Представьте, что каждый второй самолет в России летает без системы предупреждения о столкновениях. А теперь осознайте: ровно так же половина российских компаний управляет своими рисками. Исследование уровня зрелости риск-менеджмента1 показывает, что лишь немногие организации смогли превратить управление рисками из формальной процедуры в стратегический актив.
Организационная модель: структура определяет результат
Данные исследования демонстрируют тревожную тенденцию: только 49% компаний сохранили выделенные подразделения по управлению рисками в этом году, что на 10% меньше, чем в прошлом. Глубинный анализ показывает, что наличие подразделения далеко не всегда коррелирует с реальной эффективностью. Поэтому наиболее показателен портрет успешного риск-подразделения: подчинение совету директоров или директору по стратегии (21% компаний), численность более пяти сотрудников (27% организаций), продолжительность существования более пяти лет (70% случаев).
На этом фоне реальное влияние риск-менеджеров остается минимальным: лишь 5% имеют право вето на ключевые решения, выходит, что остальные 95% ограничены ролью советников без полномочий. В 41% компаний полномочия риск-менеджеров ограничены анализом рисков и только 33% имеют доступ к любой необходимой информации в компании, что фактически делает невозможным полноценный анализ угроз. Ситуация усугубляется тем, что не более 15% таких руководителей имеют право голоса на заседаниях правления. Это напоминает ситуацию с врачом, который ставит диагноз, но не имеет права назначить лечение.
Интересно отметить корреляцию между уровнем зрелости и моделью подчинения подразделения по управлению рисками. Наиболее эффективными оказываются модели, где функция риск-менеджмента подчинена непосредственно совету директоров или директору по стратегии. В таких организациях уровень зрелости процессов значительно выше, чем в компаниях, где риск-менеджмент подчинен финансовому директору или отделу внутреннего аудита.
Культура риска: разрыв между декларациями и практикой
Самой проблемной областью, по данным исследования, оказалась культура управления рисками с уровнем зрелости всего 0,22 из 1. В 35% компаний обязанности по управлению рисками вообще не закреплены в должностных инструкциях. Только 14% организаций включили соответствующие положения в инструкции всех сотрудников. Системы мотивации в 72% случаев не связаны с результатами управления рисками, что создает ситуацию, когда сотрудникам проще игнорировать риски, чем тратить время на их анализ.
Обнадеживает, что почти в три раза увеличилась доля компаний (11%), в которых целевые показатели для ключевых сотрудников устанавливаются на основании результатов количественного анализа рисков. Однако это все еще крайне низкий показатель, свидетельствующий, скорее, о поверхностном подходе к интеграции риск-ориентированного мышления в систему управления персоналом.
Всего 33% компаний имеют сертифицированных специалистов в области управления рисками и смежных областях. Чаще всего сотрудники обладают сертификатами CRMP, CRMP RR, CRMA, CIA. Это указывает на недостаток профессиональной подготовки и формальный подход к развитию компетенций.
Для развития культуры риска компании используют в основном: обучение (61%), рассылки и публикации на сайте (54%), создание рабочих групп (47%). 44% организаций поддерживают практику открытого обсуждения рисков, и лишь 16% имеют внутренние порталы для такого диалога. Без создания среды, где сотрудники не боятся говорить о проблемах, все остальные меры — это всего лишь полумеры.
Инструментальная незрелость: таблицы вместо систем
63% компаний полагаются на качественные методы оценки рисков, основанные на экспертном мнении, и только 29% используют количественный анализ и моделирование.
Автоматизация процессов вообще оставляет желать лучшего: 51% организаций не автоматизировали процессы управления рисками, используя электронные таблицы вместо специализированных систем.
Технологический разрыв становится еще более очевидным при анализе использования искусственного интеллекта. 69% компаний заявляют об использовании ИИ в риск-менеджменте, но применяют его преимущественно для базовых задач: прогнозной аналитики и статистического анализа (45%), сравнительного анализа (44%). Только 12% используют ИИ для выявления и документирования рисков, это свидетельствует о поверхностном подходе к технологической трансформации. Это напоминает ситуацию, когда у человека есть сверхмощный компьютер, но он использует его только как калькулятор. Так что потенциал технологий для риск-менеджмента в значительной степени остается нереализованным.
Принятие решений: видимость участия
Несмотря на формальный рост участия риск-менеджеров в принятии решений (в 81% организаций их мнение учитывается), всего 45% компаний проводят количественную оценку рисков при принятии ключевых решений. В 19% организаций анализ рисков до сих пор проводится без участия риск-менеджеров, что свидетельствует о сохранении формального подхода.
Наиболее часто количественный анализ рисков проводится при управлении проектами (61%), инвестиционной деятельности (52%) и бюджетном планировании (52%). Значительно реже — в стратегическом планировании (38%) и управлении информационной безопасностью (38%). Такой перекос указывает на восприятие риск-менеджмента как инструмента операционного контроля, а не стратегического управления.
Надо отметить, что роль риск-менеджера постепенно меняется: в 36% компаний они стали членами или приглашенными участниками заседаний коллегиальных органов (рост с 26% в 2024 г.). Однако, как уже отмечалось выше, только в 5% организаций риск-менеджеры могут наложить вето на ключевые решения, что указывает на сохранение ограниченного влияния.
Положительной тенденцией можно считать также рост доли компаний, где при принятии наиболее важных решений проводится не только анализ и документирование рисков, но и количественная оценка их влияния с возможностью пересмотра таких решений (45 против 25% в 2024 г.). Это свидетельствует о медленном, но поступательном движении в сторону более зрелых практик.
Барьеры на пути развития
47% респондентов считают главным препятствием в развитии риск-менеджмента незрелость управленческих процессов и культуры управления. Компании признают, что устанавливают цели директивно, без анализа рисков, и формально подходят к реализации процедур управления рисками. 39% отмечают недостаточную вовлеченность сотрудников, 37% — нехватку ресурсов.
В организациях без выделенной функции риск-менеджмента главными барьерами являются отсутствие понимания ценности со стороны руководства (44%) и нехватка ресурсов для внедрения (44%). Фактически это порочный круг: без поддержки руководства нет ресурсов, а без демонстрации ценности нет поддержки руководства.
Перспективы: между вынужденной необходимостью и стратегическим выбором
Разрыв между осознанием необходимости изменений и реальной готовностью инвестировать в них особенно заметен в планировании: 70% компаний заявляют о планах развития культуры управления рисками, но только 16% организаций без выделенной функции планируют ее внедрение в ближайший год. Дорожные карты развития есть у 74% компаний (рост на 14% по сравнению с 2024 г.), при этом лишь единицы демонстрируют конкретные результаты.
Приоритетные направления развития отражают осознание ключевых проблем: развитие культуры управления рисками (70%), повышение ответственности владельцев рисков (51%), развитие компетенций сотрудников (49%). При этом технологические аспекты пока остаются на втором плане: автоматизация процессов управления рисками (40%), улучшение качества данных для анализа (40%).
Интересно отметить, что 47% респондентов отмечают рост востребованности процессов и процедур управления рисками в управленческой практике за последний год. Это может свидетельствовать о постепенном изменении отношения к риск-менеджменту как к необходимому элементу управления в условиях нарастающей неопределенности.
Заключение: риск-менеджмент как индикатор зрелости бизнеса
Уровень развития риск-менеджмента в российских компаниях отражает общее состояние корпоративного управления. Наличие зрелой системы управления рисками коррелирует с размером компании: организации с оборотом более 250 млрд рублей и численностью сотрудников более 5000 человек показывают лучшие результаты.
Отраслевые различия также значительны: лидерами являются пищевая промышленность и высокие технологии, а аутсайдерами — фармацевтика и медицинская промышленность. Это опровергает стереотип о том, что именно в «передовых» отраслях риск-ориентированная культура развита лучше.
Российские компании постепенно движутся от подхода, ориентированного на соответствие требованиям, к интеграции управления рисками в процесс принятия решений. Но до стратегического риск-менеджмента, который создает конкурентное преимущество, еще далеко. Ключевыми условиями прорыва станут вовлеченность топ-менеджмента, инвестиции в автоматизацию и — самое главное — создание культуры, где о рисках не только говорят, но и действуют соответствующим образом.
В условиях перманентной неопределенности способность предвидеть и управлять рисками становится не просто полезным навыком, а ключевым фактором выживания и роста. Компании, которые поймут это раньше других, получат значительное конкурентное преимущество в новой экономической реальности.
1 Исследование провела Группа ДРТ при поддержке Ассоциации риск-менеджеров «Русское общество управления рисками». Оно охватывало 82 нефинансовые организации из различных секторов экономики, включая потребительский сектор, высокие технологии, телекоммуникации, развлечения и СМИ, производство, транспорт, инфраструктуру, энергетику и другие. Целевая аудитория — руководители и специалисты в области управления рисками, внутреннего контроля и внутреннего аудита.
