Class 7 Enterprise-wide (strategic) Risk Management

1. Class 7Enterprise-wide (strategic) Risk Management

2. Conceptual questions about risk management • Is risk management independent of business objectives? • Can risk management be decentralized? • Are all risks equally important? • Should we give same focus to downside and upside risks? • Can risk management immediately affect company’s value?

3. Эволюция риск-менеджмента • Раньше: • Риск-менеджер – сотрудник Казначейства, ответственный за страхование рисков • Риски анализируются по отдельности разными сотрудниками • Сейчас: • Один из топ-менеджеров - CRO(chief risk officer), директор по рискам • Единый скоординированный стратегический подход к рискам: стратегический риск-менеджмент (strategic/enterprise risk management)

4. Что такое ERM? • Единая структура управления • CRO отчитывается перед CEO и Советом директоров • Единая стратегия по управлению рисками в компании • Интеграция риск-менеджмента в ключевые бизнес-процессы • Аллокация ресурсов, вознаграждение менеджеров, стратегия,… Мотивация для внедрения ERM: • Корпоративное управление • Закон Sarbanes-Oxley (2002) • Аналитики и инвесторы • Большее внимание волатильности денежных потоков компании и к отклонениям от прогноза • Бухучет • Большее раскрытие рисков • Требования регуляторов • После кризиса 2008 г.

5. Как реализовать ERM вкомпании? • Компания должна выявить свои основные риски • Риски должны быть измерены и ранжированы • …по важности (величине убытков) и частоте (вероятности) • Компания должна выбрать оптимальные методы управления рисками • Принятие, перенос, хеджирование и т.д. • Выбранная стратегия риск-менеджмента должна применяться во всей компании, на всех уровнях • Реализацию ERM должен курировать один из топ-менеджеров

6. Роль CRO • CRO (chief risk officer): директор по рискам • Соответствие законам и требованиям регулятора (compliance), внутренний аудит, корпоративные расследования, мошенничество, информационная безопасность • В большинстве компаний: комитет по рискам (под CFO) • Чаще всего в финансовой индустрии и энергетике • Там, где легче измерить риски • Согласно опросам, основные выгоды для компании: • Учесть и измерить большее количество рисков • Сделать выбор инвестиций более эффективным • … основная проблема для CRO: • Интегрировать анализ рисков в разных подразделениях

7. Class 7Hydro One case The rise and evolution of CRO

8. Hydro One: Что это за компания? • Крупнейшая компания по передаче электричества в Канаде, в первой десятке в Северной Америке • Штаб-квартира в Торонто • Основана в 1999 г. после разделения генерации и передачи электричества • Выручка: CAD4.1 млрд., активы: CAD11.3 млрд., занятость: 4,000 чел. • 100% акций принадлежит правительству Онтарио. В 2001 г. планировалось IPO на CAD5.5 млрд. для инвестиций и возврата долга правительству (4.5 млрд.) • Изменение корпоративной культуры: ориентация на клиента, сокращение издержек, СРМ, стратегическое планирование • …но сорвалось из-за противодействия профсоюзов

9. Каковы цели компании? • Стать лучшей компанией по передаче электроэнергии в Северной Америке • Лучшие показатели по безопасности • Хорошие показатели по надежности передачи • Удовлетворенность клиентов на уровне 90% • Высокая производительность труда • Достижение кредитного рейтинга А • …в условиях реформы по дерегулированию • Конечные цены заморожены, а операционные издержки высоки и требуются дополнительные инвестиции • Неопределенность относительно производителей э/э • …и удовлетворить требованиям биржи

10. Каковы основные риски компании? • Операционный: надежность передачи э/э • Старая система передачи, подверженная авариям из-за снега, морозов, сильного ветра • Спрос растет из-за низкой цены на э/э, сильный сезонный фактор • Запланированы инвестиции на CAD600 млн., но сроки поставки стали длиннее из-за Китая • Регуляторный • Энергетическая комиссия Онтарио определяет тарифы, зафиксировав выручку H1 на уровне CAD4 млрд. в год • Правящая партия за сокращение потребления э/э • Кредитный: облигации на CAD1 млрд. • Операционный: сотрудники и их лояльность • Забастовки в 2005 г., 20% уходит на пенсию в течение 2 лет

11. Прогноз дефицита генерирующих мощностей

12. Как H1 начала реализовывать ERM? • 1999: сформировали Группу по корпоративному риск-менеджменту • CRO (part-time) и 2 сотрудника • Дали 6 месяцев для разработки Принципов и Структуры СРМ • Принципы: основы стратегии и разделение сфер ответственности между разными менеджерами • Структура: более детальное описание процедур СРМ • После презентации и дискуссии, Комитет по рискам (CEO и другие топ-менеджеры) вынес решение: • Реализовать СРМ в одном из подразделений H1 перед тем, как одобрить его применение в компании

13. З этапа реализации ERM • Серия круглых столов с участием сотрудников • Выработать общее понимание стратегических целей • Определить ключевые риски, которые могут помешать достижению этих целей • Оценить эти риски по величине и вероятности • Оценить, насколько компания держит их под контролем • Назначить лиц, ответственных за риски • Оценка и планирование инвестиционных проектов с учетом рисков • Мониторинг и обзор рисков • Раз в полгода CRO обсуждает отчет по Корпоративному Профилю Риска с топ-менеджерами и Комитетом по аудиту

14. 1 этап: Оценка рисков • Неформальный опрос менеджеров → 60-70 потенциальных рисков и угроз бизнесу • Серия анонимных голосований (и отдельных интервью) позволили сузить список до 8-10 рисков • Каждый менеджер оценивает по 5-балльной шкале величину ущерба (насколько цели бизнеса пострадают из-за риска) • Круглый стол: презентация риск-менеджера и обсуждение выбранных рисков, чтобы прийти к консенсусу • Полный отчет о круглом столе был готов в течение 24 часов • Это позволяет компании получить карту рисков и сравнить разные типы рисков друг с другом

15. Метод Делфи • Групповая оценка вероятности определенных событий • Ряд экспертов анонимно отвечают на вопросы • Им не нужно даже встречаться друг с другом • Не требуется согласие – выявляется большинство • Во втором раунде модератор может переформулировать вопрос и сузить альтернативы

16. Результаты круглого стола (первый раунд) 40 60 80 100% 0 20 Worst Case 5 Количество участников, проголосовавших за данную оценку Severe 4 3 Major 2 Moderate 1 Minor 13

17. Результаты круглого стола (второй раунд) 80 0 40 60 20 100% Worst Case 5 Severe 4 3 Major 2 Moderate 1 Minor 14

18. Воздействие рисков на цели Незначительный - Некоторое ухудшение результатов Худший случай - Угрожает выживанию Hydro One в ее нынешней форме Значительный - Значимоеухудшение результатов 11

19. Шкала оценки вероятностей

20. Карта рисков на июль 2006 г. Величина Размер круга пропорционален степени контроля над риском Вероятность

21. 1 этап: Итоги • Планировали 12, а провели 50-60 круглых столов (за год) • Посвященных основным проектам, основным рискам, на уровне руководства отдельных подразделений, а также на уровне топ-менеджмента • Полное разграничение с внутренним аудитом, чтобы люди не боялись говорить откровенно во время круглых столов • Фокус-группа также обсуждает предварительный план мер и назначает ответственного менеджера, который должен разработать конкретный план мер

22. ЛЭП? Трансформаторы? Ремонтники? Связь? 2 этап: Как сформировать бюджет инвестиций? • Главный критерий – не максимизация NPV, • …а избежание недопустимых рисков и • …максимальная защита от риска на вложенный доллар 18

23. Оценка и планирование инвестиций • Ежегодный бюджет инвестиций: CAD1 млрд. • Проекты на 30-70 лет • Индекс “bang for the buck” (эффективности затрат с точки зрения рисков) • Снижение рисков на вложенный доллар • Каждый год в течение 2 дней проводится «защита» инженерами своих проектов перед топ-менеджерами • В итоге выбираются те проекты, которые позволяют максимально снизить риски в рамках бюджета

24. 5 Очень вероятно 4 Скорее всего 3 50/50 2 Вряд ли 1 Маловероятно 4 Серьезный 2 Умеренный 3 Значительный 1 Незначительный 5 Катастрофический Недопустимые риски - в красной зоне 100 100 100 14 5 Недопустимые 100 4 10 18 100 100 3 7 12 100 100 4 22 2 8 2 16 4 28 1 19

25. Ранжирование проектов Недопусти-мый риск Ресурсы: $14 Bang for the buck: эффективность на $1 8 20

26. 3 этап: Мониторинг и обзор рисков • CRO готовит отчет по Корпоративному Профилю Риска, • Содержит обзор основных рисков компании • …представляет этот отчет перед Комитетом по аудиту • …и обсуждает с топ-менеджерами компании • …раз в полгода. • Риски – не статичны, меняются вследствие предпринятых мер или изменений внешней среды • На встрече обсуждаются главные события прошедших 6 мес. • Ответственные менеджеры отчитываются о проделанной работе раз в год.

27. Корпоративный профиль риска

28. Схема ERM в H1 • Определить основы стратегии • Стратегия, цели и отношение к риску компании • Стейкхолдеры компании и ответственные за риски • Выявить риски • Что может случиться? Как это может произойти? • Оценить риски • Определить последствия • Оценить текущие меры контроля • Их наличие и эффективность • Оценить вероятность и уровень риска • Это допустимый уровень риска? Если нет, то: • Принять меры / уменьшить риски • Оценить эффективность и затраты разных подходов • Мониторинг и пересмотр стратегии

29. Внедрение ERM в Hydro One: rise and evolution of CRO 1999-2003 После 2004 До 1999 Hydro One’s Journey with ERM 4

30. Hydro One: пример успешного применения ERM «Компания без риск-менеджмента – как машина без тормозов» «Риск-менеджмент – ответственность каждого, от председателя Совета Директоров до рядового сотрудника. Каждый должен понимать риск в пределах своей ответственности и управлять этим риском в пределах допустимого» Джон Фрэйзер, CRO

31. Риск-менеджмент в Мосэнерго • Стейкхолдеры: • Газпром (собственник) • Государство: регулирование и контроль Газпрома • Правительство Москвы • Источники: • Газ (+немного уголь) • Цели: • Максимизация прибыли: снижение издержек при заданных тарифах, повышение эффективности • Надежность работы

32. Карта рисков Мосэнерго A: неплатежи B: аварии C: падение цен на э/э D: стоимость мощностей E: регуляторный риск B D Величина A E C Вероятность

33. Test to determine how well risks are managed in a company • What are the company’s top 10 risks? • Does the firm have a concise report that shows key exposures and trends for main risks? • Are we in compliance with internal policies, laws, and regulations? • Were the majority of the company’s actual losses and incidents identified by the risk reports? • Are we managing business on a risk-adjusted profitability basis?

34. Characteristics and sources of effective key risk indicators 1 7 4 Track in time series against standards or limits 6 Be useful – support business decisions and actions Reflect objective measurement Balance of leading and lagging indicators 9 Time and cost effective 8 5 • Incorporate risk drivers: • Exposure • Probability • Severity • Correlation Can be benchmarked internally or externally 2 Tie to objectives, risk owners, and risk categories 10 Simplify risk without being simplistic Key Risk Indicators 3 Be quantifiable – $, %, # Strategies/ Objectives Regulations & Policies Losses & Incidents Stakeholder Requirements • Actual losses • Incidents • Industry data • Business plans • Management goals • Performance metrics • Legal requirements • Regulatory standards • Policy limits • Customers • Vendors • Other Source: J.Lam

35. Given that risk is about the future, early warning indicators should be developed Risk Category Early warning indicators • Borrower/counterparty stock price declines • Widening of credit spreads in the debt and credit derivatives markets Credit Risk • Increases in price volatility • Breakdowns in historical price relationships and patterns Market risk Business Operational Risk • Spikes in business growth, profitability, and complexity/change • High and undesirable turnover rates • Increases in any risk concentrations and/or organizational powers • Changes in intra- and inter-risk correlations Enterprise-wide Risk Source: J.Lam

36. In-class discussion: Devise 2-3 KRI and EWI for major risks of Aeroflot • Риск рыночной конкуренции: снижение доли на рынке • Операционный риск: аварии, задержки рейсов • Политический риск: изменение регулирования

37. ERM dashboard should provide senior management with full risk transparency Compliance with risk policies and regulations • Exposures vs. policy limits • Regulatory compliance Earnings-at-risk • Major internal drivers • Key external variables Risk/return performance tracking • Business units • Customer segments • Products “Right time” risk reporting • One touch visibility • Drill down capabilities • 24x7 escalation • Early warning signals Source: J.Lam

38. Probability Change in Value Economic capital represents a common currency for risk Credit Risk Market Risk Operational Risk • Credit Risk • Earnings volatility due to variation in credit losses • Market Risk • Earnings volatility due to market price movements • Operational Risk • Earnings volatility due to changes in operating economics (e.g. volume, margins or costs) or one-off events Enterprise-wide Risk Source: J.Lam

39. Legend 90% 75% 50% 25% 10% Measuring profitability and pricing Risk-Adjusted Return RAROC = Performance Measurement on an Apples-to-Apples Basis Economic Capital RAROC Compared to Peers by Line of Business Calculate RAROC Exposure $100 mm Margin 2.50% Revenue $2.5 mm hurdle Risk Losses <0.5 mm> Expense <1.0 mm> Corporate Lending Middle Market Small Business Credit Card Mortgages Pre-Tax Net Income $1.0 mm Tax <0.4 mm> • Remuneration • Target setting • Drives risk-adjusted pricing Net Income $0.6 mm Economic Capital $2.0 mm RAROC 30% Source: J.Lam

40. The enterprise risk management process Risk Identification and Assessment Risk Measurement and Reporting Risk Mitigation and Management ERM Foundations • Top-down assessments • Barriers to strategic and financial goals • Executive team CSAs • Bottom-up assessments • Barriers to business, customer, and product goals • Business unit CSAs • Functional unit CSAs • Independent assessments • Internal audit • External audit • Regulators • Customers • Other stakeholders • Senior management and board participation (“tone from the top”) • Governance structure • Resource allocation • Culture, principles, and values • ERM framework and policies • Linkage to strategy, performance measurement and incentives • Organizational learning • ERM dashboard • Earnings volatility • Key risk metrics • Policy compliance • Real-time event escalation • Drill-down capabilities • Scenario analysis • Historical • Managerial • Simulation-based • Disclosure • Board reporting • External reporting • Policy enforcement • Value-based growth and restructuring strategies • Risk transfer strategies • Contingency planning and testing • Event and crisis management Source: J.Lam

41. Hard Side Soft Side • Measures and reporting • Risk oversight committees • Policies & procedures • Risk assessments • Risk limits • Audit processes • Systems • Risk awareness • People • Skills • Integrity • Incentives • Culture & values • Trust & communication ERM requires balancing the hard and soft side of risk management Source: J.Lam

42. Company’s “risk culture” is a foundation of its ERM program • In a typical risk culture, people will do the right things when risk policies and controls are in place • In a good risk culture, people will do the right things even when risk policies and controls are not in place • In a bad risk culture, people will not do the right things regardless of risk policies and controls Source: J.Lam

43. ERM implementation: successor failure • Engagedseniormanagementandboardofdirectors • Establishedpolicies, systems, andprocesses, supportedbyastrongriskculture • Clearlydefinedriskappetitewithrespecttorisklimitsandbusinessboundaries • Robustriskanalyticsandmeasurement, summarizedinan “ERM dashboard” andpublicdisclosures • Risk-returnmanagementviaintegrationof ERM intostrategicplanning, businessprocesses, performancemeasurement, andincentivecompensation • Inertia – absenceofcrisis; generalresistancetochange • Lackofmanagementsponsorshiporlinesupport • Episodicinitiativeswithnolong-termvision • Ineffectiveandinconsistentriskmetricsandreporting • Insufficienthuman, systems, anddataresources • Failuretoclearlydemonstrate “earlywins” andsustainablebenefits • Movetoofastortooslow, withoutaddressingchangemanagementissues

44. If you want to become CRO, what skills will you need? • Organizational and leadership skills to effect change • Communication skills – “to simplify without being simplistic” • Technical skills in credit, market, and operational risk • Judgment to balance business and risk requirements • Courage to push back and “say no” • High EQ (emotional quotient) in addition to high IQ • Ultimate CRO test: ability to integrate risk management into strategic planning and day-to-day business processes Source: J.Lam

45. Must have! Nice to have The role of a Chief Risk Officer Evangelist  Motivate Leader  Change Steward  Control Consultant  Help Technician  Teach Source: J.Lam

46. How did corporate risk management evolve over time?

47. Thanks for taking part in this course!