Определение, которое стоит выучить
Риск это влияние неопределенности на цели, так определяет его ГОСТ Р ИСО 31000. Влияние означает отклонение от ожидаемого, в любую сторону; неопределенность означает нехватку информации о событии, его последствиях или вероятности; цели означают, что риск существует только относительно того, чего компания хочет достичь.
Отсюда простая проверка. Если в формулировке риска не видно, какой цели он касается, перед вами пока тема для обсуждения.
Чем риск отличается от соседних понятий
Три слова, которые в разговоре путают чаще всего.
| Понятие | Когда употребляется | Что с ним делают |
|---|---|---|
| Риск | Событие еще не произошло, есть неопределенность | Оценивают, назначают владельца, планируют меры |
| Проблема | Событие уже произошло | Устраняют последствия, ищут причину |
| Опасность | Источник вреда, существует постоянно | Идентифицируют, снижают уровень воздействия |
| Последствие | Результат наступления события | Оценивают в деньгах, сроках, репутации |
Практический смысл различения простой. Риском управляют заранее и относительно дешево, проблему устраняют дорого и в спешке.
Риск это не только плохо
Определение стандарта намеренно не содержит слова «потеря». Влияние может быть и положительным, и такие события тоже относятся к рискам. В российской практике эту половину почти всегда теряют, и реестр превращается в список неприятностей.
Между тем работа с возможностями идет теми же инструментами. У события есть вероятность, есть влияние на цель, только со знаком плюс, и есть меры, которые повышают шанс его наступления. Меняются только стратегии реагирования, вместо «избежать, снизить, передать, принять» работает «использовать, усилить, разделить, принять».
Компания, которая обсуждает на комитете только угрозы, приучает руководителей воспринимать управление рисками как тормоз. Компания, которая рядом с угрозами показывает недоиспользованные возможности, получает совсем другое отношение к той же самой работе.
Как проверить, что перед вами действительно риск
Пять вопросов. Если хотя бы на один из них нет ответа, формулировку надо дорабатывать.
- Какой цели компании это угрожает или помогает
- Что именно должно произойти, одно конкретное событие
- Из-за чего это может произойти, источник или причина
- Что случится, если произойдет, последствие в деньгах, сроках или безопасности
- Кто в компании может на это повлиять, будущий владелец
Почему определение важно на практике
Пока в компании нет общего определения, каждый понимает под риском свое. Служба безопасности имеет в виду угрозу, финансисты волатильность, производство отказ оборудования, юристы претензию. Реестр из таких строк невозможно ни сложить, ни сравнить между подразделениями.
Первое, что дает утвержденное определение, это общий язык. Второе, критерий отбора, по нему из потока предложений сразу отсеивается то, что рисками не является. Третье, основание для спора с руководителем, который приносит в реестр свою любимую тему без связи с целями.
Частые вопросы
Нет. Вероятность это только одна из двух характеристик риска, вторая это влияние на цель. Событие с высокой вероятностью и ничтожным влиянием риском в управленческом смысле не является.
Нет, произошедшее событие это проблема или инцидент. Но по его следам почти всегда формулируется риск повторения, и вот он уже попадает в реестр.
Не обязательно, но выгодно. Аудитор, акционер и банк читают одни и те же документы, и методология в терминах стандарта проходит проверку заметно быстрее авторской конструкции.
Из четырех частей: источника (что порождает событие), события (что именно происходит), последствий (что меняется в целях) и вероятности (насколько это возможно). Формулировка риска в реестре называет источник, событие и последствие; вероятность добавляет оценка.
По схеме «из-за источника может произойти событие, что приведет к последствию для цели». Пример: из-за зависимости от единственного поставщика возможен срыв поставки, что остановит производство на срок до двух недель. Подробный разбор с ошибками в материале формулировка риска.
Условия, которые повышают вероятность события или тяжесть последствий, но сами событием не являются. Износ оборудования это фактор, отказ оборудования это событие. В реестре факторы записывают как источники риска.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
