Любой бизнес сталкивается с большим числом рисков, чем может управлять одновременно: пожары и наводнения, кибератаки, сбои поставщиков, судебные иски, потеря ключевых сотрудников, изменения регулирования. Картирование рисков — это простой структурированный способ решить, каким рискам уделить внимание в первую очередь и как обращаться с каждым из них, в том числе какие следует застраховать.
Что такое карта рисков
Карта рисков обычно состоит из двух частей. Реестр рисков — это таблица, в которой перечислены риски с их причинами, последствиями, владельцем, существующими мерами контроля и запланированными действиями. Тепловая карта — это сетка, на которой каждый риск отмечен по вероятности и воздействию, чтобы самые серьёзные выделялись визуально. Вместе они поддерживают этап оценки риска, описанный в ISO 31000:2018, который делит оценку на идентификацию, анализ и сопоставление (evaluation).
Шаг 1: определите охват и критерии
Решите, что вы картируете (всю компанию, одну площадку, один проект) и на какой горизонт времени. Затем простыми словами определите шкалы оценки. Распространённый подход использует пять уровней вероятности (от редкого до почти неизбежного) и пять уровней воздействия (от незначительного до тяжёлого). Описывайте воздействие в единицах, понятных вашим руководителям: доллары убытка, дни простоя, число пострадавших людей, регуляторные последствия, репутационный вред.
Шаг 2: выявите риски
Используйте несколько источников, чтобы снизить вероятность слепых зон:
- интервью и семинары с руководителями отделов и сотрудниками на местах;
- собственная история убытков и страховых претензий;
- договоры, аренда и требования клиентов;
- отраслевые отчёты об инцидентах и рекомендации регуляторов;
- чек-листы по категориям: имущество, ответственность, персонал, операции, технологии, финансы, стратегия, право и комплаенс.
Записывайте каждый риск как причину, событие и последствие, например: «Отсутствие резервных копий офлайн (причина) приводит к тому, что программа-вымогатель шифрует систему заказов (событие) и отгрузки останавливаются на неделю (последствие)». Точная формулировка облегчает оценку и работу с рисками.
Шаг 3: проанализируйте и оцените
Для каждого риска оцените вероятность и воздействие с учётом уже существующих мер контроля. Многие компании фиксируют и неотъемлемый риск (до мер контроля), и остаточный риск (после мер контроля), что показывает, насколько бизнес зависит от каждой меры. Умножьте или объедините оценки, чтобы получить рейтинг, но воспринимайте его как ориентир, а не как точное измерение.
Шаг 4: постройте тепловую карту
Разместите каждый риск на сетке. Риски в углу высокой вероятности и высокого воздействия — главные приоритеты. Риски низкой вероятности и высокого воздействия, такие как крупный пожар, ураган или крупное судебное решение по ответственности, часто находятся в отдельной зоне, которая заслуживает внимания, хотя случается редко; именно эти риски, как правило, лучше всего подходят для страхования.
Шаг 5: решите, как с ними поступить
| Вариант | Что это значит | Пример |
|---|---|---|
| Избежать | Прекратить деятельность, создающую риск | Отказаться от контракта с неограниченной ответственностью |
| Снизить | Уменьшить вероятность или воздействие с помощью мер контроля | Спринклеры, обучение водителей, многофакторная аутентификация |
| Передать или разделить | Переложить финансовые последствия на другую сторону | Страхование, оговорки о возмещении убытков, аутсорсинг |
| Удержать | Сознательно принять риск и заложить на него бюджет | Франшизы, самострахование небольших убытков |
У каждого риска должен быть назначенный владелец и срок выполнения действий. Без ответственного реестр превращается в документ, который никто не читает.
Шаг 6: свяжите карту со страхованием
Сравните реестр с вашими текущими полисами. Типичные находки: не обновлённые стоимости имущества, лимиты покрытия потери дохода, не соответствующие реалистичному простою, отсутствие киберпокрытия, договоры, требующие более высоких лимитов ответственности, или грузы в пути, не покрытые никаким полисом. Хорошо подготовленная карта рисков также помогает андеррайтерам понять ваш бизнес, что может способствовать лучшим условиям.
Ограничения тепловых карт
Тепловые карты легко читать, но у них есть слабые места. Оценки субъективны, порядковые шкалы могут скрывать большие различия между рисками в одной клетке, а связанные риски могут сложиться в гораздо более крупное событие, чем показывает сетка. Дополняйте карту сценарным анализом для крупнейших рисков и используйте данные об убытках или модели там, где они есть.
Поддерживайте её живой
Пересматривайте реестр как минимум раз в год и после крупных изменений: новая площадка, продукт, приобретение или серьёзный инцидент. Для более широкого подхода к управлению см. наш обзор стандартов управления рисками, таких как ISO 31000 и COSO ERM. Когда вы будете готовы застраховать риски, которые решили передать, запросите расчёт через Polis Re.