AICPA: „Stan nadzoru nad ryzykiem w 2026 r.”
Skończyłem czytać ten raport z mieszanymi uczuciami. Z jednej strony przedstawia on przydatny obraz tego, jak zorganizowane są zarządzanie ryzykiem i ERM. Z drugiej strony wciąż powraca mi do głowy pytanie, na które takie modele dojrzałości rzadko dają odpowiedź: czy „bardziej dojrzały” system zarządzania ryzykiem faktycznie pomaga organizacji osiągać lepsze wyniki i realizować swoje cele?
Foto: Photo: pvproductions na Magnific
Posiadanie formalnej polityki, komitetu ds. ryzyka, określonej metodologii, deklaracji apetytu na ryzyko oraz standardowego szablonu może świadczyć o dojrzałości procesu. Jednak dojrzałość procesu nie przekłada się automatycznie na wartość biznesową.
Raport podaje kilka powodów, dla których należy zachować ostrożność.
🔹 30% respondentów opisuje swój system nadzoru nad ryzykiem jako dojrzały lub solidny.
🔹 37% posiada kompletny, formalny proces ERM.
🔹11% uważa, że zarządzanie ryzykiem „w większości” lub „w znacznym stopniu” zapewnia wyjątkową przewagę strategiczną.
🔹30% twierdzi, że informacje dotyczące ryzyka są formalnie omawiane podczas posiedzeń zarządu poświęconych strategii.
🔹29% twierdzi, że ekspozycje na ryzyko są brane pod uwagę przy podejmowaniu decyzji dotyczących alokacji kapitału.
🔹 22% twierdzi, że w większości lub w znacznym stopniu uwzględnia ryzyko w perspektywie 5–10 lat.
Kilka innych kwestii zwróciło moją uwagę.
1️⃣ Zmienność w ujęciu rok do roku
Kilka wykresów pokazuje gwałtowne skoki lub spadki w ciągu jednego roku, po których następuje powrót do poprzednich poziomów. Widoczne jest to w zakresie dojrzałości, zaangażowania zarządu, kluczowych wskaźników ryzyka (KRI), planowania scenariuszy i innych miar. Bardzo chciałbym wiedzieć, co spowodowało te wahania.
2️⃣ Opór wobec ERM jest dość wymowny
➡️ 33% respondentów jako przeszkodę wymienia brak postrzeganej wartości.
➡️ 28% twierdzi, że ERM zwiększa biurokrację.
➡️ 44% wskazuje na konkurencyjne priorytety.
➡️ 45% wskazuje na niewystarczające zasoby. To powinno budzić w nas niepokój.
Jeśli zarządzanie ryzykiem ma pomagać kierownictwu w podejmowaniu lepszych decyzji, ale menedżerowie postrzegają je jako biurokrację o niejasnej wartości, być może problemem jest nie tylko „brak świadomości”. Być może sama koncepcja ERM wymaga czasem poprawek.
3️⃣ Wartość strategiczna nadal wydaje się niewielka.
W samym raporcie stwierdzono, że większość organizacji nie postrzega zarządzania ryzykiem jako źródła przewagi strategicznej.
4️⃣ Wszyscy zarządzają ryzykiem związanym z ICT, zgodnością z przepisami i ryzykiem finansowym
Ryzyko informatyczne jest formalnie uwzględniane przez 71% respondentów, ryzyko prawne/zgodnościowe przez 63%, a ryzyko finansowe przez 57%.
5️⃣ Rady nadzorcze angażują się coraz bardziej
62% z nich przekazało formalny nadzór nad ryzykiem komisji rady nadzorczej, 81% wyraźnie określa tę odpowiedzialność w regulaminie komisji, a 61% rezerwuje konkretne posiedzenie rady nadzorczej na omówienie największych zagrożeń. To dobra wiadomość.
Moje główne pytanie pozostaje takie samo: w jaki sposób faktycznie mierzymy, czy zarządzanie ryzykiem pomaga organizacji podejmować lepsze decyzje, unikać niepotrzebnych strat, wykorzystywać możliwości i osiągać cele? Dopóki nie odpowiemy na to pytanie, byłbym ostrożny w utożsamianiu „bardziej sformalizowanego” z „bardziej skutecznym”. System ERM, który wygląda na dojrzały, może nadal być pięknie udokumentowany… a jednocześnie strategicznie nieistotny.
Author: Sebastian Burgemejster
Komentarze