7.5. Система менеджмента риска

В словаре русского языка Даля риск определяется и как возможная опасность чего-либо, и как действие наудачу, тре­бующее смелости и бесстрашия в надежде на счастливый исход.

В настоящее время в области менеджмента используют раз­личные определения термина "риск", что обусловлено неодно­значностью подходов специалистов по менеджменту к проблеме риска в тех или иных видах деятельности организаций.

Существуют определения, в которых риск трактуется как отклонение от желаемого результата, непредсказуемость ре­зультатов или просто возможность потерь. Во многих определе­ниях внимание обращается только на то, что риск так или иначе связан с какими-либо негативными последствиями — потерями, угрозами, опасностями. Например, в законе "О техническом регулировании" риск определен как "вероятность причинения вреда жизни или здоровью граждан, имуществу физических или юридических лиц, государственному или муниципальному имуществу, окружающей среде, жизни или здоровью животных и растений с учетом тяжести этого вреда".

Вместе с тем последствия рисков могут быть не только не­гативными, но и позитивными, поскольку они всегда сопряжены с неопределенностью будущего: риск существует там, где есть неопределенность. В условиях определенности риски отсут­ствуют, так как негативные или позитивные последствия неких событий всегда предопределены и неизбежны.

Неопределенность — одно из центральных понятий в совре­менной теории и практике управления. Важность этого понятия обусловлена тем, что на деятельность любой организации влия­ют неопределенные факторы.

Таким образом, риск представляет собой неопределенность возникновения события, способного позитивно или негативно повлиять на достижение установленных целей. Любое рисковое событие имеет свои причины и последствия. При этом даже одно такое событие может быть обусловлено множеством причин и иметь множество последствий. Например, недобросовестное от­ношение к своим обязанностям инженера по технике безопасно­сти может привести к возгоранию неисправной электропроводки, пожару в производственном помещении предприятия, остановке производства, срыву договорных поставок, несвоевременным платежам по кредитам и т. д.

Далее мы используем преимущественно определения тер­минов в области менеджмента риска, содержащиеся в ГОСТ Р 51897 [5]^[45].

Риск — сочетание вероятности события и его последствий.

Вероятность — мера того, что событие может произойти. Математическое определение представляет собой "действи­тельное число в интервале от 0 до 1, относящееся к случайному событию".

Рисковое событие — событие, оказывающее негативное воздействие на процесс (вид деятельности). Рисковыми собы­тиями могут быть: усиление позиций конкурентов, банкротство поставщиков, увеличение цен на сырье и материалы, выход из строя технологического оборудования, снижение спроса на про­дукцию предприятия и др.

С понятием "риск" в ГОСТ Р 51897 неразрывно связано по­нятие "причастная сторона" — это любой индивидуум, группа или организация, которые могут воздействовать на риск, под­вергаться воздействию риска или ощущать себя подверженными его воздействию. Причастная сторона включает в себя лицо, принимающее решение, и заинтересованную сторону, но имеет более широкое значение, чем заинтересованная сторона^[46].

Каждая организация постоянно сталкивается с большим количеством взаимосвязанных рисков, проявляющихся в раз­личных сферах ее деятельности и требующих постоянного управления. Наиболее характерными для большинства орга­низаций являются следующие группы рисков: финансовые, коммерческие, производственные, экологические, безопасности, социальные, политические. Примеры видов рисков приведены в табл. 7.13 [71].

Все риски, имеющие негативные последствия, неизбежно связаны с экономическими потерями (убытками). Поэтому с любым из них сопряжено понятие экономического риска как воз­можности возникновения нежелательных убытков, измеряемых в денежном выражении [84].

Различные системы менеджмента (СМК, СЭМ, СМБПП, охраны здоровья и безопасности персонала, отраслевые системы менеджмента качества и др.), разрабатываемые на основе тре­бований международных стандартов, направлены на снижение тех рисков организации, которые непосредственно связаны с областью распространения требований соответствующего стан­дарта [16].

Эти системы позволяют значительно уменьшить влияние факторов неопределенности при осуществлении организация­ми различных видов деятельности. В частности, СМК на основе требований ГОСТ Р ИСО 9001 предназначена для уменьшения рисков поставки на рынок неконкурентоспособной продукции путем обеспечения стабильности ее качества на основе удовлет­воренности потребителей и других заинтересованных сторон. В ГОСТ Р ИСО 9004 указано: "Руководство организации несет ответственность за принятие мер по идентификации и умень­шению потенциального риска для пользователей продукции и процессов организации. Следует проводить оценивание ри­сков, чтобы оценить возможность их появления и последствия вероятных отказов или недостатков продукции или процессов. Результаты оценки надо использовать для определения и осу­ществления предупреждающих действий с целью уменьшения идентифицированных рисков" [10].

Системы экологического менеджмента позволяют снизить риски отрицательного воздействия значимых экологических аспектов на окружающую среду. Например, устранение фак­торов неопределенности при разработке и внедрении в органи­зации системы экологического менеджмента в соответствии с требованиями ГОСТ Р ИСО 14001 позволяет добиться:

• улучшения контроля и управления наиболее значимыми экологическими аспектами (выбросы в атмосферу, переработка отходов, оптимальное использование природных ресурсов);

•снижения потерь, связанных с экологическими платежами и штрафными санкциями;

• уменьшения количества аварий и затрат на ликвидацию их последствий;

•повышения репутации организации в глазах потребителей, инвесторов, акционеров и других заинтересованных сторон.

Менеджмент безопасности и охраны труда направлен на снижение рисков отрицательных воздействий производствен­ных факторов на здоровье персонала и имущество предприятия.

Оценки рисков используются и в отраслевых системах ме­неджмента (автомобильной, пищевой и др.).

Однако системы менеджмента качества, безопасности, экологического менеджмента, разработанные в соответствии с требованиями соответствующих стандартов, направлены на снижение рисков лишь в определенных видах деятельности ор­ганизации, т. е. в сфере действия этих систем. Они не позволяют решить совокупности проблем, обусловленных всеми видами рисков, которые могут представлять опасность для организации. Кроме того, разработка и внедрение самих этих систем связана с рисками их несоответствия требованиям стандартов. Напри­мер, разработка СМК организации может быть сопряжена со следующими рисками:

• нарушением принципа "лидерство руководства" — выс­шее руководство не обеспечивает принятых обязательств по разработке и внедрению СМК и постоянному улучшению ее результативности;

• недостаточностью полномочий у представителя высшего руководства организации по качеству для реализации ее поли­тики и целей в области качества;

• недостаточной компетентностью персонала организации для реализации требований стандарта ИСО 9001;

• реорганизацией организации или изменением собствен­ника;

• изменением ассортимента продукции и (или) технологии производства;

• нарушением принципа "вовлечение персонала" — руко­водство не воспринимает персонал всех уровней как ценность организации и недостаточно использует его способности.

Для минимизации воздействий рисков с негативными по­следствиями и обеспечения своего устойчивого финансового положения и прочных позиций на рынке в условиях жесткой конкуренции организации должны осуществлять системное управление рисками.

Еще в конце прошлого века управление различными риска­ми организаций не имело системного характера и осуществля­лось в рамках их отдельных подразделений. В последнее время большое распространение получают концепции менеджмента рисков, получившие название риск-менеджмента.

Менеджмент риска — скоординированные действия по руководству и управлению организацией в отношении риска [5].

Риск-менеджмент в широком смысле — процесс выявления и оценки рисков, а также выбор методов и инструментов управ­ления с целью их уменьшения до приемлемого уровня. Это одна из важнейших областей современного менеджмента, связанная со специфической деятельностью менеджеров в условиях нео­пределенности и сложного выбора вариантов принятия решений.

Российские организации, осознавшие значимость риск- менеджмента в своей деятельности, создают отделы управле­ния рисками и вводят в штатные расписания должности риск- менеджеров, в функциональные обязанности которых входит управление рисками. Однако в большинстве организаций РФ системный подход к риск-менеджменту отсутствует. Управ­ление рисками зачастую сводится к выполнению нормативов надзора, осуществлению значительного количества внутренних проверок и созданию службы безопасности, контролирующей действия персонала и контрагентов. Всех этих действий недо­статочно для полноценного управления рисками.

В соответствии с ГОСТ Р 51897 менеджмент риска является составной частью общего менеджмента организации и реализу­ется в рамках системы менеджмента риска (СМР).

Система менеджмента риска — набор элементов системы менеджмента организации в отношении менеджмента риска. К элементам системы менеджмента риска относятся стратеги­ческое планирование, принятие решений и другие процессы, затрагивающие риск.

В общем виде менеджмент риска представляет собой по­следовательное выполнение следующих операций:

• идентификация риска;

• анализ риска;

• оценивание риска;

• обработка риска;

• коммуникация риска.

Эти операции менеджмента риска направлены на постоян­ное улучшение СМР, имеют циклический характер и повторяют­ся до того момента, когда организация сочтет риск приемлемым или отвергнет его. Менеджмент риска организации является объектом постоянного мониторинга и контроля.

Идентификация рисков — систематическое выявление ри­сков, характерных для определенного вида деятельности, состав­ление их перечня, выявление причин (факторов) возникновения и возможных последствий, а также документирование рисков.

Большую роль в процессах идентификации играют класси­фикации рисков, принятые в организации. Именно классифи­кации позволяют выявить причины возникновения рисков для дальнейшего управления ими. Классификации рисков должны охватывать все возможные для сферы деятельности организации риски и при этом не быть слишком усложненными и неудобными в использовании. Должна поддерживаться база знаний о рисках, содержащая классификации рисков, их определения, критерии диагностики и системы оценок, а также отзывы использовавших эти знания специалистов в области менеджмента рисков.

Классификация видов рисков может быть осуществлена по следующим признакам [71]:

• по сфере деятельности организации (см. табл. 7.13);

• характеру менеджмента — стратегические, тактические, оперативные;

• уровню риска — низкие, умеренные, значительные, кри­тические;

• степени опасности — допустимые, недопустимые;

• возможности предвидения — прогнозируемые, непро­гнозируемые;

• степени ущерба — несущественные, средние, высокие и катастрофические.

С помощью классификации выявляется наиболее полный состав рисков, связанных с деятельностью организации, а также осуществляется выбор именно тех рисков, воздействие которых может быть снижено самой организацией. Например, при рассмотрении степени ущерба, т. е. силы воздействия на финансовую устойчивость и возможность дальнейшей деятель­ности организации, может исходить из того, что несуществен­ным риском является потеря организацией до 10-20% годовой прибыли; средним — до 50-70%; высоким — снижение капитала на 10-30%; катастрофическим — потеря всего капитала. Однако приведенные критерии приемлемы не для всех организаций. Считается более правильным определять влияние ущерба с учетом индивидуальной ситуации в организации. Так, если организации важно получить определенный объем дохода для выплаты кредита, то даже небольшое снижение дохода может быть критическим. А для организации, акционеры которой готовы поддержать ее финансовыми ресурсами и при полной потере капитала, риск прекращения деятельности будет ми­нимальным.

Выявление рисков, непосредственно связанных с деятель­ностью производственных организаций, может осуществляться последовательно по этапам жизненного цикла выпускаемой ими продукции (см. подп. 7.1.2). Организации торговли, финансовые и другие выявляют свои риски по этапам осуществления тех­нологических процессов. Например, для предприятий торговли, осуществляющих реализацию продовольственных товаров, наи­более вероятны риски продаж некачественных и опасных для здоровья потребителей товаров. Эти риски возможны на этапах транспортирования товаров от поставщика до предприятия торговли, входного контроля, хранения и реализации (из-за нарушений правил продажи, сроков реализации и по другим причинам). Кроме того, риски могут выявляться по отдельным объектам предприятия — зданиям, сооружениям, оборудованию, структурным подразделениям и т. д.

Процесс выявления рисков может также включать в себя исследовательскую работу, проводимую специалистами риск- менеджмента организации, или привлеченными со стороны экспертами для получения более глубоких знаний о рисках, свойственных данной организации.

На стадии идентификации необходимо выявить наибольшее количество рисков. Чем больше рисков выявлено, тем качествен­нее осуществлена их идентификация.

Перечень выявленных рисков может быть представлен в виде табл. 7.14.

Анализ риска представляет собой систематическое ис­пользование информации для последующего оценивания риска и разработки мероприятий, направленных на его обработку. Используемая информация может включать результаты ана­лиза предыдущих рисков организации, опроса экспертов (спе­циалистов в области рисков), менеджеров и других причаст­ных лиц.

Для эффективного анализа всего многообразия рисков в дея­тельности организации необходимо применять целый комплекс методов, направленных на качественный и количественный анализ рисков.

Задачами качественного анализа являются определение потенциальных зон рисков, выявление их источников и причин а также прогнозирование практических выгод и возможных негативных последствий проявления выявленных рисков. При этом могут быть использованы методы:

• анализ имеющейся информации;

• сбор новой информации;

• моделирование деятельности организации;

• эвристические (экспертные, метод "мозгового штурма" при участии специалистов различных подразделений органи­зации и др.);

• анализ причин и последствий рисков;

• анализ "дерева отказов";

• диаграммы зависимости;

• методы ранжирования.

Преимущество качественного анализа рисков по сравнению с количественным состоит в его относительной простоте, однако из-за субъективности данный вид анализа не обладает доста­точной достоверностью и надежностью.

Количественный анализ является основным при оценивании риска. Он направлен на определение количественных значений вероятности наступления рисковых событий и их последствий: объема вызванного ими ущерба или выгоды, интересов причаст­ных сторон и других характеристик.

Эффективность применения методов анализа риска повыша­ется при формализации риска с целью математического моделиро­вания его воздействия на результаты деятельности организации. В современных условиях управление деятельностью многих организаций достигло такой сложности, что без использования элементов теории вероятностей и методов математической стати­стики расчет их устойчивости к воздействиям рисков практически невозможен. Оценка вероятности и ее применение — достаточно сложная задача. Однако имеющиеся в организации базы данных о рисках способны помочь получить такие оценки исходя из пред­шествующего собственного опыта или опыта аналогичных органи­заций. Эти опытные данные могут быть представлены в виде про­стых и понятных формулировок — "низкий, средний, высокий", с соответствующими численными значениями, например 17, 50, 84%.

Оценивание риска — процесс сравнения числовых значений количественно оцениваемого риска с выбранными для опреде­ления его значимости критериями.

Количественное оценивание рисков осуществляется с по­мощью довольно сложных расчетных методов, основанных на использовании большого объема статистических данных. Рас­четы направлены на определение вероятности возникновения риска и связанного с ним проявления какого-либо рискового события, приводящего к последствиям определенной тяжести и определенного ущерба. Расчеты производят с использованием таких методов, как например: метод Монте-Карло, имитационное моделирование, динамическое программирование, теория игр, FMEA (Анализ видов и последствий отказов), HAZOP (Анализ опасности и работоспособности), FTA (Анализ "дерева неис­правностей") и др.

Рисковые события, приводящие к последствиям той или иной тяжести (травматизм, профессиональные заболевания раз­личной степени тяжести и даже летальный исход), могут быть связаны с производственной деятельностью человека.

Следствием рисковых событий различных видов является ущерб (убытки) организации. Например, при нарушении рабо­тоспособности производственных линий с частотой два раза в неделю и простое по четыре часа, можно рассчитать, какой объем продукции не будет произведен. В случае принятия решения о сверхурочной работе для снижения риска невыполнения условий контракта с заказчиком, дополнительные затраты на ремонт и оплату сверхурочных работ и будут тем размером убытка, ко­торый необходимо определить.

Для определения допустимого уровня риска в организациях могут использоваться специально разработанные шкалы. При­мером может служить эмпирическая шкала допустимого уровня риска, представленная в табл. 7.15.

В соответствии с этой шкалой при вероятности наступления рискового события, не превышающей 0,4, уровень риска счита­ется допустимым — здесь рекомендуется принимать обычные предпринимательские решения по снижению риска или прини­мать этот риск. При вероятности наступления рискового события свыше 0,4 необходимо принимать решения, направленные на предотвращение риска.

Однако необходимо знать, что значительная часть предла­гаемых для оценивания рисков шкал носит условный характер и в любом случае окончательное решение о допустимой для кон­кретной ситуации вероятности нежелательного исхода остается за риск-менеджером или руководителем организации.

Объективное оценивание риска является не самоцелью, а основой для последующего принятия решений по его обработке.

Обработка риска представляет собой процесс выбора и осуществления мер по модификации (видоизменению) риска. Основными видами модификации риска являются: предотвра­щение, оптимизация, перенос или сохранение.

Предотвращение риска — решение не быть вовлеченным в рискованную ситуацию (избежание риска) или действие, предупреждающее вовлечение в нее.

Избежание рисков, т. е. уклонение от них, является одним из критических решений в области риск-менеджмента. В на­стоящее время такой подход рекомендуют наравне с другими методами в случае, если величина риска и вероятность его на­ступления высоки. Однако данный метод однозначно ведет к отказу от получения дополнительной прибыли для организации. В условиях возрастания нестабильности и непредсказуемости развития мирового и локальных рынков менеджер, избегающий рискованных решений, становится опасным для организации, обрекает ее на застой и потерю конкурентоспособности.

Предотвращение риска, в отличие от его избежания, на­правлено на его снижение до приемлемого уровня путем осу­ществления предупреждающих действий. Однако не все риски можно предотвратить, так как многие из них часто связаны с непредсказуемыми событиями во внешней среде (например, наступление глобального экономического кризиса, отсутствие источников внешнего финансирования и т. д.). В таких случаях целесообразно осуществление действий по смягчению послед­ствий риска, позволяющих минимизировать их влияние. Чтобы быть эффективными, планы этих действий должны быть раз­работаны заблаговременно.

Оптимизация риска направлена на минимизацию негатив­ных и максимальное использование позитивных последствий рисковых событий и, соответственно, вероятности их наступле­ния. В общем виде оптимизация направлена на приведение соот­ношения риск/доход к приемлемым с точки зрения организации величинам. При оптимизации риска должны учитываться виды рисков (см. табл. 7.13), стоимость затрат на их оптимизацию и законодательные требования, относящиеся к области деятель­ности организации.

Перенос риска представляет собой разделение с другой стороной бремени потерь (выгод) от риска с целью повышения надежности в достижении положительных результатов. Пере­давать часть ответственности за риск целесообразно именно тем лицам или организациям, которые лучше других могут его контролировать.

Перенос риска может осуществляться: путем страхования рисков и различных объектов собственности предприятия; по­купкой готовой компоненты вместо ее создания собственными силами; аутсорсингом; хеджированием и др.

Страхование в риск-менеджменте — процесс формирова­ния и использования страхового фонда определенной группой лиц, имеющих страховой интерес, обусловленный рисковыми обстоятельствами времени и места. В частности, применение страхования позволяет организации избежать крайне трудо­емких и подчас весьма приблизительных расчетов вероятности рисковых ситуаций, так как необходимые статистические све­дения наиболее полно сконцентрированы именно в страховании и в обобщенной форме интегрированы в страховой тариф.

Аутсорсинг (от англ. outsourcing — внешний источник) — передача организацией определенных бизнес-процессов или производственных функций на обслуживание другой компании, специализирующейся в соответствующей области. В отличие от услуг, имеющих разовый и эпизодический характер, на аутсор­синг передаются функции по профессиональному юридическому и бухгалтерскому обслуживанию, по поддержке бесперебойной работоспособности отдельных систем и инфраструктуры на основе длительного договора.

Компании, не использующие аутсорсинг, фактически вы­нуждены нести неоправданные затраты и обслуживать непро­фильные активы (например, поддержка работоспособности информационной системы и компьютерного оборудования), используя для этого собственный штат.

Инструмент хеджирования — финансовый инструмент, при помощи которого осуществляется защита от потенциальных рисков валюты, ценных бумаги, депозитов, срочные контрактов и т. д.

Сохранение риска предусматривает полное принятие бре­мени потерь или выгод от конкретного риска. Принимая риск, организация исходит из того, что он существует и изменить его параметры невозможно либо нецелесообразно. Сохранение риска не включает его перенос любыми средствами.

Следует иметь в виду, что в результате обработки перво­начального риска полностью устранить его воздействие на дея­тельность организации практически невозможно, — остается его часть, которая ГОСТ Р 51897 определена как "остаточный риск". Он может быть настолько малым, что любые действия в отношении него нецелесообразны. Такой риск может считаться допустимым.

Коммуникация риска представляет собой обмен информа­цией о риске или совместное использование этой информации лицами, принимающими решение, и другими причастными лицами. Информация о риске может касаться его природы, ве­роятности, формы, тяжести, приемлемости, мероприятий или других аспектов риска.

Управление риском — процессы, осуществляемые для вы­полнения решений в рамках менеджмента риска. В соответствии с ГОСТ Р 51897 управление риском может включать мониторинг, переоценивание и действия, направленные на обеспечение со­ответствия принятым решениям.

В идеале для управления рисками в организации должно быть создано специальное подразделение, возглавляемое риск- менеджером, который занимается исключительно проблемами управления рисками и координирует деятельность всех подраз­делений с целью их регулирования и обеспечения компенсации возможных потерь и убытков. Задача риск-менеджера и его подразделения состоит в разработке стратегии и принципов управления риском на предприятии, которые должны быть из­ложены в его внутренних нормативных документах. Примером организации административной структуры по управлению риском может служить создание отдела, состоящего из риск- менеджера и небольшой рабочей группы из двух-трех человек.

Разработка СМР в организации включает те же этапы, что и разработка других систем менеджмента: принятие политики СМР, установление целей в области рисков, планирование работ, документирование, обеспечение функционирования, анализ и улучшение СМР. При этом данная система должна быть не­отъемлемой частью корпоративного менеджмента.

В ноябре 2009 г. произошло важное событие в области риск-менеджмента: опубликован стандарт ИСО 31000:2009 "Риск-менеджмент. Принципы и руководящие указания". Кроме того, опубликованы и другие документы в области риск- менеджмента: ИСО/МЭК 31010:2009 "Риск-менеджмент оценки риска", Руководство ИСО 73:2009 "Риск-менеджмент. Словарь", ВБ 31100:2008 "Риск-менеджмент. Свод практики".

В соответствии с определениями, содержащимися в ИСО 31000:2009, риск представляет собой "воздействие неопределен­ности на цели"; риск-менеджмент — "совокупность управляю­щих действий, направленных на снижение воздействия фактора неопределенности". Руководящие указания, содержащиеся в данном стандарте, направлены на обеспечение соответствия результатов деятельности организации законам, регламентам и стандартам. На основе этих указаний организации смогут управ­лять любыми типами рисков (независимо от их происхождения и характера) и ожидаемыми последствиями (негативными или позитивными), в том числе рисками ошибочной оценки соот­ветствия продуктов, услуг или процессов установленным тре­бованиям.

Данный стандарт позволяет организации управлять нео­пределенностью системным, эффективным и результативным способом как в стратегической перспективе, так и в рамках от­дельных программ, проектов, функций и операций [69].