Оценка риска: этапы, роли, методы и автоматизация

Оценка риска — это последовательное определение вероятности нежелательного события и тяжести его последствий с учётом уже действующих мер контроля. Результат нужен не ради цветной матрицы, а чтобы выбрать приоритет, назначить владельца и принять решение: снизить риск, избежать его, передать, принять или собрать дополнительные данные.

Методика зависит от предметной области. Финансовые, производственные, проектные, информационные и охранные риски нельзя механически оценивать одной шкалой. Общим остаётся управленческий цикл: контекст → событие → основание оценки → решение → контроль остаточного риска.

Шкала помогает сравнивать риски только при единых критериях и зафиксированных основаниях.

Что именно оценивают

Полезная формулировка описывает не тему («риск поставщика»), а возможное событие, причину и последствие. Например: «из-за недоступности единственного перевозчика заказ может быть доставлен после договорного срока, что приведёт к остановке работ и штрафу».

Этапы оценки

1. Задать контекст. Определить цель, объект, горизонт, допущения и границы ответственности.
2. Выявить событие. Описать возможное отклонение и его причины.
3. Зафиксировать последствия и контроли. Разделить уже работающие меры и будущие предложения.
4. Оценить вероятность. Использовать наблюдения, статистику, сценарий или экспертное основание.
5. Оценить влияние. Применить заранее определённые критерии по людям, срокам, деньгам, качеству, закону и репутации.
6. Определить уровень и приоритет. Учесть срочность, взаимосвязи и допустимый уровень риска.
7. Принять решение. Назначить меру, владельца, срок, ресурс и дату повторной оценки.

Качественная и количественная оценка

Числа не делают оценку объективной автоматически. Если «вероятность 3» означает разное для подразделений, итоговый балл нельзя корректно сравнивать.

Как построить шкалы

Уровни должны иметь наблюдаемые границы. Для вероятности можно использовать частоту за период, долю случаев или качественные условия. Для влияния — диапазоны финансового ущерба, длительность остановки, число затронутых клиентов, тяжесть нарушения или срок восстановления.

• не смешивайте вероятность и готовность контроля в одном критерии;
• не усредняйте критическое влияние по безопасности с небольшим финансовым ущербом;
• фиксируйте источник и дату оценки;
• разрешайте эксперту выбирать «недостаточно данных»;
• проверяйте шкалы на реальных прошлых событиях;
• определите, кто вправе принять риск каждого уровня.

Матрица риска: как использовать

Справа показано, чего не хватает цветной ячейке: основания оценки, меры, владельца, срока и даты пересмотра.

Матрица сопоставляет вероятность и влияние и переводит сочетание в зону приоритета. Она удобна как навигация, но не заменяет решение. Два риска в одной ячейке могут требовать разных действий из-за скорости развития, взаимосвязей, обязательных требований или возможности восстановления.

Не следует автоматически перемножать порядковые шкалы и обращаться с результатом как с точной величиной. Важнее заранее определить правила каждой зоны: кто рассматривает риск, за какой срок и какие доказательства нужны для принятия.

Что автоматизировать

• единый реестр с версией, объектом и владельцем;
• разные анкеты и шкалы по типам рисков;
• автоматический расчёт зоны по утверждённой методике;
• маршрут согласования высокого или недопустимого риска;
• задачи по мерам, срокам и подтверждающим документам;
• уведомления об изменении исходных условий;
• повторную оценку остаточного риска;
• панель просроченных мер и рисков без владельца.

Автоматическая оценка оправдана только для формализованных факторов. Экспертное решение, допущения и ограничения модели должны оставаться видимыми.

Как выбрать способ реагирования

Снижение уменьшает вероятность или последствия: добавляет резерв, проверку, защиту либо изменяет процесс. Избежание исключает источник риска — например, организация отказывается от сценария или меняет требование. Передача распределяет финансовые либо операционные последствия через договор, страхование или внешнего исполнителя, но не снимает ответственность за контроль. Принятие означает осознанное решение не вводить дополнительные меры при допустимом остаточном уровне.

У меры должен быть проверяемый результат. Формулировка «усилить контроль» не задаёт действие. Лучше указать, кто к какому сроку вводит конкретную проверку, какое доказательство подтвердит выполнение и когда будет повторно оценён риск. Если стоимость меры выше ожидаемой пользы, решение и допущения всё равно фиксируют, чтобы к ним можно было вернуться при изменении условий.

Когда нужна эскалация

• уровень превышает утверждённый аппетит или лимит;
• владелец не располагает ресурсом или полномочиями для меры;
• риск затрагивает несколько процессов и нет единого ответственного;
• возможны последствия для безопасности, закона или непрерывности;
• исходные данные недостаточны, но решение нельзя отложить;
• мера просрочена либо не снизила остаточный риск.

Типовые ошибки

• формулировать риск одним существительным;
• оценивать до определения контекста и горизонта;
• считать планируемую меру уже действующим контролем;
• выбирать балл без комментария и источника;
• путать высокий риск с уже произошедшей проблемой;
• закрывать запись после выполнения меры без проверки эффекта;
• строить отчёт по цветам, не показывая просроченные действия.

Практический чек-лист

1. Опишите цель и объект оценки.
2. Сформулируйте событие, причину и последствие.
3. Перечислите реально действующие контроли и доказательства.
4. Выберите подходящую утверждённую шкалу.
5. Зафиксируйте основание вероятности и влияния.
6. Назначьте владельца риска и лицо, принимающее решение.
7. Определите меру, ресурс, срок и показатель выполнения.
8. Установите дату повторной оценки и триггеры внепланового пересмотра.

Частые вопросы

Чем оценка риска отличается от управления рисками?

Оценка определяет уровень и приоритет. Управление включает выбор мер, ресурсы, выполнение, мониторинг и пересмотр.

Что такое остаточный риск?

Это риск, который остаётся после учёта действующих или выполненных мер. Его нужно оценить по тем же согласованным критериям.

Сколько уровней должно быть в шкале?

Столько, сколько организация способна различать по понятным критериям и связывать с разными решениями. Избыточная детализация создаёт видимость точности.

Можно ли оценивать только вероятность и ущерб?

Для простого ранжирования — да, но решение может требовать учёта скорости развития, обнаруживаемости, обязательных требований и взаимосвязей.

Кто должен оценивать риск?

Участники, которые знают процесс, данные и последствия. Владелец обеспечивает решение, а методолог — единые критерии; сложные случаи требуют нескольких функций.

Когда пересматривать оценку?

По установленному циклу, после выполнения мер и при значимом изменении условий, процесса, данных, требований или фактическом событии.

Нужна ли отдельная система?

Не всегда. Важно, чтобы риск был связан с объектом, процессом и задачами, а история решений сохранялась. Это можно реализовать в процессной платформе.

Похожие записи:

Итоги конференции CNews «Роботизация бизнес-процессов 2021» Только 20% фармкомпаний используют BPMS — показал отраслевой бенчмарк Юридически значимый ЭДО: как устроен и что автоматизировать Заявки на закупку: задачи, процесс и автоматизация