Риск-ориентированное мышление стало необходимостью

На одном языке

О том, как риск-ориентированный подход в работе надзорных органов влияет на работу бизнеса, рассказала директор юридического департамента и департамента управления рисками L’Occitane Rus Светлана Мочалина.

В последние годы подход государственных органов к подобным проверкам изменился. Теперь они оценивают нарушения, обращая внимание на такие критерии, как степень риска для бизнеса; внедрение превентивных мер; порядок проведения оценки рисков; меры, направленные на снижение хозяйствующим субъектом рисков и осуществление им контроля.

– Поскольку мы работаем и на розничном рынке, и у нас, помимо оптового сегмента, франчайзинга, лицензированного SPA бизнеса и интернет-магазинов, в активе более ста собственных розничных магазинов, так называемых «открытых» точек прямых продаж, мы должны быть готовы, что в любую точку без предварительного уведомления (и с ним) могут прийти с проверкой разные государственные органы и их территориальные подразделения по всей стране: ФАС РФ, ИФНС РФ, МЧС РФ, Роспотребнадзор РФ, Росздравнадзор, ОАТИ, Департамент экономики и политики города Москвы. В связи с этим мы задумались, как обеспечить эффективную защиту бизнеса и устойчивую коммуникацию с госорганами, – комментирует Светлана Мочалина. – Одним из инструментов предупреждения и снижения рисков в целом является внедрение превентивной системы комплаенса в самом широком смысле этого слова. Здесь важно, с одной стороны, слышать законодателя, реализовывать и исполнять его волю; с другой – внедряя законодательные требования, опираться на конкретные задачи бизнеса, страхуя его в каждом шаге к достижению поставленной цели; прокладывать гибкий, но устойчивый мост между жесткими опорами закона и хрупкими реалиями оппортунистического характера российского бизнеса, призванного существовать в стремительно изменяющейся окружающей среде.

Цель внедрения любого комплаенса, включая антимонопольный, заключается в снижении вероятности риска нарушения и, как следствие, риска санкций. Однако основными задачами внедрения эффективной комплаенс-системы являются не только минимизация рисков бизнеса и повышение его роли в системе работы госорганов, но и управление бизнес-процессами в целом, а также повышение уровня эффективности персонала.

– Самым важным и труднодостижимым, а главное – самым успешным инструментом будущего и настоящего является безупречная репутация бизнеса / компании, ее становление, работа над ней в течение каждого дня. Если компания внедряет превентивные комплаенс-меры, дорожит своей репутацией, даже при наличии возможного правонарушения, она может рассчитывать на смягчение ответственности, а иногда и вовсе избежать ее. Данную аксиому активно поддерживают многочисленные госорганы, упомянутые выше, а значит, мы говорим на одном языке, – резюмировала Светлана Мочалина.

Фокус – на возможности

Опытом интеграции риск-менеджмента в ключевые процессы принятия решений поделилась руководитель отдела качества цепи поставок FM Logistic Ирина Вальтер.

– Поскольку мы являемся мультиклиентской компанией, то обязаны не только оценивать риски и управлять ими с точки зрения внутреннего комплаенса, но и должны ориентироваться на многочисленных клиентов, чьи требования к хранению и транспортировке могут кардинально отличаться. Таким образом, мы постоянно взаимодействуем с клиентами, привнося получаемую от них информацию в наш подход управления рисками, – уточняет спикер.

Компания FM Logistic считает одним из основных приоритетов в развитии справедливого и прибыльного бизнеса соблюдение законов и честной конкуренции в качестве предоставляемых услуг. При этом риск взяточничества и коррупции на уровне поставщиков исключается посредством внутреннего и внешнего аудита, проверки проводятся на плановой и внеплановой основе. Кроме того, материнская компания постоянно проводит комплаенс-аудит во всех странах присутствия FM Logistic. Велика роль и службы безопасности, которая проверяет каждого контрагента до начала работы с ним для полного соответствия законодательству РФ.

Ирина акцентировала внимание на стратегиях реагирования на риски. В частности, вместо того, чтобы уклоняться от рисков, она посоветовала использовать их на пользу компании. Допустим, план проекта можно изменить так, чтобы исключить угрозу или оградить цели проекта от последствий риска путем привлечения более квалифицированного персонала и обеспечения более высокого качества по сравнению с планом. Такой подход эффективнее, чем категоричный отказ от рискованных проектов и ненадежных партнеров.

– Мы применяем риск-ориентированный подход к бизнесу, фокусируясь не только на рисках как угрозах для бизнеса, но и на возможностях, которые способствуют его развитию. В нашей компании применяется риск-ориентированное стратегическое планирование, что является основой для постепенного внедрения процесса управления изменениями. Инструменты для минимизации существующих рисков разнообразны: это и внутренняя аналитика, внутренние аудиты процессов, фокус на развитие процесса постоянного улучшения, а также аудиты подрядчиков – транспортных компаний, с которыми мы работаем. Минимизировать риск для нас означает довести его до управляемого уровня, найти оптимальную меру управления. Риск-ориентированный подход внедрен в FM Logistic на корпоративном уровне и встроен в глобальный процесс «Compliance», что дает возможность осуществлять оценку рисков на систематической основе с точки зрения риск-аппетита владельцев рисков, производить их мониторинг, оценку результативности отработанных рисков и видеть эффект на бизнес от реализованных усилий нашей команды, – пояснила Ирина Вальтер.

«Маяк» для проектного управления

Одним из ключевых пунктов программы стало выступление руководителя направления аппарата вице-президента по управлению рисками ПАО «НЛМК» Сергея Саламатова, рассказавшего об особенностях интеграции риск-менеджмента в систему управления проектами.

Спикер привел данные исследования PMI’s Capturing the Value of Project Management, проведенного в 2015 году, в рамках которого проанализирована деятельность трех тысяч компаний. Исследование показывает, что в среднем только 64% проектов достигают своих целей. Представители Института по управлению проектами попытались разобраться, почему компании-лидеры лучше достигают поставленных целей. В результате сформулированы ключевые факторы успеха, наличие каждого из которых повышает уровень достижения целей.

Наибольший эффект на успешность в реализации проектов, согласно исследованию PMI, оказывают простейшие факторы: ответственность топ-менеджмента за проект; четкое понимание объема и вероятности достижения выгод от реализации проекта в течение его жизненного цикла; понимание, что результат проекта соответствует стратегии компании; организация обмена знаниями между менеджерами проектов.

Успешная реализация данных факторов достигается за счет интеграции риск-менеджмента с системой управления проектами. Роль риск-менеджмента в инвестиционной деятельности сложно переоценить, а исследование PMI иллюстрирует, что комплексное и систематическое применение количественной оценки инвестиционных рисков позволит повысить вероятность достижения целей проектов на 15–20% и не только принесет финансовые выгоды, но и позволит повысить эффективность.

– Оценка рисков, так или иначе, применяется всеми, однако слишком большая разница между вариантами ее реализации. В отдельных случаях это может быть типичная карта рисков с качественной оценкой ряда рисков по «системе светофор» – красный / желтый / зеленый. Но что на основании данной оценки делать менеджерам проекта? Какую информацию это им дает? – поясняет Сергей Саламатов. – Совсем другая ситуация, когда влияние рисков на целевые показатели проекта оценивается количественно с использованием таких инструментов, как скоринговые модели или имитационное моделирование. Такой подход позволяет анализировать чувствительность целевых показателей проекта к различным риск-факторам, оценивать вероятности достижения результатов, учитывать взаимное влияние факторов и совместный эффект от реализации рисков. На основании таких данных становится возможным принятие риск-ориентированных решений о реализации проектов. Так, оценка целевых показателей проекта под риском (IRR, NPV) поможет приоритезировать проекты с учетом риска и оптимизировать совокупный эффект от реализации стратегии.

Говоря про систему управления проектами, докладчик подчеркнул, что при реализации инвестиционных проектов можно выделить три группы целевых показателей: бюджет проекта, срок реализации и эффективность. Соответственно, существует риск роста затрат, нарушения сроков и снижения доходности. Важно понимать, что управление проектами подразумевает постоянное управление изменениями: понятно, что не удастся защитить проект от всех неблагоприятных событий, но есть возможность принимать решения с учетом их потенциального влияния на проект. От точности этой оценки будет зависеть качество принимаемых решений.

– Часть рисков типовые, они присущи бизнес-процессам, входящим в периметр реализации проекта. Их можно и нужно оценивать путем интеграции риск-менеджмента с системой внутреннего контроля компании. Управление данными рисками связано с повышением качества покрытия рисков внутренними контролями. В инвестиционной деятельности таким образом можно оценивать увеличение затрат на реализацию проекта вследствие неэффективной реализации процессов проектирования, выбора поставщика, строительно-монтажных работ и других, –
комментирует эксперт. – Кроме того, в каждом проекте существуют специфические риски, вызванные уникальностью предметной области проекта. Они сопровождаются высокой неопределенностью – невозможно однозначно оценить ожидаемые потери. Эту неопределенность нельзя упускать из виду: она может привести проект к диаметрально противоположным результатам, и тут не обойтись без имитационного моделирования. Риски смещения сроков также можно оценивать при помощи инструментов моделирования методом Монте-Карло. Такая оценка позволяет руководителю проекта установить повышенный контроль над выполнением критичных работ и наиболее эффективно распределять ресурсы на управление рисками проекта в рамках установленных сроков и бюджета.

Title="Галина
Шаклеина (ЕвроХим)">Количественная оценка рисков инвестиционных проектов с использованием инструментов имитационного моделирования признана востребованной среди мировых лидеров и применяется в разных отраслях экономики. Допустим, Лондонский метрополитен использует этот метод для оценки рисков инвестиционных проектов и безопасности пассажиров, а мировые лидеры в сфере поставки потребительских товаров – компании Unilever и Procter&Gamble – для оценки рисков в отношении разработки и применения новейших технологий, реализации инновационных проектов. В России существенно меньше нефинансовых компаний применяют количественную оценку инвестиционных рисков на регулярной основе. Что характерно, в исследовании PMI также принимали участие только европейские и американские респонденты.

– Стоит предположить, что эффективная интеграция риск-менеджмента с системой управления проектами – это тот «маяк», к которому будет двигаться проектное управление в России в ближайшие годы, повторяя общемировые тенденции. Потому что этот «маяк» обеспечивает получение информации, необходимой для принятия менеджментом риск-ориентированных решений, способствующих повышению эффективности реализации стратегических инициатив и достижению необходимого финансового результата, – резюмировал спикер.

Не конкурировать, а дополнять

Плюсы и минусы интеграции функций риск-менеджмента и риск-ориентированного внутреннего аудита обозначил риск-менеджер ГК «НефтеТрансСервис» Игорь Винников.

Он обратил внимание коллег на отличия риск-менеджмента от внутреннего аудита, заметив, что первый связан с анализом и оценкой внешних альтернатив, угроз и возможностей для стратегического и тактического развития бизнеса, а второй по большей части направлен на оценку эффективности бизнес-процессов компании, в том числе риск-менеджмента. Нередко на практике функции риск-менеджмента и внутреннего аудита пересекаются в рамках одного подразделения, что не позволяет получать синергетический эффект и независимую информацию, насколько эффективно на самом деле работает риск-менеджмент.

К тому же, учитывая, что риск-ориентированный аудит часто использует такие же механизмы и инструменты, что и риск-менеджмент (например, карты и реестры рисков), у менеджмента компании может возникать путаница и непонимание назначения двух этих функций и оправданно возникает вопрос – чем отличаются эти службы?

– Риск-менеджмент и внутренний аудит могут эффективно дополнять друг друга: обмен информацией между этими подразделениями позволит выявить тот или иной риск на ранней стадии, – комментирует Игорь Винников. – На этапе оценки риска риск-менеджмент просчитывает, каким может быть результат в целом для компании в случае его реализации; риск-ориентированный аудит фокусируется на независимой, как правило, ретроспективной оценке аудируемого бизнес-процесса. Для воздействия на риск риск-менеджмент вырабатывает соответствующие мероприятия, а в случае необходимости корректировки бизнес-процесса отвечает за его своевременное изменение. Функция риск-ориентированного аудита на этих этапах заключается в разработке рекомендаций и контроле их выполнения.

Для совершенствования подобного взаимодействия необходимо унифицировать используемую терминологию и подходы; планировать аудиторские проверки с учетом сигналов внешней среды; информировать и вовлекать риск-менеджера в разработку и реализацию плана корректирующих мероприятий при наличии внешних факторов; усиливать роль внутреннего аудита как фактора развития риск-менеджмента, и наоборот.

Лучше предупредить, чем ликвидировать последствия

Руководитель отдела экологии и охраны окружающей среды АО «Руспетро» Надежда Шевелева говорила о значимости управления экологическими рисками в деятельности промышленных предприятий. В частности, Надежда подробно рассказала о составляющих экологического риска и особенностях его выявления в нефтегазовой отрасли. Она также упомянула о стратегии управления экологическими рисками при разработке нефтяных и газовых месторождений и привела примеры выявления причин наступления экологических рисков.

В настоящее время работа с экологическими рисками ведется в условиях неоднозначности трактовок нормативных актов, стремительного изменения законодательной базы, что осложняет ведение производственной деятельности.

По словам докладчика, управление экологическими рисками в рамках производственной деятельности предприятия – процесс непростой и многоэтапный. Так, необходимо проанализировать требования законодательства в части обязательств по охране окружающей среды; оценить вероятность возникновения экологических рисков при текущей системе управления; определить возможные последствия наступления этих рисков, в том числе экологического ущерба; определить методику оценки возможных последствий в денежном выражении (возмещение экологического ущерба, штрафы за нарушение требований природоохранного законодательства). Кроме того, придется оценить возможные последствия в стоимостном выражении и произвести их ранжирование; определить меры по снижению и предотвращению ущербов от идентифицированных рисков; оценить эффективность необходимых вложений для снижения и предотвращения рисков; принять решение о внедрении конкретных мер по управлению рисками. Только после этого производится актуализация системы управления экологическими рисками и назначаются ответственные лица по управлению ими.

Как следует из практики, совокупные затраты на мероприятия по предотвращение риска и реализацию природоохранных мероприятий будут значительно ниже, чем на ликвидацию последствий их реализации, с учетом обязательности своевременного соблюдения требований законодательства в области охраны окружающей среды. Надежда Шевелева рекомендовала принимать данный факт во внимание при планировании управленческой деятельности в части экологического менеджмента.

Никто не застрахован от фрода

В любой компании периодически реализуются риски, связанные с неэтичным поведением и мошенничеством со стороны персонала. В результате компания может понести не только финансовые убытки, но и столкнуться с репутационными рисками. Эту важную тему подняла управляющий директор по финансовым аудитам АФК «Система» Марина Бугорская.

По официальной статистике, самый существенный ущерб компании несут в результате мошеннических действий с финансовой отчетностью. Имеется в виду искусственное завышение активов, недооценка обязательств, занижение себестоимости. Считается, что сознательное искажение отчетности или creative accounting встречается реже, чем остальные виды мошеннических схем. На практике наиболее частыми являются мошеннические действия, направленные на кражу активов, коррупцию и вывод средств из компании.

Здравствуйте, коллеги. Продолжим разговор о рисках, вернее, уже не о самих рисках, а о риск-ориентированном мышлении.

Сразу скажу, что на эту тему есть официальный документ (разъяснения) ISO/TC 176/SC2/N1284, его неплохо прочесть для того, чтобы понять логику разработчиков ISO9001:2015, поскольку документ этот писали сами же разработчики стандарта. Но он на английском, поэтому я постараюсь объяснить суть риск-ориентированного мышления на пальцах, основываясь на положениях данного документа.

На самом деле, риск-ориентированное мышление - это очень просто. И каждый из нас (если он не клиент психиатра) пользуется им постоянно, но не задумывается об этом.

Каждый раз, принимая осознанное решение (а стандарты ISO требуют принятия решений, основанных на фактах, то есть как раз осознанных решений), мы всегда задаем себе минимум два из следующих 4 вопросов:

Почему я сказал о том, что риск-ориентированным мышлением пользуется любой человек при принятии решения? Давайте попробуем применить эту матрицу вопросов, например, при выборе места перехода автомобильной дороги) Каждый же день переходим через дорогу?

Ситуация: У нас через 30 минут важная встреча в месте до которого нам по прямой через дорогу как раз столько времени идти. Есть подземный переход в 500 метрах от нашего месторасположения. Наземного перехода и светофоров рядом с нами нет. Надо принять решение, перейти дорогу в месте, где мы находимся, или идти до подземного перехода, потом по другой стороне столько же обратно и дальше по маршруту.

ВНИМАНИЕ . Это пример просто из жизни. Все ваши решения должны находиться в рамках существующих правил и законов!

Итак, используем матрицу. Задача: перейти улицу безопасно, и не опоздать на встречу. Самый безопасный вариант - воспользоваться подземным переходом.

1. Что я получу, если этого не сделаю? Я получу возможность попасть на встречу вовремя, однако рискую быть сбитым машиной.
2. Что я получу, если это сделаю? Я рискую опоздать на встречу на 10-15 минут, но перейду дорогу безопасно и без риска для жизни от потока автомобилей на дороге.
3. Что я потеряю, если это сделаю? Вероятно, потеряю клиентов, если те, кто ждут меня на встрече слишком нетерпеливые.
4. Что я потеряю, если этого не сделаю? Я рискую потерять здоровье или жизнь, будучи сбитым машиной.

А дальше идет оценка рисков. Если дорога не сильно широкая, и слева и справа нет машин, то можно было бы и перейти ее с места. Если это шоссе по 6 полос в каждую сторону, то риск быть сбитым возрастает, и лучше потерять клиента, чем жизнь - используем подземный переход.

Согласитесь, такие мысли пролетают в голове за доли секунды и чаще всего человек принимает правильное решение)) Это и есть неосознаваемое риск-ориентированное мышление, присущее каждому из нас. Иногда его еще называют инстинктом самосохранения.

На языке СМК стоит просто заменить слово "(не) сделаю" на "это (не) сделано" и слово "я" на слово "мы".

В принципе, не обязательно чтобы на производстве все обладали таким мышлением. Достаточно одного настырного человека, который сумеет по каждой проблеме сформулировать нужные вопросы и задать их нужным специалистам, а потом собрать все в кучу, сделать анализ, сформулировать доклад и предоставить его высшему руководству для принятия окончательного решения, основанного на фактах .

Например: в отдел технического контроля пришла статистика за год - партия болтов, изготовленная и распроданная по всей стране, имеет несоответствие по диаметру резьбы. Коррекцией тут не обойтись, болты изготовлены уже, их не переделать. Нужны корректирующие действия.

ОТК в сотрудничестве со службой менеджмента качества должен провести исследование причин возникновения несоответствия, выявить корректирующие действия (КД), и по каждому из них провести риск-анализ .

Для начала можно использовать приведенную выше матрицу, потом это все войдет в привычку. Главное - не торопиться, если, конечно, риск выпуска несоответствующей продукции в период проработки корректирующих действий не высок.

Главное - по каждому пункту КД выработать максимальное количество вопросов в соответствии с матрицей, вашей интуицией, вашим опытом и получить на них максимально однозначные и конкретные ответы от тех, кто за эти вопросы отвечает.

Особую роль риск-ориентированное мышление имеет при внедрении чего-то нового на производстве. Нового технологического процесса, оборудования и т.д. При этом на этапе эскизной (концептуальной) проработки проекта внедрения техническим службам завода необходимо обязательно привлекать сотрудников службы управления качеством. А лучше всего - создать на предприятии технический совет, куда обязательно должны входить представители службы качества. В своей статье " " я детально на примере показал, насколько дорого обходятся ошибки на различных уровнях решения проблем.

Если вы собираетесь покупать новый станок - то риск-ориентированное мышление должно подсказать вам, что на этапе согласования параметров станка, условий его приобретения, монтажа, эксплуатации и обслуживания, распределения обязанностей персонала по этим работам и т.д., выловить ошибку и устранить ее проще, чем когда за 2,5 миллиона станок был куплен, а потом стало неясно, как и куда его ставить, где брать запчасти, и кто будет за этот станок отвечать.

Это ведь очень естественно! Не сложнее, чем принять решение о том, где перейти дорогу. Это нормально.

Да, это все сложно внедрить в реальности, но этим заниматься надо! И в первую очередь, это должно понимать руководство. Воля руководства это 50% успеха. Остальное - это наша работа.

Разумный риск - самая похвальная сторона человеческого благоразумия.

Джордж Савил Галифакс

Риск-ориентированное мышление – это привычка регулярно оценивать риски и упреждать их негативное воздействие. В контексте операционной эффективности риск-ориентированное мышление – это еще и умение оценивать риски в сравнении со стоимостью страховки от этих рисков.

Чтобы снизить влияние колебаний срока поставки, компании, например, идут на увеличение объема запасов на складе. Чтобы сбалансировать работу участков – увеличивают буфер незавершенной продукции, чтобы исключить кражу дорогого инструмента – хранят особо ценные приспособления для всех станков в сейфе у начальника цеха.

Рискнуть или застраховаться?

Опытный «бережливец» сразу увидит потери в перечисленных решениях. Зато опытный производственник скажет, что это работает. Кто прав? Для разрешения спора надо рассчитать размер потенциальных потерь от срабатывания риска и стоимость сдерживающих мер. Сравнение цифр даст ответ, что делать.

Расчет стоимости сдерживающих мер обычно не вызывает проблем. В этом случае необходимо аккуратно суммировать все затраты на действия, направленные на снижение риска но при этом не приближающие продукт к конечному виду (в терминологии Бережливого производства - потери).

Оценка риска – задача более сложная. Масштаб возможного негативного влияния риска на предприятие зависит от размера ущерба в результате срабатывания риска. Объем последствий будет зависеть от частоты наступления риска. На потери от риска также влияет готовность предприятия упредить срабатывание факторов риска и готовность купировать ущерб, если нежелательное событие все же произошло.

Таким образом, для комплексной оценки риска необходимо учитывать три его составляющие: размер ущерба, частоту возникновения события и эффективность сдерживающих мер. Для расчетов потребуется вероятностная оценка событий. О том, как создать простую систему, которая, в тоже время, обеспечивает достаточную точность, будет рассказано в дальнейших публикациях.

Двойственная природа риска

Слово «риск» часто воспринимается в негативном ключе. Но борьба с рисками будет эффективнее, если научиться воспринимать риск как возможность. Предпринимателей этому учить не надо. Они отличаются от обычных людей тем, что в любом исходе находят плюсы для себя.

Пример из жизни: Вместо того чтобы бороться с конкурентом и из-за этого терять прибыль, компания договорилась о партнерстве, а потом и о покупке конкурента. Другими словами, владельцы компании увидели в риске нарастающей силы конкурента возможность для расширения своего рынка.

Преимущества риск-ориентированного мышления

Мы решили отнести риск-ориентированное мышление к принципам операционного совершенства потому, что этот элемент позволяет эффективно работать с неявными потерями.

Риск-ориентированное мышление является основой для построения системы, которая позволяет:

Эффективно бороться с неявными потерями, в том числе определять излишние процедуры, на которые расходуются ресурсы;

Определять приоритетные направления для улучшений;

Разгрузить первое лицо при принятии решений;

Осуществить балансировку между приемлемым риском и затратами на контроль;

Повысить компетентность менеджмента в решении вопросов уровня компании, а не только отдельных подсистем;

Успешно пройти сертификацию по новой (2015) редакции стандарта ISO 9001.

Воздействовать на риск можно следующими способами:

Устранять источник риска;

Снижать вероятность риска;

Снижать последствия от риска;

Разделять риск с другими сторонами (контракт, страхование);

Принять риск или увеличивать его для использования благоприятной возможности.

Функционирование риск-менеджмента в бизнес-среде характеризуются наличием ограничений ресурсов на сдерживание риска. Поэтому важно, чтобы система управления рисками позволяла взвешивать самые разные негативные исходы в единой системе координат, что позволит приоритезировать важность рисков и эффективность купирующих мер.

А.2 Продукция и услуги

В стандарте ISO 9001:2008 использовался термин «продукция» для охвата всех категорий «выходов». В настоящей редакции данного международного стандарта используется оборот «продукция и услуги». Он также включает в себя все категории «выходов» (технические устройства, услуги, программные средства и перерабатываемые материалы). Введение в оборот термина «услуги» вызвано необходимостью подчеркнуть разницу между продукцией и услугами в контексте применения к ним некоторых требований. Особенностью услуг является то, что, как минимум, часть получаемых результатов достигается при непосредственном взаимодействии с потребителем. Это, например, означает, что соответствие требованиям не всегда может быть подтверждено до того, как услуга полностью предоставлена.

В большинстве случаев «продукция» и «услуги» применяются совместно. Большинство «выходов», которые потребителям поставляет организация или внешние поставщики, включают в себя как продукцию, так и услуги. Например, материальная или нематериальная продукция может сопровождаться некоторыми соответствующими услугами или услуги могут сопровождаться какой-то материальной или нематериальной продукцией.

А.3 Понимание потребностей и ожиданий заинтересованных сторон

Раздел 4.2 содержит требования к организации установить (определить) заинтересованные стороны, имеющие отношение к системе менеджмента качества, и требования этих заинтересованных сторон. Вместе с тем, раздел 4.2 не предполагает расширения требований к системе менеджмента качества сверх рамок области применения данного международного стандарта. Как заявлено в области применения данного международного стандарта, он применяется, когда организация нуждается в демонстрации своей способности постоянно поставлять продукцию и услуги, которые отвечают требованиям потребителей и применимым законодательным и нормативным правовым требованиям, и имеет целью повышение степени удовлетворенности потребителей.

В настоящем международном стандарте нет требования, чтобы организация учитывала интересы каких-то сторон, если она решает, что эти стороны не имеют отношения к ее системе менеджмента качества. Организация сама решает, имеет ли какое-либо конкретное требование соответствующей заинтересованной стороны отношение к ее системе менеджмента качества.

А.4 Риск- ориентированное мышление

Концепция риск- ориентированного мышления неявным образом присутствовала и в предыдущей редакции данного международного стандарта, например в требованиях, касающихся планирования, анализа и улучшения. Настоящий международный стандарт устанавливает требования, чтобы организация понимала свой контекст (условия, в которых она функционирует, см. 4.1), и установила (определила) риски в качестве основы для планирования (см. 6.1). Это отражает применение риск- ориентированного мышления к планированию и внедрению процессов системы менеджмента качества (см. 4.4) и будет помогать в определении объема документированной информации.

Одним из ключевых предназначений системы менеджмента качества является ее функционирование в качестве инструмента предупреждения. По этой причине в настоящем международном стандарте нет отдельно выделенного раздела или подраздела по вопросу предупреждающих действий. Понятие предупреждающих действий выражено посредством использования риск- ориентированного мышления при формулировании требований к системе менеджмента качества.

Риск- ориентированное мышление, примененное в настоящем международном стандарте, создало возможности для снижения безапелляционности требований и замене их на требования, основанные на реальной практике деятельности. Сейчас имеется больше гибкости в требованиях к процессам, документированной информации и распределению ответственности в организации, чем в ISO 9001:2008,

Несмотря на то, что в разделе 6.1 установлено, что организация должна планировать действия по реагированию на риски, не существует требования о наличии официального метода менеджмента рисков или документированного процесса менеджмента рисков. Организация сама может решить, разрабатывать ли ей более обширный подход к менеджменту рисков, чем это требуется в настоящем международном стандарте, например, на основе применения других руководств или стандартов.

Не все процессы системы менеджмента качества обладают одним и тем же уровнем риска, если говорить о способности организации достигать своих целей, и влияние неопределенности – также не одно и тоже для всех организаций. С точки зрения требований раздела 6.1 организация ответственна за применение ею риск- ориентированного мышления и за действия, которые она осуществляет в качестве реагирования на риск, включая решение о том, фиксировать и сохранять или нет документированную информацию в качестве доказательства определения ею рисков.

А.5 Применимость

В настоящем международном стандарте не делается ссылка на «исключения» в отношении применимости его требований к системе менеджмента качества организации. Вместе с тем, организация может проанализировать применимость требований с учетом размеров или сложности организации, принятой модели менеджмента, областей осуществляемой деятельности, а также характера учитываемых ею рисков и возможностей.

Требование, касающееся применимости, содержится в разделе 4.3, где определяются условия, при которых организация может решить, что требование не может быть применено ни к одному из процессов в рамках области применения ее системы менеджмента качества. Организация только тогда может решить, что требование не применимо, когда ее решение не приведет в результате к срыву обеспечения соответствия продукции и услуг.

Организация риск-ориентированного управления и бюджетирования поможет своевременно реагировать на изменение внешней и внутренней среды, снизить возможные потери от реализации всех рисков, так или иначе оказывающих влияние на финансово-хозяйственную деятельность компании.

В нашей компании ранее не было формализованного, упорядоченного и комплексного процесса управления рисками. Убытки от реализации рисков не измерялись, что крайне затрудняло принятие управленческих решений и негативно влияло на дальнейшее развитие компании. Оценке и анализу подвергались лишь финансовые риски. В 2011 году акционеры поставили задачу: разработать с нуля и внедрить систему управления рисками, которая должна помочь снизить убытки от возможной реализации тех или иных рисков и не допустить их негативного влияния на деятельность компании. Принимая во внимание успешный опыт управления финансовыми рисками, было решено обойтись собственными силами без привлечения внешних риск-менеджеров. Построение системы поручили финансовому департаменту. В качестве основной классификации мы применили подход, указанный в международных стандартах COSO ERM (Enterprise Risk Management - Integrated Framework Committee of Sponsoring Organizations of the Treadway Commission – принципы риск-менеджмента, ориентированные на повышение достоверности отчетности предприятий. – Прим. ред.), который предусматривает четыре категории рисков: стратегические, операционные, нормативные, финансовые.

ЭТАП 1. ИДЕНТИФИКАЦИЯ

Мы исследовали все направления бизнеса компании, описали возможные области возникновения рисков в привязке к классификации по стандартам COSO ERM 2004. В итоге выявили 22 области возникновения рисков(см. табл. 1), определили их свойства и характеристики (см. табл. 2). Далее необходимо было идентифицировать каждый риск, то есть выявить, какие факторы указывают на его возможное возникновение. Всего изначально было идентифицировано более 160 рисков, затем для повышения управляемости риски были укрупнены и объединены. И на 2015 год в выявленных 22 областях возникновения рисков мы идентифицировали 65 рисков (см. табл. 3).

Отмечу, что информация о возможных областях возникновения рисков и их характеристиках получает свое отражение в годовом отчете нашей компании. Таким образом, у акционеров, рейтинговых агентств и других пользователей есть четкое понимание того, с какими проблемами можно столкнуться при реализации особо опасных рисков. Кроме того, мы определили «владельцев» рисков, то есть появилась «адресность» каждого опасного для компании события. Например, я, как директор по финансам, помимо прочих финансовых рисков отвечаю в том числе за риск ликвидности, реализация которого грозит возникновением штрафов и претензий контрагентов. Я обязана предпринимать все усилия для того, чтобы избежать его возникновения. Таким образом, полномочия по управлению рисками стали закреплены за конкретным ответственным лицом в рамках его функциональной деятельности.

ЭТАП 2. ОПРЕДЕЛЕНИЕ УРОВНЯ КРИТИЧНОСТИ

На этом этапе требовалось оценить степень влияния каждого риска на деятельность нашей компании. Для этого все риски мы разделили по уровням критичности: критические (их мониторинг осуществляет совет директоров), приемлемые (эти риски курирует комитет по аудиту) и незначительные (отслеживает комитет по рискам). Определение статуса критичности основано на оценке рисков по жестким двухмерным метрикам: вероятность наступления и возможный ущерб от реализации. Совокупный размер риска, который может взять на себя компания без ущерба для деятельности, определяется ежегодно советом директоров и составляет 300 млн рублей (это около 10% от среднемесячной плановой выручки на 2015 год). Ранжирование рисков было произведено, исходя из следующих параметров:

критические – их оценка по сумме ущерба превышает 300 млн рублей с любой вероятностью или превышает 200 млн руб лей с вероятностью более 5 процентов, или превышает 100 млн рублей с вероятностью более 80 процентов;
приемлемые – оценка по сумме ущерба составляет от 100 млн до 300 млн рублей с вероятностью от 0 до 5 процентов или от 50 млн до 200 млн рублей с вероятностью от 5 до 80 процентов, или менее 50 млн рублей с вероятностью более 50 процентов;
незначительные – оценка по сумме ущерба менее 100 млн рублей с вероятностью менее 5 процентов или менее 50 млн рублей с вероятностью менее 50 процентов.

По каждому риску мы определили стратегию управления (см. табл. 4), руководствуясь оценкой стоимости мероприятий по управлению рисками по отношению к возможным потерям. Исходя из этого, «владельцы» рисков разрабатывают меры по управлению рисками. Приведу пример. «Владельцем» риска «Отказы и аварии оборудования» является главный инженер. Объект – краны. Возможный ущерб оценивается в 45 млн рублей. Издержки по управлению составляют 500 тыс. рублей (страхование). Стратегия – передача риска.

ЭТАП 3. ФОРМИРОВАНИЕ КАРТЫ РИСКОВ

Итогом нашей работы стала карта рисков. Она содержит в себе исчерпывающее описание рисков, реализация которых может повлечь убытки для компании. Карта представляет собой упорядоченный перечень рисков (в форме таблицы Excel), содержащий следующую информацию по каждому риску: классификация по COSO ERM 2004; область, номер, наименование, возможные причины и возможные последствия риска; владелец риска; уровень критичности; метод управления. Поскольку управление рисками – это непрерывный процесс, карта пересматривается ежегодно, информация по событиям постоянно обновляется, и наша задача – своевременно реагировать на изменения внешней и внутренней среды. Кроме того, в компании обновлена политика и концепция управления рисками.

Эти документы систематизируют процедуру управления рисками, в том числе: регламентируют и определяют основные принципы управления рисками, роль и функции органов управления компании в системе риск-менеджмента, взаимодействие системы управления рисками и риск-ориентированного внутреннего аудита, совокупный размер риска, который может взять на себя компания без ущерба для деятельности.

ЭТАП 4. ИНТЕГРАЦИЯ СИСТЕМЫ С КПЭ

Чтобы своевременно отследить увеличение вероятности реализации того или иного риска и успеть его предотвратить, мы рассчитали ключевые индикаторы риска (КИР, метрики, используемые для обеспечения раннего оповещения о возрастающей подверженности риску) для всех рисков, разработали и утвердили методику расчета КИР. Кроме того, для повышения вовлеченности участия руководителей в процесс управления рисками мы привязали КИР к ключевым показателям эффективности (КПЭ), напрямую влияющим на мотивацию сотрудников (см. табл. 5). В случае отклонения значений КИР от установленных сотрудник сообщает об этом руководителю.

Затем проводится анализ причин отклонений и при необходимости разрабатываются дополнительные мероприятия по недопущению реализации риска (см. табл. 6).

Следует отметить, что важным этапом создания системы управления рисками стало ее распространение на филиалы, дочерние и зависимые общества компании. Мы проводили тренинги и обучения для сотрудников ДЗО, смогли включить в периметр системы управления рисками 16 филиалов компании и самое крупное дочернее общество, которое находится в Казахстане. Сейчас масштабные тренинги стараемся организовывать раз в год – отдельно для владельцев рисков (топ-менеджмент) и отдельно для непосредственных исполнителей. Кроме того, мы проводим обучение по запросу конкретного подразделения.

ЭТАП 5. ПОСТРОЕНИЕ РИСК-ОРИЕНТИРОВАННОГО БЮДЖЕТИРОВАНИЯ

После внедрения системы предстояло привязать ее к бюджету компании – то есть перейти не только на риск-ориентированное управление, но и на риск-ориентированное бюджетирование. Вот что мы сделали.

При подготовке бюджета решили использовать систематизированную информацию из карты рисков и проигрывать различные варианты реализации рисков и их влияние на бюджет компании. Другими словами, мы определяем сценарии реализации рисков на основе статистических и отраслевых данных, проводим факторный анализ, а также анализ последствий реализации рисков в зависимости от сценариев.

Вкратце опишу, как это делается, и приведу небольшой пример:

Шаг 1. Подготовка финансовой модели компании (базовый сценарий). Так, например, у нас есть «Базовая процентная ставка по кредитам и займам».

Шаг 2. Анализ влияния общих и специфических риск-факторов. Используя карту рисков, мы рассматриваем «Ухудшение ситуации на фондовых рынках и рынках капитала».

Шаг 3. Моделирование с использованием информации, в том числе статистических данных, о степени влияния рисков. Так, мы приходим к выводу о невозможности привлечь заплани- рованный объем заемного капитала по базовым ставкам.

Шаг 4. Анализ исходящих данных с точки зрения влияния на прогнозируемые денежные потоки и прибыль. По итогам анализа принимается решение об изменении потребностей компании в объеме заемного финансирования.

Шаг 5. Формирование бюджета на основе финансовой модели, скорректированной с учетом возможного влияния тех или иных рисков. В нашем примере мы уменьшаем требуемый компании объем заемного финансирования и меняем базовую ставку с учетом текущей рыночной ситуации.

ЭТАП 6. МОНИТОРИНГ И КОНТРОЛЬ

Мы ведем статистику реализовавшихся рисков и информации по убыткам, возникшим вследствие их реализации. В форме отчета представляем ее комитету по рискам, комитету по аудиту, а также в службу внутреннего аудита.

Последняя использует эту информацию при проведении как плановых, так и внеплановых проверок подразделений центрального аппарата и филиалов компании. Отчеты по итогам проверок содержат выявленные замечания в привязке к коду риска из карты. По каждому замечанию назначается ответственный за его устранение, исходя из закрепленных в карте рисков полномочий по его управлению.

Подводя итоги, можно сказать, что внедренная комплексная система управления рисками позволила:

оценить и оцифровать все риски, обеспечить поддержание оптимального уровня контрольной среды в компании;
дать оценку возможным финансовым потерям от реализации стратегических, операционных, нормативных и финансовых рисков;
разработать мероприятия по недопущению реализации рисков;
наладить риск-ориентированное управление и риск-ориентированное бюджетирование;
не допустить недостижения бюджетного показателя чистой прибыли, несмотря на существенное ухудшение рыночной конъюнктуры.

Особую гордость вызывает тот факт, что наша компания является единственной в секторе железнодорожного транспорта, где внедрена и успешно функционирует комплексная система управления рисками.