docWspółautorami było kilku członków Polrisk
download 
Reklamacja Transkrypt
Współautorami było kilku członków Polrisk
PARTNER RAPORTU RAPORT SPECJALNY ZARZĄDZANIE RYZYKIEM SPONSORZY RAPORTU: Podejmijmy ryzyko! Z espół menedżerów ryzyka, członków Polskiego Stowarzyszenia Zarządzania Ryzykiem (POLRISK), podjął ryzyko, którym było sporządzenie raportu poruszającego jednocześnie wiele zagadnień, z pełną świadomością, że nie są to wszystkie kwestie i nie zostały wyłożone w sposób kompletny. Odzwierciedla to poniekąd wyzwanie, jakie stoi przed Stowarzyszeniem na naszym rynku: opanować i zrealizować jednocześnie kilka powiązanych ze sobą i niecierpiących zwłoki celów: • podniesienie świadomości polskiego biznesu – czym jest zarządzanie ryzykiem; • podniesienie profesjonalizmu polskich risk managerów; • wyprostowanie nieporozumień językowych wokół zarządzania ryzykiem; • doprowadzenie do uruchomienia dostępnego publicznie kursu zarządzania ryzykiem na wysokim poziomie merytorycznym. Oddajemy w Państwa ręce ten raport, mając świadomość, że znajdą w nim Państwo więcej pytań niż odpowiedzi. Stwierdziwszy najpierw, że zarząd powinien umieć zademonstrować akcjonariuszom, że panuje nad całą firmą i jej bezpośrednim otoczeniem biznesowym – coraz bardziej zmiennym i nieprzyjaznym – pytamy: czy kultura zarządcza w polskich firmach zachęca czy też zniechęca menedżerów do podejmowania wyzwań i ryzyka? Znani mi risk managerowie z Wielkiej Brytanii są przekonani, że polskie zarządy są skłonne do podejmowania większego ryzyka niż zarządy brytyjskie. Czy jednak podejmowane są właściwe rodzaje ryzyka? Przedstawiamy naszą krytyczną ocenę stanu zaawansowania zintegrowanego zarządzania ryzykiem (ERM) w Polsce, gdzie firmy często próbują bezkrytycznie naśladować banki – rządzące się przecież odrębnymi prawami własnego rynku i Bazylei II – i uświadamiają sobie jedynie niezmiernie wąski, wcale nie najważniejszy wycinek zagadnienia ryzyka. W propagowaniu rozwiniętej, dojrzalej formy ERM przeszkadzają w Polsce nieporozumienia co do znaczenia używanych terminów. W kontekście ERM próbuje się powszechnie używać terminologii właściwej tylko dla banków i instytucji finansowych. Sztandarowe „ryzyko operacyjne”, które w bankowości ma swoje znaczenie (notabene obnażające – banki wrzucając wszystko, co niefinansowe „do jednego worka”, dalekie są jeszcze od prawdziwego ERM), w zintegrowanym zarządzaniu ryzykiem jest nic nieznaczącym szwargotem lub w najlepszym wypadku niedopuszczalnym ogólnikiem. Z bankowości zapożyczono takżę ciągle pokutujące „zabezpieczanie ryzyka” – i to nawet w prasie fachowej, np. w Harvard Business Review Polska. Zabezpieczyć można pistolet lub dom przed włamaniem, ale nie ryzyko. Jak dowiemy się z opracowania POLRISK, ryzyko można za to na przykład minimalizować, redukując jego skutek lub zmniejszając prawdopodobieństwo jego wystąpienia (tzw. prewencja). Ale POLRISK już pomyślał o wyprostowaniu tego problemu językowego: powstał nasz słownik angielsko-polski, zawierający sto najczęściej używanych terminów, niebawem będzie on dostępny na naszej witrynie internetowej. W raporcie pokazujemy, że zarządzanie ryzykiem nie jest dyscypliną wyizolowaną: przenika się z corporate governance, wewnętrznej kontroli oraz business continuity management i zarządzaniem kryzysowym. Tłumaczymy, dlaczego nie ma jednego sposobu zarządzania ryzykiem, jakie są najpowszechniej stosowane standardy i dobre praktyki oraz dlaczego tak trudno dobrać ten jeden, najwłaściwszy dla przedsiębiorstwa system. W tym miejscu nie mogę nie uczynić ważnej dygresji: niedawno Federacja Europejskich Stowarzyszeń Zarządzania Ryzykiem (FERMA), której POLRISK jest członkiem, zajęła krytyczne stanowisko wobec próby przyjęcia standardu ISO dotyczącego zarządzania ryzykiem i obowiązku certyfikowania, jak to ma miejsce w przypadku ISO 9001 lub ISO 14000. Argumenty przytaczane przez FERMA są w całej rozciągłości akceptowane przez piszącego te słowa: – najlepszy nawet standard nie mógłby właściwie pomieścić tak szerokiej i różnorodnej dyscypliny jak zarządzanie ryzykiem; firmy stosowały i nadal będą stosować różne metodologie, zasady i priorytety w zarządzaniu ryzykiem, choćby dlatego, że funkcjonują na różnych rynkach czy w różnych branżach; – firma będzie musiała przeznaczyć istotne zasoby na wprowa- Rafał Rudnicki – menedżer ryzyka i ubezpieczeń w logistycznej Grupie Raben – współzałożyciel i prezes Zarządu Stowarzyszenia POLRISK – członek AIRMIC (brytyjskie stowarzyszenie risk managerów) – członek Zarządu FERMA (Federacja Europejskich Stowarzyszeń Zarządzania Ryzykiem) – niezależny konsultant, wykładowca i autor artykułów nt. zarządzania ryzykiem, m.in. w Strategic Risk, Business Insurance Europe, Miesięczniku Ubezpieczeniowym, Harvard Busines Review Polska, Asekuracja & R e, Gazecie Prawnej dzenie i utrzymanie certyfikacji ISO w zarządzaniu ryzykiem, obniżając tym samym swoją konkurencyjność (co byłoby sprzeczne z celami ERM – np. z poprawą konkurencyjności) – zgodność ze standardem ISO może dawać zarządowi, udziałowcom, klientom i regulatorowi złudne przekonanie o bezpieczeństwie i panowaniu nad sytuacją. Zdaniem piszącego, należy dorzucić jeszcze jeden niebagatelny argument przeciw: wprowadzenie standardu ISO i wymogu certyfikacji sprowadziłoby rolę risk managementu do zagadnienia zgodności (compliance), osiąganej najmniejszym kosztem, i to wyłącznie na papierze. Tym samym uśmierciłoby ideę zarządzania ryzykiem, które powinno być motorem zmieniającym na wskroś kulturę korporacyjną i dyscyplinę zarządczą. Zapoznając się z najnowszym raportem firmy Marsh na temat stanu zarządzania ryzykiem w polskich firmach, nie mogłem się oprzeć refleksji, że percepcja ryzyka jest rzeczywiście subiektywna. Badania Marsh wskazują, że polskie przedsiębiorstwa za swoje najgroźniejsze ryzyko uważają m.in. ryzyko kursowe i kredytów handlowych. Jest to o tyle zastanawiające, że podobnie jak inne rodzaje ryzyka czysto finansowego zostały już one dawno poznane, rozpracowane i w wielu wypadkach również uregulowane, jeśli chodzi o sposoby i narzędzia ich minimalizowania. Dlatego też są to obiektywnie, relatywnie niskie rodzaje ryzyka. Nie wspomina się natomiast o zatrważającym wprost i obecnym na skalę już narodową ryzyku ucieczki know how i młodej, przedsiębiorczej, wykwalifikowanej siły roboczej z kraju, w tym przyszłej kadry menedżerskiej. Dzisiejszy brak zdecydowanych działań mających na celu zarządzanie ryzykiem zapewne odbije się w przyszłości koniecznością zarządzania kryzysem. Skoro już redakcja CFO podjęła ryzyko dopuszczenia mnie do pióra, pozwolę sobie postawić kolejne wywrotowe tezy: – zarządzanie ryzykiem to nie ubezpieczanie, jak niestety ciągle uważa większość polskich przedsiębiorców, – ubezpieczanie to nie transfer ryzyka lub forma zarządzania nim, jak próbuje przekonywać większość ubezpieczycieli i brokerów, a tylko forma finansowania (często dość lichego), niektórych jego skutków. Mam świadomość, że z ostatnią tezą większość ubezpieczycieli gotowa byłaby zacięcie się nie zgadzać. Ale między innymi posiadanie własnej opinii powinno dowodzić niezależności menedżerów ryzyka od rynku ubezpieczeniowego. Niezależności, jaką polska społeczność risk managerów, mam nadzieję, niebawem wypracuje. Czy menedżer ryzyka do końca jest partnerem brokera i ubezpieczyciela? Tzw. „transparency”, problem jawności i sposobu konstruowania wynagrodzenia brokerów, ciągle natrafia w Europie na opór i niechęć tych ostatnich, co odbija się niezadowoleniem społeczności risk managerów z takiego stanu rzeczy i przymiarkami regulatora europejskiego do dyscyplinowania rynku ubezpieczeniowego. Z kolei badanie AIRMIC pod hasłem „Willingness to pay”, ma na celu ujawnienie, w jakim stopniu poszczególni ubezpieczyciele w Wielkiej Brytanii są skłonni szybko i w pełni wypłacić należne roszczenia ubezpieczeniowe. Badaniepowstało w związku z niezadowoleniem risk managerów z postawy części ubezpieczycieli, utrudniających lub odwlekających wypłatę należnych odszkodowań. Z zainteresowaniem będziemy w Polsce śledzić to przedsięwzięcie na Wyspach i przymierzać się do podobnego u nas. Oba zjawiska stanowią świadectwa przełamywania dotychczasowych tabu i barier przez europejską społeczność menedżerów ryzyka oraz monopolu przedstawicieli rynku ubezpieczeniowego na wizję zarządzania ryzykiem. Czas, aby świadome firmy i ich menedżerowie ryzyka zaczęli sami przejmować inicjatywę i brać ryzyko w swoje ręce. Zamykając ten wątek: nie chowajmy się przed ryzykiem, lecz podejmujmy go jak najwięcej – w końcu na tym polega nowoczesne ERM. W drugiej części raportu znajdą Państwo rozważania poświęcone wielowątkowości i różnorodności zarządzania ryzykiem. Krytykę złej praktyki staramy się zbilansować małym poradnikiem dla początkującej w tajnikach ERM firmy. Na koniec przybliżamy osobę (funkcję) typowego menedżera ryzyka i społeczność risk managerów. Życzę Państwu pouczającej lektury i wyrażam nadzieję, iż w przyszłości znów zaistniejemy na łamach sprzyjającego nam CFO. Rafał Rudnicki Prezes Zarządu Stowarzyszenia POLRISK W naszych tekstach wykorzystaliśmy badania FERMA, a także prace finansowane lub przeprowadzane przez członków bądź partnerów POLRISK, ACE, Aon, E&Y, Marsh oraz przez Deloitte. Zintegrowane zarządzanie ryzykiem – LUKSUS CZY KONIECZNOŚĆ Rafał Rudnicki, risk & insurance manager, Raben Group Janusz Słobosz, risk consulting manager, Aon Polska Z umieć zademonstrować im, że panuje nad całą firmą i jej bezpośrednim otoczeniem biznesowym i że będzie tak również w przyszłości. ERM jest doskonałym sposobem, aby to zrobić. Po drugie, ERM dostarcza mechanizmu pozwalającego menedżerom niższego szczebla podejmować większe ryzyko w sposób kontrolowany i zgodny z celami firmy, a tym samym zwiększać jej konkurencyjność. I w końcu, ERM jest systemem zarządczym, który rodzi się „na górze” i kaskaduje od najwyższych do najniższych poziomów zarządczych; ponadto wymusza na menedżerach każdego szczebla myślenie perspektywiczne, długofalowe. W ten sposób menedżerowie niższych szczebli stają się lepszymi partnerami dla zarządów, którym łatwiej jest znaleźć z nimi wspólny język. Dlaczego zarządzanie ryzykiem jest tak istotne właśnie teraz? Polscy przedsiębiorcy podejmując decyzje, muszą uwzględnić coraz więcej zmiennych, które im dostarcza szybko zmieniające się otoczenie biznesowe. Istotne rodzaje ryzyka określone kilka lat temu przechodzą na dalszy plan ze względu na ich lepsze rozpoznanie oraz wypracowanie skutecznych lub nowych metod postępowania z nimi. Nie oznacza to, że zniknęły, ale zostają przyćmione nowymi zagrożeniami. Ta dynamiczna sytuacja wymaga od zarządzających innego podejścia i narzędzi pozwalających skutecznie sprostać nowym wyzwaniom. Tradycyjnie kierownictwo wyższego szczebla zajmowało się obszarami ryzyka operacyjnego i finanso- wego. Obecnie muszą zmagać się ze zróżnicowanymi, złożonymi i egzotycznymi kwestiami, takimi jak: kryzysy reputacji, niepokoje pracownicze, pandemia i wpływ nowych regulacji na prowadzoną działalność. Ta sytuacja odzwierciedlona jest w ostatnim badaniu Aon Global Risk Management Survey i we wskazaniach głównych rodzajów ryzyka wytypowanych przez respondentów (tabela 1). Tabela 1. Główne rodzaje ryzyka wg wskazań respondentów Częstotliwość Opis ryzyka 1 – Utrata reputacji 2 – Przerwa dzałalności 3 – Odpowiedzialność cywilna Źródło: Aon Global Risk Management Survey 2007 Z raportu wynika również, że rodzaje ryzyka, które najbardziej martwią zarządzających, są najsłabiej zarządzane ze względu na ich złożoność, trudności w postępowaniu z nimi, małą przewidywalność i obejmują swym zasięgiem całą organizację (tabela 2). Ilustracja: Getty Images/FPM dolność postrzegania ryzyka ze zrozumieniem jest fundamentalnym czynnikiem umożliwiającym działanie w dzisiejszym otoczeniu biznesowym. Bez właściwego rozpoznania i zrozumienia ryzyka trudno jest inwestować i podejmować właściwe inicjatywy biznesowe. W takim ujęciu ryzyko ma smak zarówno słodki, jak i gorzki. Aby członkowie wyższego kierownictwa mogli sobie uzmysłowić, dlaczego zintegrowane zarządzanie ryzykiem (Enterprise Risk Management – ERM) jest dziś ważne dla coraz większej liczby polskich firm – również dla ich firmy – wystarczy, że zadadzą sobie kilka fundamentalnych pytań: • Czy Ty i Twój zarząd rozumiecie główne rodzaje ryzyka wpływające na firmę jako całość? • Jaki dokładnie jest Wasz stopień narażenia na ryzyko? Na ile jesteście pewni swojej oceny? • Na ile skutecznie w Twojej firmie porównuje się i zestawia rodzaje ryzyka pochodzące z różnych obszarów działań (np. porównywanie ryzyka finansowego z ryzykiem politycznym lub ryzykiem w obszarze zasobów ludzkich)? • Jakie kompetencje mają poszczególni menedżerowie, którzy, naszym zdaniem, umieją prawidłowo zarządzać ryzykiem? Czy są one wystarczające? Jakich umiejętności im potrzeba? • Czy jesteś teraz pewny, czytając ten tekst, że Twoja firma podjęła właściwe decyzje i kroki, dzięki którym może poradzić sobie z głównymi rodzajami ryzyka wpływającymi na firmę? • Jakie zasoby będą musiały być poświęcone postępowaniu z ryzykiem i jego monitorowaniu w ciągu najbliższych 12 miesięcy? • Jak możemy się zorientować, czy nasze wysiłki poświęcone zarządzaniu ryzykiem przynoszą oczekiwane rezultaty? I w końcu, być może, najważniejsze pytania: • Czy kultura zarządcza w Twojej firmie zachęca lub zniechęca menedżerów do podejmowania wyzwań i ryzyka oraz czy są to wyzwania o właściwym poziomie ryzyka? Prawdopodobnie nikt z Państwa nie odpowie twierdząco na wszystkie pytania. Z punktu widzenia praktyka i członka zarządu, co najmniej trzy cechy dobrego zarządzania ryzykiem pozwalają pogłębić refleksję nad tymi pytaniami i ukazać je we właściwym kontekście. Po pierwsze, zarząd zwykle nie działa dla siebie, lecz dla właścicieli (akcjonariuszy), dlatego powinien Wymagają one innowacyjnych rozwiązań, których trudno szukać w dotychczasowych doświadczeniach i wachlarzu opracowanych metod zarządzania ryzykiem. Tabela 2. Gotowość do zarządzania ryzykiem Opis ryzyka Respondenci nieprzygotowani na to ryzyko – Utrata reputacji 52% – Przerwa dzałalności 30% – Odpowiedzialność cywilna 25% Źródło: Aon Global Risk Management Survey 2007 W tym kontekście takie kwestie, jak: identyfikacja, kwantyfikacja i analiza ryzyka, staną się priorytetowe w nadchodzących latach. Zarządzanie ryzykiem na bazie całego przedsiębiorstwa (ERM) będzie jednym z najważniejszych zadań w organizacjach, zastępując obecną koncentrację wysiłków w kierunku zgodności działania z przepisami/regulacjami i raportowaniem z wykonania tych obowiązków. Tak przynajmniej jest w dużych organizacjach i wybranych sektorach. Integralnym elementem ERM jest pozycja risk managera lub jego nowsze określenie i również szerszy zakres odpowiedzialności niż tradycyjnie – chief risk officer (CRO). Rola CRO jest najbardziej widoczna w sektorach regulowanych, takich jak bankowość czy ubezpieczenia, jednakże również inne branże powoli akceptują jego obecność, gdyż może się okazać krytyczna w zmieniającym się globalnie środowisku ryzyka. Z CRO czy bez niego następuje również wzrost znaczenia komitetów ds. ryzyka w celu zapewnienia bardziej zintegrowanego i systematycznego podejścia do ryzyka w całej organizacji. W przypadku dużej organizacji utworzenie stanowiska odpowiedzialnego za koordynację działań w zakresie zarządzania ryzykiem na pewno będzie z korzyścią dla firmy, aczkolwiek wiele zależy od kultury organizacyjnej samej firmy oraz właściwego umocowania. Należy pamiętać, że zarządzanie ryzykiem na bazie całego przedsiębiorstwa nie powinno być traktowane jako podejście dla wybranych. Nie powinno się patrzeć na ERM w pierwszej kolejności przez pryzmat struktury, procedur, formularzy, formalnego procesu. Zaleca się, aby pierwszym krokiem była budowa świadomości ryzyka, a do tego nie zawsze trzeba zatrudniania risk managera czy opracowywania wielkiej księgi procedur. Bez zwiększonej świadomości i zrozumienia, czym jest zintegrowane spojrzenie na ryzyko i jakie wartości niesie, ERM będzie wyłącznie kolejnym odhaczeniem na liście do zrobienia w celu zaraportowania zgodności działania ze stosownymi regulacjami. Oczywiście, jedną z głównych przyczyn wzrostu rangi zarządzania ryzykiem oraz wypracowania nowego podejścia były skandale korporacyjne (Enron, Wordcom) i pojawiające się regulacje wymuszające na zarządzających lepszą kontrolę organizacji i wiarygodność przekazywanych informacji. Można tu wymienić amerykańską regulację Sarbanes-Oxley Act. Ta sytuacja i nacisk na lepszy nadzór czy ład korporacyjny (corporate governance) wpłynęły na renesans zarządzania ryzykiem. Zarządzanie ryzykiem jest częścią skutecznego ładu korporacyjnego, który stanowi zbiór zasad postępowania, całość działań oraz regulacji odnoszących się do szeroko rozumianego zarządzania organizacją. W tym zakresie powstaje wiele „twardych” czy „miękkich” regulacji, które mają na celu wymuszanie i promowanie właściwego zachowania i praktyk. Zagadnienia ładu korporacyjnego można odnaleźć w wielu przepisach prawna krajowego oraz w dyrektywach europejskich. W skali międzynarodowej pierwszą inicjatywą sformułowania podstawowych elementów systemu nadzoru korporacyjnego był dokument OECD – Principles of Corporate Governance – jego ostatnią wersję państwa członkowskie przyjęły w 2004 r. W Polsce regulacje ładu korporacyjnego „Dobre praktyki w spółkach publicznych w 2005” zostały przyjęte przez Giełdę Papierów Wartościowych w Warszawie. Pomimo nacisku na ochronę akcjonariuszy mniejszościowych wskazują one również pośrednio lub bezpośrednio na kwestie zarządzania ryzykiem. Zarządzanie ryzykiem nie jest tylko dla dużych organizacji, ale dla nawet najmniejszego przedsiębiorcy. Zarówno duża korporacja, jak i mały przedsiębiorca boryka się z tym samym problemem w dzisiejszym zmieniającym się świecie – czy mam wystarczające informacje do analizy, podjęcia właściwych decyzji oraz umiejętności kontrolowania i realizowania zadań. Duża korporacja powinna opracować i wdrożyć cały system wspomagający zarządzanie organizacją, obudowany procedurami oraz wieloma wysiłkami, aby właściwie funkcjonował. Małemu przedsiębiorcy może wystarczyć zaadaptowanie podstawowych elementów metodologii oraz zrozumienie podstaw jej działania. Do tej pory opracowano już wiele wytycznych reprezentujących najlepsze, rozpoznawalne na rynku, praktyki zarządzania ryzykiem, do których można zaliczyć: • amerykańskie Enterprise Risk Management – Integrated Framework COSO II 2004; • brytyjskie RM Standard AIRMIC/ ALARM/ IRM 2002; • australijsko-nowozelandzkie AS/NZS 4360:2004; • południowoafrykańskie King II. Niektóre z nich zostały scharakteryzowane w skrócie w kolejnych częściach raportu. W odróżnieniu od powyższych dobrych praktyk o charakterze „miękkim” lub dobrowolnym, należy wspomnieć o „twardych” uregulowaniach występujących na finansowych rynkach, również europejskich: Bazylea II dla bankowości (Basel Committee on Banking Supervision – International Convergence of Capital Measurement and Capital Standards; A Revised Framework) lub Solvency II dla ubezpieczeń. Od kilku lat trwa międzynarodowa debata, nabierająca ostatnio tempa i temperatury, na temat stworzenia standardu ISO dotyczącego reguł korporacyjnego zarządzania ryzykiem. Latem tego roku FERMA wydało w tej sprawie oświadczenie na temat stanowiska risk managerów – praktyków, którzy są zdania, że stworzenie takiego „sztywnego” standardu przysporzy więcej szkód rozwojowi dyscypliny zarządzania ryzykiem niż pożytku oraz ujemnie odbije się na jakości risk managementu w przedsiębiorstwie. Tego samego zdania są autorzy artykułu i prawdopodobnie większość polskich risk managerów, członków POLRISK. Każde z prezentowanych podejść zarządzania ryzykiem obejmuje identyfikację ryzyka, jego ocenę, postępowanie oraz monitoring i raportowanie. Elementy te nie zmieniły się i stanowią trwałe filary procesu. Jednakże koncepcja ERM jest nakierowana na lepsze powiązanie działań w kontekście ryzyka z celami biznesowymi organizacji i eliminacje ograniczeń wynikających z tradycyjnego podejścia. ERM ma umożliwić spójność działań w zakresie zarządzania ryzykiem, zapewniać akcjonariuszy, że ich środki są właściwie rozporządzane i wspierać sukces organizacji. To wszystko łączy ERM z takimi zagadnieniami, jak audyt wewnętrzny czy zarządzanie ciągłością działalności. Koncepcje te przenikają się nawzajem lub się uzupełniają, ale ERM wydaje się spinać wszystkie elementy. Audyt wewnętrzny ma zagwarantować zarządowi, że wytyczone przez niego reguły gry są przestrzegane przez kierownictwo i wszystkich pracowników – a w praktyce ma pokazać, gdzie i przez kogo nie są przestrzegane. Działania audytu weryfikują zatem skuteczność wdrożonych systemów kontroli i zapewniają ich obiektywną ocenę i prawidłowe działanie. Zarządzanie ryzykiem, pokazujące dynamicznie zmieniającą się mapę różnych rodzajów ryzyka firmy i jej otoczenia, oraz wnioski z niego płynące są właśnie takim ukierunkowaniem działań funkcji audytu wewnętrznego. Po przeprowadzonej analizie ryzyka, skwantyfikowaniu oraz wyłonieniu grupy rodzajów ryzyka krytycznego, które mogą zagrozić ciągłości biznesu (przetrwaniu firmy), jednym z kolejnych kroków czy podejmowanych środków zaradczych jest próba zarządzania ciągłością działalności firmy w kontekście wcześniej zdiagnozowanych rodzajów ryzyka krytycznego. W tym sensie Business Continuity Management (BCM) jest jakby gałęzią odrębnych działań, wynikającą jednak bezpośrednio z mechanizmów zarządzania ryzykiem (i oczywiście wniosków z niego płynących). Wśród zwolenników i sympatyków BCM jest wielu takich, którzy twierdzą, że to zarządzanie ryzykiem jest elementem BCM, ale to już zapewne materia na osobny, bardzo długi artykuł. Co jeszcze przemawia za zintegrowanym zarządzaniem ryzykiem? Najczęściej próbuje się przekonywać kierownictwo wyższego szczebla do zarządzania ryzykiem, rysując obraz zgliszczy firmy po katastrofie, wizję utraconych miejsc pracy i rynków zbytu czy ciągnących się spraw sądowych. Na całe szczęście nie jest to konieczne, gdyż ERM ma przesłanie pozytywne, niosące dla firm korzyści w krótkim i długim horyzoncie czasowym, w wielu obszarach swojej aktywności. System ERM jest źródłem uporządkowanych i zwięzłych komunikatów biegnących z warstwy operacyjnej przedsiębiorstwa. Zapewnia odpowiedni monitoring głównych rodzajów ryzyka, na które firma została wystawiona, oraz stan i skuteczność działań kontrolujących ryzyko. W ten sposób pomaga zarządowi wykonywać obowiązki związane z nadzorem korporacyjnym. Mechanizm ERM gwarantuje skupienie uwagi na rodzajach ryzyka posiadających największy wpływ na wartość firmy i jej cele strategiczne. Efektywnie rozlokowuje kapitał i zasoby zarządzania ryzykiem do obszarów o wysokim ryzyku oraz przyjmuje najlepsze praktyki konsekwentnie we wszystkich jednostkach biznesowych. Ukazuje powiązania pomiędzy poszczególnymi rodzajami ryzyka – dzięki czemu możliwe są bardziej wnikliwe analizy „ekspozycji” przedsiębiorstwa na ryzyka. ERM, właściwie wprowadzone i konsekwentnie wspierane przez zarząd, pozytywnie przeobraża kulturę zarządczą firmy. Wszyscy menedżerowie są zapracowani i mają mało czasu, dlatego zarządzanie ryzykiem musi być prowadzone systemowo. Zwarty system ERM zapewnia proste rozwiązania – jedna formuła oceny ryzyka w całej organizacji. Nie można sobie pozwolić, żeby niektóre części firmy prowadziły zarządzanie ryzykiem, a inne nie, podobnie jak nie można sobie pozwolić, aby poszczególne części firmy oceniały ryzyko i zarządzały nim na różne sposoby i według różnych kryteriów. Sprawnie funkcjonujący system pozwala mene dżerom nie dać się wyprzedzić przez rzeczywistość: skłania do przewidywania ryzyka, dostrzeżenia właściwego ryzyka we właściwym czasie, a później do skutecznemu zarządzania nim. Nieprzewidziane i niepożądane wydarzenia będą występować rzadziej, a ich skutki staną się mniej dotkliwe. To z kolei jest gwarancją, że mniej czasu będzie się w firmie poświęcać na „gaszenie pożarów”, natomiast wszelkie inicjatywy zmian z większym prawdopodobieństwem będą się kończyć sukcesem. Rzetelne informacje gromadzone i krytycznie analizowane podczas oceny ryzyka i wnioski wyciągane podczas decydowania o sposobie postępowania z ryzykiem przekładają się na solidną bazę dla ustalenia strategii, pozwalającą wykorzystać szanse biznesowe i uniknąć zagrożeń. Jednym z najczęstszych argumentów przeciw wprowadzeniu ERM jest stwierdzenie: przecież my już zarządzamy ryzykiem w dziale... I tutaj najczęściej są wymieniane działy: ubezpieczeń, finansów, audytu, zakupów... Zintegrowane zarządzanie ryzykiem pomaga ustrzec się najczęstszych błędów, charakterystycznych dla tak właśnie zarządzanych firm: • podejścia fragmentarycznego – w ramach komórek organizacyjnych, obszarów funkcjonalnych – ocena istotności ryzyka odbywa się jedynie na poziomie oddziału lub działu; • braku skoordynowania decyzji w skali całej firmy – na postępowanie z ryzykiem przeznacza się zasoby firmy – kapitał i czas menedżerów; • pozostawiania ryzyka bez „właścicieli” – osób bezpośrednio za nie odpowiedzialnych, ale też posiadających władzę menedżerską, pozwalającą nim realnie zarządzać; • braku wspólnego języka analizy ryzyka w całej firmie i komunikacji pomiędzy funkcjami lub obszarami zarządzającymi ryzykiem; • wąskiego rozumienia metod zarządzania ryzykiem, tj. najczęściej jako unikanie ryzyka lub jego ubezpieczanie. Jakie mogą być konkretne motywacje wdrożenia zintegrowanego zarządzania ryzykiem? Ciekawym zagadnieniem są źródła motywacji przedsiębiorstw lub branży do wprowadzenia ERM. Wspomniane badania FERMA, opublikowane około pół roku temu, pokazują, że głównymi zewnętrznymi czynnikami wymuszającymi na firmach wprowadzenie ERM są regulatorzy i wymagania prawne (67%) oraz historyczne zdarzenia katastroficzne (62%). Co ciekawe, w porównaniu z rokiem 2004 spada znaczenie wymogów czy woli udziałowców (spadek z 57% do 35%) lub kosztów ubezpieczenia (spadek z 51% do 33%). Na tym tle interesująco wypada przykład Grupy Raben, międzynarodowej grupy logistycznej z cen- tralą w Polsce, której udziałowcami są członkowie holenderskiej rodziny Raben. W roku 2004, kiedy rozpoczęto wprowadzanie zarządzania ryzykiem w spółkach Raben, żadne przepisy naszego lokalnego czy unijnego prawa nie wymagały wprowadzenia ERM w spółkach nienotowanych na giełdzie – więc to nie tzw. „compliance” było motorem napędowym. Przeciętny klient Grupy był mniej świadomy wagi zintegrowanego zarządzania ryzykiem niż sam operator logistyczny – dopiero od kilku, a raczej kilkunastu miesięcy zaczyna się to powoli zmieniać. Tym samym trudno powiedzieć, żeby to rynek wymusił wprowadzenie zasad zintegrowanego zarządzania ryzykiem. Wydaje się, że elementem krytycznym było uzyskanie pewnej granicznej skali działalności i jej stopnia skomplikowania na poziomie zarówno operacyjnym, jak i strategicznym oraz zawrotne tempo dalszego wzrostu – nie tylko organicznego, ale i bazującego na akwizycjach w kilku krajach europejskich. Firma była niejednorodna (patrz przejęcia innych spółek) i bardzo szybko się rozwijała na dość ruchliwych i trudnych rynkach, dlatego była idealnym „kandydatem” do dużej, niekontrolowanej katastrofy biznesowej. Decyzja o wprowadzeniu ERM w całej Grupie była podjęta przez zarząd i akcjonariuszy w sposób naturalny, bez nacisków z zewnątrz, gdyż po prostu wydawała się naturalnym etapem rozwoju przedsiębiorstwa. Polscy przedsiębiorcy stoją przed tymi samymi problemami co wiele międzynarodowych koncernów. Wszyscy już działamy na rynku europejskim, a wielu z nas współpracuje lub zamierza współpracować z dostawcami i odbiorcami na całym świecie. Ogarnięcie całego otoczenia jest coraz trudniejsze, a aktywne zarządzanie ryzykiem staje się niezbędnym czynnikiem do uzyskania przewagi konkurencyjnej na polskim i globalnym rynku. Koncepcja enterprise risk management daje nam możliwość osiągnięcia tej przewagi. co to jest erm? Termin „zintegrowane zarządzanie ryzykiem” ma wiele synonimów, używanych naprzemiennie. Mowa również o zarządzaniu ryzykiem gospodarczym, zarządzaniu ryzykiem biznesowym, holistycznym, kompleksowym zarządzaniu ryzykiem, czy też po angielsku: enterprise risk management, holistic risk management lub business risk management. Pewne środowiska risk managerów zdecydowały się na używanie wyłącznie jednego lub dwóch z tych terminów. POLRISK definiuje zintegrowane zarządzanie ryzykiem jako „element proaktywnego zarządzania organizacją, obejmujący kulturę zarządczą, procesy i struktury, polegający na metodycznym podejściu do kwestii związanych z ryzykiem, w celu zwiększenia szans osiągnięcia korzyści i zmniejszenia ryzyka porażek”. ERM w praktyce polskiej W Polsce zarządzanie ryzykiem kojarzy się przede wszystkim z branżą finansową – z ubezpieczeniami, kredytami, ryzykiem walutowym czy inwestycjami giełdowymi. Menedżerowie firm innych branż często nie zdają sobie sprawy z faktu, że tak naprawdę cały czas prowadzą proces zarządzania ryzykiem w swoich firmach, tylko w sposób nieświadomy, a przez to niekompletny i niesystematyczny Doświadczenie zawodowe niewielkiej grupy menedżerów ryzyka z naszego kraju (z wyłączeniem osób pracujących w działach zarządzania ryzykiem banków i zakładów ubezpieczeń – grupa liczna, ale skoncentrowana na branży finansowej) skłania autorów niniejszego artykułu, zaliczających się do ww. grupy, aby wyrazić kilka opinii bazujących wprost na własnej praktyce związanej z pracą w zakresie zarządzania ryzykiem. Nasuwa się nam wiele spostrzeżeń dotyczących niewłaściwego lub niepełnego zrozumienia pojęcia zarządzania ryzykiem i kojarzenia go z… No właśnie, z czym? W Polsce zarządzanie ryzykiem kojarzy się przede wszystkim z branżą finansową, a ściślej z ubezpieczeniami, kredytami, ryzykiem walutowym czy inwestycjami giełdowymi. Zdarzają się menedżerowie firm innych branż, którzy słyszeli o pojęciu „zarządzanie ryzykiem” i nawet znają jego definicję i elementy całego procesu, ale tylko teoretycznie. Kojarzą to pojęcie zwykle z bezpieczeństwem. Często nie zdają sobie sprawy z faktu, że tak naprawdę cały czas prowadzą proces zarządzania ryzykiem w swoich firmach, tylko w sposób nieświadomy, a przez to niekompletny i niesystematyczny. Patrz ramka nr 1. Patrz ramka nr 2. Należy jednak zwrócić uwagę na fakt, że menedżerowie ryzyka z branży bankowej i ubezpieczeniowej w Polsce są często świetnymi fachowcami, z wiedzą z zakresu zarządzania ryzykiem dostosowaną do branży, w której pracują, i oni właśnie w większości przypadków stają się pionierami wprowadzenia zarządzania ryzykiem w wielu obszarach gospodarczych naszego kraju. Klasycznym przykładem tej sytuacji jest jedna z osób, autorów niniejszego artykułu, wywodząca się z branży ubezpieczeniowej, a obecnie pracująca głównie na rzecz firm produkcyjnych i usługowych z branż pozafinansowych. Taka zmiana branży wymaga jednak od menedżera ryzyka dużej interdyscyplinarności, doświadczenia zawodowego i elastyczności w zmianach metodologii stosowanej dotychczas dla branży finansowej. Są także menedżerowie ryzyka, którzy zarządzanie ryzykiem stosowali „od zawsze”, choć pracowali na zupełnie innych stanowiskach w firmach różnych branż. W związku z tym, że większość produktów dostępnych w Polsce ma swój początek w pracach konstrukcyjno-laboratoryjnych, dobrze wdrożony i utrzymywany system zarządzania w laboratoriach uwzględnia elementy RAMKA 1 Fabryka w Polsce jest jednym z ogniw produkcji światowej firmy o znanej marce. Okazuje się, że zakład w Polsce jest jedynym, w którym wykonuje się konkretny element produkowanego towaru. Firma zagraniczna zgłosiła termin przeprowadzenia kontroli u polskiego producenta ważnego podzespołu, a w ramach planu kontroli ujęła procedury zarządzania ryzykiem. Wykonany telefon do menedżera ryzyka wiązał się z pytaniem, ile czasu zajmie napisanie procedury, czy będzie to jedna strona formatu A4, czy też kilka stron? Wnioski na temat świadomości polskiej firmy dotyczącej zarządzania ryzykiem pozostawiamy Czytelnikowi. A dlaczego zarządzanie ryzykiem jest w tym przypadku takie ważne? Jeżeli zostanie przerwana ciągłość działania polskiej firmy, która jest jedynym producentem konkretnego podzespołu, to automatycznie zostanie przerwana ciągłość produkcji w firmie światowej renomy, która nie może sobie na to pozwolić. A tak na marginesie, to ta światowa firma też chyba nie do końca dobrze zarządza ryzykiem, jeżeli nie ma alternatywy w postaci innej firmy. A może to tylko socjotechnika w kontaktach z polską firmą? FOTO: Getty Images/FPM Anna Słodczyk, risk manager, konsultant ds. zarządzania ryzykiem, ASA Piotr Mąkosa, ekspert z zakresu metodologii szacowania i zarządzania ryzykiem, PCC sp. z o. o. Elżbieta Pluska, dyrektor rozwoju biznesu, Atmoterm SA Marek Rosiński, pełnomocnik ds. badań i rozwoju, Atmoterm SA analizy ryzyka związanej z działalnością laboratoriów. Choć zwykle menedżerowie kierujący laboratoriami nie nazywają tych działań w taki właśnie sposób, to wprowadzili oni, często nieświadomie, elementy zarządzania ryzykiem i techniki analizy ryzyka. Patrz ramka nr 3. A jak postrzegane jest pojęcie zarządzania ryzykiem w Polsce na tle badań międzynarodowych? W roku 2006 federacja FERMA (Federation of European Risk Management Associations) przeprowadziła wszechstronne badanie praktyk zarządzania ryzykiem w Europie, zestawiając jego wyniki z wcześniejszymi danymi z roku 2004. W badaniu wzięło udział 460 firm, głównie z Europy Zachodniej, których przedstawiciele odpowiadali na 29 pytań. Wśród badanych obszarów znalazła się m.in. hierarchia ważności poszczególnych rodzajów ryzyka. Respondenci wskazywali na ryzyko operacyjne, handlowe i prawne jako najważniejsze w bieżącej działalności. Natomiast w prognozie na następne lata daje się zaobserwować wyraźny wzrost istotności takich obszarów ryzyka, jak zasoby ludzkie i ochrona środowiska. W zakresie praktyki zarządzania ryzykiem wykazywane jest stopniowe przechodzenie od organizacji procesu zarządzania ryzykiem i identyfikacji ryzyka (u ponad połowy respondentów zadania już zrealizowane) do tworzenia systemów wewnętrznego raportowania, audytu i zarządzania danymi. Badania firmy Marsh, przeprowadzone również w roku 2006, dotyczyły 12 krajów Europy Środkowo-Wschodniej. Analizy dokonano na podstawie informacji uzyskanych od ponad tysiąca menedżerów, głównie z sektora produkcyjnego oraz handlu hurtowego i detalicznego. Dane uzyskane od respondentów wykazały, że główne obszary ryzyka to: rosnąca konkurencja, nieterminowe płatności, zmiany popytu i cen towarów oraz zmniejszona wydajność związana z absencją i fluktuacją pracowników. Jednocześnie stosunkowo niski procent respondentów (26 – 50%) deklaruje stosowanie skutecznych procedur ograniczania tych elementów ryzyka. Firmy, które skutecznie zarządzają ryzykiem, mają szanse na uzyskanie przewagi konkurencyjnej. Jednak w wielu RAMKA 2 W badanej spółce stwierdzono następujący stan: • brak jest wiedzy na temat zmieniającego się unijnego i krajowego prawa ochrony oraz związanych z tym zagrożeń; • nie zarządza się ryzykiem środowiskowym w firmie – nie ma procedur wewnętrznych; przedsiębiorstwach nadal nie ma formalnego rejestru ryzyka oraz wdrożonych metod ich identyfikacji i oceny, a także innych elementów tzw. klasycznego zarządzania ryzykiem. Podane wyżej informacje, dotyczące wyników badań firmy Marsh, wykazują, że opisane na początku niniejszego artykułu doświadczenia menedżerów ryzyka są zgodne z wynikami badań. W Polsce brakuje systematycznego podejścia do problemów zarządzania ryzykiem, a przez to świadomi menedżerowie firm robią coś, co należałoby uporządkować i dostosować do znanych w świecie metodologii. Nasuwa się kolejne pytanie: dlaczego właśnie teraz zaczynamy się nad tym zastanawiać? Już trzeci rok jesteśmy w Unii Europejskiej, a to wymaga od nas dostosowania się do dyrektyw Unii Europejskiej i standardów w niej obowiązujących, które zostały zaimplementowane w postaci ustaw lub rozporządzeń do prawa polskiego. Przykładem takich aktów prawnych jest Ustawa o ochronie danych osobowych czy Kodeks pracy. W obydwu dokumentach wymagane jest od firmy przeprowadzenie analizy ryzyka w przedmiotowej sprawie. Po przeprowadzeniu tejże analizy często RAMKA 3 Laboratorium badawcze branży spożywczej przeprowadza analizy artykułów spożywczych w celu dopuszczenia ich do obrotu na rynku. Prowadzi badania dla producenta jogurtu. Produktem laboratorium jest sprawozdanie z badań zawierające wyniki analiz i badań, na których podstawie producent jogurtu wprowadzi towar na rynek. Jakikolwiek wynik badań niezgodny z wymaganiami stawianymi producentowi daje laboratorium sygnał do wdrożenia działań zgodnie z procedurami dotyczącymi wyrobu niezgodnego. Procedury muszą zawierać tryb postępowania w takim przypadku, zidentyfikowane zagrożenia oraz hipotetycznie wielkość skutków zagrożeń, jakie może spowodować nieprawidłowy wynik badań i analiz przekazanych do producenta. Laboratorium stwierdza, że jego działania są prawidłowe, a wyniki badań jak najbardziej zgodne z założoną specyfikacją i metodami badawczymi. Sprawozdanie zostaje przekazane producentowi jogurtu. Producent jest zaskoczony, ponieważ okazuje się, że ma wdrożony system HACCP, którego integralną częścią jest analiza ryzyka metodą HAZOP. Producent na podstawie sprawozdania z badań laboratorium przeprowadza proces analizy ryzyka, zaczynając od technik identyfikacji ryzyka, zadając sobie pytanie, jak to się mogło stać. Kto miał rację i kto zapłaci za błąd – laboratorium czy producent? • nie ma osoby odpowiedzialnej za identyfikację ryzyka – o wszystkim kierownictwo dowiaduje się ze źródeł zewnętrznych; •występuje niebezpieczeństwo ponoszenia niepotrzebnych dodatkowych kosztów związanych z ochroną środowiska. okazuje się, że wymuszona przez przepisy prawa analiza ryzyka uratowała firmę przed dużymi problemami, z których nie zdawałaby sobie sprawy. Patrz ramka nr 4. Proces zarządzania ryzykiem jest także standardem w zagranicznych firmach, niezależnie tego, czy wymagają tego przepisy prawa czy też tylko zagraniczni kontrahenci, w celu wypełnienia każdego swojego ogniwa biznesowego procedurami gwarantującymi nieprzerwanie ciągłości działania firmy. Nowe standardy zarządzania w firmach, ich wprowadzanie i certyfikacja nie zawsze przytaczają wprost wymóg dotyczący RAMKA 4 Firma w wyniku szkolenia uzyskuje informacje o wymogu prawnym dotyczącym wprowadzenia procedur zarządzania ryzykiem związanym z ochroną danych osobowych. Kompleksowa analiza ryzyka wskazuje na szereg nieprawidłowości w zabezpieczeniu dostępu do pomieszczeń firmy z danymi osobowymi. Nieprawidłowości zostają przekazane pisemnie zarządowi firmy, ze wskazaniem na konieczność realizacji zadań priorytetowych, czyli postępowania z ryzykiem nieakceptowanym. Zarząd odkłada procedury ochrony danych osobowych na półkę i cieszy się z wywiązania się z obowiązujących przepisów prawa (wprowadzenie wymaganych dokumentów w firmie i przeszkolenie pracowników). Po kilku miesiącach w miejscu wskazanym w analizie ryzyka jako zadanie priorytetowe następuje włamanie w sposób dokładnie wskazany przez menedżera ryzyka w dokumencie poufnym dostarczonym do rąk własnych członka zarządu. Wynikiem włamania jest kradzież komputerów. W tym momencie zarząd powraca do przedstawionej analizy ryzyka i konsekwentnie realizuje wszystkie zalecenia związane z postępowaniem z ryzykiem. Cóż można powiedzieć na zakończenie? Mądry Polak po szkodzie! A można było nie myśleć tylko o samej Ustawie i jej aktach wykonawczych, tylko opierając się na analizie ryzyka, pomyśleć kompleksowo o firmie. RAMKA 7 Zakład produkcji sprzętu medycznego produkujący strzykawki kupuje materiał u podwykonawcy. Nigdy nie przeprowadził audytu u poddostawcy. Rocznie wprowadza kilkaset tysięcy strzykawek do szpitali. Po kilku incydentach medycznych w szpitalu A, szpital zlecił badania bakteriologiczne rzeczonych strzykawek. Okazało się, że końcówki silikonowe tłoków strzykawek zawierają bakterie salmonelli. Po inspekcji u producenta okazało się, że ma on przeprowadzoną prawidłowo analizę ryzyka produkowanego wyrobu pod kątem technicznym, jednak inspektor zwrócił uwagę na fakt, że brakuje w niej elementów związanych z zagrożeniem biologicznym. Producent nie zwracał uwagi na zagrożenia biologiczne, ale na zagrożenia konstrukcyjne. W efekcie zostało zarażonych kilkadziesiąt osób, a partia kilkudziesięciu strzykawek wycofana z magazynów szpitali oraz producenta. Jak zwykle powstaje pytanie: czy bardziej opłacało się przeprowadzić badania półproduktów od poddostawcy, czy zapłacić odszkodowanie osobom poszkodowanym oraz wycofać feralny silikon z produkcji? Odpowiedź zostawmy producentowi po skalkulowaniu poniesionych kosztów. wprowadzenia procedur zarządzania ryzykiem czy analizy ryzyka. Jednakże zawsze wprowadzają szereg sformułowań nomenklaturowych (np. walidacja), które stają się niejako namiastką obszaru zarządzania ryzykiem. Przykładem jasnego i konkretnego wprowadzenia wymogu analizy ryzyka jest system zarządzania bezpieczeństwem informacji, zgodnie z normą ISO/IEC 27001. Patrz ramka nr 1 – ponowne odwołanie. Patrz ramka nr 3 – ponowne odwołanie. Zwróćmy uwagę na finalny efekt powołanego wcześniej raportu FERMA, wg którego w prognozie na następne lata daje się zaobserwować wyraźny wzrost istotności takich obszarów ryzyka, jak zasoby ludzkie i ochrona środowiska. Przedsiębiorstwa powinny na bieżąco monitorować pojawiające się nowe wymagania dotyczące ochrony środowiska oraz pilnować terminów realizacji obowiązków zapisanych w prawie. Doświadczenia i obserwacje wskazują jednak na częste zaniedbania w identyfikacji tego rodzaju ryzyka. Raport Marsha dotyczący odpowiedzialności z tytułu zanieczyszczeń środowiska bardzo trafnie oddaje stan świadomości polskich i środkowoeuropejskich przedsiębiorstw w tym zakresie. Rekomendowane działania wskazują na potrzebę stosowania systemowych rozwiązań w obszarze ryzyka środowiskowego. Patrz ramka nr 5. Wracając do dyrektyw Unii Europejskiej, prawie wszystkie dyrektywy tzw. „nowego podejścia” znalazły odzwierciedlenie w polskim prawie. Fakt ten spowodował, że producenci działający w obszarze nowego prawa stanęli przed widmem spełnienia nowych wymagań dotyczących produkcji i zarządzania, zawartych w odpowiednich aktach prawnych w Polsce. Do takich spektakularnych dyrektyw należy Dyrektywa Medyczna czy Dyrektywa Maszynowa. Ze względu na specyfikę wymagań odnośnie przedmiotów będących podmiotem ich zakresu, obie dyrektywy przywołują analizę ryzyka, będącą, jak wiemy, podstawową częścią składową szeroko pojętego zarządzania ryzykiem. Rzeczone dyrektywy wręcz precyzują odpowiednie standardy zawierające techniki i metody analizy ryzyka, którymi producent powinien się posługiwać. Patrz ramka nr 6. Patrz ramka nr 7. Na zakończenie należałoby zadać pytania: Co powstrzymuje polskie firmy przed stosowaniem procedur zarządzania ryzykiem? Na jakie bariery napotykają? Według aktywnie pracujących i promujących jednocześnie zarządzanie ryzykiem menedżerów powody są następujące: • bariery merytoryczne (brak specjalistycznej wiedzy o ryzyku i zarządzaniu ryzykiem w firmach); • bariery związane z mentalnością (np. problem współpracy z menedżerem ryzyka i wskazanie na problemy firmy, bo być może spowoduje to wyrzucenie z pracy osoby, która wskazała problem); • bariery finansowe, gdyż: − kadra menedżerska ze specjalizacją z zarządzania ryzykiem powinna być dobrze opłacana i niezależna, bo tylko wtedy jest obiektywna, − często duże koszty niesie ze sobą proces postępowania z ryzykiem, − zła decyzja kierownictwa firmy dotycząca akceptacji ryzyka może pociągnąć za sobą duże konsekwencje finansowe dla firmy, − inne; • brak dostatecznej znajomości nomenklatury związanej z tym obszarem w języku angielskim i jednocześnie brak tłumaczeń literatury fachowej; RAMKA 6 Producent działający w obszarze Dyrektywy Maszynowej powinien przed wprowadzeniem wyrobu do obrotu przeprowadzić analizę ryzyka związanego z zagrożeniami niesionymi przez eksploatacje takiego urządzenia (maszyny). Producent produkuje kosiarki spalinowe. Przed wprowadzeniem wyrobu przeprowadza badania typu w odpowiedniej jednostce notyfikowanej w tym zakresie. Okazuje się, że pomimo zastosowanych osłon dla operatora producent nie przewidział incydentu związanego ze złą jakością noży tnących, które po kilkugodzinnej eksploatacji ulegały pęknięciu i rozerwaniu, narażając operatora i niszcząc kosiarkę. Potencjalne straty finansowe związane z ww. incydentem dotyczą nie tylko zmiany noży tnących, ale również wypłaty odszkodowania osobom poszkodowanym. Powstaje pytanie: co bardziej się opłaca? Odpowiedż pozostawiamy producentowi po przeprowadzeniu rzetelnej analizy ryzyka. 10 RAMKA 5 Według Ustawy o zapobieganiu i naprawie szkód w środowisku, która weszła w życie z dniem 30 kwietnia 2007 r., do działalności stwarzającej ryzyko szkody w środowisku zalicza się m.in. eksploatację instalacji wymagającej pozwolenia zintegrowanego (IPPC – Integrated Pollution Prevention and Control). Ustawa przewiduje, że w pozwoleniu zintegrowanym będzie mogło być ustanowione zabezpieczenie roszczeń z tytułu wystąpienia szkód w środowisku. Ustawa ta nie będzie działała wstecz, ale inspekcje związane ze zintegrowanymi pozwoleniami mogą wykryć zanieczyszczenia i przedsiębiorstwo zmuszone zostanie do podjęcia stosownych działań. Według ustawy Prawo ochrony środowiska, w dniu 30 kwietnia 2007 r. minął ostatni już późniejszy termin do uzyskania pozwolenia zintegrowanego i dotyczy to niektórych instalacji w hutnictwie i przemyśle metalurgicznym (których użytkowanie rozpoczęto przed 31.10.2000 r.), w przemyśle mineralnym (piece koksownicze) i w gospodarce odpadami. Dla instalacji IPPC bez wymaganego pozwolenia zintegrowanego lub eksploatowanej z naruszeniem warunków pozwolenia zintegrowanego przez okres przekraczający 6 miesięcy grozi wstrzymanie jej użytkowania. Jedynie dla instalacji, których użytkowanie rozpoczęto do 30 października 2000 r., prowadzący instalację może wnioskować o ustalenie terminu usunięcia naruszenia, ale termin usunięcia naruszenia nie może upływać później niż 30 października 2007 r. • nie ma szkół, szkoleń z zakresu zarządzania ryzykiem, brakuje specjalistycznych przedmiotów na studiach z zakresu zarządzania w tym obszarze; niewielka liczba szkoleniowców; • zbyt małe nagłośnienie medialne tematyki zarządzania ryzykiem w czasopismach specjalistycznych dla menedżerów i w innych środkach przekazu; • stosowanie przez firmy zasady „mądry Polak po szkodzie”, czyli wprowadzenie procedur dopiero po ocenie skutków już zrealizowanego ryzyka. Patrz ramka nr 4 – ponowne odwołanie. Czy więc mamy szansę coś zmienić w Polsce w przedmiotowym zakresie? Oczywiście, że tak, bo: • medialnie zarządzanie ryzykiem zaczęło się często pojawiać na różnych konferencjach branżowych dla menedżerów; • istnieje możliwość wykorzystania środków Unii Europejskiej na szkolenia i na wprowadzanie procedur zarządzania ryzykiem w firmach; • następuje widoczny wzrost zainteresowania problemem zarządzania ryzykiem wśród firm szkoleniowych oraz wśród firm wdrażających systemy zarządzania; • właściciele firm coraz częściej cedują decyzje i funkcje kierownicze na osoby młode, dobrze wykształcone, kreatywne i szukające nowych technologii, które zwykle znają języki obce zapewniające dostęp do literatury i szkoleń zagranicznych. Nie ma jednego sposobu zarządzania ryzykiem dr inż. Wojciech Machowiak, kierownik Działu Badań i Współpracy, Wyższa Szkoła Logistyki dr inż. Iwona Staniec, prodziekan ds. dydaktyki, Politechnika Łódzka FOTO: Getty Images/FPM I stotnym czynnikiem w rozważaniach dotyczących przyszłości zarządzania ryzykiem jest kierunek, w jakim rozwiną się strategie zarządzania. Nieuniknione wydaje się, że zarządzanie ryzykiem już niedługo również będzie musiało podjąć wyzwania związane z zarządzaniem łańcuchami dostaw, a menedżerowie ryzyka w przedsiębiorstwach przyszłości w swoich kompetencjach i schematach działania będą zmuszeni uwzględnić zarówno zwiększoną, wychodzącą daleko poza przedsiębiorstwo skalę działalności, jak i nowe, nieznane dotąd kategorie ryzyka. Jeden z najbardziej znanych i najczęściej cytowanych przykładów negatywnego zrealizowania się ryzyka – zwany przypadkiem Nokia-Ericsson, od nazw firm, których dotyczył, lub przypadkiem Albuquerque, od nazwy miasta w USA, gdzie ta historia miała swój początek – pokazuje możliwe scenariusze rozwoju sytuacji w zależności od tego, jak firma jest przygotowana do nieprzewidzianego wydarzenia. W przedsiębiorstwie mającym wdrożone prawidłowe i konsekwentnie realizowane procedury zarządzania ryzykiem (w tym przypadku Nokia) błyskawicznie opanowano sytuację i w ostatecznym rozrachunku firma wygrała na kryzysie, zwiększając swój udział w rynku. Ericsson, znajdując się w identycznej sytuacji jak Nokia, ale działając nieumiejętnie i chaotycznie, wypadł z rynku, ponosząc olbrzymie straty. Na marginesie warto wspomnieć, że epilog dopisany do tej historii przez dalsze wydarzenia jest optymistyczny. Ericsson, któremu po wypłacie odszkodowania (200 mln USD) firmy ubezpieczeniowe odmawiały przez kilka lat polisy, wypracował i wdrożył całkowicie nowe zasady zarządzania ryzykiem, obecnie uznane przez tych samych ubezpieczycieli za wzorcowe i stawiane jako przykład dla innych przedsiębiorstw. W znakomitej książce Yossi Sheffi “The Resilient Enterprise: Overcoming Vulnerability for Competitive Advantage”¹, w której – między innymi – opisany jest powyższy przypadek, hasło „zarządzanie ryzykiem” nie pada ani razu, na próżno szukać go także w indeksie. A jednak cała publikacja w sposób ewidentny poświęcona jest problemom związanym z zarządzaniem ryzykiem i powinna stanowić lekturę obowiązkową nie tylko dla menedżerów ryzyka, ale także (a może przede wszystkim) dla kadry zarządzającej przedsiębiorstwami. Sytuacja ta doskonale odzwierciedla problem, z jakim często mamy do czynienia przy próbie głębszego zainteresowania się zagadnieniami zarządzania ryzykiem w działalności gospodarczej. Firmy podejmują określone działania zmierzające do ograniczenia zagrożeń, niekoniecznie nazywając je zarządzaniem ryzykiem, lub też realizują procedury, którym w literaturze bądź w ofertach firm konsultingowych często przypisuje się zupełnie inną nazwę. Z kolei tam, gdzie explicite mówimy o zarządzaniu ryzykiem, pojęcie to w różnych przypadkach nierzadko oznacza całkiem odmienne praktyki – zarówno w sferze strategii, jak i bieżących procedur. Już samo pojęcie „zarządzania ryzykiem” przysparza wielu kłopotów i różni się – niekiedy dosyć istotnie – w zależności od autora i reprezentowanej przez niego „szkoły”, ale również w zależności od sposobu postrzegania miejsca tej problematyki w strategii i organizacji przedsiębiorstwa. W najprostszym – bardzo uproszczonym, ale ciągle popularnym ujęciu – utożsamiane jest z ubezpieczeniami. Nie jest to całkowicie bezzasadne, biorąc pod uwagę, że ubezpieczenia są dla wielu firm do dzisiaj jedyną praktycznie stosowaną techniką radzenia sobie z różnorakimi zagrożeniami. Takie podejście utrwalane jest przez same firmy ubezpieczeniowe, które nieustannie rozszerzają swoje oferty, obejmując nimi zdarzenia i ryzyko dotychczas uważane za klasycznie „nieubezpieczalne”. Nawet na rynku polskim można już ubezpieczyć się od ryzyka spadku zysku w wyniku niekorzystnych warunków pogodowych (przykład: przedsiębiorstwa dostarczające energię cieplną na wypadek zbyt wysokich temperatur w sezonie grzewczym – tzw. derywaty pogodowe). Dla innych zarządzanie ryzykiem to przede 11 STUDIUM PRZYPADKU: Nokia-Ericsson Wieczorem 17 marca 2000 wskutek uderzenia pioruna w sieć energetyczną doszło do pożaru w niewielkim pomieszczeniu fabryki półprzewodnikowych podzespołów elektronicznych w Albuquerque, należącej do Philips Electronics N.V. Przedsiębiorstwo to było wówczas głównym dostawcą chipów do telefonów komórkowych dla czołowych producentów europejskich, w tym Ericssona (jedynym!) oraz Nokii. Pożar nie był zbyt poważny, ugaszono go w 10 minut własnymi siłami, szkody bezpośrednie były również niewielkie (spłonęło osiem pojemników zawierających łącznie kilka tysięcy płytek). Nieco później okazało się, że znacznie poważniejsze straty spowodowały w sąsiednich pomieszczeniach dym i woda ze spryskiwaczy – „zatruły” znajdujące się tam miliony elementów. Uszkodzeniu uległa również część urządzeń produkcyjnych. Produkcja została wznowiona po ok. 3 tygodniach, jednak jeszcze po 6 miesiącach osiągała zaledwie niecałe 50% poziomu sprzed pożaru – odtworzenie pełnych mocy miało zająć lata. Logistycy Nokii nie tylko zauważyli i właściwie ocenili problem, zanim jeszcze zgłosił go dostawca (a to dzięki aktywnemu, bieżącemu monitorowaniu dostaw) – już 20 marca wiedziano o pożarze. Nie do końca polegając na informacji pozyskanej od Philipsa, natychmiast podjęto decyzję o wysłaniu do Albuquerque swoich inżynierów w celu wypracowania własnej oceny stanu rzeczy. Na miejscu nie przyjęto ich z otwartymi ramionami, ale wizyta wystarczyła, żeby docenić powagę sytuacji i zorientować się, że problem ma perspektywę wielu miesięcy, a nie tygodnia czy dwóch. Niezwłocznie podjęto działania. Po pierwsze, zintensyfikowano monitoring dostaw – w miejsce tygodniowych analiz wprowadzono codzienne. Po drugie, na najwyższym szczeblu zarządzania podjęto naciski na Philipsa, zmierzające do zapewnienia sobie absolutnego priorytetu w dostawach z Albuquerque, wspartego zapewnieniem o oddaniu na rzecz produkcji dla Nokii wszelkich rezerw produkcyjnych we wszystkich innych zakładach Philipsa. Po trzecie, wysłano przedstawicieli do innych dostawców Nokii w USA i Japonii (Nokia unikała zasady „single sourcing”), aby skłonić ich do możliwie najszybszego zwiększenia produkcji i również tam zapewnić priorytety dla swoich potrzeb. Wreszcie po czwarte, podjęto prace konstrukcyjne mające umożliwić zastosowanie w telefonach Nokii nieco odmiennych chipów z innych źródeł. Ericsson znacznie łagodniej kontrolował dostawy, o wypadku dowiedział się poprzez spóźnioną i uspokajającą informację producenta (przewidującą zakłócenia w produkcji przez ok. tygodnia, co nie powinno spowodować większych problemów). Nie sprawdzając i nie analizując tej informacji, nie podjął praktycznie żadnych działań aż do początku kwietnia. Wtedy już wszystkie rezerwy dostępne na światowym rynku producentów podzespołów elektronicznych były zagospodarowane przez bardziej operatywnego konkurenta. wszystkim zespół działań na rzecz zmniejszenia skutków realizacji ryzyka. Definicja ta również pozostawia niedosyt ze względu na wyeksponowanie akcji zmierzających do przeciwdziałania skutkom ryzyka, przy niedocenieniu najbardziej efektywnych i najmniej dotkliwych działań prewencyjnych. Przykładem zaawansowanych, chociaż też nie do końca precyzyjnych, prób określenia, czym jest zarządzanie ryzykiem, może być de- finicja zawarta w standardzie zarządzania ryzykiem FERMA. Wg niej zarządzanie ryzykiem jest to proces, w którego ramach organizacja w sposób metodyczny rozwiązuje problemy wynikające z ryzyka, które towarzyszy jej działalności, w taki sposób, aby ta działalność – zarówno w poszczególnych dziedzinach, jak i traktowana jako całość – przynosiła trwałe korzyści. Jeżeli występują tak duże trudności ze zdefiniowaniem zarządzania ryzykiem, trudno się dziwić, że dotychczas nie wypracowano jeszcze jednej metodyki podejścia do tych zagadnień – spójnej, konsekwentnej oraz powszechnie aprobowanej. Liczba koncepcji ujęcia tematu proponowanych w literaturze przedmiotu jest imponująca, jednak niemal każda z nich traktuje problem w sposób indywidualny, „wyalienowany”, oderwany od innych. W efekcie mamy (oprócz bogatego dorobku tradycji finansowo-ubezpieczeniowej) wiele pomysłów na elementy strategii – takie jak: enterprise risk management, business continuity management, business continuity planning, obok nich jeszcze nowsze, np.: koncepcje resilient enterprise, agile supply chain, triple a supply chain oraz szereg innych – z których trudno jest wyłowić konkretne, aplikowalne narzędzie. Znaczny wpływ na współczesne postrzeganie zarządzania ryzykiem wywierają również radykalne zmiany w warunkach prowadzenia działalności gospodarczej, z jakimi mają do czynienia w ostatnich latach przedsiębiorstwa niezależnie od miejsca na kuli ziemskiej, w którym prowadzą tę działalność. Co jest bowiem istotne, zmiany te w znaczącym stopniu wiążą się z podwyższeniem poziomu różnych zagrożeń, a także z jakościowymi zmianami w charakterze ryzyka, z jakim muszą dawać sobie radę zarządy firm. Do zmian wpływających na warunki procesów gospodarczych należą m.in.: zauważalny wzrost zagrożeń zewnętrznych, zarówno naturalnych, jak i wywołanych przez ludzi, skutki globalizacji oraz nowe koncepcje w strategiach działania przedsiębiorstw. Firmy stające wobec nowych wyzwań nie są w stanie im sprostać, dysponując wyłącznie tradycyjnymi, finansowo-ubezpieczeniowymi instrumentami. Nowe kategorie ryzyka wymagają zmiany podejścia, zmiany w zakresie wiedzy i umiejętności kadry wysokiego i średniego szczebla, ale przede wszystkim potraktowania (zintegrowanego) zarządzania ryzykiem jako elementu strategii przedsiębiorstwa, za którą musi pójść przesunięcie kompetencyj- ryzyko spekukulatywne i czyste W przedsiębiorstwie ryzyko może być związane zarówno ze stratą, jak i korzyścią (w literaturze jest ono określane jako ryzyko spekulatywne). Zarządzanie nim polega na podejmowaniu realnych działań i przeciwdziałaniu przyczynom, które są poza kontrolą przedsiębiorstwa oraz znajdujących się w jego gestii. Natomiast w świecie ubezpieczeń ryzyko oznacza jedynie prawdopodobieństwo wystąpienia straty (tzw. ryzyko czyste). Zarządzanie ryzykiem czystym polega na wykupywaniu polis ubezpieczeniowych. 12 ne – zarządzanie ryzykiem z domeny pionów finansowych powinno stać się przedmiotem bezpośredniego zainteresowania zarządów przedsiębiorstw. Niestety, zarządzanie ryzykiem nie jest wprost ujmowane w ramach różnych ideologii zarządzania, standardów i regulacji prawnych. Oto obszary z uregulowanym stanem prawnym odnośnie zarządzania ryzykiem: – finansowy – Bazylea II, Nowa Umowa Kapitałowa; – ubezpieczeniowy – Solvency II; – medyczny – BRC/IFS, – spożywczy – HACCP ISO 22000, BRC/IOP. Przykładowe dobrowolne uregulowania: – COSO II funkcjonuje w obszarze ładu organizacyjnego; – S arbanes-Oxley Act 2002 w ramach regulacji dla spółek giełdowych notowanych w USA; – standard ISO 27001 dla zarządzania bezpieczeństwem informacji; Standardy zwracają uwagę, że wdrażając system zarządzania ryzykiem w organizacji, należy zadbać o odpowiednie metody zbierania informacji oraz mechanizmy reakcji na zagrożenia. Kluczem do sukcesu jest zintegrowane podejście do zarządzania ryzykiem oraz: – opracowanie i wdrożenie skutecznego mechanizmu umożliwiającego na bieżąco kadrze kierowniczej ocenę ryzyka i dostarczające informacje do podejmowania decyzji; – ukształtowanie świadomości co do wagi zarządzania ryzykiem oraz korzyści z tego płynących; – integracja zarządzania ryzykiem z istniejącymi w organizacji procesami; – ocena przyjętej strategii zarządzania organizacją w kontekście przygotowania jej na przyszłe zdarzenia biznesowe; – dostarczanie dokładnych danych analitycznych (ze wszystkich poziomów organizacji). – AS/NZS 4360 – australijsko-nowozelandzki standard zarządzania ryzykiem; – BS 7799-3 – zarządzanie ryzykiem bezpieczeństwa informacji; – corporate governance – kodeks „Dobre praktyki spółek notowanych na GPW”. Wymienione standardy i dobre praktyki mimo różnych źródeł powstania i celów łączy jedno – badanie i zarządzanie ryzykiem. Pojawiające się lub stosowane na świecie praktyki w zakresie zarządzania ryzykiem nie narzucają konkretnych (jednych właściwych) sposobów wdrożenia. Natomiast dostarczają wskazówek do zorganizowania niezbędnych mechanizmów, przy zachowaniu właściwej i sprawdzonej koncepcji. Każdy standard nie wymusza konkretnego sposobu, pozostawia elastyczność we wprowadzaniu w życie organizacji procesu zarządzania ryzykiem. Podkreśla, że proces ten zależy od organizacji i zakresu jej działalności i jest procesem ciągłym, osadzonym w istniejących procesach biznesowych porównanie podejść do zarządzania ryzykiem w poszczególnych standardach Risk Managment Standard (AIRMIC, IRM&ALARM, 2002) Australian Standard®for Risk Management (Standards Australia, 2004)-AS/NZS 4360: 2004 Enterprise Risk Management – Integrated Framework –COSO II 14 stron + dodatek z terminologią 30 stron +109 stron wytycznych 125 stron + 7-stronicowe streszczenie dla kierownictwa + uzupełnienie technik zastosowania Standard definiujący proces zarządzania ryzykiem niezależnie od wielkości i branży organizacji. Standard definiujący zarządzanie ryzykiem z wykorzystaniem mechanizmu kontroli wewnętrznej. Określa własną terminologię. Definiuje proces i jego etapy w odniesieniu do charakterystycznego postrzegania funkcjonowania organizacji. Ujemna i dodatnia strona ryzyka – ze wskazaniem na potencjalne zyski i straty. Rozpoznaje dodatnie i ujemne strony ryzyka. Zwraca uwagę na niepewność i okazje przyciągające ryzyko. Proces niezależny od branży i sektora działalności przedsiębiorstwa. Wskazanie kolejnych kroków zarządzania ryzykiem. Proces oparty na pojęciach ryzyka biznesowego, kreowaniu wartości i kontroli wewnętrznej. Wskazanie komponentów zarządzania ryzykiem w postaci sześciennej kostki odnoszącej cele organizacji do rodzajów ryzyka występujących przy wykonywaniu procesów biznesowych. Identyfikacja, analiza ryzyka, ocena ryzyka, akceptowalność ryzyka, postępowanie z ryzykiem, komunikowanie i konsultacje. Ustalenie celów, identyfikacja zagrożeń, ocena ryzyka, reakcja na ryzyko, działania kontrolne, informowanie i komunikowanie oraz monitorowanie. Łatwy do wdrożenia, w szczególności dla firm nowo powstałych. Ma zachwianą równowagę na rzecz struktury biznesowej, po macoszemu traktuje analizę ryzyka. Standard definiujący model badania i zarządzania ryzykiem z wykorzystaniem terminologii ISO. Odnosi się do wszystkich rodzajów ryzyka związanych z działaniem organizacji. Ryzyko Ma aspekt zagrożenia i aspekt szansy, i to zarówno dla samego podmiotu, jak i dla jego partnerów. Jest określone jako kombinacja prawdopodobieństwa zdarzenia i jego skutków. Ujemnych i dodatnich – na polu bezpieczeństwa bierze się pod uwagę jedynie szkody. Zarządzanie ryzykiem Proces, który organizacji służy do zajęcia się rodzajami ryzyka związanymi z jej działaniami w celu osiągnięcia nieprzerwanych korzyści w ramach każdego z tych działań oraz w całym kompleksie portfela działań. Jest częścią kultury całej organizacji i elementem odpowiedzialności każdego pracownika. Etapy procesu zarządzania ryzykiem Analiza (począwszy od utożsamienia i opisu ryzyka), ocena ryzyka, akceptowalność ryzyka, raportowanie wewnętrzne i komunikacja, raportowanie zewnętrzne. Metody identyfikacji ryzyka zaczynają się od burzy mózgów. Uwagi Środki wymagane do wdrażania polityki zarządzania ryzykiem w organizacji powinny być jednoznacznie ustalone na każdym szczeblu zarządzania w każdej komórce biznesowej. Źródło: Opracowanie własne autorów na podstawie „An overview comparison of the AIRMIC/ALARM/IRM Risk Management Standard with: the Australia/New Zeland Standard AS/NZS 4360: 2004 and the COSO Enterprise Risk Management – Integrated Framework, AIRMIC 2005”; Marcin Masny, „Zaczyna się od burzy mózgów”, Dziennik Ubezpieczeniowy 7.08.2003 13 W ostatnich latach coraz częściej przeprowadza się badania dotyczące zarządzania ryzykiem. Z publikowanych wyników badań i raportów wynika, że: − zarządzanie ryzykiem w przedsiębiorstwie staje się integralną częścią procesów biznesowych firm ubezpieczeniowych na całym świecie, co jest częściowo spowodowane zwiększonym zapotrzebowaniem ze strony agencji rządowych i ratingowych²; − 60% firm ubezpieczeniowych na świecie świadomie bierze pod uwagę zarządzanie ryzykiem w procesie decyzyjnym³; − zewnętrzne naciski, tj. nowe regulacje prawne czy kodeksy dobrych praktyk zwiększają poprzeczkę dla zarządzania ryzykiem na świecie; Na podstawie różnych badań i sądów można stwierdzić, że zarządzanie ryzykiem nabiera znaczenia, gdyż: − stanowisko menedżera ryzyka w ostatnich latach pojawia się coraz częściej w strukturach organizacyjnych firm⁴; − firmy ubezpieczeniowe nie tylko w większym stopniu badają ryzyko, ale także coraz częściej obarczają kadrę kierowniczą odpowiedzialnością za wyniki finansowe⁵; − w firmach ubezpieczeniowych raportowanie o ryzyku przez pracowników niższych szczebli do wyższej kadry zarządzającej stało się wszechobecną praktyką – 39% respondentów składa raporty miesięczne, a 35% kwartalne⁶; − w ymagania zewnętrzne w postaci aktów prawnych, takich jak: Solvency II, Turnbull, King II, CI 49 itp., wpływają na powstawanie innowacyjnych metod zarządzania ryzykiem i określają struktury zasobów finansowych, np. większość banków dostrzega znaczne korzyści wynikające z przepisów Nowej Umowy Bazylejskiej, szczególnie dzięki możliwościom lepszej alokacji kapitału oraz ulepszeniu wyceny produktów związanych z ryzykiem⁷; − ponad 70% ankietowanych banków planuje przyjęcie zaawansowanego podejścia opisanego w Nowej Umowie Bazylejskiej w odniesieniu do ryzyka kredytowego oraz ryzyka operacyjnego⁸; − około 30% firm z regionu CEE prowadzi formalny rejestr ocenianego ryzyka, rejestry ryzyka są najpopularniejsze na Węgrzech (posiada je około 40%); − 20% firm w regionie CEE doświadczyło poważnych strat finansowych w ciągu ubiegłych trzech lat i już 75% z nich stworzyło plany zarządzania kryzysowego, aby zminimalizować negatywny wpływ przyszłych wydarzeń⁹. Z badań wynika również, że zarządzanie ryzykiem nie jest doskonałe i niektóre obszary ERM wymagają poprawy; możemy do nich zaliczyć: − sposoby pomiaru ryzyka i metody jego obliczania, szczególnie niezadowoleni są menedżerowie w Wielkiej Brytanii (97%) oraz w Japonii (95%)¹⁰; − umiejętność obliczania ryzyka operacyjnego i jego odzwierciedlenia we wskaźnikach finansowych¹¹. Z dużym prawdopodobieństwem można przewidzieć, że zintegrowane zarządzanie ryzykiem w najbliższych latach będzie zdobywało sobie prawo obywatelstwa w polskich przedsiębiorstwach – zarówno w wymiarze strate- różnice między tradycyjnym a zintegrowanym podejściem do zarządzania ryzykiem Podejście tradycyjne Ograniczony wpływ na strategię Niechęć do podejmowania ryzyka Podejście zintegrowane Efektywne poparcie planów biznesowych strategicznych firmy Proaktywne zarządzanie poprzez unikanie ryzyka i eksploatację ryzyka Potęgowanie barier Zintegrowane podejście Niespójny system informujący Zwięzłe i skonsolidowane informowanie Sporadyczna ocena ryzyka Ciągła ocena ryzyka, rewaluacja i zarządzanie nim Nieokreślona odpowiedzialność za poszczególne rodzaje ryzyka Odpowiedzialność za posiadanie ryzyka przypisana do procesów biznesowych i uwzględniana w okresowych ocenach Zamknięta komunikacja Otwarta komunikacja Brak jasno zdefiniowanych ról i odpowiedzialności Role i zakresy odpowiedzialności jasno zdefiniowane i zakomunikowane Źródło: Opracowanie własne autorów na podstawie „Enterprise-Wide-Risk Management: A Holistic Approach”, William Spinard, Marsh Risk Consulting 14 gicznym, jak i operacyjnym. Takie są tendencje w skali światowej i już przy obecnym poziomie międzynarodowych powiązań polskiej gospodarki nie sposób przyjąć, że w naszych warunkach proces ten będzie przebiegał inaczej. Takie są również potrzeby przedsiębiorstw, działających w coraz trudniejszych warunkach i obciążonych zwiększonym spektrum ryzyka. Znacznie trudniej jest określić, która z wymienionych koncepcji zarządzania ryzykiem ma szansę zdominować pozostałe – nie można również wykluczyć, że następstwem przedstawionej tendencji do wprowadzania „miękkich”, ewentualnie także „twardych” uregulowań prawnych będzie wypracowanie nowego, powszechnie akceptowanego standardu zarządzania ryzykiem. Na podstawie takiego standardu można będzie budować spójny, międzynarodowy system certyfikacji menedżerów ryzyka. ¹ Yossi Sheffi, Yosef: „The Resilient Enterprise: Overcoming Vulnerability for Competitive Advantage”, MIT Press (October 1, 2005), Cambridge, MA 02139. ² Raport podaje wyniki internetowego badania przeprowadzonego latem 2006 r., którym objęci byli dyrektorzy ds. ryzyka, dyrektorzy finansowi, aktuariusze i inni członkowie wyższej kadry kierowniczej z ponad 200 firm ubezpieczeniowych i reasekuracyjnych na całym świecie. 80% uczestników badania stanowili prawie po równo członkowie kadry z Ameryki Północnej i Europy, 16% reprezentowało region Azji i Pacyfiku, a 4% Amerykę Środkową. Raport dostępny jest na stronie http://www.towersperrin.com/tillinghast. ³ http://www.towersperrin.com/tillinghast. ⁴ Wypowiedź Prakash Shimpi, Practice Leader odpowiedzialnego za ERM na świecie. ⁵ http://www.towersperrin.com/tillinghast. ⁶ http://www.towersperrin.com/tillinghast. ⁷ Badanie przeprowadzone przez Accenture, Mercer Oliver Wyman i SAP dotyczące przygotowań do zgodności z Nową Umową Bazylejską. ⁸ Badanie przeprowadzone przez Accenture, Mercer Oliver Wyman i SAP dotyczące przygotowań do zgodności z Nową Umową Bazylejską. ⁹ „Zarządzanie ryzykiem: możliwość uzyskania przewagi konkurencyjnej w Europie Środkowej i Wschodniej”, MARSH, raport z analizy ryzyka 2006. ¹⁰ http://www.towersperrin.com/tillinghast. ¹ ¹ http://www.towersperrin.com/tillinghast. Czego potrzeba, aby wprowadzić w firmie zarządzanie ryzykiem Jacek Folga – specjalista ds. ryzyka kredytowego, Carlsberg Polska Tomasz Redliński – Manager, PBSG Janusz Słobosz – Risk Consulting Manager, Aon Polska R FOTO: Getty Images/FPM yzyko jest nieodłącznym elementem otoczenia, w którym funkcjonuje każde przedsiębiorstwo. Istota problemu zarządzania z wykorzystaniem wiedzy o ryzyku zawarta jest w samej świadomości istnienia ryzyka. Rozpoznane ryzyko determinuje automatyczny proces zarządzania nim. Richard Boulton, Barry Libert i Steve Samek, stawiają tezę, że obecnie nie ma firmy, która byłaby „wolna od ryzyka”. Firmy, które zmieniają swój model biznesowy w reakcji na nową gospodarkę, także podejmują ryzyko. Ryzykują również te organizacje, które postanawiają pozostać przy starych sprawdzonych metodach. Różnica polega na tym, że przedsiębiorstwa reagujące na nowe otoczenie gospodarcze prawdopodobnie lepiej rozumieją podejmowane ryzyko niż te, które nie robią nic, sądząc błędnie, iż w ten sposób ryzyka unikają¹². Warto uświadomić sobie, że każda firma zarządza ryzykiem mniej czy bardziej formalnie, gdyż ryzyko towarzyszy każdej decyzji, a w proces decyzyjny jest naturalnie wkomponowana analiza ryzyka. Dlatego też o wprowadzeniu zarządzania ryzykiem w firmie można mówić w kontekście jego sformalizowania, usystematyzowania, ujednolicenia, aktywnego podejścia, stosowanych najlepszych praktyk czy zaawansowanych narzędzi. Podstawowe pytanie brzmi: co każda organizacja chce osiągnąć przez opisanie tego procesu? Odniesieniem niech będzie dzisiejsze rozumienie zarządzania ryzykiem, tj. enterprise risk management (ERM), o których wspomniano we wcześniejszych artykułach. W dzisiejszych czasach, przy wielu znanych pomysłowych metodach zarządzania organizacją, ograniczanie się do zarządzania tylko wybranymi rodzajami ryzyka jest niewystarczające. Przedsiębiorstwa powinny patrzeć na ryzyko jak na powiązane ze sobą ogniwa łańcucha wartości. Brak kontroli nad jednym z nich może doprowadzić do utraty wartości na kolejnych etapach. Identyfikując rodzaje ryzyka, trzeba pamiętać o ich wzajemnym przenikaniu się. Prezentuje to rysunek obok. Jeśli dział R&D zainicjuje nowy produkt, dział marketingu opracuje doskonałą kampanię reklamową, natomiast wydział produkcyjny nie będzie w stanie oddać gotowego produktu zgodnie z terminem, wówczas nie będzie możliwa sprzedaż, a w konsekwencji wykreowanie wartości. Nawet Źródło: Aon Polska sp. z o.o. jeśli wszystkie etapy przebiegną bezkolizyjnie i produkt zostanie dostarczony do klienta, a dział finansowy nie podejmie czynności ograniczających wpływ ryzyka kredytowego, wówczas istnieje wysokie prawdopodobieństwo deprecjacji lub całkowitej utraty wartości firmy. To, czym jest ERM oraz co powinniśmy lub czego nie powinniśmy robić w trakcie jego wdrażania, ciągle się kształtuje. Dzieje się tak, ponieważ koncepcje zarządcze bardziej są sztuką niż formalną ścisłą dziedziną nauki. Kiedy zaczniemy rozumieć, co stanowi o sukcesie ERM, to w tym samym czasie w równej mierze zaczniemy rozumieć, co stanowi o jego porażce. Czego zatem powinniśmy unikać, wdrażając ERM? NIE OCZEKUJ NATYCHMIASTOWYCH EFEKTÓW. ERM jest procesem, nie produktem. Wymaga czasu i może upłynąć wiele lat, zanim zacznie działać efektywnie. Budowa zdolności i dojrzałości organizacji w zakresie ERM wymaga czasu, tak jak czasu wymagała budowa Rzymu, a szybkość osiągnięcia odpowiedniego poziomu zależy od wielu czynników. Poziomy dojrzałości organizacji w zarządzaniu ryzykiem można zdefiniować jako: specjalizacja ryzyka, świadomość ryzyka przedsiębiorstwa, integracja zarządzania ryzykiem, tworzenie wartości/ optymalizacja ryzyka (wykres 1). Wzrost wartości firmy to główny parametr, przez który właściciele oceniają jakość zarządzania powierzonymi kapitałami. Tylko szerokie spojrzenie na ryzyko pozwala ocenić wpływ systemów zarządzania ryzykiem na wartość. W perspektywie ryzyka trzeba zaobserwować trzy determinanty wartości. Po pierwsze, zarządzanie ryzykiem umożliwia ograniczenie strat. Po drugie, świadoma i dobrze zarządzana ekspozycja na ryzyko pozwala na osiągnięcie ponadprzeciętnych zysków. I po trzecie, zintegrowane zarządzanie ryzykiem umożliwia zapewnienie poprawności przebiegu procesów w całym 15 łańcuchu tworzenia wartości. Można przytoczyć przykład zarządzania ryzykiem kredytowym. System zarządzania tym ryzykiem w większości przypadków ogranicza się do minimalizowania strat. Natomiast niewiele przedsiębiorstw dostrzega korzyści, jakie można osiągnąć ze świadomego wystawiania się na ryzyko kredytowe. Korzyści te to przede wszystkim wzrost wielkości sprzedaży i wyższa marża. NIE ZACZYNAJ WSZYSTKIEGO NARAZ. ERM, zgodnie, z definicją, jest procesem ciągłym. Rozpocznij od bitwy, którą możesz wygrać. Zajmij się ryzykiem, które zmieni sytuację, zmieni zachowanie i przyciągnie uwagę. Rozpocznij. Wygrana na tym polu pozwoli zyskać zwolenników i przyśpieszy proces budowy ERM. Dobierz dokładność analizy do możliwości, zbyt powierzchowna analiza nie dostarczy niezbędnych informacji decyzyjnych, zbyt szczegółowa będzie trwać lata i zanim się skończy, już będzie nieaktualna. Częstym błędem jest nieodpowiedni przydział zasobów. Przywiązywanie jednakowej wagi do wszystkich kategorii ryzyka nie gwarantuje sukcesu. Błędem jest również pomijanie w zarządzaniu punktów o mniejszym ryzyku. Sprawia to, że przy sztywnych procedurach zarządzający zapomina o nich i nie monitoruje przyrostu ich istotności. Bardzo dobrym rozwiązaniem jest podział ryzyka na grupy posiadające wspólną cechę (miejsce składowania zapasów, obszar sprzedaży produktów i usług, zakład produkcyjny wchodzący w skład grupy itp.). Wyodrębnienie jednolitych grup zapobiega niepożądanemu pomijaniu rodzajów ryzyka, które w skali globalnej są niedostrzegane, ale ich lokalny charakter może zachwiać wartością firmy. NIE ZATRZYMUJ SIĘ. Istotną kwestią jest zrozumienie, że mapa ryzyka prezentowana kierownictwu wyższego szczebla jest tylko środkiem do osiągnięcia celu, a nie rezultatem końcowym. Prezentowana mapa przyciągnie uwagę, ale nie zmieni zachowań ani sama nie oszczędzi pieniędzy. Dążmy do szerzenia kultury zarządzania ryzykiem na szczeblach kierowniczych, uczmy menedżerów podejmowania racjonalnego ryzyka w oparciu o minimalny wdrożony model oceny ryzyka. Wadą współczesnych przedsiębiorstw jest to, że zazwyczaj ograniczają się one tylko do identyfikacji i pomiaru ryzyka, zapominając o zarządzaniu. Zarządzanie jest natomiast dopełnieniem zagrożeń naniesionych na mapę ryzyka. NIE PRZECENIAJ WARTOŚCI, JAKIE NIOSĄ ROZWIAZANIA IT. Dostawcy oprogramowania szybko reagują na potrzeby w tym obszarze. Jeśli pracujesz w dużej organizacji, prowadzącej złożoną działalność, posiadanie natychmiastowego dostępu do pełnej informacji o ryzyku daje cenną przewagę. Technologia pozwala uzyskać przewagę, ale nie jest magiczną różdżką. Dobierając rozwiązanie IT, należy rozważyć, w czym ono może pomóc – czy przyśpieszy zbieranie informacji o rodzajach ryzyka, czy zautomatyzuje proces oceny, czy jedynie zastąpi arkusz kalkulacyjny? Oceniając rozwiązania IT wykorzystywane w zarządzaniu ryzykiem, zawsze trzeba to robić przez pryzmat ludzi. Nawet najbardziej zaawansowany system 16 informatyczny jest tylko narzędziem wspierającym pracę osób odpowiedzialnych za kontrolę ryzyka. Wdrażając lub rozwijając system IT, należy odpowiedzieć sobie na pytanie, jaką wartość wniesie on do pracy ludzi. Oczywiście, analitycy, kontrolerzy i menedżerowie nie mogą pracować bez dostępu do aktualnej informacji przetwarzanej przez różne systemy i aplikacje. Jednak trzeba zawsze pamiętać, że są one jednym z wielu narzędzi, jakimi należy się posługiwać, zarządzając ryzykiem. NIE POMNIEJSZAJ WAGI RYZYKA MIĘKKIEGO. Bezustannie trwają prace w celu opracowania sposobów pomiaru ryzyka, które zanim się zmaterializowało, nie było rozpoznawalne jako ryzyko. Brak planu sukcesji dla strategicznych osób w firmie jest również ryzykiem. Istnieje coraz więcej przykładów, danych czy nowych sposobów pomiaru, które mogą zostać wykorzystane do oceny takich sytuacji. NIE BĄDŹ BOHATEREM. Nie uda się zarządzać ryzykiem odgórnie, bez pomocy ze strony wyższego kierownictwa. Jeśli mamy zarządzać ryzykiem kompleksowo, to brak sponsora w postaci menedżera najwyższego szczebla oznacza brak sukcesu. Zaangażowanie i entuzjazm na odpowiednim szczeblu przekładają się na całą organizacje i wpływają na efektywność oraz skuteczność działań. Jednocześnie nie uda się zarządzać ryzykiem odgórnie, bez pomocy pracowników liniowych. Ta prawda dotyczy zarówno zarządu, jak i kierowników działów czy dyrektora fabryki. Sukcesy na froncie ERM są wynikiem wewnętrznych koalicji. NIE POSŁUGUJ SIĘ DIALEKTEM. Ryzyko i związane z nim elementy nie są tabliczką mnożenia, z dawno już zdefiniowanym i doskonale znanym słownictwem. Postaraj się zbudować jeden wspólny język, dopiero wówczas będzie można znaleźć zrozumienie i konstruktywnie tworzyć rozwiązania. Ryzyko inaczej jest rozumiane przez specjalistę na linii produkcyjnej, a inaczej przez finansistę. NIE PORYWAJ SIĘ Z MOTYKĄ NA SŁOŃCE. Na rynku są specjaliści w tej dziedzinie, którzy mogą zaimportować strukturę oraz ją wdrożyć. Specjaliści mogą dostarczyć lub uzupełnić wewnętrzne zasoby organizacji, monitorować nasze działania, wspomagając zgodność działania, przechowywać i analizować dane, ułatwiać międzywydziałowe alianse, ekstrapolować lokalne sukcesy na całą sieć or- ganizacji. Mogą również pomóc przekonać kierownictwo wyższego szczebla, że wysoka fluktuacja kadr jest tak samo niebezpieczna jak awaria systemu komputerowego lub na przykład wysoko sprężone gazy w instalacji. NIE TWÓRZ SZTUKI DLA SZTUKI. ERM ma dostarczać informacji zarządczej. To nie kolejna zabawka dla kolejnej komórki organizacyjnej. Zbadaj potrzeby zarządu dotyczące racjonalizacji zasobów i dopasuj metody badania ryzyka do ich potrzeb. Zarząd nie oczekuje ERM, a jedynie optymalizacji działania organizacji, dlatego też ERM jest tylko narzędziem do spełnienia ich potrzeb. NIE BĄDŹ ODLUDKIEM. W każdej firmie funkcjonuje system zarządzania, często zgodny z wizjami właściciela czy też wymaganiami prawnymi lub standardami. O wiele większe korzyści można odnieść, integrując podejścia i stosowane systemy, niż tworząc własny świat. Jeśli w firmie funkcjonuje system zarządzania jakością czy strategiczna karta wyników, wykorzystaj to i włącz ideę ERM w już istniejące podejścia. Integracja systemów, a tym samym osiągnięcie jednego modelu zarządczego, przyczynia się do osiągnięcia sukcesu. Czego zatem potrzeba? Przede wszystkim zrozumienia wartości, jakie niesie aktywne podejście. Pierwszym i najważniejszym czynnikiem sukcesu jest wzrost świadomości istnienia ryzyka i wykazanie indywidualnych korzyści dla osób, które mogą stać się promotorami koncepcji. Jeśli nie będziemy przekonywać do zarządzania ryzykiem tylko poprzez pryzmat spełnienia określonych wymagań i przepisów, mamy szansę odnieść sukces. Obudowanie zarządzania ryzykiem procedurami jest ważne, ale nie tak istotne jak ludzie, którzy tworzą organizacje. Czasem krótki uporządkowany warsztat identyfikacji i oceny ryzyka dla zarządzających może wnieść o wiele więcej, nawet w przypadku dużej organizacji, niż rozbudowany system, z wieloma procedurami i zaawansowanymi narzędziami. ERM jest kolejnym systemem zarządczym, zatem znaczącym błędem byłoby niezintegrowanie go z już funkcjonującymi systemami, a tym samym z kulturą organizacji. ¹² Richard E.S. Boulton, Barry D. Libert, Steve M. Samek, „Odczytując kod wartości. Jak firmy tworzą wartość w nowej gospodarce”. WIG Press, Warszawa 2001, s. 133. wykres 1. model dojrzałości organizacji w zakresie ERM Źródło: Aon Polska sp. z o.o. Risk Manager i jego funkcja Tomasz Miazek, dyrektor Departamentu Ubezpieczeń i Zarządzania Ryzykiem Korporacyjnym Grupy TP, Telekomunikacja Polska Rafał Rudnicki, Risk & Insurance Manager, Raben Group S tanowisko risk managera i jego role w firmie mogą być bardzo różnorodne. W zależności od rodzaju i wielkości organizacji, mogą to być specjaliści w jednym z kluczowych obszarów obejmujących szczególne zagrożenia dla działania firmy (np. ryzyko kredytowe, ryzyko IT, bezpieczeństwo obiektów, technologia i funkcjonowanie linii produkcyjnej) lub są oni bezpośrednio właścicielami ryzyka, którym zarządzają. Pierwsza funkcja jest dość naturalna: firma zidentyfikowała duże ryzyko i wyznaczyła osobę odpowiedzialną za jego zarządzanie. Najczęściej jednak w dużych firmach w Europie obserwujemy sytuację, w której istnieje rozdział pomiędzy właścicielami ryzyka a risk managerem na poziomie korporacyjnym. Wówczas mamy do czynienia z nowoczesnym, zaawansowanym pojęciem risk managera (corporate risk officer, group risk manager). Wprowadzenie risk managera – stratega i koordynatora – wymaga większej promocji wewnątrz firmy. Taki model promuje między innymi polskie stowarzyszenie POLRISK, jako zgodny z ideą enterprise risk management. Tak jak w przypadku risk managerów, ekspertów, intuicyjnie można ocenić, że potrzebują oni wiedzy z zakresu swojej działalności (IT, finanse, bezpieczeństwo, inżynieria itp.), w przypadku korporacyjnego menedżera ryzyka sprawa jest bardziej złożona. Z naszego doświadczenia wynika, że w przypadku sprawowania funkcji risk managera niezbędna jest wiedza – choćby w podstawowym zakresie – z różnych obszarów: finanse, w tym rachunkowość zarządcza, oraz ubezpieczenia i relacje inwestorskie to podstawa. Nie mniej ważna wydaje się znajomość formy biznesu, którym zarządzamy, a pogłębiona znajomość branży, firmy i „kuchni” gwarantuje sukces w tworzeniu i realizacji strategii. FOTO: Getty Images/FPM Miejsce risk managera w strukturze firmy Risk manager powinien być zaufaną osobą zarówno dla zarządu, jak i dla innych menedżerów. Jako „strażnik interesu udziałowców”, niejednokrotnie pełni rolę koordynatora wielu cząstkowych działań i projektów w różnych obszarach lub funkcjach firmy, spiętych razem systemem zarządzania ryzykiem. Im większa organizacja, tym większa potrzeba koordynacji, zatem powołanie takiej osoby wydaje się nieuniknione. Zwykle bezpośrednim przełożonym risk managera jest w europejskich firmach CFO lub rzadziej CEO. Niekiedy – nawet coraz częściej – zdarza się, że CRO jest członkiem zarządu. Jednoznacznie wskazuje to na coraz bardziej strategiczną rolę risk managementu w firmach. W polskiej rzeczywistości nie wyklarowała się jasna odpowiedź na pytanie: czy RM jest specjalistą czy dyrektorem? Odpowiedź na nie, jakiej udzieli zarząd, ma niebywałe znaczenie. Będzie od tego zależeć, kogo chcemy zatrudnić na stanowisko risk managera i co możemy mu zaoferować. Jest to niewątpliwie bardzo ważne stanowisko. Należy pamiętać, że RM efektywnie wykorzystując budżet, dodatkowo organizuje pracę innych. Myliłby się jednak ktoś, kto sądzi, że menedżer ryzyka ma olbrzymi sztab ludzi dla niego pracujących. Podstawowym wyzwaniem RM w średnich i nawet dużych firmach jest brak własnych struktur. Departament RM to zazwyczaj 2 – 5 pracowników, rzadkością są departamenty RM zatrudniające ponad 20 czy nawet ponad 50 osób (np. firma Rolls-Royce). Z kolei w dużych firmach panuje niekiedy przekonanie, że ważny jest ten, kto ma pod sobą duże struktury. Pojedyncza osoba bez przyporządkowanego kwadracika na schemacie organizacyjnym postrzegana jest jako działania doraźne, którym nie należy poświęcać zbyt dużo czasu. Tymczasem, jeśli się przyjrzeć temu bliżej, brak rozbudowanych struktur ma głęboki sens – menedżer ryzyka, jako pomysłodawca, twórca rozwiązań, konsekwentnie je wprowadzający koordynator, nie musi wszędzie mieć swoich ludzi. Skutkiem ubocznym takiej roli menedżera ryzyka jest niejednokrotne ich ciągłe podróżowanie po całym świecie – od spółki do spółki, od oddziału do oddziału... Menedżer ryzyka to audytor, wizjoner, doradca czy biznesmen? Zagrożeniem dla menedżera ryzyka jest traktowanie go jako kontrolera, a zarządzania ryzykiem jako obowiązku sprawozdawczego (podejście compliance). Menedżer ryzyka coraz mniej jest audytorem czy kontrolerem – zarysował się już rozdział odpowiedzialności pomiędzy RM a audytem wewnętrznym, 17 wynikający choćby z COSO ERM Framework. Group risk manager to przede wszystkim wizjoner, architekt rozwiązań biznesowych gwarantujących, że zgodnie z wymogami corporate governance rada nadzorcza i zarząd mają możliwie pełną kontrolę nad firmą – włącznie z tym, co się dzieje „pod spodem”. Jest również doradcą i wewnętrznym konsultantem dla menedżerów liniowych i zarządu, w chwilach rozgryzania najtrudniejszych kategorii ryzyka i szukania dla nich najefektywniejszych biznesowo rozwiązań. Jest też biznesmenem, gdyż promuje świadome podejmowanie ryzyka gospodarczego jako klucz do sukcesu firmy i uzmysławia, że zarządzanie ryzykiem nie jest celem samym w sobie – musi mieć efekty w postaci trafniejszych decyzjach biznesowych. Dość typowe jest myślenie, że menedżer ryzyka to osoba, która powinna znaleźć rozwiązanie na wszelkie rodzaje ryzyka, z którymi spotyka się firma. Jest to zwykle podejście z gruntu mylne – w praktyce bardziej realne i skuteczne na długą metę jest odpowiednie motywowanie wszystkich menedżerów w firmie tak, żeby zarządzali różnymi kategoriami ryzyka w swoim obszarach. Zatem menedżerowie – jako właściciele ryzyka – sami nim zarządzają, a risk manager jest koordynatorem i „architektem”, który dba o to, żeby obowiązywały pewne zasady działania i standardy, np. aby akceptowalne poziomy ryzyka były ustalone na wysokim szczeblu. W klasycznym przypadku wprowadzania ERM chief risk officer nie jest jednocześnie właścicielem ryzyka, tylko koordynatorem – kontaktuje się z zarządem, radą nadzorczą oraz z innymi menedżerami. Taka osoba może odgrywać ważną rolę w procesie opracowywania strategii i budżetu. Czy są jakieś szczególne kwalifikacje, które musi posiadać RM? Z pewnością niezbędne są ogólna wiedza menedżerska oraz dobra znajomość swojej firmy. Doświadczenia nasze i wielu innych menedżerów ryzyka pokazują, że RM zaczyna pracę w nowej w firmie od jej dogłębnego poznania z własnej perspektywy i zaglądania tam, gdzie jeszcze nikt nie zaglądał, zadawania pytań, których jeszcze nikt w firmie jeszcze nie zadawał. Trwa to niekiedy kilka czy kilkanaście miesięcy i trzeba mieć do tego predyspozycje, aby umieć sobie poradzić z kosmiczną nieraz ilością informacji, jakie należy przetworzyć i wykorzystać przy tworzeniu biznesowego kontekstu do późniejszej identyfikacji i oceny ryzyka. Inną cenną umiejętnością jest tworzenie dobrych relacji międzyludzkich, umiejętne i dobitne komunikowanie oraz radzenie sobie z dynamicznie pojawiającymi się nowymi obawami kierownictwa. Doświadczenie zarówno nasze, jak i wielu menedżerów ryzyka z Anglii oraz innych krajów europejskich wskazuje, że najistotniejsze jest zbudowanie dobrych relacji z kadrą kierowniczą firmy różnych szczebli. Dopiero na kolejnym miejscu należy postawić sprawny warsztat metodologiczny i umiejętność budowania rozwiązań systemowych. Funkcja risk managera to z jednej strony wciąż raczkujące dopiero w Polsce stanowisko (przeciętny polski menedżer jeszcze niewiele wie na ten temat), należy zatem komunikować się z kierownictwem 18 w sposób klarowny i prosty. Z drugiej strony, pierwsze typowe zadanie menedżera ryzyka to zakomunikować wszystkim, że „teraz będziemy to robić zupełnie inaczej”. Praca RM ma charakter wybitnie menedżerski – konsekwencja we wprowadzaniu i egzekwowaniu zmian w firmie jest drugą po zdolnościach komunikacyjnych niezbędną cechą charakteru. Zarządzania ryzykiem nie można nauczyć się z książek – typowa ścieżka kariery czy korzenie to ogólne doświadczenie biznesowe połączone z wiedzą ekspercką w jednym z typowych obszarów biznesu, w których zarządza się ryzykiem, oraz dużo praktyki związanej z każdym z etapów wdrażania ERM w firmie. Wiedza specjalistyczna na pewno pozwala zbudować wiarygodność – z tego względu warto zainwestować czas i pieniądze w niejeden kurs czy szkolenie zarządzania ryzykiem, których w Europie oferowanych jest sporo. Wydaje się to szczególnie potrzebne, gdy mamy objąć stanowisko np w spółce giełdowej, którą oceniają zewnętrzni inwestorzy oraz specjaliści z funduszy inwestycyjnych i agencji ratingowych. Dlaczego funkcja RM nie przysparza wielu przyjaciół? Zarządzanie ryzykiem demaskuje braki w kompetencjach zarządzających i błędy decyzyjne – przecież wygodniej jest zrzucić winę za niepowodzenia na zdarzenia, których rzekomo nie dało się przewidzieć. RM wymaga rozmowy o przyszłych zdarzeniach, rozważania nie zawsze najlepszych scenariuszy. Może się zdarzyć, że w wyniku takiej oceny wiele nowych pomysłów trafi do kosza, a niektóre błędy czy złe decyzje menedżerskie zostaną bezlitośnie obnażone. Oczywiście nikt nie lubi zabijać swoich pomysłów już na etapie początkowym czy być poddawany próbie lub osądom. Niejednokrotnie zarządzanie ryzykiem oznacza porażkę dla niefortunnych pomysłodawców bądź nieskutecznych menedżerów, lub chwilowe zachwianie ich kariery. W efekcie risk manager może być postrzegany w strukturze firmy jako osoba blokująca nowe (złe) inicjatywy lub wymiatająca„śmieci spod dywanu”. To z kolei w najgorszym scenariuszu może zablokować chęć komunikowania przez kierownictwo istniejących problemów. Dlatego ważne jest zrozumienie sensu ZR przez najwyższą kadrę, która jest rozliczana z niego w długiej perspektywie czasowej. Prawdziwą sztuką jest uzyskanie informacji o faktycznych rodzajach ryzyka, przed którymi stoi firma, oraz doprowadzenie do tego, żeby system alokacji zasobów pozwalał na realizację planów zaradczych. Bywa, że zarządzanie ryzykiem (wizja na kolejne miesiące) przegrywa walkę o czas menedżerów liniowych z zadaniami operacyjnymi„na dziś”,„na za tydzień”. Zagrożenie czyhające na RM, jeśli nie potrafi zademonstrować kierownictwu bezpośrednio dla nich wynikającej wartości dodanej z zarządzania ryzykiem, to przede wszystkim utrata wiarygodności i zepchnięcie w czeluści biurokracji. Co to znaczy dobry risk manager – czy można to ocenić? Dobry menedżer ryzyka to taki, który potrafił zaprojektować model zarządczy idealnie pasujący do specyfiki firmy oraz pojemny – zdolny do akomodowania nieustannej dynamiki firmy i jej rynku. To osoba, która z żelazną konsekwencją ten model wprowadziła i zdołała trwale wpłynąć na praktykę i styl zarządczy w firmie. Ocena dokonań RM sprowadza się między innymi do weryfikacji, czy udało mu się doprowadzić do rozwiązania kwestii ważnych rodzajów ryzyka. Dobry RM musi niewątpliwie pokazać trend rozwoju zarządzania ryzykiem nie tylko w kierunku uciekania od zagrożeń, ale i wykorzystywania szans – kluczem do sukcesu firmy powinna być promocja świadomego podejmowania ryzyka biznesowego. Gdzie znaleźć dobrych risk managerów? Najczęstszą w Polsce praktyką jest poszukiwanie kandydatów na to stanowisko wśród brokerów lub ubezpieczeniowców. Do pewnego stopnia jest to powszechne również w całej Europie – wystarczy spojrzeć na nazwy stowarzyszeń, które w znakomitej większości łączą nawet w nazwie te dwie funkcje. Inne typowe funkcje, z których rodzą się menedżerowie ryzyka, to prawnicy, inżynierowie, specjaliści i audytorzy bezpieczeństwa pracy, kontrolerzy bądź audytorzy finansowi. Samo stanowisko i jego charakter są nadal niezwykle różnorodne, stąd nie ma jedynego właściwego wzorca. Podglądając, co dzieje się w największych europejskich organizacjach zarządzających ryzykiem (w brytyjskim AIRMIC czy w europejskim FERMA), już na pierwszy rzut oka widać tę różnorodność podejścia i koncepcji risk managementu, znajdującą swoje odzwierciedlenie w wielu zróżnicowanych zagadnieniach poruszanych na ich konferencjach. Okazuje się, że nie przeszkadza nam ona, jesteśmy pod tym względem wobec siebie niezwykle tolerancyjni – w różnorodności siła. Gwarantuje nam ona wymianę bogatych doświadczeń, wiedzy eksperckiej oraz wzajemne uczenie się na raz popełnionych przez innych błędach. Taką rolę pełni między innymi zawiązane zeszłego roku Stowarzyszenie Zarządzania Ryzykiem POLRISK. badania ferma – koniec 2006 – risk management is directly sponsored by the board/supervisory committee (44%) or the CEO (34%) – vast majority of risk managers report to the CFO (46%) or CEO (27%). – the risk management representative widely deals with the board or supervisory committee at least on an annual basis (63%). – the risk management function is currently mostly together with the insurance managementfunction (60%) and separated from the internal audit department (73%). – Among companies having an internal audit activity (89%), half of them (51%) have set up relationship between risk management and internal audit, – Among companies dealing with internal control regulations (70%), risk management indirectly contributesto the work performed (56%).
