risk-Ежемесячный пересмотр
- Владельцы обновляют статус мер и оценку, риск-функция собирает и проверяет качество, а не заполняет за них
Главная · Библиотека · Реестр и карта рисков
Библиотека · разбор
Реестр это рабочая база, из которой растет все остальное, карта, отчетность, поручения и решения комитета. Разбираем, как его собрать так, чтобы им пользовались, а не заполняли раз в год перед аудитом.
С чего начать
Реестр рисков часто воспринимают как отчетный документ, который надо сдать. На деле это единственное место, где у компании собрана связь между тем, что может пойти не так, и тем, кто и что с этим делает. Все остальное, карта, отчетность для комитета, поручения и метрики, считается из реестра и не может быть лучше него.
Отсюда простой критерий качества. Если по строке реестра нельзя понять, чьей цели угрожает событие, кто за него отвечает и что предпринято, строка бесполезна независимо от того, как аккуратно она оформлена.
Разбор ниже устроен по порядку сборки. Сначала формулировка, потому что она определяет все дальнейшее. Затем структура полей, владельцы, оценка и карта. В конце ритм поддержания и типичные ошибки.
Формулировка
Рабочая формула, источник, событие и последствие для цели. Слева то, что обычно приносят на первую риск-сессию, справа то, с чем можно работать.
| Приносят | Работающая формулировка |
|---|---|
| Риски подрядчиков | Срыв срока подрядчиком по монтажу из-за нехватки квалифицированного персонала на рынке приводит к сдвигу пуска на два месяца и штрафу по контракту |
| Кибербезопасность | Шифрование серверов расчетного контура вследствие фишинговой атаки останавливает отгрузку на срок до пяти дней |
| Валютный риск | Ослабление рубля более чем на 15 процентов удорожает импортное оборудование по проекту и выводит бюджет за утвержденный лимит |
| Персонал | Уход ведущего технолога вместе с командой при отсутствии замены останавливает вывод новой линии на проектную мощность |
Проверка простая. Если к формулировке нельзя приписать владельца и срок, значит это еще тема, а не риск.
Структура
Минимальный набор, который закрывает и работу с риском, и отчетность. Поля сверх этого набора добавляйте только тогда, когда точно знаете, кто и зачем будет их читать.
| Поле | Зачем оно |
|---|---|
| Идентификатор | Постоянный номер, который не меняется при пересортировке. По нему риск узнают в протоколе и в поручении. |
| Формулировка | Источник, событие и последствие для цели одним предложением. Именно это поле определяет, можно ли с риском работать. |
| Категория | Справочник из методологии. Нужен для агрегирования по портфелю и для сравнения подразделений между собой. |
| Объект | Проект, процесс или подразделение, к которому риск относится. Без этого поля портфельный взгляд не собирается. |
| Владелец риска | Руководитель, который отвечает за состояние риска. Один человек, а не подразделение и не двое. |
| Вероятность и влияние | Оценка по утвержденным шкалам, с датой оценки. Хранится и предыдущее значение, иначе не видно динамики. |
| Уровень риска | Произведение или иное правило из методологии, а также зона на карте. Считается, а не проставляется вручную. |
| Стратегия реагирования | Избежать, снизить, передать или принять. Принятие тоже решение, и оно должно быть зафиксировано. |
| Меры реагирования | Перечень действий, у каждого владелец, срок и признак закрытия. Мера без срока это намерение. |
| Статус и срок | Где мера находится сейчас и когда должна закончиться. Просрочка подсвечивается автоматически. |
| Остаточная оценка | Какой станет вероятность и влияние после выполнения мер. Показывает, стоит ли мера своих денег. |
| Дата пересмотра | Когда риск смотрели в последний раз. Поле, по которому видно, жив ли реестр вообще. |
Ответственность
Это две разные роли, и их смешение ломает работу чаще всего. Владелец риска отвечает за состояние риска в целом, за то, чтобы он был вовремя переоценен и вынесен на нужный уровень. Владелец меры отвечает за конкретное действие в конкретный срок. У одного риска один владелец и сколько угодно владельцев мер.
Владелец риска это всегда руководитель, у которого есть полномочия влиять на источник. Назначать владельцем риск-менеджера бессмысленно, он ведет процесс, а не управляет производством или закупками. Назначать владельцем подразделение целиком тоже бессмысленно, потому что спрашивать будет не с кого.
Практическое правило, владелец должен узнать о своей роли до комитета и согласиться с формулировкой. Пять минут разговора экономят час спора на заседании и, что важнее, сохраняют шанс, что мера будет выполнена.
Карта
Карта это не украшение отчета, а способ договориться о приоритетах. Каждый риск попадает в клетку по двум координатам, вероятности и влиянию, а зоны карты заранее связаны с тем, какое действие требуется. Тогда обсуждение на комитете идет не о том, страшно ли всем, а о том, укладывается ли риск в границы допустимого.
Ниже пример шкалы пять на пять. Числа в клетках это произведение, но правило расчета компания задает в методологии сама, оно может быть и другим. Важно, чтобы правило было одно для всех подразделений, иначе карты нельзя складывать.
Инструмент
Две ошибки при работе с картой встречаются постоянно. Первая, показывать только текущую оценку. Комитету нужна динамика, куда риск двигался с прошлого раза, поэтому на карте полезно рисовать стрелку от предыдущего положения. Вторая, показывать на одной карте сто рисков. Читаемо примерно двадцать, остальное уходит в приложение.
Полезная привычка, помимо карты текущих рисков показывать карту остаточных оценок, то есть какими риски станут после выполнения запланированных мер. Разница между двумя картинами и есть ответ на вопрос, что дают вложения в управление рисками.
Ритм
Пять правил, без которых любая структура превращается в архив за пару месяцев.
Ритм важнее полноты
Пустое поле лучше выдуманного
Просрочка видна без запроса
Дальше
Реестр сам по себе решений не принимает. Из него собираются три вещи, и каждая нужна своему читателю. Владельцу процесса нужен список его мер со сроками. Риск-функции нужна полнота и качество данных. Руководству нужна короткая картина, что изменилось с прошлого раза и где требуется решение.
Практически это означает, что из одного реестра готовятся три разных представления, а не один универсальный отчет на сорок страниц, который не читает никто. Чем короче верхнее представление, тем выше шанс, что по нему примут решение.
Для руководства работает формат из четырех блоков. Что изменилось, какие риски вышли за границы допустимого, какие решения требуются сегодня и что стало с решениями прошлого заседания. Последний блок важнее остальных, именно он превращает обсуждение в управление.
Когда таких срезов становится несколько и делать их вручную дорого, реестр подключается к дашборду рисков проектов, который пересобирает все представления из одного файла.
Грабли
Все шесть встречаются в компаниях любого размера и все шесть чинятся организационно, без покупки системы.
Одна форма для любого вопроса
Расскажем о ближайших датах, предложим формат под ваш состав участников и назовем порядок бюджета.
Предпочитаете почту — напишите на info@risk-place.ru. Адрес: Москва, улица Скаковая, 32с2.