Хорошо продуманная миссия организации отражает ее основную цель и служит путеводной звездой для всех сотрудников. Например, первый пункт знаменитого кредо Johnson & Johnson гласит: «Наша основная ответственность – перед врачами, медсестрами и пациентами, перед матерями и отцами, а также перед всеми остальными, кто пользуется нашими продуктами». Таким образом все сотрудники понимают, чьи интересы для компании приоритетны в любой ситуации. Каждый работник должен знать и поддерживать миссию организации.

Ценности

Компании должны сформулировать ценности, которыми сотрудники могут руководствоваться, взаимодействуя с клиентами, поставщиками, коллегами, представителями сообществ и акционерами. Ясная система ценностей поможет работникам избежать нарушения стандартов компании и сведет на нет угрозу ее репутации и активам.

Границы

Сильная корпоративная культура разъясняет, чего делать нельзя, а четкое определение границ эффективно контролирует действия. Только вдумайтесь: девять из десяти заповедей и девять из первых десяти поправок к Конституции США (широко известные как Билль о правах) сформулированы в отрицательной форме. Компаниям нужны корпоративные кодексы делового поведения, которые определяют действия в случае конфликта интересов, недобросовестной конкуренции, разглашения коммерческой тайны и конфиденциальной информации, взяточничества, дискриминации и сексуальных домогательств.

Конечно, четко обозначенные миссия, ценности и границы сами по себе не гарантируют, что сотрудники будут вести себя надлежащим образом. Чтобы противостоять ежедневному давлению организационной жизни, топ-менеджеры должны сами подавать пример и показывать, что их слова не расходятся с делами. Компаниям необходимо создать надежные системы внутреннего контроля: например, разделение полномочий и процесс информирования о нарушениях, чтобы не только уменьшить количество проступков, но и свести на нет любой соблазн их совершать. Независимый отдел внутреннего аудита, который бы постоянно проверял, как сотрудники соблюдают стандарты и правила компании, тоже удерживал бы людей от нарушений и выявлял бы уже совершенные.

Это внутренние риски, которые возникают в самой организации. Их можно контролировать и необходимо устранять или избегать. Например, это могут быть риски, связанные с несанкционированными, незаконными, неэтичными, неправильными или неуместными действиями сотрудников и менеджеров, а также риски сбоев в повседневных рабочих процессах. Безусловно, у компаний должна быть «зона терпимости» к недостаткам или ошибкам, которые не приведут к серьезному ущербу или полное устранение которых обойдется слишком дорого. Но в целом такие риски нужно устранять, поскольку они не дают каких-либо стратегических преимуществ. Жуликоватый трейдер или сотрудник, подкупающий местного чиновника, могут принести компании некоторую краткосрочную прибыль, но со временем их действия снизят ее стоимость.

Риски этой категории лучше всего регулировать с помощью активной профилактики: следить за рабочими процессами и поведением людей, направлять их решения в русло, соответствующее нормам. Поскольку о таком подходе на основе правил уже написано немало, мы не станем подробно разбирать его и ограничимся врезкой «Выявление предотвратимых рисков и управление ими».

Компания добровольно принимает на себя некоторые риски ради улучшения стратегических результатов. Банк берет на себя риск, например, когда он предоставляет кредит; многие компании рискуют, занимаясь исследованиями и разработками.

Стратегические риски сильно отличаются от предотвратимых рисков, так как по сути их нельзя назвать нежелательными. Стратегия, нацеленная на получение высокой прибыли, обычно предполагает значительные риски для компании, и управление ими – ключевой фактор получения потенциальной выгоды. BP серьезно рисковала, решив бурить в Мексиканском заливе скважину глубиной несколько километров, – но она надеялась хорошо заработать на добытых нефти и газе.

Модель, основанная на правилах, неприменима к стратегическим рискам. Вместо этого нужна система управления, которая снизит вероятность возникновения риска, а в случае наступления рискового события поможет компании контролировать или сдерживать последствия. Подобная система не помешает компании предпринимать рискованные шаги, а, напротив, позволит идти на более высокий риск, чтобы добиться потенциально большей прибыли, чем у конкурентов, не имеющих столь эффективной системы.

Некоторые риски возникают в результате событий, происходящих за пределами компании, и находятся вне сферы ее влияния или контроля. Источником могут быть стихийные бедствия, а также политические и крупные макроэкономические сдвиги. Внешние риски требуют особого подхода. Поскольку компании не могут предотвратить такие события, следует сосредоточиться на их выявлении (как правило, при помощи оценки событий прошлого) и смягчении последствий.

Компании должны выстраивать свои процессы управления рисками в соответствии с этими тремя категориями. Хотя тактика, основанная на соблюдении нормативных требований, эффективна в случае предотвратимых рисков, она не подходит для стратегических или внешних рисков, которые требуют принципиально иного подхода, основанного на прямом и открытом обсуждении. Это, однако, не так просто сделать; обширные исследования поведения людей и организаций показали, что мы предпочитаем не думать о вероятных рисках и не обсуждать их заранее.