12.2. Процесс управления рисками

Наиболее общий алгоритм управления рисками сводится к следующим шагам¹:

1. Идентификация риска.
2. Измерение риска.
3. Контроль (или обработка) риска.

Этот процесс при желании может быть детализирован². Стандарт ГОСТ Р ИСО 31000, определяющий требования к менеджменту рисков, определяет процесс управления рисками следующим образом (рисунок 12.1)³.

Рисунок 12.1. Процесс управления рисками (источник: ГОСТ Р ИСО 31000—2019)

Подготовительный этап «Область применения, среда и критерии» нужен для настройки общего процесса менеджмента риска под специфику конкретной компании. Он включает в себя следующие подэтапы⁴:

• Определение области применения – поскольку управление риском может осуществляться на разных уровнях (стратегическом, операционном, проектном и др.), то при планировании следует учитывать следующие факторы: 1) цели; 2) ожидаемые результаты; 3) время; 4) местоположение; 5) допущения и исключения; 6) соответствующие методы и инструменты оценки рисков; 7) требуемые ресурсы; 8) обязанности; 9) способ документирования результатов; 10) взаимосвязь с другими проектами и процессами.
• Определение внешней и внутренней среды – понимание среды должно исходить из внешнего и внутреннего окружения, в котором работает организация, и отражать конкретные условия деятельности, к которым должен применяться процесс менеджмента риска.
• Определение критериев риска – организация должна заранее определить размеры и типы рисков, которые она может или не может принять. Здесь же она должна определить критерии для оценки значимости риска и для поддержки процесса принятия решений. Эти критерии должны быть согласованы с системой управления рисками и адаптированы к конкретным целям и объёмам рассматриваемой деятельности, должны отражать ценности, цели и политики организации, а также должны определяться с учётом обязательств организации и мнений причастных сторон (стейкхолдеров). Хотя определение критериев предшествует этапу непосредственной оценки риска, эти критерии могут быть динамичными и могут быть пересмотрены в случае необходимости.

Оценка риска – это процесс, охватывающий идентификацию риска, анализ риска и сравнительную оценку риска. Оценка риска должна проводиться систематически, итеративно и совместно, опираясь на знания и мнения причастных сторон. Она должна базироваться на наилучшей имеющейся информации и дополняться по мере необходимости новыми данными⁵.

Идентификация риска – это этап обнаружения и классификации рисков, характерных или возможных для данного вида деятельности или проекта. На данном этапе мы определяемся с перечнем тех рисков, которым в дальнейшем должны дать количественные оценки.

Измерение риска – подразумевает анализ и оценку рисков, куда входят качественный и количественный анализ, способы аналитического представления выявленных и измеренных рисков.

Контроль риска – этап, на котором определяются и принимаются меры обращения с рисками, нацеленные на то, чтобы полностью устранить риск или снизить его вероятность или последствия в случае реализации.

На каждом из этапов обеспечиваются следующие сквозные процессы:

• Обмен информацией и консультирование – обеспечивает своевременное получение достоверной информации и обмен данными между всеми заинтересованными сторонами.
• Мониторинг и пересмотр – наблюдение за эффективностью процесса управления рисками и его коррекция при необходимости.
• Документирование и отчётность – протоколирование процесса управления рисками и накопление данных для последующего анализа с целью совершенствования процесса.