Profesionální risk management v praxi Diskusní seminář, Česká asociace treasury Praha, 25. února 2010

Efektivní systém řízení rizik ve společnosti Vyhodnocení vhodnosti a efektivity existujícího systému řízení rizik Případová studie: benchmarking stavu řízení rizik

Definice rizika Riziko je hrozba, že určité jednání nebo událost negativně ovlivní schopnost instituce naplnit strategii a dosáhnout cílů Riziko je hrozba, že s určitou pravděpodobností dojde k události, jež se liší od předpokládaného stavu či vývoje, přitom: výsledek musí být nejistý (existují alespoň dvě varianty řešení). alespoň jeden z možných výsledků musí být nežádoucí. Riziko má dvě dimenze: Pravděpodobnost Výše dopadu rizika Riziko musí být: Identifikovatelné Hodnotitelné Uchopitelné pro rozhodování o možnostech jeho ošetření

Pojmy z oblasti řízení rizik (1) Řízení rizika – proces identifikace, analyzování, zvládání a finančního pokrývání rizik. Rizikový faktor – činitel, který má přímý vliv na pravděpodobnostní chování určitého jevu nebo jeho hodnoty. Dopad rizika – kvalitativní specifikace důsledků vzniklých působením rizika. Dopad rizika může mít finanční charakter (ocenitelný finanční hodnotou ) nebo nefinanční, obtížně ocenitelný charakter. Ocenění dopadu rizika – určitým, přesně definovaným způsobem ohodnocená potenciální finanční ztráta/zisk vyplývající z působení daného konkrétního rizika. Ošetření rizika – opatření zaměřené na eliminaci nebo snížení dopadu rizika.

Pojmy z oblasti řízení rizik (2) (Celková) riziková expozice – celková potenciální ztráta společnosti spojená s působením konkrétního rizika nebo skupiny rizik v určitém časovém období Klíčové jsou dva parametry, podle kterých můžeme zjistit a řídit přiměřenost celkově podstupovaných rizik… Riziková kapacita společnosti (Risk Capacity) – vyčísluje maximální kritickou událost, kterou společnost dokáže překonat a nemá významný dopad na její dlouhodobou hodnotu Míra averze k riziku (Risk Apetite) – vyjadřuje míru ochoty vlastníka resp. Managementu společnosti akceptovat při plnění svých cílů riziko

Kategorizace rizik Kategorizace rizik - z pohledu řízení rizik účelné seskupení popřípadě hierarchizace rizik podle určitého přístupu, například: podle firemních procesů –- členění rizik podle oblasti/procesu ve skupině, kterých se týká. podle podnikatelských aktivit – členění rizik typických pro podnikání v dané podnikatelské oblasti (tj. působením politických sil, sociálních změn, technologických změn, legislativního rámce, konkurence, substituce, nových hráčů, zákazníků, dodavatelů) podle obecně závazných pravidel – legislativa předepisuje způsob kategorizace rizik (bankovnictví – Basel doporučení) Katalog rizik – strukturovaný přehled rizik kategorizovaný zvoleným způsobem používaný jako základ pro řízení rizik, každé riziko se kvantifikuje z hlediska dopadu a pravděpodobnosti výskytu

Velikost dopadu rizika Velikost dopadu rizika se obvykle vyjadřuje na stupnici, jejíž jednotlivé stupně jsou popsány pomocí kvalitativního nebo kvantitativního vyjádření Významnost vlivu Velikost kritické události Katastrofický Snížení zisku o více než Risk Capacity („RC“) Rozpad klíčových aliancí Závažný a trvalý dopad na podnikání společnosti Vysoký Snížení zisku o 75 - 100 % RC Významný dopad na image firmy Ohrožení klíčových aliancí Vyřešení problému vyžaduje zásah vrcholového vedení a představenstva Střední Snížení zisku o 50 – 75 % RC. Vztahy s klienty budou krátkodobě narušeny Vztahy s finančními institucemi se mohou zhoršit Řešení situace vyžaduje účast středního a vyššího vedení společnosti Nízký Snížení zisku o 25 – 50 % RC. Za normálních okolností bez trvalých následků Existuje možnost vlivu na tržní podíl a hodnotu značky Řešení v kompetenci středního managementu Nevýznamný Snížení zisku o méně než 25 % RC. Bez dopadu na vztahy s klienty Bez dopadu na hodnotu značky Řešení v kompetenci nižšího managementu a zaměstnanců

Pravděpodobnost výskytu rizika Pravděpodobnost výskytu rizika se obvykle vyjadřuje na stupnici, jejíž jednotlivé stupně jsou určeny pomocí kvalitativního, ale kvantitativního vyjádření Událost Symptomy „Očekává se, že k události ve většině případů dojde (že situace nastane).“ Situace se v dané nebo podobné společnosti téměř každoročně opakuje. Téměř jistá „Lze předpokládat, že k události ve většině případů dojde (že situace nastane).“ V dané či podobné společnosti situace již nastala a zřejmě se bude opakovat. Velmi pravděpodobná „K události by pravděpodobně mělo dojít (situace by měla nastat).“ Situace tohoto typu ve společnosti již dříve nastala. Možná „K události by mohlo dojít (situace by mohla nastat).“ Situace tohoto typu ve společnosti ještě nenastala, ale z obdobných společností je známá. Nepravděpodobná „K události by mohlo dojít za velmi výjimečných okolností (situace by mohla překvapivě nastat).“ Událost se za posledních 10 let nevyskytla v dané ani v podobných společnostech. Téměř vyloučená

Hodnocení hrozby rizik Velikost hrozby rizik se klasifikuje jako nízká, střední nebo vysoká na základě matice zobrazující pravděpodobnost výskytu a velikosti dopadu rizika

Přístupy k ošetření rizik Ošetření rizik, jehož cílem je snížit velikost dopadu a / nebo pravděpodobnost výskytu rizika, se provádí pomocí několika přístupů nebo jejich kombinací

Kterými riziky se zabývat a proč? Při zvažování jakými riziky se bude vedení společnosti zabývat, hrají roli zejména následující faktory… Frekvence výskytu rizikové události Potenciální dopad rizika na společnost Schopnost vyčíslit riziko a efektivně jej řídit Náklady spojené se zavedením systému řízení rizik

Cíle systému řízení rizik Pravidelným monitoringem hrozících rizik a jejich vhodným ošetřením předcházet finančním ztrátám společnosti a optimalizovat profil riziko vs.výnos v rámci stanovené strategie společnosti. Obecné podnikatelské cíle Cíle řízení rizik ve společnosti Zajistit splnění cílů návratnosti vloženého kapitálu pro vlastníka/y (EBIT) Zajistit běžný provoz / výrobu v souladu s podnikatelským plánem Identifikovat a ošetřit rizika, která ohrožují realizaci podnikatelského plánu Průběžně optimalizovat profil riziko vs.výnos v rámci zvolené strategie (CFaR, VaR)

Strategie řízení rizik – nastavení maximální přípustné ztráty Pro základní nastavení strategie řízení rizik ve společnosti je klíčová parametrizace celého systému. Tu obvykle provádíme nastavením maximální přípustné ztráty, kterou vlastník resp. management akceptuje… Klíčové jsou dva parametry, podle kterých můžeme zjistit a řídit přiměřenost celkově podstupovaných rizik… Riziková kapacita společnosti (Risk Capacity) – vyčísluje maximální kritickou událost, kterou společnost dokáže překonat a nemá významný dopad na její dlouhodobou hodnotu Míra averze k riziku (Risk Apetite) – vyjadřuje míru ochoty vlastníka resp. Managementu společnosti akceptovat při plnění svých cílů riziko

Příklad – alokace celkového limitu pro podstupované riziko Celkový limit (1Y VaR) FX VaR (10 MIO Kč) IR VaR (5 MIO Kč) Kreditní VaR (150 MIO Kč) Komoditní VaR (75 MIO Kč) Kontrakty v CM Investice v CM Nákup materiálu a služeb v CM Úvěry Investice volných zdrojů Kontrakty s protistranami Trading - kontrakty obchod treasury investice

Organizace řízení rizik – osoby a obsazení Představenstvo Schvaluje strategii společnosti Vedení společnosti Exekutivní řízení firmy Schvaluje strategii, metodiky Risk manager Vlastníci rizik Informují Risk managera Implementují opatření Vytváří koncepci řízení rizik Sleduje realizaci opatření Navrhuje nástroje řízení rizik Vedoucí týmů Plní úkoly definované vlastníkem

Systém řízení rizik – nastavení interní komunikace Vlastníci rizik Risk manager Vedení společnosti Odhad maximální očekávané ztráty z konkrétního rizika Vývoj rizika za poslední čtvrtletí Závažné porušení pravidel a překročení limitů Návrh změn způsobu řízení rizika Analýza získaných informací Odhad celkové maximální ztráty Aktualizace katalogu rizik Zanesení do mapy rizik Návrh změny strategie Schválení změn strategie

Obchodování a risk management – separace rolí Front office obchodníci Back office účtárna Middle office Verifikace obchodu a jeho odeslání do back-office (kontrola) Reporting rizika (výkaznictví) Správa position keeping systému (data, produkty) Odpovědnost za správnost a úplnost informací o rizicích Uzavření obchodu Zadání obchodu do position-keeping systému Odpovědnost za dodržení limitů Vypořádání obchodu (platby protistraně) Konfirmace Účtování Odpovědnost za logistiku a kontrolu

Efektivní systém řízení rizik ve společnosti Vyhodnocení vhodnosti a efektivity existujícího systému řízení rizik Případová studie: benchmarking stavu řízení rizik

Řízení rizik jako kulturní změna ve společnosti Zaškolení lidí Metodika, interní procesy, aplikační řešení Organizační zakotvení, oddělení pravomocí Politika řízení rizik navazující na obchodní strategii společnosti Kultura ve společnosti – uvědomění si podstupovaných rizik

Formalizace systému řízení rizik Politika řízení rizik (Risk Management Policy) Manuál řízení rizik (Risk Management Rulebook) Definice toků a dokumentů Definice pravomocí a odpovědností Metodika ocenění rizika včetně výpočtu Value-at-Risk Definice nástrojů řízení rizik (limity, povolené instrumenty a protistrany) Definice reportů (pozice, MTM, VaR, překročení pravidel RM)

Politika řízení rizik Politika řízení rizik obvykle obsahuje… Identifikaci a popis rizik, která společnost podstupuje (odkaz na katalog rizik a mapu rizik) Definice prioritních rizik Nastavení základních pravomocí a odpovědností v rámci společnosti Zřízení útvaru Risk Managementu a jeho pravomocí a odpovědnosti Definice maximální očekávané ztráty za normálních okolností (obvykle v podobě definované Value-at-Risk v Kč) Alokace limitu na jednotlivá rizika (VaR na jednotlivá prioritní rizika, základ pro stanovení objemových limitů risk managerem)

Fáze zavádění systému ERM – Enterprise Risk Management Definice strategie řízení rizik Identifikace rizik Nastavení systému ERM ve společnosti Provádění průběžné aktualizace popisu podstupovaných rizik Kvantifikace klíčových rizik Řízení rizik v souladu se strategií

Zavedení systému ERM / současná situace společnosti Vedení společnosti v současné době čelí následujícím výzvám… Banky vyžadují doložit fungující systém řízení rizik uvnitř společnosti Ve společnosti neexistuje jednotný a úplný seznam podstupovaných rizik Rizika nejsou rozlišena podle příčin a dopadů, pouze slovním popisem Některá klíčová rizika nejsou optimálně ošetřena Chybí metodika stanovení rezerv na technologická rizika Není efektivně řízená cizoměnová pozice

Návrh řešení ERM Pro zlepšení kontroly rizik ze strany managementu společnosti a omezení neočekávaných ztrát z těchto rizik plynoucích je vhodné podniknout následující kroky… Vyhodnocení současného systému fungování řízení rizik včetně kvantifikace hodnot Risk Appetite a Risk Capacity na základě diskuse a vývoje vybraných ukazatelů Rozpad RA a RC na jednotlivé procesy a organizační útvary včetně vytvoření hodnotící stupnice pro stanovení významu rizika a ověření současné rizikové pozice společnosti Identifikace všech podstupovaných rizik a jejich jednoznačný popis (včetně rizikových událostí a jejich dopadů) Vytvoření katalogu rizik na základě definovaných hodnot Risk Apetite a Risk Capacity, identifikace klíčových rizik Definice Politiky řízení rizik společnosti a zavedení interních procedur pro řízení rizik uvnitř společnosti včetně metodiky pro self assessment

Návrh řešení (pokračování) Pro zlepšení kontroly rizik ze strany managementu společnosti a omezení neočekávaných ztrát z těchto rizik plynoucích je vhodné podniknout následující kroky… Vytvoření postupů a algoritmů pro výpočet, monitoring a řízení klíčových rizik společnosti Kvantifikace vybraných rizik na základě definovaných metod Definování požadavků na reporting v oblasti řízení rizik pro statutární orgány společnosti, top management a risk managera Návrh a implementace systémového řešení pro podporu sledování a reportingu podstupovaných rizik Definice akčních plánů pro implementaci nástrojů kvantifikace a ošetření rizik s cílem dosáhnout cílové hodnoty rizika

Finanční rizika – best practice Pro řízení finančních rizik je optimální… Stanovit celkový limit podstupovaného rizika – Value at Risk, Cash Flow at Risk a od nich odvozený limit otevřené pozice Řídit podstupované riziko na denní / týdenní bázi na základě sledování otevřené FX a IR pozice a jejího porovnání s limity Stanovit cíl pro zajišťování finančních rizik (FX a IR) prostřednictvím stanovení cílového kurzu / úrokové sazby („budget rate“) Porovnávat dosažený kurz / sazbu s nastaveným benchmarkem a reportovat P&L

Kreditní rizika – best practice Pro řízení kreditního rizika je optimální… Stanovit celkový limit podstupovaného rizika – Value at Risk a od nich odvozený celkový limit na protistrany Distribuovat celkový limit na jednotlivé protistrany / segmenty protistran Řídit podstupované riziko na denní / týdenní bázi na základě porovnání podstupovaného rizika s limity (a navázat na ně další procesy)

Potenciální cíle řízení rizik Podle zvolené strategie a porovnáním s aktuálním stavem se průběžně nastavují cíle pro řízení jednotlivých klíčových rizik i podstupovaného rizika celkem. Existují následující základní strategie… Snižovat celkové podstupované riziko (napříč firmou nebo se zaměřit na snižování vybraných klíčových rizik – nejvyšších, nejcitlivějších pro vlastníka / management) Zvyšovat podstupované riziko a cílit na vyšší výnos resp.snížení nákladů na ošetření rizik Zachovat celkové riziko, ale lépe jej alokovat s cílem zvýšit výnosnost resp.snížit náklady

Co je cílování rizika? V reálných číslech (CZK) vyjádřená optimální cílová hodnota rizika Cílová hodnota založena na: Reálném dopadu daného rizika do hospodaření společnosti Potenciálním zvýšení výnosu (úspora nákladů na ošetření rizika) Výnos Výnos Výnos X X X X riziko riziko riziko Aktuální hodnota rizika Cílová hodnota rizika Akční plán 29

Efektivní systém řízení rizik ve společnosti Vyhodnocení vhodnosti a efektivity existujícího systému řízení rizik Případová studie: benchmarking stavu řízení rizik

V jakém případě lze konstatovat, že rizika jsou ve společnosti efektivně řízena? Management přijímá rozhodnutí s ohledem na potenciální současná a budoucí rizika Management zná rizikovou pozici pro jednotlivé oblasti rizik Management zná náklady řízení v jednotlivých oblastech rizik Management je pravidelně o stavu rizik informován - je nastaven systém varování Systém řízení rizik je pravidelně revidován

RISK CHECK 2009 Dotazník z oblasti řízení rizik Facility zpracovala internetový dotazník týkající se oblasti řízení rizik ve společnosti Respondenty byli vrcholový manageři z top100 korporací z nefinančního sektoru v ČR Energetika Telekomunikace Stavebnictví … Dotazník zjišťuje stav řízení rizik ze subjektivního pohledu top managerů Dotazování proběhlo v listopadu 2009

Hypotézy pro sestavení dotazníku Na základě zkušeností konzultantů Facility byly definovány následující hypotézy: Respondent se nezabývá finančními dopady rizik Řízení rizik je sice ve společnosti vnímáno, ale je to jen formální a nemá to praktické dopady do řízení Ve firmě chybí komplexní pojetí řízení rizik, nejsou měřena a řízena rizika v jejich souvislostech Operační rizika jsou zanedbávána

Otázka 1 Jak často je na úrovni vrcholového vedení projednávána riziková pozice firmy včetně její finanční kvantifikace? Diskuse: Jak často by měla být na úrovni vrcholového vedení projednávána riziková pozice?

Otázka 2 Kdo je ve společnosti odpovědný za komplexní měření a řízení operačních rizik? Diskuse: Kdo by měl být odpovědný za řízení operačních rizik? Nedochází ke střetu zájmů?

Otázka 3 Jak stanovujete limity rizikové expozice u jednotlivých rizik nebo jejich skupin? Diskuse: Jaký je „správný“ postup pro nastavení limitů rizikové expozice? Má být riziková expozice odvozena od kvantifikace dopadů rizika?

Otázka 4 Jak je promítnuto plnění konkrétních ukazatelů v oblasti řízení rizik do odměňování managementu? Diskuse: Má být plnění ukazatelů promítnuto do odměňování managementu nebo pouze risk managera? Jaké konkrétní ukazatele a jak mohou být promítnuty do odměňování managementu?

Otázka 5 Jakým způsobem ve Vaší společnosti vyhodnocujete přínos realizace opatření v oblasti řízení rizik (je uplatňována "cost benefit analýza" – rozdíl mezi snížením dopadu rizik v porovnání s náklady vynaloženými na jejich ošetření)? Diskuse: Jaké mohou být následky neprovádění cost benefit analýzy? U jakého typu opatření v oblasti RM není vhodné provádět CB analýzu?

Otázka 6 Jak jsou ex post vyhodnocovány rizikové události, které ve společnosti nastaly? Diskuse: Jak nejlépe nastavit reporting rizikových událostí? Jakým způsobem mají být události zaznamenávány a vyhodnocovány?

Otázka 7 Znáte výši ztráty u konkrétních rizikových událostí v oblasti operačních rizik (např. celodenní výpadek klíčového systému, neočekávaná nepřítomnost klíčových zaměstnanců, apod.)? Diskuse: Jaké metody jsou využívány při odhadu výše ztráty z jednotlivých operačních rizik?

Otázka 8 V jaké výši, podle Vašeho názoru, ohrožují jednotlivá rizika výsledky Vaší společnosti? (0% - neohrožují, 100% - významně ohrožují )

Otázka 9 Jak kvalitně, podle Vašeho názoru, máte jednotlivé oblasti rizik ošetřeny? (0%- riziko není ošetřeno, 100% - riziko je optimálně ošetřeno)

Otázka 10 Znáte výši nákladů na ošetření jednotlivých rizik vzhledem k výši potenciální ztráty? (např. 100% - náklady ošetření rizika se rovnají výši potenciální ztráty)

Srovnání otázek 8 – 10 Průměrné hodnoty Diskuse: Jsou odhady managerů „správné“? Je možné, aby vztah jednotlivých sledovaných veličin u různých rizik byl natolik rozdílný?

Byly ověřeny hypotézy pro sestavení dotazníku? Respondent se nezabývá finančními dopady rizik 61% respondentů stanovuje limity propočtem dle kvantifikace 39% respondentů kvantitativně odhaduje výši způsobené ztráty ex post Řízení rizik je sice ve společnosti vnímáno, ale je to jen formální a nemá to praktické dopady do řízení 48,6% respondentů využívá cost benefit analýzu při navrhování opatření v oblasti řízení rizik 41,1% respondentů nepromítá plnění ukazatelů z oblasti RM do odměňování managementu Ve firmě chybí komplexní pojetí řízení rizik, nejsou měřena a řízena rizika v jejich souvislostech Vztah mezi výší ohrožení, kvalitou ošetření a náklady ošetření rizik není v rámci společností konzistentní Operační rizika jsou zanedbávána 48,4% zná výši odhadované ztráty u klíčových operačních rizik 28,3% nezná vši odhadované ztráty pro operační rizika

Závěr Management si uvědomuje existenci rizik Vnímání a způsob řízení rizik jednotlivých managerů se významně liší Operační rizika ohrožují výsledky společnosti z nejvyšší míry Kvalita a náklady ošetření rizika nejsou v přímém vztahu s velikostí potenciální ztráty Řízení rizik většinou nemá praktické dopady do řízení

Struktura katalogu rizik (1) Katalog rizik zahrnuje aktuální soupis rizik, která jsou popsána pomocí atributů … Kódové označení – podle zvoleného číselníku Kategorie, případně podkategorie – podle systému kategorizace Název rizika – výstižný a jednoznačný název Popis rizika – slovní stručné vysvětlení, co riziko znamená a jak se projevuje Oblast výskytu rizika - procesy nebo organizační útvary, kde se riziko vyskytuje Vlastník rizika – manažer, který je odpovědný za řízení rizika

Struktura katalogu rizik (2) Katalog rizik zahrnuje aktuální soupis rizik, která jsou popsána pomocí atributů … Kvantifikace rizika před ošetřením: Finanční dopad ve zvolené stupnici Pravděpodobnost výskytu ve zvolené stupnici Způsob ošetření rizika – zvolený způsob nebo způsoby Kvantifikace rizika po ošetření: Termín revize – datum nebo časový interval, ve kterém proběhne revize atributů rizika

Příklad 1 – katalog rizik energetické společnosti

Příklad 1 – katalog rizik energetické společnosti (pokračování)

Příklad 1 – katalog rizik energetické společnosti (pokračování)

Příklad 1 – databáze rizik energetické společnosti (pokračování)

Příklad 2 – stanovení limitu na otevřenou FX pozici na základě stanoveného VaR Tvorba seznamu aktiv/pasiv a finančních instrumentů v EUR za sledované období Výpočet otevřené pozice v EUR

Příklad 2 – stanovení limitu na otevřenou FX pozici na základě stanoveného VaR (pokr.) Tabulka pro přepočet VaR na limit otevřené pozice v EUR/CZK

Risk apetite = 0,5% z HV tj. 10 mil. Kč Příklad 2 – stanovení limitu na otevřenou FX pozici na základě stanoveného VaR (pokr.) Definice výše limitu na základě stanoveného risk apetite společnosti Volba objemu EUR na zajištění v souladu s rozdílem mezi otevřenou pozicí a stanoveným limitem otevřené pozice EUR Volba nástroje zajištění dle dostupnosti na trhu a jeho ceny pro podnik dle splatnosti nástroje v porovnání s reálnými peněžními toky Risk apetite = 0,5% z HV tj. 10 mil. Kč