Александр Баранов, №4

Интервью

Талант художника может прорваться даже сквозь профессию контролера и риск-менеджера

Эффективное управление рисками на финансовом рынке строится на нескольких базовых принципах, среди которых объективное понимание всей цепочки возможных угроз достижения цели. Однако правильное целеполагание и внутренняя готовность могут стать трамплином к достижению целей и в совершенно иных сферах.

Александр Баранов - опытный специалист в области управления рисками и внутреннего контроля, в прошлом финансовый аналитик и управляющий активами, участник многих проектов в области рынка ценных бумаг, совершенно неожиданно открывшийся как художник. Мы встретились в галерее «Антифон», где прошла первая выставка картин Александра, поговорили не только о творчестве, но и его видении на российскую систему внутреннего контроля и управления рисками, а также особенностей деятельности рейтинговых агентств.

- Александр, как вы оцениваете уровень развития риск-менеджмента в компаниях российского фондового рынка на современном этапе?

- Позвольте я сделаю сначала небольшой исторический экскурс по теме внедрения риск-менеджмента в России, а потом поговорим о текущем моменте и отдельных нюансах.

- Давайте.

- За последние десять лет регуляторные требования в России в отношении управления рисками для некредитных финансовых организаций претерпели качественные изменения. Начать стоит с того, что еще 10 лет назад регуляторные требования в части управления рисками отсутствовали во всем небанковском секторе. Наличие риск-менеджмента в банках тогда было законодательным требованием, а другие бизнес-организации подобные нормативные требования не затрагивали. В то время внедрение систем управления рисками в небанковской сфере было продиктовано исключительно желанием топ-менеджмента и иногда бенефициаров компаний. Причем это не было продиктовано какой-то модой, а больше было вызвано бизнес-необходимостью. Отдельно стоит выделить «дочерние» компании иностранных банков и корпораций: там в большинстве своем требование к созданию системы риск-менеджмента исходило от иностранного акционера.

Своеобразным катализатором для внедрения и совершенствования управления рисками в России стал финансовый кризис 2008 года. Второй этап развития риск-менеджмента в России был связал с тем, что Банк России стал мегорегулятором на всем отечественном финансовом секторе и решил расширить некие требования для банковского сегмента на НФО. Мне довелось быть внутри этих событий, поскольку в 2009-2010 годах я своими руками создавал систему управления рисками в НПФ «БЛАГОСОСТОЯНИЕ», когда еще не было соответствующих регуляторных требований, и, кстати, часть наших наработок по управлению рисками были использованы регулятором при создании обязательных нормативных требования для индустрии негосударственных пенсионных фондов.

- А в чем состоят, по-вашему, основные принципы риск-менеджмента в отечественной финансовой индустрии?

- Правильное управление рисками строится на нескольких базовых принципах. Одним из них - описание «контрольной среды». Осознанный, а не формальный риск-менеджмент на уровне компании - это неотъемлемая часть ее стратегического развития. Чтобы правильно определять цели и задачи, необходимо объективное описание текущего положения компании, скажем «карта уязвимостей, угроз» или, выражаясь языком риск-менеджмента, «карта рисков». При этом без правдивого описания текущей ситуации, той точки, в которой находится бизнес-компании и окружающей ее бизнес-среды невозможно объективно говорить о рисках. Российский бизнес и экономика страны в последние четыре года лет находятся в нетипичной для себя ситуации, по сути, то, что мы видим это затянувшийся стресс-тест. По сути, реализовалась целая цепочка, а вернее даже совокупность различных видов рисков: трансграничных, финансовых, социальных, технологических, которые ранее не были характерны для нашей страны. То есть, к уже имеющейся совокупности рисков российского бизнеса добавился новый спектр различных рисков. Компании финансового сектора в своей деятельности объективно обязаны учитывать эти реалии. Я сейчас имею в виду страновые риски отечественного бизнеса, которые непосредственно влияют на правовую среду, инвестиционные ресурсы, финансовые продукты и услуги, инфраструктуру, клиентскую базу и т. д.

Но спустимся с макроуровня на микроуровень компании финансового сектора и поговорим непосредственно о системе внутреннего контроля и управления рисками. Для наглядности рассмотрим такой образ: у нас есть карта, на ней помечена некая финальная или промежуточная цель - точка на карте, к которой необходимо прийти. Чтобы достигнуть этой цели, необходимо правильно определить начальные координаты, откуда мы начинаем движение, и иметь объективное знание об окружающем ландшафте, и адекватную оценку возможных угроз по пути движения. Перейдем от данной иллюстрации к корпоративной практике - типичная компания отечественного финансового сектора нуждается в правильной диагностике текущего состояния и выявлении угроз, препятствующих реализации стратегии компании. В настоящее время с точки зрения инвестиционной индустрии такой системный подход мне представляется более правильным, чем только формальное выполнение регуляторных требований. При этом вопрос об обязательном исполнении не обсуждается - это, само собой, юридическая необходимость.

- Как правильно расставить эти «точки рисков»?

- Вообще, с точки зрения стандартов COSO¹, термин «риск» на уровне компании означает реализацию события не достижения планируемой (заданной) цели, цели бизнес-процесса, цели инвестиционного проекта, цели направления деятельности и т. д. Данная трактовка риска более общая чем ISO-шная: «риск - это комбинация вероятности события и его последствий» (ISO/IEC Guide 73). Соответственно, управление рисками - процесс, которым определяется и оправдывается набор предупредительных мер, для обеспечения выполнения плана с учетом приемлемого уровня затрат и безопасности. Это анализ, планирование, реализация мер, контроль и корректирующие действия. В общем, управление рисками и внутренний контроль в своей деятельности объективно взаимосвязаны. Риск-менеджмент в своей деятельности содержит функции контроля, а внутренний контроль в новой парадигме содержит функции управления регуляторными рисками. Такой подход сейчас имплементирован Банком России (в рамках 180-го информационного письма от 24.12.2020² и нормативных актов - Указаний Банка России 4501-У³ и 5683-У⁴). А лет 20 назад в российской практике к рискам относились исключительно как к ожидаемым потерям, умноженным на вероятность их получения (классический базельский подход для оценки рисков для кредитных организаций).

Еще до кризиса 2008 года в мировой практике недостижение цели тоже стало объектом внимания риск-менеджмента корпоративного сектора. Банковская практика все же больший упор в управления рисками делала на требованиями базельского подхода. Базельские требования связаны с поддержанием капитала в размере не менее 8% от суммы рисков (определенных в соответствующем базельском соглашении), взвешенных по активам. По сути, недополучение результата стали воспринимать как обобщенную реализацию негативных последствий. Соответственно, в лучших практиках риск-менеджмент работает не только с оценкой возможных убытков и фиксацией реализаций этих рисков, но и с решением проблем недостижения планов. Не имеет смысла противопоставлять два этих подхода, так как реализация убытков представляет собой частный случай недостижения целей.

- Как эти подходы реализованы у нас?

- Российская финансовая индустрия в текущей ситуации вынуждена выбирать между двумя возможностями: экономить на всем, что может прийти в голову (на персонале, бизнес-процессах, технике, технологиях), и/или думать о последствиях и развитии. Первый подход в контексте риск-менеджмента может сводиться исключительно к формальному исполнению требований регулятора по управлению рисками. Такой подход можно назвать минимальной достаточностью. Второй подход помимо выполнения текущих регуляторных требований учитывает будущие регуляторные изменения, а также потребности развития компании. Образно говоря, «минимальная достаточность» - это уровень «удовлетворительно», выполнил регуляторные требования, значит уже «не двойка», можешь работать. А если «двойка», то, как говориться: лицензия на стол и закрытие бизнеса.

В контексте риск-менеджмента опережение текущих регуляторных требований - это нечто большее, чем законодательная необходимость работать в зоне условной «тройки», это желание работать выше формального необходимого для ведения бизнеса барьера «удовлетворительно».

- А с точки зрения устойчивости компании достаточно ли ей работать на уровне «законодательной тройки»?

- Вне зависимости от выбранной стратегии управления рисками в компании: «минимальная достаточность» или «работа на опережение» - необходимо учитывать всю совокупность угроз и рисков (исходя из заявленных целей и стратегии компании), выявлять те, что непосредственно связаны с деятельностью компании и объективно их оценивать. «Работа на опережение» в контексте риск-менеджмента и внутреннего контроля связана с анализом и мониторингом поставленных задач, имеющихся ресурсов, оценкой возможных убытков и фиксацией дополнительных (непланируемых) затрат. Есть объективная часть рисков, связанных с деятельностью компании в определенной среде, и есть субъективная составляющая, учитывающая бизнес-модель компании, ее размеры, сферу и непосредственные ниши деятельности, стратегию развития и т. д.

Высокие риски, в России, как и у любой развивающейся экономики, это одна из составляющих среды, в которой работает отечественный бизнес. При этом необходимо учитывать и особенности текущего момента вне зависимости от того, в каком секторе экономики работает компания: в финансовой индустрии или нет. Однако, нынешнее положение вещей ставит в определенном смысле финансовые компании по организации риск-менеджмента в более привилегированные рамки:

риски финансовой индустрии более однородные,

технологичность финансовой индустрии в целом выше среднего уровня всех субъектов российской экономики,

в финансовой индустрии существуют жесткие регуляторные требования.

Последняя особенность априори вынуждает финансовые компании иметь систему управления рисками и систему внутреннего контроля, причем возникли эти потребности не спонтанно непосредственно сейчас, а гораздо ранее - как минимум с внедрения регуляторных требований по управлению рисками для некредитных финансовых организаций. Между тем, в компаниях нефинансового сектора, в которых были выстроены системы управления рисками и внутреннего контроля, это произошло в силу бизнес-необходимости и постановка подобной задачи исходила из потребностей бенефициаров бизнеса. В этом случае могли быть и плюсы: если у хозяев бизнеса существуют реальные потребности в развитии риск-менеджмента и контроля, то подобная реализация, как правило, ориентируется на лучшие практики, а не на минимальные регуляторные требования.

- По вашим оценкам, в каких секторах культура управления рисками все-таки выше?

- В целом, по моей оценке, культура управления рисками значительно выше в финансовой сфере, чем в нефинансовой. Но это усредненная оценка, образно говоря, средняя температура по больнице. На самом деле, в крупных корпорациях реального сектора подходы по управлению рисками достаточно продвинуты, и в ряде случаев крупные отечественные корпорации могут дать «фору» в части управления рисками многим российским финансовым организациям, в том числе даже и российским банкам, многие из которых в части управления рисками ориентируются исключительно на банковские нормативы достаточности капитала.

- И при этом требования к «рискам» в сфере некредитных финансовых организаций достаточно новы.

- Я бы вообще отметил достаточно короткую историю регуляторных требований по управлению рисками в отечественной финансовой индустрии. В данном случае она более продолжительна для кредитных организаций (уходит своими корнями в 90-ые годы XX века), а для некредитных организаций регуляторные требования имеют менее 10-летнюю историю. На нормативном уровне требования по управлению рисками для НФО прописаны непосредственно для негосударственных пенсионных фондов (Указание 4060-У⁵) и для профучастников рынка ценных бумаг (Указания 4501-У). Работа над проектами этих нормативных актов началась примерно в одно время, однако в силу ряда субъективных причин нормативка для НПФ вступила в действие ранее. Вступление в силу нормативного акта для «профиков» было затянуто в силу длительных согласований с Минюстом некоторых терминов и формулировок. Например, Минюсту не понравилось, что для обозначения «верхнеуровневого» документа по управлению рисками по аналогии с международными практиками использовался термин «политика» - Минюст посчитал, что этот термин относится к иной сфере деятельности. Также не повезло и традиционному термину риск-менеджмента - «риск-аппетит», так что для перехода из стадии проекта нормативного акта в стадию регуляторного требования пришлось заменить этот емкий термин на целый абзац повествования о совокупном риске, принимаемом профучастником.

- Вы удивительно подробно осведомлены о нюансах согласования.

- Мое знание этих казусов связано с тем, что я был председателем рабочей группы при Банке России по формированию проекта нормативного требования по управлению рисками для «профиков», то есть проекта Указания 4501-У. От Банка России сопредседателем данной рабочей группы был Александр Арефьев. Возвращаясь к моменту создания данного нормативного акта, я бы отметил серьезную вовлеченность регулятора, который детально обсуждал с представителями инвестиционной индустрии и СРО соответствующие требования и формулировки, а позже дал серию разъяснений по их исполнению.

Непосредственно для управляющих компаний ПИФ подобного нормативного документа от Банка России нет. Но там, кстати, НАУФОР очень быстро отреагировала и выпустила в 2019 году внутренний стандарт по управлению рисками для управляющих компаний ПИФ. Поскольку в соответствии с законом о СРО члены СРО обязаны соблюдать внутренние стандарты, то фактически это обязательное регуляторное требование для УК ПИФ об управлении рисками.

- По вашему мнению, этого регулирования достаточно?

- По-моему да, и тут, мой взгляд, Центральный банк исходит из экономической целесообразности. Она говорит о том, что все крупные УК обычно имеют две лицензии - по управлению ПИФ и НПФ и по доверительному управлению ценными бумагами. Значит, они будут подчиняться требованиям к риск-менеджменту в рамках Указания 4501-У плюс требованиям стандарта НАУФОР для УК ПИФ. Те крупные УК, которые не имеют лицензии ДУ, как правило, работают с пенсионным сектором, а там тоже есть требование об управлении рисками через НПФ. НПФ просто вынужден требовать от управляющей компании наличие независимой службы риск-менеджмента и обязательную оценку ряда рисков, связанных с инвестиционным портфелем НПФ под управлением УК. И, таким образом, получается, только маленькие, «бутиковые» УК, которые не работают ни с розницей, ни с НПФами, не обязательны к соблюдению указаний регулятора в риск-менеджменте. Но для них есть требования НАУФОР. Банк России пока это устраивает. Существуют в России и немелкие УК, которые не имеют лицензии ДУ и не связаны с управлением пенсионных средств. Но и для этих УК требования стандарта НАУФОР мне представляются в настоящее время релевантными. Кстати, требование стандарта НАУФОР по управлению рисками УК ПИФ не дублирует требования 4501-У, хотя пересечение этих требований существенное. Было бы неверно полагать, что требования НАУФОР для УК ПИФ «лайтовые», а требования в рамках 4501-У более жесткие. Тут стоит отметить требование по формированию экстренной отчетности по рискам, которое отсутствует в Указании 4501-У.

- Насколько усложнилась оценка рисков после 2022 года, когда одним из решений регулятора было разрешить не раскрывать часть информации - об эмитентах, в целом по кредитным организациям и так далее?

- Я уже говорил, что после 2022 года к уже имеющимся рискам в деятельности финансовых организаций в России появился спектр дополнительных рисков. Ваш вопрос касается не только о новых нюансах в работе риск-менеджмента, но касается публичной аналитики. Та информация, которая стала закрыта (точнее стала не обязательно открытой), и ранее по большому счету нужна была только узкой группе профессиональных инвесторов. Обычные «физики» с этой информацией чаще всего работать не умеют, даже если у них есть статус квалинвестора, особенно, если они получали его по так называемому имущественному цензу. Когда даже профессиональные аналитики и рисковики не всегда могут досконально разобраться в некоторой информации об эмитенте, контрагенте, а чего же мы хотим от физических лиц, у которых нет специального образования и соответствующих знаний и практики.

В настоящее время в части кредитного анализа участники рынка могут ориентироваться на оценки кредитных рейтинговых агентств. Сейчас в России их четыре штуки. И я могу с уверенностью судить, в том числе, и потому что лично знаю многих работников и даже руководителей кредитных рейтинговых агентств, что сейчас фактическое качество услуг отечественных рейтинговых агентств достаточно высокое. Вот у рейтинговых агентств информации гораздо больше, потому что им эту информацию дают по закону, они ее агрегируют в некие рейтинги, и большинство участников рынка, у которых нет развитой службы риск-менеджмента, вполне могут доверять этим рейтингам. То есть в оценке кредитного риска российских банковских и страховых финансовых институтов, а также по обращаемым на организованных торгах долговым ценным бумагам, можно в настоящее время ориентироваться на кредитные рейтинги от кредитных рейтинговых агентств, не тратить существенных сил на собственные методики оценки кредитного риска (тем более, что для детальной оценки платежеспособности как раз и требуется информация о компании/банке, которой нет в свободном доступе). Скажем так: расточительно иметь инструментарий, которым нельзя пользоваться.

- На правах независимого эксперта расскажите о кредитных рейтингах и о нюансах, связанных с уходом из России в 2022 агентств «большой тройки».

- В моей биографии был момент, когда я работал главным экспертом Центра экономического анализа Интерфакса, на базе которого создано рейтинговое агентство «Интерфакс», и на персоналиях которого впоследствии был создан офис международного рейтингового агентства «Мудис» по России СНГ и Восточной Европе. Так что на заре своей профессиональной деятельности я был связан с индустрией рейтингования, так что объективно понимаю этот бизнес. Но вернемся к нашим баранам.

По моему мнению, в части ориентиров на рейтинги от отечественных кредитных рейтинговых агентств, мы находимся в более привилегированных условиях, чем до событий 2015 года. Тогда было время, когда не всегда можно было доверять кредитным рейтингам: были случаи, когда рейтинги у какого-то банка или компании были достаточно высокие, а на деле там существовали проблемы с платежеспособностью.

Существует определенная точка зрения, что после ухода в мае 2022 года из России агентств «большой тройки» произошли существенные потери данной индустрии, а качество кредитных рейтингов катастрофически упало. Я не согласен с такой точкой зрения, но мое мнение нуждается в пояснении.

Конечно, нельзя игнорировать влияние и роль «большой тройки» международных рейтинговых агентств (S&P, Moody's, Fitch). Начать стоит с того, что лет 12 назад агентства «большой тройки» были несомненным ориентиром для отечественных рейтинговых компаний. К началу 2018 года подавляющее большинство регуляторных требований Банка России к кредитным организациям, НПФ, профучастникам рынка ценных бумаг в части допустимых активов или расчета собственных средств базировалось исключительно на рейтинговых оценках агентств «большой тройки». Эти фирмы задавали определенный уровень бизнес-культуры, принципов, практики, опыта.

- Кстати, их уход из страны в 2022 году на фоне других проблем как будто бы и не очень был заметен.

- Не совсем так. Уход агентств «большой тройки» из России, безусловно, создал некоторые сложности - регулятору срочно пришлось вносить изменения в нормативные акты, а участникам рынка в свои методики, касающиеся анализа кредитного риска, расчета справедливой стоимости активов, регламентов по оценке собственного капитала и так далее. Но такой переход произошел не спонтанно, Россия давно сделала ставку на развитие индустрии отечественных рейтинговых агентств.

На протяжении особенно последних 15 лет отечественная индустрия рейтинговых агентств существенно развивалась. Наибольшие изменения произошли еще к 2018 году, а к 2020 году отечественные рейтинговые агентства АКРА и «Эксперт РА» покрывали существенный сегмент бизнеса. По факту они закрывали потребности отечественных участников долгового рублевого рынка.

- А с чем вы связываете такой весьма успешный подъем отечественных рейтинговых агентств?

- Первое, что стоит отметить, большинство рейтинговых экспертов по России, которые ранее работали в агентствах «большой тройки», остались в России и сейчас работают в отечественных рейтинговых агентствах.

Второе, это особенности имущественного ценза для получения рейтинга от агентств «большой тройки». Агентства «большой тройки» требовали от рейтингуемых групп аудированную финансовую отчетность по международной системе бухучета за последние три года, причем только от топа международных аудиторских фирм. «Без этих аудитов мы вам рейтинг просто не поставим, или поставим, но он будет по самой нижней, бросовой шкале». Это требование для многих российских корпораций до 2022 года было либо невыполнимо, либо достаточно накладным, и не позволяло им получать соответствующие кредитные рейтинги. По сути, услугами агентств «большой тройки» к тому времени пользовались эмитенты валютного долга, чьи валютные долговые обязательства обращались на организованных торгах. Так же рейтинги от «большой тройки» получали дочки иностранных компаний и корпорации, привлекающие иностранные синдицированные кредиты. Для выхода на отечественный рынок долга к тому времени достаточно было наличие кредитных рейтингов от агентств, аккредитованных Банком России. Таким образом, многие российские банки и эмитенты публичного долга были вне процедуры получения кредитных рейтингов от агентств «большой тройки».

Третье, перед своим уходом из России в 2022 году агентства «большой тройки» опустили оценку суверенный кредитный рейтинга России до уровня «дефолт». Это событие сделало невозможным дальнейшее применение на практике рейтинговых оценок от агентств «большой тройки».

Помимо этого, стоит отметить еще одну важную особенность, отличающую рейтинги по внутренней рейтинговой шкале от рейтингов «большой тройки». Отечественная шкала кредитных рейтингов - более частая, более детальная: то есть, там, где у международных рейтинговых агентств один переход, у отечественных агентств - три, и это дает возможность иметь более тонкую настройку анализа, оценки. В самом деле, в свое время диапазон «ВВ-» - «В+» по рейтинговой шкале международных рейтинговых агентств фактически покрывал большинство отечественных банков и корпоративных эмитентов долговых финансовых инструментов. При этом часто, в силу различных методик агентств «большой тройки», разница в этих оценках была минимальная, и для детальной оценки кредитных рисков отечественным участникам долгового рынка приходилось самостоятельно досконально оценивать финансовое состояние банка или эмитента по неоднородной информации. Сейчас же и информация для рейтинговых агентств однородная, и рейтинги затрагивают значительно больше банков и субъектов корпоративного долга, и шкала оценки более детальная. Так что свои плюсы, безусловно, есть.

В дополнение стоит отметить и усиление регуляторных требований Банка России к деятельности рейтинговых агентств. Самые большие изменения в регулировании индустрии рейтинговых агентств в России произошли до 2020 года. ЦБ сейчас очень жестко относится к рейтинговым агентствам и проводит валидацию их методик и валидацию рейтинговых оценок. И, если регулятор выявит, что рейтинги каких-то эмитентов долга необъективно завышены, то сделает очень серьезные оргвыводы, это чревато ликвидацией бизнеса соответствующего агентства.

- Одним из качеств настоящего момента времени является сокращение объема раскрываемой информации. Вот недавно Банк России предложил установить лимит концентрации на одного эмитента, и встал вопрос - как отслеживать данные?

- В отношении концентрации на группу связанных лиц - это требование было для НПФ еще в 2015 году, в отношении ПИФ оно до сих пор отсутствует. В отношении концентрации на одного эмитента требование было и ранее. Для пенсионной индустрии эти ограничения больше упираются в вопросы емкости рынка финансовых инструментов для размеров некоторых крупных НПФ. Скажем так, для НПФ с активами 1 трлн рублей очень сложно подобрать 20 несвязанных между собой эмитентов ценных бумаг так, чтобы для НПФ (с учетом размера его инвестиционного портфеля) рынок этих бумаг имел необходимую емкость для проведения соответствующих транзакций. Поэтому подобному НПФ в значительной части своего инвестиционного портфеля проще иметь дело с рынком ОФЗ (по госдолгу отсутствуют соответствующие ограничения на долю в портфеле). Так что вопрос, который вы задали, это не про отсутствие информации, а о другом - недостаточной емкости рынка соответствующих ценных бумаг.

Вопрос закрытости определенной информации тоже стоит, но он несколько об ином. Скорее он актуален для публичной аналитики. Аналитики, делающие на регулярной основе срезы российского рынка акций и облигаций, сейчас не всегда обладают чувствительной информацией, которая могла бы влиять на ценовые колебания рынков на коротком горизонте времени - в неделю-месяц. Как правило, подобная информация сейчас попадает либо под разряд гостайны/коммерческой тайны, либо относится к инсайдерской информации. Таким образом, наличие подобной информации и оперирование ей уже затруднительно. К тому же ее наличие ограничивает и действия самого участника рынка, и возможность применения подобной информации в публичной аналитике. В настоящее время соответствующая информация не может быть публично озвучена в силу определенных причин. К тому же и наличие «инсайда» вынуждает его обладателя отчитываться по инсайдерским сделкам - попадает под призму