53
организацию закупок;
5) риски изменения восприятия организации обществом возникают в
подразделениях, ответственных за организацию связей с общественностью;
6) риски потери имущества возникают во всех подразделениях, а
особенно в занимающихся хранением товарно-материальных ценностей;
7) риски некачественного выполнения работ, оказания услуг, реализации
некачественной продукции или товаров возникают в подразделениях, которые
занимаются выполнением работ, оказанием услуг или производством
продукции (реализацией товаров);
8) риски маркетинговой политики (неверного ценообразования,
ошибочного выбора рынков сбыта) представляют собой событие или действие,
связанное с производственно-сбытовой деятельностью предприятия,
наступление или реализация которого отражаются на функционировании
предприятия и приводят к отклонению его финансовых результатов от
плановых или прогнозных;
9) технико-технологические риски (риски выхода из строя зданий,
сооружений и оборудования) возникают в подразделениях, отвечающих за
поддержание в рабочем и безопасном состоянии зданий, сооружений и
оборудования;
10) риски составления недостоверной отчетности возникают в
подразделениях, ответственных за формирование отчетности;
11) риски нарушения требований законов возникают в подразделениях,
которые отвечают за правовое обеспечение работы организации, а также в
большинстве структур, если особенности их работы регламентируются некими
нормативными документами (например, ГОСТами, техническими
регламентами, инструкциями, законами).
Операционные риски отражают отраслевую специфику организации,
поэтому проявление индивидуальных особенностей экономического субъекта
возможно именно в отношении данного вида рисков.
Для более удобного восприятия предложенных классификаций рисков в
54
модели FERMA предложена наиболее удачная визуализация (рис. 2).
Рисунок 5 - Модернизированная классификация рисков по модели
FERMA
Следующий элемент оценки рисков - это процесс идентификации,
который представляет собой процесс определения событий, способных
потенциально оказать негативное воздействие на деятельность организации.
Для максимально широкого охвата данных событий необходимо
разработать методический подход. В данной статье идентификация рисков
проведена на основе ранее предложенной классификации. Для этого могут быть
использованы следующие методы, рекомендованные в модели FERMA:
55
1) составление вопросников (анкет). Экспертам из состава должностных
лиц предлагается выбрать из приведенного перечня рисков те, с которыми они
сталкиваются, или предложить свой вариант и оценить величину воздействия
этих угроз;
2) исследование бизнес-процессов с выявлением внутренних и внешних
факторов и их влияния на предприятие. Этот метод подходит для составления
перечня рисков, который затем предлагается для рассмотрения экспертам;
3) анализ чрезвычайных событий также может быть использован для
составления перечня рисков;
4) метод спонтанного определения (выявления) возможных рисков (метод
"мозгового штурма") тоже может быть использован для составления названного
перечня.
Таким образом, идентификация рисков может проводиться в два этапа:
подготовка перечня возможных в компании рисков и получение подтверждений
экспертов в отношении этого списка или предложение ими своего варианта.
Необходимо отметить, что данный подход позволяет повысить уверенность в
том, что выявлено подавляющее количество основных рисков.
Следующий элемент изучаемого этапа - описание рисков. Основная цель
- представление возможных угроз в определенном формате для возможности их
дальнейшего сравнительного анализа, чтобы выделить наиболее значимые.
За основу описания рисков может быть взят формат модели FERMA, для
более удобного восприятия рисков адаптирован с учетом изменений, внесенных
в международные модели управления риском (табл. 12).
56
Таблица 12
Варианты описания риска в карточке риска
Критерий риска
Словесное описание
Отношение к
классификационным
признакам
Внешний или внутренний.
Стратегический или операционный.
Риск искажения определенной статьи отчетности
Цели деятельности, с
которыми связан риск
Стратегические.
Операционные, в том числе:
- достоверность отчетности;
- полнота соблюдения законодательства
Подразделение (должностное
лицо), которое сталкивается с
риском
Согласно организационно
-
штатной структуре
Функции подразделения
(должностного лица),
подверженные риску
Согласно положениям о подразделениях
(должностным инструкциям или другим
документам)
Заинтересованные лица
Конкретные должностные лица или их группа
согласно организационно-штатной структуре и их
ожидания
Факторы (причины) риска
Описание предпосылок для возникновения
рисков
Оценка риска (вероятность
наступления и степень
ущерба)
Произведение вероятности (допустимые
значения: 1 - низкий уровень, 2 - средний, 3 -
высокий) и степени ущерба (допустимые
значения - аналогичные)
Приемлемость риска
Приемлем (если не выше уровня толерантности)
или не приемлем (если выше этого уровня)
Существующие механизмы
управления риском
Словесное описание
Рекомендации по работе с
риском (уклонение,
сокращение,
перераспределение,
принятие)
Выбор одного из вариантов
Порядок реализации
рекомендаций по управлению
Описание предлагаемых этапов
действий
Дата составления (изменения)
карточки
Дата составления или внесения изменений в
формате "дата, месяц, год"
Далее наступает этап измерения рисков. В мировой практике принята
57
комбинация вероятности наступления негативного события и величины
возможного ущерба, обычно в диапазоне от нуля до единицы.
Измерение риска может быть:
- количественным (при определении вероятности и ущерба используются
числовые значения, полученные в результате применения математических
методов и моделей);
- качественным (для оценки используются нечисловые значения,
полученные, как правило, от экспертов в предметной области);
- смешанным (для оценки используются как числовые, так и нечисловые
значения).
Количественные методы анализа чаще всего являются более затратными
(обычно на порядок), так как требуют сбора большого объема статистической
информации и использования специализированного программного
обеспечения. За время, потраченное на получение количественных оценок
риска, последний вполне может реализоваться, то есть негативное событие
может наступить до момента получения его оценки.
Согласно данным и итогам исследования, проведенного группой
компаний Marsh & McLennan (одним из признанных мировых маяков в области
консалтинга по вопросам управления рисками), в настоящее время в практике
управления рисками на предприятиях и в организациях, зарегистрированных в
РФ, безусловно превалирует качественная оценка рисков. По мнению
исследователей, это связано с тем, что компании испытывают дефицит методов
количественной оценки рисков.
Также следует обратить внимание на то, что не всегда имеется
достаточный объем статистических данных, на основании которых можно
получить количественные оценки с низким уровнем дисперсии (то есть
разброса).
В практике риск-менеджмента примерно для 50% рисков просто
невозможно получить количественные оценки, то есть необходимость данной
оценки для принятия управленческих решений не является критически важной.
58
Что касается качественных методов оценки риска, необходимо отметить,
что важным условием получения приемлемых результатов является высокая
квалификация эксперта в предметной области. Этого можно достичь путем
привлечения в качестве знатоков ключевых руководителей предприятия.
После того как все риски измерены, необходимо выделить наиболее
значимые из них, которые нужно снижать в первую очередь. Для этого сначала
нужно сравнить оценки между собой, а затем определить уровень
толерантности к риску.
Следующий этап, требующий особого внимания, - отчет о рисках.
Принято выделять внутренние и внешние отчеты. Внутренние отчеты о рисках
предназначены для использования на разных уровнях управления
организацией:
- учредители и совет директоров (наблюдательный совет). На этом уровне
в отчете должны быть описаны наиболее значимые риски экономического
субъекта, а также представлены мероприятия по их снижению. Отчет должны
готовить топ-менеджеры;
- топ-менеджмент, профсоюзы работников организации. На этом уровне в
отчете должны быть описаны все риски организации и представлены
мероприятия по их снижению в таком объеме, чтобы представители данных
органов управления могли публично изложить информацию о системе риск-
менеджмента. Отчет должны готовить подразделения (должностные лица),
ответственные за риск-менеджмент;
- структурные подразделения. На этом уровне в отчете должны быть
отражены риски, за которые отвечает подразделение, способы управления ими
и механизм мониторинга. Кроме того, целесообразно отразить возможные
действия подразделения, которые оказывают влияние на риски других
подразделений. Отчет должно готовить структурное подразделение по
согласованию с отделом (должностным лицом), ответственным за риск-
менеджмент;
- сотрудники. На этом уровне отдельные отчеты не составляются. Важно
59
понимание каждым сотрудником своего вклада в процесс управления риском.
Такое осознание достигается путем разработки подразделением (должностным
лицом), ответственным за риск-менеджмент, системы управления риском и
ознакомления с ее положениями всех сотрудников организации.
Внешний отчет целесообразно включить в пояснения к годовой
бухгалтерской финансовой отчетности для возможности ознакомления с
системой риск-менеджмента предприятия любых заинтересованных лиц. В
состав данного документа целесообразно включать информацию из отчета,
подготовленного для учредителя и совета директоров.
Следующий этап - мероприятия по управлению рисками. Приведем
цитату: "Внутренний аудит осуществляет проверку и оценку системы
управления рисками в рамках своей текущей деятельности или по
специальному запросу руководителей, ответственных за конкретные
направления работы".
Любой финансово-хозяйственной деятельности свойственна
неопределенность, которая сочетает в себе отрицательные последствия (риск) и
положительные (возможности). Поэтому процесс управления предприятием в
условиях риска - это поиск приемлемого компромисса между ожидаемыми
расходами на управление рисками и снижением величины возможного ущерба
от рисков или увеличением дополнительных выгод следующими способами:
1) уклонением от риска (избежанием его). На практике это выражается в
отказе от деятельности, влекущей возникновение данного риска;
2) сокращением риска. Суть этой технологии заключается в следующем:
- страхование риска (передача его страховым компаниям за
вознаграждение);
- диверсификация риска (снижение вероятности наступления негативного
события, например, путем увеличения количества поставщиков);
- локализация риска (снижение величины ожидаемого ущерба от
наступления негативного события, например, путем установления
максимального лимита сумм задолженности по работе с каждым
60
контрагентом);
- компенсация риска (например, путем увеличения дополнительных
возможностей организации при осуществлении рискового вида деятельности);
3) перераспределение риска, то есть передача его на аутсорсинг (другим
организациям);
4) принятие риска, то есть отсутствие всяких действий по его снижению.
Далее предлагаются несколько вариантов управления рисками (рис. 6).
┌───────────┐ ┌────────────────────────────┐┌───────────┐
│ │┌───────┐┌─┘\ │Страхование, диверсификация,││ Избежание │
│ ││Высокая││ \ │ перераспределение, ││ риска │
│ │└───────┘│ \ │ локализация риска ││ │
│ │ │ \ └────────────────────────────┘└───────────┘
│ │ │ \ ┌───────────┐┌────────────────────────────┐
│Вероятность│┌───────┐│ \ │Компенсация││Страхование, диверсификация,│
│ риска ││Средняя││ \│ риска ││ перераспределение, │
│ │└───────┘│ / │ ││ локализация риска │
│ │ │ / └───────────┘└────────────────────────────┘
│ │ │ / ┌──────────────────────┐┌─────────────────┐
│ │┌───────┐│ / │ ││ Принятие риска │
│ ││Низкая ││ / │ Принятие риска ││Компенсация риска│
│ │└───────┘└─┐/ │ ││Локализация риска│
└───────────┘ └──────────────────────┘└─────────────────┘
/\
/ \
/ \
/ \
/ \
/ \
/┐ ┌\
└──────────┘
┌───────────┐ ┌──────────┐ ┌──────────┐
│ Низкая │ │ Средняя │ │ Высокая │
└───────────┘ └──────────┘ └──────────┘
┌─────────────────────────────────────────┐
│ Величина ущерба │
└─────────────────────────────────────────┘
Рисунок 6 - Способы управления рисками
Процесс управления рисками должен включать в себя три стадии:
1) включение функций риск-менеджмента в организационную структуру
организации, то есть решение вопроса о том, кто и за что отвечает в процессе
управления рисками;
2) разработка стратегии управления рисками (подходы к идентификации,
61
оценке риска, способам реагирования на него и др.), то есть описание основных
способов реализации каждого из этапов риск-менеджмента (см. рис. 4);
3) описание функций управления рисками для конкретных должностных
лиц.
И на всех стадиях полезно помнить рекомендацию: "В конкретных
случаях выбор средств снижения риска зависит от возможностей его
предсказания".
Вопросы управления рисками должны найти свое отражение в стратегии
организации, программах обучения сотрудников, положениях о подразделениях
и должностных инструкциях, чтобы процесс управления рисками пронизывал
весь экономический субъект. В противном случае маловероятен значимый
эффект от внедрения системы риск-менеджмента.
Следующий этап - мониторинг рисков. Он является источником
информации для контроля за процессом риск-менеджмента. Именно на основе
данных, полученных от системы мониторинга, принимаются решения в системе
внутреннего контроля.
Как указывает А.П. Шмидт, "в рамках мониторинга проводится
выявление и оценивание факторов риска во взаимосвязи всех функций и
действий в процессе управления предприятием".
Таким образом, основным требованием к системе мониторинга рисков
является отражение таких параметров процесса управления рисками, как
эффективность и своевременность, то есть способность системы в нужный
момент предупреждать возможные потери меньшими текущими затратами.
Косвенно об эффективности и своевременности процесса риск-
менеджмента может свидетельствовать выполнение в полном объеме и в
установленный срок всеми участниками системы своих обязанностей.
Одним из ключевых моментов модели процесса риск-менеджмента
является система контроля, которая должна включать в себя внутренний и
внешний контроль.
Задачами внутреннего контроля являются:
62
1) описание и организация системы управления рисками по всем этапам,
отраженным на рис. 4, и доведение ее положений до всех сотрудников
организации;
2) постоянный анализ полученных результатов мониторинга системы
риск-менеджмента;
3) внесение корректировок в процесс управления рисками по результатам
мониторинга;
4) подготовка отчетов для различных пользователей;
5) периодическое (как правило, один раз в год) проведение:
- выявления новых целей, которые ставит перед собой предприятие
(целесообразно организовать процесс согласования с лицом, которое отвечает
за систему риск-менеджмента, любые изменения в должностных инструкциях,
организационной структуре и функциях подразделений);
- оценки новых угроз, с которыми сталкивается предприятие;
- разработки способов управления новыми рисками;
6) участие в разработке плана бюджета на следующие периоды в части
затрат на управление рисками;
7) участие в формировании страховых корпоративных программ;
8) анализ любых новых проектов на предмет наличия рисков, за
управление которыми пока не установлены ответственные лица.
Стоит отметить, что правила, процедуры, способы внутреннего контроля
должны соответствовать рискам и меняться в интересах повышения его
качества [13].
Целью внешнего контроля является получение уверенности в том, что
система риск-менеджмента (включая внутренний контроль) построена и
функционирует в соответствии с требованиями стандартов (правил, политики).
Управление рисками является самостоятельным блоком в общей системе
управления компанией. Риск-менеджмент не дублирует существующих систем,
а является их дополнением.
Управление системой риск-менеджмента (включая внутренний контроль)