Что такое управление риском
Коротко
Управление риском — это непрерывный цикл решений: определить цели, установить, сколько потерь компания готова принять, найти события, которые мешают достичь целей, оценить их вероятность и ущерб, выбрать реакцию и следить за результатом. Риск здесь — влияние неопределённости на цели, и оно бывает не только отрицательным.
Управление рисками: определение через цели
Риск определяют через цель: это событие, которое влияет на её достижение. Нет цели — нечего оценивать, и разговор о рисках превращается в перечисление страхов. Поэтому цикл начинается не с поиска угроз, а с ответа на вопрос, чего компания хочет достичь в этом году и через три года.
У каждого риска три части: причина, вероятность и последствия. Причина отвечает на вопрос, почему событие может произойти, вероятность — как часто оно происходит, последствия — сколько денег, времени или репутации оно уносит. Без причины борьба с риском сводится к лечению симптомов: например, штраф за просрочку отгрузки лечат дополнительным менеджером, хотя причина — в планировании производства.
Риск — это не только угроза. Влияние неопределённости бывает и положительным: новый канал продаж, который может выстрелить, — тоже риск, и им управляют так же: считают вероятность, оценивают отдачу и решают, сколько вложить.
Цикл управления риском: шесть шагов
- Цели. Формулируете, что должно получиться в деньгах, клиентах и сроках. Риски привязываются к конкретной цели, а не к компании вообще.
- Риск-аппетит. Решаете, сколько потерь готовы принять без реакции: какую долю выручки, какой срок задержки платежа, какой процент брака. Без этой границы каждый риск кажется одинаково страшным.
- Поиск рисков. Собираете события, которые мешают целям: от потери ключевого клиента и подрядчика до поломки оборудования и ухода директора по продажам. Источники — руководители отделов, статистика отказов и жалоб, договоры, контрагенты.
- Оценка. Для каждого риска фиксируете вероятность и ущерб в деньгах или днях простоя. Оценка нужна, чтобы расставить риски по порядку, а не чтобы заполнить таблицу.
- Реакция. Выбираете одно из четырёх: принять (ущерб в пределах аппетита), снизить (сделать событие менее вероятным или менее дорогим), передать (страховка, аутсорсинг, гарантия), отказаться (уйти из операции или рынка). У каждой реакции есть цена, и её сравнивают с ущербом.
- Наблюдение. Назначаете владельца риска и показатель, по которому видно, что риск растёт: просрочка дебиторки, доля одного поставщика, текучесть в отделе. Раз в квартал цикл повторяют: цели меняются, вместе с ними меняются риски.
Чем риск отличается от неопределённости
Риск оценивают вероятностью и ущербом: событие может произойти или нет, и у него есть цена. Неопределённость оценить так нельзя: исход неизвестен, вероятности не посчитать, а иногда непонятен сам список возможных исходов. Новый рынок, новая технология, смена регуляторных правил — это неопределённость, и к ней применяют другой инструмент: сценарии.
Со сценариями компания не гадает одну цифру, а описывает несколько вариантов будущего и проверяет, выдержит ли бизнес каждый из них. Если при худшем сценарии денег на счету хватает на обязательства и зарплату — решение можно принимать. Если нет — сначала создают запас или сокращают вложения.
Риск и неопределённость: в чём разница
| Риск | Неопределённость | |
|---|---|---|
| Что известно | Событие и его возможные последствия | Исход неизвестен, список последствий может быть неполным |
| Как оценивают | Вероятность и ущерб в деньгах или днях | Сценарии: несколько вариантов будущего без вероятностей |
| Инструмент | Реестр рисков, лимиты, страхование, резерв | Стресс-проверка денег и плана при каждом сценарии |
| Пример | Ключевой клиент уходит к конкуренту | Регулятор меняет правила игры на рынке |
Почему реестр рисков сам по себе не работает
Реестр рисков — таблица, где перечислены риски, их вероятность, ущерб, владелец и реакция. Проблема в том, что таблицу легко заполнить и трудно использовать: она растёт, а решения принимают по-прежнему на ощущениях. Реестр становится полезным, когда из него вытекают три вещи: у каждого риска есть владелец, у каждой реакции есть срок и цена, а на заседаниях обсуждают не оценку риска, а выбор между реакциями.
Второе условие — связь со стратегией и деньгами. Если риск не влияет на цель, бюджет или ключевое решение квартала, он не нужен в списке. Десяток рисков, по которым принимают решения, полезнее сотни строк, которые никто не читает.
Третье — разговор без наказания. Если за честно названный риск руководителя наказывают, риски перестают называть, и компания узнаёт о проблеме, когда она уже случилась. Управление риском работает там, где о проблеме говорят раньше, чем она попала в отчёт.
Частые вопросы
Что такое управление рисками простыми словами?
Это порядок, по которому компания решает, чего хочет достичь, что может этому помешать, сколько она готова потерять и что делает с каждым риском: принимает, снижает, передаёт или отказывается от операции. Порядок повторяют регулярно, потому что меняются цели.
Чем управление риском отличается от страхования?
Страхование — один из способов передать риск третьей стороне, и он закрывает только те события, которые страховщик берёт в договор. Управление риском шире: часть рисков снижают процедурами и запасами, часть принимают осознанно, от части отказываются, меняя операцию или рынок.
Что такое риск-аппетит?
Это граница, за которой компания уже не готова терпеть потери без реакции: доля выручки на одного клиента, допустимая просрочка платежа, максимальный простой оборудования. Аппетит утверждает собственник или совет директоров, и по нему сверяют каждое решение.
Кто в компании отвечает за управление рисками?
Ответственность распределена: у каждого риска есть владелец — руководитель, в чьей зоне он возникает и кто отвечает за реакцию. Собственник или совет директоров утверждают риск-аппетит и разбирают риски, которые влияют на стратегию. Отдельная служба рисков нужна, когда рисков много и они связаны между собой.
Сколько рисков должно быть в реестре?
Столько, по скольку принимают решения. На практике это один-два десятка рисков, привязанных к целям года и квартала, с владельцем и реакцией у каждого. Список длиннее почти всегда означает, что часть строк никто не использует.
Как оценить риск, если нет статистики?
Оценку строят на том, что есть: история отказов и жалоб, сроки платежей клиентов, опыт руководителей. Вероятность и ущерб задают диапазоном, а не одной цифрой, и уточняют по мере накопления данных. Для событий без статистики используют сценарии.
Читать в журнале
Когда риски пора разложить по целям и деньгам
Чтобы видеть, какой риск действительно угрожает прибыли
Риск, который не привязан к цифрам, обсуждают годами: он кажется важным, но непонятно, сколько стоит и что с ним делать. В финансовой модели видно, что станет с прибылью и деньгами, если событие случится, и во что обойдётся реакция.
Я собираю финансовую модель бизнеса, в которой каждый риск проверяется в деньгах и видно, выдержит ли компания худший сценарий.