Почему СУР вырождается в отчетность
Типовой путь: компания заводит реестр на 100-200 рисков, красит матрицу «вероятность-ущерб», собирает комитет раз в квартал. Через год реестр обновляет один специалист, руководители подписывают не читая, а реальные решения — инвестиции, запуск продуктов, выбор поставщиков — принимаются вообще без оглядки на этот контур. Система есть, управления нет.
Корень проблемы: СУР спроектирована для отчета, а не для решений. Признак здоровья простой: если убрать все риск-документы, изменится ли хоть одно управленческое решение? Если нет — это имитация.
4 принципа живой системы
- Риск существует ради решения. Каждая строка реестра заканчивается выбором: принимаем, снижаем (как и за сколько), передаем (страхуем), избегаем. Нет решения — нет смысла в строке.
- У риска есть владелец с бюджетом. Не «служба риск-менеджмента», а руководитель, который управляет источником риска и отвечает за мероприятия.
- Мера риска — деньги и время. «Высокий/средний/низкий» не сравнивается с ценой мероприятий; оценка в деньгах — сравнивается.
- Система легкая. Один реестр, одна страница на риск, один час в месяц у руководства. Все, что тяжелее, умирает.
Реестр: 15 рисков вместо 150
Рабочий реестр среднего предприятия — 10-20 рисков уровня руководства: остановка производства/ИТ, потеря ключевых клиентов или каналов, срыв поставок, кадровые риски ключевых позиций, регуляторные и санкционные, кредитные и валютные, кибератака, авария/пожар, репутационный кризис. Операционная мелочь живет на уровне подразделений и не поднимается наверх. Каждый риск — одна страница: описание, оценка в деньгах, владелец, текущие меры, решение, срок пересмотра.
Владельцы и решения
Ежемесячный ритм: час на управленческой встрече, 3-4 риска по очереди, владелец докладывает не «статус риска», а статус решения: что сделано, что изменилось в оценке, какое решение нужно от руководства. Раз в квартал — пересмотр всего реестра: что добавить, что закрыть. Этого достаточно; комитеты и отдельная вертикаль нужны только крупным холдингам и регулируемым отраслям.
Метрики вместо карт «вероятность-ущерб»
Карта рисков — снимок мнений. Управляют цифрами: стоимость дня простоя по критичным процессам, время восстановления, концентрация выручки на клиентах и поставщиках, покрытие страхованием, выполнение мероприятий в срок. Такие метрики выводятся на управленческий экран и сравниваются от месяца к месяцу — наш дашборд делает ровно это: индекс устойчивости 0-100 и светофоры по слабым местам вместо радуги квадратиков.
Связка с непрерывностью
Половина серьезных рисков предприятия — риски остановки: ИТ, производство, поставки, люди. Для них мероприятие номер один — работающий контур непрерывности: BIA, план восстановления, учения. Поэтому зрелая СУР и BCM — не два проекта, а один: реестр говорит, что защищать, непрерывность — как.
Частые вопросы
Нужен ли отдельный риск-менеджер? Среднему бизнесу — координатор на часть ставки (методология, календарь, реестр) при владельцах-руководителях. Полноценная функция нужна в регулируемых отраслях и там, где этого требуют инвесторы.
По какому стандарту строить? Идеи брать из ISO 31000, но стандарт — не цель: проверку «изменились ли решения» не заменяет ни один сертификат.
Как продать СУР собственнику? Не риск-терминами, а деньгами: «вот пять сценариев, каждый стоит нам X, вот что мы делаем, чтобы платить меньше». Это разговор об инвестициях, а не о комплаенсе.