GRC vs ERM u industriji osiguranja
GRC (engl. „Governance, Risk & Compliance“ – Upravljanje, Rizik i Usklađenost) sistem predstavlja okvir čiji je primarni fokus na obezbeđenju ispunjenosti regulatornih, pravnih i internih poslovnih zahteva kompanije, kroz integraciju strukturnog upravljanja, usklađenosti poslovanja i upravljanja rizicima.
GRC okvir treba da predstavlja integrisani pristup sa ERM okvirom, ERM za strateški nadzor rizika, GRC za integraciju usklađenosti i upravljanja, a integrisano stvaraju otpornu, transparentnu i konkurentnu kompaniju. U praksi iz GRC sistema javljaju se brojni rizici po osnovu: nedostataka jasnih politika, procedura, uloga i odgovornosti; slabih IT bezbedonosnih kontrola; neadekvatno uspostavljenih KPI/KRI i neažurnog izveštavanje o incidentima; nedovoljne alokacija alata, izgradnje veština zaposlenih, etičkog ponašanje i korporativne kulture; nedostatak dokumentacije; ignorisanja nalaza interne revizije i sl.
ERM služi za identifikaciju, procenu i upravljanje rizicima koji mogu uticati na strateške ciljeve, fokusirani na materijalne rizike u okviru cele kompanije u cilju zaštite i stvaranja vrednosti kroz upravljanje neizvesnošću u procesu poslovnog odlučivanja.
Svet se menja brže nego ikada zbog geopolitičkih tenzija, digitalizacije, AI revolucije i sve većeg uticaja različitih vrsta rizika, usled čega finansijske institucije, u narednih 3-5 godina, moraju da transformišu načine na koje razumeju i upravljaju rizicima. Neizvesnost je danas skoro deset puta veća nego pre 20 godina usled ranjivosti globalnih tokova kapitala, trgovine i lanaca snabdevanja, čime se od risk timova zahteva korišćenje naprednijih, dinamičnijih pristupa stres testovima i scenarijima, uz brzo prilagođavanje promenama. Ubrzana digitalizacija menja način ponašanja klijenata u procesu donošenja finansijskih odluka, AI menja prirodu prevara kroz cyber napade, što zahteva stvaranje timova sa specifičnim veštinama i redefinisanje okvira apetita za nefinansijskim rizicima. Povećanje međusobne zavisnosti rizika usled povezanosti tehnologija, procesa i infrastrukture povećavaju rizik domino efekata, gde jedan događaj može pokrenuti više vrsta rizika u nizu (npr. geopolitika – lanci snabdevanja – kreditni rizik – tržišni rizik), čime se zahteva integrisan pristup rizicima.
Kompanije koje se pretežno bave životnim osiguranjima naglašavaju ERM stres testiranje radi dugoročne solventnosti, dok osiguravači koji se pretežno bave zdravstvenim osiguranjem veći akcenat stavljaju na GRC usklađenost sa zdravstvenim regulativama i zaštitama podataka o ličnosti. Pretežno imovinski osiguravači kombinuju oba pristupa na način da ERM koriste za modeliranje katastrofa, a GRC za regulatorno izveštavanje. Kombinovane GRC i ERM prakse u industriji osiguranja povezuju usklađenost sa strategijom rizika (usklađenost regulatornih zahteva sa apetitom za rizicima na nivou kompanije), razvijaju kulturu svesti o riziku (obuka zaposlenih na svim nivoima da razumeju regulatorne obaveze i strateške rizike) i integrišu tehnologije (implementacija platformi koje objedinjuju GRC i ERM podatke radi boljeg donošenja odluka i bržeg reagovanja na nove rizike).
Okvir plana implementacije GRC i ERM sistema osiguravača čine sledeće ključne faze faze:
- Početna procena (analiza postojećih procesa upravljanja rizikom i usklađenosti, identifikacija regulatornih zahteva i mapiranje ključnih rizika (finansijski, operativni, sajber, reputacioni);
- Definisanje okvira (jasno definisane odgovornosti i procedure; određivanje apetita za rizicima i metodologije procene; usklađivanje oba okvira sa poslovnom strategijom);
- Organizaciona struktura (formiranje odbora za rizik i usklađenost na nivou uprave; definisanje uloga: lica zaduženih za usklađenost, risk menadžera, lica zaduženih za IT bezbednost i aktuara, kao ključnih kontrolnih funkcija 2 nivoa odbrane u sistemu upravljanja);
- Tehnološka podrška (implementacija GRC softverske platforme za praćenje regulative i izveštavanje; uvođenje ERM alata za stres testiranje i scenario analize; integracija podataka u jedinstveni dashboard za menadžment);
- Obuka i kultura (edukacija zaposlenih o regulatornim zahtevima i rizicima, promovisanje kulture svesti o riziku i odgovornosti, održavanje redovnih radionica i simulacija kriznih scenarija);
- Operativna primena (automatizacija izveštavanja, redovno sprovođenje ORSA procena i stres testova i kontinuirano praćenje ključnih indikatora rizika – KRI);
- Evaluacija i unapređenje (godišnja revizija GRC i ERM okvira).
Model tri linije ostaje ključan. Organizacije će biti cenjene po svojoj otpornosti (operativnoj i finansijskoj). Biće neophodna jednostavnija, ali moćnija arhitektura sistema, podataka i kontrola. Dinamične promene poslovnog okruženja zahtevaju i dinamično određivanje apetita za rizicima, učestalije simulacije i korišćenje tzv. digitalnih „blizanaca“ bilansa i operacija, čime će se proces odlučivanja zasnivati na većem broju automatizovanih simulacija pre bilo koje veće odluke. Kontinuirani monitoring rizika u realnom vremenu periodične kontrole i izveštaje čini zastarelim. Spajanjem finansijskih, nefinansijskih i strateških rizika obezbediće se integrisani profil rizika sa fokusom na ljudske, procesne, sistemske i podatkovne uzroke. Operativni zadaci u upravljanju rizicima biće automatizovani, ljudi će nadzirati, upravljati izuzecima i donositi konačne procene, a uloga stručnjaka biće osmišljavanje, razumevanje i kontrola AI sistema, što će dovesti do tzv. sistema „hibridne radne snage: AI agenti + ljudski nadzor“. Učenje će biti zasnovano na scenarijima i simulacijama, ne samo na iskustvu. U cilju razumevanja celog risk ekosistema u kompaniji, buduća risk funkcija će biti organizovana oko sledeća tri glavna elementa: strateški centar (postavlja risk apetite i limite, identifikuje nove rizike i sprovodi dinamičke scenarije i intenzivno sarađuje sa upravama svojih kompanija, regulatorima, ali i organizacijom u celini), specijalizovani timovi (grupisani po tipovima rizika ili pravnim licima, vođeni od strane senior risk menadžera sa dubokom ekspertizom, dok automatizacija preuzima operativne poslove, ljudi rešavaju izuzetke) i analitički centar izvrsnosti (koristi AI i „big data“ za: monitoring definisanih apetita za rizicima, detekciju odstupanja, geo-regulatorne uvide, analize klijenata i sl.).
Kompanije koje se budu prilagodile promenama kao rezultat evolucije, a ne revolucije, posebno kroz AI, integrisano upravljanje i razvoj talenata, biće one koje će postaviti standarde za budućnost industrije. Snažan GRC okvir unapređuje jasnoću upravljanja, smanjuje izloženost rizicima, jača usklađenost i omogućava održive performanse.