KRI (ключевой индикатор риска) это опережающий показатель, который предупреждает о росте риска до того, как риск реализовался. KPI (ключевой показатель результативности) это запаздывающий показатель, который измеряет уже достигнутый результат. KRI отвечает на вопрос «что может случиться», KPI на вопрос «что получилось»; у обоих есть порог, но реакция на порог KRI предупреждает событие, а на порог KPI констатирует его.
Оба показателя выглядят похоже: число и порог. Разницу проще всего увидеть на примерах.
В чем разница на примере
Возьмем ИТ-службу. KPI — доступность сервиса за месяц составила 99,2 процента. Это факт, он уже произошел, повлиять на него нельзя. KRI — доля серверов, у которых не обновлялось программное обеспечение более девяноста дней, выросла до 18 процентов. Это еще не инцидент, но вероятность его выросла, и время на реакцию пока есть.
Тот же принцип в закупках. KPI — сорвано три поставки за квартал. KRI — доля критичных позиций, у которых только один поставщик, составляет 40 процентов. Второй показатель предупреждает о риске, который разобран в материале потеря поставщика.
Каким должен быть рабочий KRI
- Опережающий. Меняется до события, а не вместе с ним. Число инцидентов за месяц — это KPI, как бы его ни называли.
- С порогом и адресатом. У показателя есть значение, при котором кто-то обязан что-то сделать. Без порога это просто цифра в отчете.
- Связан с конкретным риском из реестра. Не с процессом вообще, а с риском, у которого есть владелец — см. система управления рисками.
- Считается автоматически. Показатель, который собирают вручную раз в квартал, не успевает предупредить.
- Немногочислен. Пять-семь показателей на уровне правления и по два-три на направление. Длинный список никто не смотрит.
Как назначают пороги
Порог — это не среднее значение и не пожелание. Он выводится из границы, которую компания себе назначила, то есть из риск-аппетита. Если допустимые потери от простоев ограничены суммой за год, а один день простоя стоит известную величину, то из этого прямо следует предельное число дней и, значит, пороговые значения показателей, которые к простою ведут.
Практический прием — два уровня. Желтый порог означает «разобраться и доложить», красный — «принять меры немедленно и эскалировать». Кто получает сигнал на каждом уровне, определяет модель трех линий защиты.
Расчет стоимости, из которой выводятся пороги, разобран в материале стоимость дня простоя.
Как пишут: KRI, КРИ, ключевой индикатор риска
Термин встречается в трех написаниях, и все три означают одно: KRI, английская аббревиатура от key risk indicator; КРИ, та же аббревиатура кириллицей, как ее набирают в русской раскладке; и полное русское «ключевой индикатор риска». В документах компании лучше выбрать одно написание и держаться его, иначе поиск по реестру и отчетам перестает находить половину строк.
Частые вопросы
KRI, ключевой индикатор риска, это число, которое показывает, что вероятность неприятного события растет, до того как оно произошло. Например, доля просроченных платежей клиентов или число дней с последней резервной копии. У индикатора есть порог, и при его пересечении заранее известно, кто и что делает.
Сколько KRI нужно компании? Пять-семь на уровне правления и по два-три на ключевое направление. Больше — и их перестают смотреть.
Откуда брать данные? Из систем, которые уже работают: учетной, сервисной, кадровой. Показатель, требующий ручного сбора, почти всегда умирает через квартал.
От реестра рисков к решениям руководства
Проверьте, доходят ли ваши риски до тех, кто принимает решения. Дашборд показывает состояние одним экраном, система под ключ доводит его до рабочего.