Карту рисков часто готовят к годовому отчёту или проверке, а затем убирают в архив. При распределении бюджета руководители редко к ней возвращаются. Чтобы карта помогала принимать решения, за каждым риском закрепляют владельца, а оценки пересматривают по согласованному графику.
Разберём, как объединить перечни разных служб в один укрупнённый реестр, в каких случаях обновлять карту внепланово и как учитывать в бюджете решения по рискам из красной зоны.
Почему карта рисков компании превращается в слайд для отчета
Поводом составить карту рисков компании обычно служит формальное требование: норма регламента, запрос совета директоров или аудитора, раздел годовой отчетности. Риск-менеджер собирает перечень угроз, расставляет их по вероятности и ущербу, раскрашивает ячейки и сдает карту к сроку. Бюджет и проекты затем утверждают без опоры на нее.
Дело и в том, как к риск-менеджменту относится руководство. По данным опроса нефинансовых организаций, который в апреле 2025 года провели «ДРТ» и АРМ «Русское общество управления рисками», около трети опрошенных до сих пор не внедрили функцию управления рисками. Одной из главных причин они называют то, что высшее руководство и совет директоров не видят ценности риск-менеджмента. В компаниях, где функция есть, на ту же проблему указывают 37% респондентов.
На первый взгляд отчетная и рабочая карты рисков похожи: та же сетка и те же цвета. Разница в том, как устроена каждая и что с ней происходит дальше:
| Критерий | Карта для отчета | Рабочая карта |
|---|---|---|
| Сколько реестров | У каждого подразделения свой перечень, общей картины нет | Один сводный реестр на компанию, подразделения передают в него ключевые позиции |
| Сколько рисков и у кого | Длинный перечень без владельцев, причины и последствия записаны отдельными строками | Укрупненный реестр, у каждой позиции один владелец |
| Чем измерять ущерб | Баллы, выставленные на глаз | Шкала ущерба в деньгах |
| Как часто пересматривают | Раз в год, к отчету | По календарю владельцев и вне графика при крупных событиях, в промежутках — мониторинг индикаторов |
| Где используют в решениях | Нигде: приложение к отчету | Бюджет, стратегия, повестка правления |
Отчетную карту выдают признаки, заметные без всякой методики:
- Нет владельцев: у позиций не указаны фамилии;
- Устаревшие оценки: они не менялись с прошлого года;
- Карту не используют при обсуждении бюджета: на совещании документ никто не открывает.
12 ноября 15:00 МСК Онлайн Бесплатно Открытый разбор: КП отправили, а дальше тишина Для руководителей продаж: как узнать, что происходит со сделкой, пока клиент молчит, и как вернуть разговор. Зарегистрироваться«Однако есть и подводный камень, доставшийся мне в наследство: требование реестра рисков было включено во все нормативные документы, но на практике это превратилось в слайд, который пролистывают за доли секунды перед резюме проекта».
Илья Кузьмин, начальник отдела управления рисками и внутреннего контроля «АЛРОСА».
Как устроена карта рисков: реестр, оси и цветовые зоны
Карта рисков сводит угрозы бизнеса в одну сетку. В ее основе лежит реестр рисков: перечень с описанием, причинами и последствиями каждой позиции. Его составляют на первом шаге работы с рисками, при идентификации: руководители направлений вместе с риск-менеджером перебирают внешние и внутренние угрозы своих участков.
Сетку карты задают две шкалы: по одной оси откладывают вероятность события, по другой — ущерб для компании. Каждую позицию из реестра ставят в ячейку по этим двум оценкам. Готовую карту делят на цветовые зоны: в зеленой собраны риски приемлемого уровня, за желтой наблюдают, а красной руководство занимается в первую очередь.
Оси карты рисков: вероятность и ущерб в деньгах
Вероятность обычно оценивают по шкале от редкого события до почти неизбежного. С ущербом сложнее: если его прикидывают в баллах на глаз, руководство не видит, где проходит граница недопустимых потерь. Поэтому шкалу ущерба привязывают к деньгам: к выручке, прибыли или бюджету конкретного направления.
Например, так сделали в МТС. По данным годового отчета компании, все риски оператора разложены на тепловой карте с сеткой 5×5: по пять уровней вероятности и ущерба. Потери оценивают показателем VaR: это сумма, которую они не превысят в 95% случаев. В «красной зоне» находятся 11 рисков, у которых высоки и вероятность, и потенциальный ущерб. В противоположном углу карты оказались 42 риска с очень низкой вероятностью наступления и несущественной стоимостной оценкой.
Ограничения карты рисков
Цветовые зоны помогают быстро увидеть риски, но граница между ними может быть условной. Если компания не определила, какую сумму способна потерять, порог красной зоны устанавливают по договорённости. Такой допустимый предел называют ёмкостью риска. По исследованию «ДРТ», её рассчитывают только 11% компаний-респондентов.
Другое ограничение связано с организацией работы вокруг карты. Для количественной оценки рисков 75% опрошенных используют стандартные функции Excel, а 44% — специализированные надстройки к нему. Таблица помогает вести расчёты и хранить оценки. Но сам по себе файл не закрепляет ответственных, не устанавливает сроки пересмотра и не связывает решения по рискам с бюджетом.
Наконец, карта показывает оценки на дату составления. Чтобы замечать изменения, её пересматривают по календарю и следят за индикаторами риска между плановыми обновлениями.
Одна карта рисков на компанию вместо реестров подразделений
В крупной компании риски учитывают несколько служб: охрана труда, финансисты, налоговые специалисты, юристы и служба безопасности. Каждая ведёт свой перечень. По отдельности списки выглядят полными, но общую картину по ним трудно собрать.
Один сбой может попасть сразу в несколько реестров. Например, закупки фиксируют проблему у поставщика как риск срыва сроков, а финансисты — как риск кассового разрыва. Если не сопоставить эти записи, правление может принять их за две независимые угрозы. Разные шкалы мешают сравнить оценки, а часть ущерба может оказаться учтённой дважды.
«На практике количество реестров в компаниях может достигать пятнадцати, а если углубиться в детали, их оказывается еще больше».
Дмитрий Хандримайлов, директор департамента управления рисками и непрерывностью бизнеса «ИНК-Синергия».
Для общей карты службы не отказываются от своих перечней. Риск-менеджер или финансовая служба собирает из них ключевые риски, связывает записи об одном событии и проверяет, не задвоен ли ущерб. Сводную карту утверждает правление или совет директоров.
Как укрупнить реестр для карты рисков и кто владеет риском
Даже из одних ключевых позиций общий реестр выходит длинным. Руководство не может с ним работать: в одном списке перемешаны причины, события и их последствия, а у многих позиций нет владельца. Поэтому перед нанесением на карту реестр укрупняют.
Как сформулировать риск для карты: причина, событие, последствие
Для оценки риск формулируют в трех частях:
- Риск-фактор. Причина, которая повышает вероятность события: износ оборудования, зависимость от единственного поставщика;
- Риск. Само событие: остановка производственной линии, срыв поставки;
- Последствие. Ущерб для бизнеса, если событие произойдет: недополученная выручка, штраф, потеря клиента.
Когда причины и последствия записаны в реестр отдельными строками, одно событие занимает на карте несколько ячеек, к тому же его оценка повторяется. При укрупнении риск-факторы и последствия привязывают к основному риску. Реестр становится короче, а каждое событие оценивают один раз.
Владелец риска и ответственные за мероприятия
Укрупненному риску назначают одного владельца. Это руководитель, который отвечает за риск целиком: за оценку, за контроль мероприятий и за действия, когда позиция уходит в красную зону.
Оба шага, укрупнение реестра и назначение владельцев, прошла Федеральная пассажирская компания. По данным годового отчета, в 2023 году АО «ФПК» пересмотрело подходы к идентификации и оценке рисков: часть позиций учли как риск-факторы или последствия других рисков, маловероятные исключили. Общее количество рисков в реестре снизилось со 104 до 23. Ключевых стало 12 вместо 8. За 23 риска отвечают 15 владельцев. Руководителей, которые не стали владельцами, подключили как ответственных за индикаторы и мероприятия.
Когда пересматривать карту рисков: календарь владельцев и внеплановые поводы
Большинство компаний живет в привычном цикле: бюджет, стратегию и отчет совету директоров составляют раз в год, и карту рисков обновляют вместе с ними. В том же ритме обычно пересматривают и риск-аппетит — уровень риска, который бизнес готов принять ради своих целей.
Рабочую карту пересматривают чаще. Вероятность, ущерб и состав красной зоны меняются вместе с внешними условиями, поэтому годовой срез устаревает задолго до следующего заседания совета. Частоту пересмотра задают владельцы рисков: в согласованный срок они обновляют оценки своих позиций. Риск-менеджер в свою очередь сводит их воедино.
Вне графика к карте возвращаются, когда событие способно сдвинуть вероятность или ущерб сразу у группы рисков:
- Запуск крупного проекта или сделки. Новые обязательства добавляют риски, которых в реестре не было;
- Изменения на рынке или в регулировании. Поправки в законы, уход поставщика или скачок курса сдвигают оценки одновременно в разных подразделениях;
- Инцидент. У реализовавшегося риска выясняют, какие позиции от него зависят, и переоценивают их.
Внеплановый пересмотр инициирует владелец риска, которого затронуло событие: он первым видит, что оценка устарела, и отвечает за то, чтобы карта это отразила.
Индикаторы риска: что отслеживать между пересмотрами карты
Между плановыми пересмотрами карты за ключевыми рисками следят с помощью индикаторов. Это измеримые показатели, которые могут измениться до того, как риск реализуется: доля просроченной дебиторской задолженности, число отказов оборудования за месяц, сроки отгрузок ключевого поставщика. Для остальных рисков индикаторы вводят по мере необходимости.
Чтобы по индикатору можно было вовремя принять решение, заранее определяют:
- Источник данных: из какой учётной системы или отчёта берут значение и как часто его проверяют;
- Порог: при каком значении риск нужно переоценить. Порог согласуют при пересмотре карты;
- Действие при достижении порога: ответственный за индикатор сообщает владельцу риска об изменении. Владелец запускает внеплановую переоценку и при необходимости выносит вопрос на правление.
«Компании умеют анализировать уже случившееся, но редко замечают слабые сигналы, предвещающие беду».
Наталья Раевская, руководитель по управлению рисками «Авито».
Карта рисков в управленческих решениях: бюджет, стратегия, красная зона
Рабочую карту видно по решениям, которые руководство принимает с опорой на нее. Такую связь выстроили далеко не все компании. По данным «ДРТ» и АРМ «Русское общество управления рисками», при стратегическом планировании влияние рисков оценивают количественно 38% организаций, а укрупненный качественный анализ для бюджета проводят 47%.
Меры по рискам красной зоны определяет руководство: право вето на его решения у риск-менеджера есть только в 5% компаний. В бюджет и стратегию меры попадают через владельца риска и повестку правления.
Риски из красной зоны рассматривают на заседании. По каждому решают, как действовать: снизить риск, передать его, принять или избежать. Затем фиксируют:
- Что изменилось на карте: какие риски появились, перешли в другую зону или были объединены;
- Какое решение приняли: что нужно сделать по каждой критичной угрозе и кто отвечает за исполнение;
- Где отразили решение: в бюджете, плане мероприятий или стратегии;
- Когда вернутся к риску: дату плановой оценки или порог индикатора, при котором потребуется внеплановая.
Эти записи сохраняют историю решений и изменений на карте. Следующий пересмотр начинают с неё: проверяют, что выполнили из намеченного и как после принятых мер изменились оценки рисков из красной зоны.
Другие статьи по теме
Часто задаваемые вопросы
Чем рабочая карта рисков отличается от карты для отчета?
Карту для отчета собирают из разрозненных перечней подразделений, оценивают ущерб в баллах на глаз и пересматривают раз в год. Рабочая карта строится на одном сводном реестре, у каждой позиции один владелец, ущерб измеряют в деньгах. Ее пересматривают по календарю владельцев и вне графика, а решения по ней попадают в бюджет, стратегию и повестку правления.
Как устроена карта рисков?
В основе карты лежит реестр рисков: перечень с описанием, причинами и последствиями каждой позиции. Сетку задают две шкалы — вероятность события и ущерб для компании, каждую позицию ставят в ячейку по этим оценкам. Карту делят на цветовые зоны: в зеленой риски приемлемого уровня, за желтой наблюдают, красной руководство занимается в первую очередь.
Почему ущерб на карте рисков лучше измерять в деньгах?
Если ущерб прикидывают в баллах на глаз, руководство не видит, где проходит граница недопустимых потерь. Поэтому шкалу привязывают к выручке, прибыли или бюджету направления. Так сделали в МТС: риски разложены на тепловой карте 5×5, а потери оценивают показателем VaR — суммой, которую они не превысят в 95% случаев.
Зачем укрупнять реестр рисков и как это сделать?
Когда причины и последствия записаны отдельными строками, одно событие занимает на карте несколько ячеек, а его оценка повторяется. При укрупнении риск-факторы и последствия привязывают к основному риску, и каждое событие оценивают один раз. Федеральная пассажирская компания в 2023 году так сократила реестр со 104 до 23 рисков, за которые отвечают 15 владельцев.
Кто такой владелец риска?
Владелец риска — руководитель, который отвечает за риск целиком: за оценку, за контроль мероприятий и за действия, когда позиция уходит в красную зону. Укрупненному риску назначают одного владельца. Руководителей, которые не стали владельцами, подключают как ответственных за индикаторы и мероприятия.
Когда пересматривать карту рисков вне графика?
К карте возвращаются, когда событие способно сдвинуть вероятность или ущерб сразу у группы рисков: при запуске крупного проекта или сделки, при изменениях на рынке или в регулировании и после инцидента. Внеплановый пересмотр инициирует владелец риска, которого затронуло событие. Между пересмотрами за ключевыми рисками следят по индикаторам с заранее согласованными порогами.