Процесс управления рисками по шагам

Процесс управления рисками

Процесс выглядит одинаково почти в любой методологии. Разница между работающей системой и мертвой в том, доводится ли он до последнего шага.

Шесть шагов и результат каждого

На выходе каждого шага должен появляться артефакт, иначе шаг считается невыполненным.

Область применения и критерии

Определено, какие подразделения и процессы охвачены, какие шкалы используются и что считается приемлемым уровнем

Идентификация

Появился перечень рисков с проверяемыми формулировками, каждый привязан к цели и объекту

Анализ

У каждого риска есть оценка вероятности и влияния, указаны источник и возможные последствия

Сравнительная оценка

Риски разложены по зонам карты, определено, какие требуют решения, а какие остаются под наблюдением

Обработка

По существенным рискам есть план мер с владельцем, сроком и признаком закрытия

Мониторинг и пересмотр

Статусы мер обновляются в установленном ритме, оценки пересматриваются, изменения видны в истории

Где процесс рвется

Первый разрыв между идентификацией и анализом. Риски собрали на сессии, а оценивать их отдали риск-менеджеру, который делает это в одиночку. Владельцы с чужой оценкой не согласны и не считают ее своей.

Второй разрыв между оценкой и обработкой. Карта построена, зоны раскрашены, но решения о том, что делать с красной зоной, никто не принял, потому что для этого нужен уровень полномочий выше риск-функции.

Третий и главный разрыв между обработкой и мониторингом. Меры записали, сроки поставили, а через квартал никто не проверил. Именно здесь система теряет весь накопленный смысл, потому что ценность появляется не в момент записи меры, а в момент ее подтвержденного выполнения.

Что делает процесс живым

Четыре условия, проверенные практикой. Ни одно из них не про документы.

Ритм. Установленная периодичность пересмотра, к которой все привыкли, важнее полноты первого реестра
Обязательные точки. Пересмотр рисков встроен в проектный и бюджетный цикл, без него ворота не проходятся
Видимая просрочка. Нарушение срока по мере подсвечивается автоматически, а не выясняется по запросу
Разбор результата. На комитете первым пунктом идет не список новых рисков, а судьба решений прошлого заседания

Сколько времени занимает первый цикл

Для компании среднего размера полный первый цикл занимает от шести до десяти недель. Определение области и критериев неделя, идентификация две-три недели вместе с интервью и сессиями, анализ и оценка две недели, подготовка планов реагирования две недели, вынесение на комитет одна неделя.

Попытка сделать это за две недели обычно заканчивается формальным реестром, который потом никто не открывает. Попытка растянуть на полгода заканчивается тем, что к моменту готовности половина рисков перестает быть актуальной.

Коротко о главном

С чего начинать, если процесса нет совсем

С описания того, как решения по рискам принимаются сейчас. Это займет две недели и снимет половину вопросов о том, что и куда встраивать.

Нужно ли охватывать сразу всю компанию

Нет. Рабочий подход это пилот на одном проекте или одном направлении, полный цикл целиком, и только затем тиражирование.

Кто должен вести процесс

Риск-функция ведет процесс и методологию, но не управляет рисками вместо владельцев. Смешение этих ролей размывает ответственность и убивает систему быстрее всего.

Оставьте заявку, ответим в течение рабочего дня

Расскажем о ближайших датах, предложим формат под ваш состав участников и назовем порядок бюджета.

Предпочитаете почту — напишите на info@risk-place.ru. Адрес: Москва, улица Скаковая, 32с2.