотя и обоснованные) и подчиняются. Групповое мышление чаще проявляется, когда команду возглавляет властный или самоуверенный руководитель, стремящийся свести к минимуму конфликты, задержки и угрозы своему авторитету.

В совокупности эти когнитивные искажения — как индивидуальные, так и организационные — объясняют, почему так много компаний упускают из виду или неправильно истолковывают неявные угрозы. Вместо того чтобы снижать риск, фирмы фактически сами нормализуют отклонения, поскольку они игнорируют незначительные сбои и дефекты и воспринимают сигналы о надвигающейся опасности как ложные.

Эффективные процессы управления рисками должны противостоять этим ошибкам мышления. «Контролировать риски довольно нелегко», — говорит Джентри Ли, главный системный инженер Jet Propulsion Laboratory (JPL) подразделения NASA. Ученые-ракетчики в проектных группах JPL — выпускники элитных университетов, и многие из них никогда не сталкивались с неудачами ни во время учебы, ни на работе. Когда Ли решил создать в JPL новую культуру профилактики рисков, самым сложным оказалось научить проектные группы думать об уязвимых местах в их превосходных конструкторских решениях и заранее это обсуждать.

Разрешающие и запрещающие правила здесь не помогут. Фактически они производят противоположный эффект: в команде поощряется стереотипность мышления, которое подавляет критику и препятствует обсуждению. Управление стратегическими и внешними рисками требует совершенно иных подходов. Мы рассмотрим сначала, как выявлять и снижать стратегические риски.

Управление стратегическими рисками

За 10 лет исследований мы столкнулись с тремя подходами к управлению стратегическими рисками. Какой из них следует выбрать конкретной фирме, во многом зависит от типа организации, ее сферы деятельности и задач. Каждый подход требует совершенно разных структур и ролей, но все три поощряют сотрудников оспаривать имеющиеся предположения и открыто обсуждать информацию о рисках. Наш вывод о том, что универсального рецепта не существует, противоречит убеждениям законодательных органов и профессиональных ассоциаций, которые стремятся стандартизировать управление рисками.

Независимые эксперты

Некоторые организации (особенно такие, как JPL), которые занимаются технологическими инновациями, сталкиваются с высоким внутренним риском, поскольку они реализуют долгосрочные, сложные и дорогостоящие проекты. Но характер рисков мало меняется со временем, так как они возникают в силу действия известных законов природы. Поэтому подобные организации могут управлять рисками на стадии проекта.

Например, JPL учредила комитет по рассмотрению рисков. В него вошли независимые технические эксперты, которые должны критически оценивать решения инженеров-конструкторов, выявлять слабые места таких решений и предлагать меры по их устранению. В течение всего цикла разработки продукта эксперты регулярно занимаются переоценкой рисков. Поскольку для проектов JPL характерны почти похожие риски, члены комитета встречаются один-два раза в год, а его глава и руководитель проекта — ежеквартально.

Заседания комитета по рассмотрению рисков проходят бурно, в обстановке, которую Джентри Ли называет «культурой интеллектуальной конфронтации». «Мы рвем друг друга на части, бросаемся камнями и жестко критикуем все, что происходит в компании», — говорит член совета Крис Левицки. В ходе обсуждений инженеры проекта начинают видеть свою работу с других ракурсов. «У них появляется свежий взгляд», — добавляет Левицки.

Независимо от своего характера — конструктивного или деструктивного — встречи не направлены на то, чтобы помешать команде проекта решать амбициозные задачи и воплощать замыслы. Но они заставляют инженеров заранее подумать о том, как они будут защищать свои проектные решения и в достаточной ли мере учтены возможные сбои и дефекты. Члены комитета выступают в качестве «адвокатов дьявола» — уравновешивают самонадеянность инженеров, не допуская фокусировки на проектах с неприемлемым уровнем риска.

В JPL комитет по рассмотрению рисков не только поддерживает активные обсуждения, но и имеет бюджетные полномочия. Он устанавливает размеры возможных дополнительных финансовых и временны́х затрат для каждой стадии проекта в соответствии с его инновационностью. Например, на простое усовершенствование первоначальной концепции требуется от 10 до 20% финансового резерва, тогда как для чего-то совершенно нового, что и на Земле-то неизвестно как будет работать, а уж на далекой планете — тем более, закладывают 50–75% на непредвиденные расходы. Резервы гарантируют, что при возникновении проблем (а это неизбежно) команда проекта может распоряжаться необходимыми для их решения деньгами и временем, не ставя под угрозу дату запуска. JPL серьезно относится к этим оценкам; некоторые проекты были отложены или отменены, если средств оказалось недостаточно для покрытия рекомендованных резервов.

Фасилитаторы

Многие организации, занятые в сфере электро- и водоснабжения, работают в стабильной технологической и рыночной среде при относительно предсказуемом потребительском спросе. В такой ситуации риски в основном проистекают из разрозненных, не связанных между собой производственных решений. Поэтому проблемы постепенно накапливаются и их серьезность остается неочевидной в течение длительного времени.

Поскольку ни один коллектив не обладает достаточными знаниями для управления операционными рисками на уровне всей организации, компания может собрать относительно небольшую централизованную команду, к которой бы стека…