Опережающие и запаздывающие
Ключевой индикатор риска (КИР, КРИ, KRI) это измеримый показатель, изменение которого заранее сигнализирует о росте вероятности или последствий конкретного риска. У рабочего индикатора есть формула, источник данных, периодичность, пороговые значения и заранее назначенная реакция при выходе за порог.
Запаздывающий индикатор показывает то, что уже произошло. Число несчастных случаев, сумма потерь, количество отказов. Он полезен для оценки результата, но управлять по нему нельзя, потому что событие уже наступило.
Опережающий индикатор показывает нарастание условий, при которых событие становится вероятным. Доля просроченного технического обслуживания, число вакансий в критичных подразделениях, остаток критичного сырья в сутках, доля сверхурочных часов, число выявленных при обходах нарушений. Именно на них строится управление.
Примеры пар индикаторов
Для одного и того же риска.
| Риск | Запаздывающий | Опережающий |
|---|---|---|
| Остановка производства из-за отказа оборудования | Число аварийных остановок | Доля просроченных плановых ремонтов, число отложенных заявок на запчасти |
| Срыв поставки критичного сырья | Число фактических срывов | Остаток в сутках потребления, доля закупок у единственного поставщика |
| Уход ключевого персонала | Текучесть по итогам квартала | Доля сотрудников без замены, число незакрытых вакансий свыше трех месяцев, результаты опроса вовлеченности |
| Тяжелый несчастный случай | Частота травм | Число сообщений о почти происшествиях, доля выявленных нарушений при обходах, доля выполненных мероприятий по высоким профрискам |
| Кассовый разрыв | Факт разрыва | Просроченная дебиторская задолженность, доля выручки от одного клиента, запас ликвидности в днях |
Как выбрать и настроить индикатор
Отталкиваться от риска
Индикатор выбирается под конкретный риск, а не из списка красивых показателей
Проверить связь
Задать вопрос, если этот показатель ухудшится, станет ли риск вероятнее. Если ответ неочевиден, показатель не подходит
Проверить доступность
Значение должно собираться из существующих источников без ручного труда. Индикатор, требующий двух дней работы, умрет через квартал
Задать два порога
Порог предупреждения и порог нарушения. Один порог не дает времени на реакцию
Определить реакцию
Что происходит при пересечении каждого порога, кто уведомляется и в какой срок
Назначить владельца
Тот же владелец, что и у риска. Сбор может вести другой человек
Правила, чтобы система индикаторов не развалилась
- Не более двух-трех индикаторов на риск. Десять индикаторов означают, что не выбран главный
- Не более двадцати-тридцати индикаторов на компанию в отчете верхнего уровня
- Периодичность сбора соответствует скорости изменения. Ежедневный сбор годового показателя бессмыслен
- Пороги пересматриваются раз в год. Порог, который никогда не срабатывал, скорее всего задан неверно
- Срабатывание порога обязательно порождает действие. Индикатор без реакции обучает всех его игнорировать
Таблица КИР: шаблон Excel
Таблица индикаторов с пятью примерами для типичных рисков компании: остановки оборудования, текучесть ключевого персонала, концентрация на поставщике, просроченная дебиторка, критичные уязвимости. Пороги трех цветов, реакция при красном, статус формулой.
Скачать шаблон. Лист «КИР» с 13 столбцами и пятью примерами, лист «Правила» с пятью правилами выбора индикатора. Формат xlsx.
Индикаторы ключевых рисков переносятся в раздел 6 паспорта риска. Файл отдается без регистрации и форм. Нужна адаптация под вашу компанию или система целиком: как мы это делаем и сколько занимает.
Отдельный случай индикаторов: показатели готовности к перерыву в работе, RTO, RPO и доля протестированных процессов. Чем они отличаются от обычных KPI и как их читать, разобрано на странице «KRI и KPI».
Частые вопросы
Пять-семь по верхним рискам. Попытка сразу построить систему из пятидесяти индикаторов приводит к тому, что не собирается ни один.
Тот, у кого данные уже есть, обычно профильное подразделение. Риск-функция сводит и проверяет, но не собирает вручную.
Пересмотреть порог или сам индикатор. Частые срабатывания без последствий обесценивают систему быстрее, чем их отсутствие.
Столько, сколько руководство реально смотрит. В отчете верхнего уровня не больше двадцати-тридцати, на старте пять-семь по верхним рискам, и по две-три на ключевой риск. Больше превращается в отчет, который никто не открывает.
Те, что связаны с риск-аппетитом: пересечения порогов, динамика по ключевым рискам, просроченные мероприятия и результаты тестирования контролей. Остальное остается на уровне менеджмента.
Значит, что фактическое значение показателя пересекло установленный порог, и по правилам компании это сигнал: риск вышел из нормальной зоны. Что делать дальше, определяет заранее записанная процедура: сообщить владельцу, собрать комитет или запустить план. Индикатор без записанной реакции на порог не работает.
Показатель это любая измеряемая величина. Индикатор это показатель, у которого есть порог и заранее определенная реакция на его пересечение. Выручка это показатель; доля просроченной дебиторской задолженности с порогом 10 процентов и правилом «выше порога стоп-отгрузки» это индикатор риска.
Индикатор не выполняют, его пересекают или нарушают. Правильно: «индикатор вышел за порог», «зафиксировано превышение порога по индикатору». Формулировка «не выполнен» путает индикатор с целью и с KPI.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
