Карта рисков — самый популярный инструмент управления рисками: она понятна руководству и строится за одно совещание. Ее описывает и ГОСТ Р 58771-2019 (раздел Б.9.3). Но за простотой скрываются ограничения, которые нужно знать, чтобы карта не вводила в заблуждение.
Как построить карту рисков
- Определите шкалы. Для вероятности и последствий задайте по пять уровней с числовыми границами. Шкала последствий должна охватывать диапазон от минимально значимого до максимально правдоподобного ущерба для вашей компании.
- Оцените риски. Для каждого риска из реестра определите вероятность за выбранный период (обычно год) и наиболее вероятный ущерб.
- Нанесите риски на карту. Риск попадает в ячейку на пересечении уровней вероятности и последствий.
- Задайте правила для зон. Например: красная зона — риск рассматривает правление, обязательны мероприятия; оранжевая — владелец риска готовит мероприятия; серая — мониторинг.
Пример шкал для промышленной компании с выручкой несколько миллиардов рублей:
| Балл | Вероятность за год | Ущерб, млн руб. |
|---|---|---|
| 1 | до 5 % | до 10 |
| 2 | 5–15 % | 10–30 |
| 3 | 15–35 % | 30–80 |
| 4 | 35–65 % | 80–200 |
| 5 | более 65 % | более 200 |
Пример: восемь рисков на карте
| № | Риск | Баллы | Ожидаемый ущерб, млн руб./год |
|---|---|---|---|
| 1 | Авария на основной производственной линии | 2 × 4 = 8 | 18,0 |
| 2 | Рост цен на основное сырье | 4 × 3 = 12 | 34,2 |
| 3 | Срыв поставки ключевого компонента | 3 × 3 = 9 | 11,5 |
| 4 | Уход ключевого клиента | 2 × 4 = 8 | 16,2 |
| 5 | Кибератака на ИТ-системы | 2 × 2 = 4 | 4,1 |
| 6 | Штраф контролирующего органа | 3 × 1 = 3 | 2,7 |
| 7 | Неблагоприятное изменение курса валюты | 4 × 3 = 12 | 18,0 |
| 8 | Задержка ввода нового цеха | 3 × 3 = 9 | 15,5 |
Ожидаемый ущерб рассчитан по количественным оценкам тех же рисков (вероятность и диапазон ущерба) — они приведены в статье «Реестр рисков: пример и шаблон».
Что карта показывает неверно
Сравните баллы и ожидаемый ущерб в таблице — расхождения видны сразу:
- Одна ячейка — разные риски. Риски 2 и 7 оба набрали 12 баллов, но ожидаемый ущерб от роста цен на сырье почти вдвое больше: 34 млн руб. против 18.
- Обратный порядок. Срыв поставки (9 баллов) стоит на карте выше аварии на линии (8 баллов), хотя ожидаемый ущерб от аварии в полтора раза больше. К тому же у аварии ущерб может достичь 400 млн руб., а у срыва поставки не превышает 80.
- Скрытый хвост. Кибератака получила 4 балла, потому что наиболее вероятный ущерб — 30 млн руб. Но в худшем случае он достигает 120 млн руб. Карта оценивает риск по одному значению последствий, хотя у большинства рисков их диапазон.
- Нет суммы. По карте нельзя сказать, сколько компания может потерять за год от всех восьми рисков. Количественная модель дает ответ: в среднем 119 млн руб., а с вероятностью 5 % — больше 295 млн руб.
Эти проблемы хорошо известны. ГОСТ Р 58771-2019 перечисляет среди ограничений матрицы субъективность («разные люди часто присваивают очень разные оценки одному и тому же риску»), зависимость от одного значения последствий и невозможность агрегировать риски. В международной литературе подробный разбор дал Л. Кокс в статье «What’s Wrong with Risk Matrices?» (Risk Analysis, 2008): матрица может присвоить более высокий рейтинг количественно меньшему риску.
Наглядный пример из нашей практики — два проекта с одинаковым числом рисков в каждой цветовой зоне:
Как сделать карту полезнее
- Числовые шкалы. Привязывайте баллы к диапазонам вероятности и ущерба, а не к словам.
- Диапазон последствий. Для рисков с возможным крупным ущербом оценивайте не только наиболее вероятное значение, но и максимум; такие риски поднимайте в верхнюю зону независимо от баллов.
- Количественная оценка ключевых рисков. Карта — фильтр, а не результат. Риски из верхних зон оценивайте в деньгах и складывайте методом Монте-Карло. Подробнее — в статье «Качественный и количественный анализ рисков».
- Связь с риск-аппетитом. Границы зон должны соответствовать тому, какой ущерб компания готова принять. Как это сформулировать — в статье «Риск-аппетит».
В Пеликане карта вероятности и влияния строится автоматически по количественным оценкам рисков, поэтому привычная картинка и расчет в деньгах всегда согласованы, а совокупный риск сравнивается с риск-аппетитом.
Частые вопросы
Чем карта рисков отличается от матрицы рисков?
Обычно это одно и то же. ГОСТ Р 58771-2019 называет инструмент «матрица последствий/вероятности (матрица рисков или тепловая карта)». Иногда картой называют сам рисунок с нанесенными рисками, а матрицей — таблицу с правилами для ячеек.
Сколько уровней должно быть в шкалах?
Чаще всего используют 5 × 5, реже 3 × 3 или 4 × 4. Важнее количества уровней их привязка к числам: «вероятность 15–35 % в год», «ущерб 30–80 млн руб.». Без числовых диапазонов разные эксперты понимают «высокую вероятность» по-разному.
Как учитывать риски с разными видами последствий?
Для каждого вида последствий (финансы, здоровье и безопасность, экология, репутация) составляют свою шкалу, согласованную по уровням. Риск ставят на карту по наиболее тяжелому виду последствий или показывают отдельно по каждому виду.
Можно ли по карте рисков определить общий уровень риска компании?
Нет. По карте можно только подсчитать, сколько рисков в каждой зоне. Чтобы получить совокупный риск, последствия нужно оценить в деньгах и сложить методом Монте-Карло.
Пеликан
Пеликан — система управления рисками предприятия с оценкой совокупного риска в деньгах.