Реестр рисков описывает, что может случиться. Но оценки в нем обновляются раз в квартал или раз в год, а риски меняются быстрее. Ключевые индикаторы риска закрывают этот разрыв: они показывают, что риск растет, раньше, чем он реализуется, и дают время на реакцию.
Каким должен быть хороший индикатор
- Связан с конкретным риском. Понятно, почему рост индикатора повышает вероятность или последствия риска.
- Опережающий. Число аварий — это факт, а доля просроченных планово-предупредительных ремонтов — сигнал, что аварий станет больше.
- Измеримый и регулярный. Есть источник данных, ответственный и периодичность.
- С порогами. Заданы значения, при которых требуется внимание и при которых нужны действия.
- Влияет на решения. Если на превышение порога никто не реагирует, индикатор не нужен.
Примеры индикаторов
Ниже — индикаторы для рисков из примера реестра промышленной компании (см. «Реестр рисков: пример и шаблон»).
| Риск | Ключевые индикаторы |
|---|---|
| Авария на основной производственной линии | Доля просроченных планово-предупредительных ремонтов; число внеплановых остановов за месяц; коэффициент технической готовности оборудования |
| Рост цен на основное сырье | Биржевая или индикативная цена сырья к бюджетной; доля закупок по фиксированным ценам |
| Срыв поставки ключевого компонента | Доля поставок с опозданием; страховой запас в днях; доля закупок у единственного поставщика |
| Уход ключевого клиента | Доля выручки крупнейшего клиента; просроченная дебиторская задолженность; изменение объема заказов к прошлому году |
| Кибератака на ИТ-системы | Число систем без актуальных обновлений безопасности; доля сотрудников, прошедших обучение; число инцидентов |
| Штраф контролирующего органа | Число невыполненных предписаний; результаты внутренних проверок |
| Неблагоприятное изменение курса валюты | Открытая валютная позиция; доля захеджированной валютной выручки или затрат |
| Задержка ввода нового цеха | Индекс выполнения сроков (SPI); дата ввода на уровне P80 по последнему анализу рисков; доля просроченных поставок для проекта |
Как установить пороги
У индикатора обычно два порога: уровень внимания (владелец риска анализирует причины и готовит мероприятия) и критический уровень (эскалация, запуск мероприятий, пересмотр оценки риска).
В этом примере индикатор пересекает порог внимания в шестом месяце, а критический — в одиннадцатом. Если правило реагирования сработало вовремя, у компании было пять месяцев, чтобы найти второго поставщика или увеличить страховой запас.
Откуда брать значения порогов:
- Из истории. Порог внимания — значение, которое в прошлом превышалось редко (например, в 10 % месяцев), критический — значение, которое предшествовало реализации риска.
- Из риск-аппетита. Если компания готова принять не более определенного ущерба от риска, порог можно вывести из количественной модели: при каком значении индикатора вероятность или ожидаемый ущерб превышают допустимый уровень. Подробнее — в статье «Риск-аппетит».
- Из договоров и нормативов. Ковенанты по кредитам, нормативы регуляторов, требования заказчиков — естественные критические пороги, а уровень внимания ставят с запасом до них.
Связь индикаторов с количественной оценкой
Индикаторы наиболее полезны, когда они связаны с количественной оценкой риска. Пример: в модели риска срыва поставки вероятность события зависит от доли поставок с опозданием. Когда индикатор растет с 4 % до 9 %, модель пересчитывает вероятность риска и совокупный ущерб, и руководство видит не только «красный светофор», но и сколько это может стоить. Для финансовых рисков такой связкой служат показатели вроде Cash Flow at Risk, для проектов — текущий P80 срока и стоимости.
Индикаторы в системе управления рисками
В Excel индикаторы удобно вести, пока их немного. Когда индикаторов десятки, а данные поступают из разных подразделений, нужна система, где индикатор связан с риском, порогами, владельцем и историей значений. В Пеликане можно настроить ключевые показатели для отслеживания трендов по рискам и сравнивать профили рисков разных предприятий, проектов и регионов, а сами риски оцениваются в деньгах и складываются в совокупный риск.
Частые вопросы
Чем ключевые индикаторы риска отличаются от KPI?
KPI измеряют достижение целей: выручку, производительность, сроки. KRI измеряют изменение риска — вероятность того, что цели не будут достигнуты. Иногда один и тот же показатель служит обоими, но смотрят на него по-разному: для KPI важно среднее, для KRI — приближение к опасной зоне.
Сколько индикаторов нужно?
Для каждого ключевого риска — один-три индикатора. Для компании в целом — обычно 15–30 индикаторов на уровне руководства. Если индикаторов сотни, их перестают отслеживать.
Как часто измерять KRI?
С той частотой, с которой риск может измениться и с которой можно отреагировать: валютную позицию — ежедневно, долю просроченных поставок — еженедельно или ежемесячно, текучесть ключевого персонала — ежеквартально.
Что делать при превышении порога?
Правило реагирования должно быть записано заранее: кого уведомить, какие мероприятия запустить, когда пересмотреть оценку риска. Превышение критического порога обычно означает эскалацию на уровень правления и пересмотр количественной оценки риска.
Пеликан
Пеликан — система управления рисками предприятия с оценкой совокупного риска в деньгах.