Суть. Работа с рисками не по проектам, а по компании целиком: стратегические, операционные, финансовые, регуляторные, репутационные. Центральное понятие — аппетит к риску: какой уровень потерь компания сознательно готова принять ради роста.
Из чего состоит
| Элемент | Вопрос, на который отвечает |
|---|---|
| Аппетит к риску | Какой размер потерь мы принимаем осознанно и по каким направлениям |
| Единый реестр | Какие риски существуют и кто владелец каждого |
| Оценка | Вероятность, влияние, скорость наступления |
| Меры и остаточный риск | Что сделали и сколько риска осталось после этого |
| Признаки срабатывания | По чему заранее видно, что риск реализуется |
| Связь с решениями | Как реестр влияет на бюджет и приоритеты, а не только на отчёт |
Что отличает рабочую систему от бумажной
В рабочей системе реестр рисков открывают при принятии решений: перед выходом в новый сегмент, перед крупной сделкой, перед сменой поставщика. В бумажной его открывают перед аудитом.
Второй признак — наличие остаточного риска в явном виде. Формулировка «риск закрыт» почти всегда неверна: риск снижен, и важно знать, до какого уровня.
Где ломается
Реестр на сто позиций. Внимание руководства выдерживает десять-пятнадцать. Остальное живёт на уровне подразделений.
Оценка в баллах без денег. «Высокий риск» не помогает решить, стоит ли тратить на него бюджет.
Аппетит к риску не сформулирован. Тогда любое обсуждение сводится к спору осторожных с решительными без общей системы координат.
Зачем это нужно
Управление рисками существует не ради реестра, а ради одного вопроса: что мы делаем заранее, чтобы не решать это в аварийном режиме. Реестр без назначенных действий — документ для аудитора, а не инструмент.
Как описывается риск
| Поле | Что писать | Частая ошибка |
|---|---|---|
| Событие | Что конкретно может произойти | Формулировка «риск снижения выручки» — это последствие, а не событие |
| Причина | Из-за чего | Не указана, поэтому непонятно, на что влиять |
| Последствие | Что будет и сколько это стоит | Оценка «высокое» вместо суммы |
| Вероятность | Насколько ожидаемо на горизонте года | Ставится интуитивно и не пересматривается |
| Реакция | Принимаем, снижаем, переносим или избегаем | Реакция не выбрана — риск просто записан |
| Владелец и срок | Кто и к какой дате | Владелец «компания» |
Четыре реакции
- Принять. Осознанно и письменно: риск известен, действий не предпринимаем. Это нормальное решение, если оно названо.
- Снизить. Уменьшить вероятность или последствия: резервирование, вторая площадка, второй поставщик.
- Перенести. Страхование, условия в договоре, ответственность подрядчика.
- Избежать. Не делать то, что порождает риск. Самая недооценённая опция: иногда правильный ответ — отказаться от направления.
Риски, о которых чаще всего забывают
- Концентрация: один клиент даёт больше трети выручки, один вендор — больше трети закупок.
- Ключевой человек: экспертиза в одной голове без замены и без описания.
- Валютный: закупка в одной валюте, продажа в другой, договоры длиннее квартала.
- Зависимость от поставщика: изменение его политики или уход с рынка.
- Данные: утечка или недоступность на срок больше суток.
Первые два реализуются чаще всех и почти никогда не попадают в реестр, потому что неудобны для обсуждения.
Связанное
Реестр рисков полезен ровно настолько, насколько регулярно к нему возвращаются. Ежеквартальный пересмотр с датами и именами даёт больше, чем идеально составленный документ, открываемый раз в год.