Определение через полномочия
Владелец риска это руководитель, который отвечает за уровень конкретного риска и обладает полномочиями и ресурсами, чтобы на этот уровень влиять: менять процесс, выделять бюджет, назначать мероприятия и принимать остаточный риск. Назначение без второго условия, без полномочий, делает владельца формальным и переносит ответственность в пустоту.
Если у назначенного владельца нет полномочий и бюджета, владение поднимают на уровень выше: иначе он наблюдатель, и риск остается без управления.
Ключевое слово в определении полномочия. Владельцем становится тот, кто может принять решение и выделить деньги; тот, кто больше всех пострадает или первым заметит проблему, для этой роли подходит редко.
Отсюда следует непопулярный вывод. Владельцем корпоративного риска почти никогда не может быть специалист. Если риск существенный, владелец это директор по направлению или член правления.
Четыре роли, которые путают
| Роль | Что делает | Чего не делает |
|---|---|---|
| Владелец риска | Принимает оценку, утверждает меры, отвечает за уровень риска перед комитетом | Не выполняет мероприятия своими руками |
| Владелец процесса | Отвечает за ежедневную работу процесса | Не отвечает за уровень риска, если ресурсы решаются выше него |
| Исполнитель мероприятия | Выполняет конкретное действие в срок, отчитывается о результате | Не отвечает за уровень риска в целом |
| Риск-менеджер | Обеспечивает методологию, единство шкал, сводит отчетность, задает неудобные вопросы | Не владеет рисками бизнеса и не отвечает за их уровень |
Обязанности владельца, которые надо записать в положение
Если этого нет в документе, роль остается декларацией.
- Согласовать формулировку риска и подтвердить связь с целью
- Дать оценку вероятности и влияния по утвержденной шкале и обосновать ее
- Определить перечень мер и назначить исполнителей со сроками
- Отслеживать индикаторы и сообщать риск-менеджеру о существенных изменениях
- Раз в квартал подтверждать актуальность оценки или инициировать пересмотр
- Выносить на комитет риски, которые выходят за установленный аппетит
- Отвечать на вопросы аудита по своим рискам
Что делать, если владельца назначить некому
Такая ситуация означает одно из трех. Либо риск сформулирован слишком широко и его надо разбить на части, у каждой из которых владелец найдется. Либо риск действительно кросс-функциональный, и тогда владельцем становится руководитель с полномочиями над всеми затронутыми подразделениями, а остальные получают статус соисполнителей. Либо риск внешний и неуправляемый, и тогда владелец отвечает не за снижение, а за подготовленность, за наличие плана действий на случай наступления.
Ни в одном из случаев допустимого ответа «владелец риск-менеджер» не существует, кроме рисков самого процесса управления рисками. Как только риск-менеджер становится владельцем, система превращается в его личный список дел, а руководители перестают считать риски своей темой.
Владелец риска всегда на первой линии. Почему риск-менеджер не владеет рисками бизнеса и что делает вторая линия, в материале три линии защиты. Как владельцев назначают на встрече, в материале риск-сессия.
Частые вопросы
Нет. Подразделение нельзя пригласить на комитет и нельзя спросить с него за срок. Владелец это всегда конкретная должность с фамилией.
Это вопрос не методологии, а дисциплины. Работающая практика, выносить перечень необновленных рисков с фамилиями на комитет. После второго раза проблема обычно исчезает.
Практический потолок пять-семь корпоративных рисков. Дальше внимание размывается и обновление становится формальным.
Владелец процесса отвечает за то, как процесс работает каждый день. Владелец риска отвечает за то, чтобы уровень конкретного риска оставался приемлемым, и это может быть другой человек более высокого уровня.
Руководство при утверждении реестра. Назначение фиксируется письменно, иначе в момент реализации риска ответственного не окажется.
Это одно и то же лицо, «держатель» и «хозяин риска» встречаются как переводы английского risk owner. В документах компании стоит выбрать одно слово. Отличать надо не держателя от владельца, а владельца риска от владельца процесса и от исполнителя мероприятия: это три разные роли.
Руководитель уровня не ниже того, на котором принимаются решения о ресурсах на этот риск. Владельцем стратегического риска будет генеральный директор или член правления, операционного руководитель подразделения, проектного руководитель проекта.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
