Комплексная программа управления рисками

8.6. Выбор методов управления рисками как совершенствующийся процесс/проект

В текущих условиях развития техники/технологии, и, соответственно, области информационных технологий, которые характеризуются такими факторами, как:

• Динамичность внесения "изменений" ;
• "Высокотехнологичность" ИТ;
• Многофакторность ИТ;
• Взаимовлияние смежных отраслей ИТ;
• И д.р.

необходимо обеспечить обоснованное развитие, поддержание стабильного уровня функционирования конкретного предприятия, причем важно сделать это на как можно более ранних стадий работы над рисками.

Принятие обоснованных решений по работе с рисками зависит от качества тех метрик, которые сопровождают процессы риск-менеджмента. Причем важно, чтобы метрики носили не "разовый" характер, а учитывали тренды развития рисковых направлений, включающее в себя определённые группы рисков, а так же актуализировались, в зависимости от уровня риска. Таким образом, можно обосновать необходимость накопления массива данных, описывающих возникновение рисков во времени, в зависимости от ряда случайных/ "псевдослучайных" параметров.

Говоря об этом, мы приходим к тому, что управление и анализ рисков не могут быть "единичным явлением". Данная активность должна стать важным этапом в процессах управления компании в целом, которая позволит эффективно использовать имеющуюся информацию в целях дальнейшего развития риск-менеджмента.

Результаты предыдущих итераций анализа рисковых процессов, положенные в основу системы совершенствования рисковых процессов и повышения точности построения тренда и профиля рисков, смогут быть использованы для выбора оптимальных методов управления рисками. Выбранные таким образом методы будут максимально точно и эффективно соответствовать конкретной рисковой ситуации, и при этом, постоянно подтверждать обоснованный выбор "в пользу себя" на основе успешной статистики по работе над рисками или же корректироваться/меняться, в зависимости от изменяющихся внешних или внутренних условий.

Успешным примером подобно организованной деятельности является практика использования подобных процессов и методов при управлении предприятием Siemens.

Система по управлению рисками и совершенствования качества организована в виде документированного описания процессов, которое размещено в локальной сети предприятия в качестве "дерева действий".

Это дерево действий представлено следующей структурой:

• Первый уровень состоит из процессов, каждый из которых представлен в виде упрощенного описания, алгоритмической последовательности действий ( до десяти действий);
• За каждым из действий закреплен:
• Ответственный исполнитель;
• Риски;
• Часть из рисков представляют собой не простое описание, а более сложную структуру, одним нажатиям по которой можно перейти к более детальному описанию. Далее действует принцип матрешки.
• Если для определенных действий второго порядка так же определены существенные риски, они будут детальнее описаны на низших уровнях и т.д. ;
• Процесс прекращается, когда мы доходим до уровня "элементарных" действий, которые могут выполняться без существенных рисков и, как следствие, не нуждаются в дальнейшем уточнении;
• В зависимости от сложности и важности процесса количество уровней такого дерева может варьироваться от двух до пяти и более.

Подобный, процессный подход, разбитый на декомпозиционные уровни, при условии соблюдения целостной картины процессов организации позволит сохранить концептуальное восприятие, понимание целей процессов и видение необходимых результатов.

При реализации необходимой документации необходимо помнить и воплотить в жизнь следующие принципы:

• С одной стороны, документы могут быть очень детальным там,
• где их отсутствие может привести к негативным последствиям - реализации существенных рисков.
• С другой стороны, этот подход предотвращает избыточную детализацию документов там, где она не нужна.

Поэтому, чтобы достигнуть оптимального решения для каждого конкретного случая, при составлении документации необходимо руководствоваться следующими принципами:

• "Золотой середины":
• Данный принцип позволяет найти компромисс между требуемым и достаточным качеством проработки необходимого документа, с учетом ресурсов (время, трудозатраты), выделенных на разработку конкретного документа;
• "Приемлемого качества":
• Качество обусловлено, прежде всего, потребностями в нем заказчиками. Если у заказчиков сформировано представление о том, какой продукт они "жаждут" получить для использования в активности управления рисками, тогда документ, необходимый для управления данной деятельности будет разработан в соответствии с их представлениями о том, что и как они хотят. Но, при этом важно понимать, что любая "хотелка" должна быть довольно подробно изучена и обоснована, в чем собственно, "уровень" приемлемого качества и заключается.

При подобной организации процесса создания необходимой документации, значение и содержание разрабатываемых документов становятся прозрачными и понятными для всех групп потенциальных пользователей.

А самое главное, необходимо учитывать, что при разработке документов речь идет не столько о разработке документа, а о необходимости создания/рефакторинга/реинжиниринга процессов риск-менеджмента, в части управления тактиками и стратегиями управления рисков, обоснованный выбор и своевременное актуальное применение которых в "ответ" на отклонения, зафиксированные с помощью процессов мониторинга рисков. А если быть более точным, роль "ответа" играет в данном случае оптимально спроектированная и установленная в конкретном месте процесса метрика

8.7. Установление пороговых значений (метрики/триггеры)

Для того чтобы процедуры управления рисками смогли "интеллектуально реагировать" на возможную или явную рисковую ситуацию, необходимо каждый процесс управления рисками снабдить показателем, сигнализирующим о возможном проявлении риска. Ситуация разработки и применения метрик осложняется тем, что каждый процесс по своему уникален и заниматься его "меркой" стандартным образом, в большинстве случаев, бывает губительно и недальновидно.

Поэтому, для измерения процессов должен быть разработан набор адекватных метрик, каждая из которых должна измерять определенный, ранее спроектированный процесс. Требования к конкретному процессу должны быть сформулированы настолько качественно, насколько качественная метрика нам нужна для дальнейшего её использования и результаты которой, в применении к этому процессу, нас будут полностью удовлетворять

Универсализм метрик, в случае стандартного подхода к их проектированию, как правило, приводит к тому, что "за бортом" её оценки остаются значимые детали процессов, не адекватная оценка которых приводит к формированию ложного представления о величине проявления риска. Это приводит к тому, что в будущем подобный процесс "генерит" убытки и становится "узким звеном" организации. Поэтому, на первый план выходит формирование "синхронизированного" подхода к формированию процессов и метрик, учитывающих детали и особенности каждой из составляющих рассматриваемой активности, с учетом их возможного развития, в частности, и развитием бизнес процесса/направления, в целом

При этом рекомендуется выстраивать оцениваемые процессы в взаимосвязанную последовательную структуру, учитывающую и использующую "входы" и "выходы" каждой из них. Такой подход, забегая немного вперед, делает возможным оценивать не только отдельно взятый процесс, но измерить, основываясь на гармонизированном представлении всех метрик, составляющих "общую картину", целостное представление всего рассматриваемого бизнес домена.

Для того, чтобы стало возможным спроектировать подобную архитектуру процессов, необходимо определиться с набором необходимых и достаточных метрик. Сколько и каких именно метрик нужно использовать в отдельно взятых процессах, к которым применяются процессы риск-менеджмента можно ответить только изучив конкретный процесс.

Но мы можем порекомендовать руководствоваться следующими правилами, при разработке необходимых метрик, использование которых позволит выявить и разработать необходимо количество метрик:

• Правило 1: Измеряйте "правильное" макро:
• Выявите ключевые метрики
• Установите однозначное соответствие метрик с выполняемыми действиями
• Определите действия/показатели, связанные с активацией метрик
• Правило 2: Создавайте простые отчеты, которые позволят сделать правильные выводы и принять дальнейшие решения:
• "Отчет-воронка"
• Постоянное отслеживание процессов и событий с длинным жизненным циклом

Постоянная работа, и оценка метрик должна поддерживать практику постоянного совершенствования (мы расскажем о ней далее). Для того, чтобы значение метрик, полученных в разные периоды, можно было использовать для оценки динамики процесса, а так же для того, чтобы делать выводы об успешности инициатив, по совершенствованию процесса работы с метриками, важно обеспечить возможность анализа и сравнения метрик в течении достаточно большого периода времени.

Внедрение метрик в процессы и процедуры бизнес домена предприятия имеет дополнительное преимущество. Оно состоит в том, что благодаря подобному подходу становится возможным дальнейшая автоматизация процессов за счет их полной однозначности и разработанного механизма по их оценке и совершенствованию, который делает работу с ним абсолютно прозрачной и понятной для всех групп пользователей и руководства организацией.

Важно помнить, что процесс поддержки метрик должен выполняться постоянно и на его сопровождение необходимо так же выделять определенный ресурс.

8.8. Сопровождение процедур управления рисками

Необходимым условием применения рассмотренных методов управления рисками в практике работы менеджеров современных предприятий является, на наш взгляд, наличие необходимого нормативно-методического обеспечения этого вида управленческой деятельности. Учитывая новое для отечественных предприятий положение, которое состоит, к сожалению, в практически полном отсутствии знаний и навыков по организации и выполнению управленческой деятельности в данном направлении , стоит, по нашему мнению, вспомнить об испытанных временем, но забытых средствах - отраслевых и общеотраслевых нормативно-методических документах.

Потребность в таких пособиях, как показывают данные обследований и опыт консалтинговых предприятий, весьма высока и осознана уже многими руководителями.

На основании таких универсальных регламентирующих или рекомендательных материалов любое предприятие могло бы, учитывая особенности, отраслевой, региональной или иной функциональной специфики, разработать и ввести в действие организационный регламент по сопровождению деятельности риск-менеджента. Ориентируясь на опыт и общие принципы построения нормативно методического обеспечения управленческой деятельности, можно сформулировать требования к составу и содержанию материалов, регламентирующих выполнение функции управления рисками в деятельности предприятий. А рассмотренные в этом курсе методы анализа, оценки и управления риском позволят обогатить разрабатываемые документы конкретным практическим содержанием.

8.9. Оценка эффективности программы управления рисками

Завершающей стадией комплексной программы управления рисками, рассматриваемой нами в этой лекции, результатом которой должно стать подтверждение эффективности разработанных процедур, выбранных и адаптированных методов риск-менеджмента, является этап оценки эффективности разработанной программы.

Данная стадия должна состоять из следующих этапов (приведены ниже), внедрение которых, в целях достижения принятых показателей, важно начинать, на как можно более ранних шагах развертывания домена риск-менеджмента. В данном процессе, впрочем, как и во всех проводимых процессах анализа и управления рисками, выполнение которых осуществляется параллельно, необходимо учитывать общую последовательность активностей, с целью правильного и оптимального распределения необходимых для работы ресурсов.

Этапы активности процесса оценки эффективности программы управления рисками:

• Разработка метрик оценки эффективности процессов риск-менеджмента, учитывающих специфику выполняемых активностей;
• Результативное, и при этом максимально "безболезненное", внедрение метрик, в выполняемые процессы, для их оценки и дальнейшего совершенствования;
• Процессный мониторинг метрик и соответствующая оперативная реакция, необходимая для штатного выполнения процессов;
• Гармонизация всех метрик в единый итоговый показатель, объективность которого должна быть подтверждена различным характером метрик, учитывающих разные стороны проводимой деятельности;
• Оценка метрик, в контексте выполняемого процесса, с учетом конкретной специфики и "окружения";
• Анализ "метрической" статистики, для последующей корректировки и адаптации процессов с целью повышения качества производимых результатов;
• Совершенствование метрик и процессов на основе проанализированной информации;

Процедура оценки эффективности должна позволить объективно взглянуть на разработанные нами процессы и выбрать дальнейший путь, в соответствии с которым мы будем двигаться в нашей деятельности. Именно поэтому выполнение данных процедур необходимо воспринимать более внимательно, исключив при этом формальное к ним отношение, а рассмотреть их как возможность развития созданной нами программы риск-менеджмента.

Оптимально организованная стадия оценки должна использовать вариативный инструментарий, методологии и т.д. для создания метрик. При разработке каждой метрики необходимо учитывать не только специфику процессов, для которых они разрабатываются, но и многогранность представления результатов. Важно помнить о том, что результаты всех метрик должны будут в дальнейшем гармонизированы в единый показатель, отражающий суть выполненной деятельности. Только при условии, что нами будет продемонстрирован единый, конечный, количественный показатель, объективно отражающий оценку выполненной деятельности, можно рассчитывать на то, что наша программа может претендовать на доступность для понимания широкому кругу участников.

Это является необходимым условием для того, что бы в дальнейшем повышать качество результатов процессов анализа и управления рисками, за счет вовлечения в работе над ними, на определенных стадиях, наиболее влиятельных стэйкхолдеров.

После того как адаптированные метрики будут "внедрены" в каждый из процессов, должна начаться стадия мониторинга. Стадии мониторинга свойственны следующие характеристики:

• Беспрерывность выполнения;
• Постоянный пересмотр результатов, учитывающий актуальное "окружение" процессов;
• Своевременная оперативная реакция на выявленные показатели;
• …

О процессе мониторинга мы скажем немного более полно позднее, но здесь мы привели основные параметры, представляющие собой базис данной активности.

Необходимо также предусмотреть в составе комплексной программы документ (или раздел документа), содержащий методику создания условий для реализации в подсистеме управления рисками функции "самоконтроля" или анализа эффективности функционирования и внесения улучшений, исправления замеченных недостатков или выявленных ошибок (в самой антирисковой деятельности и в соответствующей документации) и т.п.

Содержание и полнота изложения материала основополагающих документов комплекса должны быть достаточными для разработки на их основе конкретизированных фирменных нормативных материалов.

Таким образом, оптимально спроектированные и обеспеченные процессы оценки и последующего анализа позволят нам сделать выводы, на основе которых могут быть приняты решения о том, в каком направлении будет дальше развиваться домен риск-менеджмента конкретного предприятия.

8.10. Мониторинг достигнутых результатов комплексной программы управления рисками

Функция мониторинга процессов анализа и управления рисками должна заключаться в постоянном просмотре и первичном анализе результатов процесса риск-менеджмента, регистрируемых на протяжении всего жизненного цикла рассматриваемых процессов.

При проведении мониторинга должны фиксироваться не только значимые результаты, а так же все отклонения, происходящие в "рисковых" активностях. Именно благодаря процессу мониторингу, станет возможным дальнейший подробный анализ, на основе которого могут быть приняты решения о развитии бизнес процессов компании.

Важно, однако, чтобы мониторингу рисков соответствовали следующие характеристики:

• Регулярность выполнения;
• Обоснованная подробность документирования;
• Комплексность зафиксированных показателей;
• Объективность рассмотрения результатов;

Тогда только может появиться уверенность в том, что нежелательные отклонения от экономически безопасного положения не застанут руководство предприятия врасплох, а будут своевременно обнаружены и встречены адекватными контрмерами.

Мониторинг, по сути, еще является частью комплексной программы управления рисками, но в том числе уже относится к активности, которая устанавливает тренд и правила развития дисциплины риск-менеджмента в конкретной организации.

8.11. Выводы по изученной лекции

Сегодняшней лекцией мы подвели итоги изучению процессов риск-менеджмента в части активностей управления рисками.

Мы не только описали нашим коллегам необходимую и достаточную методологию программы управления рисками, но так же:

• Предложили конкретный путь ее реализации, который может быть положен в основу конкретной программы любого предприятия;
• Необходимые методы управления рисками, подтвердившие на практике свою эффективность;
• Описали все существующие и используемые, на сегодняшний момент группы методов;
• Описали последовательность планирования процедур и их состав;
• В том числе необходимое документационное наполнение;
• Рассказали о том, как, с учетом каких деталей, должны быть разработаны необходимые метрики процесса оценки, чтобы их применение позволило достичь заданных результатов;

На основе полученной информации, каждый из наших коллег сможет сделать необходимые выводы о том, что надо сделать, для того, чтобы создать и управлять процессами управления рисками в своей деятельности и в конкретной организации.