Театр ризик-менеджменту: викриття ілюзії для досягнення справжнього бізнес-успіху

Вперше введений Брюсом Шнайером (Bruce Schneier) у його книзі «Beyond Fear» («Поза межами страху»), термін «театр безпеки» увійшов у повсякденний лексикон для опису того, що створює видимість безпеки, не впливаючи при цьому на реальну безпеку, як, наприклад, стійке до несанкціонованого розкриття пакування. Таке ж явище відбувається і в сфері корпоративних ризиків та комплаєнсу, вселяючи хибне відчуття довіри до системи управління ризиками та комплаєнсу в організації. Цей «театр ризик-менеджменту» часто виглядає як формальні, усталені процеси, але може бути позбавлений суті, необхідної для реального зменшення ризиків.

На жаль, такий підхід може мати багато підводних каменів. Замість того, щоб брати участь у «театрі управління ризиками», — вважає Шон Томпсон (Sean Thompson), президент і CEO компанії NAVEX, — організаціям слід прийняти комплаєнс-перспективу, яка ставить на перше місце відчутні результати, а не поверхневу видимість.

Чарівність театру ризик-менеджменту

Незважаючи на те, що легко зосередитися на процесі, а не на суті, театр ризик-менеджменту становить значний корпоративний ризик. Небезпека полягає у впровадженні заходів, які створюють видимість безпеки та комплаєнсу, що змушує бізнес вважати, що вони ефективно управляють ризиками, але насправді не досягають бажаних результатів. Однак такий театральний підхід може мати зворотні наслідки, потенційно сприяючи виникненню безлічі проблем і підриваючи самі цілі, на досягнення яких спрямований процес управління ризиками.

Згадаймо катастрофу на платформі Deepwater Horizon, де, як пояснюється в одній дослідницькій роботі, в аналізі безпеки постійно належним чином не враховувалися основні її ризики. Важкі наслідки призвели до екологічної катастрофи, репутаційної шкоди, величезних штрафів і навіть кримінальних звинувачень (пізніше знятих) для деяких причетних сторін. Ця повчальна історія підкреслює важливість виходу за межі ілюзії театру ризик-менеджменту до справжньої прихильності до ризику як фундаментальної бізнес-дисципліни.

Немає коротких шляхів до ефективного управління ризиками та комплаєнсу

Аби уникнути небезпек театру ризик-менеджменту, організації мають інвестувати час, ресурси та досвід у розробку та впровадження надійних програм управління ризиками та комплаєнсу. Ось ключові найкращі практики, які допоможуть здійснити цю трансформацію.

Прийміть сократівський підхід

Ключовим аспектом ефективного ризик-менеджменту є застосування сократівського підходу, який полягає в постійному піддаванні сумніву та перевірці ефективності засобів контролю. Наприклад, для управління ризиками, пов’язаними з третіми сторонами, може знадобитися більше, ніж просте анкетування. Замість цього задавайте уточнюючі питання, наприклад, як постачальники демонструють дотримання вимог щодо встановлення виправлень, ведення історії виправлень та оперативного усунення вразливостей. Це забезпечить наявність та активне дотримання засобів контролю.

Забезпечте повсякчасне управління ризиками

Управління ризиками має бути безперервним, проактивним процесом. Візьміть приклад із ризиками третіх сторін: ризик, пов’язаний із постачальником, не зникає після приєднання до команди. Регулярно переглядайте ризики, особливо під час змін у контрактах або зовнішніх подій, таких як новий комп’ютерний вірус, які можуть порушити ланцюг постачання. Такий підхід забезпечить постійний моніторинг ризиків та їх усунення в умовах динамічного бізнес-середовища.

Об’єднайте організацію навколо ризиків

Формування культури усвідомлення ризиків має важливе значення для ефективного управління ними. Будучи передовою лінією захисту від ризиків, співробітники повинні розуміти підхід організації. Вживайте заходів для забезпечення цілісного ризик-менеджменту та руйнування організаційних ізоляцій, щоб навчити працівників робити правильний вибір.

Наприклад, уніфіковані процеси та використання єдиного технологічного рішення для управління комплексною перевіркою третіх осіб у всіх відділах надає ризик-менеджерам комплексне уявлення про ризики в масштабах всієї компанії та дозволяє їм вживати найбільш доцільних заходів, оскільки вони мають всі необхідні дані в одному місці.

Вимірюйте те, що має значення

Замість того, щоб зосереджуватися виключно на процесі, організації повинні визначити ключові індикатори ризику, що мають відношення до їхнього успіху. Ці показники повинні впливати на цілі, стратегії та щоденні операції організації. Я виступаю за підхід до ризиків, заснований на даних, який дає можливість керівникам бізнесу та раді директорів приймати ефективні рішення. Панелі моніторингу ризиків можуть допомогти донести до ради директорів — та й до решти організації — позицію організації в управлінні ризиками, допомагаючи бізнесу використовувати ці дані як ключовий фактор у прийнятті рішень.

Переконайтеся, що будь-який дашборд, який ви розглядаєте, може агрегувати дані про ризики з усього бізнесу, щоб забезпечити цілісну картину. Наприклад, ви можете впровадити сповіщення про моніторинг від третіх сторін і відстеження статусу поточних оцінок, недотримання співробітниками вимог щодо навчання та/або атестації, а також сповіщення про інциденти, про які було повідомлено, і багато іншого, щоб отримати 360-градусне уявлення про ризики підприємства.

Метою управління ризиками є дотримання регуляторних, галузевих та операційних цілей, які стимулюють бажану поведінку для ефективного ризик-менеджменту та надають цінні дані для прийняття стратегічних рішень.

За межами театру: досягнення справжнього управління ризиками

Хоча всі люблять гарне шоу, в управлінні ризиками немає місця театральним виставам. Організації мають залишатись зосередженими на результатах, а не просто на процесах, щоб досягти справжнього управління ризиками, яке рухатиме бізнес вперед. У нашому ландшафті загроз, де зовнішня привабливість може бути оманливою, організації повинні уникати театру ризик-менеджменту і зосередитися на реальних практиках.

Наслідки недбалого ставлення до ризиків та комплаєнсу є довготривалими і можуть призвести до непоправної шкоди. Застосовуючи сократівський підхід, зберігаючи постійну пильність, об’єднуючи організацію навколо ризиків і комплаєнсу та вимірюючи те, що дійсно має значення, компанії можуть вийти за рамки поверхневих аспектів управління ризиками і досягти надійної, ефективної та орієнтованої на комплаєнс стратегії. Мета полягає не просто в дотриманні процесу, а в забезпеченні успіху організації та перетворенні ризик-менеджменту на конкурентний актив, який рухає бізнес уперед.

За матеріалами Forbes.

Ілюстрація: ocro.stanford.edu