Оценка рисков предприятия: предупрежден, значит, вооружен

Зачем нужна? Оценка рисков предприятия не проводится по факту, когда самое плохое уже свершилось. Наоборот, анализировать нужно вероятность, чтобы быть готовым к возможному во всеоружии.

Что делать? Для начала поделить все возможные риски по группам – экономические, производственные, информационные, экологические. Далее предстоит оценить угрозы и их возможные последствия, чтобы подобрать подходящий метод управления.

Суть рисков предприятия

На функционирование завода, организации, предприятия оказывают влияние риски в виде действий, мешающих осуществлению определенных стратегических и тактических целей бизнеса. Эти угрозы включают в себя факторы, различающиеся по времени, месту возникновения, способу проявления и мере влияния на деятельность организации. В результате их воздействия могут появиться нежелательные ситуации в следующих формах:

• упущенная (недополученная) выгода;

• прямые потери;

• отсутствие результатов деятельности;

• событие, которое может привести к убыткам или невозможности получения доходов в будущем.

Виды корпоративного риска взаимосвязаны и взаимозависимы: изменение одного из них может влиять на другие, усиливая или ослабляя их проявление.

Источник: shutterstock.com

Риски характеризуются следующими понятиями:

1. Экономическая сущность, связь с хозяйственной деятельностью предприятия, влияние на получение прибыли.

2. Возможность наступления или нет негативного события в хозяйственной деятельности в силу ряда факторов.

3. Неопределенность и отсутствие регулярности результатов. В зависимости от степени риска эффект экономических процессов может варьироваться в значимых пределах и отражаться в виде материальных потерь при формировании доходов.

4. Ожидаемые неблагоприятные последствия. Принято считать, что эффекты риска могут быть отражены положительно или отрицательно в результатах производственного процесса, но оцениваются с точки зрения возможных негативных последствий. Итоги воплотившихся угроз могут довести до потери прибыли и капитала, что в кризис приведет к банкротству компании.

5. Изменчивость уровня, непостоянство, обусловленное влиянием факторов в их динамике.

6. Субъективность оценки, то есть неравнозначность, зависящая от ряда факторов (достоверность информации, добросовестность, квалификация менеджеров).

Основные виды рисков предприятия

Специалисты классифицируют риски на систематические и нет. Первые – это угрозы рынку в целом или отдельной отрасли, оценить и предвидеть которые могут только эксперты. Несистематические риски – это те, которые возникают в конкретной компании и могут быть оценены и спрогнозированы специалистами самой организации.

Систематические риски

Давайте разберем их структуру и характеристики подробнее:

1. Политические риски

   К этому типу рисков относятся изменения политической обстановки в стране и мире. Они связаны с трансформацией условий ведения бизнеса в том или ином регионе, что может привести к снижению прибыли компании. Одним из распространенных способов оценки политического риска является метод экспертных оценок, позволяющий детально изучить конкретные обстоятельства, их особенности, а значит, вероятность опасностей.

2. Природные риски

   К таким относятся опасные естественные явления, климатические и другие чрезвычайные ситуации, экологические бедствия.

   

   Источник: shutterstock.com

   Сложно оценить вероятность отдельных видов природных рисков, например, разлива нефти на море, а лесные пожары и наводнения можно спрогнозировать специальными службами.

3. Правовые риски

   Такие появляются в силу несовершенства законодательства, противоречивых юридических поправок в нормативных актах, ошибок в работе государственных органов и др.

   Для оценки правовых рисков необходимо проанализировать юридическое поле, в котором работает компания, выявить и ранжировать угрозы, связанные с правовым окружением фирмы. Здесь метод рейтинговой оценки подходит лучше других. Эксперты и менеджеры компании сами ранжируют угрозы по возможности их возникновения и вероятным последствиям.

4. Терроризм и народные волнения

   Гражданские беспорядки и террористические акты происходят даже в экономически стабильных странах. Такие угрозы можно проанализировать на уровне служб безопасности государства.

5. Экономические риски

   Сегодня они актуальны как никогда, например, в связи с санкциями, изменениями в налоговом законодательстве, нестабильностью валютного курса и др. Можно спрогнозировать некоторые экономические риски, изучив поправки к налоговому и бюджетному законодательству, но крайне сложно предсказать санкции или обвал валютного рынка. Периодически подобные кризисы обрушиваются на российских предпринимателей. Для минимизации последствий бизнес может заключить договоры страхования имущества и гражданской ответственности арендаторов.

Несистематические риски

Давайте разберем их структуру и характеристики подробнее:

1. Производственные риски

   Как правило, они связаны как с технологическим процессом (например, возможные поломки оборудования, появление брака в продукции, сложности в налаживании производства), так и с управленческими распоряжениями по организации деятельности. К таким угрозам можно отнести и неудачное планирование продаж, снижение объемов производства.

2. Финансовые риски

   Они относятся к финансовым элементам предприятия. С ними связаны следующие опасности:

   • кассовый разрыв (риск ликвидности);

   • увеличение кредиторской/дебиторской задолженности;

   • риск банкротства контрагентов (кредитный риск);

   • уменьшение прибыли из-за неликвидных товаров, повышение затрат из-за неадекватных или ошибочных внутренних процессов (операционный риск).

   Анализ и оценка финансовых рисков предприятия находятся в компетенции подразделения денежного контроля и в целом руководящего персонала. Управление ими осуществляется посредством оперативной отчетности, расчета показателей и своевременного принятия решений.

3. Рыночные риски

   Могут появляться вследствие изменения конъюнктуры, прихода новых конкурентов, изменения ценовой политики в отрасли.

   

   Источник: shutterstock.com

   Такие угрозы должны анализироваться совместно с отделами маркетинга и стратегического планирования, которые обязаны контролировать общую ситуацию на рынке и реагировать на любые перемены.

4. Имущественные риски

   Если собственность сдается в аренду, компания подвергается риску, так как она может быть повреждена недобросовестными арендаторами. Верно и обратное. Вы являетесь арендатором и заботитесь о сбережении имущества в целости и сохранности. Для избежания имущественных рисков можно создать систему защиты собственности компании или застраховать ее.

5. Нанесение вреда жизни и здоровью третьих лиц.

   Риск несчастного случая в процессе производства или нанесение ущерба здоровью третьих лиц в результате эксплуатации оборудования или оказания услуги. Чаще возникает на строительных площадках, чем в офисных зданиях, но даже там его нельзя полностью исключить. Предсказать несистематические риски сложно, защититься можно, заключив договор страхования. Наиболее распространены угроза жизни и здоровью третьих лиц, имущественные и производственные.

Когда необходимо оценивать риски предприятия

Оценка рисков промышленного предприятия – это неотъемлемая часть его деятельности. Существуют случаи, когда их исследование необходимо:

• Предприятию необходимо регулярно оценивать риски, чтобы знать, какие потенциальные угрозы могут подействовать на его работу. Это позволяет своевременно принять меры по предотвращению или смягчению возможного негативного воздействия на бизнес.

• При разработке новых стратегий. Каждый раз, когда организация строит новую политику или план роста, оценка рисков – важный инструмент. Это помогает наметить, какие детали более нужны для достижения целей, а какие могут помешать этому.

• При внедрении новых технологий или процессов. Оно может быть сопряжено с угрозами, связанными с эксплуатационной безопасностью или переменой рыночных условий. Оценка рисков предприятия способствует выявлению возможных негативных последствий, разработке мер по их уменьшению.

• При принятии стратегических решений. Оценка крупных рисков необходима при принятии важных долгосрочных планов, например, международные слияния и поглощения, расширение или сокращение бизнеса. Это дает организации возможность предвидеть последствия предложенного решения и принять обоснованное заключение.

Оценка рисков деятельности предприятия снижает потенциальные угрозы и повышает устойчивость организации к неблагоприятным обстоятельствам.

6 этапов оценки рисков предприятия

Чтобы определить потенциальные угрозы, руководитель должен провести анализ в шесть этапов:

1. Выявление опасностей в масштабах предприятия

   Риски оцениваются в контексте целей и задач, поставленных перед фирмой. Затем рассматривают разные обстоятельства на их основе, которые могут появиться и представлять угрозу в конкретных ситуациях. Прежде чем оценивать риски организации, лучше нанять экспертов и ознакомить их с выводами конкурентов и компаний соответствующего сектора бизнеса. Совместный подход поможет выявить большинство вероятных угроз, которые могут быть связаны с правовыми нормами, целевыми клиентами, рынком и прочим.

   Например, финансовые проекты требуют контакта с юристом со специализацией «Банковское дело». Он разработает такую стратегию, что деятельность компании будет укладываться в рамки текущего нормативно-правового регулирования, или ожидаемого в ближайшем будущем.

   

   Источник: shutterstock.com

   Стоит обсудить с сотрудниками нюансы формируемого проекта. Опытные специалисты предугадают риски и дадут рекомендации, исходя из запланированных целей и имеющихся ресурсов. Например, если руководитель хочет запустить в автоматизацию технологического процесса, он должен понимать, что сотрудникам потребуется время на освоение нового программного обеспечения, а в первые дни работы с программой могут возникнуть сложности.

2. Создание каталога рисков предприятия

   Этот этап оценки также нуждается в привлечении эксперта и совместной работе с командой: они должны вспомнить трудности, с которыми сталкивались в похожих инициативах. Чтобы создать широкий и всеобъемлющий каталог, важно учесть классификации для выбранного сектора бизнеса и создаваемого проекта. Зафиксируйте информацию обо всех угрозах, присущих предприятию, и классифицируйте их в соответствии с типом возможной проблемы.

3. Назначение сотрудников, ответственных за риски

   После того, как угрозы оценены и учтены, для каждой назначается ответственное лицо. В обязанности этого сотрудника входят:

   • Управление оценкой вверенного специалисту риска.

   • Расчет возможных потерь.

   • Разработка мер по предотвращению и минимизации негативных последствий.

   Каждый сотрудник отвечает за четко определенную зону. Если выявленный риск сложен, для него выбираются несколько экспертов.

4. Разработка методов управления угрозами

   Сотрудники, назначенные риск-менеджерами, должны обладать навыками разработки методов выявления и управления угрозами. В частности, специалисты обязаны уметь разрабатывать конкретные мероприятия и запасные варианты минимизации нежелательных последствий. Для успешного управления рисками назначенный сотрудник должен:

   • Сформировать и согласовывать план действий по предотвращению вверенных ему угроз.

   • Понимать, какую работу необходимо проделать и какие решения принять, если потенциальная проблема станет реальной.

   

   Источник: shutterstock.com

   Для успешного управления предпринимательскими рисками применяется несколько стратегий. Каждая основана на определенном сценарии поведения и соответствующем наборе контрмер. Стратегии управления угрозами следующие:

   • Принятие – сотрудник сразу же понимает и принимает тот факт, что риск стал проблемой, и ищет способы борьбы с ним.

   • Избежание – разрабатывает ряд мер, чтобы предотвратить превращение угрозы в событие.

   • Смягчение – планирование и реализация мер и решений для минимизации возможности появления негативной ситуации и снижения ее влияния на бизнес.

   • Передача – ответственность за порученный риск и связанные с ним последствия делегируются другому специалисту.

   Также нужно осознать и принять, что невозможно продумать все риски для компании. Главное – сосредоточиться на более значимых, которые могут быть фатальны для предприятия.

5. Оценка угроз и их возможных последствий

   На этом этапе лучше представить все результаты оценки рисков предприятия в виде расчетов и вычислений. Это нужно для более точного предоставления информации ответственным лицам, которые затем, зная все «за» и «против», определят приоритеты в работе. Оценка каждой угрозе присваивается по классификации, утвержденной для данного предприятия в качестве основной.

6. Внесение новых данных в каталог рисков

   Важно оценивать риски не единожды, а систематически проводить этот анализ, примерно раз в год, при разработке каждого проекта. Всегда, когда исследуется какая-либо опасность, следует добавлять все угрозы в базу данных. Это позволит системно оценивать возможные проблемы. Со временем угрозы могут трансформироваться, приводить к иным последствиям. Они наиболее актуальны, когда компания меняет методы работы, начинает особые проекты, сотрудничает с новыми партнерами. В таких случаях целесообразно проводить промежуточную оценку рисков. В результате каталог потенциальных опасностей будет постоянно пополняться.

Зоны рисков предприятия

Как правило, риски выражаются в денежном эквиваленте. Другими словами, это сумма убытков, которые будут понесены, если что-то произойдет или, наоборот, не случится. Полученную цифру необходимо с чем-то сравнить. Как правило, для этого служат собственный капитал, ожидаемый доход, активы, инвестиции и т. д.

Источник: shutterstock.com

Из сопоставления вытекает ряд зон риска:

1. Безрисковая указывает: в анализируемой деятельности потерь нет и мала вероятность их возникновения. Предположим, вы подписываете сделку с поставщиком, который проверен не раз и во всех отношениях: у него большой штат, партнер абсолютно чист, сдает отчетность, владеет недвижимостью (здания, транспортные средства и т. д.) и не имеет задолженностей. Вероятность того, что контрагент не поставит товар или не вернет деньги, очень мала.

2. Допускаемая зона риска. В этом случае есть прогнозы проблем; но даже если негативные обстоятельства наступят, потери станут меньше, чем ожидаемый от сделки доход.

3. Критическая зона – в этих ситуациях существуют риски, что убытки будут больше ожидаемой прибыли. Бизнес не получит доход, ничего не заработает, а то и понесет убытки.

4. Зона катастрофического риска – потери перекрывают чистые активы и ведут к банкротству.

Общие методы оценки рисков предприятия

• Метод аналогий

Это сравнение рисков с применением оценок аналогичных проектов, сделок и т. д.

Допустим, вы захотели начать другой тип деятельности, но не знакомы с нюансами, что может получиться не так и какие форс-мажоры следует предусмотреть. Например, вы желаете работать в области внешней торговли, но не разбираетесь в налогообложении этой сферы, потому ищете консультанта по начислениям, который подскажет нужные вещи.

Внутренняя информация также может быть использована для сравнения. Если дали заем, и у вас есть база клиентов, которым предоставляли их ранее, вы можете проанализировать, кто и по какой причине задерживал или не возвращал долги.

• Контрольные списки

Это перечни проверок возможных проблем, которые могут реально возникнуть. Предположим, вы владелец сети ресторанов. Когда открываете новый, уже предполагаете, чем нужно заняться сначала, что проконтролировать, как нанять хороший персонал и компетентного менеджера. Каждый раз, когда вы создаете новую точку, вы накапливаете знания, опыт.

Источник: shutterstock.com

• Рейтинг рисков

В крупной компании приходится управлять огромным объемом данных. Руководитель должен постоянно принимать решения. Однако невозможно отследить все и уделять внимание каждому вопросу. Поэтому рискам присваивается оценка от единицы до пяти или даже 10 (что удобнее).

Предположим, ФНС увеличила число проверок фирмы, теперь будет контроль работы холдингов, корпоративных групп, дочерних предприятий. Поэтому присвоим аудиторскому риску значение «5» (по 5-балльной шкале) и приложим усилия, чтобы не попасть в фокус внимания налоговиков. Если между взаимозависимыми лицами совершали сделки, изучим документы по ним, соберем доказательства их достоверности либо временно прекратим дело с такими контрагентами.

• Метод экспертных оценок

Возвращаемся к аналитикам. Они необязательно налоговые. Экспертами бывают инженеры, юристы, экономисты и др. Их ценность – в знаниях.

Лучший вариант – комплексный способ. К примеру, дизайнер, проектировщик, архитектор дают оценку масштаба будущего объекта, инженер определяет материалы, сметчик – затраты. Юрист изучает, есть ли законодательные акты, которые могут быть основанием для исков или запрета на строительство. Бухгалтер узнает, существуют ли в этом районе льготы и преференции для инвесторов и застройщиков, насколько безжалостны инспекции при проверках.

Сбор большей части данных и оценку внутренних рисков предприятия обеспечивают сотрудники и руководитель организации, в то время как анализ внешних угроз должен проводиться экспертом.

Методы оценки инвестиционных рисков предприятия

Инвестиции – это долгосрочные вложения финансовых и экономических ресурсов с целью получения определенного дохода в перспективе. Данного типа вклады играют фундаментальную роль в развитии любой компании, предприятия. Поэтому организация и планирование вложений очень важны, как и весь процесс финансирования, начиная с анализа проекта и заканчивая его мониторингом.

Оценка инвестиционных рисков предприятия является неотъемлемой частью анализа процесса.

Под такой угрозой понимается возникновение отрицательного результата вследствие наступления условий при реализации какой-либо проектной деятельности, а также снижение или отсутствие прибыли от вложений. Под инвестиционным риском понимается обесценивание капитальных вкладов, потери и непредвиденные убытки от этой деятельности в условиях экономической неопределенности.

Этого типа угрозы подвластны влиянию следующих факторов:

• уровень инфляции, экономические условия, политическая обстановка, валютный курс;

• организация производственной деятельности, степень технической оснащенности предприятия, развитие инвестиционного менеджмента.

Для оценки риска финансовых вложений чаще всего используются три метода:

Анализ чувствительности

Этот метод состоит из двух составляющих: 1 – метод критических точек, 2 – вариации параметров. Сам анализ чувствительности основан на следующих мнениях: факт выбора программы проекта и существование одного конкретного типа сценария развития.

Источник: shutterstock.com

Анализ чувствительности считает риск уровнем чувствительности ключевых показателей проекта к изменению функциональных условий. Это разделение идет на основании того, существует ли вероятность наступления конкретного события. Для этого нужно применить показатель чувствительности. Это процентное изменение проектного фактора на заключительном этапе при изменении параметрических данных функционирования на 1 %. В результате, чем выше показатель эластичности, тем больше зависимость от определенного параметрического влияния и тем выше уровень риска.

Метод альтернативных сценариев

Целью этого метода является детальный анализ чувствительности. Если все сценарии описаны и нет возможности рассмотреть какой-либо из них отдельно по временным или финансовым причинам, изучаются три типа развития событий: пессимистический, умеренный и оптимистический. На следующем этапе идет оценка эффективности каждой выбранной программы и ее устойчивость.

Метод Монте-Карло

Он позволяет оценить ожидаемый эффект путем количественного определения параметров неопределенности. Метод Монте-Карло считается наиболее точным из описанных. Он рассматривает максимальный параметрический набор, компоненты его часто взаимосвязаны. Разумеется, метод достаточно сложен в применении и требует от специалиста навыков использования математического аппарата.

Применение этого метода позволяет оценить проекты, в которых коммерческое преимущество выражено неявно. Имитационное моделирование дает возможность в полной мере оценить степень надежности и эффективности программы с учетом влияния взаимозависимых факторов. Применение моделирования имитаций также позволяет количественно оценить риски, связанные с инвестиционными проектами.

Методы оценки производственных рисков предприятия

Для оценки производственных рисков предприятия и в целом данного процесса можно использовать один из пяти методов, ориентированных на надежность:

1. Причинно-следственный анализ

   Можно определить фактическую причину опасности. Информация представляется в виде диаграммы «рыбий скелет» или древовидной схемы. Этот метод применяется для определения возможных причин нежелательных случаев.

2. Метод анализа сценариев

   Он применяется для описания и управления рисками путем рассмотрения возможных событий и изучения их значимости и последствий. Например, набор сценариев, отражающих лучший случай, худший вариант и ожидаемую ситуацию используется для анализа возможных исходов и их вероятности для каждой программы. Этот метод используется как при планировании будущих стратегий, так и при анализе существующей деятельности.

3. Дерево решений

   Данный метод используется для отображения альтернативных вариантов решений и их результатов с учетом связанных с ними неопределенностей. Анализ начинается с заданного исходного события или выбора.

   

   Источник: shutterstock.com

   Затем прогнозируется его развитие, определяются последствия, которые возникнут при его реализации, а также различные решения, которые могут быть приняты. Если необходимо выбрать наилучший вариант действий в неопределенной ситуации, определите, как это сделать.

4. Метод анализа уровней защиты

   Для использования этой технологии необходимо выбрать пару «причина/следствие» и определить уровень защиты, который может предотвратить возникновение ситуации, приводящей к нежелательному результату. Для определения адекватности мер по снижению риска до приемлемого уровня выполняются расчеты последствий. Этот метод может использоваться для управления автоматизированными системами, а также для оценки средств, мер и их эффективности.

5. Метод технического обслуживания, направленный на обеспечение надежности

   Он применяется на этапе проектирования и разработки и реализуется на этапе производства и техобслуживания. Метод может быть использован для постановки задач технического обслуживания, таких как мониторинг аппаратного состояния, регулярный ремонт и замена, обнаружение неисправностей или плановое ТО рабочего оборудования.

Для оценки продукции, оборудования и производственных процессов, связанных с безопасностью, следует использовать один из двух способов

Метод анализа опасности и критических контрольных точек

Используется предприятиями пищевой промышленности для контроля риска физического, химического или биологического загрязнения продуктов питания. Это пошаговый метод:

Шаг 1. Опишите сырье и готовую продукцию, определите опасности, которые могут присутствовать в них и в упаковочных материалах.

Шаг 2. Определите назначение продукта, срок годности и условия хранения готовых к употреблению продуктов.

Шаг 3. Установите и запишите факторы, которые могут угрожать безопасности пищевой продукции.

Шаг 4. Определите критические контрольные точки (ККТ): этап, стадию или процесс, где могут быть применены меры контроля для предотвращения, устранения или снижения потенциальных опасностей до приемлемого уровня.

Шаг 5. Разработайте систему мониторинга для каждой ККТ, план корректирующих действий на случай отклонения параметров процесса от критических пределов и дальнейшие процедуры проверки.

Исследование HAZOP

Этот метод использует контрольные слова, чтобы понять, почему проектные цели и условия эксплуатации не выполняются на каждом этапе процесса, проекта, системы. Рекомендуется применять этот метод пошагово:

Шаг 1. Установите цель и область исследования.

Шаг 2. Определите ключевые слова и контрольные термины для процесса.

Шаг 3. Сформируйте команду, состоящую из экспертов в основных и смежных дисциплинах, проектировщиков и производственного персонала, способных провести техническое исследование.

Шаг 4. Соберите документы, чертежи и описание технологического процесса.

Шаг 5. Используя документацию, собранную на предыдущем этапе, проанализируйте каждую основную единицу оборудования, всей вспомогательной техники и контрольно-измерительных приборов.

Шаг 6. Задокументируйте отклонения от нормальных и соответствующих условий и определите методы обнаружения и предотвращения отклонений.

Оценка рисков банкротства предприятия

Даже самые эффективные фирмы должны регулярно оценивать результаты своей деятельности. Ведь любое изменение в законодательстве или национальной экономике может повлиять на прибыльность предприятия. Разумеется, это необходимо, чтобы оставаться на плаву в условиях конкуренции. Поэтому опытные бизнесмены регулярно диагностируют рентабельность своего дела. Планомерно анализируя вероятность банкротства, можно своевременно принять меры по устранению проблем. Делать это можно оценив, изучив ряд важных факторов. К ним относятся:

• Финансовые показатели. Сюда входят рентабельность, общая выручка, чистые активы, заемный и собственный капитал, долго- и краткосрочная задолженность, поток средств, уровень задолженности и кредитный риск компании.

• Рынок. Сюда входит оценка конкурентной среды, анализ динамики технологий, а также изменений в поведении и предпочтениях потребителей.

• Менеджмент. Стоит внимательно следить за управленческой деятельностью внутри компании. Это особенно актуально для крупных предприятий. Важно, чтобы все составляющие (например, филиалы) придерживались единой стратегии, адаптируясь к конкретным условиям региона.

• Популярность бренда. Трудно переоценить значение репутации торговой марки, рекламной политики и корпоративного имиджа.

• Риски и возможности. Любая компания может столкнуться с внутренними и внешними угрозами, устойчивость к которым обеспечивает стабильность. Финансовые кризисы, нереализуемые инвестиции и невозврат денежных средств, экономические колебания или изменения в законодательстве – факторов риска много. Необходимо вовремя находить возможности для развития новых проектов или снижения затрат.

Сочетание этих факторов поможет определить вероятность банкротства и принять соответствующие меры.

Источник: shutterstock.com

Чтобы знать, ведет ли деятельность компании к банкротству, можно ознакомиться с одной из моделей, прогнозирующих несостоятельность компании. По сути, это формула, раскрытая на практике. Просто подставив в нее показатели компании, становится понятно, не пора ли задуматься о мерах по исправлению ситуации. Она опирается на методы, выявленные Эдвардом Альтманом, Джоном Фулмером, Ричардом Тафлером и другими.

Приведем пример одной из самых популярных моделей оценки банкротства. 5-факторная, или полная формула Альтмана, выглядит следующим образом:

где:

• A – оборотные средства к общему имуществу предприятия;

• B – чистая прибыль по отношению к совокупным активам;

• C – прибыль до вычета налогов к стоимости имущества;

• D – цена собственного капитала на рынке по отношению к балансовой стоимости активов;

• E – продажи к общему значению активов.

После несложных расчетов получается расшифрованное значение:

1. если общее значение оказывается меньше 1,81 – есть вероятность, что предприятие близко к закату;

2. показатель лежит между 1,81 и 2,77 – стоит задуматься о мерах по защите от банкротства;

3. значение находится между 2,77 и 2,99 – вероятность несостоятельности составляет 5:1;

4. параметр равен или выше 2,99 – компания движется в правильном направлении.

Скачайте полезный документ по теме:

Чек-лист: Как добиваться своих целей в переговорах с клиентами

Анализ и оценка информационных рисков предприятия

Угроза информационной безопасности – это подозрительные действия, потенциально направленные на нарушение конфиденциальности, доступности и целостности критически важных ресурсов данных.

Успешная атака может привести к следующим последствиям:

• прекращение деятельности организации;

• отказ систем управления;

• уничтожение данных.

Источники опасности включают в себя как искусственные, так и естественные угрозы. Первые – это такие, которые намеренно причинили ущерб, в то время как вторые – результат форс-мажорных ситуаций, не имеющих человеческой подоплеки.

Традиционно выделяют две группы искусственных источников опасности.

К первой относятся:

• хакерские группировки;

• конкуренты;

• криминальные организации;

• инсайдеры (внутренние пользователи с преступными мотивами).

Вторая группа включает в себя:

• ошибки в процессе обработки информации;

• ошибки пользователей;

• нелицензионное программное обеспечение;

• отключение системы защиты данных.

Естественные источники риска легче классифицировать. К ним относят любые действия, на которые человек не может повлиять. Например, природные явления, стихии.

Анализ состояния информационной безопасности (или оценка защищенности этой системы) – структурированный и повторяющийся процесс, который помогает предприятиям своевременно выявлять и устранять новые угрозы. По его результатам формулируются рекомендации по изменению внутренних процессов компании. Анализ также необходим для определения вероятности возникновения угроз и масштаба возможного ущерба.

Источник: shutterstock.com

Оценка информационных рисков предприятия позволяет понять, как должна выглядеть система защиты, чтобы в дальнейшем разработать, модернизировать и внедрить необходимые средства охраны, а значит, обеспечить требуемый уровень безопасности данных компании от несанкционированного доступа. Существует несколько различных методологий. Рассмотрим их:

1. Экспертная оценка

   Компетентная комиссия определяет объекты, параметры и характеристики исследования. Чтобы провести полномасштабную оценку эффективности информационной безопасности предприятия, эксперт собирает следующие данные:

   • общие данные об объекте автоматизации;

   • описание процессов обработки конфиденциальных данных;

   • описание информационной системы предприятия;

   • описание инфраструктуры данных;

   • описание системы информационной безопасности (документация, организационные и технические меры, средства защиты).

   Руководствуясь собранными данными, эксперт оценивает потенциальные источники риска. Для каждого выявленного определяется вероятность ее возникновения и коэффициент серьезности.

2. Статистический анализ рисков

   Этот метод помогает определить, где система наиболее уязвима. Однако для такого анализа требуется достаточное количество данных о предыдущих атаках.

3. Факторный анализ

   ИТ-специалисты определяют основные факторы, качественно влияющие на возникновение той или иной угрозы. Задача эксперта – проанализировать корпоративную систему, чтобы определить, какие уязвимости нужно устранить, а чем можно пренебречь.

В рамках анализа информационной безопасности эксперт также определяет векторы атак или средства, с помощью которых возможный злоумышленник может нанести ущерб системе. Примеры некоторых угроз:

• неподготовленность пользователей к фишинговым атакам;

• использование незащищенных беспроводных сетей;

• открытые порты USB, неограниченное использование съемных носителей;

• устаревшие версии компонентов.

Анализ безопасности систем особенно актуален в следующих случаях:

• кризисные ситуации;

• слияния, поглощения, присоединения и расширение предприятия;

• смена курса руководства или концепции бизнеса;

• изменения в законодательстве и нормативных актах;

• значительные трансформации в структуре данных.

Хотя оценка информационной безопасности может отличаться в разных компаниях, ключевые ее процедуры должны основываться на передовом отраслевом опыте, быть повторяемыми и структурированными, чтобы обеспечить оценку всей системы и ее возможных уязвимостей.

Ниже перечислены существующие методы, используемые для оценки потенциальных угроз.

Моделирование информационных потоков

Оценка безопасности данных с помощью моделирования информационных потоков позволяет выявить:

• тенденции в поведении системы;

• потенциальные ошибки;

• степень уязвимости;

• диапазон последствий от вероятных угроз.

Предварительная оценка системы в целом и выявление потенциальных рисков позволяют принять эффективное решение об оптимальных мерах безопасности.

Моделирование угроз

При моделировании угроз обычно используется сочетание экспертного и факторного анализа. Специалисты проверяют все критически важные системы предприятия на наличие уязвимостей. Этот анализ позволяет оценить вероятность возникновения угрозы и масштабы ее воздействия. Помимо этого, моделирование рисков включает в себя поиск и устранение потенциальных источников опасности.

Источник: shutterstock.com

Поиск уязвимых зон

Для успешного анализа и оценки информационной безопасности компаниям необходимо не только распознать потенциальные угрозы, но и оценить степень их воздействия. Существует множество методов и приемов поиска уязвимых мест. Ниже приведены два широко используемых способа, которые помогут классифицировать атаки на всех этапах их появления:

• Матрица угроз

Это таблица, в которой суммируются вероятности возникновения рисков и их последствия. Такая характеристика дает возможность экспертам описать все уязвимости системы, типы угроз и вероятные эффекты, уменьшая при этом субъективный элемент. Другими словами, матрица визуализирует количество потенциальных рисков. Основываясь на результатах работы с ней, организация может эффективно распределять ресурсы для защиты своей информационной безопасности от наиболее вероятных атак.

• Деревья атак

Иначе этот метод еще называют «деревья ошибок». Это упорядоченный и иерархичный способ сбора вероятных угроз. Дерево воспроизводит вероятную атаку и ее цель, увязывая задачи злоумышленника с целями атаки, а также возможные методы выполнения. Деревья ошибок можно использовать в сочетании с другими инструментами анализа или как самостоятельный инструмент расследования.

Особенность деревьев атак заключается в том, что эксперт строит отдельное для каждого из программных продуктов компании. Так выстраивается целая цепочка угроз, по которой хакеры могут «взбираться» для достижения цели. Проанализировав и оценив информационную безопасность компании, эксперт может прогнозировать вероятность риска и масштаб возможного ущерба. Обычно он обращается к следующим данным:

• проведенные исследования;

• результаты анализа ИБ;

• данные о предыдущих атаках.

Эксперт определяет два основных вектора работы:

1. Устранение последствий успешной атаки.

2. Принятие и проработка рисков.

Эксперт определяет уровень производственных затрат на устранение последствий на основе статистики компании. Как правило, она собирается за несколько отчетных периодов. Статистика отражает реальные инциденты утечки данных, репутационные риски и эффективность системы защиты. На основе собранной информации компании определяют действия, которые необходимо предпринять для обеспечения надлежащего уровня безопасности.

Часто задаваемые вопросы об оценке рисков предприятия

Представителям малых, средних и микропредприятий также важно систематически оценивать риски своих предприятий. Учитывая внешние и внутренние факторы, угрожающие предприятию, можно заранее подготовить решения для многих кризисных ситуаций, предотвратив фатальные последствия для бизнеса.

Кто на предприятии должен заниматься оценкой рисков?

Любая предпринимательская деятельность сопряжена с угрозами, которые в конечном итоге приводят к затратам. Поэтому предприниматели и организации должны продумывать все варианты развития событий, как положительные, так и отрицательные. В идеале, на предприятии должен быть отдел, занимающийся управлением рисками. Если такового нет, руководство либо само занимается этим, либо делегирует эту обязанность руководителям различных отделов.

Что значит управлять рисками?

Если возникнет какая-либо из угроз, это может привести к увеличению обязательств, простою и даже банкротству компании. Поэтому организации должны управлять рисками. Это означает определение того, что может произойти, как это может повлиять на компанию и как предотвратить это событие или снизить его вероятность.

Кто поможет в оценке рисков предприятия?

Чтобы собрать полную информацию, выполнить оценку рисков предприятия и определить их уровень, важно работать с собственными сотрудниками. Для этого применяются различные методы специализированных опросов:

• анкеты;

• интервью;

• комиссии;

• мозговые штурмы.

Анкетирование может проходить заочно, но другие приемы должны использоваться при личной встрече с сотрудниками. Эти методы сбора информации точны, но трудоемки с точки зрения времени, необходимого для получения и обработки данных. Однако они могут повлиять на различные виды неопределенности и помочь найти способы предотвращения или устранения негативных последствий. Например, своевременные опросы сотрудников позволяют исключить технические и трудовые ошибки. Интервью со специалистами могут помочь выявить неэффективность рабочих процессов, которая могла остаться незамеченной менеджером.

Автор статьи

Алексей Бояркин

Сооснователь компании «Генератор продаж»

Последние статьи этого автора:

• Бенчмаркинг компании: примеры из зарубежной и российской практики
• СTА-элементы, которые привлекут в 2 раза больше клиентов
• Формула рентабельности продаж: пример расчета

Забрать гарантированный подарок

Скачать 7,4 MB

Полезные
материалы
для руководителей

Скачать 3,2 MB