Пять шагов первого квартала
Ориентировочный срок всего пути от трех до четырех месяцев.
Понять основание
Что именно требуется, статья 87.1, уровень листинга, требование акционера или собственная задача управления. От ответа зависит глубина и приоритеты
Описать процесс как есть
Как решения по риску принимаются сегодня, кем и на основании чего. Две недели работы, которые снимают половину дальнейших вопросов
Взять словарь и рамку
ГОСТ Р 51897 для терминов и ГОСТ Р ИСО 31000 для структуры процесса, чтобы не изобретать и не спорить о словах
Обкатать на пилоте
Один проект или одно направление проходит цикл целиком, от выявления до подтвержденного закрытия мер
Утвердить на совете
Политика и регламент выносятся после пилота, тогда утверждается работающий порядок, а не намерение
Почему начинать надо не с политики
Соблазн понятен. Политика это осязаемый результат, ее можно показать акционеру через две недели. Проблема в том, что политика, написанная до понимания процесса, описывает идеальную компанию, а не эту.
Дальше происходит предсказуемое. Документ утверждают, рассылают, и он не совпадает с тем, как люди работают. Расхождение обнаруживается на первой же проверке, и вместо системы компания получает основание для замечаний.
Обратный порядок дает другое. Сначала описан фактический процесс, потом на пилоте проверено, что предлагаемые изменения работают, и только затем закреплено в документе то, что уже действует.
Пять ошибок старта
Каждая из них встречается примерно в половине проектов.
- Охватить сразу всю компанию. Первый реестр на четыреста строк невозможно ни обсудить, ни поддерживать
- Назначить владельцем риска риск-менеджера. Он ведет процесс, а влиять на источник не может
- Сделать шкалы качественными без числовых ориентиров. Через полгода никто не помнит, что значило среднее влияние
- Не назначить срок первого пересмотра. Реестр без даты следующего просмотра умирает в течение квартала
- Начать с покупки системы. Автоматизация закрепляет процесс, а не создает его
Что должно получиться через квартал
Минимальный работающий комплект выглядит так. Описанный процесс на две-три страницы со схемой. Утвержденные шкалы вероятности и влияния с числовыми ориентирами. Реестр на пятнадцать-тридцать существенных рисков с владельцами и планами мер. Карта рисков для комитета. Протокол первого заседания с поручениями и сроками.
Этого достаточно, чтобы система начала жить. Политика, положение о риск-комитете, справочники и автоматизация наращиваются во второй и третий квартал, когда уже понятно, что именно закреплять.
Частые вопросы
На старте достаточно ответственного с частичной занятостью или внешней поддержки. Отдельная штатная единица оправдана, когда процесс уже идет и объем работы виден.
От пятнадцати до тридцати существенных. Больше не удержит внимание руководства, меньше означает, что охват слишком узкий.
Можно, но она все равно потребует настройки под ваши процессы и структуру принятия решений. Экономия времени получается меньше ожидаемой.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
