Что такое операционные риски
Коротко
Операционные риски — это риск убытка из-за того, как устроена и работает сама компания: некачественных или сорванных внутренних процессов, ошибок и недобросовестных действий сотрудников, отказов систем и оборудования, а также внешних событий, на которые компания не влияет. Это не рыночный и не кредитный риск: причина потерь внутри работы компании, а не в цене товара или в неплатёжеспособности должника.
Из чего складываются операционные риски
Определение операционного риска строят вокруг четырёх источников: внутренние процессы, люди, системы и внешние события. Внутренний контроль даёт сбой — заказ уходит не тому клиенту, счёт выставлен дважды, отгрузка задержалась. Сотрудник ошибается или действует в своих интересах — неверно считает скидку, теряет документы, берёт откат у поставщика. Система падает или её взломали — учёт встал, данные клиентов утекли. Внешнее событие — пожар на складе, отключение электричества, банкротство единственного поставщика, проверка с крупным штрафом.
В финансовом регулировании это же определение применяют к банкам и страховщикам, и там операционный риск отделяют от стратегического и репутационного. Для собственника обычной компании разделение то же: репутация — следствие, а причина потерь лежит в работе компании.
Чем операционный риск отличается от других
| Операционный | Кредитный | Рыночный | |
|---|---|---|---|
| Где причина | Внутри компании: процессы, люди, системы | У должника: не вернул долг | На рынке: цена, курс, ставка |
| Пример | Кладовщик отгрузил не тот товар, CRM упала в день акции | Покупатель не оплатил поставку | Закупка в валюте подорожала к дате оплаты |
| Кто управляет | Компания сама: регламенты, контроль, резерв людей и систем | Компания через проверку и лимиты, но платит должник | Компания через хеджирование и условия договоров |
| Как считают | По событиям потерь и сценариям | По вероятности дефолта и сумме долга | По волатильности цены |
Откуда берутся потери
- Процесс не описан или описан не так, как идёт работа: каждый делает по-своему, ошибки повторяются, найти виновного нельзя.
- Один человек знает всё: ушёл — и вместе с ним ушли доступы, договорённости и порядок работы.
- Ручной труд там, где нужен контроль: цены, скидки, остатки и сверки считают руками в таблицах, и ошибка обнаруживается через месяц.
- Системы и доступы: слабые пароли, общий доступ к деньгам и документам, нет резервных копий, отказ оборудования останавливает продажи.
- Подрядчики и поставщики: единственный поставщик, подрядчик без договора и ответственности, работа без приёмки результата.
- Право и документы: договор без ответственности за сроки, просроченные лицензии и разрешения, штрафы по проверкам.
Как операционные риски находят
Начинают с карты процессов: выписывают шаги от заявки до денег на счёте и на каждом шаге ищут, где работа ломается. Дальше собирают события потерь — свои и чужие. Свои берут из учёта, CRM, переписки, актов и объяснений сотрудников; чужие — из отраслевых новостей и судебных дел, чтобы увидеть то, что у вас ещё не случилось.
Второй инструмент — опрос владельцев процессов: где они сами боятся ошибиться, что делают вручную, что держится на одном человеке. Третий — сценарии «что если»: ушёл кладовщик в сезон, упал сайт на распродаже, поставщик поднял цену вдвое, проверка нашла нарушение. Каждый сценарий оценивают по двум числам: как часто может случиться и сколько будет стоить. Произведение даёт ожидаемую потерю, и по ней видно, что закрывать первым.
Оценка на дату быстро устаревает: процесс меняется, а карта рисков остаётся прежней. Поэтому события потерь фиксируют постоянно, а не раз в квартал, иначе мелкие инциденты не попадают в учёт и создают слепое пятно.
Частые вопросы
Операционный риск — это только мошенничество сотрудников?
Нет. Мошенничество — один из источников, и часто не самый дорогой. Больше теряют на обычных ошибках и сбоях: неверная цена в каталоге, потерянная заявка, простой из-за отказа системы, штраф по проверке.
Можно ли убрать операционные риски совсем?
Нет. Риск есть в любом процессе, пока в нём работают люди и системы. Задача — знать, где потери вероятны и сколько они стоят, и держать их на уровне, который бизнес выдерживает.
Чем операционный риск отличается от репутационного?
Операционный риск — причина потерь в работе компании, репутационный — следствие: клиенты ушли после скандала или сбоя. В регулировании операционный риск отделяют от репутационного и стратегического, и в компании полезно разделять так же.
Что делать в первую очередь?
Закрывать то, что может остановить деньги или обойтись дороже всего: доступы к счетам и документам, резервные копии, единственного поставщика, ручные расчёты цен и остатков. Начинают с двух-трёх сценариев с самой большой ожидаемой потерей.
Нужен ли отдельный человек по рискам?
В небольшой компании чаще нет: карту процессов и учёт событий ведёт тот, кто отвечает за операции, а смотрит за этим собственник или финансовый директор. Отдельная функция появляется, когда событий много и они дорогие.
Читать в журнале
Когда хотите видеть, где работа компании теряет деньги
Собрать цифры бизнеса на одном экране
Операционный риск видно по цифрам: где падает маржа, где заявки теряются, где деньги уходят мимо. Пока эти цифры лежат в разных местах, потери остаются незамеченными.
Я собираю главные цифры бизнеса на одном экране и настраиваю, чтобы они обновлялись сами: вы видите отклонение раньше, чем оно станет убытком.