Что оцениваем
Восемь областей. Оценка идет и по документам, и по фактической практике, потому что расхождение между ними обычно и есть главный результат диагностики.
Наличие и качество политики, регламентов, шкал оценки и справочников, их согласованность между собой.
Кто отвечает за риск, кто за меру, кто принимает решения, как устроены три линии защиты и работает ли это распределение фактически.
Как риск выявляется, оценивается, обрабатывается и пересматривается, есть ли обязательные точки в проектном и бюджетном цикле.
Формулировки, полнота, актуальность, наличие владельцев и сроков, сопоставимость данных между подразделениями.
Определены ли границы допустимого, используются ли они при принятии решений или остаются декларацией.
Что видит руководство, с какой периодичностью, какие решения принимаются по этим данным и как они доводятся до конца.
Дизайн контрольных процедур, их встроенность в процессы, наличие свидетельств выполнения и тестирование эффективности.
Сообщают ли о риске заранее, как руководство реагирует на плохие новости, связано ли качество работы с риском с оценкой сотрудников.
Пять уровней зрелости
Шкала опирается на ГОСТ Р 70350 «Менеджмент риска. Оценивание качества менеджмента риска организации», один из стандартов, разработанных с нашим участием.
Работа с риском идет от случая к случаю, зависит от конкретных людей, единого порядка нет.
Порядок описан и применяется в отдельных подразделениях или проектах, но единообразия по компании пока нет.
Методология утверждена, роли распределены, процесс работает по всей компании и дает сопоставимые данные.
Качество процесса измеряется метриками, решения принимаются по данным, результат мер подтверждается.
Система регулярно пересматривается по результатам, риск-аппетит и метрики уточняются, практика опережает требования.
Что дает оценка
Первый результат простой, появляется общий язык. До диагностики каждый руководитель оценивает состояние системы по своему участку, и разговор идет на уровне мнений. После появляется картина по восьми областям с обоснованием, и обсуждать становится нечего, можно переходить к решениям.
Второй результат в приоритетах. Разрывов обычно находится больше, чем компания способна закрыть за год, поэтому в отчете они выстроены по соотношению эффекта и трудоемкости. Часть закрывается организационными решениями за несколько недель, часть требует проекта.
Третий результат отложенный. Повторная оценка через год показывает движение по каждой области и дает объективный ответ на вопрос, что дали вложения в систему управления рисками. Это же основание для разговора с советом директоров и с акционером.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
