Рабочий календарь
Проверено на предприятиях от пятисот человек.
| Периодичность | Что делается | Кто участвует |
|---|---|---|
| Ежемесячно | Сбор значений индикаторов, проверка сроков мероприятий | Риск-менеджер и исполнители |
| Ежеквартально | Подтверждение или пересмотр оценок, закрытие выполненных мер, отчет комитету | Владельцы рисков, комитет |
| Раз в год | Полная переоценка, ревизия перечня, пересмотр шкал и аппетита, отчет совету | Правление, совет директоров |
| По событию | Внеочередной пересмотр затронутых рисков | Владелец затронутого риска |
События, которые запускают внеочередной пересмотр
- Реализация риска или крупный инцидент, в том числе у конкурента в той же отрасли
- Изменение законодательства или требований регулятора, затрагивающее процесс
- Запуск нового продукта, выход в новый регион, крупная сделка
- Смена ключевого поставщика, подрядчика или ИТ-платформы
- Изменение стратегии или целей, ради которых реестр вообще существует
- Существенное изменение внешней среды, курс, санкции, доступность оборудования
Как не превратить пересмотр в ритуал
Главный враг это рассылка «просьба подтвердить оценки до пятницы». В ответ приходят те же цифры, что были в прошлом квартале, потому что менять их долго и незачем.
Работают три приема. Первый, приносить владельцу не пустую форму, а его прошлую оценку рядом с фактическими данными за квартал, инцидентами, значениями индикаторов, статусами мер. Второй, спрашивать не «подтвердите оценку», а «что изменилось за квартал и почему уровень остался прежним». Третий, выносить на комитет список рисков, где оценка не менялась четыре квартала подряд. Это почти всегда либо мертвые строки, либо невнимание.
Что должно оставаться после каждого цикла
Пересмотр без следа не считается проведенным.
- Протокол с решениями по рискам, вышедшим за аппетит
- Обновленный реестр с новой датой оценки и сохраненной историей
- Перечень новых рисков и перечень закрытых, с обоснованием закрытия
- Скорректированный план мероприятий со сроками и ответственными
- Короткая записка руководству, что изменилось в профиле рисков компании
Частые вопросы
Для небольшой компании со стабильными процессами возможно. Для среднего и крупного бизнеса годового цикла мало, к моменту отчета половина оценок устареет.
Нет, разумнее разбить по кварталам, в каждом квартале глубокая работа по одной-двум категориям, остальные подтверждаются коротко.
Не удалять автоматически. Проверить, не исчез ли источник. Если источник на месте, оставить с пометкой о стабильности, если исчез, закрыть с обоснованием.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
