Зачем вообще оценивать
Оценка это не про точность, а про сопоставимость. Компания не может заниматься сотней рисков одновременно, поэтому нужен способ выстроить их в очередь и защитить эту очередь перед руководством. Оценка дает общее основание, по которому риски разных подразделений становятся сравнимыми.
Отсюда следует важное. Уточнять оценку имеет смысл ровно до того момента, пока это меняет решение. Если риск попадает в красную зону и при вероятности 30 процентов, и при вероятности 60, спор о том, какая цифра вернее, бессмыслен, решение одинаковое.
Методы оценки описаны в ГОСТ Р 58771 «Менеджмент риска. Технологии оценки риска», это российская версия международного стандарта по методам. Ниже разобраны те из них, которые реально применяются в корпоративной практике.
Пример шкалы вероятности
Шкала работает тогда, когда у каждого уровня есть словесное и числовое описание. Без числового ориентира разные эксперты понимают слово «возможно» по-разному, и оценки перестают быть сопоставимыми.
| Уровень | Как понимать |
|---|---|
| 5 · Почти наверняка | Чаще одного раза в год или вероятность выше 80 процентов |
| 4 · Вероятно | Раз в один-три года или вероятность от 50 до 80 процентов |
| 3 · Возможно | Раз в три-пять лет или вероятность от 20 до 50 процентов |
| 2 · Маловероятно | Раз в пять-десять лет или вероятность от 5 до 20 процентов |
| 1 · Редко | Реже одного раза в десять лет или вероятность ниже 5 процентов |
Шкалу влияния строят так же, привязывая уровни к деньгам, срокам, безопасности и репутации. Обычно берут худшее из значений по всем измерениям.
Что матрица не умеет
Матрица вероятность-влияние удобна и потому применяется почти везде. Полезно понимать три ее ограничения, чтобы не принимать по ней решений, которых она не выдерживает.
Первое, матрица не складывает риски. Десять рисков в желтой зоне могут в сумме дать больше потерь, чем один красный, но на карте этого не видно. Для суммарного взгляда нужны количественные методы.
Второе, произведение вероятности на влияние уравнивает совершенно разные ситуации. Частое мелкое событие и редкая катастрофа могут получить одинаковый балл, но управляются они по-разному, и решение по ним должно приниматься на разных уровнях.
Третье, шкала порядковая, а не количественная. Уровень 4 не означает «вдвое хуже, чем 2», поэтому арифметика с этими числами за пределами ранжирования некорректна, хотя ее часто делают.
Шесть методов и когда какой нужен
Порядок примерно соответствует росту трудоемкости. В большинстве компаний рабочими остаются первые три, остальные подключаются под конкретное решение.
| Метод | Что дает | Что нужно для применения | Где уместен |
|---|---|---|---|
| Экспертная оценка по шкалам | Быстрый способ разложить портфель рисков по приоритетам | Согласованные шкалы вероятности и влияния, группа экспертов | Первичная приоритизация, регулярный пересмотр реестра |
| Анализ сценариев | Показывает, что произойдет при связке нескольких событий | Описание двух-трех сценариев и оценка последствий по каждому | Стратегические риски, проверка устойчивости плана |
| Ожидаемые потери | Переводит риск в деньги одним числом | Оценка вероятности и размера ущерба в денежном выражении | Сравнение мер по стоимости, обоснование бюджета |
| Анализ дерева отказов | Раскладывает крупное событие на цепочку причин | Схема события и данные о надежности элементов | Промышленная безопасность, технические системы |
| Метод Монте-Карло | Дает распределение исхода, а не одну цифру | Модель, распределения по параметрам, расчетная среда | Бюджет и сроки крупного проекта, инвестиционные решения |
| Стоимость под риском | Показывает потери на заданном уровне доверия | Ряд исторических данных достаточной длины | Финансовые и рыночные риски портфеля |
Оценка возможностей, а не только угроз
По ГОСТ Р ИСО 31000 риск это влияние неопределенности на цели, и влияние может быть как отрицательным, так и положительным. На практике вторую половину почти всегда теряют, и реестр превращается в список неприятностей.
Возможности оцениваются теми же инструментами. У события есть вероятность, есть влияние на цель, только со знаком плюс, и есть меры, которые повышают шанс его наступления. Разница в стратегиях реагирования, вместо «избежать, снизить, передать, принять» работает «использовать, усилить, разделить, принять».
Смысл не в симметрии ради красоты. Компания, которая обсуждает на комитете только угрозы, приучает руководителей воспринимать управление рисками как тормоз. Компания, которая рядом с угрозами показывает недоиспользованные возможности, получает совсем другое отношение к той же самой работе.
Как считают ожидаемые потери
Простейший количественный метод, который доступен любой компании и часто закрывает вопрос о том, стоит ли мера своих денег. Цифры условные.
| Показатель | Как есть | После меры |
|---|---|---|
| Вероятность события за год | 30 процентов | 10 процентов |
| Ущерб при наступлении | 20 млн рублей | 12 млн рублей |
| Ожидаемые потери за год | 6 млн рублей | 1,2 млн рублей |
| Стоимость меры | — | 1,5 млн рублей в год |
| Эффект | — | снижение потерь на 4,8 млн при затратах 1,5 млн |
Метод хорош прозрачностью. Каждое число в таблице можно оспорить и заменить, и сразу видно, как меняется вывод. Именно это и требуется на защите бюджета.
Шесть ошибок оценки
Каждая из них приводит к тому, что оценке перестают верить, а вместе с ней и всей системе управления рисками.
Риск-менеджер проставил цифры сам, потому что так быстрее. Владельцы с оценкой не согласны и не считают ее своей.
Уровни названы словами без числовых ориентиров. Через полгода никто не помнит, что означало «среднее влияние».
Спор о том, 32 процента или 38, при том что решение в обоих случаях одинаковое.
Непонятно, когда риск смотрели в последний раз и учитывает ли оценка то, что уже произошло.
Оценили как есть, меры запланировали, а какой риск станет после мер, не посчитали. Обосновать бюджет нечем.
Модель Монте-Карло на данных, которых нет. Результат выглядит убедительно и не имеет отношения к реальности.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
