Три уровня одного риска
Остаточный риск это уровень риска, который остается после применения всех существующих мер управления. Присущий, или изначальный, риск это уровень до каких-либо мер. Разница между присущим и остаточным уровнем показывает, сколько риска снимают меры, и именно ее оценивает аудит.
На практике различают три уровня. Присущий оценивать честно тяжело, потому что какие-то меры в компании работают всегда, часто неформально.
Текущий остаточный риск это уровень с учетом мер, которые уже действуют сегодня. Это главная цифра, именно ее сравнивают с аппетитом.
Целевой остаточный риск это уровень, которого компания намерена достичь после выполнения запланированных мероприятий. Разница между текущим и целевым это и есть содержание плана работы на год.
Как это выглядит на строке реестра
Пример по риску остановки производства из-за отказа единственного поставщика упаковки.
| Уровень | Вероятность | Влияние | Комментарий |
|---|---|---|---|
| Присущий | Высокая | Критическое | Один поставщик, склад на трое суток, договор без штрафов за срыв |
| Текущий остаточный | Средняя | Существенное | Склад увеличен до 14 суток, в договоре появилась ответственность |
| Целевой остаточный | Низкая | Существенное | После квалификации второго поставщика к концу года |
Влияние часто не меняется мерами вообще. Меняется вероятность и скорость восстановления. Это нормально и это надо честно показывать.
Правила честной оценки остаточного риска
- Учитывать только те меры, которые действительно работают, а не те, что описаны в регламенте
- Проверять работоспособность меры хотя бы раз в год, иначе она превращается в бумагу
- Не снижать оценку авансом под мероприятие, которое еще не выполнено. Для этого есть целевой уровень
- Фиксировать дату, на которую оценка верна. Остаточный риск устаревает быстрее присущего
- Отдельно помечать риски, где остаточный уровень выше аппетита. Это материал для решения комитета, а не для отчета
Связь с риск-аппетитом
Остаточный риск обретает смысл только рядом с границей. Если компания заявила аппетит, значит для каждого существенного риска есть ответ на вопрос, укладываемся мы или нет.
Три возможных решения по риску выше аппетита. Добавить меры и потратить деньги. Пересмотреть аппетит, если он был задан нереалистично. Или сознательно принять превышение решением уполномоченного органа, с записью в протоколе. Четвертого варианта, промолчать, в работающей системе не существует.
Как задать границу допустимого, в материале риск-аппетит; как посчитать оба уровня в деньгах, в материале ожидаемые потери.
Частые вопросы
Можно, и многие компании так делают. Но тогда исчезает возможность показать вклад системы в цифрах, а это главный аргумент в разговоре о бюджете функции.
Это означает, что действующих мер нет или они неэффективны. Строка честная и очень полезная, ее стоит выносить на комитет первой.
Владелец риска. Риск-менеджер проверяет соответствие шкале и обоснованность, но не переоценивает за владельца.
Нет. Нулевой остаток означал бы полную гарантию, которой не дает ни одна мера. Если в реестре стоит ноль, это ошибка оценки или желание закрыть строку.
Остаточный это факт, то что получилось. Допустимый это решение, сколько компания готова терпеть. Сравнение этих двух величин и есть точка принятия решения.
Любой риск после применения мер. Отдельного класса «остаточных рисков» нет: это не вид риска, а этап его оценки. Один и тот же риск в реестре сначала присущий, затем остаточный, затем целевой, если запланированы новые меры.
В корректной оценке нет: меры либо снижают риск, либо не влияют на него. Если остаточная оценка вышла выше присущей, значит, изменился сам риск между двумя оценками, например вырос объем операций, и присущую оценку надо пересмотреть, а не оставлять разрыв.
Взять оценку присущего риска по вероятности и последствиям, определить, на какой из двух множителей и насколько влияет каждая мера, и пересчитать. Предохранительный клапан снижает последствия, входной контроль снижает вероятность. Итог записывается рядом с присущей оценкой, с указанием, какие именно меры учтены.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
