Kockázati önértékelés és forgatókönyv-elemzés

A kockázati önértékelés és a forgatókönyv-elemzés nem tökéletes szinonimái egymásnak, mégis sokszor – nem meglepően - azonos értelemben, hasonló értelmezésben használják ezeket. A terület összefoglalásáról igen jó cikk olvasható a Hitelintézeti Szemlében.

A kockázati önértékelés (self risk assessment - SRA) során az intézmény vezetői, dolgozói feltárják a lehetséges kockázati tényezőket, és megbecsülik ezek várható veszteségét. A forgatókönyv-elemzés lehet ennek egy speciális formája, mely során elsősorban a súlyos események hatásait igyekeznek meghatározni. A forgatókönyv-elemzések során ezek az események meghatározása mellett vizsgálják ezek okát (így megelőzhetőek), illetve lehetséges kimeneteleit (így kezelési lehetőségeket állapítanak meg. A forgatókönyvek elemzése segít feltárni a sebezhető területeket, és megbecsülni a kockázatok várható, illetve maximális értékét. Megjegyzendő, hogy a forgatókönyv-elemzés is egyfajta önértékelésnek tekinthető.

A forgatókönyv elemzés során elterjedt elemzési segítség a Fault Tree Analysis, mely során az egyes tevékenységek, szolgáltatások hátterét tárhatjuk fel: mivel a bevételek elsősorban bizonyos szolgáltatások végrehajtásából származnak, ezért ez a módszer segít az ezeket akadályozó kockázatok, veszélyeztetett elemek azonosításában.

Ezekben az esetekben arra kell törekednünk, hogy mind a kockázatokat, mind a várható (és nem várható) veszteségeket azok állapítsák meg, akik leginkább érintettek. Ebből adódóan a kockázatok azonosítás, illetve azok értékelése nem feltétlenül kerül egyszerre megállapításra (bár lehet workshop-okat szervezni az együttes értelmezés érdekében. Például egy informatikai kockázatot valószínűleg a legjobban az informatikusok tudnak azonosítani, de a kapcsolódó veszteséget már az érintett üzletág(ak) jobban fogja becsülni.

A kockázatok azonosításának egyik lehetősége a szervezet folyamatainak feltérképezése, és az egyes tevékenységekhez kapcsolódó kockázatok azonosítása. Ez a megközelítés lehetővé teszi, hogy a közvetlenül kapcsolódó kockázatok könnyed azonosíthatóak legyenek, a folyamatokat mintegy sorvezetőként használva. Természetesen léteznek olyan működési kockázatok, melyek nem csak egy tevékenységhez, vagy folyamathoz köthetőek.

A további kockázatok azonosításához az vizsgált területek szakértőivel és vezetőivel folytatott strukturált megbeszélések szükségesek.

Az önértékelés, forgatókönyv-elemzés – bármilyen pontos is legyen – becslés eredménye. Éppen ezért szükséges a körültekintő alkalmazás, illetve az eredmények megbízhatóságának érdekében a független kockázatkezelő szakértők mellett akár a belső ellenőrzés bevonása is indokolt lehet.

Az ellenőrzés történhet a meglévő tényadatokkal való összevetés segítségével is, de ezen adatok esetében eleve probléma a teljesség hiánya, illetve az, hogy nem veszik figyelembe az esetleges szervezeti, vagy környezeti változásokat.

A becslések folyamán problémát jelenthet, ha a szakértők nem képesek becsülni: ismerik a kockázatokat, de nem tudják meghatározni azok várható veszteségét. Ilyenkor elfogadott külső adatokra, benchmarkok-ra támaszkodni, persze a szokásos fenntartásokkal.

A kockázati önértékelés és forgatókönyv-elemzés elsősorban abban segít, hogy segít feltárni a szervezetben a kockázatok okait is, a veszteségeloszlások mellett. Sok esetben a veszteségeloszlás alapú megközelítések nem is igazán vezetnek eredményre, mivel sokszor nem áll elégséges múltbeli adat rendelkezésre.

A folyamat alapú kockázatfelmérés arra is lehetőséget ad, hogy a vizsgált kockázatokhoz kapcsolódóan a folyamatokba kontrollpontokat, vagy ellenintézkedéseket illesszünk be.

Működési kockázatok egyedi jellemzői

A működési kockázatok nem válaszhatóak el a bank működésétől, megvalósított stratégiájától, illetve más kockázataitól. A működési kockázatok minden folyamatban, tevékenységben jelen vannak, és ezen folyamatok változtatásával változik a kapcsolódó működési kockázat is. A McKinsey tapasztalatai szerint a működési kockázatok kezelésével jobb eredmény érhető el, mint a folyamatok költséghatékonysági átszervezésével.

A működési kockázatokból származó veszteség a bankok esetében átlagosan 4-5%-a a szervezet nettó árbevételének. És ez a statisztika csak a nyilvánosságra hozott adatokon alapul, mely így alacsonyabb (akár jóval alacsonyabb), mint a valóságos értékek. Arról nem is beszélve, hogy ezek a kockázati események az azonnali veszteségen túl megjelennek a részvényárfolyamban is: a működési kockázatok felmerülése kihatással van egy vállalat reputációjára, jóhírére, és így közvetett módon is okozhat veszteséget.

A McKinsey tanulmánya rámutat, hogy a bankok gyakorlatában elsősorban a működési kockázatok értékelésére (és tőkefedezet képzésére) koncentrálnak, míg a kockázatkezelés, és így a kockázati érték csökkentése kevesebb figyelmet kap. Így a kockázati területek azonosítása, azok szisztematikus feltárása és a kockázati okok megszüntetése csak kevés helyen jelent működő gyakorlatot.

(McKinsey)

Ráadásul a kockázatok azonosítása és kezelése során elsősorban a jól megfogható (hard) tényezőkre koncentrálnak, míg a puhább (soft) tényezőkkel nem foglalkoznak. Való igaz, hogy egy szervezeti kultúrával, egy dolgozói motivációval sokkal nehezebb megküzdeni, sőt hosszabb időbe is telik, mint mondjuk egy szervernek a backup hátterét létrehozni. Ugyanakkor a puha tényezők azonosításával és fejlesztésével nem csak hosszabb távú (tartósabb), de nagyobb mértékű eredmény is érhető el.

Míg a piaci, vagy hitelezési kockázatok viszonylag jól becsülhetőek múltbéli adatokból (akár saját adatbázisból is), addig a működési kockázatok felmerülése sokkal bizonytalanabb, kiszámíthatatlanabb, és a múltbéli események relevanciája sokkal gyengébb.

Tovább nehezíti a helyzetet, hogy a működési kockázatok minden tevékenység (mind az alap, mind a támogató folyamatok) részét képezik, és az intézményeknek minden területtel foglalkoznia kell (persze a priorizálás minden esetben segít).

„Képzeljünk egy bankot, mely dinamikusan növekszik, és évente 300 új termékkel/szolgáltatással jelentkezik. Ez azzal járt együtt, hogy az üzletkötőknek hiányos ismeretei voltak a termékekről, mégis az ő felelősségük volt a szerződési feltételek elbírálása, illetve az ügyfeleknek a tájékoztatás megadása. Ez persze növelte a kockázatokat a szolgáltatások, illetve az ügyfélelégedettség / ügyfélpanaszok tekintetében.”

Ebben az esetben a vezetők nem ismerték fel időben a tudás és tapasztalatok hiányának kockázatát. Ha felismerték volna ezt a kockázatot, akkor szervezhettek volna oktatást, készíthettek volna támogató informatikai rendszereket (melyek megmutatják a feltételek, vagy segítik a szerződéskötést), vagy akár lehetett volna a termékportfóliót is jobban fókuszálni, vagy az üzletkötőket csoportokra bontani. Összességében a kockázat kezelésére, és erős csökkentésére számtalan lehetőség rendelkezésre állna, ha a kockázat ismert lenne.

A működési kockázatok egyik előidézői maguk a dolgozók. Például egy túlhajtott szervezeti működés esetén a dolgozók figyelmetlenebbé válnak, könnyebben vállalják a kockázatokat. De lehet kockázati ok egy olyan szervezeti kultúra is, ahol az előírások, szabályok tisztelete nem érték.

Folyamat alapú kockázatelemzés, avagy: jobb félni, mint megijedni.

A kockázatokat folyamatok mentén érdemes vizsgálni, ennek a megközelítésnek bizonyos elemeit igyekszem most bemutatni, a kapcsolódási pontokkal. Persze egy ilyen bejegyzés biztos, hogy nem lesz teljes, de idővel folytatom.

A kockázatok kezelésének feltétele, hogy a kockázatok azonosíthatóak legyenek. A kockázatok elemzésének egyik lehetősége a szervezet folyamatainak felmérése. Mivel a szervezeti folyamatok több szervezeti részleg bevonásával kerülnek végrehajtásra, ezért a kockázatok gyakran kevésbé láthatóak. A szervezeti egységek közötti funkcionális függőségi viszonyok lehetnek, de a folyamatok feltárásával azonosíthatóvá vállnak mind az érintett szervezeti egységek, mind az emberek, mind pedig a felhasználandó technológiai megoldások. A folyamatok (és tevékenységek) azonosítása lehetővé teszi a forgatókönyvelemzést, azaz annak vizsgálatát, hogy mi romolhat el, hol mehet valami félre (emlékezzünk Murphy aranyszabályára: ami elromolhat, az el is romlik)?

A forgatókönyvelemzés folyamán támaszkodhatunk múltbéli adatokra, illetve a tevékenységek alapján feltárhatunk új kockázatokat is.

Az adatok hiánya nem jelenti feltétlenül a kockázatok hiányát.

A kockázatok felmérése így két nagyobb megközelítés együttes alkalmazását követelheti meg:

• A top-down megközelítés elsősorban a kockázatok múltbéli (külső és belső) adatokon alapuló értékelése szerint halad, mely feltételezi, hogy csak a múltbéli jelenségek ismétlődnek.
• A bottom-up megközelítés felméri a lehetséges kockázatokat (folyamatalapú, és forgatókönyv alapú megközelítések), de ezek azonosítás sokszor szubjektívnek tekinthető, és szakértői becslések által meghatározott. Ugyanakkor ez a módszer nagyobb teret ad a kockázatok kezelésének azáltal, hogy a kockázati okok pontosabban azonosíthatóak.

Sok esetben a folyamatalapú elemzés során feltárt kockázatokra nincsen múltbéli adatunk, ezért gondolhatnánk azt is, hogy a feltárt kockázat szervezetünk esetében nem releváns. Tipikusan a ritkán jelentkező, de nagy hatású kockázatok esetében hajlamosak a szervezetek arra, hogy ne foglalkozzanak a lehetséges kockázatokkal (itt hadd idézzem egy informatikai vezető mondását: „minden rendszerünk folyamatosan jól, és megbízhatóan működik, nincs szükségünk megelőző intézkedésekre a működés fenntartása érdekében”). Ez a hozzáállás akár jelentős veszteségeket is okozhat, ha egy adott szervezet nem elemezte kellőképpen a lehetséges kockázatokat, illetve azok hatását. Ez sokszor elpocsékolt pénznek tűnik (beleöltük az időt és energiát, és mégsem jelentkezett a kockázat), de hogy néhány közhelyszerű dolgot megemlítsek: jobb félni, mint megijedni, illetve ha az ember esernyőt visz magával nem esik az eső.

Eszembe jut a y2k problémakör (2000. év problémája) kapcsán a vállalatok viselkedése. Az 1998-99 évek folyamán több informatikai tanácsadó cég is igen jól megélt abból, hogy a különböző vállalatokat felkészítették a 2000. év eljövetelére, amikor bizonyos régebbi rendszerek várhatóan leálltak volna. Eljött a 2000. év, és igazából nem történt semmi (bát láttam egy B kategóriás katasztrófafilmet a témában, ahol majdnem robbant egy atomerőmű). Nagyon sok vállalatvezető felháborodott, hogy az egész csak a tanácsadói ipar nagy hülyítése volt, hogy mindenki ész nélkül költse a pénzét. A tanácsadók pedig széttárták a kezüket, és büszkén hirdették: „Jó munkát végeztünk”. Ez persze egy olyan kockázati kategória volt, melyre nem állt rendelkezésre benchmark, ugyanakkor ismerni lehetett a kockázat létezését. Így utólag tehát nehéz igazságot tenni, hogy csak a tanácsadói szektor jó marketingmunkájáról, vagy valós kockázatelhárításról volt szó. Hogy megvédjem a tanácsadókat meg kell említeni, hogy különösen a pénzügyi alkalmazások esetében sok nem 2000. év kompatibilis megoldás is volt, melyeket ki kellett szűrni. De hogy hozzak ellenpéldát a másik oldalról is: egy telekommunikációs cég esetében a tanácsadók még a fénymásolókat is felmérték, hogy 2000. év kompatibilisek-e, bár ezen eszközök nem voltak éppen üzletmenet kritikusak (bár az elvárások között szerepelt a teljességi vizsgálat szükségessége).

A folyamat alapú megközelítés lehetővé teszi, hogy ne csak múltbéli kockázatokra keressünk adatokat, hanem olyan kockázatokat is számba vegyünk, melyek még nem fordultak elő szervezetünk esetében. Az ilyen kockázatok felmérésére és kezelésére elsősorban a külső adatbázisokból származó adatokat (benchmark) szokták felhasználni. Külső adatok felhasználását az intézményeknek indokolnia kell, illetve a felhasználáshoz kapcsolódó megfontolásokat évente független szakértőnek kell értékelnie. A felhasználás és megbízhatóság kérdése azért is érdekes lehet, mivel több adatbázis is rendelkezésre áll a különböző kockázatokból adódó veszteségek gyűjtésére, és azok tartalma sokszor eltérést mutat. Így érdemes szűrni az adatokat azok relevanciája alapján, illetve vizsgálni azt, hogy a kockázati kategóriák, vagy üzletágak alatt ugyanazt értjük-e, mint az adatbázis üzemeltetői. Célszerű olyan külső adatokat használni, melyek követik a CRD (Capital Requirements Directive) 7x8-as mátrixot eredményező veszteség és üzletágstruktúráját.

Az eloszlásokra alapuló modellek hasznos kiegészítői a folyamat alapú megközelítésnek, illetve az eloszlásokra alapuló megközelítéseket a feltárt kockázati lehetőséggel lehet kiegészíteni. Így a két megközelítés együttes használata lehet a legjobb (bár egyben a legkomplexebb) megoldás. Ezt a megközelítést a szakirodalom Hybrid Measurement Approach-nak (HMA) nevezi, és természetesen csak a fejlett mérési módszert alkalmazó bankok használhatják.

Előrejelzések

A folyamatalapú megközelítés hozzájárul a kockázatokra vonatkozó indikátorrendszer meghatározásához is. A folyamatokhoz, illetve az ott megjelenő kockázatokhoz kulcs kockázati indikátorokat (Key Risk Indicators – KRI) rendelhetünk, melyek változásával, illetve figyelembevételével becsülhetjük a kockázatokat. Pl: ATM rablások, munkaerő fluktuáció aránya, ügyfélpanaszok száma, szolgáltatások rendelkezésre állása

Ezen indikátorok mintegy füstérzékelőként működnek: jelzik a füstöt, de nem tudjuk, hogy ég az épület, vagy pedig csak odaégett a kenyér a pirítóban? Ennek kiderítése mindig külön vizsgálatot igényel, de „jobb félni, mint megijedni”. Mindenesetre akkor van csak lehetőségünk a kockázatok felmérésére és kezelésére, ha tisztában vagyunk az üzleti folyamatokkal és azok összefüggésrendszerével.

Ebből következően egy adott indikátor többféle kockázatot is előre jelezhet, illetve az indikátorokat nem egyesével, hanem azok együttesének elemzésével szükséges értelmezni.

Megjegyzendő, hogy a kulcs kockázati indikátorok előrejelző képessége (mely véges) nem biztos, hogy minden kockázatot megfelelően lefed. Ne ringassuk magunkat abba a hitbe, hogy az indikátorok kialakításával kezeltük is a kockázatokat: egyrészről a teljesség sok esetben kérdéses, másrészről a működés, és ezzel együtt a kockázatok is változhatnak. Ugyanakkor a kulcs kockázati indikátorok használata nagy mértékben javíthatja a szervezetek kockázatkezelési lehetőségeit.

Működési kockázati kategóriák kialakítása

Ahogy már korábban bemutattam, a működési kockázatokra hét veszteségkategóriát szokás kialakítani, és az egyes kockázatokat a pénzügyi szervezetek esetében nyolc üzletág szerint szokás értelmezni. Így összesen akár 56 csoportot is kialakíthatunk.

Ha nem csak becsülni, hanem kezelni is szándékozunk a kockázatokat, akkor szükséges a kockázatok okainak is a vizsgálata, ami a gyakorlatban azt jelenti, hogy minden egyes osztály esetében szükséges értelmezni a folyamatokban rejlő, emberi, technológiai, illetve a külső környezet kockázatait.

Problémát jelenthet, hogy egy esemény akár több kategóriát (üzleti és veszteség) is érinthet. Ebben az esetben a veszteségek nyilvántartása, illetve az erre épülő számítások már meglehetősen bonyolulttá válnak, ezért elengedhetetlen a kockázatok nyomon követésére az informatikai megoldások használata.

További problémát jelent (ami egy pénzintézet szempontjából inkább örömteli dolog), hogy a kockázati események alacsony száma miatt kevés adat áll rendelkezésre. A 7x8-as mátrix egyes osztályaiban már a néhány tucat esemény is kiemelkedő lehet, de sokszor egy-egy ilyen osztályba egyetlen esemény sem jut. Habár ez azt jelenti, hogy a pénzintézet viszonylag biztonságban van, kockázatkezelés szempontjából nem jelent elégséges alapadatot.A probléma kiküszöbölése érdekében érdemes egyes veszteség, vagy üzleti kategóriákat összevonni, és így nagyobb kockázati osztályokat kialakítani. Megjegyzendő, hogy míg a veszteségkategóriák összevonása torzíthatja a veszteség-eloszlási elvárásainkat (és így a modellépítést), addig az üzletágankénti összevonás esetében az ilyen problémákkal kevésbé kell szembesülni.

A statisztikai eszközök alkalmazása ellenére ugyanakkor a folyamatalapú kockázatértékelést sokkal inkább üzletágakhoz, mintsem veszteségkategóriákhoz lehet kötni. Ebben az esetben a folyamatokhoz feltárásával jobban elemezhetővé válnak a kockázatok okai, így nagyobb lehetőség nyílik azok kezelésére.

Az összevonások során tehát már döntéshelyzetbe kerülünk a tekintetben, hogy a statisztikai alapú, a kockázatértékelésnek nagyobb lehetőségeket nyújtó megközelítés, vagy pedig a folyamat alapú, és így a kockázat kezelésének nagyobb teret adó megközelítés irányába fordítjuk gyakorlatunkat. A szabályozási elvárások miatt a pénzintézetek rövid távon inkább a statisztikai alapú megközelítés irányába indultak el (kockázat értékelése), míg a tényleges kockázatkezelés inkább hosszabb távú gyakorlat lehet.

A kategóriák kialakítása esetében legfontosabb annak szem előtt tartása (és ez nem csak a működési kockázatokra igaz), hogy ne lőjünk ágyúval verébre, azaz a fejlett megközelítéseket csak akkor használjuk, ha biztosítható, hogy egy adott osztályban rendelkezésre fog állni a statisztikai elemzésekhez szükséges adatmennyiség.

Pénzintézetek operatív kockázatai

A pénzintézetek számára mérvadó Basel II ajánlásrendszer 2004-es publikálása, annak 2006-2007 folyamán történő európai elfogadása óta a pénzintézetek egyre nagyobb figyelmet fordítanak a tevékenységükhöz kapcsolódó kockázatok azonosítására, mérésére és kezelésére. Persze nem csak a szabályozási környezet kényszeríti ki ezen elvek alkalmazását, hanem a pénzügyi piacok globalizációja, illetve azon csalások, melyek a pénzintézeteknek jelentős károkat okoznak. Gondoljunk csak a közelmúlt Société Générale csalására, amikor is 4,9 milliárd euró veszett el egy alkalmazott szabálytalan tranzakciói miatt.

A Basel II direktíva a kockázatkezelés és a pénzintézeti tőkemegfelelés kérdéskörét igyekszik az iparági legjobb gyakorlatok felhasználásával segíteni. A kockázatkezelési portfolióban meg kell különböztetnünk a működési, hitelezési és üzleti kockázatokat. Míg a hitelezési kockázatok kezelésére vonatkozólag jelentős tapasztalat áll rendelkezésre, addig a Basel II megközelítésében is újdonság, hogy a működési (operatív) kockázatok külön kerülnek kezelésre.

Az operatív kockázatok között a hagyományos PPT modell (people, process, technology) elemei mellett szerepet kap a külső környezet fenyegetése is.

Bár a Basel II megközelítésében a működési kockázat elválik a hitelezési és piaci kockázattól, a működési kockázatok mégis minden pénzintézeti tevékenység (így pl. a hitelezési folyamatok) részét képezhetik. Miközben a működési kockázatok a végrehajtási szintet vizsgálják, addig a más kockázatok a piaci, vagy ügyfélkörhöz kapcsolódó bizonytalanságokkal számolnak. Így a működési kockázatok elemzése és kezelése jelentős mértékben kiegészíti más kockázatok elemzését.

A működési kockázatok kezelését érdemes folyamatmodell mentén végezni: a pénzintézeti folyamatok feltérképezésével nem csak a sebezhető pontok (informatikai rendszerek, szabályozási hiányosságok) azonosíthatóak, hanem a folyamat maga is racionalizálható, ellenőrzési pontok beiktatásával biztonságosabbá, ugyanakkor hatékonyabbá is tehető. A folyamatrendszer kezelésének automatizálásával, illetve az egyes tevékenységekhez kapcsolódó adatok elemzésével a kockázatok (és hibák) könnyen azonosíthatóvá, így kezelhetővé válnak.

Megjegyzendő, hogy egy működési kockázatokat kezelő rendszer kiépítése korán sem egyszerű, és koránt sem gyors folyamat. A pénzintézetek legtöbb esetben tanácsadó cégek segítségét veszik igénybe, hogy kiépítsék ezt a rendszert. Ez elég racionális döntés, mivel a szakértőket elég bérbevenniük, mintsem állományba.

Az IT Business 2008. 7. számában jelent meg egy cikk, mely a tanácsadók szükségességéről értekezik. Ebben Szalkai Gergely a Credigen IT vezetőjének véleménye szerint "nagyobb, profilt vagy a működést technológiai szempontból is érintő változás esetén kell tanácsadóhoz fordulni segítségért". A pénzintézetek esetében arról van szó, hogy olyan új kockázati terület kezelését kell megoldani, mellyel eddig nem foglalkoztak, sőt nem is igazán kívántak foglalkozni.

Ugyanakkor tanácsadók alkalmazása kihívást is jelent: egy pénzintézet érdeke, hogy életképes kilépési (exit) stratégiával rendelkezzen egy ilyen projekt esetében is: a projekt folyamán a pénzintézetben ki kell jelölni a kockázatmenedzsment felelőseit, és az ő aktív bevonásukkal kell végrehajtani a projektet. A projektfolyamat során a tanácsadók által alkalmazott módszereket, megközelítéseket át kell venniük, majd a projekt lezárulta után alkalmazni.

A már említett IT Business cikkben Futó Iván, a Budapesti Corvinus Egyetem professzora úgy vélekedik, hogy "a projekt során erőteljesen törekedni kellene arra, hogy a belső munkatársak mindazt a tudást megszerezzék, amelylyel a működtetést és az esetleges későbbi módosításokat már külső támogatás nélkül is el tudják végezni. Amennyiben erre nincs mód, akkor azonban már áttévedünk az outsourcing területére."