Сначала процесс, потом система
Автоматизация дает результат только там, где есть что автоматизировать. Если порядок работы с риском не описан, система закрепит беспорядок и сделает его дороже. Поэтому мы сначала смотрим на процесс и убеждаемся, что у риска есть владелец, у меры срок, а у решения признак закрытия.
Дальше становится видно, что именно должна уметь система. Обычно выясняется, что базовых требований немного, а половина пунктов из типового технического задания компании не нужна и только удорожает внедрение.
Пока идет выбор и внедрение, компания продолжает работать. Для этого мы собираем промежуточный контур на реестре и дашборде рисков проектов, который запускается за две недели и потом переносится в систему без потери истории.
Что входит в автоматизацию
Шесть блоков. Можно взять целиком или отдельными частями, в зависимости от того, на какой стадии находится компания.
Описание объектов, связей, ролей и отчетов на языке бизнеса, а не разработчика. Документ, по которому можно разговаривать с любым поставщиком.
Сравнение доступных на рынке решений по вашим требованиям, оценка стоимости владения, риски перехода и зависимости от поставщика.
Категории рисков, владельцы, статусы, шкалы оценки и правила расчета. То, что определяет, будут ли данные сопоставимы между подразделениями.
Участие в настройке на стороне заказчика, разбор спорных решений с поставщиком, контроль соответствия исходным требованиям.
Проверка сценариев на ваших данных, а не на демонстрационном примере. Каждое требование получает отметку о выполнении.
Перенос действующего реестра с историей, обучающая сессия для пользователей, сопровождение первого отчетного цикла.
Когда система нужна, а когда рано
Честный ответ экономит компании и деньги, и год ожиданий.
Признаки того, что пора
- Несколько подразделений ведут риски параллельно
- Реестр перевалил за две-три сотни строк
- Нужна история изменений и аудиторский след
- Отчетность собирается вручную дольше дня
- Есть требования регулятора к прослеживаемости
Признаки того, что стоит подождать
- Процесс работы с риском еще не описан
- У рисков нет владельцев и сроков
- Реестр обновляется раз в год перед аудитом
- Не определено, какие решения принимаются по данным
- Нет ответственного за систему внутри компании
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
