Pomiar ryzyka IT w przedsiębiorstwie

Pełen tekst

(1)POMIAR RYZYKA IT W PRZEDSIBIORSTWIE LEONARD ROZENBERG MAGDALENA KIERUZEL Zachodniopomorski Uniwersytet Technologiczny w Szczecinie Streszczenie W artykule przedstawiono adaptacj metodyki uywanej do oceny ryzyka kredytowego do celów okrelenia ryzyka wdroenia systemu informatycznego. Jest to tekst metodyczny, w którym zauwaa si, e efektywna kontrola ryzyka wymaga rónych form pomiaru tego ryzyka, w zalenoci od charakterystyki przedsibiorstwa i obszaru informatyzacji. Dla oceny ryzyka IT w wymiarze wartociowym (liczbowym) zaproponowano uycie miar, znanych z teorii ryzyka finansowego, a w szczególnoci ekspozycji na ryzyko, stopy straty i odzyskania oraz wartoci oczekiwanej ryzyka operacyjnego. Słowa kluczowe: zarzdzanie ryzykiem, ekspozycja na ryzyko, warto naraona na ryzyko (Value at Risk – VaR) 1. Postawienie problemu Pierwszym (zwykle najprostszym) krokiem w pomiarze ryzyka IT jest okrelenie danych z firm ratingowych albo okrelenie wewntrznego modelu scoringowego przedsibiorstwa. Na jego podstawie wska

(2) niki okrelajce prawdopodobiestwo wyrzdzenia szkody oraz stopa zysku zosta mog przypisane do partnerów biznesowych. Proces tworzenia systemu oceny ryzyka IT powinien bazowa na zintegrowaniu oceny jakociowej i ilociowej konkretnego partnera biznesowego. Bada te mona sytuacj finansow brany, dywersyfikacj poziomu ryzyka konkretnego partnera, trendy w jego zdolnoci płatniczej, moliwo terminowego regulowania zobowiza oraz wraliwo jego sytuacji finansowej na róne scenariusze rozwoju makro i mikroekonomicznego. Podstawowe elementy oceny kontrahenta to: • potencjał dochodowoci – zdolno przedsibiorstwa do generowania gotówki, • struktura kapitału – analiza struktury kapitału z punktu widzenia prawdopodobiestwa, e zaistnienie ryzyka (VaR) wyczerpie moliwoci absorpcji strat przez dostpne fundusze i spowoduje utrat płynnoci, • jako przychodów – procent przychodów, pochodzcych z podstawowej działalnoci gospodarczej, • dwignia operacyjna – analiza nie tylko poziomu d

(3) wigni operacyjnej, ale take wpływu, jaki moe ryzyko (VaR) wywrze na rentowno i płynno finansow przedsibiorstwa, • standardy zarz

(4) dzania – stopie agresywnoci lub konserwatyzmu działania kierownictwa przedsibiorstwa oraz umiejtno elastycznego reagowania na zmiany w otoczeniu, • ryzyko kraju – ryzyko kraju, gdzie analizowane przedsibiorstwo prowadzi działalno ..

(5) POLSKIE STOWARZYSZENIE ZARZDZANIA WIEDZ Seria: Studia i Materiały, nr 28, 2010. 249. Kolejnym krokiem jest poznanie czynników, które wpływa mog na wielko ekspozycji (np. wraliwo sytuacji finansowej na nagłe zmiany w otoczeniu). Na podstawie pomiaru ryzyka moemy zoptymalizowa zapotrzebowanie na kapitał ryzyka, który zabezpieczy np. cigło wypłacalnoci. Powinien on by przypisany do kontraktów. Ekspozycja na ryzyko powinna by. elementem oceny wyników skorygowanych o ryzyko na poziomie menederów. Jeeli przyjmiemy załoenie, e ryzyko IT to negatywna zmiana wartoci kontraktu dla zadanego czasu, niezbdne jest przyjcie zasad okrelajcych definiowanie okresu, dla którego okrelane jest to ryzyko. Zazwyczaj okrela si go w zalenoci od przeznaczenia (adresata) pomiaru ryzyka: • czas trwania umowy – dla wyceny ryzyka poszczególnych czynnoci i właciwego ustawienia ich w cenie całoci, • okres sprawozdawczy – dla projekcji wyników ekonomicznych i rozliczania wyników skorygowanych o ryzyko; analiza kamieni milowych, • okres zmian ratingu finansowego partnera – odstp pomidzy kolejnymi informacjami o sytuacji finansowej kontrahentów. Warto nieoczekiwanej straty na skutek ryzyka moe by okrelana, jako wielokrotno odchylenia standardowego oczekiwanej straty lub jako przedział wartoci pomidzy redni i załoonym poziomem ufnoci. 2. Ekspozycja na ryzyko Podstawowym krokiem w ocenie ryzyka IT jest okrelenie wartoci (liczbowych) zwizanych z nim ekspozycji. Poniewa rozpatrywane kontrakty dotycz zwykle produkcji systemów informatycznych i ich wdraania, dla których istnieje moliwo oszacowania cen rynkowych, ekspozycja zmienia si wraz ze zmian tych cen. Im wiksza jest ich zmienno , tym wysza jest potencjalna ekspozycja. Ekspozycja oznacza take koszt zamknicia pozycji, gdy partner nie dotrzyma warunków w czci lub całoci. Powinna by ona mierzona indywidualnie (np. na poziomie pojedynczego mpk – miejsce powstawania kosztów), a jej warto obejmuje wszystkie nalenoci i inne płatnoci, wynikajce z kontraktu, które nie zostały uregulowane. Ekspozycja istnieje wic od pierwszego dnia po podpisaniu umowy, czyli od momentu zawarcia kontraktu,, do momentu całkowitego uregulowania wszelkich zobowiza wzajemnych. Ekspozycja moe by te rozpatrywana jako zbiór instrumentów pochodnych w stosunku do aktywów kontraktu, odpowiadajcych wartoci ekspozycji. Ekspozycj na ryzyko zdefiniowa mona jako warto globalnej straty, która wywołana zostanie niewywizaniem si przez partnera z jego zobowiza, przy załoeniu braku odzyskania jakiejkolwiek wartoci powstałego w ten sposób zobowizania: EGR = ECR + EFR gdzie EGR – globalna ekspozycja ryzyka, ECR – bieca ekspozycja na ryzyko, EFR – potencjalna (przyszła) ekspozycja na ryzyko. Biec ekspozycj na ryzyko okrela wielko wiadcze przypadajcych na dzie pomiaru ryzyka (zarówno wiadcze przeterminowanych, jak i bdcych wynikiem zaległoci w realizacji do dnia pomiaru), które nie zostały jeszcze wykonane. Tak wic mona napisa , e:.

(6) 250. Leonard Rozenberg, Magdalena Kieruzel Pomiar ryzyka IT w przedsibiorstwie. ECR = WD +D gdzie WD – warto biecych wiadcze, które nie zostały jeszcze zapłacone, D – wiadczenia przeterminowane (take zadłuenie). Warto ECR okrela wic wielko straty, któr moemy ponie w okrelonym czasie, przy załoeniu braku moliwoci odzyskania jakiejkolwiek jej czci. Wan zmienn przy okrelaniu ekspozycji jest okres, w którym mona wstrzyma realizacj umowy (w momencie zaistnienia problemów uznanych za bardzo powane). Warto ekspozycji przyszłej (EFR) definiowana jest jako wielko straty, któr moemy ponie w sytuacji niewywizania si przez partnera z jego zobowiza w okrelonym momencie w przyszłoci. Warto ta jest kalkulowana dla rónych horyzontów czasowych i nastpnie przedstawiana w formie funkcji czasu, na podstawie której tworzona jest dystrybuanta przyszłej ekspozycji. W przypadku ekspozycji na ryzyko niedotrzymania warunków w przypadku współpracy w projekcie i wykonaniu systemu informatycznego istnieje niewielkie prawdopodobiestwo, e bdzie mona do neutralizacji tego ryzyka wykorzysta efekt dywersyfikacji. Ekspozycja całkowita powinna zosta okrelona, jako suma ekspozycji poszczególnych elementów wchodzcych w skład analizowanego zbioru czynnoci. 3. Efekt ekspozycji zast

(7) pienia Analiza ekspozycji ryzyk zwizanych z przyszłymi wiadczeniami/czynnociami powinna by. uzupełniona badaniem moliwoci redukcji lub ograniczenia tyche ryzyk poprzez zastpienie nierzetelnego kontrahenta innym (ryzyko zastpienia). Analiz tak powinno si przeprowadza. w oparciu o wartoci godziwe niezrealizowanych jeszcze czynnoci w czasie oraz potencjalne zmiany. Zobowizania partnerów wycenia mona na dwa sposoby, czyli według wartoci ksigowej lub rynkowej. Zgodnie z podejciem ksigowym ryzyko manifestuje si w momencie, gdy nierzetelny kontrahent nie wykona swojego zobowizania. Ignorowane s przy tym zmiany w wartociach rynkowych innych składników polityki rozwoju sektora IT przedsibiorstwa, bdce efektem zmian jego sytuacji finansowej czy zmian cen na rynku. Podejcie to charakteryzuje si prostot, gdy w tym przypadku rozpatruje si jedynie ryzyko niewywizania si partnera z jego zobowiza oraz niepewno , co do wielkoci, któr przedsibiorstwu uda si z konkretnego zobowizania odzyska . Kolejnym krokiem w pomiarze ekspozycji zastpienia jest zdefiniowanie profilu ryzyka. Profil ten to zbiór przyszłych wartoci kontraktów, okrelany w oparciu o wyniki analizy dla zadanego poziomu ufnoci. Podejcie bazujce na profilu ekspozycji rozpatruje wic przyszłe zmiany wartoci, indeksowanych w oparciu o dane rynkowe oraz zmienno czynników ryzyka. Przyszła ekspozycja rozpatrywana by moe w kategoriach natychmiastowego zamknicia pozycji, co spowoduje znaczce rónice w wynikach bada od okrelonej dla danych rynkowych z dnia pomiaru. Wycena wartoci ekspozycji ryzyka w oparciu o podejcie bazujce na wartociach rynkowych dla pojedynczej czynnoci bdzie wskazywa zero w momencie jej zawarcia (przy załoeniu, e kontrakt został zawarty w oparciu o ceny rynkowe). Dla stałego wolumenu warto. godziwa takiej transakcji bdzie si zmienia w wyniku zmiennoci rynku, osigajc przed jego wykonaniem maksimum i obniajc si praktycznie do zera w chwili właciwego wykonania..

(8) POLSKIE STOWARZYSZENIE ZARZDZANIA WIEDZ Seria: Studia i Materiały, nr 28, 2010. 251. Analogiczna sytuacja powsta moe w wyniku niewywizania si kontrahenta ze swoich wiadcze. Powstaje wtedy ogólnie rozumiany niedobór aktywów, który w przypadku ich wykorzystania do zabezpieczenia wyniku operacyjnego spowoduje konieczno zamknicia pozycji krótkiej, co moe równie doprowadzi do straty. Potencjalna (przyszła) ekspozycja na ryzyko wyniesie wic: EFR = PK +PFC gdzie PK – jednostkowy koszt zakupu czynnoci okrelona w umowie z partnerem, PFC – rynkowa cena sprzeday niedostarczonych elementów systemu informatycznego. Prawdopodobiestwo niedotrzymania warunków umowy (POD) naley definiowa szeroko, a wic take jako moliwo dobrowolnego lub przymusowego bankructwa, uniemoliwiajcego realizacj zobowiza. POD (przyjmuje wartoci pomidzy zero a jeden) moe by przedstawiane jako warto skumulowana dla całego okresu realizacji projektu lub osobno dla poszczególnych jego etapów (kamienie milowe). Analiza musi obejmowa od kilku do kilkunastu ryzyk. Zmienno historyczna ryzyka powinna by analizowana na podstawie porównywania wyników realizacji projektu z okrelonym benchmarkiem, którego warto mona okreli w oparciu o rynek, jeli projekt dotyczy znanego lub porównywalnego rozwizania. Odchylenie wyników biecej realizacji od rezultatów wielkoci referencyjnych wskazuje na zmienno ekspozycji POD. Prawdopodobiestwo niedotrzymania warunków kontraktu mona okreli take z punktu widzenia oczekiwanej i nieoczekiwanej straty, przy czym oczekiwane prawdopodobiestwo niedotrzymania warunków umowy jest redni (wartoci oczekiwan) rozkładu POD, na podstawie którego okrela si nieoczekiwane POD, jako okrelony percentyl rozkładu. Rozkład prawdopodobiestwa niedotrzymania warunków umowy okrelany jest w wyniku analizy czynników ryzyka, które oddziałuj na zdolnoci wykonania kontraktów ze strony partnerów biznesowych. Pewnym problemem w szacowaniu POD moe by niewielka liczba zdarze zwizanych z wyrzdzeniem szkody. Mona przyj , e im lepsza jest sytuacja finansowa kontrahenta, tym nisze jest POD. Dla ratingu AAA (Standard&Poors) prawdopodobiestwo niedotrzymania warunków umowy wynosi 0,01%, dla AA odpowiednio 0,03%, dla ratingu A to 0,11%, za dla najgorszego ratingu C wynosi ju 16,29%. 4. Stopa odzyskania Stopa odzyskania (RR) stanowi taki składnik ekspozycji, który nie przekształca si w strat w momencie wystpienia problemów z wykonaniem umowy. Jest ona niezalena od POD, cho. korelacja pomidzy RR i POD moe jednak wystpi . RR take przyjmuje wartoci pomidzy zero a jeden, ale jawi si pytanie, dla jakiego momentu okrela RR. Czy natychmiast po wystpieniu pierwszych kłopotów, czy po całkowitym rozliczeniu projektu (co moe przecie trwa długo)? Do oceny stopy odzyskania długu dobrze jest wykorzysta poziom aktywów, które s do dyspozycji. Jeeli projekcja ich wartoci wskazuje, e w przyszłoci moe ona ulec obnieniu poniej poziomu, który pozwalałby regulowa lub zabezpieczy zobowizania, powinno to znale

(9) odzwierciedlenie w odpowiednio niskim poziomie stopy odzyskania długu, wpływajc jednoczenie na wyszy poziom POD..

(10) 252. Leonard Rozenberg, Magdalena Kieruzel Pomiar ryzyka IT w przedsibiorstwie. 5. Stopa straty Przedsibiorstwo powinno okreli stop straty (LGD) indywidualnie dla kontraktu lub dla kadej grupy czynnoci, zgodnie z przyjt metodyk pomiaru ryzyka IT. LGD nie powinna by. nisza ni długoterminowa, zaobserwowana stopa strat ekonomicznych dla przekroju analitycznego brany. Naley take bra pod uwag moliwo , e w przypadku pogorszenia si warunków gospodarowania przedsibiorstw, stopa straty moe by znacznie wysza ni zaobserwowana długookresowo rednia. Ponadto moe okaza si, e dotkliwo ryzyka wybranych ekspozycji charakteryzuje si znaczn zmiennoci. Taka charakterystyka rozkładu stóp straty niektórych ekspozycji powinna by uwzgldniona w projekcjach dotkliwoci ryzyka. Rozwizaniem moe by kalkulowanie wartoci LGD, jako redniej z obserwacji dla okresów wysokiego ryzyka lub przyjcie konserwatywnych załoe dla eksperckiej oceny tych wartoci. Na postawie stopy odzyskania mona okreli stop straty (LGD), która okrelana jest za pomoc prostego wzoru: LGD = 1 – RR LGD dla transakcji moe by uznana, jako globalna stopa straty lub efektywna stopa straty (LGDE). W przypadku zastosowania zabezpiecze przed ryzykiem, ryzyko naley kalkulowa jedynie dla niezabezpieczonych ekspozycji (efektywnych ekspozycji – EE). W takim przypadku stopa straty kalkulowana moe by w oparciu o poniszy wzór:. LGD E =. Vb − Va Vb. gdzie Va – bieca warto umowy, Vb – oszacowana warto umowy po wystpieniu kłopotów u wykonawcy, co równa si NPV nalenoci pomniejszonemu o wyliczenie redukcji wartoci umowy. Dla wyliczenia LGD naley take bra pod uwag potencjalne koszty zwizane z procedur odzyskiwania długów lub zmniejszenia dolegliwoci niewywizania si partnera z umowy. 6. Wnioski kocowe – problematyka wyznaczania ł

(11) cznej wartoci ryzyka Strata spowodowana wystpieniem ryzyka IT okrelona by moe jako rónica pomidzy ekspozycj na ryzyko oraz obecn wartoci (PV) przyszłych płatnoci netto. Wtpliwo wynika z moliwoci niedotrzymania warunków umowy przez kontrahenta. Jeeli zdarzenie to nie wystpi, to przyszłe płatnoci powinny równa si ekspozycji. W momencie niedotrzymania warunków umowy zostaj one pomniejszane o wielko straty (stopa straty w wyniku wystpienia problemów z wykonaniem kontraktu – LGD). Ryzyko naley opisa zatem jako cz ekspozycji na ryzyko finansowe, któr to cz przedsibiorstwo utraci, jeeli to ryzyko wystpi (przy zadanym prawdopodobiestwie i załoonym rozkładzie). Warto oczekiwanej straty w wyniku wystpienia ryzyka dla i-tej czynnoci mona przedstawi nastpujcym wzorem:. R kELi = PODi ⋅ VaRCRi ⋅ LGDi gdzie RkELi – warto oczekiwana ryzyka operacyjnego (warto oczekiwanej straty) dla i-tej czynnoci, PODi – prawdopodobiestwo niedotrzymania warunków dla i-tej czynno-.

(12) POLSKIE STOWARZYSZENIE ZARZDZANIA WIEDZ Seria: Studia i Materiały, nr 28, 2010. 253. ci, VaRCRi – ekspozycja na ryzyko dla i-tej czynnoci (warto i-tej czynnoci według umowy), LGDi oczekiwana stopa straty zwizana z zagroeniem wystpienia problemów dla i-tej czynnoci; LGDE jest wartoci oczekiwan rozkładu zmiennej losowej LGD. Mona te szacowa j jako 1–RR. Upraszczajc analiz ryzyka do ograniczonej (zwykle niewielkiej) liczby czynnoci, wskaza. mona nastpujce prawidłowoci: • pogorszenie si warunków gospodarowania przedsibiorstw wpływa na wzrost wartoci POD i LGD, • brak ogranicze dla wzrostu wartoci czynników ryzyka sprawia, e granic dla POD i LGD jest warto jeden (lub 100%), • brak ogranicze dla redukcji wartoci czynników ryzyka kredytowego sprawia, e doln granic POD i LGD jest zero (lub 0%). n. RkELi = PODi ⋅ VaRCRi ⋅ LGDi i =1. przy czym oznaczenia s takie same, jak poprzednio. Jeeli ryzyko operacyjne IT, zwizane z działalnoci w obszarze IT wyliczane by musi dla okresu dłuszego ni 1 rok, to formuł pomiaru mona, biorc pod uwag specyfik brany IT, rozszerzy o mnonik czasu, który wzrasta moe np. o jjedno dla kadego roku (czyli Mt=2 dla dwuletniej ekspozycji, czy Mt=5 dla picioletniej). Biorc to pod uwag mona przekształci wzór na warto ryzyka do postaci: Rk = RkEL Mt gdzie Rk – warto ryzyka dla całoci trwania umowy o produkt (system) IT, RkEL – oczekiwana warto ryzyka (warto oczekiwanej straty), Mt – mnonik czasu ekspozycji. Poniewa oczekiwana warto ryzyka jest sum ryzyk poszczególnych pozycji (czynnoci), to nie mona rozpatrywa w tym przypadku efektu dywersyfikacji ryzyka. Mona próbowa oszacowa efekt całociowy, okrelajc zbiór partnerów biznesowych, którzy mog generowa w tym samym czasie kłopoty. Dzieje si tak dlatego, e niezmiernie trudno – bez wykorzystania skomplikowanych modeli analitycznych – oszacowa korelacj pomidzy indywidualnymi prawdopodobiestwami wyrzdzenia szkody (POD) przez poszczególnych wykonawców. Dla oszacowania ryzyka za pomoc tego typu podejcia niezbdne jest okrelenie wartoci oczekiwanej rozkładu strat oraz odchylenia standardowego (przyjmujc załoenie o rozkładzie normalnym). W ten sposób nastpuje okrelenie nieoczekiwanej straty, czyli jej odchylenia od wartoci redniej straty (warto oczekiwana), przy czym warto oczekiwan mona utosamia. z kosztem okrelonej czynnoci. Dopóki niepewno co do wystpienia strat w wyniku ryzyka mona opisa za pomoc dwóch stanów: wystpienie lub brak wystpienia zdarzenia, dopóty rozkład nieoczekiwanych strat ryzyka kredytowego mona przedstawi za pomoc wariancji równej POD(1-POD). Jeeli jednak rozkład LGD jest charakteryzowany niepewnoci, to naley wykorzysta odchylenie standardowe strat ((LGD)), okrelone na podstawie danych historycznych lub symulacji rozkładu LGD [7]. Efektywna kontrola ryzyka IT wymaga rónych form i poziomów skomplikowania pomiaru tego ryzyka, w zalenoci od charakterystyki funkcjonowania przedsibiorstwa. Pomiar ten musi by cile powizany z identyfikacj najwaniejszych czynników ryzyka..

(13) 254. Leonard Rozenberg, Magdalena Kieruzel Pomiar ryzyka IT w przedsibiorstwie. %LEOLRJUDILD [1]. [2]. [3] [4] [5] [6] [7] [8]. Araten M., Conceptual Framework for Economic Capital Models and Required Inputs, w: praca zbiorowa pod red. A. Dev, Economic Capital. A Practitioner Guide, Risk Book, Londyn 2004, s. 31. Araten M., Conceptual Framework for Economic Capital Models and Required Inputs, w: praca zbiorowa pod red. A. Dev, Economic Capital. A Practitioner Guide, Risk Book, Londyn 2004, s. 16. Credit risk modeling: Current practices and applications, Basle Committee on Banking Supervision, Bazylea 1999, s. 96. CreditMetricsTM- Technical Document, J.P. Morgan, Nowy Jork 1997, s. 60. Dziekoski P., Nowa Bazylejska Umowa Kapitałowa – konsekwencje dla rynku kredytowego, w: „Materiały i Studia” nr 164, NBP, Warszawa 2003, s. 17. Frye J., Recovery Risk and Economic Capital, w: praca zbiorowa pod red. A. Dev, Economic Capital. A Practitioner Guide, Risk Book, Londyn 2004, s. 31. Gtarek D., R. Maksymiuk, M. Krysiak, Ł. Witkowski, Nowoczesne metody zarzdzania ryzykiem, WIG-Press, Warszawa 2001, s. 99. Waine P., O. Zakharow, Achieving Credit Risk Measurement Best Practice, w: „The Risk Desk” 2004, vol. IV, nr 3..

(14) POLSKIE STOWARZYSZENIE ZARZDZANIA WIEDZ Seria: Studia i Materiały, nr 28, 2010. MEASUREMENT OF RISK IT IN A FIRM Summary An adaptation of methodology used to defining the credit risk to aims of defining the risk of accustoming a computer system was shown in the article. It is methodological text which, they notice that the effective risk control requires different forms of the risk measurement, in depending on characteristics of the enterprise and area of the computerization. For the estimation of the IT risk in the valuable dimension (numerical) using the measures from the theory of the financial risk particularly the exhibition by losses to the risk, feet and retrieving and expected value of the operating risk were proposed. Keywords: risk management, risk exposure, value at risk (VaR). Leonard Rozenberg Magdalena Kieruzel Katedra Organizacji i Zarzdzania Wydział Informatyki Zachodniopomorski Uniwersytet Technologiczny w Szczecinie ul. ołnierska 49, Szczecin e-mail: lrozengerg@wi.zut.edu.pl mkieruzel@wi.zut.edu.pl http://wi.zut.edu.pl/. 255.

(15)