Каким образом определяется приемлемый уровень риска в компании

Как организовать эту процедуру, рассказывает Андрей Любимов, кандидат технических наук, эксперт по технологиям оценки профессиональных рисков, систем мотивации и обучения персонала, аудитор систем менеджмента качества

Оценке профрисков подвергаются все профессии, которые есть в штатном расписании организации, а также все виды работ, где есть риск несчастного случая. Что же такое оценка профессиональных рисков?

Управление профессиональными рисками — комплекс взаимосвязанных мероприятий по выявлению, оценке и снижению уровней профессиональных рисков. Такое понятие закреплено в Трудовом кодексе РФ. Кроме того, в соответствии с требованиями Примерного положения о системе управления охраной труда (Приказ Минтруда РФ от 29.10.2021 № 776Н) управление профессиональными рисками — это ключевая процедура системы управления охраной труда.

Эти понятия появились относительно недавно, и теперь работодатели могут не просто реагировать на несчастные случаи постфактум, а управлять рисками повреждения здоровья работников.

Создание и внедрение всеобъемлющей, сквозной системы управления профрисками позволит эффективно управлять системой сохранения жизни и здоровья работников в их трудовой деятельности, охватывая все рабочие места.

Какие шаги нужно предпринять, чтобы начать управлять рисками в организации?

Первый шаг — составить перечень опасностей. Необходимо понять, а с какими вредными или опасными факторами, или опасностями сталкивается работник, выполняя свои функциональные обязанности. Для этого надо провести несколько условных этапов:

1. Собрать исходную информацию, необходимую для нахождения и распознавания опасностей на рабочих местах.
2. Найти и распознать опасности на основе анализа законодательных требований в области охраны труда.
3. Найти и распознать опасности на основе обхода и осмотра рабочих мест.

На первом этапе работодатель собирает информацию, включающую:

• Виды выполняемых работ, сведения о зданиях, сооружениях, о территориях, оборудовании, технологических процессах, применяемых инструментах, сырье и материалах — источниках опасностей.
• Нормативные правовые документы, регулирующие сферу охраны труда, требования к безопасности. К ним относятся локальные нормативные акты, правила и инструкции по эксплуатации оборудования, стандарты на оборудование, здания и сооружения и пр.
• Сведения о результатах СОУТ на рабочих местах.

Опасности можно выявить, анализируя применимые к деятельности структурного подразделения нормативные документы по охране труда: правила и инструкции по охране труда, технологические регламенты проведения работ, инструкции по эксплуатации оборудования, технические стандарты, должностные инструкции работников, прочие локальные документы по охране труда, которые относятся к определенному рабочему процессу.

На основании анализа этих требований, описывающих потенциальную опасную ситуацию, надо сделать заключение о наличии опасностей, связанных с деятельностью на рабочих местах.

По результатам СОУТ можно выявить опасности, связанные с воздействием факторов производственной среды и трудового процесса. При идентификации опасностей учитываются как штатные, так и нештатные ситуации.

Выявить опасности на рабочих местах можно с помощью:

• наблюдения за тем, как сотрудники выполняют свою работу;
• опроса работников и их непосредственных руководителей об опасностях и применяемых мерах управления;
• выявления опасных ситуаций, связанных с выполняемыми работами, в том числе с повышенной опасностью;
• результатов СОУТ или производственного контроля.

Опасности идентифицируются во всех точках рабочей зоны.

Определяются опасности для нетиповых видов деятельности, а также нештатные — аварийные ситуации, пожар, взрыв, пуск и остановка технологического оборудования и пр. Опасности на производственном объекте могут выявляться исходя из сценариев наиболее вероятных аварий и наиболее опасных по последствиям аварий, предусмотренных в Плане мероприятий по ликвидации последствий аварий и инцидентов.

Идентифицировать опасности также можно, отвечая на примерный перечень вопросов, который позволит убедиться в том, что опасность на рабочем месте существует.

Мы определили опасности, получили некий перечень, что дальше?

Такой перечень опасностей называют реестром. После того как работодатель опишет опасности, надо оценить уровни профессионального риска. Величина и степень рисков определяются по каждой идентифицированной опасности в зависимости от вероятности или частоты проявления негативного события и тяжести ущерба здоровью и безопасности. Методов оценки множество.

Для каждой идентифицированной опасности выбирается уровень тяжести из диапазона Т1-Т5 и вероятности (частоты) из диапазона Ч1-Ч5, которые в наибольшей мере соответствуют тяжести и частоте предполагаемого события, связанного с возможностью проявления идентифицированной опасности.

Таблицы с оценкой по разным критериям вы найдете в нашей шпаргалке.

Величина риска по матрице оценки рисков определяется в виде числа, равного произведению оценки частоты (Ч1–Ч5) возникновения опасного события, на тяжесть (Т1–Т5) возможного ущерба от реализации данной опасности. Результат указанного произведения находится в ячейке на пересечении строки тяжести возможного ущерба Т1, Т2, Т3, Т4, Т5) и столбца, обозначающего частоту Ч1, Ч2, Ч3, Ч4, Ч5. Например, Т2 х Ч3 = 6, то есть величина риска равна шести.

Рисунок 1. Матрица оценки рисков

В зависимости от величины риски подразделяются на три степени:

• низкие риски (Н), величина риска находится в пределах 1÷ 4;
• средние риски (С), величина риска находится в пределах 5 ÷ 12;
• высокие риски (В), величина риска находится в пределах 15 ÷ 25.

Это пример самого распространенного метода — матричного. Его рекомендуют к использованию и Минтруд, и Международная организация труда.

На этом работа по оценке рисков считается завершенной?

Остается еще один этап. Он условно называется «Разработка перечня мероприятий по управлению профессиональными рисками» или «Снижение уровней профессиональных рисков».

Вести эту работу надо с учетом текущей, прошлой и будущей деятельности. Весь процесс можно разделить на два этапа.

На первом этапе надо оценить риски на предмет приемлемости. Вариантов несколько, покажу на практическом примере: надо сопоставить величину риска и оценку существующих мер управления.

Таблица 2. Оценка приемлемости рисков

В качестве приемлемого уровня риска понимаются значения, установленные нормативными правовыми актами, договорами, иными внешними документами, требования которых организация приняла обязательство соблюдать.

На втором этапе работодатель определяет необходимость дополнительных мер. Их выбор и обоснованность их введения зависят от величины риска и оценки существующих мер управления.

Таблица 3. Определение типов дополнительных мер управления в зависимости от оценок существующих мер управления

На основе выбранных типов дополнительных мер c учетом иерархии мер (таблица 4), учитывая предложения работников и заинтересованных сторон, руководитель структурного подразделения определяет конкретные меры управления рисками.

Иерархия мер управления:

1 — Исключение опасной работы.

2 — Замена опасной работы менее опасной.

3 — Реализация инженерных (технических) методов ограничить риск воздействия опасностей на работников.

4 — Реализация административных методов ограничить время воздействия опасностей на работников.

5 — Использование средств индивидуальной защиты.

6 — Страхование профессионального риска.

Тут на помощь может прийти Приложение № 1 к приказу Минтруда № 776н где содержится перечень мероприятий по управлению опасностями.

На основе проведенного анализа приемлемости рисков, выбора дополнительных мер работодатель формирует общий план управления высокими и средними рисками в подразделении.

Для снижения конкретного риска на одном рабочем месте или рисков на всех рабочих местах подразделения можно составить отдельный план мероприятий.

Обратите внимание: работодатель обязан ознакомить сотрудников с результатами идентификации опасностей и оценки рисков на рабочих местах.

Да, объем работы немалый, а как грамотно распределить обязанности по идентификации опасностей и оценке уровней профессиональных рисков?

Хороший вопрос, но универсальных критериев выбора ответственного сотрудника нет. Решение принадлежит работодателю.

Я могу привести пример распределения обязанностей между руководителями структурных подразделений и работниками, для снижения нагрузки на специалиста по охране труда, в случае, когда есть ощущение, что именно они будут выполнять данную функцию у работодателей.

1. Руководитель службы охраны труда оказывает организационную и методическую помощь в сборе исходных данных руководителям подразделений.
2. Руководитель структурного подразделения:

• организует своевременную идентификацию опасностей и оценку профессиональных рисков непосредственно в своих подразделениях и знакомит работников с результатами;
• вовлекает работников подразделения в идентификацию опасностей и оценку рисков.

1. Работники подразделения принимают участие в идентификации опасностей и оценки рисков на рабочих местах, знакомятся с результатами идентификации опасности и оценки рисков на своих рабочих местах.

Получаются три ступени, которые охватывают почти все уровни, остается только определиться с управлением на высшем уровне. Кроме того, распределяя обязанности таким образом, мы реализуем подход по вовлечению работников в процесс управления охраной труда на рабочих местах, создания и обеспечения производственной безопасности.

Если у вас остались вопросы, добро пожаловать на уроки Контур.Школы! Разобраться в оценке рисков поможет курс Оценка профессиональных рисков

КОНЦЕПЦИЯ ПРИЕМЛЕМОГО РИСКА

система взглядов для рационального планирования мероприятий по обеспечению безопасности нынешнего поколения людей с учётом социальных и экономических факторов. Она лежит в основе концепции обеспечения техногенной безопасности в России, деятельности по обеспечению природной и техногенной безопасности, рациональному планированию мероприятий по обеспечению безопасности нынешнего поколения людей с учетом социальных и экономических факторов. Уровни приемлемого риска устанавливаются в каждой стране. Законодательно для нормирования воздействия от предприятия ядерного топливного цикла, например, рекомендуются следующие значения риска в расчете на человека в год: персонал предприятий — 1-10-5; население в санитарно-защитной зоне — 1-10-6; остальное население региона — 1-10-7; население за пределами данного региона с учетом трансграничных и глобальных эффектов — 110-8. Для объектов специальной техники пред-ложены следующие социально-приемлемые критерии безопасности: для общества в целом — математическое ожидание ущерба не более 1 % общественных затрат на создание, эксплуатацию и уничтожение объектов спецтехники; для индивидуума из населения — вероятность смерти или тяжёлой травмы не выше бытовой или от случайных поражающих факторов; для индивидуума из персонала — не выше, чем для наименее опасных профессий. Средней величиной приемлемого риска в профессиональной сфере обычно принимают 2,5-10-4 гибели человека в год. Условия профессиональной деятельности считаются безопасными, если риск для персонала ниже приемлемого, и опасными, если превышает этот порог. Приемлемый уровень риска для отдельных категорий персонала — вредных производств, сотрудников силовых структур — может быть выше, чем для других профессий в силу их специфического предназначения, но тогда для этой категории должны быть предусмотрены социально-экономические компенсации.

Каковы критерии оценки рисков, функции риск-менеджмента и компетенции по управлению рисками, требования и рекомендации стандартов по управлению рисками? Какие возможности для унифицикации сведений о параметрах риска есть в системе Business Studio? На эти вопросы отвечает автор. Также в статье представлен обзор функций и необходимых компетенций для управления рисками, модель процесса управления рисками и структура паспорта риска.

Глобализация конкуренции, сокращение цикла производства продукции, повышение требований к гибкости производства для удовлетворения персональных предпочтений потребителей и выпуск продукции под заказ — все эти тенденции обусловливают повышение неопределенности организационной среды и необходимость формирования риск-ориентированного мышления, что отражено в ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования» [1]. При этом отмечается, что повышение результативности системы менеджмента качества (СМК) предполагает необходимость выполнения предупреждающих действий на основе планирования, анализа и улучшения деятельности, связанной с рисками и возможностями.

Риск-менеджмент становится частью процесса принятия управленческих решений в условиях неопределенности [2], поэтому для повышения результативности и эффективности таких решений необходимо углублять знания и совершенствовать деловые качества в области управления рисками. Для обобщения сведений о принципах и подходах управления рисками, представленных в большом количестве стандартов, автор предлагает использовать модель в виде семантической сети, которая отражает структуру основных понятий этой предметной области (рис. 1).

Рис. 1. Структура основных понятий риск-менеджмента

Представленная модель построена на основе следующей логики.

1. Организация осуществляет деятельность в конкретной ситуации под влиянием факторов внешней и внутренней среды [2, 3], при этом:
   • внешняя ситуация (среда) обусловлена влиянием культурных, социальных, правовых, финансовых, технологических, экономических факторов;
   • внутренняя ситуация (среда) отражает ценности, культуру и стиль руководства, организационную и ролевую структуру, политику, цели и стратегию организации.
2. Негативное развитие ситуации обусловливает возникновение опасных событий (опасностей), которые характеризуются вероятностью и последствиями их наступления.
3. Появление опасного события приводит к возникновению риска — влияния неопределенности на цели организации, при этом неопределенность обусловлена недостаточностью информации, понимания или знания относительно события, его последствий или возможности.
4. Из множества вероятных рисков отбираются наиболее значимые для организации с помощью критериев риска, которые представлены признаками и правилами оценки его значимости [4].
   Критерии соответствуют виду риска [5] для одного из следующих классов опасностей по характеру происхождения:
   • природный;
   • биосоциальный;
   • техногенный;
   • экологический;
   • профессиональный;
   • информационный;
   • экономический;
   • террористический;
   • кибернетический;
   • иной [6].
5. Значимые для организации риски, выбранные с помощью критериев, подлежат идентификации, включая обнаружение, распознавание и описание. При идентификации опасных событий также определяются объекты воздействия (реестра риска) и методы идентификации риска [7]. Характеристика опасного события включает:
   • идентификатор;
   • наименование и описание, в том числе:
     ○  источник опасного события;
     ○  объект воздействий опасного события (люди, экология, экономика, система управления, социальная среда и инфраструктура организации);
     ○  последствия опасного события [3];
   • этап жизненного цикла продукции (услуги) при возникновении опасного события;
   • возможные последствия;
   • необходимые предупреждающие средства контроля для реагирования на опасные события и способы восстановления деятельности [6].

   В качестве средства визуализации результатов идентификации опасных событий может быть использована диаграмма «галстук-бабочка» (рис. 2) [8], включающая:

   • идентифицированные опасные события (инциденты — центральные узлы диаграммы);
   • источники опасных событий (на диаграмме слева) и последствия (на диаграмме справа);
   • установленные барьеры, предотвращающие эскалацию опасного события (предупреждающие меры на диаграмме слева) и нежелательные последствия (средства управления для восстановления и снижения последствий на диаграмме справа).

   

   Рис. 2. Диаграмма «галстук-бабочка»

6. Опасные события, их источники и возможные последствия вносятся в реестр риска организации, являющийся формой записи сведений об идентифицированном риске [7]. Реестр риска может быть разработан в полном [6] или сокращенном [7] (табл. 1) варианте в зависимости от размера и сферы деятельности организации.

   Таблица 1. Реестр риска (упрощенная форма)

   Идентифи­катор опасного события	Наименование и описание опасного события	Ответствен­ный менеджер по риску	Последствия опасного события (I)	Вероятность опасного события (L)	Оценка риска (I × L)	Мероприя­тия по обработке риска	Срок выполнения мероприятий по обработке риска	Примечания
   План	Факт

7. Следующим за идентификацией этапом процесса управления риском является анализ его природы и уровня. При анализе риска определяются:
   • источники данных;
   • средства контроля;
   • методы анализа;
   • последствия реализации опасного события;
   • вероятность наступления опасного события;
   • оценка уровня риска [6].

   Для качественной (балльной) оценки уровня риска могут быть использованы следующие шкалы [7]:

   • шкала последствий (табл. 2);
   • шкала вероятности (табл. 3).
   Таблица 2. Шкала оценивания последствий опасного события

   Последствие (I), баллы	Описание последствий	Объекты воздействия опасного события
   5	Катастрофические последствия	Люди, окружающая среда, экономика, органы государственного и муниципального управления, социальная среда, инфраструктура
   4	Значительные последствия	Люди, экономика, инфраструктура, окружающая среда, социальная среда
   3	Умеренные последствия	Люди, экономика, инфраструктура
   2	Небольшие последствия	Экономика, инфраструктура
   1	Малозначительные последствия	Социальная среда

   Примечание: объекты воздействия опасного события приведены для примера.

   Таблица 3. Шкала оценивания вероятности наступления опасного события

   Оценка вероятности, %	Качественная оценка вероятности, баллы
   Очень высокая — 81–100	Очень высокая — 5
   Высокая — 61–80	Высокая — 4
   Средняя — 21–60	Средняя — 3
   Низкая — 1–20	Низкая — 2
   Очень низкая — менее 1	Очень низкая — 1

   Результирующая оценка значимости риска может быть представлена с помощью матрицы риска (табл. 4), при этом его уровень рассчитывается как произведение последствий (I) на вероятность (L).

   Таблица 4. Матрица риска, ранги

   Качественная оценка вероятности опасного события	Последствия
   Малозначительные (1)	Небольшие (2)	Умеренные (3)	Значительные (4)	Катастрофические (5)
   Очень низкая (1)	1	2	3	4	5
   Низкая (2)	2	4	6	8	10
   Средняя (3)	3	6	9	12	15
   Высокая (4)	4	8	12	16	20
   Очень высокая (5)	5	10	15	20	25

8. Следующий этап управления риском — оценивание, т. е. ответ на вопрос, являются ли риск и/или его величина приемлемыми или допустимыми (на основе сравнения результатов анализа риска с установленными критериями). Сравнительная оценка риска включает:

   • определение критериев приемлемости риска;
   • сопоставление оценки риска с критериями приемлемости;
   • заключение о приемлемости риска и необходимости его обработки [6].

   По результатам анализа определяется уровень риска в следующих интервалах:

   • ранг 0 — риск отсутствует, никакие действия не предпринимаются;
   • 0–4 — риск низкий, предпринимаются низкозатратные действия;
   • 5–8 — риск средний, предпринимаются действия с учетом временных и экономических затрат;
   • 9–16 — риск высокий, необходимо срочное выполнение мероприятий по снижению риска;
   • 16–25 — риск высокий, необходимо предпринять незамедлительные действия по его снижению [7].

9. После оценки риска наступает этап его обработки / модификации посредством:

   • избежания, т. е. отказа от деятельности;
   • принятия;
   • устранения источника риска;
   • изменения его вероятности;
   • изменения его последствий;
   • разделения риска с другой стороной [2].

   Обработка риска включает следующие этапы:

   • определение целей обработки риска;
   • определение и выбор способов обработки риска (с учетом затрат, эффективности обработки, уровня остаточного риска);
   • разработка и осуществление плана обработки риска [3].

10. Завершающим этапом процесса менеджмента риска является мониторинг ключевых индикаторов риска. Ключевые индикаторы риска должны:

    • измеряться в процентах, представлять собой число (номер) или соотношение;
    • определяться сопоставимыми значениями за определенный промежуток времени;
    • иметь базовые значения;
    • иметь недорогие и простые (в интерпретации и контроле) данные [9, 10].

Менеджмент риска поддерживается инфраструктурой, обеспечивающей основу и организационные меры для его разработки, внедрения, мониторинга, пересмотра и постоянного улучшения. При разработке инфраструктуры менеджмента риска устанавливаются ответственность, полномочия и соответствующие компетенции.

Основная роль в процессе управления риском принадлежит менеджеру по риску, который должен принимать активное участие на этапах идентификации, оценки и обработки риска, а также:

• соблюдать принципы менеджмента риска;
• нести ответственность, выполнять обязанности и иметь полномочия в области менеджмента риска;
• формировать реестр риска и вести отчетность в соответствии с установленными в организации формами, с применением стандартизованных терминов и принятых критериев [5].

Компетенции менеджеров по риску основываются на знаниях, навыках и деловых качествах, приобретенных во время учебы и в процессе работы. Основные требования к знаниям и умениям менеджеров по риску относительно использования реестра риска включают:

• знание политики, стратегии и целей организации в области менеджмента риска;
• понимание связи политики в области риска с общей политикой и стратегическими целями организации, а также с требованиями и ожиданиями причастных к этому сторон;
• знание процессов и специфики работы организации;
• знание необходимых правовых требований, в том числе требований нормативной и технической документации: технических регламентов, стандартов и рекомендаций в области риска;
• знание и правильное использование терминов менеджмента риска;
• знание карты этого процесса;
• знания в области применения реестра риска.

Основные требования к навыкам менеджеров по риску включают способности:

1. Идентифицировать, описать и зарегистрировать опасные события и оценить соответствующие им риски.
2. Применять критерии допустимого риска организации.
3. Задействовать методы оценки риска.
4. Использовать методы разработки и ведения реестра риска.
5. Применять методы обработки и мониторинга риска организации, в том числе методы оценки результативности и эффективности мероприятий по снижению риска.
6. Использовать методы анализа менеджмента риска и управления документацией в этой области.
7. Обеспечивать от имени высшего руководства внедрение процесса менеджмента риска, а также разработку, внедрение, функционирование и поддержку в рабочем состоянии соответствующей системы.
8. Доводить до сведения высшего руководства информацию о работе системы менеджмента риска и всех необходимых улучшениях, при этом в отчете по реестру риска необходимо указывать:
   • перечень опасных событий, связанный с ними риск и способы обработки;
   • оценку эффективности мер по обработке ключевых видов рисков;
   • произошедшие изменения за отчетный период;
   • необходимые изменения в стратегиях, целях и задачах в области риск-менеджмента для предотвращения или снижения возможных потерь;
   • предполагаемую причину неэффективности мероприятий по обработке риска;
   • необходимые действия для выполнения мероприятий по обработке риска;
   • меры повышения эффективности риск-менеджмента [6].
9. Обеспечивать понимание риска персоналом организации.
10. Согласовывать процесс риск-менеджмента с общей системой процессов организации.
11. Внедрять решения, принятые по результатам оценки риска.
12. Поддерживать и постоянно улучшать систему риск-менеджмента.

Оценка риска осуществляется группой, включающей следующие роли:

• владелец / спонсор — инициирует и контролирует осуществление оценки риска, обеспечивает необходимыми ресурсами (финансовыми, материальными, нематериальными) выполнение плана-графика по времени;
• руководитель группы — управляет выполнением оценки риска;
• эксперт по исследуемому направлению — предоставляет соответствующие информацию, данные и экспертные оценки, относящиеся к исследуемому риску;
• помощник — оказывает помощь при оценке риска, организует совещания по ней;
• участник — активно участвует в процессе оценки риска [3].

Текстовое формализованное описание процесса менеджмента риска приведено в ГОСТ Р ИСО/МЭК 12207–2010 [10] и включает следующие параметры:

• цель: постоянное определение, анализ, обработка и мониторинг рисков;
• выходы: область применения менеджмента рисков, определение и выполнение стратегий менеджмента рисков, определение рисков, анализ рисков, оценивание степени риска, применение обработки риска;
• виды деятельности: планирование менеджмента рисков, менеджмент профиля рисков, анализ рисков, обработка рисков, мониторинг рисков, оценка процесса менеджмента рисков.

В качестве графического описания процесса менеджмента риска автор предлагает IDEF0-модель (рис. 3).

Рис. 3. IDEF0-модель процесса менеджмента риска

Для развития компетенций участников менеджмента риска автор представляет параметрическую модель в форме паспорта риска (табл. 5), содержащую требования и рекомендации стандартов в области управления рисками.

Табл. 5 включает набор основных параметров риска, однако для конкретных случаев этот перечень может быть модифицирован исходя из потребностей заинтересованных сторон, среды организации и уровня компетентности участников.

Для практического использования паспорт риска может быть реализован как нормативно-справочный документ в системе бизнес-моделирования Business Studio (рис. 4), при этом:

• названия параметров риска указываются в поле «Раздел» атрибутов документа;
• содержание (значение) параметров риска заносится в поле «Комментарий» атрибутов документа;



Рис. 4. Карточка документа «Паспорт риска» в системе Business Studio

• требования к параметрам риска указываются в поле «Комментарий» раздела атрибутов объекта (рис. 5).



Рис. 5. Карточка раздела документа

Использовать справочник «Разделы атрибутов объектов» удобно — в результате однократного внесения сведений (при последующем их пополнении) можно многократно автоматически выводить отчеты для различных паспортов рисков.

Для унифицированного представления содержания (шаблона) документа «Паспорт риска» используются стандартные возможности системы Business Studio по настройке и формированию пользовательских отчетов [11] (рис. 6).

Рис. 6. Шаблон пользовательского отчета «Паспорт риска»

В результате применения пользовательского отчета будет получен документ «Паспорт риска» в унифицированной форме (рис. 7).

Рис. 7. Отчет «Паспорт риска»

Для составления реестра по всем зарегистрированным в системе рискам целесообразно воспользоваться средствами OLE-автоматизации, при этом автоматически построенный Excel-отчет включает следующие разделы.

1. Лист «Матрица рисков» (рис. 8):
   • средневзвешенный уровень рисков организации (например, 10,25);
   • матрицу позиционирования рисков в координатах «Вероятность» и «Последствия» (например, риск «Высокая зависимость от ключевых сотрудников» имеет значения параметров: вероятность — 4 балла, последствия — 3 балла);
   • список (реестр) рисков, включающий дополнительные сведения: дату (обновления в карточке риска), код (регистрационный номер), владельца.



Рис. 8. Лист «Матрица рисков» Excel-отчета по мониторингу

2. Лист «Риски» (рис. 9):
   • ранг уровня риска (например, 12);
   • сведения (содержание) о параметрах риска;
   • параметры риска (ссылки).



Рис. 9. Лист «Риски» Excel-отчета по мониторингу

3. Лист «Требования» (рис. 10):
   • наименование раздела (нормативно-справочного) документа;
   • требования и рекомендации стандартов для параметра риска.



Рис. 10. Лист «Требования» Excel-отчета по мониторингу

Для удобства навигации отчет содержит необходимые автоматические ссылки.

Источники информации:

1. ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования».
2. ГОСТ Р ИСО 31000–2010 «Менеджмент риска. Принципы и руководство».
3. ГОСТ Р 51901.23–2012 «Менеджмент риска. Реестр риска. Руководство по оценке риска опасных событий для включения в реестр риска».
4. Р 50.1.068–2009 «Менеджмент риска. Рекомендации по внедрению. Часть 1: Определение области применения».
5. ГОСТ Р 51901.21–2012 «Менеджмент риска. Реестр риска. Общие положения».
6. ГОСТ Р 51901.22–2012 «Менеджмент риска. Реестр риска. Правила построения».
7. Р 50.1.084–2012 «Менеджмент риска. Реестр риска. Руководство по созданию реестра риска организации».
8. ГОСТ Р ИСО/МЭК 30010–2011 «Менеджмент риска. Методы оценки риска».
9. Р 50.1.090–2014 «Менеджмент риска. Ключевые индикаторы риска».
10. ГОСТ Р ИСО/МЭК 12207–2010 «Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств».
11. Создание пользовательских отчетов.

Опубликовано по материалам:
«Менеджмент качества», 03/2019.

Октябрь 2019 г.

Рекомендуемые материалы по тематике

Конференция «Системная практика управления бизнес-процессами»: вопросы и ответы. Часть 1.

Собственник имеет право быть некомпетентным — интервью с Дмитрием Хлебниковым в проекте «Управление из первых рук»

Процедура БП

Методика разработки стратегии и системы BSC-KPI банка. Версия 2.0

Цели и назначение процесса управления рисками на предприятии

Методика определения угроз и возможностей

Порядок определения угроз и возможностей, на которые необходимо реагировать предприятию

В современных условиях высокой рыночной конкуренции и постоянно меняющихся покупательских предпочтений трудно представить себе успешно развивающуюся компанию, в которой не налажен процесс управления рисками.

Управление рисками прежде всего необходимо для принятия управленческих решений в условиях, требующих выбора одного из нескольких вариантов при отсутствии определенности и однозначности преимуществ какого-либо решения.

Многие руководители считают, что они и без специальных технологий управления прекрасно видят возможные риски для компании и смогут вовремя их устранить, основываясь на собственном опыте и интуиции. Они ошибаются, и мы видим огромное количество примеров, когда крупные корпорации испытывают большие трудности в бизнесе или приходят к банкротству именно из-за ошибочных действий руководства.

Даже суперпрофессиональный руководитель не может контролировать качество всех бизнес-процессов и технологических операций компании без выделения управления рисками в отдельный процесс и вовлечения в него всех ключевых менеджеров компании. А если говорить о небольшом бизнесе, то по статистике в течение первого года работы закрываются около 90 % вновь созданных предприятий, и большинство из них — именно по причине некачественного управления предпринимательскими рисками.

ЦЕЛИ И НАЗНАЧЕНИЕ ПРОЦЕССА УПРАВЛЕНИЯ РИСКАМИ НА ПРЕДПРИЯТИИ

По общепринятой в менеджменте рисков классификации под риском подразумевается событие или стечение обстоятельств, которое в случае его реализации может существенным образом повлиять на достижение стратегических целей и текущих задач компании. Влияние риска может оказаться как негативным, т. е. несущим угрозы бизнесу, так и позитивным, предоставляющим возможности для его развития. Именно поэтому процесс управления рисками можно назвать искусством различать, что представляет собой выявленный риск — опасность для деятельности компании или наоборот, шанс ее улучшить.

Система управления рисками — это процесс, осуществляемый как руководством компании, так и ее сотрудниками. Цель этого процесса — выявить потенциальные события, которые могут повлиять на результаты деятельности компании — как положительно, так и отрицательно, и обеспечить приемлемые для компании уровень угроз или степень реализации возможностей.

Специфическая особенность данного процесса состоит в том, что он охватывает все без исключения бизнес-процессы компании и реализуется в рамках как внешнего, так и внутреннего контекстов бизнеса (рис. 1).

Основные принципы управления рисками:

1. Управление рисками — неотъемлемая часть ежедневного процесса управления, которая предполагает, что каждый сотрудник обязан выявлять и оценивать риски для наиболее эффективного принятия управленческих решений.

2. Все риски, которые возникают по внешним или внутренним причинам и могут значительно повлиять на достижение целей предприятия, должны идентифицироваться, оцениваться и документироваться, а на основе этой информации — разрабатываться мероприятия по рискам.

3. Процесс управления рисками подразумевает применение единого и стандартизированного подхода к выявлению, оценке и работе с рисками.

4. Руководители всех уровней несут ответственность за своевременное выявление рисков, их оценку, разработку мероприятий по управлению рисками и информирование всех заинтересованных сторон, в том числе работников, о рисках, влияющих на достижение поставленных перед ними целей, а также за накопление знаний о рисках и анализ реализовавшихся рисков.

5. В процессе управления рисками необходим разумный баланс издержек на управление риском и величины возможного ущерба или выгоды от наступления рискового события: если уровень риска приемлемый, а затраты на управление риском превышают возможный эффект, дополнительные мероприятия по работе с этим риском не нужны.

Методы управления рисками (рис. 2):

1. Снижение риска подразумевает воздействие на риск путем снижения вероятности реализации риска или уменьшения негативных/усиления позитивных последствий в случае реализации риска в будущем.

2. Перенос риска предполагает передачу риска (в том числе частичную) другой стороне (например, заключаются договоры страхования, хеджирования, аутсорсинга и др.) — это позволяет уменьшить негативное или усилить позитивное влияние риска на достижение целей компании.

3. Принятие риска допускает возможное наступление последствий риска с определением конкретных источников покрытия ущерба от негативных последствий.

4. Уклонение от риска означает отказ от совершения действий/мероприятий/целей, характеризующихся высокой степенью риска.

Теперь поговорим о том, как управлять рисками.

МЕТОДИКА ОПРЕДЕЛЕНИЯ УГРОЗ И ВОЗМОЖНОСТЕЙ ДЛЯ ЦЕЛЕЙ ПРЕДПРИЯТИЯ

Алгоритм процесса управления рисками представляет собой последовательную цепочку процедур, которые помогают руководству компании эффективно минимизировать угрозы и использовать возможности для достижения целей предприятия (см. схему).

Рассмотрим эти этапы подробнее.

1. Выявляем риски.

На этом этапе определяем внутренние или внешние события, реализация которых может негативно или позитивно отразиться на достижении целей компании.

Как выявлять риски?

В первую очередь риски выявляют:

• в рамках ежегодного цикла планирования;

• в ходе анализа деятельности компании и пересмотра ее целей и бюджета;

• в текущем режиме анализа эффективности процессов компании;

• в ходе производственных совещаний и индивидуальных бесед с сотрудниками компании.

По итогам процедуры выявления рисков формируется классификатор рисков компании и назначаются ответственные по каждому из рисков.

2. Оцениваем риски.

Главная цель оценки рисков — определить уровень рисков и выделить наиболее значимые (критические) риски, которые могут негативно или позитивно влиять на деятельность компании и достижение ее стратегических целей.