Реестр рисков есть почти в каждой крупной компании, но часто он превращается в формальный документ: длинный список с баллами, который обновляют раз в год перед аудитом. Ниже — какие поля действительно нужны, как формулировать и оценивать риски и как превратить реестр в инструмент для решений. В конце статьи — шаблон Excel с примером.
Поля реестра рисков
| Поле | Что записывать |
|---|---|
| Номер и название | Короткое название: «Авария на основной производственной линии» |
| Описание | Причина, событие и последствия (см. ниже) |
| Категория | Стратегический, операционный, финансовый, проектный, комплаенс |
| Владелец | Руководитель, который отвечает за управление риском |
| Вероятность | Вероятность за период (обычно год), в процентах |
| Последствия | Минимум, наиболее вероятное значение и максимум ущерба в рублях; при необходимости — в днях задержки или по другим видам последствий |
| Ожидаемый ущерб | Вероятность × средний ущерб; рассчитывается автоматически |
| Баллы | Баллы вероятности и влияния для карты рисков; рассчитываются по шкалам |
| Мероприятия | Что делается для снижения вероятности или последствий, стоимость, срок, ответственный |
| Оценка после мероприятий | Вероятность и последствия с учетом мероприятий |
| Индикаторы | Ключевые индикаторы риска и их пороги |
| Статус и дата | Активен, закрыт, реализовался; дата последнего пересмотра |
Как сформулировать риск
Плохая формулировка — «Поставщики» или «Финансовый риск»: по ней нельзя ни оценить вероятность, ни придумать мероприятие. Хорошая формулировка содержит причину, событие и последствие:
«Из-за единственного поставщика ключевого компонента (причина) может произойти срыв поставки более чем на две недели (событие), что приведет к простою линии и потере выручки 10–80 млн руб. (последствия)».
Такая формулировка сразу подсказывает мероприятия: второй поставщик снижает вероятность, страховой запас — последствия.
Пример: реестр промышленной компании
| № | Риск | Вероятность за год | Ущерб, млн руб.: мин. / вероятно / макс. | Ожидаемый ущерб | Владелец | Мероприятие |
|---|---|---|---|---|---|---|
| 1 | Авария на основной производственной линии | 10 % | 80 / 150 / 400 | 18,0 | Главный инженер | Программа предупредительного ремонта |
| 2 | Рост цен на основное сырье | 50 % | 20 / 60 / 150 | 34,2 | Директор по закупкам | Долгосрочный контракт с фиксированной ценой |
| 3 | Срыв поставки ключевого компонента | 30 % | 10 / 35 / 80 | 11,5 | Директор по закупкам | Второй поставщик, страховой запас |
| 4 | Уход ключевого клиента | 15 % | 50 / 100 / 200 | 16,2 | Коммерческий директор | Расширение клиентской базы |
| 5 | Кибератака на ИТ-системы | 10 % | 5 / 30 / 120 | 4,1 | ИТ-директор | Резервное копирование, сегментация сети |
| 6 | Штраф контролирующего органа | 20 % | 2 / 10 / 40 | 2,7 | Юрист | Внутренний аудит соответствия |
| 7 | Неблагоприятное изменение курса валюты | 40 % | 10 / 40 / 100 | 18,0 | Финансовый директор | Валютный хедж |
| 8 | Задержка ввода нового цеха | 35 % | 15 / 40 / 90 | 15,5 | Руководитель проекта | Анализ рисков графика, резерв времени |
Ожидаемый ущерб — вероятность, умноженная на среднее значение ущерба. Для трех оценок среднее считают по формуле PERT: (мин + 4 × вероятно + макс) / 6. Например, для аварии: 10 % × (80 + 600 + 400) / 6 = 18 млн руб.
Что дает количественный реестр
- Сравнение рисков. Рост цен на сырье — главный риск компании, его ожидаемый ущерб почти вдвое больше, чем у следующего. По баллам он делит первое место с валютным риском.
- Совокупный риск. Сумма ожидаемых ущербов — 120 млн руб. в год. Симуляция Монте-Карло показывает и разброс: с вероятностью 5 % потери превысят 295 млн руб. Это число можно сравнить с риск-аппетитом и с запасом ликвидности — см. статью «Риск-аппетит».
- Выбор мероприятий. Долгосрочный контракт на сырье стоит 12 млн руб. в год и снижает ожидаемый ущерб по риску 2 с 34 до 13 млн руб. — каждый рубль затрат снижает ожидаемый ущерб на 1,7 рубля. Такие расчеты позволяют обосновать бюджет на управление рисками.
- Контроль. Если риск реализовался, фактический ущерб сравнивают с оценкой и уточняют оценки других рисков.
Типичные ошибки
- Причины и следствия вместо рисков. «Инфляция» — это фактор; риск — «рост стоимости строительства сверх бюджета из-за инфляции».
- Дублирование. Один и тот же ущерб записан в нескольких рисках, и при сложении он учитывается дважды.
- Только наиболее вероятный ущерб. Без максимума редкие крупные потери недооцениваются — см. пример кибератаки в статье «Карта рисков».
- Мероприятия без стоимости и срока. Нельзя проверить, окупаются ли они и выполняются ли.
- Реестр, который никто не читает. Реестр должен попадать в решения: бюджет, инвестиционный комитет, план мероприятий.
Шаблон и программы
В файле к статье — шаблон реестра с этим примером: формулы ожидаемого ущерба и баллов, лист шкал и лист симуляции совокупного ущерба на формулах Excel. Для одного реестра Excel достаточно. Когда реестров много (компания, филиалы, проекты), рисков сотни, а пользователей десятки, удобнее система управления рисками. В Пеликане реестры всех уровней ведутся в одной веб-системе, риски оцениваются в деньгах и сроках, а совокупный риск рассчитывается методом Монте-Карло и сравнивается с риск-аппетитом.
Файлы к статье
Частые вопросы
Сколько рисков должно быть в реестре?
Для компании в целом обычно от 20 до 100 рисков верхнего уровня. Если рисков сотни, реестр перестает читаться: объединяйте похожие риски и выносите детальные риски в реестры подразделений и проектов.
Как часто обновлять реестр рисков?
Ключевые риски — ежеквартально или при существенных изменениях, весь реестр — не реже раза в год. Для проектов реестр обычно пересматривают каждый отчетный период вместе с графиком и бюджетом.
Кто должен быть владельцем риска?
Руководитель, у которого есть полномочия и ресурсы влиять на риск: менять процессы, тратить бюджет на мероприятия. Риск-менеджер координирует процесс, но не владеет рисками других подразделений.
Чем реестр рисков отличается от карты рисков?
Реестр — это полный перечень рисков со всеми атрибутами. Карта рисков — визуальное представление части этих данных: вероятности и последствий. Карта строится по реестру.
Пеликан
Пеликан — система управления рисками предприятия с оценкой совокупного риска в деньгах.