Шесть дефектов по порядку встречаемости
Первый встречается почти всегда, шестой примерно в трети случаев.
Реестр как список тем
Строки вида «санкции», «кадры», «ИТ». Лечится конструктором формулировки, переписыванием десяти самых важных строк, остальные подтягиваются по образцу
Владелец без полномочий
Владельцем назначен специалист или сама служба рисков. Лечится подъемом владения на уровень директора по направлению
Оценка без шкалы
Каждый ставит баллы, как понимает. Лечится описанием уровней словами и деньгами, с обязательной калибровкой на общей сессии
Меры без сроков и без бюджета
В графе мероприятий написано «усилить контроль». Лечится требованием указывать действие, срок, исполнителя и стоимость
Реестр не связан с целями
Невозможно объяснить, почему этот риск важнее того. Лечится добавлением поля цели и приоритизацией через нее
Реестр живет отдельно от решений
Комитет обсуждает одно, реестр содержит другое. Лечится единственным правилом, повестка комитета формируется из реестра
Быстрая диагностика за пятнадцать минут
Откройте реестр и проверьте пять вещей.
- Дата последней оценки. Если старше полугода, система не работает независимо от качества строк
- Доля строк, где владелец ниже уровня директора. Если больше половины, полномочий нет
- Есть ли хоть один риск, который за год ушел из красной зоны. Если нет, меры не работают или не оцениваются
- Совпадают ли пять верхних рисков реестра с тем, что называет генеральный директор в разговоре. Расхождение означает, что реестр не про бизнес
- Есть ли в реестре хоть одна возможность, а не только угроза
Чинить или пересобирать
Если дефектов один-два, чинить точечно. Если четыре и больше, дешевле пересобрать. Пересборка это не переписывание двухсот строк, это риск-сессия с правлением, на которой выявляются двадцать пять действительно значимых рисков, и старый реестр закрывается целиком.
Практика показывает, что попытка починить полностью формальный реестр обходится дороже пересборки и заканчивается тем же формализмом, потому что сохраняет привычку заполнять таблицу вместо разговора о бизнесе.
Частые вопросы
Не удалять, а закрывать с датой и сохранять как архив. К нему придется возвращаться, когда аудит спросит, что было раньше.
Не спорить, а показать. Возьмите последний крупный инцидент компании и проверьте, был ли он в реестре и что говорила его оценка. Этот разговор обычно короткий.
Формулировки и шкалы да. Владение и связь с целями нет, для этого нужно решение первого лица.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
