Минимальный набор, четырнадцать полей
Без любого из них где-то ломается отчетность.
| Поле | Зачем нужно |
|---|---|
| Идентификатор | Сквозной номер, по нему риск живет годами и связывается с мероприятиями |
| Формулировка | Событие, причина, последствие в одном предложении |
| Категория | Позволяет агрегировать и сравнивать по портфелю |
| Процесс или объект | Привязка к деятельности, без нее риск висит в воздухе |
| Цель, на которую влияет | Основание для приоритета |
| Владелец | Руководитель, отвечающий за управление, не исполнитель |
| Вероятность до мер | Оценка по утвержденной шкале |
| Влияние до мер | Оценка по утвержденной шкале, желательно в деньгах |
| Уровень до мер | Произведение или матричная зона |
| Существующие меры | Что уже работает, иначе оценка «до мер» бессмысленна |
| Стратегия реагирования | Избежать, снизить, передать, принять |
| Уровень после мер | Остаточный риск, то, с чем компания живет |
| Дата оценки | Без нее невозможно показать динамику |
| Статус | Активен, закрыт, реализовался, объединен |
Поля, которые стоит добавить на втором году
Когда базовый реестр устоялся, эти поля дают качественный скачок отчетности.
- Индикатор раннего предупреждения и его пороговое значение
- Оценка в деньгах отдельно от балльной, для расчета ожидаемых потерь
- Ссылка на мероприятия с их сроками и статусами
- История оценок, чтобы строить динамику, а не хранить только последний срез
- Связанные риски, для агрегации и поиска цепочек
- Требование или норма, если риск порожден внешним регулированием
- Признак существенности для отчетности совету директоров
Поля, которые обычно добавляют зря
Каждое из них выглядит логично и при этом почти всегда остается пустым или заполняется формально.
- Скорость наступления риска, если по ней не принимается ни одно решение
- Отдельная оценка каждого из десятка последствий, вместо максимального
- Уровень доверия к оценке в процентах, если методика его не использует
- Пять уровней согласования строки, превращающие обновление реестра в квест
- Свободное текстовое поле «комментарий», куда переезжает вся содержательная часть
Один принцип, который экономит годы
Каждое поле должно быть либо входом для расчета, либо основанием для решения, либо обязательным по требованию извне. Поле, которое не проходит ни один из трех тестов, надо убирать. Оно не бесплатное, за него платят временем владельцев рисков при каждом пересмотре.
И еще одно. Реестр должен быть один. Если у компании есть корпоративный реестр, реестр проектов и реестр охраны труда, они должны иметь общий справочник категорий и общие шкалы, иначе агрегировать их не получится никогда.
Две колонки оценки, до мер и после, самая частая причина путаницы в реестре. Чем они отличаются и как не перепутать: остаточный риск.
Частые вопросы
На старте таблицы достаточно и она даже полезна, потому что заставляет думать о содержании, а не о настройке. Переходить в систему стоит, когда число владельцев переваливает за двадцать или когда нужна история оценок.
Нужна, иначе нечем показать пользу от системы. Разница между уровнем до мер и после мер это и есть измеримый эффект работы.
Оценку ставит владелец, риск-менеджер обеспечивает единство шкалы. Расхождение фиксируется и выносится на комитет, а не разрешается в переписке.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
