Что такое репутационный риск
Репутационный риск это возможность потерять доверие клиентов, партнеров, регулятора или сотрудников из-за события, которое стало известно за пределами компании. Ключевое слово «известно». Утечка данных, о которой узнали трое, это информационный риск. Та же утечка в новостях это репутационный. Событие одно, риски разные, и владельцы у них разные.
Отсюда первое правило. У репутационного риска почти никогда нет своей причины: он вырастает из операционного, комплаенс, финансового или кадрового события. Управлять им значит, во-первых, снижать вероятность самих событий, во-вторых, управлять тем, что происходит после огласки. Второе и есть собственная территория репутационного риска.
Как он попадает в реестр
Есть два способа, и работает только второй. Первый завести строку «репутационный риск» с оценкой «высокий» и владельцем в лице директора по коммуникациям. Такая строка не управляема: у нее нет события, нет причины, нет меры. Второй способ добавить в реестр колонку «влияние на репутацию» и оценивать ее для каждого риска отдельно, по той же шкале, что и финансовое влияние.
| Событие в реестре | Прямое влияние | Влияние на репутацию | Что меняется в мере |
|---|---|---|---|
| Утечка персональных данных клиентов | Штраф, расходы на уведомление | Высокое: отток клиентов, публикации | К техническим мерам добавляется готовое заявление и порядок уведомления клиентов до публикации в СМИ |
| Срыв поставки крупному покупателю | Неустойка | Среднее: зависит от того, узнает ли рынок | Договор о том, кто и как сообщает покупателю, до того как он узнает сам |
| Несчастный случай на производстве | Компенсация, простой | Высокое: проверки, публичное внимание | Отработанный порядок общения с семьей, инспекцией и прессой |
| Ошибка в отчетности | Пересдача, аудит | Высокое для публичной компании, низкое для частной | Для публичной компании мера включает раскрытие, для частной нет |
Так репутация перестает быть отдельным туманным риском и становится измерением каждого события. Владелец у колонки один, обычно директор по коммуникациям или генеральный директор, а владельцы событий остаются прежними. Как устроены поля реестра, разобрано в материале поля реестра рисков.
Первые часы публичного инцидента
Ущерб репутации определяется не событием, а первыми часами после него. Четыре решения принимаются в это время, и все четыре должны быть подготовлены заранее.
- Кто говорит. Один человек с полномочиями, назначенный до инцидента. Молчание и разноголосица вредят больше любого признания.
- Что говорим в первый час. Три заготовленных сообщения: подтверждаем, что знаем; что делаем; когда сообщим больше. Без оценок вины и причин, которые еще неизвестны.
- Кому сообщаем первым. Пострадавшим и регулятору до прессы. Компания, о чьем инциденте клиент узнал из новостей, теряет больше, чем от самого инцидента.
- Что фиксируем. Хронология решений с первой минуты. Она понадобится регулятору, страховщику и для разбора после.
Это тот же порядок, что в кризисном управлении вообще, и он подробно разобран на нашем сайте о непрерывности бизнеса: кризисные коммуникации в первые часы.
Как измерять ущерб репутации
Репутация измеряется через поведение тех, чье доверие потеряно. Четыре показателя, которые можно снять до и после инцидента: отток клиентов за период против обычного; доля отказов при найме на ключевые позиции; условия у банков и поставщиков, включая отсрочки и залоги; упоминания в отраслевых и деловых источниках с оценкой тона. Все четыре переводятся в деньги, пусть и приблизительно, и именно в деньгах репутационный ущерб становится сопоставим с остальными строками реестра.
Индексы репутации и опросы дополняют картину, но сами по себе ничего не решают: совет директоров спросит не «какой у нас индекс», а «сколько клиентов мы потеряли и что сделали, чтобы это не повторилось».
Частые вопросы
Колонки «влияние на репутацию» в реестре директор по коммуникациям или генеральный директор. Самих событий их прежние владельцы: репутационный риск не заменяет ответственность за операционную причину.
Нет. Нужен порядок действий в первые часы публичного инцидента, и он часть плана кризисного управления, а не отдельный документ.
По той же шкале влияния, что и финансовый, в отдельной колонке для каждого события. Отдельная строка «репутационный риск, высокий» не оценивается, потому что у нее нет события.
Страхуются отдельные последствия: расходы на кризисные коммуникации, на уведомление клиентов после утечки, часть потерь от перерыва в деятельности. Саму репутацию застраховать нельзя.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
