Два множителя, из которых складывается уровень
В любой методике, от ГОСТ Р ИСО 31000 до корпоративного положения, уровень риска считается как сочетание вероятности и последствий. В простейшем виде это произведение двух баллов, в более строгом расчет ожидаемых потерь в деньгах. Но принцип один: событие с малой вероятностью и тяжелыми последствиями может весить столько же, сколько частое событие с легкими.
Отсюда первое следствие. Спрашивать «от чего зависит уровень риска» имеет смысл только через два вопроса: что делает событие более или менее вероятным, и что делает его последствия тяжелее или легче. Ответы на них разные, и управляют ими разные люди.
Что влияет на вероятность
Вероятность определяется тем, насколько часто причина события встречается в вашей среде и насколько хорошо работают барьеры на ее пути. Практически это четыре группы факторов.
- Частота источника. Сколько раз в год у вас меняется ключевой поставщик, сколько платежей проходит в день, сколько людей имеет доступ к базе. Чем больше попыток, тем выше вероятность при той же надежности каждой.
- Состояние контролей. Проверка на входе, разделение полномочий, автоматическая блокировка. Контрольная процедура, которая выполняется и оставляет след, снижает вероятность; процедура на бумаге не снижает ничего.
- Внешняя среда. Регуляторная активность, курс, погода, санкционный фон. На них компания не влияет, но обязана их учитывать в оценке.
- История. Если событие уже случалось у вас или у соседей по отрасли, вероятность выше, чем подсказывает интуиция. Именно поэтому в реестр записывают инциденты, а не только риски.
Что влияет на тяжесть последствий
Последствия зависят от того, что окажется под ударом и как быстро вы это заметите и остановите. Здесь тоже четыре группы.
- Масштаб подверженности. Сумма на счете, объем данных, число клиентов на одном сервере, доля выручки от одного заказчика. Чем больше сосредоточено в одной точке, тем тяжелее удар по ней.
- Время обнаружения. Ошибка, найденная в день совершения, стоит в разы дешевле той же ошибки через квартал. Мониторинг и индикаторы риска работают именно на этот множитель.
- Готовность к ответу. План действий, резервный поставщик, резервная копия, обученные люди. Это то, что в непрерывности бизнеса называют временем восстановления: чем оно короче, тем меньше потери.
- Вторичные эффекты. Штрафы, репутация, уход клиентов, срыв смежных проектов. Их часто не считают, и оценка последствий занижается вдвое.
Почему один и тот же риск у разных компаний оценивается по-разному
Риск «уход ключевого сотрудника» в компании из тридцати человек и в холдинге из тридцати тысяч это разные риски, хотя формулировка одна. У первой вероятность выше, потому что удерживать нечем, и последствия тяжелее, потому что заменить некем. У холдинга есть кадровый резерв и процедуры передачи дел. Уровень отличается в разы, и это правильно.
Вторая причина расхождений это шкалы. Компания, у которой «катастрофа» начинается с потери десяти миллионов, и компания, у которой с миллиарда, поставят разные баллы одному событию. Поэтому шкалы оценки утверждаются заранее и привязываются к размеру бизнеса, а не выбираются каждый раз заново. Третья причина, самая частая, оценка «с учетом мер» и «без учета мер» перепутаны: один оценил присущий риск, другой остаточный, и спор идет ни о чем.
Как проверить свою оценку за пять минут
Возьмите любую строку реестра и ответьте на четыре вопроса. Какое событие мы оцениваем и что именно должно случиться, чтобы оно считалось наступившим. Сколько раз за последние три года это случалось у нас или у похожих компаний. Что окажется под ударом и в какой сумме. Через какое время мы это заметим и остановим. Если на два вопроса из четырех ответа нет, уровень риска в этой строке поставлен наугад.
Дальше по теме: матрица рисков показывает, как два множителя сводятся в одну клетку, а качественная и количественная оценка объясняет, когда баллов достаточно, а когда нужны деньги.
Частые вопросы
От двух величин: вероятности события и тяжести его последствий. Вероятность зависит от частоты источника, состояния контролей, внешней среды и истории инцидентов. Последствия зависят от масштаба подверженности, времени обнаружения, готовности к ответу и вторичных эффектов. Отрасль, размер компании и зрелость системы влияют на уровень только через эти два множителя.
Чаще всего как произведение балла вероятности на балл последствий по заранее утвержденным шкалам, обычно от 1 до 5 по каждой. Итог от 1 до 25 раскладывается по зонам матрицы. Для крупных рисков баллов недостаточно, и уровень считают в деньгах как ожидаемые потери.
Да. Резервная копия, страховка, запасной поставщик не меняют вероятность события, но уменьшают последствия. Это второй из двух рычагов, и для внешних рисков, на вероятность которых компания не влияет, он единственный.
Уровень это оценка по шкале или в деньгах. Рейтинг это место риска в общем списке после сортировки по уровню. Уровень можно считать для одного риска, рейтинг только для набора.
От тех же двух множителей, но читаются они иначе. Вероятность это вероятность того, что опасность подействует на работника при его обычной работе: как часто он находится в опасной зоне, сколько времени там проводит, есть ли защита. Тяжесть это степень повреждения здоровья, от микротравмы до смертельного исхода. Методы расчета и выбор шкалы разобраны отдельно: оценка профессиональных рисков и уровни профессионального риска.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
