Реестр отвечает на вопрос, чем управляем
Реестр рисков часто воспринимают как отчетный документ, который надо сдать. На деле это единственное место, где у компании собрана связь между тем, что может пойти не так, и тем, кто и что с этим делает. Все остальное, карта, отчетность для комитета, поручения и метрики, считается из реестра и не может быть лучше него.
Отсюда простой критерий качества. Если по строке реестра нельзя понять, чьей цели угрожает событие, кто за него отвечает и что предпринято, строка бесполезна независимо от того, как аккуратно она оформлена.
Разбор ниже устроен по порядку сборки. Сначала формулировка, потому что она определяет все дальнейшее. Затем структура полей, владельцы, оценка и карта. В конце ритм поддержания и типичные ошибки.
Как превратить тему в риск
Рабочая формула, источник, событие и последствие для цели. Слева то, что обычно приносят на первую риск-сессию, справа то, с чем можно работать.
| Приносят | Работающая формулировка |
|---|---|
| Риски подрядчиков | Срыв срока подрядчиком по монтажу из-за нехватки квалифицированного персонала на рынке приводит к сдвигу пуска на два месяца и штрафу по контракту |
| Кибербезопасность | Шифрование серверов расчетного контура вследствие фишинговой атаки останавливает отгрузку на срок до пяти дней |
| Валютный риск | Ослабление рубля более чем на 15 процентов удорожает импортное оборудование по проекту и выводит бюджет за утвержденный лимит |
| Персонал | Уход ведущего технолога вместе с командой при отсутствии замены останавливает вывод новой линии на проектную мощность |
Проверка простая. Если к формулировке нельзя приписать владельца и срок, значит это еще тема, а не риск.
Двенадцать полей реестра
Минимальный набор, который закрывает и работу с риском, и отчетность. Поля сверх этого набора добавляйте только тогда, когда точно знаете, кто и зачем будет их читать.
| Поле | Зачем оно |
|---|---|
| Идентификатор | Постоянный номер, который не меняется при пересортировке. По нему риск узнают в протоколе и в поручении. |
| Формулировка | Источник, событие и последствие для цели одним предложением. Именно это поле определяет, можно ли с риском работать. |
| Категория | Справочник из методологии. Нужен для агрегирования по портфелю и для сравнения подразделений между собой. |
| Объект | Проект, процесс или подразделение, к которому риск относится. Без этого поля портфельный взгляд не собирается. |
| Владелец риска | Руководитель, который отвечает за состояние риска. Один человек, а не подразделение и не двое. |
| Вероятность и влияние | Оценка по утвержденным шкалам, с датой оценки. Хранится и предыдущее значение, иначе не видно динамики. |
| Уровень риска | Произведение или иное правило из методологии, а также зона на карте. Считается, а не проставляется вручную. |
| Стратегия реагирования | Избежать, снизить, передать или принять. Принятие тоже решение, и оно должно быть зафиксировано. |
| Меры реагирования | Перечень действий, у каждого владелец, срок и признак закрытия. Мера без срока это намерение. |
| Статус и срок | Где мера находится сейчас и когда должна закончиться. Просрочка подсвечивается автоматически. |
| Остаточная оценка | Какой станет вероятность и влияние после выполнения мер. Показывает, стоит ли мера своих денег. |
| Дата пересмотра | Когда риск смотрели в последний раз. Поле, по которому видно, жив ли реестр вообще. |
Владелец риска и владелец меры
Это две разные роли, и их смешение ломает работу чаще всего. Владелец риска отвечает за состояние риска в целом, за то, чтобы он был вовремя переоценен и вынесен на нужный уровень. Владелец меры отвечает за конкретное действие в конкретный срок. У одного риска один владелец и сколько угодно владельцев мер.
Владелец риска это всегда руководитель, у которого есть полномочия влиять на источник. Назначать владельцем риск-менеджера бессмысленно, он ведет процесс, а не управляет производством или закупками. Назначать владельцем подразделение целиком тоже бессмысленно, потому что спрашивать будет не с кого.
Практическое правило, владелец должен узнать о своей роли до комитета и согласиться с формулировкой. Пять минут разговора экономят час спора на заседании и, что важнее, сохраняют шанс, что мера будет выполнена.
Тепловая карта и как ее читают
Карта это не украшение отчета, а способ договориться о приоритетах. Каждый риск попадает в клетку по двум координатам, вероятности и влиянию, а зоны карты заранее связаны с тем, какое действие требуется. Тогда обсуждение на комитете идет не о том, страшно ли всем, а о том, укладывается ли риск в границы допустимого.
Ниже пример шкалы пять на пять. Числа в клетках это произведение, но правило расчета компания задает в методологии сама, оно может быть и другим. Важно, чтобы правило было одно для всех подразделений, иначе карты нельзя складывать.
Как устроена матрица
Две ошибки при работе с картой встречаются постоянно. Первая, показывать только текущую оценку. Комитету нужна динамика, куда риск двигался с прошлого раза, поэтому на карте полезно рисовать стрелку от предыдущего положения. Вторая, показывать на одной карте сто рисков. Читаемо примерно двадцать, остальное уходит в приложение.
Полезная привычка, помимо карты текущих рисков показывать карту остаточных оценок, то есть какими риски станут после выполнения запланированных мер. Разница между двумя картинами и есть ответ на вопрос, что дают вложения в управление рисками.
Как реестр превращается в решение
Реестр сам по себе решений не принимает. Из него собираются три вещи, и каждая нужна своему читателю. Владельцу процесса нужен список его мер со сроками. Риск-функции нужна полнота и качество данных. Руководству нужна короткая картина, что изменилось с прошлого раза и где требуется решение.
Практически это означает, что из одного реестра готовятся три разных представления, а не один универсальный отчет на сорок страниц, который не читает никто. Чем короче верхнее представление, тем выше шанс, что по нему примут решение.
Для руководства работает формат из четырех блоков. Что изменилось, какие риски вышли за границы допустимого, какие решения требуются сегодня и что стало с решениями прошлого заседания. Последний блок важнее остальных, именно он превращает обсуждение в управление.
Когда таких срезов становится несколько и делать их вручную дорого, реестр подключается к дашборду рисков проектов, который пересобирает все представления из одного файла.
Шесть ошибок, которые убивают реестр
Все шесть встречаются в компаниях любого размера и все шесть чинятся организационно, без покупки системы.
В реестре строки вида «пожар», «санкции», «текучесть». Работать с этим нельзя, потому что не видно ни причины, ни последствия для цели.
Фамилия проставлена риск-менеджером в кабинете. Человек узнает о своей ответственности на комитете и естественным образом ее не признает.
«Усилить контроль», «проработать вопрос», «держать на контроле». Такую меру невозможно ни проверить, ни закрыть.
Обновляется раз в год за неделю до проверки. Формально существует, для управления бесполезен.
Каждый оценивает по своему пониманию, цифры между подразделениями несопоставимы, агрегировать нечего.
Когда существенно все, не существенно ничего. Реестр без приоритизации перестают открывать через два месяца.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
