Совершенствование системы управления рисками требует глубокого и документально подтвержденного анализа процесса, относящегося ко всей организации: он все больше должен включать мероприятия, отличая основную деятельность от комплексной, вплоть до детальной операционной деятельности. Картирование процесса позволит организации проводить «идентификацию риска» (см. Главу 3), описывая задачи, персонал, деятельность, ответственности, организационные единицы, результаты, сроки, последовательность и связи/взаимодействие подпроцессов и соответствующих документально подтвержденных процедур.

Следовательно, «анализ рисков» (см. Главу 3) является эффективным, если он включает идентификацию всех ключевых процессов, охватывающих потенциальную подверженность некоторым последствиям. Должен включать анализ процесса, обращая особое внимание ключевым общеорганизационным зависимостям и точкам существенного контроля, например: где образуются данные, где они хранятся, как они превращаются в полезную информацию и кто пользуется такой информацией.

Картирование процесса включает ряд шагов:

• Идентификация всех рутинных мероприятий в рамках конкретного проанализированного процесса;
• Группирование мероприятий на ключевые подпроцессы;
• Определение последовательности событий и связей между подпроцессами.

Для гарантии того, что карты процесса точно отражают то, что происходит на самом деле, организации могут сочетать разные методы (см. приложение), поэтому организация должна выбрать вид «Моделирования и картирования процесса», который подходит для ее определенных целей. Карта может представлять собой простую макроблок-схему, показывающую лишь ту информацию, которой достаточно для понимания потока общего процесса, или информация может быть достаточно детальной, отражая каждую деятельность и точку принятия решения.

Ниже описываются виды картирования.

• Карта процесса на макро-уровне. Представляет собой очень глубокий уровень, а также довольно редкое картирование, в котором представляются действующие маршруты организации.
• Карта процесса по принципу «сверху вниз» или высокого уровня. Показывает непрерывные процессы по вышеуказанным производственным областям. Быстро и легко составить, но может не предусматривать необходимых деталей для формирования понимания или выполнения улучшений. Хорошо показывает основные кластеры деятельности процесса.
• Универсальная карта процесса. Показывает функции, входные ресурсы, выходные данные и шаги, необходимые для выполнения определенного процесса в производственной области. Универсальное картирование процесса предусматривает достаточную информацию для проведения работ по совершенствованию, и использует блок-схемы для демонстрации отношения между бизнес-процессом и функциональными единицами (например, департаменты), ответственными за такой процесс. На этих схемах указывается, где люди или группы попадают в последовательность процесса, и как они относятся друг к другу на всем протяжении процесса. Универсальные схемы являются превосходным инструментом, показывающим протекание процесса через организационные границы.
• Детальная блок-схема процесса. Подробно описывает системы, инструкции и процедуры, необходимые для выполнения шагов процесса на третьем уровне (Универсальная карта процесса), и показывает входные ресурсы, выходные данные, связанные шаги и точки принятия решения. Из-за уровня детализации, создание такого картирования может являться ресурсоемким, но может предлагать максимальный потенциал совершенствования, поскольку показывает решения и последующую деятельность, предусматривая превосходные учебные и справочные материалы. Блок-схемы могут быть представлены в виде карт или в графическом виде.

Владелец процесса должен нести ответственность за картирование процесса, тогда как анализ процесса должен проводиться лицами, исполняющими другие функции (внутри организации или без участия организации), чтобы собственные рабочие методы не влияли друг на друга.

И, наконец, ссылки на карты, информация о порядке работы и сами карты необходимо хранить в последовательной структуре, которая называется «библиотекой процессов». Ответственность за библиотеку процессов должна быть четкой, равно как и любой процесс, который нуждается во владельце.