Управление рисками: что это, где применяется и как освоить

Главное заблуждение новичков — считать, что управлять рисками значит составить список опасений. Список ещё ничего не меняет. Работа начинается, когда у каждого риска появляется владелец, мера с датой и признак, по которому видно, что ситуация ухудшается. Реестр с этими колонками помогает решить, какой риск закрыть деньгами сейчас, какой держать под наблюдением, а какой не стоит усилий на защиту.

Что конкретно делает человек, который управляет рисками

В действиях навык выглядит как короткий цикл. Сначала человек формулирует цель, иначе непонятно, чему угрожает риск: «открыть вторую точку к 1 марта в рамках бюджета 3 млн рублей» годится, «развивать бизнес» — нет. Затем выписывает события, которые могут помешать, причём в форме «причина — событие — последствие»: «поставщик оборудования задерживает отгрузку, из-за чего открытие переносится на месяц и аренда идёт без выручки». После этого оценивает вероятность и тяжесть последствий по заранее договорённой шкале, ставит риски в порядок и для верхних выбирает ответ. Цикл замыкает пересмотр: реестр, который не открывали месяц, уже устарел. Общую рамку этого процесса описывает ГОСТ Р ИСО 31000-2019.

Четыре работы, где навык нужен без должности риск-менеджера

Менеджер проекта держит реестр рисков рядом с расписанием: ключевой разработчик уходит в отпуск на неделю релиза, заказчик затягивает согласование макетов. Меры — запас времени на критических задачах, дублёр, пункт договора о сроках согласования.

Владелец малого бизнеса управляет рисками постоянно, только в голове: второй поставщик молока — мера против срыва поставок, страховка оборудования — передача риска страховщику. Навык помогает не тратить деньги на защиту от маловероятного, пропуская частое.

Финансист смотрит на риски через деньги: кассовые разрывы, рост ставки, неплатежи покупателей. Его инструменты — сценарии бюджета, лимиты отсрочки, резервы.

Инженер по охране труда по требованию трудового законодательства выявляет опасности на рабочих местах, оценивает и снижает риски травм и профессиональных заболеваний. Для него навык обязателен.

Учебный пример: реестр рисков кофейни

Ситуация учебная. Владелица кофейни с шестью сотрудниками готовится к зиме: выписывает десять событий и оценивает каждое по двум шкалам от 1 до 5: вероятность (1 — «почти невероятно», 5 — «случается каждый месяц») и тяжесть (1 — «неудобство», 5 — «закрытие точки на неделю или травма»). Уровень риска равен произведению двух баллов.

Наверх списка выходят три риска. Поломка кофемашины: 3 × 4 = 12, без неё пропадает почти вся выручка. Скользкий пол у входа в оттепель: 4 × 3 = 12. Ожог бариста паром: 3 × 3 = 9. По кофемашине она снижает последствия — договор на выезд мастера в течение суток и запас деталей. По ожогам снижает вероятность — инструктаж, перчатки, кувшины подальше от парового крана. По полу — коврики и уборка входа каждый час в сырую погоду.

Риск «рядом откроется сетевая кофейня» тяжёлый, но повлиять на него почти нельзя, и владелица его принимает, записав признак для пересмотра: падение числа чеков на 15 % за месяц. Итог — таблица на страницу с оценкой, мерой, ответственным и датой проверки у каждого риска.

Матрица рисков: одна картинка и много разных шкал

Матрицу «вероятность × тяжесть» многие считают стандартной, будто где-то утверждена единственная правильная сетка 5 на 5. Для охраны труда это легко проверить. В рекомендациях по выбору методов оценки уровней профессиональных рисков, утверждённых приказом Минтруда России от 28.12.2021 № 926, описано полтора десятка методов — от контрольных листов и матриц до анализа «галстук-бабочка», дерева решений, HAZOP и анализа «затраты — выгоды». Отдельно выделены методы, рекомендуемые предприятиям малого и микробизнеса: контрольные листы и матричный метод.

Самое неожиданное — в приложениях. Там приведена не одна матрица, а семь: две разные сетки 3 × 3 (европейского комитета по охране труда и технологического университета Тампере), матрицы 3 × 5 и 5 × 4 и три разные матрицы 5 × 5. В балльном методе уровень риска считают перемножением баллов вероятности и тяжести, но сколько баллов в шкале и где проходит граница «недопустимого» риска, зависит от выбранной сетки. При этом выбор метода работодатель делает самостоятельно, исходя из приемлемости и пригодности, а при желании может разработать собственный метод с учётом своей деятельности (пп. 4 и 9 рекомендаций).

Вывод: «12 баллов» или красная клетка без шкалы ничего не значат. Получив чужую карту рисков, сначала выясните, по какой матрице она построена, и не сравнивайте реестры с разными сетками, даже если обе называются «5 на 5». Если нужен более широкий каталог методов за пределами охраны труда, его даёт ГОСТ Р 58771-2019 «Менеджмент риска. Технологии оценки риска», который действует с 1 марта 2020 года.

Где новички ошибаются

Первая ошибка — путать риск с проблемой: проблема уже случилась, а к риску нужна мера заранее. Вторая — риски из одного слова вроде «персонал» или «курс»: их нельзя ни оценить, ни поручить. Третья — всё на «тройку»: если полреестра в середине шкалы, матрица не помогает выбирать. Четвёртая — забыть про остаточный риск, который после мер меньше, но не нулевой. Пятая — видеть только угрозы, хотя неопределённость бывает и выгодной, например скидка поставщика за объём.

С чего начать и в каком порядке осваивать

Порядок освоения повторяет сам цикл управления рисками, и перескакивать через шаги не стоит. Без чёткой цели нельзя отличить риск от фона, без разбора формулировок оценки получаются случайными, а без шкалы, о которой договорились заранее, любая матрица превращается в картинку. Поэтому сначала учатся описывать, потом оценивать и только затем выбирать меры и следить за ними:

1. Возьмите одну свою цель со сроком и бюджетом и выпишите 10–15 событий в форме «причина — событие — последствие».
2. Составьте шкалы вероятности и тяжести на 3 или 5 уровней с описанием каждого уровня словами и в цифрах: рублях, днях задержки, днях нетрудоспособности.
3. Оцените риски, постройте матрицу и отберите три-пять верхних.
4. Для каждого верхнего риска выберите тип ответа, назначьте ответственного и срок, запишите признак ухудшения.
5. Через месяц пересмотрите реестр и сравните оценки с тем, что произошло на самом деле.

Для первого прохода хватит таблицы в Excel. Когда нужны структура и разбор чужих примеров, подойдёт короткая программа. На онлайн-курсе «Управление рисками: базовый курс» от Нетологии за два-три месяца в записи разбирают планирование, ISO 31000 и подход PMBOK 7 к рискам, а в 21 часе практических заданий составляют реестр рисков и план реагирования. Программа рассчитана на руководителей, тимлидов, владельцев бизнеса и менеджеров проектов. Итоговый реестр рисков экспертной проверки не получает, поэтому показывать его стоит коллеге или руководителю.

Как проверить свой результат

Первый тест — дать реестр постороннему и попросить за пять минут назвать три главных риска, их владельцев и меры до конца месяца. Не получилось — реестр слишком длинный или размыт. Второй — разбор задним числом: составьте реестр для закончившегося проекта так, как сделали бы в начале, и сверьте с тем, что случилось. Третий — калибровка: пусть два коллеги оценят одни и те же пять рисков по вашей шкале. Расхождение на два уровня значит, что описания уровней надо переписать.

Обучение под свою роль

Финансисту и руководителю, которому нужен взгляд на риски компании в целом, ближе программа о рисках организации. На курсе «Оценка и управление рисками компании» Московской бизнес академии за месяц в свободном темпе разбирают выявление рисков, оценку вероятности и последствий, выбор стратегии реагирования и контроль остаточного риска. В программе 15 видеоматериалов и одно проверяемое практическое задание, по итогам выдают удостоверение о повышении квалификации. Полного перечня тем на странице нет, поэтому, какие виды рисков разбирают, лучше уточнить у школы до оплаты.

Менеджеру проекта обычно хватает базового курса и практики на своих задачах. Инженеру по охране труда и владельцу небольшой компании, где за охрану труда отвечает кадровик или офис-менеджер, нужна другая база — нормативная.

Для такого случая подходит переподготовка, которая совмещает кадровую работу и охрану труда. Программа «Специалист по персоналу и по охране труда» НИИДПО рассчитана на 730 академических часов и 24 недели заочно. Блок охраны труда занимает 250 часов: основы охраны труда, первая помощь, травмобезопасность, специальная оценка условий труда и управление безопасностью. Завершается обучение междисциплинарным экзаменом, выдают диплом о профессиональной переподготовке. Оценка профессиональных рисков отдельной дисциплиной в обзоре не названа, а первую помощь отрабатывают только теоретически, так что оба пункта стоит обсудить со школой.

Как навык влияет на доход

Отдельной надбавки «за управление рисками» в вакансиях почти не бывает: навык входит в требования к руководителю проекта, финансовому менеджеру или специалисту по охране труда, и платят за должность целиком. Влияет он через круг задач: менеджеру проекта с внятным реестром доверяют проекты крупнее, финансист со сценариями участвует в решениях о кредитах и инвестициях, а специалиста по охране труда без оценки профессиональных рисков на должность просто не возьмут.

Владельцу бизнеса навык экономит деньги: страховку, запас деталей и второго поставщика он оплачивает для рисков из правого верхнего угла матрицы, а не для всех подряд. Чтобы оценить навык в своей профессии, сравните медианы вакансий своей должности в своём городе с оценкой рисков в обязанностях и без неё, не смешивая суммы «до вычета налогов» и «на руки».

Как выбрать обучение

Прежде чем платить, решите, для какой роли нужен навык: риски проекта, финансовые риски и профессиональные риски в охране труда оценивают по разным шкалам и документам. Проверьте, будет ли итоговая работа на вашем материале и кто её проверит. Отдельного рейтинга школ по управлению рисками на сайте нет. Сравнить условия обучения в смежном направлении поможет рейтинг онлайн-школ с обучением финансовому управлению — это более широкий рейтинг, и программы из него стоит сверять со своей задачей. Если вас интересует работа риск-менеджера в банке как профессия, прочитайте отдельную статью о специалисте по управлению рисками.