С чего начать

Соблазн понятен. Политика это осязаемый результат, ее можно показать акционеру через две недели. Проблема в том, что политика, написанная до понимания процесса, описывает идеальную компанию, а не эту.

Дальше происходит предсказуемое. Документ утверждают, рассылают, и он не совпадает с тем, как люди работают. Расхождение обнаруживается на первой же проверке, и вместо системы компания получает основание для замечаний.

Обратный порядок дает другое. Сначала описан фактический процесс, потом на пилоте проверено, что предлагаемые изменения работают, и только затем закреплено в документе то, что уже действует.

Каждая из них встречается примерно в половине проектов.

• Охватить сразу всю компанию. Первый реестр на четыреста строк невозможно ни обсудить, ни поддерживать
• Назначить владельцем риска риск-менеджера. Он ведет процесс, а влиять на источник не может
• Сделать шкалы качественными без числовых ориентиров. Через полгода никто не помнит, что значило среднее влияние
• Не назначить срок первого пересмотра. Реестр без даты следующего просмотра умирает в течение квартала
• Начать с покупки системы. Автоматизация закрепляет процесс, а не создает его

Минимальный работающий комплект выглядит так. Описанный процесс на две-три страницы со схемой. Утвержденные шкалы вероятности и влияния с числовыми ориентирами. Реестр на пятнадцать-тридцать существенных рисков с владельцами и планами мер. Карта рисков для комитета. Протокол первого заседания с поручениями и сроками.

Этого достаточно, чтобы система начала жить. Политика, положение о риск-комитете, справочники и автоматизация наращиваются во второй и третий квартал, когда уже понятно, что именно закреплять.