Критические риски: понятие и управление¶

Критические риски — категория рисков в системе управления рисками, характеризующаяся максимальным уровнем потенциального ущерба и высокой вероятностью реализации, при этом их наступление способно привести к критическим последствиям для организации, проекта или процесса. Критические риски относятся к высшему уровню рисковой иерархии и требуют безотлагательного реагирования, выделения приоритетных ресурсов и постоянного мониторинга. В международной практике управление рисками (ISO 31000, PMBOK) выделяют критические риски как подмножество высоких рисков, при этом критичность определяется не только величиной ущерба, но и скоростью его наступления, невозможностью восстановления и системным характером последствий.

¶Определение и классификация

Критические риски выделяются в отдельную категорию по совокупности признаков:

• Высокая критичность последствий — ущерб, сопоставимый с угрозой существованию организации или проекта;
• Высокая вероятность реализации — по данным исторической статистики или экспертной оценки;
• Низкая восстановимость — невозможность или крайне высокая стоимость компенсации последствий;
• Системный характер — способность вызывать каскадные эффекты и лавинообразное развитие.

В зависимости от области применения выделяют финансовые, операционные, стратегические, проектные и иные критические риски. В проектном управлении критическими считаются риски, способные привести к срыву сроков, выходу за бюджет или отказу от проекта.

¶Методы идентификации и оценки

Идентификация критических рисков осуществляется методами:

• Экспертных оценок — интервью, метод Дельфи, мозговой штурм;
• Анализа исторических данных — статистический анализ инцидентов;
• Моделирования сценариев — метод Монте-Карло, деревья решений;
• Анализа структуры рисков — декомпозиция процессов и выявление уязвимых звеньев.

Для количественной оценки применяют матрицы «вероятность × влияние», где критические риски попадают в верхнюю правую зону. Распространённая шкала оценки — от 1 до 5 по каждому из параметров; суммарный балл выше порогового значения (обычно 15–20 из 25) классифицирует риск как критический.

¶Стратегии управления

Стандарт ISO 31000 и PMBOK выделяют четыре базовые стратегии реагирования на риски:

1. Избегание — исключение деятельности, порождающей риск;
2. Снижение (управление) — уменьшение вероятности или влияния;
3. Передача — перенос последствий на третьи стороны (страхование, аутсорсинг);
4. Принятие — осознанное принятие риска без действий (для критических рисков применяется крайне редко).

Для критических рисков предпочтительна комбинация стратегий избегания и снижения, дополненная планами реагирования на случай реализации (контингентные планы).

¶Примеры критических рисков

¶Регуляторные требования в России

В России управление рисками регулируется для ряда отраслей: банковский сектор (требования Банка России), страховые организации (Федеральный закон «Об организации страхового дела»), строительство (ГОСТ Р ИСО 31000-2019 «Риск-менеджмент. Руководство»). Для критической инфраструктуры действует Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры», устанавливающий обязательный риск-ориентированный подход к оценке угроз.

¶Интересные факты

• Термин «критический риск» в проектном управлении популяризован Институтом управления проектами (PMI) в руководстве PMBOK;
• В военном деле критические риски традиционно обозначаются термином «критические уязвимости» и анализируются методами SWOT и PESTLE;
• Практика выделения критических рисков в отдельную категорию получила широкое распространение после финансового кризиса 2008 года, когда стало очевидно, что традиционные модели риск-менеджмента недооценивают каскадные эффекты.

¶Источники

• ГОСТ Р ИСО 31000-2019 «Риск-менеджмент. Руководство»
• PMBOK Guide, Project Management Institute
• Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры»
• Банк России, требования к риск-менеджменту кредитных организаций