Управление рисками: модель процесса и компетенций
Дмитрий Могилко
Асессор по модели EFQM
Партнёр ГК «Современные технологии управления» ()
Каковы критерии оценки рисков, функции риск-менеджмента и компетенции по управлению рисками, требования и рекомендации стандартов по управлению рисками? Какие возможности для унифицикации сведений о параметрах риска есть в системе Business Studio? На эти вопросы отвечает автор. Также в статье представлен обзор функций и необходимых компетенций для управления рисками, модель процесса управления рисками и структура паспорта риска.
Глобализация конкуренции, сокращение цикла производства продукции, повышение требований к гибкости производства для удовлетворения персональных предпочтений потребителей и выпуск продукции под заказ — все эти тенденции обусловливают повышение неопределенности организационной среды и необходимость формирования риск-ориентированного мышления, что отражено в ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования» [1]. При этом отмечается, что повышение результативности системы менеджмента качества (СМК) предполагает необходимость выполнения предупреждающих действий на основе планирования, анализа и улучшения деятельности, связанной с рисками и возможностями.
Риск-менеджмент становится частью процесса принятия управленческих решений в условиях неопределенности [2], поэтому для повышения результативности и эффективности таких решений необходимо углублять знания и совершенствовать деловые качества в области управления рисками. Для обобщения сведений о принципах и подходах управления рисками, представленных в большом количестве стандартов, автор предлагает использовать модель в виде семантической сети, которая отражает структуру основных понятий этой предметной области (рис. 1).
Рис. 1. Структура основных понятий риск-менеджмента
Представленная модель построена на основе следующей логики.
- Организация осуществляет деятельность в конкретной ситуации под влиянием факторов внешней и внутренней среды [2, 3], при этом:
- внешняя ситуация (среда) обусловлена влиянием культурных, социальных, правовых, финансовых, технологических, экономических факторов;
- внутренняя ситуация (среда) отражает ценности, культуру и стиль руководства, организационную и ролевую структуру, политику, цели и стратегию организации.
- Негативное развитие ситуации обусловливает возникновение опасных событий (опасностей), которые характеризуются вероятностью и последствиями их наступления.
- Появление опасного события приводит к возникновению риска — влияния неопределенности на цели организации, при этом неопределенность обусловлена недостаточностью информации, понимания или знания относительно события, его последствий или возможности.
- Из множества вероятных рисков отбираются наиболее значимые для организации с помощью критериев риска, которые представлены признаками и правилами оценки его значимости [4].
Критерии соответствуют виду риска [5] для одного из следующих классов опасностей по характеру происхождения:- природный;
- биосоциальный;
- техногенный;
- экологический;
- профессиональный;
- информационный;
- экономический;
- террористический;
- кибернетический;
- иной [6].
- Значимые для организации риски, выбранные с помощью критериев, подлежат идентификации, включая обнаружение, распознавание и описание. При идентификации опасных событий также определяются объекты воздействия (реестра риска) и методы идентификации риска [7]. Характеристика опасного события включает:
- идентификатор;
- наименование и описание, в том числе:
○ источник опасного события;
○ объект воздействий опасного события (люди, экология, экономика, система управления, социальная среда и инфраструктура организации);
○ последствия опасного события [3]; - этап жизненного цикла продукции (услуги) при возникновении опасного события;
- возможные последствия;
- необходимые предупреждающие средства контроля для реагирования на опасные события и способы восстановления деятельности [6].
В качестве средства визуализации результатов идентификации опасных событий может быть использована диаграмма «галстук-бабочка» (рис. 2) [8], включающая:
- идентифицированные опасные события (инциденты — центральные узлы диаграммы);
- источники опасных событий (на диаграмме слева) и последствия (на диаграмме справа);
- установленные барьеры, предотвращающие эскалацию опасного события (предупреждающие меры на диаграмме слева) и нежелательные последствия (средства управления для восстановления и снижения последствий на диаграмме справа).
Рис. 2. Диаграмма «галстук-бабочка»
Опасные события, их источники и возможные последствия вносятся в реестр риска организации, являющийся формой записи сведений об идентифицированном риске [7]. Реестр риска может быть разработан в полном [6] или сокращенном [7] (табл. 1) варианте в зависимости от размера и сферы деятельности организации.
| Идентификатор опасного события | Наименование и описание опасного события | Ответственный менеджер по риску | Последствия опасного события (I) | Вероятность опасного события (L) | Оценка риска (I × L) | Мероприятия по обработке риска | Срок выполнения мероприятий по обработке риска | Примечания | |
|---|---|---|---|---|---|---|---|---|---|
| План | Факт | ||||||||
- источники данных;
- средства контроля;
- методы анализа;
- последствия реализации опасного события;
- вероятность наступления опасного события;
- оценка уровня риска [6].
Для качественной (балльной) оценки уровня риска могут быть использованы следующие шкалы [7]:
- шкала последствий (табл. 2);
- шкала вероятности (табл. 3).
| Последствие (I), баллы | Описание последствий | Объекты воздействия опасного события |
|---|---|---|
| 5 | Катастрофические последствия | Люди, окружающая среда, экономика, органы государственного и муниципального управления, социальная среда, инфраструктура |
| 4 | Значительные последствия | Люди, экономика, инфраструктура, окружающая среда, социальная среда |
| 3 | Умеренные последствия | Люди, экономика, инфраструктура |
| 2 | Небольшие последствия | Экономика, инфраструктура |
| 1 | Малозначительные последствия | Социальная среда |
Примечание: объекты воздействия опасного события приведены для примера.
| Оценка вероятности, % | Качественная оценка вероятности, баллы |
|---|---|
| Очень высокая — 81–100 | Очень высокая — 5 |
| Высокая — 61–80 | Высокая — 4 |
| Средняя — 21–60 | Средняя — 3 |
| Низкая — 1–20 | Низкая — 2 |
| Очень низкая — менее 1 | Очень низкая — 1 |
Результирующая оценка значимости риска может быть представлена с помощью матрицы риска (табл. 4), при этом его уровень рассчитывается как произведение последствий (I) на вероятность (L).
| Качественная оценка вероятности опасного события | Последствия | ||||
|---|---|---|---|---|---|
| Малозначительные (1) | Небольшие (2) | Умеренные (3) | Значительные (4) | Катастрофические (5) | |
| Очень низкая (1) | 1 | 2 | 3 | 4 | 5 |
| Низкая (2) | 2 | 4 | 6 | 8 | 10 |
| Средняя (3) | 3 | 6 | 9 | 12 | 15 |
| Высокая (4) | 4 | 8 | 12 | 16 | 20 |
| Очень высокая (5) | 5 | 10 | 15 | 20 | 25 |
Следующий этап управления риском — оценивание, т. е. ответ на вопрос, являются ли риск и/или его величина приемлемыми или допустимыми (на основе сравнения результатов анализа риска с установленными критериями). Сравнительная оценка риска включает:
- определение критериев приемлемости риска;
- сопоставление оценки риска с критериями приемлемости;
- заключение о приемлемости риска и необходимости его обработки [6].
По результатам анализа определяется уровень риска в следующих интервалах:
- ранг 0 — риск отсутствует, никакие действия не предпринимаются;
- 0–4 — риск низкий, предпринимаются низкозатратные действия;
- 5–8 — риск средний, предпринимаются действия с учетом временных и экономических затрат;
- 9–16 — риск высокий, необходимо срочное выполнение мероприятий по снижению риска;
- 16–25 — риск высокий, необходимо предпринять незамедлительные действия по его снижению [7].
После оценки риска наступает этап его обработки / модификации посредством:
- избежания, т. е. отказа от деятельности;
- принятия;
- устранения источника риска;
- изменения его вероятности;
- изменения его последствий;
- разделения риска с другой стороной [2].
Обработка риска включает следующие этапы:
- определение целей обработки риска;
- определение и выбор способов обработки риска (с учетом затрат, эффективности обработки, уровня остаточного риска);
- разработка и осуществление плана обработки риска [3].
Завершающим этапом процесса менеджмента риска является мониторинг ключевых индикаторов риска. Ключевые индикаторы риска должны:
- измеряться в процентах, представлять собой число (номер) или соотношение;
- определяться сопоставимыми значениями за определенный промежуток времени;
- иметь базовые значения;
- иметь недорогие и простые (в интерпретации и контроле) данные [9, 10].
Менеджмент риска поддерживается инфраструктурой, обеспечивающей основу и организационные меры для его разработки, внедрения, мониторинга, пересмотра и постоянного улучшения. При разработке инфраструктуры менеджмента риска устанавливаются ответственность, полномочия и соответствующие компетенции.
Основная роль в процессе управления риском принадлежит менеджеру по риску, который должен принимать активное участие на этапах идентификации, оценки и обработки риска, а также:
- соблюдать принципы менеджмента риска;
- нести ответственность, выполнять обязанности и иметь полномочия в области менеджмента риска;
- формировать реестр риска и вести отчетность в соответствии с установленными в организации формами, с применением стандартизованных терминов и принятых критериев [5].
Компетенции менеджеров по риску основываются на знаниях, навыках и деловых качествах, приобретенных во время учебы и в процессе работы. Основные требования к знаниям и умениям менеджеров по риску относительно использования реестра риска включают:
- знание политики, стратегии и целей организации в области менеджмента риска;
- понимание связи политики в области риска с общей политикой и стратегическими целями организации, а также с требованиями и ожиданиями причастных к этому сторон;
- знание процессов и специфики работы организации;
- знание необходимых правовых требований, в том числе требований нормативной и технической документации: технических регламентов, стандартов и рекомендаций в области риска;
- знание и правильное использование терминов менеджмента риска;
- знание карты этого процесса;
- знания в области применения реестра риска.
Основные требования к навыкам менеджеров по риску включают способности:
- Идентифицировать, описать и зарегистрировать опасные события и оценить соответствующие им риски.
- Применять критерии допустимого риска организации.
- Задействовать методы оценки риска.
- Использовать методы разработки и ведения реестра риска.
- Применять методы обработки и мониторинга риска организации, в том числе методы оценки результативности и эффективности мероприятий по снижению риска.
- Использовать методы анализа менеджмента риска и управления документацией в этой области.
- Обеспечивать от имени высшего руководства внедрение процесса менеджмента риска, а также разработку, внедрение, функционирование и поддержку в рабочем состоянии соответствующей системы.
- Доводить до сведения высшего руководства информацию о работе системы менеджмента риска и всех необходимых улучшениях, при этом в отчете по реестру риска необходимо указывать:
- перечень опасных событий, связанный с ними риск и способы обработки;
- оценку эффективности мер по обработке ключевых видов рисков;
- произошедшие изменения за отчетный период;
- необходимые изменения в стратегиях, целях и задачах в области риск-менеджмента для предотвращения или снижения возможных потерь;
- предполагаемую причину неэффективности мероприятий по обработке риска;
- необходимые действия для выполнения мероприятий по обработке риска;
- меры повышения эффективности риск-менеджмента [6].
- Обеспечивать понимание риска персоналом организации.
- Согласовывать процесс риск-менеджмента с общей системой процессов организации.
- Внедрять решения, принятые по результатам оценки риска.
- Поддерживать и постоянно улучшать систему риск-менеджмента.
Оценка риска осуществляется группой, включающей следующие роли:
- владелец / спонсор — инициирует и контролирует осуществление оценки риска, обеспечивает необходимыми ресурсами (финансовыми, материальными, нематериальными) выполнение плана-графика по времени;
- руководитель группы — управляет выполнением оценки риска;
- эксперт по исследуемому направлению — предоставляет соответствующие информацию, данные и экспертные оценки, относящиеся к исследуемому риску;
- помощник — оказывает помощь при оценке риска, организует совещания по ней;
- участник — активно участвует в процессе оценки риска [3].
Текстовое формализованное описание процесса менеджмента риска приведено в ГОСТ Р ИСО/МЭК 12207–2010 [10] и включает следующие параметры:
- цель: постоянное определение, анализ, обработка и мониторинг рисков;
- выходы: область применения менеджмента рисков, определение и выполнение стратегий менеджмента рисков, определение рисков, анализ рисков, оценивание степени риска, применение обработки риска;
- виды деятельности: планирование менеджмента рисков, менеджмент профиля рисков, анализ рисков, обработка рисков, мониторинг рисков, оценка процесса менеджмента рисков.
В качестве графического описания процесса менеджмента риска автор предлагает IDEF0-модель (рис. 3).
Рис. 3. IDEF0-модель процесса менеджмента риска
Для развития компетенций участников менеджмента риска автор представляет параметрическую модель в форме паспорта риска (табл. 5), содержащую требования и рекомендации стандартов в области управления рисками.
Табл. 5 включает набор основных параметров риска, однако для конкретных случаев этот перечень может быть модифицирован исходя из потребностей заинтересованных сторон, среды организации и уровня компетентности участников.
| № | Параметр | Требования и рекомендации | |
|---|---|---|---|
| 1 |
| ||
| 5 |
| ||
| 6 | |||
| 7 |
| ||
| 8 |
| ||
| 10 |
| ||
| 13 | |||
| 14 | |||
| 15 | |||
| 16 |
Сведения о результативности и эффективности обработки риска (оценка и опыт) |
Направления улучшения инфраструктуры риск-менеджмента |
|
| 19 |
| ||
| 20 |
