СМР — система менеджмента рисков¶

СМР (система менеджмента рисков) — организационная структура, направленная на идентификацию, оценку, мониторинг и управление рисками в проектах, процессах и деятельности организации. В отличие от отдельных методик оценки рисков, СМР представляет собой комплексный подход, включающий политику, цели, процессы, ресурсы и ответственных лиц, обеспечивающий системное управление рисками на протяжении жизненного цикла объекта управления.

¶Основные понятия

Риск в контексте СМР определяется как эффект неопределённости относительно целей, который может быть как отрицательным (угроза), так и положительным (возможность). Система менеджмента рисков строится на принципах, сформулированных в международном стандарте ISO 31000 «Менеджмент рисков — Руководство» (в российской практике — ГОСТ Р ИСО 31000-2019 «Менеджмент рисков. Руководство»).

Ключевые термины СМР:

• Риск — эффект неопределённости относительно целей;
• Угроза — событие, которое может привести к отрицательному эффекту;
• Возможность — событие, которое может привести к положительному эффекту;
• Вероятность — мера возможности наступления события;
• Последствия — отклонение от ожидаемого результата;
• Устойчивость — способность сопротивляться воздействию рисков;
• Уязвимость — слабость, которая может быть использована угрозой.

¶Структура системы

СМР включает несколько взаимосвязанных компонентов:

¶Процессы управления рисками

Стандартная модель процессов СМР включает следующие этапы:

¶Идентификация рисков

Выявление источников рисков, событий и их причин. Используются методы: мозговой штурм, интервью, анализ документов, метод Дельфи, анализ чек-листов, причинно-следственные диаграммы (диаграммы Исикавы).

¶Анализ и оценка

Определение вероятности и последствий каждого риска. Применяются качественные методы (матрица «вероятность — последствия»), полуколичественные и количественные (деревья решений, метод Монте-Карло, анализ чувствительности, моделирование сценариев).

¶Обработка рисков

Выбор стратегии управления выявленными рисками:

• Избегание — прекращение деятельности, связанной с риском;
• Снижение — уменьшение вероятности или последствий;
• Передача — перенос риска на третьи стороны (страхование, аутсорсинг, контракты);
• Принятие — осознанное решение продолжить деятельность без дополнительных мер.

¶Мониторинг и пересмотр

Постоянное наблюдение за рисками, оценка эффективности принятых мер, корректировка реестра рисков и стратегий управления.

¶СМР в России

В российской практике управление рисками регулируется рядом нормативных актов и стандартов:

• ГОСТ Р ИСО 31000-2019 — руководство по менеджменту рисков;
• ГОСТ Р 51901-2002 — менеджмент риска. Общие положения;
• ГОСТ Р ИСО/МЭК 31010-2011 — методы оценки рисков;
• ГОСТ Р ИСО 9001-2015 — система менеджмента качества, включающая управление рисками;
• ГОСТ Р ИСО 14001-2018 — система менеджмента окружающей среды.

В ряде отраслей внедрение СМР обязательно по нормативным требованиям. В частности, в сфере промышленной безопасности, на объектах критического технологического потенциала, в банковской деятельности (требования Базеля), в сфере информационной безопасности (ГОСТ Р 57580 «Безопасность финансовых (банковских) операций. Оценка и управление рисками»).

¶Связь с другими системами менеджмента

СМР интегрируется с другими системами управления организации:

• СМК (система менеджмента качества) — риск как элемент процессного подхода;
• СМЭО (система менеджмента окружающей среды) — риски воздействия на окружающую среду;
• СМБ (система менеджмента безопасности и охраны труда) — риски для здоровья и жизни работников;
• СМКИБ (система менеджмента информационной безопасности) — риски утечки и угрозы ИБ.

Все перечисленные системы по ГОСТ Р ИСО 9001-2015 и ГОСТ Р ИСО 31000-2019 опираются на риск-ориентированный подход.

¶Преимущества внедрения СМР

• Снижение вероятности и последствий негативных событий;
• Повышение устойчивости организации к внешним и внутренним угрозам;
• Обоснованность управленческих решений;
• Соответствие требованиям регуляторов и стандартов;
• Формирование культуры осознанного отношения к рискам.

¶Ограничения

Эффективность СМР во многом зависит от качества исходных данных, квалификации персонала и реальной вовлечённости руководства. Формальное внедрение системы без изменения организационной культуры не обеспечивает ожидаемого результата. Кроме того, количественные методы оценки рисков чувствительны к исходным допущениям, а сложность и неопределённость среды ограничивают точность прогнозов.

¶Источники

• ГОСТ Р ИСО 31000-2019 «Менеджмент рисков. Руководство»
• ГОСТ Р 51901-2002 «Менеджмент риска. Общие положения»
• ГОСТ Р ИСО/МЭК 31010-2011 «Менеджмент риска. Методы оценки рисков»
• ISO 31000:2018 «Risk management — Guidelines»
• ГОСТ Р ИСО 9001-2015 «Системы менеджмента качества. Требования»
• ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций»