Четыре уровня
Практическая схема для средней и крупной компании.
| Уровень | Кто работает | Что решает |
|---|---|---|
| Процесс, рабочее место | Владелец процесса, линейный руководитель | Ежедневные операционные риски, контрольные процедуры |
| Проект или подразделение | Руководитель проекта, риск-координатор | Реестр и карта своего объекта, план реагирования |
| Портфель, компания | Риск-функция, риск-комитет | Сквозные риски, агрегированные метрики, распределение ресурсов |
| Совет директоров | Совет, комитет по аудиту | Риск-аппетит, существенные риски, оценка работы системы |
Что передается снизу вверх
Наверх идут не все риски, а только те, что превышают порог существенности своего уровня, и те, что нельзя закрыть имеющимися полномочиями. Второй критерий важнее первого. Риск среднего размера, для устранения которого нужны деньги или решение смежного подразделения, должен подняться, даже если по оценке он не красный.
Вместе с риском наверх передается не только оценка, но и предложение. Вынесение риска без варианта решения превращает комитет в место для тревоги, а не для управления.
Что передается сверху вниз
Вниз идут три вещи. Риск-аппетит и пороги, то есть границы допустимого, которые нижние уровни используют как критерий. Решения по вынесенным рискам с ресурсами и сроками. И обратная связь по качеству работы, потому что без нее нижний уровень не понимает, правильно ли он формулирует и оценивает.
Отсутствие движения сверху вниз это самая частая причина, по которой система затухает. Подразделения полгода отправляют реестры наверх, не получают ничего в ответ и перестают стараться.
Признаки того, что уровни не связаны
Проверьте свою систему по этому списку.
- Реестр компании не собирается из реестров подразделений, а пишется отдельно
- На комитете обсуждаются риски, которых нет ни в одном рабочем реестре
- Пороги существенности одинаковы для всех уровней или не определены вовсе
- Решения комитета не возвращаются владельцам в виде поручений со сроком
- Подразделения не знают риск-аппетит компании и не используют его при оценке
Частые вопросы
Нет. В компании до нескольких сотен человек обычно достаточно двух, процесс и компания. Уровни добавляются по мере роста, а не заранее.
Через долю от показателя, за который отвечает уровень. Например, риск выше пяти процентов бюджета проекта поднимается на портфельный уровень.
Владелец риска, по формальному критерию из регламента. Право поднять риск в обход иерархии полезно оставить и риск-функции.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
