Artykuł ukazał się w Gazecie Ubezpieczeniowej nr 18(942)/2017

Standardy zarządzania ryzykiem, to mówiąc najprościej sprawdzone i powszechnie znane „sposoby” jak skutecznie i efektywnie wdrożyć w organizacji ten pełen wyzwań proces. Niejedna organizacja podejmując wysiłek zarządzania ryzykiem „sili się” na oryginalność. Wytwarza autorskie, uwzględniające „naszą specyfikę i potrzeby” rozwiązania. Te jednak, niejednokrotnie nic nie rozwiązują lub mogą nawet zrazić kierownictwo i pracowników do zarządzania ryzykiem.
A przecież nie ma potrzeby aby „wymyślać koło”. Istnieją gotowe, sprawdzone, powszechnie akceptowane i uznawane sposoby radzenia sobie z problemem. Są to właśnie standardy zarządzania ryzykiem.

Termin na termin

Termin „standardy” oznacza, że proponują one standardowe podejście do zarządzania ryzykiem, więc i tu poważna praca koncepcyjna również musi być wykonana. Standardy są jednak na tyle elastyczne i celowo tak napisane, aby odpowiadały na typowe potrzeby typowej organizacji. Wdrożenie ich daje wiele korzyści, w tym możliwość „chwalenia” się, że przedsiębiorstwo zarządza ryzykiem w powszechnie uznawany sposób. To dobra wiadomość, na którą coraz częściej zwracają uwagę partnerzy biznesowi, odbiorcy, banki i oczywiście ubezpieczyciele.
Oczywiście wdrożenie procesu, jak i samo zarządzanie ryzykiem mogą być dobre albo i złe, jak to w życiu. Ale zapewne już sama świadomość najważniejszych koncepcji i rozwiązań w zakresie zarządzania ryzykiem opisanych w standardach, zwiększa prawdopodobieństwo sukcesu organizacji.
Warto tu jeszcze wyjaśnić, że standardy zarządzania ryzykiem są pisane przez praktyków i dla praktyków. Nie są to dokumenty powstające w zaciszach uniwersyteckich katedr, ale opracowania uzgadniane i szeroko dyskutowane w środowisku managerów, nie tylko ryzyka. Wystarczy spojrzeć na autorów najbardziej znanych standardów. To znani managerowie ryzyka, doradcy i członkowie board-ów, firmy audytorskie.
Nawiasem mówiąc w pewnym sensie umowy kapitałowe Bazylea i Solvency są, można zaryzykować takie twierdzenie, swojego rodzaju standardami zarządzania ryzykiem. To zresztą, jak się wydaje zarówno ich zaleta, jak i wada.

Zady i walety

Zaleta, bo wskazują zarządom banków i ubezpieczalni jak w „standardowy”, zgodny z oczekiwaniami regulatora sposób zarządzać ryzykiem, choćby przez spełnianie określonych wymogów kapitałowych. Wada, bo nie adresują one tak całościowo, jak czynią to standardy, wyzwań związanych z organizacją systemu i procesu zarządzania ryzykiem. Najwyraźniej same one do całościowego zarządzania ryzykiem nie wystarczą i instytucje finansowe i tak często sięgają po standardy zarządzania ryzykiem sensu stricto, takie jak COSO, czy ISO 31000. Dodatkowo, umowy kapitałowe, podobnie jak nawiązujące do nich regulacje wprowadzają własny specyficzny język i terminologię. W wielu punktach różny od tych, który możemy znaleźć w standardach zarządzania ryzykiem zaprojektowanych przecież dla wszystkich organizacji, nie tylko sektora finansowego. 
Szerzej można by się nawet zastanawiać, czy leżąca u zarania umów kapitałowych koncepcja „przymuszania” sektora finansowego do standardowego zarządzania ryzykiem była słuszna i się sprawdziła.

I, II, XXXXVIIV 

Bo, mamy kolejne odsłony „regulowanego” zarządzania ryzykiem (umowy I, II etc.) a kłopoty sektora są wciąż te same…
Najbardziej znane na świecie i najczęściej wdrażane standardy zarządzania ryzykiem to COSOII oraz ISO 31000, ten drugi ma również status PN, polskiej normy. Uwaga: nie podlega on jednak certyfikacji, choć jak wiadomo certyfikujących nie brakuje… Obydwa standardy są również dostępne w języku polskim.
Standard COSOII to zresztą starszy brat innego standardu bardzo ważnego dla finansistów i nie tylko, a mianowicie COSOI Internal Control. Poświęcony kontroli wewnętrznej rozumianej nowocześnie i całościowo rozumianej inaczej, nie wahamy się powiedzieć , niż w większości polskich przedsiębiorstw sektora niefinansowego.
COSOII jest, jak pokazują analizy najczęściej stosowany w skali globalnej. Między innymi dlatego że datuje się na rok 2004, kiedy ISO na 2009. Poza tym karierze COSO (na początku tego od kontroli wewnętrznej) sprzyjały rekomendacje amerykańskiego SEC-u, które wskazał nań jako narzędzie wspierające uzyskanie zgodności z sławnym SOX-em. Nic więc dziwnego, że spółki notowane na NYSE ochoczo i posłusznie go wdrażają.
ISO 31000 to standard bardziej popularny w Europie, w tym w Polsce. Tu trafia potencjalnie na „podatny grunt” także, z tego powodu, że bardzo wiele organizacji wdrażało już inne standardy z grupy ISO i stanowi on naturalne dopełnienie tak zwanego zintegrowanego systemu zarządzania.

Rewizja ogólna trwa…

Ale i standardy zarządzania ryzykiem, jak wszystko dzisiaj, szybko się starzeją i na koniec śpieszymy donieść że i COSO II, i ISO 31000 są w trakcie rewizji i trwa właśnie ogólnoświatowa dyskusja, jak najlepiej dostosować je do szybko zmieniających się wyzwań naszego ryzykownego świata. rewizja, rewizja, rewizja