Jak analizować ryzyka w raporcie rocznym

Od czego zacząć czytanie o ryzykach w raporcie rocznym

Sekcja ryzyk mówi o stabilności i ciągłości działania, nie tylko o formalnej kompletności raportu. W GPW zarządzanie ryzykiem ma zapewnić, że wszystkie istotne ryzyka działalności są prawidłowo mierzone, raportowane i kontrolowane oraz nie zagrażają stabilności i ciągłości operacyjnej. W PKO Banku Polskim system zarządzania ryzykiem ma zapewnić rentowność biznesu przy kontroli poziomu ryzyka i utrzymaniu go w ramach limitów oraz przyjętej tolerancji na ryzyko w zmieniającym się otoczeniu makroekonomicznym i prawnym.

Praktycznie: czytaj opis ryzyk razem z komentarzem do wyniku finansowego. GPW deklaruje, że realizując cele strategiczne, aktywnie zarządza ryzykami z działalności i dąży do maksymalnego ograniczenia lub wyeliminowania ich negatywnego wpływu na wynik Grupy. Jeśli wynik roku wyraźnie odbiega od poprzedniego, sprawdź, czy któreś z opisanych ryzyk to wyjaśnia — i odwrotnie, czy ryzyko uznane za istotne przekłada się na liczby.

Gdzie w raporcie szukać informacji o ryzykach

Informacje o ryzykach są rozproszone — trzeba je zebrać z kilku miejsc. W PGE S.A. wszystkie zidentyfikowane i oceniane ryzyka bieżącej działalności Grupy trafiają do rejestru ryzyk (ksiąg ryzyk) prowadzonego przez Departament Ryzyka i Ubezpieczeń; księgi pokazują zmiany wartości parametrów ryzyka oraz działania mitygujące i ich skuteczność. W GPW główne założenia systemu wynikają ze „Strategii zarządzania ryzykiem”, akceptowanej przez Zarząd Giełdy i zatwierdzanej przez Radę Giełdy na wniosek Zarządu, więc zasady ustrojowe znajdziesz w części o ładzie korporacyjnym, nie tylko w tabeli ryzyk. W PKO Banku Polskim zasady zarządzania ryzykiem opisano w sekcji zarządzania, obok zestawienia ryzyk.

Gdy zbierzesz te miejsca, sprawdź ich spójność. Nazwy i kategorie ryzyk w tabeli głównej powinny odpowiadać nazwom z opisu zasad zarządzania, a liczba pozycji w tabeli — temu, co zapowiada tekst wprowadzający. Jeśli księga lub rejestr wskazuje, że śledzi się zmiany parametrów ryzyka, w raporcie powinien być komentarz do tych zmian. Sam zapis o prowadzeniu rejestru, bez odniesienia do bieżącego okresu, nie pozwala ocenić, czy proces działa.

Identyfikacja ryzyk: co spółka uznaje za istotne

Pierwsze kryterium to podział na ryzyka zewnętrzne i wewnętrzne. Działalność Grupy Kapitałowej GPW jest opisana jako narażona na liczne czynniki ryzyka: zewnętrzne, związane z otoczeniem rynkowym i regulacyjno-prawnym, oraz wewnętrzne, związane z prowadzeniem działalności operacyjnej. W PKO Banku Polskim identyfikacja ryzyka polega na rozpoznaniu aktualnych i potencjalnych źródeł ryzyka oraz oszacowaniu istotności jego potencjalnego wpływu na sytuację finansową Banku i Grupy Kapitałowej; w jej ramach określa się rodzaje ryzyka uznawane za istotne. Szukaj więc nie listy wszystkich możliwych zagrożeń, lecz wyjaśnienia, dlaczego dane ryzyko uznano za istotne i czego dotyczy szacunek wpływu.

Drugie kryterium to zakres pokrycia działalności i wynikająca z niego głębokość analizy. W PGE identyfikacja ryzyka obejmuje pełne spektrum działalności Grupy Kapitałowej, a o zakresie i złożoności analizy decyduje istotność ryzyka w skali danej spółki i całej Grupy — im wyżej w rankingu, tym dogłębniej ryzyko jest badane i podlega bardziej złożonym rygorom raportowym. Brak tego powiązania (deklaracja pełnego pokrycia bez rankingu lub bez wskazania, co decyduje o głębokości analizy) uniemożliwia ocenę kompletności identyfikacji.

Porównanie kategorii ryzyk zewnętrznych i wewnętrznych w GPW i PKO Banku Polskim

Pomiar i ocena: dane ilościowe, jakościowe i testy warunków skrajnych

Pomiar trzeba opisać tak konkretnie, by dało się odtworzyć logikę oceny. W PKO Banku Polskim pomiar ryzyka obejmuje określanie miar adekwatnych do rodzaju ryzyka i jego istotności oraz dostępności danych; wyniki ilościowe i jakościowe są podstawą oceny ryzyka, która określa jego poziom lub zakres. W tekście warto znaleźć cztery elementy: nazwaną miarę, jej dopasowanie do charakteru ryzyka, wskazanie danych wejściowych oraz przełożenie wyniku pomiaru na poziom lub zakres ryzyka.

Konkretne podejście pomiarowe najłatwiej odróżnić od ogólników po testach warunków skrajnych. W PKO Banku Polskim Grupa przeprowadza specyficzne testy warunków skrajnych, odrębnie dla poszczególnych rodzajów ryzyka, by ocenić wrażliwość danego ryzyka na niekorzystne sytuacje rynkowe, oraz kompleksowe testy warunków skrajnych, łącznie dla ryzyka koncentracji i rodzajów ryzyka uznanych za istotne, by określić wrażliwość miar adekwatności kapitałowej i wyników Banku na realizację negatywnego scenariusza. Testy opierają się na założeniach zapewniających rzetelną ocenę ryzyka, w szczególności z uwzględnieniem postanowień rekomendacji Komisji Nadzoru Finansowego. Jeśli raport mówi tylko o „monitorowaniu ryzyka”, bez miary, scenariusza i rodzaju testu, nie da się ocenić, jak wrażliwy jest wynik na materializację zagrożenia.

Testy warunków skrajnych w PKO Banku Polskim

Limity, tolerancja i apetyt na ryzyko

Limit ma sens tylko wtedy, gdy wiadomo, kto go ustala, jak jest monitorowany i co się dzieje po przekroczeniu. W PKO Banku Polskim kontrola ryzyka obejmuje mechanizmy kontroli dostosowane do skali i złożoności działalności Grupy Kapitałowej, w szczególności strategiczne limity tolerancji na poszczególne rodzaje ryzyka; limity są cyklicznie monitorowane, a po ich przekroczeniu podmioty Grupy podejmują działania zarządcze. W PGE S.A., jako Centrum Korporacyjne zarządzające Grupą Kapitałową, określa globalny apetyt na ryzyko i adekwatne limity oraz monitoruje ich poziomy.

Standard zarządzania ryzykiem FERMA wskazuje, że po zakończeniu analizy ryzyka trzeba porównać szacunkową wielkość ryzyka z kryteriami przyjętymi przez organizację. Czytając opis limitów, zadaj trzy pytania: czy podano poziom apetytu lub limit dla poszczególnych rodzajów ryzyka, czy opisano cykl monitorowania oraz czy w raportowanym okresie odnotowano przekroczenia i jakie działania zarządcze podjęto. Deklaracja istnienia limitów bez informacji o ich wykorzystaniu nie pozwala stwierdzić, czy ograniczenia faktycznie wiążą spółkę.

Rejestr ryzyk i działania mitygujące

Ocena działań mitygujących wymaga nazwanej skali skuteczności. W PGE księgi ryzyk pokazują zmiany wartości parametrów ryzyka wraz z informacją o realizowanych działaniach mitygujących — zmniejszających prawdopodobieństwo wystąpienia i minimalizujących negatywne skutki ryzyka — oraz ich skuteczności, oznaczanej jedną z trzech kategorii: efektywne, do usprawnienia, do zmiany.

Te kategorie pozwalają czytać raport porównawczo. Wśród najistotniejszych ryzyk dla Grupy Kapitałowej PGE ok. 86% działań mitygujących należy do kategorii efektywne, ok. 14% do kategorii do usprawnienia, a działania z kategorii do zmiany nie wystąpiły.

Zestaw te liczby z liczbą opisanych ryzyk i ich wagą. Sam brak kategorii „do zmiany” nie jest wadą. Jeśli jednak przy szerokim portfelu ryzyk żadne działanie nie wymaga zmiany ani usprawnienia, zapytaj o kryteria przypisania do kategorii. Sprawdź też, czy rejestr obejmuje ryzyka o realnie wysokim wpływie, a nie tylko łatwe w zarządzaniu.

Procentowe rozłożenie skuteczności działań mitygujących w PGE S.A.

Monitoring, prognozowanie i raportowanie: czy ryzyka są procesem ciągłym

Ciągłość procesu bywa deklarowana wprost — można ją sprawdzić po elementach wymienionych w raporcie. Proces zarządzania ryzykiem w GPW jest ciągły i obejmuje m.in. identyfikację ryzyka, rozumianą jako rozpoznanie aktualnych i potencjalnych źródeł ryzyka. W PKO Banku Polskim na proces składają się identyfikacja ryzyka, pomiar i ocena ryzyka, kontrola ryzyka, prognozowanie i monitorowanie ryzyka, raportowanie oraz działania zarządcze; prognozowanie ryzyka polega na przewidywaniu jego przyszłego poziomu. W PGE mechanizmy identyfikacji obszarów narażonych na ryzyko i sposoby pomiaru jego poziomu są ciągle weryfikowane i doskonalone, dzięki czemu istotne ryzyka pozostają w ustalonych granicach przez ograniczanie negatywnych skutków oraz działania wyprzedzające lub naprawcze.

Najprostszy test ciągłości to porównanie okresów. Zestaw tabelę ryzyk z bieżącego raportu z poprzednią i sprawdź: które ryzyka są nowe, które zniknęły i czy zniknięcie uzasadniono, czy zmieniły się poziomy i parametry poszczególnych ryzyk oraz czy zmiana poziomu ryzyka ma odpowiednik w komentarzu do wyników albo w opisie działań zarządczych. Jeśli opis jest identyczny rok do roku, a wyniki lub otoczenie regulacyjne się zmieniły, raportowanie nie wspiera decyzji — nie pokazuje, na co reaguje zarząd.

Kto odpowiada za ryzyko: role, nadzór i kultura organizacyjna

Podział odpowiedzialności powinien być opisany imiennie na poziomie organów i komórek. W GPW nadzór nad systemem zarządzania ryzykiem sprawuje Rada Giełdy, która na wniosek Zarządu zatwierdza Strategię; Radę wspiera Komitet Audytu, monitorujący skuteczność i stopień realizacji zadań związanych z zarządzaniem ryzykiem. Za zarządzanie ryzykiem odpowiada Zarząd Giełdy, wspierany przez Komitet ds. Zarządzania Ryzykiem — Zarząd ustanawia i wdraża Strategię oraz podejmuje najważniejsze decyzje wpływające na poziomy poszczególnych kategorii ryzyka. Proces monitoruje i koordynuje Dział Compliance i Ryzyka, a skuteczność systemu i jego adekwatność do profilu ryzyka okresowo weryfikuje Dział Audytu Wewnętrznego.

Trzy role — zatwierdzanie, koordynowanie i niezależna weryfikacja — powinny być rozdzielone między różne ciała. Jeśli jedna komórka koordynuje proces i ocenia jego skuteczność, kontrola jest osłabiona. Osobno sprawdź kulturę organizacyjną: GPW wskazuje, że buduje kulturę, w której nacisk kładzie się na efektywne zarządzanie ryzykiem, przestrzeganie procedur i stosowanie ustalonych reguł postępowania; działania w tym zakresie obejmują szkolenia, prowadzenie i udostępnianie pracownikom informacji z zakresu zarządzania ryzykiem oraz bieżące doradztwo.

Sygnały ostrzegawcze i luki w opisie ryzyk

Najczęstsze luki widać, gdy porówna się opis z wzorcami procesu z raportów spółek. Brak szacowania istotności potencjalnego wpływu ryzyka na sytuację finansową oznacza, że identyfikacja nie spełnia funkcji określonej w PKO Banku Polskim, gdzie obejmuje ona rozpoznanie źródeł ryzyka i oszacowanie istotności wpływu na sytuację finansową. Brak nazwanych miar i informacji o testach warunków skrajnych oznacza, że pomiar jest tylko deklarowany — w PKO opiera się na miarach adekwatnych do profilu i znaczenia ryzyka oraz dostępności danych, a testy dzielą się na specyficzne i kompleksowe.

Drugi zestaw sygnałów dotyczy zarządzania i spójności. Oceny działań mitygujących brakuje, gdy w raporcie nie ma kategorii skuteczności analogicznych do stosowanych w PGE (efektywne, do usprawnienia, do zmiany) ani informacji o zmianach parametrów ryzyka w rejestrze lub księdze ryzyk. Brak limitów i apetytu na ryzyko widać, gdy raport nie podaje, kto ustala limity, jak je monitoruje i czy w okresie sprawozdawczym wystąpiły przekroczenia oraz działania zarządcze. Ostatni sygnał to niespójność z wynikami: powtarzalne, ogólnikowe opisy ryzyk przy istotnej zmianie wyniku finansowego, zmiany poziomów ryzyk bez komentarza zarządczego oraz pominięcie podziału ról między zarząd, radę nadzorczą, komitet audytu, komitet ds. ryzyka, compliance i audyt wewnętrzny.

Praktyczny schemat analizy ryzyk w raporcie rocznym

Krok 1: zbierz wszystkie miejsca — tabelę ryzyk, opis zasad zarządzania ryzykiem, część o ładzie korporacyjnym oraz odwołania do rejestru lub księgi ryzyk i ich prowadzących. Krok 2: sklasyfikuj ryzyka na zewnętrzne (otoczenie rynkowe, regulacyjno-prawne) i wewnętrzne (operacyjne), wzorując się na podziale z GPW. Krok 3: oceń istotność — czy wskazano szacunek potencjalnego wpływu na sytuację finansową i czy głębokość analizy rośnie wraz z pozycją ryzyka w rankingu, jak w PGE. Krok 4: sprawdź pomiar — nazwane miary dopasowane do typu i wagi ryzyka, dane wejściowe oraz rodzaj i założenia testów warunków skrajnych. Krok 5: sprawdź limity — kto ustala apetyt na ryzyko i limity, jak są monitorowane i czy opisano przekroczenia oraz podjęte działania zarządcze.

Krok 6: oceń mitygacje — czy w rejestrze lub księdze ryzyk widać zmiany parametrów ryzyka wraz z działaniami i ich skutecznością oraz jaki jest rozkład kategorii skuteczności. Krok 7: sprawdź monitoring i prognozowanie — czy proces obejmuje przewidywanie przyszłego poziomu ryzyka i czy jest opisany jako ciągły, a nie jednorazowy. Krok 8: sprawdź role — czy zatwierdzanie, koordynacja i niezależna weryfikacja są rozdzielone między różne organy i komórki. Krok 9: porównaj z poprzednim raportem — nowe i usunięte ryzyka, zmiany poziomów i parametrów oraz to, czy zmiany ryzyk pokrywają się ze zmianami wyniku finansowego. Dopiero komplet tych dziewięciu elementów pozwala stwierdzić, czy sekcja ryzyk opisuje działający system, czy tylko wypełnia wymóg formalny.

Krok po kroku: analiza ryzyk w raporcie rocznym