Риск-менеджмент: что это, методы и этапы управления рисками в компании

О чём эта статья? Риск-менеджмент — процесс, который помогает компании заранее находить, оценивать и снижать риски. Ниже разобраны виды рисков, этапы процесса, методы оценки, инструменты, стандарты и порядок внедрения системы.

Кому она пригодится? Собственникам бизнеса, руководителям проектов, начинающим риск-менеджерам и студентам. Практик найдёт готовые шаги и примеры. Студент — чёткие определения для ответа на тест.

Что такое риск-менеджмент и зачем он нужен компании?

Риск-менеджмент — это система управления рисками, которая помогает компании достигать целей в условиях неопределённости. Она включает поиск угроз, их оценку, выбор мер и постоянный контроль. Термины «риск-менеджмент предприятия», «управление рисками» и «менеджмент риска» обозначают один процесс. Последний вариант закреплён в российских стандартах.

Что такое риск и почему он не всегда угроза?

Риск — возможное событие или условие, которое может повлиять на цели, сроки, бюджет, качество или репутацию. Его описывают тремя вопросами. Что может произойти? Насколько это вероятно? Насколько сильно событие повлияет на результат?

Источник: shutterstock.com

Риск и проблема — разные понятия. Риск ещё не случился, и им можно управлять заранее. Проблема уже возникла, и компания устраняет её последствия.

Важно! Риск — не всегда что-то плохое. Стандарт ISO 31000 описывает риск как влияние неопределённости на цели. Это влияние бывает положительным. Просчитанный риск открывает новые возможности: выход на новый рынок, запуск продукта, рост прибыли.

Какие цели и задачи решает управление рисками?

Задачи риск-менеджмента — прогнозировать вероятные риски и угрозы, устранять причины их появления и принимать антикризисные решения. Главная цель — не убрать все риски. Она в другом: сохранить баланс между риском и безопасностью бизнеса.

Грамотная работа с рисками снижает потери. Компания знает свои слабые места и закрывает их до сбоя. В кризис решения принимают быстрее, ведь план действий уже готов.

Сроки и бюджет становятся точнее. Руководство закладывает резерв туда, где он нужен. Партнёры и клиенты больше доверяют компании с прозрачной системой контроля. Крупные шаги проходят взвешенную оценку. В итоге бизнес получает конкурентное преимущество: он устойчивее к изменениям рынка.

Какие бывают виды рисков в бизнесе?

Единой классификации рисков нет. На практике их удобно группировать по источнику. Так проще понять, кто отвечает за риск и какими методами его оценивать.

Какие риски связаны с деньгами и рынком?

Финансовые риски затрагивают деньги компании. Сюда относятся рост ставки по кредиту, падение выручки, кассовый разрыв, колебания курса валюты и ошибки в бюджете. Типичная мера — финансовая подушка и диверсификация выручки. Если доход идёт из нескольких источников, потеря одного клиента не остановит бизнес.

Источник: shutterstock.com

Рыночные и конкурентные риски приходят извне. На рынке появляется новый конкурент, падает спрос, начинается ценовая война. Компания ведёт мониторинг рынка и отличает свой продукт от продуктов конкурентов.

Какие риски возникают внутри компании: операционные, технические, ИТ и кадровые?

Операционные риски — это сбои процессов и ошибки сотрудников. Технические риски связаны с поломкой оборудования. ИТ-риски — утечка данных и отказ информационных систем.

Отдельного внимания требует риск единой точки отказа. Он появляется, когда весь процесс зависит от одного сервера, поставщика или человека. Сбой в этом звене останавливает всю работу.

Кадровые риски — уход ключевого сотрудника или нехватка квалифицированных кадров. Против внутренних рисков работают регламенты, резервирование оборудования, резервные копии данных и база знаний. Дублирование компетенций позволяет заменить сотрудника без остановки процессов.

«Голодные игры» для бизнеса:
Как занять нишу за 3–6 месяцев и получать в 3–5 раз больше клиентов

Рынок уже делят заново — и прямо сейчас вы либо забираете клиентов, либо отдаёте их. Пока одни компании сокращают штат и бюджеты, другие кратно наращивают продажи за счёт правильной системы роста.

Мы разработали стратегию, которая помогла 196 нашим клиентам стать №1 в своих нишах за 3–6 месяцев.

Что показали кейсы:

• стратегия сработала в 93%;
• средняя окупаемость инвестиций — 312%;
• в сложных нишах заявка в 7 раз дешевле, чем в Директе;
• клиенты в среднем увеличили прибыль на 217% за первые 3 месяца.

Мы уверены в результате, поэтому даём финансовую гарантию в договоре.
И да, вы можете внедрить стратегию сами (хотя мы будем немного ревновать).

Скачайте бесплатно нашу пошаговую стратегию с кейсами в 78 нишах и начните забирать в 3-5 раз больше клиентов, пока конкуренты продолжают терять рынок.

Скачать стратегию роста

PDF 2,3 MB

Чем опасны проектные риски для сроков и бюджета?

Проектные риски угрожают срокам, бюджету и объёму работ. Заказчик меняет требования, подрядчик срывает поставку, этап затягивается. Временные риски особенно коварны: небольшая задержка на старте сдвигает весь график.

Руководитель проекта закладывает запас времени и бюджета. Каждое изменение объёма работ проходит согласование.

Что такое юридические, регуляторные и репутационные риски?

Юридические и регуляторные, или комплаенс-риски, связаны с законами и договорами. Сюда входят изменения законодательства, нарушение договора или стандартов, ошибки при обработке персональных данных.

Источник: shutterstock.com

Репутационные риски возникают из-за негативных отзывов, публикаций и скандалов. Защиту дают юридическое сопровождение сделок, комплаенс-контроль, мониторинг упоминаний и готовый коммуникационный план.

Какие внешние риски бизнес не может контролировать?

Экономические и политические изменения, экологические риски и стихийные бедствия не зависят от действий компании. Поэтому риски делят на контролируемые и неконтролируемые. Первыми компания управляет напрямую. Для вторых она заранее готовит сценарий действий: резервный склад, запасного поставщика, страхование имущества.

Как быстро сравнить все виды рисков: сводная таблица

Таблица сводит виды рисков в одну схему и подсказывает первую меру.

Утечка данных бьёт по репутации и грозит штрафом. Поэтому риски оценивают в связке.

Как устроен процесс управления рисками?

Процесс управления рисками — основа риск-менеджмента. Это замкнутый цикл, а не разовая проверка. Обычно он включает пять этапов: выявление, анализ и оценку, приоритизацию, обработку и мониторинг. После мониторинга цикл начинается снова.

Как выявить риски и почему этот этап основной?

Идентификация рисков — поиск всего, что может помешать компании достичь целей. Для этого используют мозговой штурм, анализ прошлых инцидентов, интервью с сотрудниками, чек-листы и SWOT-анализ.

Команда задаёт себе ключевые вопросы. Что изменилось в документации и законах? Что показали последние аудиты? Какой негативный и позитивный опыт уже есть у компании?

Источник: shutterstock.com

Основным этапом процесса управления рисками является выявление рисков. Без него остальные этапы невозможны: неучтённым риском нельзя управлять.

Важно! На этапе выявления риски не фильтруют. Лучше записать лишнее, чем пропустить критическое. Слабые риски отсеются при оценке.

Как оценить риски и расставить приоритеты?

Каждому риску присваивают два параметра: вероятность и влияние. Их оценивают по единой шкале. Балл риска равен вероятности, умноженной на влияние. Чем выше балл, тем раньше компания займётся риском.

При расстановке приоритетов учитывают возможные финансовые потери, потерянное время и наличие ресурсов. Риск с высоким баллом, но без доступных мер требует решения руководства. Методы оценки подробно разобраны в следующем разделе.

Что такое риск-аппетит, толерантность к риску и остаточный риск?

Риск-аппетит — общий объём риска, который компания готова принять ради своих целей. Молодой стартап часто рискует больше, чем крупный производитель.

Толерантность к риску — допустимый порог для отдельного вида риска. Компания может спокойно относиться к колебаниям спроса, но не допускать нарушений закона.

Остаточный риск остаётся после всех принятых мер. Нулевого риска не бывает. Все три определения закрепляют в политике компании. Тогда подразделения оценивают риски по единой логике.

Какие меры направлены на изменение риска: 4 стратегии реагирования

Меры, направленные на изменение риска, в терминах стандарта называются обработкой риска. Компания выбирает одну из четырёх стратегий или их сочетание.

1. Уклонение (избегание) — наиболее активный метод реагирования на риски. Он предполагает полное устранение источника риска: компания отказывается от рискованного проекта, сделки или поставщика.

2. Снижение — меры по предотвращению и контролю. Они уменьшают вероятность события или его последствия.

3. Передача — перенос последствий на другую сторону через страхование, аутсорсинг или контрактные гарантии.

4. Принятие — осознанное решение жить с риском при готовом плане действий.

Выбор стратегии зависит от соотношения цены меры и возможного ущерба. Условный пример: резервный сервер стоит дешевле недели простоя. Поэтому компания выбирает снижение и покупает резерв. Мера дороже самого ущерба вносит меньший вклад в управление риском. Больший вклад дают меры, которые устраняют причину, а не последствия.

Зачем нужен мониторинг и регулярный пересмотр рисков?

Риски меняются вместе с бизнесом. Ответственные сотрудники следят за статусом каждого риска и замечают новые угрозы. Реестр пересматривают по графику и дополнительно после значимых изменений: запуска продукта, смены поставщика, новых законов.

После внедрения мер команда проверяет, снизился ли балл риска. Если нет, меру заменяют. Результаты проверки документируют. Так у компании остаётся история решений и опыт для будущих проектов.

Как выглядит процесс управления рисками на примере риска потерять работу?

Учебный пример помогает собрать верную последовательность этапов. Сотрудник управляет риском потерять работу. Сначала он выявляет причины, которые могут привести к увольнению: сокращение штата, слияние отделов, автоматизацию своих задач.

Источник: shutterstock.com

Затем он оценивает вероятность каждого события и последствия для семейного бюджета. После этого расставляет приоритеты. Сокращение из-за автоматизации выглядит самым вероятным, поэтому сотрудник займётся им первым.

На этапе обработки он выбирает стратегию снижения. Сотрудник копит финансовую подушку и проходит курсы повышения квалификации. В конце он регулярно отслеживает новости компании и рынка труда. Мониторинг показывает, работают ли принятые меры.

Что делать, если риск реализовался?

Реализация риска — момент, когда риск превращается в проблему. Компания сразу запускает заранее подготовленный план действий. Затем команда оценивает, насколько эффективно сработали меры. Стратегию корректируют, а реестр обновляют. Опыт одного инцидента помогает точнее управлять похожими рисками в будущем.

ТОП-7 кейсов
из разных ниш с ростом
от 89% до 1732%

Узнать подробнее

Какие методы и инструменты используют в риск-менеджменте?

Методы управления рисками выбирают в зависимости от цены ошибки и объёма доступных данных. К методам риск-менеджмента в теории управления относят методы оценки и методы воздействия на риск. Обычно компании используют несколько методов вместе.

Чем отличаются качественный и количественный анализ рисков?

Качественный анализ опирается на мнение экспертов и шкалы. Он быстрый и подходит большинству компаний. Риску присваивают оценку «низкий», «средний» или «высокий».

Количественный анализ даёт численную оценку ущерба и вероятности. Он точнее и легче поддаётся автоматизации, но требует данных. Для расчёта нужны исторические данные о частоте событий и размере потерь. Яркий пример — метод Монте-Карло. Программа моделирует множество сценариев и показывает разброс возможных исходов. Методы часто сочетают: качественный отбирает важные риски, количественный уточняет расчёт.

Какие ещё методы оценки рисков применяют на практике?

Метод аналогов опирается на опыт похожих проектов. Компания изучает прошлые ситуации и переносит выводы на свой случай. Его используют, когда новый проект похож на уже завершённые.

Метод экспертных оценок собирает мнения специалистов. Его применяют, когда данных мало, а решение нужно быстро.

Анализ целесообразности затрат сравнивает стоимость защиты и размер возможных потерь. Метод не даёт тратить на меры больше, чем стоит сам риск.

Источник: shutterstock.com

Метод рейтинговых оценок присваивает рискам баллы по шкале от 1 до 5 или от 1 до 10. Он удобен для сравнения большого числа рисков.

Контрольные списки источников рисков — готовые перечни типичных угроз. Команда проходит по списку и отмечает угрозы своего проекта.

Как вести реестр, матрицу и карту рисков?

Реестр рисков — главный рабочий документ риск-менеджмента. По каждому риску в нём указывают причину, вероятность, влияние, балл, владельца, меру и статус. Реестр ведут в таблицах или специализированном ПО.

Матрица рисков — таблица, где одна ось показывает вероятность, другая — влияние. Ячейки окрашены в зелёную, жёлтую и красную зоны. Цвет подсказывает, какие последствия для компании допустимы. Риск из красной зоны требует немедленных мер.

Карта рисков отображает все риски на плоскости. Руководство сразу видит самые опасные зоны. Поэтому карту удобно показывать на совещаниях.

Как найти причины рисков: SWOT-анализ, дерево решений, диаграммы Исикавы и Парето

SWOT-анализ раскладывает ситуацию на сильные и слабые стороны, возможности и угрозы. Слабые стороны и угрозы прямо указывают на риски.

Дерево решений показывает последствия каждого варианта. Каждая ветвь описывает возможные последствия и их вероятность. Так руководитель сравнивает исходы до принятия решения.

Диаграмма Исикавы, или «рыбья кость», помогает найти корневую причину проблемы. Диаграмма Парето выделяет немногие причины, которые дают основную часть потерь. Колесо фьючерсов через мозговой штурм показывает цепочку последствий решения.

Кто управляет рисками в компании и по каким стандартам?

За управление рисками отвечают конкретные люди. Их работа строится на готовых методологиях и стандартах.

Что делает риск-менеджер?

Риск-менеджер выявляет риски и ведёт реестр. Он анализирует вероятность и воздействие рисков, разрабатывает стратегии и согласует бюджет на меры.

Специалист контролирует статус рисков и сообщает руководству о значимых изменениях. Он обучает команду вовремя замечать угрозы.

Как работает модель «три линии защиты» и подходит ли она малому бизнесу?

Модель распределяет ответственность за риски между тремя уровнями. Первая линия — операционные менеджеры и сотрудники. Вторая линия — риск-менеджмент и комплаенс. Третья линия — внутренний аудит. Он независимо проверяет, работает ли система.

В малом бизнесе модель упрощают. Руководители направлений берут на себя первую линию. Генеральный или финансовый директор отвечает за вторую. Роль третьей линии выполняет внешний аудитор.

Важно! У каждого риска должен быть владелец — конкретный человек. Риск «на всех» не контролирует никто.

Что такое управление корпоративными рисками (ERM)?

ERM — подход, при котором рисками управляют на уровне всего бизнеса. Это общая стратегия организации с распределёнными ролями и зонами ответственности, а не разовое решение.

Что устанавливают ISO 31000 и ГОСТ Р ИСО 31000-2019?

ISO 31000 — международный стандарт с универсальными принципами и процессом управления рисками. Он не привязан к отрасли и подходит любой организации. Российская версия — ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство». Он действует с 1 марта 2020 года и идентичен ISO 31000:2018.

Стандарт носит рекомендательный характер и не требует сертификации. Он описывает принципы, структуру и процесс менеджмента риска. Среди принципов — интегрированность, адаптированность, вовлечённость и учёт поведенческих и культурных факторов.

Чем отличаются COSO ERM, FERMA, CAS, NIST и COBIT и какой стандарт выбрать?

COSO ERM связывает стратегию, эффективность и риски. Модель включает пять компонентов: руководство и культура; стратегия и постановка целей; производительность; анализ и пересмотр; информация, коммуникации и отчётность.

Источник: shutterstock.com

FERMA — европейский стандарт с прикладными рекомендациями. CAS — стандарт актуарного сообщества. NIST и COBIT ориентированы на информационные системы и ИТ. Таблица помогает сравнить их между собой.

Для старта большинству компаний хватает ISO 31000. Другие стандарты подключают по мере роста бизнеса и усложнения задач.

Как внедрить систему риск-менеджмента и проверить её эффективность?

Систему риск-менеджмента можно запустить без отдельного специалиста. На старте хватит ответственного сотрудника и простого реестра. Затем систему постепенно усложняют: добавляют матрицу, метрики и регулярные отчёты руководству.

С чего начать внедрение: пошаговая инструкция

Первый запуск системы укладывается в пять шагов.

1. Назначить ответственного за риски.

2. Определить контекст и цели компании.

3. Провести первую идентификацию и оценку рисков.

4. Заполнить реестр и план управления рисками.

5. Регулярно пересматривать реестр.

Источник: shutterstock.com

План управления рисками — документ с перечнем действий, ответственных и ресурсов. Он не статичен. Компания пересматривает план вместе с реестром.

По каким метрикам понять, что система управления рисками работает?

Эффективность системы проверяют по понятным показателям.

• Покрытие реестра: у каждого риска есть владелец и мера.

• Доля реализованных рисков среди всех учтённых.

• Время реагирования на инцидент.

• Динамика реестра: как меняются баллы и число рисков.

• Количество неожиданных инцидентов, которых не было в реестре.

Кроме метрик, полезно следить за ранними сигналами. Рост текучести, задержки оплат и частые мелкие сбои нередко предупреждают о крупном риске.

Что не включает эффективное управление рисками: типичные ошибки

Эффективное управление рисками не включает в себя попытку свести риск к нулю. Цель — удержать его на приемлемом уровне. В хорошей системе нет и рисков без владельца.

Частая ошибка — отсутствие единой шкалы оценки. Отделы оценивают риски по-разному, и сравнить их невозможно. Другая ошибка — реестр живёт отдельно от работы: его заполнили один раз и забыли. Ещё одна проблема — меры назначены, но их эффективность никто не проверяет. Последняя ошибка — руководство принимает решения без данных из реестра и не видит последствий. Для оценки последствий используют ту же шкалу, что и для самих рисков.

Скачайте полезный документ по теме:

Чек-лист: Как добиваться своих целей в переговорах с клиентами

Источник изображения на шапке: shutterstock.com

Автор статьи

Дмитрий Свистунов

Руководитель SEO-отдела и разработки

Последние статьи этого автора:

• Как провести вебинар: правила, этапы, полезные инструменты
• Массовая рассылка email: задачи, виды, этапы создания