Митигация рисков — управление угрозами¶
Митигация рисков — это комплекс мер по снижению вероятности наступления негативных событий и уменьшению ущерба от них. Термин происходит от латинского mitigare — «смягчать, облегчать». В отличие от полного устранения риска (которое часто невозможно или экономически нецелесообразно), митигация предполагает приведение риска к приемлемому уровню, при котором организация или проект могут продолжать деятельность.
¶Место митигации в управлении рисками
Управление рисками обычно включает несколько последовательных этапов:
- Идентификация рисков — выявление потенциальных угроз.
- Анализ и оценка — определение вероятности и возможного ущерба.
- Планирование реагирования — выбор стратегии работы с каждым риском.
- Мониторинг — отслеживание изменений и эффективности мер.
Митигация относится к этапу реагирования. На практике выделяют четыре основные стратегии работы с рисками:
| Стратегия | Суть |
|---|---|
| Избегание (avoidance) | Полный отказ от деятельности, порождающей риск |
| Передача (transfer) | Перенос последствий на третью сторону (страхование, аутсорсинг) |
| Снижение (mitigation) | Меры, уменьшающие вероятность или ущерб |
| Принятие (acceptance) | Осознанное допущение риска без действий |
Митигация — самая распространённая стратегия, поскольку полное избегание рисков зачастую означает отказ от прибыли, а передача покрывает лишь часть потенциальных потерь.
¶Методы митигации
¶Снижение вероятности
Меры, направленные на то, чтобы негативное событие произошло реже:
- обучение персонала и разработка регламентов;
- внедрение систем контроля качества;
- диверсификация поставщиков, клиентов, портфеля активов;
- резервирование ключевых компонентов (запасные поставщики, дублирующее оборудование);
- аудит и регулярные проверки.
¶Снижение ущерба
Меры, ограничивающие последствия, если событие всё же произошло:
- резервное копирование данных;
- создание страховых запасов;
- планы восстановления бизнеса (business continuity plan);
- системы пожарной безопасности, вентиляция, резервное питание;
- ограничение максимальных сумм сделок (лимиты).
¶Примеры по отраслям
Информационная безопасность. Митигация киберрисков включает многофакторную аутентификацию, шифрование, сегментацию сети, регулярное обновление программного обеспечения, обучение сотрудников противодействию фишингу. Один из распространённых подходов — сокращение поверхности атаки.
Финансы. Банки и инвестиционные компании используют лимитирование позиций, диверсификацию портфеля, стресс-тестирование, хеджирование производными инструментами. Центральные банки, в том числе Центральный банк Российской Федерации, обязывают кредитные организации формировать резервы на возможные потери по ссудам.
Строительство и промышленность. На объектах применяются системы техники безопасности, обязательный инструктаж, защитное снаряжение, процедуры «разрешения на работу» для опасных операций.
Проектное управление. Согласно «Руководству проектным менеджментом» (PMBOK) Института проектного управления, план реагирования на риски проекта включает для каждого риска выбранную стратегию, конкретные меры, ответственных и ресурсы.
¶Инструменты и матрицы
Для приоритизации рисков используются матрицы «вероятность × влияние», где каждому сочетанию присваивается уровень критичности (обычно от низкого до критического). В России при оценке рисков на опасных производственных объектах применяются методики, основанные на ГОСТ Р 51907 «Управление риском. Общие требования» и ГОСТ Р ИСО 31000 «Менеджмент риска. Руководство». Федеральный закон № 116-ФЗ «О промышленной безопасности опасных производственных объектов» обязывает владельцев ОПО проводить оценку рисков и разрабатывать мероприятия по их снижению.
¶Ограничения
Митигация не устраняет риск полностью и требует постоянных затрат: резервное оборудование, страховые полисы, обучение персонала и аудит стоят денег. Избыточная митигация может замедлять процессы и снижать эффективность. Кроме того, меры, рассчитанные на одни сценарии, не всегда защищают от «чёрных лебедей» — маловероятных событий с тяжёлыми последствиями, какими многие считали пандемию COVID-19 или финансовый кризис 2008 года. Поэтому митигация дополняется другими инструментами — принятием риска, передачей и постоянным мониторингом.
¶Источники
- ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Руководство»
- ГОСТ Р 51907-2002 «Управление риском. Общие требования»
- Федеральный закон № 116-ФЗ «О промышленной безопасности опасных производственных объектов»
- PMBOK Guide, Project Management Institute
- Барановский В. А. «Управление рисками»
- Ковалёв В. В. «Практика финансового анализа»