Effekterna av covid-19 på finansinstitutioner, den ekonomiska nedgången och förändringar i arbetsmetoder har haft breda konsekvenser för riskhanteringen. Hur har riskhanteringen redan reagerat och vilka konsekvenser har det för en strategisk omstrukturering av riskfunktioner?

År 2020 stod riskhanteringen vid finansinstitutioner inför utmaningar av en omfattning och omfattning som inte setts tidigare då världen reagerade på den globala hälsokrisen orsakad av covid-19. De åtgärder som vidtagits av regeringar, företag och konsumenter för att begränsa spridningen av det nya coronaviruset utlöste en kraftig ekonomisk nedgång, med långtgående sociala konsekvenser.

Covid-19 har också haft direkta ekonomiska konsekvenser för finansinstitutioner. Den ekonomiska nedgången ökade avsevärt kreditrisken från både privatkunder och kommersiella kunder, och många institutioner svarade med att stramare kreditstandarder. Dessutom kan det finnas större risk för bedrägerier, såsom missbruk av kunddata, fakturering för arbete som inte har slutförts eller maskopi med oansedda tredje parter.

Deloittes 12:e upplaga av den globala riskhanteringsundersökningen ¹ genomfördes från mars till september 2020 under aldrig tidigare skådade tider globalt. På frågan om de viktigaste trenderna för deras institutioner under de kommande två åren inkluderade de tillfrågade global finanskris (48 %) och globala pandemier (42 %).

Trycket på intäkterna kommer sannolikt att intensifiera strävan hos många institutioner att minska spiralutgifterna för riskhantering. Flera nyckeltrender för riskhantering framgår av undersökningsresultaten:

Ökande kreditrisk :Oron för kreditrisk toppar vanligtvis under konjunkturnedgångar och, som väntat, nämnde 20 % av de tillfrågade kreditrisk som den viktigaste risktypen för sina institut under de kommande två åren, och 62 % sa att kreditriskmätning kommer att vara en extrem eller mycket hög prioritet för sina institutioner.

Större fokus på icke-finansiella risker :Medan nästan alla svarande bedömde sina institutioner som extremt eller mycket effektiva på att hantera finansiella risker, sjönk siffran till 65 % för icke-finansiella risker totalt och var ännu lägre för specifika typer och aspekter av icke-finansiella risker. Många institutioner har arbete att göra för att förbättra sin kapacitet på detta område.

Fortsatt oro över cybersäkerhet :Institutioner har varit utsatta för cyberattacker i ett antal år, men hotet har ökat med många anställda som arbetar hemma. Endast 61 % av de tillfrågade ansåg att deras institutioner var extremt eller mycket effektiva när det gäller att hantera cybersäkerhetsrisker, och 87 % sa att en förbättring av deras förmåga att hantera cybersäkerhetsrisker kommer att vara en extremt eller mycket hög prioritet under de kommande två åren.

Riskhantering från tredje part :Tredjepartsrelationer utgör en distinkt uppsättning risker, inklusive datasekretess, bristande prestanda, oetiskt beteende och förlust av affärskontinuitet. Ändå bedömde bara 44 % av de tillfrågade sina institutioner som extremt eller mycket effektiva för att hantera risker från tredje part.

Risker på miljö, social och styrning (ESG) i fokus :Med växande oro över klimatrisk och ökad uppmärksamhet på företagens sociala ansvar, sa 47 % av de tillfrågade att det kommer att vara en extremt eller mycket hög prioritet för deras institutioner att förbättra sin förmåga att hantera ESG, inklusive klimatrisker.

Potentialen med digital riskhantering :Det har blivit ett ökande erkännande av digital tekniks potential att minska riskhanteringsutgifterna samtidigt som effektiviteten ökar. Trots de förväntade fördelarna har de flesta institutioner ännu inte implementerat dessa teknologier.

Betydande utmaningar för hantering av riskdata :Att utnyttja framväxande teknologier kräver omfattande, högkvalitativ och aktuell riskdata. Men många institutioner fortsätter att möta utmaningar när det gäller att skaffa dessa uppgifter, särskilt för icke-finansiella risker. I detta avseende sa de flesta tillfrågade att deras institutioner upplevde två problem som extremt eller mycket utmanande:att upprätthålla tillförlitliga data för att kvantifiera icke-finansiella risker och driva riskbaserade beslut, och förmågan att utnyttja och hämta alternativ data som ostrukturerad data.

Förtydligande av modellen med tre försvarslinjer :Alla de undersökta institutionerna rapporterade att de använde riskstyrningsmodellen för tre försvarslinjer, men många rapporterade betydande utmaningar. De utmaningar som nämnts oftast gällde ansvar och förmågor hos första linjen (verksamhet och funktioner).

Större fokus på stresstester: en majoritet av de tillfrågade rapporterade att deras institutioner använde stresstester för kapital och för finansiella risker som likviditet, marknad och kredit. Tillsynsmyndigheter utökar dock stresstester till att omfatta icke-finansiella risker, såsom klimat, men endast 38 % av instituten rapporterade att de genomförde stresstester för icke-finansiella risker/operativa risker.

Fortsatta framsteg när det gäller riskstyrning :På styrelsenivå sa 72 % av de tillfrågade att en eller flera styrelsekommittéer ansvarar för riskövervakning, vilket är ett tecken på framsteg i effektiv styrning. 87 procent av institutionerna rapporterade att deras styrelseriskkommittéer har oberoende styrelseledamöter, och 82 % sa att dessa kommittéer har en eller flera identifierade riskhanteringsexperter.

Universell antagande av positionen som Chief Risk Officer (CRO): Andelen institut med en CRO-position eller motsvarande har ökat under loppet av Deloittes globala riskhanteringsundersökningar, och alla institut som deltar i den aktuella undersökningen rapporterade att ha denna position. CRO ges dock inte alltid lämplig behörighet att genomföra förändringar.

Slutsats

Dessa övergripande trender är i linje med prioriteringarna för Chief Risk and Compliance Officers för schweiziska finansinstitut. I ett av våra senaste evenemang fokuserade på den schweiziska CRO-gemenskapen framkom oron över den försämrade kvaliteten på kreditböckerna som nummer 1 på den finansiella risksidan (under den första vågen av covid var detta bara ämnet nummer 4). När det gäller icke-finansiella risker (NFR) – prioriteringarna ändrades på det sättet att regulatoriska risker blev en mycket högre prioritet:

1. Cyberrisk (oförändrad till covid-våg 1)
2. Operationell risk (oförändrad till covid-våg 1)
3. Regulatorisk risk (nummer 7 i covid-våg 1)
4. Tredjepartsrisk (nummer 3 i covid-våg 1)
5. Externt bedrägeri (nummer 4 COVID i våg 1)

Riskhanteringsfunktioner kommer att behöva flexibiliteten för att snabbt kunna reagera på instabila ekonomiska förhållanden och förändrade arbetsmetoder, samtidigt som de kontinuerligt övervakar vilka förändringar som är tillfälliga svar på pandemin och vilka som är avsedda att bli permanenta.

¹ Deloittes globala riskhanteringsundersökning (12:e upplagan) är den senaste i en pågående undersökningsserie som bedömer branschens riskhanteringsmetoder och de utmaningar den står inför. Undersökningen besvarades av 57 finansinstitut runt om i världen.

Nyckelkontakt