4.2 Процесс обработки риска

Обработка риска включает циклический процесс:

а)      Оценка обработки риска: определение и оценка вариантов обработки риска;

б)      Планирование обработки риска: подготовка графика обработки риска и плана действий;

в)      Мониторинг эффективности такой обработки (см. Главу 5);

г)       Измерение остаточного риска: принятие решения о том, является ли остаточный риск допустимым;

Обратная связь: если остаточный риск не является допустимым, выполнение новой обработки риска (обратно к шагу a) и повтор процесса.

 a) Оценка обработки риска: организация должна выбрать наилучший имеющийся вариант. Такой вариант предполагает сбалансирование затрат на осуществление каждого варианта относительно выгод, получаемых в результате, с учетом правовых, нормативных и других требований, например, социальная ответственность. Как правило, затраты на управление рисками необходимо сбалансировать с полученными выгодами. При вынесении таких суждений о затратах относительно выгод, необходимо учитывать контекст. Важно учитывать все прямые и косвенные затраты и выгоды, будь то материального или нематериального характера, и измерять их с финансовой или другой перспективы.

  b)  План обработки риска: Обработка должна включать в себя на оперативном уровне подготовку и осуществление соответствующего плана. Он показывает, как будут реализованы выбранные варианты и как они должны интегрироваться с управленческими и бюджетными процессами. В частности, информация, представленная в плане обработки, должна включать следующее:

а.    Причины выбора вариантов обработки, включая ожидаемые выгоды;

б.    Сторона, несущая ответственность за утверждение плана, и сторона, ответственная за его реализацию;

в.    Предложенные действия;

г.     Требования к ресурсам, включая резервы на непредвиденные затраты;

д.   Показатели работы и ограничивающие условия;

е.    Требования к отчетности и мониторингу;

ж.  Сроки и график.

И, наконец, ответственности, связанные с фазой обработки, должны устанавливаться четким образом, при этом, необходимо указать сторону, ответственную за управление определенными рисками (или категориями рисков), за реализацию стратегий обработки, а также за осуществление мер контроля рисков. Для этого, совет должен гарантировать, что руководство учитывает и осуществляет соответствующие меры реагирования на риски: ответственность за обработку, как правило, несет руководство (генеральные директоры, руководители подразделений, руководители проектов) и в соответствующих случаях персонал. Руководство должно определить и записать в «регистре рисков» те действия, которые выбраны в качестве обработки, и показать совету, как такие ответные меры на риски повышают эффективность организации. Для создания планов обработки риска указываются владельцы риска в соответствии со своими функциями в проекте или процессе, даже если на этом этапе ответственности варьируются по виду рисков (корпоративные или операционные). Например, старшие менеджеры ответственны за корпоративные риски, стратегии их смягчения и планы действий. Ответственность за операционные риски возлагается на уровне подразделений, за которым закреплена программа.

c)  Мониторинг обработки риска: при разработке ответных мер, важно, чтобы введенные в действие меры контроля были пропорциональны рискам. Анализ рисков помогает такому процессу, определяя те риски, которые требуют внимания со стороны руководства. Приоритетность действий по контролю риска будет назначаться в соответствии с их потенциалом представления выгод для организации. Эффективность внутреннего контроля определяется тем, насколько риск будет устранен или снижен с помощью предлагаемых мер контроля. Если действие не предпринимается, такие меры необходимо измерять с точки зрения потенциального экономического эффекта относительно затрат на предложенные меры, и такие меры неизменно требуют более подробной информации и допущений, доступных в кратчайшие сроки. Каждая ответная мера предполагает соответствующие затраты, и важно, чтобы обработка предлагала качество по разумной цене по отношению к контролируемому риску. В этой связи, варианты устранения риска («ОБРАБАТЫВАТЬ») могут в дальнейшем анализироваться с точки зрения четырех разных видов соответствующих/сопутствующих мер контроля:

• МЕРЫ ПРОФИЛАКТИЧЕСКОГО КОНТРОЛЯ. Предназначаются для ограничения нежелательных результатов. Чем больше следует избегать нежелательного результата, тем больше соответствующих мер профилактического контроля необходимо выполнять[1]. Большинство мер контроля, внедренные в организации, принадлежат этой категории.
• МЕРЫ КОРРЕКТИРУЮЩЕГО КОНТРОЛЯ. Предназначаются для корректировки возникших нежелательных результатов, и предусматривают способ восстановления от потерь или ущерба[2]. Планирование на случай чрезвычайных обстоятельств является важным компонентом меры корректирующего контроля.
• МЕРЫ ДИРЕКТИВНОГО КОНТРОЛЯ. Предназначаются для достижения определенного результата, особенно важны при избегании нежелательного события, как правило, связанного с охраной здоровья и труда или безопасностью, что является критически важным условием[3].
• МЕРЫ КОНТРОЛЯ ОБНАРУЖЕНИЯ. Предназначаются для выявления нежелательных результатов. Их эффект, по определению, возникает «после события», поэтому они подходят только в случаях, когда могут признаваться результирующие потери или убытки[4].  

г) Измерение остаточного риска: Если остаточный риск сохраняется даже после обработки, необходимо принять решение о том, следует ли сохранить этот риск или лучше повторить процесс обработки риска. Для остаточных рисков, которые считаются высокими, необходимо собрать информацию о затратах на реализацию стратегий по дальнейшему смягчению.

ПРИМЕР ПЛАНИРОВАНИЯ ОБРАБОТКИ РИСКА