Александр Баранов, №4

Интервью

Талант художника может прорваться даже сквозь профессию контролера и риск-менеджера

Эффективное управление рисками на финансовом рынке строится на нескольких базовых принципах, среди которых объективное понимание всей цепочки возможных угроз достижения цели. Однако правильное целеполагание и внутренняя готовность могут стать трамплином к достижению целей и в совершенно иных сферах.

Александр Баранов - опытный специалист в области управления рисками и внутреннего контроля, в прошлом финансовый аналитик и управляющий активами, участник многих проектов в области рынка ценных бумаг, совершенно неожиданно открывшийся как художник. Мы встретились в галерее «Антифон», где прошла первая выставка картин Александра, поговорили не только о творчестве, но и его видении на российскую систему внутреннего контроля и управления рисками, а также особенностей деятельности рейтинговых агентств.

- Александр, как вы оцениваете уровень развития риск-менеджмента в компаниях российского фондового рынка на современном этапе?

- Позвольте я сделаю сначала небольшой исторический экскурс по теме внедрения риск-менеджмента в России, а потом поговорим о текущем моменте и отдельных нюансах.

- Давайте.

- За последние десять лет регуляторные требования в России в отношении управления рисками для некредитных финансовых организаций претерпели качественные изменения. Начать стоит с того, что еще 10 лет назад регуляторные требования в части управления рисками отсутствовали во всем небанковском секторе. Наличие риск-менеджмента в банках тогда было законодательным требованием, а другие бизнес-организации подобные нормативные требования не затрагивали. В то время внедрение систем управления рисками в небанковской сфере было продиктовано исключительно желанием топ-менеджмента и иногда бенефициаров компаний. Причем это не было продиктовано какой-то модой, а больше было вызвано бизнес-необходимостью. Отдельно стоит выделить «дочерние» компании иностранных банков и корпораций: там в большинстве своем требование к созданию системы риск-менеджмента исходило от иностранного акционера.

Своеобразным катализатором для внедрения и совершенствования управления рисками в России стал финансовый кризис 2008 года. Второй этап развития риск-менеджмента в России был связал с тем, что Банк России стал мегорегулятором на всем отечественном финансовом секторе и решил расширить некие требования для банковского сегмента на НФО. Мне довелось быть внутри этих событий, поскольку в 2009-2010 годах я своими руками создавал систему управления рисками в НПФ «БЛАГОСОСТОЯНИЕ», когда еще не было соответствующих регуляторных требований, и, кстати, часть наших наработок по управлению рисками были использованы регулятором при создании обязательных нормативных требования для индустрии негосударственных пенсионных фондов.

- А в чем состоят, по-вашему, основные принципы риск-менеджмента в отечественной финансовой индустрии?

- Правильное управление рисками строится на нескольких базовых принципах. Одним из них - описание «контрольной среды». Осознанный, а не формальный риск-менеджмент на уровне компании - это неотъемлемая часть ее стратегического развития. Чтобы правильно определять цели и задачи, необходимо объективное описание текущего положения компании, скажем «карта уязвимостей, угроз» или, выражаясь языком риск-менеджмента, «карта рисков». При этом без правдивого описания текущей ситуации, той точки, в которой находится бизнес-компании и окружающей ее бизнес-среды невозможно объективно говорить о рисках. Российский бизнес и экономика страны в последние четыре года лет находятся в нетипичной для себя ситуации, по сути, то, что мы видим это затянувшийся стресс-тест. По сути, реализовалась целая цепочка, а вернее даже совокупность различных видов рисков: трансграничных, финансовых, социальных, технологических, которые ранее не были характерны для нашей страны. То есть, к уже имеющейся совокупности рисков российского бизнеса добавился новый спектр различных рисков. Компании финансового сектора в своей деятельности объективно обязаны учитывать эти реалии. Я сейчас имею в виду страновые риски отечественного бизнеса, которые непосредственно влияют на правовую среду, инвестиционные ресурсы, финансовые продукты и услуги, инфраструктуру, клиентскую базу и т. д.

Но спустимся с макроуровня на микроуровень компании финансового сектора и поговорим непосредственно о системе внутреннего контроля и управления рисками. Для наглядности рассмотрим такой образ: у нас есть карта, на ней помечена некая финальная или промежуточная цель - точка на карте, к которой необходимо прийти. Чтобы достигнуть этой цели, необходимо правильно определить начальные координаты, откуда мы начинаем движение, и иметь объективное знание об окружающем ландшафте, и адекватную оценку возможных угроз по пути движения. Перейдем от данной иллюстрации к корпоративной практике - типичная компания отечественного финансового сектора нуждается в правильной диагностике текущего состояния и выявлении угроз, препятствующих реализации стратегии компании. В настоящее время с точки зрения инвестиционной индустрии такой системный подход мне представляется более правильным, чем только формальное выполнение регуляторных требований. При этом вопрос об обязательном исполнении не обсуждается - это, само собой, юридическая необходимость.

- Как правильно расставить эти «точки рисков»?

- Вообще, с точки зрения стандартов COSO¹, термин «риск» на уровне компании означает реализацию события не достижения планируемой (заданной) цели, цели бизнес-процесса, цели инвестиционного проекта, цели направления деятельности и т. д. Данная трактовка риска более общая чем ISO-шная: «риск - это комбинация вероятности события и его последствий» (ISO/IEC Guide 73). Соответственно, управление рисками - процесс, которым определяется и оправдывается набор предупредительных мер, для обеспечения выполнения плана с учетом приемлемого уровня затрат и безопасности. Это анализ, планирование, реализация мер, контроль и корректирующие действия. В общем, управление рисками и внутренний контроль в своей деятельности объективно взаимосвязаны. Риск-менеджмент в своей деятельности содержит функции контроля, а внутренний контроль в новой парадигме содержит функции управления регуляторными рисками. Такой подход сейчас имплементирован Банком России (в рамках 180-го информационного письма от 24.12.2020² и нормативных актов - Указаний Банка России 4501-У³ и 5683-У⁴). А лет 20 назад в российской практике к рискам относились исключительно как к ожидаемым потерям, умноженным на вероятность их получения (классический базельский подход для оценки рисков для кредитных организаций).

Еще до кризиса 2008 года в мировой практике недостижение цели тоже стало объектом внимания риск-менеджмента корпоративного сектора. Банковская практика все же больший упор в управления рисками делала на требованиями базельского подхода. Базельские требования связаны с поддержанием капитала в размере не менее 8% от суммы рисков (определенных в соответствующем базельском соглашении), взвешенных по активам. По сути, недополучение результата стали воспринимать как обобщенную реализацию негативных последствий. Соответственно, в лучших практиках риск-менеджмент работает не только с оценкой возможных убытков и фиксацией реализаций этих рисков, но и с решением проблем недостижения планов. Не имеет смысла противопоставлять два этих подхода, так как реализация убытков представляет собой частный случай недостижения целей.

- Как эти подходы реализованы у нас?

- Российская финансовая индустрия в текущей ситуации вынуждена выбирать между двумя возможностями: экономить на всем, что может прийти в голову (на персонале, бизнес-процессах, технике, технологиях), и/или думать о последствиях и развитии. Первый подход в контексте риск-менеджмента может сводиться исключительно к формальному исполнению требований регулятора по управлению рисками. Такой подход можно назвать минимальной достаточностью. Второй подход помимо выполнения текущих регуляторных требований учитывает будущие регуляторные изменения, а также потребности развития компании. Образно говоря, «минимальная достаточность» - это уровень «удовлетворительно», выполнил регуляторные требования, значит уже «не двойка», можешь работать. А если «двойка», то, как говориться: лицензия на стол и закрытие бизнеса.

В контексте риск-менеджмента опережение текущих регуляторных требований - это нечто большее, чем законодательная необходимость работать в зоне условн