Что такое реестр рисков
Коротко
Реестр рисков — это документ, в котором собраны все риски компании: что может случиться, по какой причине, чем это грозит, кто отвечает за риск и что с ним делают. Записи в нём ведут и обновляют постоянно, чтобы видеть, каким угрозам бизнес подвержен сейчас и что из этого уже взято под контроль.
Зачем бизнесу реестр рисков
Риски в компании обычно живут в головах: собственник помнит про кассовый разрыв, коммерческий директор — про уход крупного клиента, главный инженер — про износ оборудования. Пока их не свели в один документ, никто не видит картину целиком, и решения принимают по тому риску, о котором громче сказали.
Реестр собирает эти угрозы в одном месте и расставляет приоритеты. По нему видно, какие риски требуют денег и решений сейчас, а какие можно держать под наблюдением. Национальный стандарт ГОСТ Р 51901.21-2012 «Менеджмент риска. Реестр риска. Общие положения» описывает общие принципы разработки и ведения такого документа и требования к людям, которые его составляют: организация сама решает, нужен ей реестр или нет, и в системе менеджмента риска он не обязателен.
Реестр нужен не для отчёта, а для решений: вложить деньги в резервный склад, застраховать перевозки, найти второго поставщика, прописать в договоре штраф за срыв сроков. Каждое такое решение опирается на строку реестра, где написано, что случится и сколько это будет стоить.
Что вносят в реестр
- Идентификатор и название риска — короткая формулировка, по которой строку легко найти.
- Описание: что именно может произойти и по какой причине. Формулировка «плохой маркетинг» бесполезна, а «уход менеджера с базой клиентов» уже понятна.
- Категория — деньги, люди, поставки, закон, клиенты, оборудование. По категориям удобно делить реестр между руководителями.
- Вероятность и последствия — оценка того, как часто риск может наступить и чем это грозит. По этим двум оценкам считают уровень риска и ставят приоритет.
- Владелец риска — конкретный человек, а не отдел. Он следит за риском и отвечает за меры.
- Меры: что уже делают, чтобы снизить риск или защититься от последствий, и что ещё предстоит сделать.
- Остаточный риск — то, что остаётся после принятых мер. Его сравнивают с исходным уровнем и решают, достаточно ли защиты.
- Срок пересмотра и статус — когда к строке вернутся и в каком она состоянии: открыта, в работе, закрыта.
Как оценить риск
Оценку строят на двух вопросах: как вероятно, что это случится, и насколько больно ударит. Обе величины удобно держать в простой шкале — например, от одного до пяти, где один — почти невозможно или почти безболезненно, а пять — случается регулярно или ставит под угрозу сам бизнес. Произведение двух оценок даёт уровень риска, по которому строки сортируют.
Шкалу выбирают один раз и дальше применяют ко всем строкам, иначе оценки разных людей несопоставимы. Если вероятность и последствия оценивают разные руководители, помогает короткая памятка с примерами: что считается оценкой два, что — четвёркой.
Последствия полезно считать в деньгах: сколько стоит простой линии, потеря клиента, штраф, срыв поставки. Тогда уровень риска говорит на языке, понятном собственнику, и его можно сравнить со стоимостью мер.
Кто ведёт реестр и как часто его обновляют
Ведёт реестр один человек — риск-менеджер или руководитель, которому это поручено. Он собирает строки от владельцев рисков, следит за сроками пересмотра и сводит всё в один документ. Владельцы рисков отвечают каждый за свои строки и за выполнение мер.
Обновляют реестр не реже раза в год, а также когда меняется бизнес: появился новый рынок, крупный клиент, новое оборудование, сменилось руководство. ГОСТ Р 51901.21-2012 описывает и такой порядок: раз в год по итогам анализа формируют новую редакцию со всеми изменениями за год, а прежнюю отправляют в архив.
Реестр — живой документ. Если он лежит без движения полгода, к нему теряют доверие: строки устарели, владельцы сменились, а риски, о которых там написано, уже наступили. Поэтому у каждой строки есть дата следующего пересмотра, и её соблюдают.
Частые вопросы
Чем реестр рисков отличается от карты рисков?
Карта рисков — это способ показать риски наглядно, обычно в виде матрицы, где по одной оси вероятность, по другой последствия. Реестр — сам перечень строк с описанием, владельцами и мерами. Матрицу часто строят по данным реестра, чтобы увидеть приоритеты одним взглядом.
Обязателен ли реестр рисков для компании?
По общему правилу нет. ГОСТ Р 51901.21-2012 прямо говорит, что необходимость разработки и ведения реестра организация определяет самостоятельно, и в системе менеджмента риска он не является обязательным элементом. Обязанность вести реестр может появиться из других правил — например, из требований к системе менеджмента, которую компания внедряет добровольно, или из отраслевых норм.
Сколько рисков должно быть в реестре?
Столько, сколько компания реально способна держать под наблюдением. Реестр на триста строк, который никто не читает, хуже реестра на двадцать строк, где у каждой есть владелец и срок. Начинают с главных рисков: тех, что могут остановить бизнес или стоить крупных денег.
Кто должен быть владельцем риска?
Тот, кто управляет процессом, где риск возникает, и имеет полномочия что-то с ним сделать. У риска «срыв поставки» владелец — тот, кто отвечает за закупки, у риска «потеря ключевого сотрудника» — руководитель направления. Собственник бизнеса владеет рисками, которые касаются компании целиком.
Как связать реестр рисков с деньгами?
Последствия каждого риска оценивают в рублях: сколько стоит простой, штраф, потеря клиента. Дальше уровень риска сравнивают со стоимостью мер — дешевле поставить резервный сервер, чем потерять неделю продаж. Так реестр превращается в список решений, а не в список страхов.
Что делать с риском, который уже наступил?
Его не убирают из реестра, а переводят в отдельную запись о случившемся: что произошло, какие меры сработали, что нужно поправить. По таким записям видно, где защита оказалась слабой, и в следующую редакцию реестра меры вносят уже с поправкой.
Когда риски пора считать в деньгах
Чтобы видеть, что будет с прибылью и деньгами при каждом риске
Реестр называет риски, но решения по ним принимают в деньгах: хватит ли резерва, выдержит ли бизнес простой, окупится ли страховка или второй поставщик.
Я собираю финансовую модель бизнеса, в которой видно, что станет с прибылью и деньгами при каждом решении, ещё до того, как его приняли.