Что именно оцениваем
Репутационный риск это риск того, что мнение важных для компании аудиторий изменится и это изменение обернется потерями. Аудиторий обычно пять: клиенты, регулятор, кредиторы и инвесторы, сотрудники и кандидаты, партнеры и поставщики. Оценка всегда идет по аудиториям, потому что один и тот же инцидент бьет по ним по-разному: утечка данных страшнее для клиентов и регулятора, чем для поставщиков, а задержка зарплаты наоборот.
Второй момент, который надо зафиксировать до оценки: репутационный риск почти никогда не первичен. Он следствие операционного сбоя, нарушения закона, публичного конфликта или ошибки сотрудника. Поэтому в реестре его ведут либо как отдельную строку с указанием источника, либо как отдельную колонку «влияние на репутацию» у первичных рисков. Оба варианта рабочие, смешивать их нельзя.
Три метода оценки
Экспертная шкала. Самый быстрый метод и единственный доступный на старте. Группа из трех-пяти руководителей оценивает вероятность инцидента и тяжесть реакции каждой аудитории по пятибалльной шкале. Сила метода в скорости, слабость в том, что руководители систематически недооценивают реакцию внешних аудиторий и переоценивают внутренних.
Опрос аудиторий. Клиентам и сотрудникам задают прямые вопросы: что должно случиться, чтобы вы перестали с нами работать; что вы уже слышали о нас плохого. Метод дороже, зато дает не мнение о мнении, а само мнение. Для регулятора и кредиторов опрос заменяют разбором их публичных требований и прошлых реакций на похожие случаи в отрасли.
Оценка через выручку. Для крупных рисков последствия переводят в деньги: доля клиентов, которые уйдут при таком инциденте, умноженная на их годовую выручку, плюс стоимость удержания остальных, плюс рост стоимости заимствований. Метод требует данных, но только он позволяет сравнить репутационный риск с прочими в одном реестре и обосновать бюджет на его снижение.
Шкала последствий, которую можно взять как есть
Шкала привязана к наблюдаемому поведению аудиторий, а не к словам «сильный» и «слабый». Порог в деньгах каждая компания ставит свой, пропорционально выручке.
| Балл | Что происходит | Признак, который можно проверить |
|---|---|---|
| 1 | Единичные негативные отзывы, узкий круг | Нет упоминаний в СМИ и отраслевых каналах; отток клиентов не отличим от обычного |
| 2 | Локальный резонанс | Упоминания в региональных или отраслевых медиа; единичные отказы клиентов со ссылкой на инцидент |
| 3 | Заметный отток | Федеральные медиа или крупные отраслевые площадки; потеря до 5 процентов клиентов сегмента; запросы регулятора |
| 4 | Системные последствия | Проверка регулятора; пересмотр условий кредиторами; отказ ключевого партнера; потеря 5-15 процентов выручки сегмента |
| 5 | Угроза бизнесу | Отзыв лицензии или предписание; уход якорного клиента; невозможность нанимать; потеря более 15 процентов выручки |
Локальный репутационный риск по этой шкале это баллы 1-2: последствия ограничены одним регионом, сегментом или аудиторией и не переходят на другие. Как только инцидент замечает вторая аудитория, риск перестает быть локальным.
Пример на инциденте
Производственная компания, выручка два миллиарда рублей, тридцать промышленных клиентов. Инцидент: сотрудник отдела продаж выложил в открытый чат переписку с клиентом, где обсуждались чужие цены. Оценка по аудиториям: клиенты 4 (два крупных заказчика прямо спросили, что у нас с конфиденциальностью), регулятор 1 (нарушения закона нет), кредиторы 1, сотрудники 2, партнеры 3 (один поставщик приостановил обмен данными до объяснений).
Итоговый балл последствий берется по худшей аудитории, то есть 4, а не по среднему: репутация рвется в самом слабом месте. Вероятность повторения без мер оценена в 3, потому что правила обращения с перепиской не были записаны нигде. Уровень 12, красная зона матрицы. Меры: регламент обращения с информацией клиентов, обучение отдела продаж, письмо двум заказчикам от генерального директора. Остаточная оценка вероятности 1, уровень 4. Сравните с исходной: именно такой разрыв и оправдывает бюджет на меры.
Какие действия сотрудников чаще всего запускают репутационный риск
По разборам инцидентов источник большинства репутационных потерь не стратегическая ошибка руководства, а действие рядового сотрудника, которому никто не объяснил границы. Шесть повторяющихся сценариев.
- Публикация служебной информации, переписки, фото с объекта в личных сетях и мессенджерах.
- Публичный спор с клиентом или конкурентом от имени компании без полномочий.
- Неверный ответ на запрос журналиста или блогера: сотрудник отвечает сам вместо того, чтобы передать вопрос уполномоченному.
- Обещание клиенту того, чего компания сделать не может, ради закрытия сделки.
- Нарушение правил безопасности на объекте, попавшее на видео.
- Личное поведение, которое аудитория связывает с компанией: конфликт, высказывание, нарушение закона с упоминанием работодателя.
Ни один из этих сценариев не закрывается запретами. Закрывается тремя вещами: сотрудник знает, что считается служебной информацией; знает, кому передать внешний запрос; и видит, что за нарушение границ спрашивают, а за передачу вопроса по адресу нет.
Особенности оценки для банка
Репутационный риск банка это риск потери доверия вкладчиков, клиентов и контрагентов, который выражается в оттоке средств и удорожании фондирования. Банк России относит его к нефинансовым рискам и ждет от банка не только оценки, но и мониторинга: отслеживания упоминаний, жалоб, оттока по сегментам. Особенность оценки в том, что последствия у банка разворачиваются быстрее, чем у промышленной компании: отток вкладов идет днями, а не кварталами, и шкала последствий должна учитывать скорость.
Второе отличие: у банка репутационный риск тесно связан с комплаенс-риском и риском ликвидности, и оценивать его в отрыве от них нельзя. Третье: у банка есть готовый набор индикаторов, которых нет у прочих компаний: число жалоб в ЦБ, позиция в народных рейтингах, динамика оттока по продуктам. Их и стоит поставить в основу мониторинга.
Частые вопросы
По вероятности инцидента и по тяжести реакции каждой из ключевых аудиторий: клиентов, регулятора, кредиторов, сотрудников, партнеров. Итоговая тяжесть берется по худшей аудитории. Для крупных рисков последствия переводят в деньги через ожидаемый отток клиентов и рост стоимости заимствований.
Три основных: экспертная оценка по шкале, опрос аудиторий и расчет через потерю выручки. Первый метод быстрый, второй точный, третий позволяет сравнить репутационный риск с остальными в одном реестре. На практике начинают с первого и добавляют остальные для рисков красной зоны.
Риск потери доверия вкладчиков, клиентов и контрагентов, который выражается в оттоке средств, удорожании фондирования и внимании регулятора. Отличается от репутационного риска обычной компании скоростью последствий: отток вкладов происходит за дни.
Риск, последствия которого ограничены одной аудиторией, регионом или сегментом и не переходят на остальные. По шкале это баллы 1-2. Как только инцидент замечает вторая аудитория, риск перестает быть локальным и переоценивается.
Публикация служебной информации в личных сетях, публичный спор от имени компании, самостоятельный ответ журналисту, невыполнимые обещания клиенту, нарушение безопасности на видео и личное поведение, которое связывают с работодателем. Закрывается это не запретами, а тем, что сотрудник знает границы и знает, кому передать внешний запрос.
Это регулярный цикл: оценка по аудиториям, мониторинг индикаторов (жалобы, упоминания, отток), готовый план действий на первые часы инцидента и назначенный владелец риска. Отдельный план нужен не всегда; обязательны владелец и первые часы.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
