Риски процессов руководства

Цели и назначение процесса управления рисками на предприятии

Методика определения угроз и возможностей

Порядок определения угроз и возможностей, на которые необходимо реагировать предприятию

В современных условиях высокой рыночной конкуренции и постоянно меняющихся покупательских предпочтений трудно представить себе успешно развивающуюся компанию, в которой не налажен процесс управления рисками.

Управление рисками прежде всего необходимо для принятия управленческих решений в условиях, требующих выбора одного из нескольких вариантов при отсутствии определенности и однозначности преимуществ какого-либо решения.

Многие руководители считают, что они и без специальных технологий управления прекрасно видят возможные риски для компании и смогут вовремя их устранить, основываясь на собственном опыте и интуиции. Они ошибаются, и мы видим огромное количество примеров, когда крупные корпорации испытывают большие трудности в бизнесе или приходят к банкротству именно из-за ошибочных действий руководства.

Даже суперпрофессиональный руководитель не может контролировать качество всех бизнес-процессов и технологических операций компании без выделения управления рисками в отдельный процесс и вовлечения в него всех ключевых менеджеров компании. А если говорить о небольшом бизнесе, то по статистике в течение первого года работы закрываются около 90 % вновь созданных предприятий, и большинство из них — именно по причине некачественного управления предпринимательскими рисками.

ЦЕЛИ И НАЗНАЧЕНИЕ ПРОЦЕССА УПРАВЛЕНИЯ РИСКАМИ НА ПРЕДПРИЯТИИ

По общепринятой в менеджменте рисков классификации под риском подразумевается событие или стечение обстоятельств, которое в случае его реализации может существенным образом повлиять на достижение стратегических целей и текущих задач компании. Влияние риска может оказаться как негативным, т. е. несущим угрозы бизнесу, так и позитивным, предоставляющим возможности для его развития. Именно поэтому процесс управления рисками можно назвать искусством различать, что представляет собой выявленный риск — опасность для деятельности компании или наоборот, шанс ее улучшить.

Система управления рисками — это процесс, осуществляемый как руководством компании, так и ее сотрудниками. Цель этого процесса — выявить потенциальные события, которые могут повлиять на результаты деятельности компании — как положительно, так и отрицательно, и обеспечить приемлемые для компании уровень угроз или степень реализации возможностей.

Специфическая особенность данного процесса состоит в том, что он охватывает все без исключения бизнес-процессы компании и реализуется в рамках как внешнего, так и внутреннего контекстов бизнеса (рис. 1).

Основные принципы управления рисками:

1. Управление рисками — неотъемлемая часть ежедневного процесса управления, которая предполагает, что каждый сотрудник обязан выявлять и оценивать риски для наиболее эффективного принятия управленческих решений.

2. Все риски, которые возникают по внешним или внутренним причинам и могут значительно повлиять на достижение целей предприятия, должны идентифицироваться, оцениваться и документироваться, а на основе этой информации — разрабатываться мероприятия по рискам.

3. Процесс управления рисками подразумевает применение единого и стандартизированного подхода к выявлению, оценке и работе с рисками.

4. Руководители всех уровней несут ответственность за своевременное выявление рисков, их оценку, разработку мероприятий по управлению рисками и информирование всех заинтересованных сторон, в том числе работников, о рисках, влияющих на достижение поставленных перед ними целей, а также за накопление знаний о рисках и анализ реализовавшихся рисков.

5. В процессе управления рисками необходим разумный баланс издержек на управление риском и величины возможного ущерба или выгоды от наступления рискового события: если уровень риска приемлемый, а затраты на управление риском превышают возможный эффект, дополнительные мероприятия по работе с этим риском не нужны.

Методы управления рисками (рис. 2):

1. Снижение риска подразумевает воздействие на риск путем снижения вероятности реализации риска или уменьшения негативных/усиления позитивных последствий в случае реализации риска в будущем.

2. Перенос риска предполагает передачу риска (в том числе частичную) другой стороне (например, заключаются договоры страхования, хеджирования, аутсорсинга и др.) — это позволяет уменьшить негативное или усилить позитивное влияние риска на достижение целей компании.

3. Принятие риска допускает возможное наступление последствий риска с определением конкретных источников покрытия ущерба от негативных последствий.

4. Уклонение от риска означает отказ от совершения действий/мероприятий/целей, характеризующихся высокой степенью риска.

Теперь поговорим о том, как управлять рисками.

МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ И ВОЗМОЖНОСТЕЙ ДЛЯ ЦЕЛЕЙ ПРЕДПРИЯТИЯ

Алгоритм процесса управления рисками представляет собой последовательную цепочку процедур, которые помогают руководству компании эффективно минимизировать угрозы и использовать возможности для достижения целей предприятия (см. схему).

Рассмотрим эти этапы подробнее.

1. Выявляем риски.

На этом этапе определяем внутренние или внешние события, реализация которых может негативно или позитивно отразиться на достижении целей компании.

Как выявлять риски?

В первую очередь риски выявляют:

• в рамках ежегодного цикла планирования;

• в ходе анализа деятельности компании и пересмотра ее целей и бюджета;

• в текущем режиме анализа эффективности процессов компании;

• в ходе производственных совещаний и индивидуальных бесед с сотрудниками компании.

По итогам процедуры выявления рисков формируется классификатор рисков компании и назначаются ответственные по каждому из рисков.

2. Оцениваем риски.

Главная цель оценки рисков — определить уровень рисков и выделить наиболее значимые (критические) риски, которые могут негативно или позитивно влиять на деятельность компании и достижение ее стратегических целей.

Каковы критерии оценки рисков, функции риск-менеджмента и компетенции по управлению рисками, требования и рекомендации стандартов по управлению рисками? Какие возможности для унифицикации сведений о параметрах риска есть в системе Business Studio? На эти вопросы отвечает автор. Также в статье представлен обзор функций и необходимых компетенций для управления рисками, модель процесса управления рисками и структура паспорта риска.

Глобализация конкуренции, сокращение цикла производства продукции, повышение требований к гибкости производства для удовлетворения персональных предпочтений потребителей и выпуск продукции под заказ — все эти тенденции обусловливают повышение неопределенности организационной среды и необходимость формирования риск-ориентированного мышления, что отражено в ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования» [1]. При этом отмечается, что повышение результативности системы менеджмента качества (СМК) предполагает необходимость выполнения предупреждающих действий на основе планирования, анализа и улучшения деятельности, связанной с рисками и возможностями.

Риск-менеджмент становится частью процесса принятия управленческих решений в условиях неопределенности [2], поэтому для повышения результативности и эффективности таких решений необходимо углублять знания и совершенствовать деловые качества в области управления рисками. Для обобщения сведений о принципах и подходах управления рисками, представленных в большом количестве стандартов, автор предлагает использовать модель в виде семантической сети, которая отражает структуру основных понятий этой предметной области (рис. 1).

Рис. 1. Структура основных понятий риск-менеджмента

Представленная модель построена на основе следующей логики.

1. Организация осуществляет деятельность в конкретной ситуации под влиянием факторов внешней и внутренней среды [2, 3], при этом:
   • внешняя ситуация (среда) обусловлена влиянием культурных, социальных, правовых, финансовых, технологических, экономических факторов;
   • внутренняя ситуация (среда) отражает ценности, культуру и стиль руководства, организационную и ролевую структуру, политику, цели и стратегию организации.
2. Негативное развитие ситуации обусловливает возникновение опасных событий (опасностей), которые характеризуются вероятностью и последствиями их наступления.
3. Появление опасного события приводит к возникновению риска — влияния неопределенности на цели организации, при этом неопределенность обусловлена недостаточностью информации, понимания или знания относительно события, его последствий или возможности.
4. Из множества вероятных рисков отбираются наиболее значимые для организации с помощью критериев риска, которые представлены признаками и правилами оценки его значимости [4].
   Критерии соответствуют виду риска [5] для одного из следующих классов опасностей по характеру происхождения:
   • природный;
   • биосоциальный;
   • техногенный;
   • экологический;
   • профессиональный;
   • информационный;
   • экономический;
   • террористический;
   • кибернетический;
   • иной [6].
5. Значимые для организации риски, выбранные с помощью критериев, подлежат идентификации, включая обнаружение, распознавание и описание. При идентификации опасных событий также определяются объекты воздействия (реестра риска) и методы идентификации риска [7]. Характеристика опасного события включает:
   • идентификатор;
   • наименование и описание, в том числе:
     ○  источник опасного события;
     ○  объект воздействий опасного события (люди, экология, экономика, система управления, социальная среда и инфраструктура организации);
     ○  последствия опасного события [3];
   • этап жизненного цикла продукции (услуги) при возникновении опасного события;
   • возможные последствия;
   • необходимые предупреждающие средства контроля для реагирования на опасные события и способы восстановления деятельности [6].

   В качестве средства визуализации результатов идентификации опасных событий может быть использована диаграмма «галстук-бабочка» (рис. 2) [8], включающая:

   • идентифицированные опасные события (инциденты — центральные узлы диаграммы);
   • источники опасных событий (на диаграмме слева) и последствия (на диаграмме справа);
   • установленные барьеры, предотвращающие эскалацию опасного события (предупреждающие меры на диаграмме слева) и нежелательные последствия (средства управления для восстановления и снижения последствий на диаграмме справа).

   

   Рис. 2. Диаграмма «галстук-бабочка»

6. Опасные события, их источники и возможные последствия вносятся в реестр риска организации, являющийся формой записи сведений об идентифицированном риске [7]. Реестр риска может быть разработан в полном [6] или сокращенном [7] (табл. 1) варианте в зависимости от размера и сферы деятельности организации.

   Таблица 1. Реестр риска (упрощенная форма)

   Идентифи­катор опасного события	Наименование и описание опасного события	Ответствен­ный менеджер по риску	Последствия опасного события (I)	Вероятность опасного события (L)	Оценка риска (I × L)	Мероприя­тия по обработке риска	Срок выполнения мероприятий по обработке риска	Примечания
   План	Факт

7. Следующим за идентификацией этапом процесса управления риском является анализ его природы и уровня. При анализе риска определяются:
   • источники данных;
   • средства контроля;
   • методы анализа;
   • последствия реализации опасного события;
   • вероятность наступления опасного события;
   • оценка уровня риска [6].

   Для качественной (балльной) оценки уровня риска могут быть использованы следующие шкалы [7]:

   • шкала последствий (табл. 2);
   • шкала вероятности (табл. 3).
   Таблица 2. Шкала оценивания последствий опасного события

   Последствие (I), баллы	Описание последствий	Объекты воздействия опасного события
   5	Катастрофические последствия	Люди, окружающая среда, экономика, органы государственного и муниципального управления, социальная среда, инфраструктура
   4	Значительные последствия	Люди, экономика, инфраструктура, окружающая среда, социальная среда
   3	Умеренные последствия	Люди, экономика, инфраструктура
   2	Небольшие последствия	Экономика, инфраструктура
   1	Малозначительные последствия	Социальная среда

   Примечание: объекты воздействия опасного события приведены для примера.

   Таблица 3. Шкала оценивания вероятности наступления опасного события

   Оценка вероятности, %	Качественная оценка вероятности, баллы
   Очень высокая — 81–100	Очень высокая — 5
   Высокая — 61–80	Высокая — 4
   Средняя — 21–60	Средняя — 3
   Низкая — 1–20	Низкая — 2
   Очень низкая — менее 1	Очень низкая — 1

   Результирующая оценка значимости риска может быть представлена с помощью матрицы риска (табл. 4), при этом его уровень рассчитывается как произведение последствий (I) на вероятность (L).

   Таблица 4. Матрица риска, ранги

   Качественная оценка вероятности опасного события	Последствия
   Малозначительные (1)	Небольшие (2)	Умеренные (3)	Значительные (4)	Катастрофические (5)
   Очень низкая (1)	1	2	3	4	5
   Низкая (2)	2	4	6	8	10
   Средняя (3)	3	6	9	12	15
   Высокая (4)	4	8	12	16	20
   Очень высокая (5)	5	10	15	20	25

8. Следующий этап управления риском — оценивание, т. е. ответ на вопрос, являются ли риск и/или его величина приемлемыми или допустимыми (на основе сравнения результатов анализа риска с установленными критериями). Сравнительная оценка риска включает:

   • определение критериев приемлемости риска;
   • сопоставление оценки риска с критериями приемлемости;
   • заключение о приемлемости риска и необходимости его обработки [6].

   По результатам анализа определяется уровень риска в следующих интервалах:

   • ранг 0 — риск отсутствует, никакие действия не предпринимаются;
   • 0–4 — риск низкий, предпринимаются низкозатратные действия;
   • 5–8 — риск средний, предпринимаются действия с учетом временных и экономических затрат;
   • 9–16 — риск высокий, необходимо срочное выполнение мероприятий по снижению риска;
   • 16–25 — риск высокий, необходимо предпринять незамедлительные действия по его снижению [7].

9. После оценки риска наступает этап его обработки / модификации посредством:

   • избежания, т. е. отказа от деятельности;
   • принятия;
   • устранения источника риска;
   • изменения его вероятности;
   • изменения его последствий;
   • разделения риска с другой стороной [2].

   Обработка риска включает следующие этапы:

   • определение целей обработки риска;
   • определение и выбор способов обработки риска (с учетом затрат, эффективности обработки, уровня остаточного риска);
   • разработка и осуществление плана обработки риска [3].

10. Завершающим этапом процесса менеджмента риска является мониторинг ключевых индикаторов риска. Ключевые индикаторы риска должны:

    • измеряться в процентах, представлять собой число (номер) или соотношение;
    • определяться сопоставимыми значениями за определенный промежуток времени;
    • иметь базовые значения;
    • иметь недорогие и простые (в интерпретации и контроле) данные [9, 10].

Менеджмент риска поддерживается инфраструктурой, обеспечивающей основу и организационные меры для его разработки, внедрения, мониторинга, пересмотра и постоянного улучшения. При разработке инфраструктуры менеджмента риска устанавливаются ответственность, полномочия и соответствующие компетенции.

Основная роль в процессе управления риском принадлежит менеджеру по риску, который должен принимать активное участие на этапах идентификации, оценки и обработки риска, а также:

• соблюдать принципы менеджмента риска;
• нести ответственность, выполнять обязанности и иметь полномочия в области менеджмента риска;
• формировать реестр риска и вести отчетность в соответствии с установленными в организации формами, с применением стандартизованных терминов и принятых критериев [5].

Компетенции менеджеров по риску основываются на знаниях, навыках и деловых качествах, приобретенных во время учебы и в процессе работы. Основные требования к знаниям и умениям менеджеров по риску относительно использования реестра риска включают:

• знание политики, стратегии и целей организации в области менеджмента риска;
• понимание связи политики в области риска с общей политикой и стратегическими целями организации, а также с требованиями и ожиданиями причастных к этому сторон;
• знание процессов и специфики работы организации;
• знание необходимых правовых требований, в том числе требований нормативной и технической документации: технических регламентов, стандартов и рекомендаций в области риска;
• знание и правильное использование терминов менеджмента риска;
• знание карты этого процесса;
• знания в области применения реестра риска.

Основные требования к навыкам менеджеров по риску включают способности:

1. Идентифицировать, описать и зарегистрировать опасные события и оценить соответствующие им риски.
2. Применять критерии допустимого риска организации.
3. Задействовать методы оценки риска.
4. Использовать методы разработки и ведения реестра риска.
5. Применять методы обработки и мониторинга риска организации, в том числе методы оценки результативности и эффективности мероприятий по снижению риска.
6. Использовать методы анализа менеджмента риска и управления документацией в этой области.
7. Обеспечивать от имени высшего руководства внедрение процесса менеджмента риска, а также разработку, внедрение, функционирование и поддержку в рабочем состоянии соответствующей системы.
8. Доводить до сведения высшего руководства информацию о работе системы менеджмента риска и всех необходимых улучшениях, при этом в отчете по реестру риска необходимо указывать:
   • перечень опасных событий, связанный с ними риск и способы обработки;
   • оценку эффективности мер по обработке ключевых видов рисков;
   • произошедшие изменения за отчетный период;
   • необходимые изменения в стратегиях, целях и задачах в области риск-менеджмента для предотвращения или снижения возможных потерь;
   • предполагаемую причину неэффективности мероприятий по обработке риска;
   • необходимые действия для выполнения мероприятий по обработке риска;
   • меры повышения эффективности риск-менеджмента [6].
9. Обеспечивать понимание риска персоналом организации.
10. Согласовывать процесс риск-менеджмента с общей системой процессов организации.
11. Внедрять решения, принятые по результатам оценки риска.
12. Поддерживать и постоянно улучшать систему риск-менеджмента.

Оценка риска осуществляется группой, включающей следующие роли:

• владелец / спонсор — инициирует и контролирует осуществление оценки риска, обеспечивает необходимыми ресурсами (финансовыми, материальными, нематериальными) выполнение плана-графика по времени;
• руководитель группы — управляет выполнением оценки риска;
• эксперт по исследуемому направлению — предоставляет соответствующие информацию, данные и экспертные оценки, относящиеся к исследуемому риску;
• помощник — оказывает помощь при оценке риска, организует совещания по ней;
• участник — активно участвует в процессе оценки риска [3].

Текстовое формализованное описание процесса менеджмента риска приведено в ГОСТ Р ИСО/МЭК 12207–2010 [10] и включает следующие параметры:

• цель: постоянное определение, анализ, обработка и мониторинг рисков;
• выходы: область применения менеджмента рисков, определение и выполнение стратегий менеджмента рисков, определение рисков, анализ рисков, оценивание степени риска, применение обработки риска;
• виды деятельности: планирование менеджмента рисков, менеджмент профиля рисков, анализ рисков, обработка рисков, мониторинг рисков, оценка процесса менеджмента рисков.

В качестве графического описания процесса менеджмента риска автор предлагает IDEF0-модель (рис. 3).

Рис. 3. IDEF0-модель процесса менеджмента риска

Для развития компетенций участников менеджмента риска автор представляет параметрическую модель в форме паспорта риска (табл. 5), содержащую требования и рекомендации стандартов в области управления рисками.

Табл. 5 включает набор основных параметров риска, однако для конкретных случаев этот перечень может быть модифицирован исходя из потребностей заинтересованных сторон, среды организации и уровня компетентности участников.

Таблица 5. Основные параметры паспорта риска

№	Параметр	Требования и рекомендации
1	Код регистрации (в реестре) и название риска (опасного события)	Реестр риска является формой записи информации об идентифицированном риске, сроках и способах его обработки, предупреждающих действиях. В реестр риска включают все идентифицированные опасные события, выявленные в организации и ее подразделениях, результат оценки их риска, а также оценку возможных последствий опасного события для деятельности организации в стоимостном и материальном выражении [5].
2	Тип риска (внешний или внутренний)	При установлении целей и области применения менеджмента риска организация обычно выявляет внешние и внутренние воздействия на свою деятельность, которые следует учитывать при разработке области применения и определении критериев риска [3].
3	Вид риска (экономический, технический, социальный, экологический)	Высшее руководство должно установить критерии риска, используемые в реестре. Решения о необходимости обработки риска могут быть основаны на эксплуатационных, технических, финансовых, юридических, законодательных, социальных, экологических, гуманитарных и/или других критериях. Последние должны отражать установленные цели и область применения менеджмента риска. Они связаны с политикой, целями и задачами организации и интересами причастных к процессу сторон [5].
4	Владелец риска (ответственный за менеджмент риска)	Владелец риска — лицо или организационная единица, которые имеют полномочия и несут ответственность за управление рисками [2]. Ответственность за менеджмент риска, в том числе за его контроль и мониторинг, должна быть возложена на ответственного менеджера по риску или группу менеджмента риска [7].
5	Риск-менеджеры (эксперты по оценке риска)	Для идентификации рисков необходимо привлекать людей, обладающих соответствующими знаниями [2]. Высшее руководство должно назначить во всех подразделениях организации квалифицированный персонал, ответственный за внедрение результатов анализа и оценки риска [5].
6	Область или объект воздействия риска (организация, среда, персонал, продукт, процесс)	При определении целей и области применения реестра риска в первую очередь определяют объекты реестра риска. Объектами могут быть: организация в целом, ее структурное подразделение или его часть; продукция, услуга, процесс или вид деятельности; персонал или отдельные работники [7].
7	Заинтересованные (причастные) стороны, подверженные риску	При выборе вариантов воздействия на риск организация должна рассматривать значения и восприятие заинтересованных сторон и наиболее подходящие способы обмена информации с ними [2]. Основные заинтересованные стороны должны быть привлечены к работе по установлению целей и области применения оценки риска, а в дальнейшем — в группу оценки риска для обеспечения объективности выводов [3].
8	Источник и условия возникновения риска (опасного события)	Анализ риска включает исследование источников опасных событий, их последствий и вероятности появления. При этом должны быть также идентифицированы факторы, влияющие на последствия и вероятность события. Риск должен быть проанализирован с учетом сочетания последствий события и его вероятности [7].
9	Уровень (балл) последствий воздействия риска (опасного события)	При анализе последствий определяют характер и тип воздействия, которое может произойти при возникновении конкретного события, ситуации или обстоятельств [2]. Группа оценки риска должна внимательно проанализировать весь диапазон последствий для каждого опасного события, при этом необходимо использовать таблицу последствий. Каждый вид последствий должен быть зарегистрирован в реестре риска [3].
10	Уровень (балл) вероятности возникновения опасного события	После определения последствий для каждого опасного события следует выявить соответствующую вероятность. Используя таблицу оценки вероятности опасного события, для каждого последствия каждого опасного события проводят качественную оценку вероятности и регистрируют ее в реестре риска [3].
11	Оценка уровня (ранга) риска	Ранжирование опасных событий проводят в соответствии с ущербом. Результатом анализа и сравнительной оценки риска является ранжирование, согласованное с политикой и целями организации в области риска, и принятие решения о необходимости обработки риска [6].
12	Решение о необходимости обработки риска	Оценивание риска включает сравнение уровня риска, выявленного в процессе анализа, с установленными критериями риска во время рассмотрения ситуации (контекста) [2]. Целью сравнительной оценки риска малой организации является принятие на основе результатов анализа риска и критериев приемлемости риска решений о необходимости обработки риска и о расстановке приоритетов при ее выполнении [7].
13	Мероприятия по обработке риска (снижению вероятности и/или последствий)	Целью плана обработки риска является регистрация выбранных способов обработки риска. План обработки риска должен включать в себя: детальное обоснование причин для выбора метода обработки риска; ожидаемые преимущества выбранного метода обработки риска; предлагаемые действия; необходимые ресурсы; распределение ответственности и полномочий; календарный план выполнения работ; критерии качества работы; требования к обмену информацией и мониторингу [3].
14	Ответственный за обработку риска	Организация должна разработать план мероприятий по обработке риска. В плане должны быть установлены сроки выполнения мероприятий по обработке риска и ответственные за них. Ответственными, как правило, назначают: менеджеров по риску, если в качестве стратегии снижения риска выбраны его устранение, снижение или оптимизация; ответственную сторону, если в качестве стратегии снижения риска выбрана его передача; ответственного, наделенного полномочиями принятия риска, если оно выбрано в качестве стратегии снижения риска [6].
15	Срок выполнения мероприятий по обработке риска	Этапы обработки риска включают в себя: выбор стратегии обработки риска; оценку последствий, вероятности опасного события и риска после применения выбранной стратегии обработки; идентификацию мероприятий по обработке риска; определение сроков выполнения мероприятий по обработке риска; определение ответственных за выполнение мероприятий; оценку результатов обработки риска [6].
16	Индикаторы мониторинга риска	Должна быть четко определена ответственность за проведение мониторинга и пересмотра рисков. Процессы мониторинга и пересмотра, осуществляемые организацией, должны затрагивать все аспекты процесса риск-менеджмента. Результаты мониторинга и пересмотра должны быть документированы [2]. Организация должна обеспечивать непрерывность процесса менеджмента риска, по этому необходимо проводить регулярный мониторинг всех его видов и пересмотр записей в реестре [7]. Для повышения эффективности контрольных процедур с помощью ключевых индикаторов риска необходимо: ○  выбрать индикаторы для каждого значимого риска; ○  определить интервалы значений индикаторов, соответствующие приемлемому риску, высокому риску и т. п.; ○  документировать проведение мониторинга индикаторов и предоставления соответствующей отчетности руководству [9]. Все организации должны иметь перечень индикаторов риска, которые видоизменяются с течением времени. Перечень индикаторов должен подвергаться периодическому анализу и пересмотру [9]. Службы внутреннего контроля и аудита должны с определенной периодичностью производить проверки ключевых индикаторов риска на своевременность предоставления, достоверность данных, актуальность [9]. Отчет должен содержать и структурировать следующую информацию: ○  источник информации для каждого индикатора; ○  лицо, ответственное за предоставление данных; ○  частоту обновления данных; ○  планирование, сроки и время исполнения [9].
17	Сведения о результативности и эффективности обработки риска (оценка и опыт)	В реестр риска включают также оценку выполнения мероприятий по обработке риска [6]. В качестве объектов внутреннего аудита рекомендуется использовать следующие документы: ○  реестр риска, включающий описание, категорию, причину, вероятность, воздействие на цели, предполагаемые ответные действия и текущее состояние выявленного риска; ○  карту риска, которая отражает динамику изменения состояния защищенности организации во времени; ○  панель риска, содержащую информацию о ключевых индикаторах риска и динамике их изменения во времени; ○  отчеты о выполнении планов обработки риска; ○  аналитическое заключение о защищенности организации — детальное описание риска с присвоением веса, оценкой вероятности и возможного ущерба [9].
18	Направления улучшения инфраструктуры риск-менеджмента	Организациям рекомендуется разрабатывать, внедрять и постоянно улучшать инфраструктуру, цель которой заключается в интегрировании процесса менеджмента риска в общее управление, стратегию и планирование, менеджмент, процессы отчетности, политику, ценности и культуру [2]. В рамках системы менеджмента риска необходимо установить систему отчетности об оценке риска, эффективности средств контроля и методов управления и мероприятий по обработке риска [5].
19	Периодичность актуализации оценки риска (реестра риска)	Процесс менеджмента риска должен быть непрерывным, поэтому менеджерам по риску следует проводить регулярный мониторинг всех видов риска и пересмотр записей в реестре, направленный на обеспечение достижения целей организации и выполнения установленных требований к риску. Для этого необходимы: ○  проведение регулярного анализа каждого риска, направленного на оценку полноты и правильности соответствующих описаний и расчетов, их соответствия существующим угрозам, последствиям, оценкам вероятности их появления, выбранной стратегии менеджмента риска и достаточности мер, направленных на снижение риска; ○  идентификация ключевых видов риска ответственным за менеджмент риска организации и обмен информацией о них с причастными сторонами; ○  актуализация мероприятий, направленных на снижение риска [6]. Анализ и пересмотр реестра риска следует проводить не реже одного раза в год. Периодичность анализа и пересмотра реестра риска устанавливает высшее руководство организации. Анализ и пересмотр реестра должны включать в себя обсуждение проблем, связанных с новыми видами идентифицированного риска и исключением из реестра риска устаревшей информации [6].
20	Дата актуализации сведений о риске (в реестре)	—

Для практического использования паспорт риска может быть реализован как нормативно-справочный документ в системе бизнес-моделирования Business Studio (рис. 4), при этом:

• названия параметров риска указываются в поле «Раздел» атрибутов документа;
• содержание (значение) параметров риска заносится в поле «Комментарий» атрибутов документа;



Рис. 4. Карточка документа «Паспорт риска» в системе Business Studio

• требования к параметрам риска указываются в поле «Комментарий» раздела атрибутов объекта (рис. 5).



Рис. 5. Карточка раздела документа

Использовать справочник «Разделы атрибутов объектов» удобно — в результате однократного внесения сведений (при последующем их пополнении) можно многократно автоматически выводить отчеты для различных паспортов рисков.

Для унифицированного представления содержания (шаблона) документа «Паспорт риска» используются стандартные возможности системы Business Studio по настройке и формированию пользовательских отчетов [11] (рис. 6).

Рис. 6. Шаблон пользовательского отчета «Паспорт риска»

В результате применения пользовательского отчета будет получен документ «Паспорт риска» в унифицированной форме (рис. 7).

Рис. 7. Отчет «Паспорт риска»

Для составления реестра по всем зарегистрированным в системе рискам целесообразно воспользоваться средствами OLE-автоматизации, при этом автоматически построенный Excel-отчет включает следующие разделы.

1. Лист «Матрица рисков» (рис. 8):
   • средневзвешенный уровень рисков организации (например, 10,25);
   • матрицу позиционирования рисков в координатах «Вероятность» и «Последствия» (например, риск «Высокая зависимость от ключевых сотрудников» имеет значения параметров: вероятность — 4 балла, последствия — 3 балла);
   • список (реестр) рисков, включающий дополнительные сведения: дату (обновления в карточке риска), код (регистрационный номер), владельца.



Рис. 8. Лист «Матрица рисков» Excel-отчета по мониторингу

2. Лист «Риски» (рис. 9):
   • ранг уровня риска (например, 12);
   • сведения (содержание) о параметрах риска;
   • параметры риска (ссылки).



Рис. 9. Лист «Риски» Excel-отчета по мониторингу

3. Лист «Требования» (рис. 10):
   • наименование раздела (нормативно-справочного) документа;
   • требования и рекомендации стандартов для параметра риска.



Рис. 10. Лист «Требования» Excel-отчета по мониторингу

Для удобства навигации отчет содержит необходимые автоматические ссылки.

Источники информации:

1. ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования».
2. ГОСТ Р ИСО 31000–2010 «Менеджмент риска. Принципы и руководство».
3. ГОСТ Р 51901.23–2012 «Менеджмент риска. Реестр риска. Руководство по оценке риска опасных событий для включения в реестр риска».
4. Р 50.1.068–2009 «Менеджмент риска. Рекомендации по внедрению. Часть 1: Определение области применения».
5. ГОСТ Р 51901.21–2012 «Менеджмент риска. Реестр риска. Общие положения».
6. ГОСТ Р 51901.22–2012 «Менеджмент риска. Реестр риска. Правила построения».
7. Р 50.1.084–2012 «Менеджмент риска. Реестр риска. Руководство по созданию реестра риска организации».
8. ГОСТ Р ИСО/МЭК 30010–2011 «Менеджмент риска. Методы оценки риска».
9. Р 50.1.090–2014 «Менеджмент риска. Ключевые индикаторы риска».
10. ГОСТ Р ИСО/МЭК 12207–2010 «Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств».
11. Создание пользовательских отчетов.

Опубликовано по материалам:
«Менеджмент качества», 03/2019.

Октябрь 2019 г.

Рекомендуемые материалы по тематике

Применение процессного подхода к управлению политической партией

ИТ и развитие компании. Наблюдения руководителя

План проекта внедрения Системы управления бизнес-процессами

Процессное управление с бирюзовым оттенком: оптимизация процесса управления бизнес-архитектурой банка в целях реализации гибких методологий

Риск-менеджмент — поиск возможных рисков и построение стратегии развития компании или проекта с учетом потенциальной опасности.

Хотя слово «риск» часто кажется негативным, в управлении его необязательно воспринимают как нежелательную ситуацию. Риск приносит неопределенность, которая может дать как отрицательные, так и положительные результаты. Например, компания вкладывает большие деньги в молодой стартап. Этот риск может принести как огромную прибыль, так и большие убытки. 

Риск-менеджмент не избавляет компанию от всех рисков. Во-первых, это невозможно: они встречаются везде и на любом этапе работы. Во-вторых, избегая рисков, бизнес не может развиваться. Он отказывается от всех возможностей, потому что боится неудачи. 

Поэтому риск-менеджеры не просто ликвидируют риски, а управляют ими: минимизируют негативные последствия, предлагают компромиссные решения, ищут способы использовать их в пользу компании, а иногда даже предлагают просто принять риски и не пытаться предотвратить.

Зачем нужен риск-менеджмент

Управление рисками необходимо компании не только, чтобы справляться с чрезвычайными ситуациями или принимать опасные вызовы. Оно обеспечивает стабильность и безопасность в целом. Ежедневно риск-менеджеры занимаются анализом и профилактикой даже мелких рисков, а также выполняют рутинные задачи для защиты бизнеса.

В процессе работы риск-менеджеры собирают и анализируют большое количество данных о разных сферах деятельности компании и внешних факторах, влияющих на нее. Это позволяет вовремя заметить сложности и скорректировать бизнес-стратегию. 

Например, компания передавала задачи по созданию рекламных материалов фрилансерам, потому что содержать штат специалистов для неё выходило дороже. В результате реклама часто  выходила с задержкой, так как специалисты на аутсорсе срывали сроки или пропадали. Хотя такие погрешности никому не казались особенно важными, риск-менеджеры оценили реальный ущерб. 

Оказалось, что в долгосрочной перспективе компания может потерять серьезную часть потенциальной выручки и доверие партнеров. Благодаря тщательному анализу выяснилось, что такие потери потребуют большего бюджета, чем содержание штата специалистов.

Кроме этого, исследование рисков помогает адаптироваться к современности и подготовить компанию к возможным сложностям в будущем. Такой подход, основанный на данных, считают наиболее эффективным в управлении бизнесом в нынешней реальности.

Так, компания Netflix в 2005 году создала специальное устройство для скачивания фильмов. Несмотря на потраченные на это средства, она вовремя заметила нового конкурента — YouTube, который работал с помощью потоковой передачи данных. Это значит, что сервис не требовал скачивания, а предлагал посмотреть видео сразу. Компания рассчитала все будущие риски, что помогло ей принять верное решение. Готовый продукт не выпустили на рынок, а вместо него через два года создали новый — так появился самый известный в мире стриминговый сервис. 

Какие существуют риски

Факторов, которые ставят компанию в положение неопределенности, очень много. Их по-разному классифицируют и называют. 

Так, по классификации Д. Рамсфелда риски делят на четыре категории:

• «известные известные» — риски известны и измеряемы;
• «известные неизвестные» — риски известны, но их сложно измерить;
• «неизвестные неизвестные» — рики неизвестны и поэтому ими невозможно управлять;
• «неизвестные известные» — риски известны, но их переоценивают, недооценивают или умышленно ими манипулируют.

Кроме этого, риски разделяют на внешние и внутренние, а также на контролируемые и неконтролируемые. Контролируемые — это те, на которые компания может повлиять. Например, риск того, что работники испортят партию товара. Неконтролируемые — это факторы, которые не зависят от компании. Например, риск экономического кризиса.

Неконтролируемые риски

Макроэкономические. Процессы, связанные с изменением рынка. Сюда относят вероятность инфляции и дефляции, снижения или повышения курса валют, изменение ключевой ставки Центробанка и другие факторы, которые могут повлиять на экономическое положение бизнеса. 

Общественные. Любые социальные изменения, которые могут повлиять на бизнес. Чаще всего подразумевают изменение уровней безработицы, преступности и миграции. 

К общественным рискам также относятся перемены в области социальной инфраструктуры: в медицине, образовании, культуре и других сферах.

Например, одна из причин, по которой пациенты выбирают платные клиники, — их имидж. Они выглядят современнее и дружелюбнее, чем государственные. 

После масштабного обновления городских поликлиник в Москве, платные заведения потеряли это преимущество. Более того, правительство Москвы активно уверяет, что в поликлиниках изменился подход к посетителям, появилось новое оборудование и доступная среда. Все это влияет на выбор большого сегмента аудитории в сфере медицинских услуг. Так, неконтролируемое предпринимателями изменение общественной инфраструктуры привело к риску потери клиентов.

Политические. Действия, связанные с государственной властью и изменениями геополитического климата. Они могут быть:

• глобальными — например, война;
• локальными — например, выборы в конкретном регионе страны;
• предпринимательскими — например, санкции, наложенные на деятельность конкретных компаний.

Природные. Катаклизмы или нехватка ресурсов. С одной стороны, на бизнес могут повлиять землетрясения, ураганы, засуха и другие природные катастрофы. С другой — производство может затормозить неурожайный сезон или нехватка руды.

Контролируемые риски

Коммерческие. Увеличение затрат или уменьшение доходов. 

Внешние коммерческие риски могут возникнуть, например, из-за изменения стоимости необходимых материалов или повышения арендной платы. 

Внутренние — из-за снижения спроса на продукцию, к которому привели ошибки компании, и неполучения запланированной выручки от продаж. Коммерческие риски могут возникнуть в связи с любыми ошибками в реализации товаров, поэтому включают в себя более конкретные: маркетинговые, логистические, транспортные, сервисные и другие.

Производственные. Сбои, ошибки или остановки в производстве продукции. Могут возникнуть из-за неисправностей в оборудовании, непрофессионализма или халатности сотрудников, а также использования некачественных материалов. 

Часто к производственным относят вообще любые внешние и внутренние риски, которые могут повлиять на создание продукции.

Имущественные. Потеря имущества по собственной вине или из-за стихийных бедствий. Этот риск легче предусмотреть, чем многие другие. Во многом для его минимизации используют страховые услуги.

Финансовые. Потеря денежных ресурсов. В финансовые риски входят многие другие, основные из них — это кредитные и ликвидности. Кредитный риск — это возможность того, что заемщик не выплатит кредитору средства. Компания при этом может выступать и кредитором, и заемщиком. Риск ликвидности — это ситуация, в которой предприятие не может продать активы без убытков.

Юридические. Угроза административной или уголовной ответственности. 

Предприниматели чаще всего совершают ошибки, связанные с интеллектуальной собственностью и с получением штрафов от госорганов. Иск на компанию также может подать партнер или клиент.

Репутационные. Ухудшение имиджа компании. Обычно это происходит из-за высказываний или действий представителей компании, которые приводят к общественному резонансу. Кроме этого, репутация бизнеса страдает, если его продукция или рекламные материалы вызывают неоднозначную реакцию.

Информационные. Убытки, к которым привело использование информационных технологий. Данные могут потеряться или испортиться при их неправильном хранении или передаче, а также из-за хакерских атак или фрода.

Как управляют рисками

Выявляют. Риск-менеджеры анализируют большое количество данных, связанных как с внешними, так и с внутренними процессами. Чтобы обнаружить риски, они используют множество инструментов. Один из популярных — SWOT-анализ. Это метод, который включает в себя оценку контролируемых и неконтролируемых угроз бизнесу, а также поиск возможностей для его развития.

Оценивают. Все потенциальные риски собирают в таблицу и оценивают по разным критериям. Основная задача — определить, насколько вероятно, что угроза превратится в реальную проблему. Для этого используют разные качественные и количественные методы.

В первом случае оценивают риски самостоятельно или с помощью приглашенных экспертов. Основываются на профессиональных знаниях человека, которому доверяют классифицировать риски, а также на анализе предыдущего опыта компании. Для этого ищут похожие угрозы в прошлом и оценивают, какой ущерб они принесли бизнесу.

Количественные методы основывают на цифрах и сложных математических расчетах. Это помогает определить, насколько выявленный риск повлияет на ключевые показатели компании. Например, качественный анализ показал, что угроза может серьезно увеличить цену продукта. С помощью количественного анализа определяют, какой реально может стать стоимость продукта и как это повлияет на объем продаж.

Когда риски проанализированы, их приоритезирует по степени серьезности ущерба, который они могут нанести компании. После этого работают с каждой угрозой по порядку.

Применяют инструменты. Все методы, которые используют риск-менеджеры, делят на четыре категории:

1. Избежание. Выстраивают стратегию, при которой компания избегает рискованной ситуации. Например, полностью меняет технологию производства, потому что ее продукты оказались небезопасны. Такой риск влечет за собой слишком серьезные последствия: уголовную ответственность и разорение бизнеса.
2. Снижение. Выбирают методы, которые помогают минимизировать вероятность наступления угрозы. Например, инвестируют в рискованный проект не все запланированные средства, а только часть. Другие средства вкладывают в ценные бумаги и акции. Это помогает диверсифицировать риск.
3. Распределение. Передают ответственность за риск другим лицам. Например, заключают договор с рекламным агентством, которое получает вознаграждение только за достижение результата. Тогда компании не угрожают затраты на неэффективные способы продвижения.
4. Принятие. Риск учитывают при планировании дальнейшей работы и вносят в бюджет затраты на его последствия. Например, заранее выделяют средства на поддержание производства в случае нехватки сырья.

Отслеживают эффективность работы. Когда выбранный план реализуют, в процессе собирают все данные, которые помогут определить его работоспособность. 

Важно заранее заметить, что показатели не соответствуют задуманному, и вовремя изменить стратегию.

На основе собранных данных формируют базы данных и подробные руководства, чтобы в будущем иметь готовые планы по предотвращению типовых для компании рисков. Это помогает оптимизировать работу. 

Если в первый раз для решения проблемы придется несколько раз изменить выбранную стратегию, то в будущем уже будет известно, какими инструментами стоит воспользоваться.

Главные мысли

Менеджмент рисков – это процесс принятия и реализации грамотно выработанных управленческих решений, направленных на снижение вероятности возможных потерь в бизнесе. Риск-менеджмент (risk management) может повысить деловую репутацию и увеличить эффективность работы компании.

• выявление возможных причин появления угроз;
• выработка и внедрение антикризисных решений;
• устранение факторов, стоящих на пути реализации программы.

Как управлять угрозами

1. Определение контекста

Определение контекста: внутренние особенности компании (слабые/сильные стороны) и внешние условия (политическое, социальное, конкурентное, финансовое окружение). Выделение основных критериев, по которым будут выявляться риски, обозначение результата (выигрыш, прибыль и пр.).

2. Идентификация рисков

Идентификация рисков с помощью мозгового штурма или метода экспертных оценок: на данном этапе определяются виды и причины возможных угроз. Делается прогноз возможных исходов: эксперты определяют, как риски могут помешать достижению целей. Изучаются результаты аудитов и маркетинговых исследований, страховые отчеты, базы данных по аналогичным происшествиям. Менеджеры по управлению угрозами исключают ситуации, когда остались не выявлены значимые риски, которые в будущем могут помешать достижению целей, привести к потере перспективных возможностей, утрате контроля над процессом. Именно этот этап является базовым элементом в риск-менеджменте.

3. Анализ выявленных угроз

Риску присваивается свой уровень, уточняются потенциальные последствия и схемы их возникновения.

4. Оценка

По каждой угрозе эксперты определяют соотношение между потенциальной выгодой и негативными последствиями. Определяется стоимость риска – возможные убытки компании. После корректного расчета эксперт выделяет варианты их снижения/возмещения (в случае, если убытки нельзя предотвратить).

5. Принятие и реализация решения по угрозам

Внедряются конкретные решения, планируются и проводятся мероприятия, с помощью которых можно увеличить потенциальную выгоду и минимизировать возможные потери от угроз.

6. Мониторинг

Проверяется эффективность всех этапов риск-менеджмента, выполняется доработка и улучшение процесса, контроль.

Стили и подходы менеджмента рисков

ISO 31000

Его определила Международная организация по стандартизации. ISO 31000:2019 – последняя версия (редакция) на момент написания статьи. В нем содержатся данные о принципе, структуре и процессе (включает в себя информацию про обмен информацией и консультирование, область применения, среду и критерии, оценку и обработку риска, мониторинг и пересмотр, отчетность и документирование).

CAS

Термин расшифровывается как Casualty Actuary Society. Члены этого общества – профессиональные эксперты в области страхования имущества и несчастных случаев, перестрахования, финансов, управления корпоративными рисками. Они могут помочь бизнесу и правительству принимать обоснованные стратегические, операционные и финансовые решения.

COSO

Это совместная американская инициатива, целью которой является предотвращение корпоративного мошенничества. COSO акцентирует свое внимание на 5 компонентах системы управления угрозами:

• руководство и культура;
• стратегия и постановка целей;
• производительность;
• анализ и пересмотр;
• коммуникация и отчетность.

Процент прибыльных сделок

Соотношения риска к прибыли

Время удержания позиции

Эмоциональная стабильность

Неотъемлемая составляющая для менеджмента рисков – эмоциональная стабильность. Этот параметр напрямую связан с числом реальных угроз, которые на себя берут эксперты. Этот критерий играет важную роль, ведь рисковать тоже надо уметь, потому что иногда в бизнесе достигнуть определенный уровень прибыли без рисков не получается. Пример: системы риск-менеджмента, которые построены на небольших показателях угрозы, т. е. соотношение угрозы к прибыли показывает высокую доходность, но при этом выявляется, что прибыли и убытки +/- равны по своему размеру.

Менеджмент рисков помогает обеспечить необходимый баланс между получением прибыли и сокращением убытков. Управление угрозами – это своего рода навык, который позволяет не отказываться от возможностей и в то же время свести к минимуму негативные последствия.