Zarządzanie ryzykiem korporacyjnym (ERM): systematyczne ramy

Ryzyko w jednym kącie firmy może wyglądać niewinnie, aż spotka się z ryzykiem w innym kącie. Kredyt się zacieśnia, płynność się kurczy, operacje trzeszczą — i nagle nie masz trzech małych problemów, masz jeden duży.

Zarządzanie ryzykiem korporacyjnym (Enterprise Risk Management, ERM) to celowa próba zmapowania tych powiązań: jeden rejestr ekspozycji, wspólny język, wyraźnie określony apetyt na ryzyko i raportowanie, które trafia do ludzi mogących powiedzieć „nie”.

Barings i Enron uczy się jako historie o etyce; są też jednak schematami połączeń — kontrole istniały w kawałkach, nikt nie widział całego obwodu.

W regulowanych finansach ERM to warunek wstępny. Dla firm kryptowalutowych mieszających lewar, kod i przechowywanie środków, pominięcie go to nie „szybkie działanie” — to latanie z pieniędzmi innych ludzi na ślepo.

COSO (aktualizacja z 2017 r.) to podręcznikowy układ: zarządzanie, strategia, wyniki, przegląd i raportowanie jako pętla — nie lista pięciu punktów odhaczanych raz w roku.

• Zarządzanie i kultura — mandat zarządu, ton nadawany z góry, zachęty, które nie premiują ukrywania złych wiadomości.
• Strategia i cele — apetyt na ryzyko spisany na papierze; cele wzrostu, które nie są sprzeczne z barierami kapitałowymi i płynnościowymi.
• Wyniki — identyfikacja, ocena, priorytetyzacja; reakcja poprzez przyjęcie, uniknięcie, redukcję lub transfer.
• Przegląd i korekta — nowe produkty, nowe rodzaje ataków, nowi regulatorzy: mapa musi się aktualizować.
• Informacja i raportowanie — eskalacje, które docierają, gdy jest jeszcze przestrzeń do działania.

Pierwsza linia — desk-i i budowniczowie, którzy prowadzą biznes. Są właścicielami ryzyka i pierwszej warstwy kontroli: limitów, uzgodnień, nawyków przeglądu kodu.

Druga linia — ryzyko i compliance z linią raportowania, która może wyzwać pierwszą linię bez obawy o tegoroczny pool premiowy.

Trzecia linia — audyt wewnętrzny, raportujący do komitetu audytu. Sprawdzają, czy dwie pierwsze linie faktycznie działają.

Gdy druga linia jest nieobecna albo raportuje do organizacji handlowej, nie masz subtelnego niuansu w zarządzaniu — masz ślepy punkt z budżetem. Kilka krypto-krachów było zwykłymi problemami koncentracji i lewaru, które działająca druga linia flagowałaby wcześnie.

Rynkowe — ceny idą przeciwko tobie: stopy procentowe, FX, akcje, towary, notowania tokenów.

Kredytowe — ktoś nie płaci: pożyczki, OTC, kontrahent na platformie, złe długi w księdze pożyczkowej.

Operacyjne — ludzie, procesy, systemy: błędy, oszustwa, obsługa kluczy, przestoje. Basel sformalizował kapitał dla banków; ta intuicja stosuje się wszędzie.

Płynności — nie możesz się sfinansować albo wyjść z pozycji bez poruszenia rynku na swoją niekorzyść.

Zgodności (compliance) — złamane reguły kosztują kary, licencje i reputację. W kryptowalutach zbiór reguł to wciąż poruszający się cel — to powiększa powierzchnię compliance, nie zmniejsza jej.

Basel to sposób, w jaki regulatorzy przekładają ERM na minimalne liczby dla banków: bufory CET1, dolne progi lewaru, reguły płynności LCR/NSFR. Możesz nigdy nie złożyć raportu Basel; te idee wciąż przenikają do tego, jak główni brokerzy i pożyczkodawcy się do ciebie odnoszą.

Niezabezpieczone kryptowaluty w bilansach banków były w wytycznych międzynarodowych traktowane surowo — myśl o bardzo wysokich wagach ryzyka. To przesuwa aktywność do kanałów niebankowych i zmienia, kto może magazynować ryzyko.

Osobisty wniosek: dopasuj lewar do płynności, zachowaj bufor i znaj swojego kontrahenta — to samo słownictwo co Basel, tylko bez arkusza kalkulacyjnego.

KRI (kluczowe wskaźniki ryzyka) — wybierz niewielki zestaw z progami: presja na wypłaty, koncentracja par, częstotliwość likwidacji, cele SLO opóźnienia, zgłoszenia regulacyjne według jurysdykcji. Przekroczenie progu wyzwala ścieżkę eskalacji, nie emotikonę wzruszenia ramion.

Apetyt na ryzyko musi być spisany: czego nigdy nie zrobimy z aktywami klientów, jak duże ryzyko własne wynosi zero, jaki uptime jest naszym celem. Niejasność to sposób, w jaki zaczyna się mieszanie środków.

Kultura — sytuacje „o mało co” dostają postmortemy; „wysyłaj za wszelką cenę” bez kanału na sprzeciw kończy się tak samo dwa razy.

GaiaEx opiera się na niepowierniczym rozliczeniu i obsłudze kluczy w stylu MPC, dzięki czemu cała klasa awarii „jedna baza danych, jeden szef” nigdy nie nabierze tego samego kształtu. Ryzyko rynkowe, kontraktowe i regulacyjne pozostają — wymagają tej samej dyscypliny monitorowania jak wszędzie.