Реестр и матрица оценки рисков: два инструмента документирования угроз

Реестр и матрица оценки рисков

Любая организация сталкивается с угрозами, но пока эти угрозы держатся только в голове у руководителя, управлять ими практически невозможно. Стоит риску остаться незафиксированным — и его легко упустить, недооценить или забыть о нём в самый неподходящий момент. Чтобы этого не происходило, компании переводят сведения об опасных событиях в наглядную документированную форму. Именно эту задачу решают реестр рисков и матрица оценки рисков: первый собирает информацию воедино, вторая помогает быстро оценить серьёзность каждой угрозы. Вместе они превращают разрозненные тревоги в упорядоченную систему.

 Общее представление о реестре рисков

Один из способов подать информацию о риске — оформить реестр рисков, который иногда называют ещё и журналом рисков. Решение о том, разрабатывать такой документ или обойтись без него, каждая организация принимает самостоятельно. Более того, применять реестр можно двумя путями: либо как отдельный инструмент, либо как составную часть общей системы управления рисками.

Компания, которая всё же берётся вести реестр, получает от него ощутимую пользу. Он позволяет сопоставлять данные о разных рисках между собой, а заодно опираться на уже проверенные методы предупреждения опасных событий и инцидентов и реагирования на них. В этом и заключается ценность реестра для организации.

Содержательно документ должен включать:

• сведения о выявлении опасных событий и об оценке связанных с ними рисков;
• информацию о потенциальных последствиях воздействия этих событий на деятельность организации — как в стоимостном, так и в материальном выражении;

• данные об оценке того, насколько выполнены мероприятия по обработке риска. 

Типовая форма реестра выглядит как таблица из шести крупных столбцов, каждый из которых, в свою очередь, дробится на несколько подстолбцов. Разберём их по порядку.

1. «Идентификация опасных событий» — здесь фиксируют наименование события, его описание и причину, место и время возникновения (в виде этапа жизненного цикла), характер воздействия на деятельность организации, а также предлагаемые предупреждающие средства контроля и методы управления по реагированию.
2. «Анализ риска» — этот столбец собирает данные об уровне применяемых средств контроля и методов реагирования, об источниках данных и предположениях, использованных при оценке, о самих методах оценки и анализа, о возможных последствиях (ущербе), о вероятности события, о результате количественной оценки риска и об уровне неопределённости такой оценки.
3. «Сравнительная оценка риска» — содержит критерий приемлемости риска, результат сравнительной оценки и ранг опасного события в порядке возрастания риска.
4. «Обработка риска» — включает стратегию обработки, плановые и фактические значения показателей после внедрения стратегии управления, перечень мероприятий по обработке риска, плановые и фактические сроки их выполнения, а также ответственного за эти мероприятия.
5. «Мониторинг риска и пересмотр реестра риска» — фиксирует наблюдение за мероприятиями по обработке риска и результаты анализа их результативности и эффективности, а также системы управления рисками в целом.
6. «Замечания, предложения, ссылки» — соответственно, содержит замечания, предложения и ссылки.

Общие сведения о матрице оценки рисков

Внешне матрица оценки рисков тоже представляет собой таблицу, но устроена она иначе. Её столбцы отвечают за существенность потенциальных последствий, к которым приведёт наступление риска. По этому признаку обычно выделяют пять уровней:

1. Несущественные риски — их наступление не принесёт организации реальных негативных последствий.
2. Малые риски — негативные последствия будут, но на итоговый результат деятельности они заметно не повлияют.
3. Умеренные риски — создают умеренную угрозу для реализации крупных проектов, решения значимых задач или достижения важных целей.
4. Критические риски — несут серьёзную угрозу тем же крупным проектам, задачам и целям, из-за чего деятельность приходится значительно корректировать.
5. Катастрофические риски — способны привести к закрытию организации или к долгосрочному сбою её работы, а потому требуют наибольшего внимания и ресурсов.

Строки той же таблицы отражают вероятность наступления риска, и по этому критерию тоже принято различать пять уровней:

1. Маловероятные риски — случаются крайне редко, вероятность их возникновения близка к нулю.
2. Редкие риски — шанс их наступления невелик.
3. Вероятные риски — наступают с вероятностью, которую оценивают в 30–50 %.
4. Частые риски — способны реализоваться с большой вероятностью.
5. Определённые риски — наступят почти наверняка, а нередко считаются и вовсе неизбежными.

Ячейка на пересечении конкретного столбца и строки задаёт итоговую категорию риска. Чаще всего по совокупной оценке вероятности и величины последствий риски делят на низкие, средние и высокие.

При этом пограничную роль играют умеренные риски по величине последствий и вероятные риски по вероятности наступления. Отсюда вытекают простые правила: низкими не могут считаться критические и катастрофические риски, а высокими — несущественные и малые; точно так же низкими не бывают частые и определённые риски, а высокими — маловероятные и редкие.

Стоит добавить, что матрицу нередко дополняют другими параметрами влияния. Например, в таблице отражают воздействие потенциальных событий на клиентов предприятия, на его партнёров или на собственный штат сотрудников. Конкретную форму матрицы организация определяет сама, хотя существуют и рекомендации по её построению — в частности, от Международной организации по стандартизации.