"Р 50.1.091-2014. Рекомендации по стандартизации. Менеджмент риска. Основные подходы к менеджменту риска организаций малого и среднего бизнеса"
(утв. и введены в действие Приказом Росстандарта от 08.10.2014 N 1276-ст)

1 РАЗРАБОТАНЫ Некоммерческим партнерством "Русское общество управления рисками" (РусРиск)

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 10 "Менеджмент риска"

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 8 октября 2014 г. N 1276-ст

4 ВВЕДЕНЫ ВПЕРВЫЕ

Правила применения настоящих рекомендаций установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящим рекомендациям публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящих рекомендаций соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

В процессе своей деятельности организации малого и среднего бизнеса сталкиваются с большим количеством событий, которые могут как положительно, так и отрицательно повлиять на достижение поставленных целей, нанести ущерб, привести к банкротству организации, принести новые возможности и новые опасности.

Менеджмент риска является неотъемлемой частью управления для организаций различных форм собственности и видов выполняемой деятельности. Идентификация оценки и обработка риска позволяют организации лучше прогнозировать свою деятельность, предотвращать и минимизировать потери.

Часто организации малого и среднего бизнеса не могут применять многие стандартные методы менеджмента риска крупных организаций. Такая специфика потребовала создания документа, который включает рекомендации по менеджменту риска в организациях малого и среднего бизнеса.

Процесс менеджмента риска, представленный в настоящих рекомендациях, носит общий характер и применим для различных отраслей и видов деятельности. Для конкретных отраслей могут существовать отдельные документы, которые устанавливают методологии оценки и анализа риска в конкретных условиях применения. Если требования этих документов не снижают требования настоящих рекомендаций, то их применение является предпочтительным.

1. Область применения

Общие принципы менеджмента риска и методы оценки риска установлены в ГОСТ Р ИСО 31000 и ГОСТ Р ИСО/МЭК 31010. В настоящих рекомендациях установлены особенности применения менеджмента риска в организациях малого и среднего бизнеса.

Настоящие рекомендации могут быть применены на всех этапах жизненного цикла организации, а также к различным видам деятельности и любому виду риска, вне зависимости от его природы, возможных причин и последствий.

Рекомендации предназначены для малых и средних организаций, предпринимателей, менеджеров и консультантов в сфере малого и среднего бизнеса.

Рекомендации не предназначены для сертификации системы менеджмента риска организации.

2. Нормативные ссылки

В настоящих рекомендациях использованы нормативные ссылки на следующие стандарты:

ГОСТ Р ИСО 31000-2010 Менеджмент риска. Принципы и руководство

ГОСТ Р ИСО/МЭК 31010-2011 Менеджмент риска. Методы оценки риска

ГОСТ Р 51897-2011 Менеджмент риска. Термины и определения

Р 50.1.084-2012 Менеджмент риска. Реестр риска. Руководство по созданию реестра риска организации

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных документов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по соответствующим ежемесячно издаваемым информационным указателям, опубликованным в текущем году. Если ссылочный документ заменен (изменен), то при пользовании настоящими рекомендациями следует руководствоваться заменяющим (измененным) документом. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3. Термины и определения

В настоящих рекомендациях применены термины по ГОСТ Р 51897, а также следующие термины с соответствующими определениями:

3.1 аппетит риска, предпочтительный риск: Общий уровень риска, который организация готова принять в любой момент времени. Аппетит риска организации малого и среднего бизнеса определяет то, как организация относится к управлению отдельными рисками и к менеджменту риска в целом.

3.2 владелец риска: Лицо или организация, имеющие ответственность и полномочия по менеджменту риска.

3.3 идентификация (выявление) риска: Процесс определения, составления перечня и описания элементов риска.

Примечания

1 Элементы риска могут включать в себя источники риска, события, их причины и возможные последствия.

2 Идентификация риска может также включать в себя теоретический анализ, анализ хронологических данных, экспертных оценок и потребностей причастных сторон.

3.4 классификатор рисков: Перечень возможных групп рисков и примеров рисков, используемый в процессе выявления рисков. Классификатор рисков позволяет сотрудникам более эффективно выявлять возможные риски.

3.5 матрица риска: Инструмент классификации и представления риска путем ранжирования последствий и вероятности (правдоподобности).

3.6 менеджмент риска: Скоординированные действия по руководству и управлению организацией в области риска.

3.7 метод Монте-Карло: Метод оценки рисков, основанный на получении большого числа реализаций стохастического (случайного) процесса, который формируется таким образом, чтобы его вероятностные характеристики совпадали с аналогичными величинами решаемой задачи.

3.8 мониторинг риска: Систематическое обновление информации об уровне риска и внешних или внутренних факторах, влияющих на уровень риска, а также о статусе мероприятий по управлению риском.

3.9 обработка риска: Процесс модификации риска.

Примечания

1 Обработка риска может включать в себя:

- исключение риска путем принятия решения не начинать или не продолжать деятельность, в процессе или в результате которой может возникнуть опасное событие;

- принятие или повышение риска для обеспечения более широких возможностей;

- устранение источников риска;

- изменение правдоподобности/вероятности опасного события;

- изменение последствий опасного события;

- разделение риска с другой стороной или сторонами (путем включения в контракты или финансирования обработки риска);

- обоснованное решение о сохранении риска.

2 Меры по обработке риска могут включать в себя устранение, предотвращение или снижение риска.

3 При обработке риска могут возникнуть новые риски и могут измениться существующие риски.

3.10 оценка риска: Процесс, охватывающий идентификацию риска, анализ риска и сравнительную оценку риска.

3.11 политика в области менеджмента риска: Заявление высшего руководства об общих намерениях, руководящих принципах и направлениях деятельности организации в области менеджмента риска.

3.12 реестр риска: Форма записи информации об идентифицированном риске.

3.13 риск: Следствие влияния неопределенности на достижение поставленных целей.

Примечания

1 Под следствием влияния неопределенности необходимо понимать отклонение от ожидаемого результата или события (позитивное и/или негативное).

2 Цели могут быть различными по содержанию (в области экономики, здоровья, экологии и т.п.) и назначению (стратегические, общеорганизационные, относящиеся к разработке проекта, конкретной продукции и процессу).

3 Риск часто характеризуют путем описания возможного события и его последствий или их сочетания.

4 Риск часто представляют в виде последствий возможного события (включая изменение обстоятельств) и соответствующей вероятности.

5 Неопределенность - это состояние полного или частичного отсутствия информации, необходимой для понимания события, его последствий и их вероятности.

3.14 система менеджмента риска: Совокупность элементов системы менеджмента организации, относящихся к менеджменту риска.

Примечание - Элементы системы менеджмента риска могут быть связаны с выполнением идентификации, анализа, оценки, обработки и мониторинга риска, а также со стратегическим планированием, принятием решений и процессами менеджмента риска.

3.15 уровень риска: Мера риска или комбинации нескольких видов риска, характеризуемая последствиями и их правдоподобностью/вероятностью.

4. Преимущества эффективного менеджмента риска

Эффективный менеджмент риска несет в себе существенные выгоды для организаций малого и среднего бизнеса:

а) Менеджмент риска повышает качество принимаемых решений

Менеджмент риска помогает собственникам и руководителям организаций малого и среднего бизнеса принимать оптимальные решения и определять альтернативные действия с учетом не только финансовой выгоды, но и соответствующих рисков.

б) Менеджмент риска способствует повышению прозрачности и стоимости бизнеса

Эффективная система менеджмента риска позволяет своевременно выявлять риск и реагировать на него, что не только минимизирует финансовые потери и потери репутации, но и повышает рыночную стоимость организации и обеспечивает прозрачность и привлекательность бизнеса для финансовых институтов, страховых компаний, корпоративных партнеров и инвесторов.

в) Менеджмент риска повышает устойчивость малого и среднего бизнеса к внешним угрозам и шокам

Менеджмент риска позволяет своевременно анализировать влияние изменений внешних факторов на деятельность организации. Организации малого и среднего бизнеса, которые эффективно управляют рисками, становятся более устойчивыми к внешним рыночным колебаниям и шокам, так как заблаговременно готовы к ним.

г) Менеджмент риска способствует укреплению корпоративной культуры в организациях малого и среднего бизнеса

Эффективность менеджмента риска невозможна без информационного взаимодействия и слаженной работы всех сотрудников организации. Внедрение системы менеджмента риска способствует укреплению корпоративных связей и развитию взаимодействия внутри организации.

5. Источники опасных событий в организациях малого и среднего бизнеса

Деятельность организаций малого и среднего бизнеса зачастую связана с высокой неопределенностью. Для эффективного менеджмента риска организаций малого и среднего бизнеса необходимо учитывать следующие источники риска:

а) управленческая команда - риск, связанный с недостаточной мотивацией, компетентностью членов команды или неполной ее комплектацией;

б) спрос, рынок и конкуренты - риск, связанный с действиями текущих или потенциальных конкурентов, а также риск, связанный с высокой неопределенностью спроса на продукт или услугу;

в) технологический риск - риск, вызванный стабильностью и опасностью технологии, а также с ее техническими характеристиками;

г) риск, связанный с производством/реализацией - риск, связанный с производственными инцидентами, техникой безопасности, экологической безопасностью;

д) риск, связанный со строительством и поставкой оборудования - риск, связанный с проведением строительно-монтажных работ, закупкой и установкой оборудования в срок, обеспечение бюджета и соответствие работ требованиям заказчика;

е) финансовый риск - валютный, процентный, налоговый, ценовой риск, а также риск, связанный с ликвидностью и привлечением финансирования;

ж) юридический риск/законодательство - риск, связанный с текущими или прогнозируемыми законодательными ограничениями, исками и претензиями со стороны третьих лиц, а также связанные с актуальностью патентов, лицензий и допусков;

и) поставщики/стратегические партнеры - риск, связанный с действиями поставщиков или стратегических партнеров, например несвоевременное или некачественное выполнение своих обязательств.

6. Элементы системы менеджмента риска

6.1 Определение аппетита риска организации

Система менеджмента риска в организации малого и среднего бизнеса должна быть разработана в соответствии с аппетитом риска собственников. Аппетит риска определяет, насколько формализована или адаптивна система менеджмента риска в организации.

Чем меньше аппетит риска у собственника или акционеров, тем больше внимания следует уделять своевременной и качественной обработке риска.

Основные решения, связанные с определением аппетита риска, должны приниматься собственником организации. Принятые решения следует своевременно доводить до руководства организации.

Определение аппетита риска не означает, что организация должна отказываться от принятия решений, связанных с риском. Это означает, что организация примет риск в том случае, если он будет соответствующим образом компенсирован - т.е. принесет достаточную прибыль для покрытия потерь от реализации опасного события.

Приложение А содержит короткий опросник, предназначенный для определения аппетита риска для организаций малого и среднего бизнеса.

6.2 Политика в области менеджмента риска

Важным элементом системы менеджмента риска является документированная политика в области менеджмента риска, которая включает описание подхода организации к обработке риска, ее готовность принять риск, т.е. аппетит риска, а также ресурсы и действия, направленные на менеджмент риска. В политике также необходимо отразить цели, которые определяют и направляют деятельность организации по менеджменту риска, и оценку эффективности достижения поставленных целей.

В приложении Б приведен пример политики менеджмента риска для организаций малого и среднего бизнеса.

7. Процесс менеджмента риска

Процесс менеджмента риска представляет собой набор действий, направленных на своевременное выявление, анализ и предотвращение или минимизацию последствий реализации опасных событий для организаций малого и среднего бизнеса, и включает:

- идентификацию риска;

- анализ и оценку риска;

- реагирование на риск;

- отчетность и мониторинг;

- развитие культуры менеджмента риска.

7.1 Идентификация риска

Выявление опасных событий направлено на определение внутренних или внешних событий, которые в случае реализации могут негативно повлиять на достижение целей организации малого и среднего бизнеса. В процессе идентификации риска необходимо определить наиболее существенные события, которые могут нанести финансовые потери или ущерб репутации организации.

Организации малого и среднего бизнеса могут использовать следующие способы для выявления рисков:

7.1.1 Идентификация риска путем анализа денежных потоков

Для идентификации риска организации малого и среднего бизнеса необходимо сформировать карту денежных потоков организации. При этом денежные потоки организации могут быть разделены на доходную (продажи товаров, выручка от оказанных услуг и т.д.) и расходную части (арендные платежи, закупка сырья, оплата труда и т.д.). После этого необходимо зафиксировать основные внутренние или внешние риски, которые могут существенно негативно отразиться на доходной или расходной части. Пример карты денежных потоков для организаций малого и среднего бизнеса приведен на рисунке 2.

7.1.2 Идентификация риска с помощью классификаторов

Для идентификации риска возможно также использовать классификаторы рисков, которые помогают последовательно и структурированно выявлять риски организаций малого и среднего бизнеса. При этом важно помнить, что классификаторы рисков не являются исчерпывающим списком возможных рисков и должны использоваться как вспомогательный инструмент для идентификации риска. Пример классификатора рисков для организаций малого и среднего бизнеса приведен в приложении Г.

7.1.3 Проведение интервью или консультации с персоналом

Регулярное обсуждение рисков с персоналом организации является наиболее эффективным способом идентификации риска. Консультации с персоналом можно проводить индивидуально или в формате семинаров и создания рабочих групп. Сотрудники, непосредственно осуществляющие бизнес-деятельность, зачастую владеют более подробной информацией о возможных рисках и угрозах, чем собственники и акционеры.

7.1.4 Консультации со специалистами и экспертами

Консультации со специалистами и экспертами в соответствующей технической области способствуют идентификации риска организаций малого и среднего бизнеса. Участие в семинарах, конференциях, изучение отраслевых журналов и периодических изданий также позволяет руководителям малого и среднего бизнеса выявлять наиболее существенные риски, которые могут негативно повлиять на цели организации.

Для наиболее эффективной идентификации риска рекомендуется комбинировать приведенные выше подходы. По результатам процесса идентификации риска необходимо документировать идентификацию риска в реестре рисков. Идентификационные риски рекомендуется вносить в реестр рисков в соответствии с рекомендациями по стандартизации Р 50.1.084. Реестр рисков содержит описание рисков, их оценку, мероприятия по реагированию на риски и ответственных за их выполнение. Пример типового реестра рисков приведен в приложении В.

7.2 Анализ и оценка рисков

После того, как основные риски идентифицированы, их необходимо проанализировать и оценить для определения наиболее существенных рисков, тех рисков, которые впоследствии руководство организации будет обрабатывать. Для организаций малого и среднего бизнеса, обладающих ограниченными ресурсами важно определить перечень рисков, которые потребуют ресурсы для обработки в первую очередь.

Для оценки рисков в организациях малого и среднего бизнеса может использоваться один из следующих подходов.

7.2.1 Экспертная оценка рисков

Для оценки и ранжирования рисков каждый риск характеризуют по двум параметрам: возможный ущерб, который реализация опасного события может нанести организации, и вероятность наступления такого ущерба.

Оценка риска может проводиться как индивидуально сотрудниками или руководителями организации, так и рабочими группами. Однако наибольшего эффекта удается достичь организациям малого и среднего бизнеса, которые выявляют и оценивают риски организации в рамках групповых дискуссий.

Ущерб от реализации опасного события может быть финансовым (увеличение существующих расходов, новые, незапланированные расходы или снижение доходов), экологическим (ущерб экологии), связанным с безопасностью (травмы персонала) или репутационным (потеря доверия клиентов или поставщиков). Ниже приведен пример оценочной шкалы, которая может применяться для ранжирования рисков организаций малого и среднего бизнеса.

1 Низкий ущерб. Ущерб для организации незначителен, не требует существенных ресурсов или привлечения стратегических резервов для его покрытия. Ущерб для репутации организации отсутствует или не существенный.

2 Средний ущерб. Значительный ущерб, который, однако, может быть покрыт из собственных резервов. При этом не возникает серьезных угроз существованию и устойчивости организации. Ущерб для репутации организации носит кратковременный характер.

3 Высокий ущерб. Значительный ущерб, для покрытия которого требуются заемные средства или другие внешние источники финансирования; возникает угроза устойчивости и существованию организации. Существенный, долгосрочный ущерб репутации организации. Существенный экологический ущерб или угроза жизни сотрудников.

После того, как каждый выявленный риск оценен с точки зрения ущерба, необходимо экспертно оценить вероятность наступления такого ущерба. Ниже приведен пример шкалы вероятности, которая может применяться для ранжирования рисков в организациях малого и среднего бизнеса.

1 Низкая вероятность. Низкая вероятность реализации опасного события в течение года.

2 Средняя вероятность. Опасное событие скорее всего произойдет с вероятностью в течение года.

3 Высокая вероятность. Опасное событие уже неоднократно реализовалось в отрасли, высокая степень неопределенности относительно вероятности реализации данного события, внутренние или внешние предпосылки, которые указывают на то, что событие скорее всего реализуется в течение ближайшего года.

Когда каждый выявленный риск оценен с точки зрения возможного ущерба и вероятности наступления такого ущерба, необходимо провести ранжирование рисков и определить наиболее существенные риски. Для ранжирования рисков в организациях малого и среднего бизнеса используется матрица рисков. Пример матрицы риска для организаций малого и среднего бизнеса представлен на рисунке 3.

С помощью матрицы риска определяют уровень риска и дальнейшие действия, которые необходимо предпринять в отношении каждого риска (см. таблицу 1).

7.2.2 Использование диаграммы галстук-бабочка

Для рисков, попавших по результатам оценки экспертов в опасную зону, необходимо провести более подробный анализ. Для этого в организациях малого и среднего бизнеса используют диаграммы галстук-бабочка. На диаграмме графически отображают взаимосвязь между рисками, причинами опасных событий и последствиями в случае их реализации. Пример диаграммы галстук-бабочка приведен на рисунке 4.

Детализация наиболее существенных рисков с помощью диаграммы галстук-бабочка позволяет существенно повысить качество определения вероятности наступления опасного события и возможного ущерба от его реализации.

7.2.3 Использование инструментов финансового моделирования

Инструменты финансового моделирования позволяют более эффективно оценить влияние одного или нескольких рисков на финансовую устойчивость организации малого и среднего бизнеса. Для оценки влияния отдельных рисков может использоваться анализ чувствительности. Для оценки влияния набора взаимосвязанных рисков возможно использовать сценарный анализ или метод Монте-Карло.

Дополнительная информация о методах оценки рисков приведена в ГОСТ Р ИСО/МЭК 31010.

При любом способе анализа и оценки для рисков, попавших в опасную зону, должны быть определены и закреплены владельцы рисков, которые несут ответственность за разработку и внедрение мероприятий по реагированию на риск.

7.3 Реагирование на риск

Для наиболее существенных рисков необходимо разработать мероприятия, которые направлены на предотвращение причин реализации опасного события либо на устранение последствий в случае его реализации.

Существует четыре способа обработки риска, которые могут быть применены для организаций малого и среднего бизнеса:

а) Отказ от риска

Полный или частичный отказ от ведения деятельности, сопряженной с риском. Такой подход полностью устраняет риск, но также означает полный отказ от возможной прибыли, связанной с данной деятельностью. Выбор данного способа является наиболее эффективным с точки зрения обработки риска, однако может быть не всегда целесообразен с точки зрения максимизации прибыли организации.

б) Снижение риска

Снижение риска подразумевает разработку и внедрение мероприятий, направленных либо на предотвращение опасного события (т.е. полное или частичное устранение причин реализации риска), либо на уменьшение его последствий (т.е. снижение финансовых или последствий для репутации от реализации риска).

Организации малого и среднего бизнеса могут использовать диаграмму галстук-бабочка для более детальной и качественной проработки мероприятий по снижению рисков.

в) Передача трансфер риска

Передача или частичная передача риска другой стороне (например, путем заключения договоров страхования, хеджирования, аутсорсинга и др.), позволяющая уменьшить негативное влияние рисков на достижение целей организаций малого и среднего бизнеса. При этом необходимо учитывать, что некоторые риски, например риск для репутации, не всегда возможно перенести.

г) Принятие риска

Организация допускает возможное наступление неблагоприятных последствий риска, при этом определены конкретные источники покрытия ущерба от таких последствий. Резервирование денежных средств для покрытия возможного ущерба от реализации риска является примером принятия риска.

Выбор метода обработки риска основывается на принципе экономической целесообразности и эффективности. Наиболее приемлемым способом обработки риска является устранение риска или его снижение. Если устранение риска или его снижение невозможно или нецелесообразно, сотрудники организации должны разработать альтернативные мероприятия по переносу либо принятию риска. Наименее эффективным способом обработки риска является принятие риска.

Возможны случаи, когда выбранный способ обработки риска вносит дополнительные риски (например, финансовая устойчивость организации, которая занимается аутсорсингом неключевых функций). Такие риски должны быть идентифицированы и учтены при внедрении выбранного способа обработки риска.

Для каждого мероприятия по обработке риска, разработанного на данном этапе, назначают ответственного за выполнение и сроки реализации.

7.4 Отчетность и мониторинг

7.4.1 Отчетность

Отчетность о рисках организации играет важную роль в обмене информацией с собственниками, акционерами и другими заинтересованными сторонами.

Организации малого и среднего бизнеса должны разрабатывать отчетность о рисках с учетом следующих принципов:

- отчетность должна включать описание целей и подходов системы менеджмента риска, в том числе описание и регулярность процедур по идентификации, оценке и обработке риска;

- отчетность должна включать информацию о наиболее существенных рисках, например в формате матрицы рисков организации;

- отчетность должна включать четкое определение ответственности за менеджмент для наиболее существенных рисков,

- отчетность должна включать описание мероприятий по обработке наиболее существенных рисков и оценку их эффективности;

- отчетность должна включать описание мер, направленных на развитие культуры менеджмента риска в организации.

Для отчетности о рисках в организациях малого и среднего бизнеса могут быть использованы матрицы риска (с небольшим пояснением, подготовленным в соответствии с принципами, представленными выше) и реестр риска. Пример реестра риска для организаций малого и среднего бизнеса представлен в приложении В.

При необходимости отчетность о рисках может быть дополнена другой информацией в соответствии с запросом пользователей отчетности.

7.4.2 Мониторинг уровня риска

Риски организации малого и среднего бизнеса не статичны, существенность рисков регулярно меняется, а также появляются новые, ранее не выявленные риски. Новые риски могут появляться вследствие изменений во внешней среде, изменений предпочтений клиентов, агрессивных действий конкурентов или изменений в законодательстве. Ранее выявленные риски могут становиться менее существенными, после обработки риска или по другим причинам, не связанным с деятельностью организации.

Организациям малого и среднего бизнеса необходимо регулярно (не реже двух раз в год) пересматривать перечень рисков, выявлять новые риски, проводить оценку рисков и анализировать эффективность мероприятий по обработке рисков. Подобные действия необходимо также выполнять, если произошло событие, влияющее на риск организации (например, изменение законодательства, появление нового конкурента, выход на новый рынок).

Эти действия позволят иметь актуальную информацию о риске организации и отслеживать изменения, своевременно принимая необходимые меры по реагированию.

7.5 Развитие культуры управления рисками

Развитие культуры управления рисками подразумевает достижение организацией малого и среднего бизнеса определенного уровня зрелости в области менеджмента риска. Развитие культуры управления рисками включает в себя следующие действия:

а) регулярное обучение по вопросам менеджмента риска, включая обучение вновь принятых сотрудников;

б) включение процедур менеджмента риска в процессы планирования и бюджетирования в организации. Наибольший эффект в организации малого и среднего бизнеса может быть получен, если процесс идентификации и оценки риска связан с процессами ежегодного бюджетирования и постановки целей;

в) регулярное обсуждение новых рисков и статуса управления наиболее существенными рисками на рабочих заседаниях организации;

г) поощрение сотрудников, которые своевременно идентифицируют и обсуждают риски;

д) распространение информации о существенных рисках и способах их обработки между сотрудниками.

Для развития культуры управления рисками необходима активная поддержка высшего руководства организации.

Культуру управления рисками необходимо оценить на регулярной основе. Для мониторинга развития культуры управления рисками в организациях малого и среднего бизнеса может быть использован опросник, приведенный в приложении Д.

7.6 Улучшение системы менеджмента риска

С целью улучшения системы менеджмента риска необходимо ежегодно разрабатывать план мероприятий. В план могут быть включены мероприятия по дальнейшему улучшению системы менеджмента риска по следующим направлениям:

а) внедрение элементов менеджмента риска в существующие бизнес-процессы, например процессы закупок, бюджетирования, маркетинга и другие;

б) повышение эффективности и прозрачности процедур идентификации, анализа рисков и разработки мероприятий по управлению наиболее существенными рисками;

в) развитие культуры менеджмента риска в организации.

В плане улучшения системы менеджмента риска должны быть указаны ответственные, сроки реализации мероприятий и необходимые ресурсы.

Данное приложение содержит пример анкеты, предназначенной для определения аппетита риска. Ответы на вопросы позволяют узнать, насколько сотрудник и его организация предрасположены к риску и готовы рисковать для достижения своих целей и получения большей прибыли.

Данная анкета предельно упрощена и предназначена для использования в организациях малого и среднего бизнеса, впервые внедряющих систему менеджмента риска. Цель данной анкеты - определить ожидания руководства и менеджмента организации, а также дать направление действий в области менеджмента риска. Анкета не должна использоваться для других целей и требует дополнительного анализа для подтверждения полученных выводов.

Результат:

а) Ответов "да" более половины.

Аппетит риска организации является высоким. Организация готова принять на себя риск, если он может быть обоснован с точки зрения большей выгоды. Акционеры, инвесторы и клиенты должны понимать это. Руководству необходимо интегрировать элементы менеджмента риска в процессы планирования, бюджетирования и принятия бизнес-решений, что позволит руководству определить и минимизировать существенные бизнес-риски без отрыва от производства.

б) Ответов "нет" более половины.

Аппетит риска организации является низким. В организации должна быть разработана и внедрена система менеджмента риска с целью своевременного выявления и обработки существенных рисков.

Предложенная форма политики в области менеджмента риска способствует осведомленности о риске, обеспечивает надлежащий менеджмент риска, и делает риски, с которыми сталкивается организация, понятными и прозрачными. Пробелы в шаблоне необходимо заменить на наименование организации и ФИО сотрудника, ответственного за координацию работ в области менеджмента риска.

Основная цель менеджмента риска:

Снижение негативного воздействия внешних и внутренних факторов на способность достижения целей деятельности _______________.

Основные принципы менеджмента риска:

а) процесс менеджмента риска составляет неотъемлемую часть системы менеджмента риска _________________;

б) менеджмента риска - обязательная функция каждого работника _________________;

в) все риски, возникающие по внешним или внутренним причинам, которые могут значительно повлиять на достижение целей ______, подлежат идентификации, оценке, разработке мероприятий по снижению риска и документированию;

г) цели процесса менеджмента риска направлены, прежде всего, на выявление угроз и предотвращение возможных потерь, и во-вторых - на минимизацию последствий опасных событий;

д) процесс менеджмента риска в ___________ подразумевает применение единого и стандартизованного подхода к идентификации, оценке и обработке риска;

е) руководители всех уровней несут ответственность за своевременное выявление рисков, их оценку, разработку мероприятий по обработке рисков и информирование всех заинтересованных сторон в ______ о рисках, влияющих на достижение поставленных целей;

ж) система мотивации работников _________________ учитывает эффективность менеджмента риска;

и) в процессе менеджмента риска _________________ придерживается разумного баланса издержек на менеджмент риска и величины возможного ущерба от наступления опасного события _______ может не осуществлять никаких дополнительных мероприятий для снижения риска, если уровень риска находится на приемлемом уровне, а затраты на менеджмент риска превышают возможный эффект;

к) _________________ обеспечивает накопление знаний о рисках, включая анализ реализовавшихся опасных событий и распространение этих знаний среди работников организации;

л) координация работы системы менеджмента риска _____________ осуществляется ______________;

м) ответственность за формирование, функционирование и эффективность процесса менеджмента риска возложена на генерального директора ________.

Создание культуры управления рисками подразумевает развитие такой культуры, в которой сотрудники способны своевременно выявлять риски, негативно влияющие на достижение их целей, а также анализировать и минимизировать эти риски. Данный опросник позволяет оценить, на каком этапе развития культуры управления рисками находится организация.

1 В нашей организации существует эффективная система, которая позволяет сотрудникам сообщать информацию о рисках руководству:

а) согласен;

б) частично согласен;

в) не согласен.

2 Руководство нашей организации своевременно получает информацию о рисках и угрозах, необходимую для принятия решений:

а) согласен;

б) частично согласен;

в) не согласен.

3 Существующая структура организации и текущие бизнес-процессы адекватно отражают риски, с которыми регулярно сталкивается наша организация:

а) согласен;

б) частично согласен;

в) не согласен.

4 То, как эффективно наши сотрудники выявляют и управляют рисками, оценивается в рамках ежегодного процесса оценки эффективности и учитывается при выплате премий:

а) согласен;

б) частично согласен;

в) не согласен.

5 Мы достаточно молодая организация или организация, применяющая сложную технологию производства, которая переживает существенные изменения или реорганизацию:

а) согласен;

б) частично согласен;

в) не согласен.

6 Руководство поощряет сотрудников выявлять и информировать о потенциальных рисках:

а) согласен;

б) частично согласен;

в) не согласен.

7 В нашей организации большинство сотрудников имеют единое понимание, что для них является приемлемым риском, а что нет:

а) согласен;

б) частично согласен;

в) не согласен.

8 Руководство поощряет сотрудников, которые соответствуют этическим принципам поведения, а не только за достижение производственных показателей:

а) согласен;

б) частично согласен;

в) не согласен.