Почему связь обязательна
Определение риска содержит слово «цели» не случайно. Влияние оценивается относительно чего-то, и этим чем-то является цель. Без нее невозможно ни определить существенность, ни объяснить руководителю, почему его должно это волновать.
Проверка простая. Возьмите любую строку реестра и спросите, достижению какой цели это мешает. Если ответ звучит как «ну, вообще это плохо для компании», строка не работает.
Как выглядит связка на практике
Пример для производственной компании с целью по выручке.
| Цель | Риск | Как влияет |
|---|---|---|
| Выручка 12 млрд рублей | Срыв пуска новой линии | Недополучение 900 млн выручки во втором полугодии |
| Себестоимость не выше плана | Рост цены ключевого сырья более 20 процентов | Превышение плановой себестоимости на 4 процента |
| Ноль тяжелых происшествий | Работы подрядчика на высоте без наряда | Травма, остановка участка, предписание надзора |
| Ввод объекта в срок | Задержка поставки импортного узла | Сдвиг пуска на квартал и штраф по контракту |
Обратите внимание, в правой колонке всегда есть число или срок. Это и делает риск обсуждаемым на уровне руководства.
Что делать, если целей нет
Ситуация встречается чаще, чем принято признавать. Есть рабочие обходные пути.
- Взять бюджет. Строки бюджета это де-факто цели, и риски отлично на них ложатся
- Взять инвестиционную программу. Каждый проект имеет срок, бюджет и ожидаемый эффект
- Взять договорные обязательства. Сроки поставки и объемы это цели, за которые платят штрафы
- Взять требования регулятора. Лицензия, разрешение и допуск это цель сохранения права работать
- Спросить у генерального директора три вещи, которые не должны сорваться в этом году
Что меняется в разговоре
Реестр, привязанный к целям, читается иначе. Вместо списка неприятностей руководитель видит перечень угроз тому, за что он отчитывается перед акционером. Это единственный способ получить его внимание надолго.
Есть и обратный эффект, менее очевидный. Когда риски разложены по целям, сразу видно перекос. Например, все двадцать рисков относятся к производству, а по коммерческим и регуляторным целям в реестре пусто. Это признак не отсутствия рисков, а отсутствия людей, которые о них говорят.
Частые вопросы
Используйте обезличенную формулировку цели и ограничьте доступ к соответствующим строкам. Полностью убирать связь нельзя, иначе риск теряет смысл.
Каждый существенный, тот, что выносится на комитет. Мелкие операционные риски могут быть привязаны к процессу, а не к цели верхнего уровня.
Да, и это нормальный признак значимого риска. В реестре указывают основную цель, остальные перечисляют в описании последствий.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
