انٹرپرائز رسک مینجمنٹ: ایک منظم فریم ورک
ادارے کریڈٹ، مارکیٹ، اور آپریشنل ڈومینز میں رسک کو کیسے منظم کرتے ہیں
انٹرپرائز رسک مینجمنٹ کیا ہے؟
کسی فرم کے ایک کونے میں خطرہ اس وقت تک بے ضرر لگ سکتا ہے جب تک وہ کسی دوسرے کونے کے خطرے سے نہ ملے۔ کریڈٹ تنگ ہو جاتی ہے، لیکویڈیٹی کم ہو جاتی ہے، آپریشنز میں دراڑیں پڑ جاتی ہیں — اچانک آپ تین چھوٹے مسائل سے نہیں، ایک بڑے مسئلے سے نمٹ رہے ہوتے ہیں۔
انٹرپرائز رسک مینجمنٹ (ERM) ان روابط کو جانتے بوجھتے نقشہ کرنے کی کوشش ہے: exposures کی ایک واحد فہرست، مشترکہ زبان، واضح appetite، اور ایسی رپورٹنگ جو ان لوگوں تک پہنچے جو “نہیں” کہہ سکتے ہیں۔
Barings اور Enron کو اخلاقی کہانیوں کے طور پر پڑھایا جاتا ہے؛ وہ وائرنگ ڈایاگرام بھی ہیں — کنٹرولز ٹکڑوں میں موجود تھے، کسی نے بھی مکمل سرکٹ نہیں دیکھا۔
ریگولیٹڈ مالیات کے لیے، ERM بنیادی شرط ہے۔ لیوریج، کوڈ، اور کسٹڈی کو ملانے والی کرپٹو فرموں کے لیے، اسے چھوڑنا “تیزی سے آگے بڑھنا” نہیں ہے — یہ دوسرے لوگوں کے پیسے کے ساتھ اندھا دھند اڑان ہے۔
COSO ERM فریم ورک
COSO (2017 اپڈیٹ) عام درسی کتاب کا خاکہ ہے: گورننس، حکمت عملی، کارکردگی، جائزہ، اور رپورٹنگ ایک لوپ میں — نہ کہ پانچ مراحل کی چیک لسٹ جو سال میں ایک بار فائل کی جائے۔
- گورننس اور ثقافت — بورڈ کی ذمہ داری، اوپر سے آنے والا لہجہ، ایسے incentives جو بری خبروں کو چھپانے کا انعام نہ دیں۔
- حکمت عملی اور مقاصد — تحریری طور پر رسک appetite؛ نمو کے اہداف جو سرمائے اور لیکویڈیٹی کے حفاظتی حصار سے متصادم نہ ہوں۔
- کارکردگی — شناخت کریں، جائزہ لیں، ترجیح دیں؛ قبول کریں، ٹالیں، کم کریں، یا منتقل کر کے رد عمل دیں۔
- جائزہ اور نظرثانی — نئی پروڈکٹس، نئے حملے، نئے ریگولیٹرز: نقشے کو اپڈیٹ ہونا ہوگا۔
- معلومات اور رپورٹنگ — ایسی escalations جو اس وقت پہنچیں جب کارروائی کی گنجائش باقی ہو۔
ERM کا مطلب “کوئی خطرہ نہیں” نہیں ہے۔ یہ جاننا ہے کہ آپ کو کن خطرات کے لیے معاوضہ ملتا ہے اور کن خطرات کو آپ اتفاقاً نگل رہے ہیں کیونکہ کوئی ان کا مالک ہی نہیں۔
دفاع کی تین لائنوں کا ماڈل
پہلی لائن — ڈیسکس اور بلڈرز جو کاروبار چلاتے ہیں۔ وہ خطرے اور پہلی تہہ کے کنٹرولز کے مالک ہیں: حدود، مصالحتیں، کوڈ ریویو کی عادات۔
دوسری لائن — رسک اور compliance، ایسی رپورٹنگ لائن کے ساتھ جو پہلی لائن کو اس کوارٹر کے بونس پول کی فکر کیے بغیر چیلنج کر سکے۔
تیسری لائن — internal audit، آڈٹ کمیٹی کو رپورٹ کرتا ہے۔ وہ جانچتے ہیں کہ آیا پہلی دو لائنیں حقیقتاً کام کر رہی ہیں۔
جب دوسری لائن غائب ہو یا ٹریڈنگ ادارے کو رپورٹ کرے، تو آپ کے پاس گورننس کی کوئی باریک باریکی نہیں ہوتی — آپ کے پاس بجٹ کے ساتھ ایک اندھا دھبہ ہوتا ہے۔ کرپٹو کی کئی تباہیاں محض بورنگ concentration اور لیوریج کے مسائل تھیں جنہیں ایک فعال دوسری لائن جلد ہی نشان زد کر دیتی۔
پانچ بنیادی رسک زمرے
مارکیٹ — قیمتیں آپ کے خلاف حرکت کرتی ہیں: شرح سود، FX، حصص، اجناس، ٹوکن مارکس۔
کریڈٹ — کوئی ادائیگی نہیں کرتا: قرضے، OTC، کسی وینیو پر counterparty، لینڈنگ بک پر بری کریڈٹ۔
آپریشنل — لوگ، عمل، نظام: بگز، فراڈ، کلید کی ہینڈلنگ، آؤٹیجز۔ Basel نے بینکوں کے لیے سرمایہ باقاعدہ بنایا؛ یہ اصول ہر جگہ لاگو ہوتا ہے۔
لیکویڈیٹی — آپ خود کو فنڈ نہیں کر سکتے یا مارکیٹ کو اپنے خلاف حرکت دیے بغیر باہر نہیں نکل سکتے۔
Compliance — جن اصولوں کو آپ توڑتے ہیں ان کی قیمت جرمانے، لائسنس، اور شہرت ہوتی ہے۔ کرپٹو میں اصولوں کا سیٹ اب بھی ایک متحرک ہدف ہے — یہ compliance کی سطح کو بڑھاتا ہے، کم نہیں کرتا۔
Basel III/IV اور ریگولیٹری سرمایہ
Basel وہ طریقہ ہے جس سے ریگولیٹرز ERM کو بینکوں کے لیے کم از کم اعداد میں بدلتے ہیں: CET1 بفرز، لیوریج فلورز، LCR/NSFR لیکویڈیٹی اصول۔ آپ کبھی Basel رپورٹ فائل نہ کریں؛ پھر بھی یہ خیالات prime brokers اور قرض دہندگان کے آپ کے ساتھ برتاؤ میں رچ بس جاتے ہیں۔
بین الاقوامی رہنما اصولوں میں بینکوں کے بیلنس شیٹس پر بلا پشت پناہی کرپٹو کے ساتھ سختی سے سلوک کیا گیا ہے — بہت زیادہ رسک ویٹس سوچیں۔ اس سے سرگرمی نان-بینک پائپس کی طرف منتقل ہو جاتی ہے اور یہ بدل جاتا ہے کہ کون خطرے کو warehouse کر سکتا ہے۔
ذاتی نتیجہ: لیوریج کو لیکویڈیٹی کے مطابق رکھیں، ایک کشن رکھیں، اور اپنے counterparty کو جانیں — وہی الفاظ جو Basel کے ہیں، بس spreadsheet کے بغیر۔
کرپٹو کے لیے ERM: GaiaEx کا طریقہ کار
KRIs — تھریش ہولڈز کے ساتھ ایک چھوٹا سیٹ منتخب کریں: withdrawal دباؤ، جوڑے کی concentration، لیکویڈیشن کی تعدد، latency SLOs، دائرہ اختیار کے مطابق ریگولیٹری فائلنگز۔ خلاف ورزی ایک escalation راستہ trigger کرتی ہے، نہ کہ کوئی لاپروائی کا اظہار۔
Risk appetite تحریری شکل میں ہونا چاہیے: ہم کلائنٹ کے اثاثوں کے ساتھ کیا نہیں کریں گے، proprietary رسک کتنا صفر ہے، ہم کس uptime کا ہدف رکھتے ہیں۔ ابہام وہ ہے جہاں سے intermingling شروع ہوتی ہے۔
ثقافت — near-misses کے پوسٹ مارٹم ہوتے ہیں؛ ایک اختلافی چینل کے بغیر “ہر قیمت پر بھیجیں” دونوں بار اسی طرح ختم ہوتا ہے۔
GaiaEx نان-کسٹوڈیل تصفیہ اور MPC طرز کی کلید ہینڈلنگ پر انحصار کرتا ہے تاکہ “ایک ڈیٹا بیس، ایک باس” قسم کی ناکامیوں کا ایک بڑا زمرہ کبھی وہی شکل نہ اختیار کرے۔ مارکیٹ رسک، کنٹریکٹ رسک، اور ریگولیٹری رسک باقی رہتے ہیں — انہیں ہر جگہ جیسی ہی نگرانی کے نظم و ضبط کی ضرورت ہے۔