Профессиональный риск — это вероятность нежелательных связанных с работой событий, вызывающих убытки, в частности возникновение неблагоприятных последствий для здоровья сотрудников в результате профессиональных опасностей, возникающих в рабочей среде. В зависимости от значения вероятности и степени потери здоровья пострадавшим (тяжести последствий) профессиональный риск может составлять:
- малый или средний — этот риск можно считать приемлемым;
- высокий — такой риск недопустим.
Маловероятными последствиями опасностей являются те, которые не должны возникать в течение всего периода профессиональной деятельности сотрудника. Вероятные последствия опасностей — это те, которые могут возникать не более нескольких раз в течение профессиональной деятельности сотрудника. Высоко вероятные последствия опасностей такие, которые могут происходить несколько раз в течение трудовой жизни сотрудника. Серьезность последствий невелика, если травмы и заболевания, вызванные угрозами, не вызывают длительных недомоганий и прогулов (например, головные боли, незначительные синяки и раны, раздражение глаз и т. д.),
Тяжесть последствий является средней, если травмы и заболевания, вызванные угрозами, вызывают легкие, но длительные или периодически повторяющиеся заболевания и связанные с короткими периодами отсутствия (например, раны, кожная аллергия, неосложненные переломы и т. д.). Серьезность последствий высока, если травмы и заболевания, возникшие в результате угроз, вызывают тяжелые и постоянные недуги и / или смерть (например, ожоги третьей степени, ампутации, профессиональное нарушение слуха и т. д.)
Типичные ошибки при планировании работ по оценке профессионального риска
- Отсутствие участия команды в оценке или недостаточное участие сотрудников с практическим знанием процедуры оценки рисков.
Сотрудники или их представители, а не только работодатель, должны участвовать в оценке рисков, поскольку все эти люди могут участвовать на разных этапах процесса.
- Поручение оценки риска некомпетентному лицу.
Могут быть случаи, когда лицо, назначенное для проведения оценки риска, недостаточно компетентно для выполнения всех задач. Поэтому важно, чтобы оценщики и работодатель знали об этих типах ограничений. Нет сомнений в том, что при необходимости в процесс оценки должны быть включены специалисты или другие лица со специальной подготовкой (например, сотрудники Института Прогрессивных Технологий).
- Вовлечение специалистов, незнакомых с предприятием, в процесс оценки рисков.
Если мы передали процесс оценки рисков на аутсорсинг специалистам сторонних организаций, им должна быть предоставлена необходимая информация о деятельности компании, включая четко определенный объем производства / услуг и доступные ресурсы. На основе этой информации они смогут адаптировать свой подход к специфике данной деловой активности.
Шаги при оценке рисков
При проведении оценки риска необходимо соблюдать последовательность действий. Рассмотрим один из шагов при оценке рисков: выявление опасностей и лиц, подверженных воздействию. Любая деятельность, которая может причинить вам вред, может представлять потенциальную опасность. Это атавистическая черта или свойство предметов, используемых в производственных процессах. Это также относится к методам работы или практике. Эти угрозы затрагивают сотрудников, имущество и технологические процессы. Во многих случаях они вызывают несчастья, ухудшение здоровья или повреждение оборудования и механизмов.
Пропуск опорных позиций
Одна из наиболее распространенных ошибок, допущенных в процессе оценки рисков и сбора информации, — это пропуск вспомогательных должностей, таких как рабочие по обслуживанию или уборщики. На таких позициях также могут произойти серьезные аварии.
Игнорирование долгосрочных последствий рисков для здоровья
Наиболее очевидные риски обычно рассматриваются при поверхностной и неточной оценке рисков. Последствия долгосрочных рисков, таких как психосоциальные риски, например, связанные с воздействием химикатов или высоким уровнем шума, труднее наблюдать или полностью игнорировать. По этой причине они часто не включаются.
Оценка только на основании инструкции, без учета человеческого фактора
Важным элементом является включение опытных сотрудников в процесс выявления рисков. Они обладают необходимыми знаниями о возникновении и обстоятельствах потенциальных угроз не только на определенной должности, но и на рабочем месте. Не все вопросы, связанные с безопасностью, описаны в инструкциях, поэтому обратитесь к практике и посмотрите, что происходит на рабочем месте.
Слишком строгое соблюдение контрольного списка
Критерии оценки риска следует понимать широко. Они должны учитывать опасности, указанные в контрольном списке, и возникающие в результате реальных ситуаций, в которых сотрудники могут оказаться на работе.
В исследовании опасностей путем наблюдения можно определить их возникновение и интенсивность, что позволит сравнить ситуацию с соответствующей информацией. Часто для выявления химических или механических опасностей необходимо проводить анализ проб воздуха или испытание машины.
По практическим и аналитическим причинам контрольный список содержит список отдельных проблем / опасностей, но на конкретном рабочем месте они могут быть тесно связаны. Реализованная превентивная мера по устранению определенных угроз также может помочь предотвратить другую угрозу.
Игнорирование важных угроз, упрощение
Все потенциальные источники опасностей должны быть внесены в контрольный список, и не важно, чтобы они возникали спорадически, оказывали незначительное влияние на рабочего или применяли соответствующие превентивные меры.
Сбор данных о рабочих местах и занятых людях может помочь выявить риски и работников, подверженных риску. Информация должна быть проанализирована в соответствии с тем принципом, что условия труда и должности могут различаться как внутри предприятия, так и в отдельных производственных или офисных помещениях. Возникновение неточностей и недостатков в этом процессе влияет на точность и качество оценки рисков.
Неспособность распознать определенные категории риска
Оценка риска должна учитывать психосоциальные риски и организационные проблемы на рабочем месте. Каждое из изменений, касающихся как способа ведения рабочего процесса, так и управления работой, а также его экономического и социального контекста, может привести к психосоциальным рискам. Повышая уровень стресса, они могут привести к значительному ухудшению психического и физического здоровья. Более того, опасности, риски и причины несчастных случаев связаны с: человеческим фактором, оборудованием, окружающей средой, продуктами, организацией труда.
Лица, временно находящиеся на рабочем месте, подвергаются риску несчастного случая.
Они также могут быть источником дополнительных угроз на этих объектах. Не приятие во внимание возможность того, что сотрудники других компаний или другие люди, такие как субподрядчики или посетители, останутся на рабочем месте осведомлены об опасностях в месте пребывания и мерах предосторожности, которые следует принять в отношении них.
Отсутствие координации между работодателем и субподрядчиками.
Работодатели и их субподрядчики должны координировать и информировать друг друга, а также информировать соответствующих сотрудников или их представителей обо всех опасностях и рисках. Деятельность субподрядчиков обычно осуществляется параллельно с графиком рабочего времени предприятия или учреждения. Поэтому появление на рабочем месте посторонних людей и оборудования представляет собой потенциальную угрозу для постоянных сотрудников, которые не знакомы с новыми ситуациями.
Исключение групп людей, которые могут быть особенно уязвимыми
Молодые рабочие, волонтеры, беременные женщины, инвалиды и пожилые работники больше подвержены опасностям и дополнительному риску несчастных случаев. Поэтому важно особенно учитывать элементы риска, которые на них влияют. В каждом случае следует принимать профилактические меры, выгодные для этой группы сотрудников.
Отсутствие записей об оборудовании, используемом время от времени.
Список оборудования на предприятии должен включать все устройства в нем. Редко используемые машины, транспортные средства, оборудование, устройства, оборудование, которые не учитывались в процессе оценки риска, в определенных ситуациях могут представлять опасность.
Непринятие во внимание данных о несчастных случаях на производстве и плохом состоянии здоровья
Данные об обстоятельствах и последствиях несчастных случаев на производстве представляют собой ценный источник информации для выявления опасностей, опасных мест и учета особо уязвимых рабочих. Часто — и это ошибка — случается, что на этом этапе процесса оценки риска информация, касающаяся несчастных случаев на производстве или плохого состояния здоровья работников, не принимается во внимание.
Читайте наши свежие публикации
НЕСЧАСТНЫЕ СЛУЧАИ НА ПРОИЗВОДСТВЕ: СТАТИСТИКА, РАССЛЕДОВАНИЕ, ВЗНОСЫ В …
30 января 2023 Важно знать
ПРОВЕДЕНИЕ СОУТ В СФЕРЕ МЕДИЦИНЫ
19 января 2023 Важно знать
СТАТЬ АНГЕЛОМ ДЛЯ РЕБЕНКА ПОД НОВЫЙ ГОД — …
13 января 2023 Важно знать
ЗИМА, ХОЛОДА 2023: НОРМЫ РАБОТЫ НА МОРОЗЕ, ОТВЕТСТВЕННОСТЬ …
11 января 2023 Важно знать
Перейти ко всем новостям
Ошибки при проведении оценки профессиональных рисков
Эксперт компании СМАРТА, нашего партнера в области охраны труда, рассказывает, какие ошибки могут появиться при проведении оценки профессиональных рисков на предприятии, и объясняет, как их избежать.
Анатолий Зернов, эксперт компании СМАРТА
Директор департамента безопасной организации труда
Прошло уже достаточно времени с момента, как организации столкнулись с необходимостью проведения оценки профессиональных рисков (ОПР). За это время накопился как положительный, так и отрицательный опыт реализации данной процедуры. Разбираем самые распространенные ошибки.
Перестарались с положением
Поскольку метод оценки риска организация выбирает самостоятельно, документ, описывающий процедуру оценки профессиональных рисков, является обязательным для любой организации. Этот документ создается задолго до того, как появляются первые результаты ОПР, и мы описываем процесс, который только предстоит реализовать. Нередко при создании положения по оценке рисков его делают неоправданно сложным. Если положение заказывают в экспертной организации, часто, для оправдания стоимости, документ делают объемным и, как следствие, содержащим избыточные требования и действия.
Самое простое решение, как правило, является самым оптимальным.
Мы не рекомендуем вам создавать процедуры, которые будут сложно реализуемы, а также потребуют больших временных ресурсов.
Оценка вероятности на статистике происшествий
Следующей распространенной ошибкой является анализ статистики несчастных случаев в организации с целью определения вероятности. В охране труда после несчастного случая должны быть приняты все меры, чтобы избежать его повторения. Таким образом, уместно рассчитывать вероятность на основе статистики только в организациях, где не ведется работа по охране труда.
Данные о происшествиях дают бесценную информацию для идентификации опасности, но оценивать вероятность нужно анализируя существующие меры управления. Только так, усиливая меры контроля, мы можем увидеть изменения в уровне риска.
Бесконечно обкатывать пилотный проект
Вообще способ реализации новой процедуры через пилотный проект идея хорошая и часто оправданная, но сейчас наблюдается тенденция «зависания» в стадии реализации пилотного проекта. Дело в том, что идеальная оценка риска – очень долгая и труднодостижимая задача.
Напомним, что в соответствии с требованиями трудового законодательства, оценка рисков должна быть проведена на всех рабочих местах. Даже очень хорошо сделанная ОПР только на части рабочих мест не избавит организацию от претензий со стороны надзорных органов.
С другой стороны, поскольку процесс обеспечения безопасности идет постоянно, мы можем постоянно улучшать оценку риска. Главное, чтобы этим процессом были охвачены все рабочие места.
Заказали ОПР частями в разных организациях
При проведении оценки рисков важно не только оформить карты на все рабочие места, но и проанализировать опасности с точки зрения задач управления.
Обязательными документами, подтверждающими проведение процедуры ОПР являются «Реестр опасностей организации», включающий все опасности, ранжированные по значимости и «Перечень мер по исключению, снижению или контролю уровней рисков».
Если разные структурные подразделения оценивались разными методами, единый анализ опасностей в рамках всего предприятия будет очень сильно затруднен или даже невозможен.
Привычка покупать по дешевке
Ну и последнее, на что хотелось обратить внимание – это цена вопроса.
Если вы заказывали оценку риска в экспертной компании, то наверняка заметили, что сложившийся рынок услуги предлагает очень большую линейку ценовых предложений.
Обратите внимание на то, что оценка профессиональных рисков – это не специальная оценка условий труда. Когда мы заказываем спецоценку, лаборатория не может оказать услуг меньше, чем определено Федеральным законом №426. Для профрисков такого документа не существует.
В оценке рисков цена, как правило, отражает объем работы эксперта.
Оценка профессиональных рисков — обязанность работодателя, которая позволяет определить, какие негативные события могут произойти в процессе работы, что к ним приводит и как можно этого избежать. Статьи 212 и 214 ТК РФ регулируют этот вопрос.
Простым языком, оценка профессиональных рисков сейчас обязательная для всех. Именно поэтому вам пригодится информация о том, что из себя представляет оценка, как проводится и какие документы нужны. Порядок в организации системы не только убережет вас от штрафов, но и поможет сократить производственный травматизм, который по информации Роструда с 2000 года снизился уже в 6,5 раз.
Кто и когда проводит оценку профессиональных рисков
1) Работодатель может провести оценку профессиональных рисков самостоятельно или поручив эту задачу ответственному по охране труда. Они:
- формируют реестр опасностей;
- разрабатывают план по снижению профессиональных рисков
2) Можно заключить договор со сторонними специалистами. Оценку профрисков на платной основе можно заказать в организации, специализирующейся на охране труда.
Оценка профессиональных рисков может быть плановой и внеплановой.
Плановая оценка проводится по графику работодателя, внеплановая — при любых изменениях условий труда или несчастном случае. Изменения могут быть:
- внутренними — применение нового оборудования, появление новых структур на предприятии и т.д.;
- внешними — например, принятие новых законов, развитие технологий.
Оценку проводят обязательно, если на предприятии не делали этого ранее.
Что проверит инспекция
В процессе оценки вы выявляете опасности, определяете риск наступления последствий и работаете над их устранением. Проверяя эту систему, инспектор обратит внимание на следующее:
- на предприятии принята система определения опасностей;
- определены механизмы оценки риска;
- подготовлен план мероприятий для снижения риска;
- оценены возможности его реализации;
- приняты конкретные меры для снижения риска.
- при проверках и расследовании несчастных случаев инспектор ГИТ будет проверять эффективность системы оценки, отчеты профессиональных рисков и наличие каждого из этапов.
Ответственность работодателя за отсутствие оценки профрисков
Если в организации не проводится оценка рисков, наступает ответственность согласно статье 5.27.1 КоАП РФ. Штрафы составят:
- для сотрудника — от 2000 до 5000 рублей;
- для организации — от 50 000 до 80 000 рублей.
Как провести оценку профессиональных рисков: этапы
1) Подготовительный этап.
Руководитель подписывает приказ о создании комиссии. В нее входят сотрудники организации с профильной подготовкой:
- начальники подразделений,
- управленческий персонал,
- главный инженер,
- специалист по охране труда,
- представитель профсоюза.
В комиссии обязательно должно быть нечетное количество специалистов, минимум 3 человека.
На этом этапе определяется график работ, подготавливаются документы, опросные листы. Нужно собрать сведения об используемом оборудовании и материалах, несчастных случаях, жалобах и предложениях коллектива. Сотрудникам сообщают о начале работы.
Опрос персонала можно провести с помощью анкет или чек-листов, в которых необходимо указать должность и краткое описание работ, используемых материалов и инструментов, а также ряд факторов, напротив которых проставят отметки “да” или “нет”:
- работа на открытом воздухе;
- повышенная или пониженная температура;
- опасность пожара;
- наличие плана эвакуации;
- риск падения с высоты и т.д.
Анкета составляется с учетом специфики работы.
2) Выявление опасностей
На этом этапе составляют перечень рабочих мест, определяют источники возможной опасности, указывают работы, при которых существует конкретная опасность, например, работа в замкнутых пространствах и на высоте, монтаж и демонтаж зданий и линий электропередачи, ремонт и наладка гидравлического оборудования и т.д.. Затем оценивают правильность действий на этом этапе и утверждают реестр идентифицированных опасностей.
В реестр стоит включать опасности исходя из приоритета их исключения или снижения уровня риска.
3) Оценка уровня риска. Как оценивать профессиональные риски
Порядок оценки профрисков определяется приказом Минтруда № . Он подразумевает определенный порядок действий:
- выявление опасностей;
- их оценка и определение вероятности наступления;
- снижение уровня риска.
Методы оценки профессионального риска
Рекомендации по выбору метода оценки профессионального риска можно найти в приказе Минтруда РФ № 926 от 28.12.2021 г. Вы выбираете метод самостоятельно:
- матричный метод: наиболее распространенный, особенно для небольших предприятий. Вы подготавливаете матрицу, по одной оси которой вероятность возникновения опасности (высокая, средняя, низкая), а по другой — уровень последствий (малый, средний или тяжелый вред). На пересечении вы получите уровень риска.
- матричный на основе балльной оценки: матрица строится по тому же принципу, что и в методе выше, но каждое значение имеет свой весовой коэффициент (балл), а уровень риска рассчитывается как произведение коэффициентов вероятности и тяжести.
- контрольные листы: для использования этого метода нужно определить процессы, которые вы планируете контролировать, составить перечень вопросов, уточняющих выполняются ли требования к рабочим процессам и направить листы сотрудникам, которые эти процессы выполняют. Пример контрольного листа можно найти здесь.
- метод анализа сценариев: этим методом вы можете определить риски на основе возможных сценариев — “лучший случай”, “худший случай” и “ожидаемый случай”. После моделирования ситуаций для каждого случая риск оценивается отдельно.
Мы описали наиболее простые и распространенные методы как провести оценку профессиональных рисков. Всего их 14, но вы можете разработать и свой собственный.
Выбранным методом определяют уровень риска и его допустимость. Составляют карту уровня профессионального риска.
Карта уровня рисков нужна, чтобы:
- ответственные могли систематизировать полученную при оценке информацию;
- работник знал о собственных рисках;
- инспектор мог убедиться, что система оценки рисков работает.
Как разработать карту профрисков?
В законе нет единой формы этого документа, поэтому вы можете подстроить её под потребности вашего предприятия. При этом есть обязательные пункты, которые содержатся в карте:
- наименование рабочего места;
- перечень опасностей;
- уровень риска,
- меры по снижению риска.
Разрабатывая карту профрисков, на каждой проставляется дата ознакомления, ФИО работника и подпись. Так при проверке вы сможете подтвердить, что сотрудники получили эту информацию.
Какими могут быть уровни профессионального риска
Для определения уровня необходимо построить матрицу, по одной оси которой вероятность наступления негативного события, а по другой — тяжесть вреда от его наступления. Для удобства присвой им количественные значения:
- 1 — незначительный;
- 2 — низкий;
- 3 — средний;
- 4- высокий;
- 5 — экстремальный.
На пересечении будет искомый уровень риска.
Управление профессиональным риском и варианты снижения
На этом этапе необходимо решить, как снижать профессиональные риски и провести необходимые для этого мероприятия.
Способ управления риском зависит от его значимости и мер, которые вы можете принять в конкретной ситуации.
- Исключение или замена опасной работы, оборудования или сырья.
- Административные методы.
- Инженерные методы.
- Применение средств индивидуальной защиты.
Отчет по итогам проведения оценки профрисков
После проведения оценки профессиональных рисков вы должны подготовить документы, которые помогут проинформировать сотрудников и дополнят Положение о системе управления охраной труда.
1) Карты уровня профессионального риска, которые содержат информацию о возможном вреде, вероятности наступления риска, опасных факторах среды на предприятии.
2)Положение по оценке и управлению профессиональными рисками, в котором план управления рисками, защитные меры, приоритетность рисков и ответственных.
3) План мероприятий по улучшению условий труда.
Результаты оценки профрисков могут частично совпадать с результатами СОУТ, но первое понятие шире: оценка рисков затрагивает больше условий труда, включает действия в случаях аварийных ситуации, затрагивает организацию в целом с учетом перемещения сотрудников, а не только рабочее место.
Частые ошибки при оценке профессиональных рисков
1) Ошибка: Несистемная оценка рисков.
Причина: Если вы проводите эту процедуру частями, сложно получить конкретный результат. Отчеты будут разными, могут различаться методы оценки, в результате чего процесс может затянуться.
2) Ошибка: Отсутствие проверок в офисах.
Причина: Оценка уровня профессиональных рисков стала обязательной процедурой для всех, даже если вы работаете исключительно с бумагами, а не на опасном производстве. При проверке системы охраны труда в любом случае потребуют отчёты профессиональных рисков.
3) Ошибка: Несвоевременная оценка.
Причина: Оценка рисков на рабочем месте уже после того, как сотрудник принят на работу. Оценку стоит провести до того, как новый специалист приступит к работе.
Чтобы ваши сотрудники не допускали ошибок, необходимо своевременно проходить обучение и повышение квалификации.
Единый Всероссийский Институт обучает специалистов по охране труда. Вы можете выбрать подходящую программу. Обучение проводится онлайн в кратчайшие сроки. Сотрудник получит документ, подтверждающий обучение.
Итог
Оценка уровня профессионального риска — обязанность работодателя. Она регламентируется статьями ТК и приказами Минтруда.
Оценка может быть плановой и внеплановой. За невыполнение обязанности организация может получить штраф до 80 000 рублей.
За оценку профриска отвечает сотрудник службы охраны труда.
Для оценки профессиональных рисков необходимо следовать плану:
- создать комиссию, подготовить опросные листы и другие документы;
- выявить опасности: изучить рабочие места, отдельные виды работ, на которых могут возникнуть аварийные ситуации;
- оценить уровень риска. Для этого необходимо выбрать метод оценки.
- выбрать вариант управления риском: исключить определенные этапы работ, изменить процессы или оборудование и т.д..
По итогам оценки подготавливают карты и Положение по оценке профрисков. Они включают в себя сведения об условиях работы, возможных рисках и пути их снижения.
#статьи
- 19 май 2022
-
0
Управление рисками в проекте: как найти и оценить, как составить план защиты от них
Основы управления рисками для менеджеров, которые работают с проектами. Какими бывают риски и как на них реагировать. Пересказ лекции Google.
Кадр: фильм «Исходный код»
Обозреватель Skillbox Media по маркетингу и IT. С 2015 года работает с SEO, таргетированной и контекстной рекламой. Писала для Skypro, Yagla и Admitad.
Риски — неотъемлемая часть любого проекта, от семейного праздника до строительства гидроэлектростанции. Ни один проект не следует плану на 100%, даже если им руководит опытный менеджер. Управление рисками — отрасль проектного управления со своими техниками и методиками.
Мы перевели и пересказали главное из лекции об основах управления рисками «Risk Management Basics», которую подготовили в Google для курса по управлению проектами.
- Что такое риски в проекте
- Самые распространённые виды рисков
- Как найти риски в проекте и оценить их
- Вы нашли риски: что с ними делать
- Как составить план по управлению рисками
Есть много определений риска, но мы дадим очень простое. Риск — это негативное событие, которое может произойти, а может и не произойти. Риски нужно отличать от проблем: риск станет проблемой, только если негативное событие произойдёт.
Проблемы мешают выполнению задач проекта. Если вы руководите проектом, вы должны помнить, что несёте ответственность за риски.
Вот несколько примеров рисков и проблем, к которым они привели.
- Целью проекта было опубликовать исследование, но ведущий аналитик уволился, когда была готова только половина. Дедлайн сорвали, и задачу в срок не выполнили.
- Спрос на товар резко вырос, и поставщик не смог поставить требуемое количество. Полки магазина опустели.
- Компания продавала в офисы растения, которые почти не требуют ухода. Однако у поставщиков закончились специфические растения, в которых нуждалась компания, — папоротники и кактусы.
Когда вы понимаете, какие риски есть в проекте, вы можете принять меры предосторожности — например, обратиться за консультацией. Если что-то пойдёт не так, у вас будет план, как решить проблему.
Управление рисками в проекте — это процесс поиска, оценки и предотвращения потенциальных проблем. Этот процесс регулярный, превентивных действий на старте проекта недостаточно.
Управление рисками не только снижает влияние негативных ситуаций на проект. Оно высвобождает ресурсы: материальные, трудовые.
Есть разные классификации рисков. Мы назовём виды рисков, которые упоминают чаще остальных.
Временные риски. Это вероятность того, что на выполнение задач в проекте уйдёт больше времени, чем запланировано. Помните о сроках, потому что время — это ресурсы. Если команда тратит много времени на задачи, растёт и фонд оплаты труда. Кроме того, стейкхолдеры проекта могут разочароваться из-за задержек.
Бюджетные риски. Из-за плохого планирования стоимость проекта может оказаться больше, чем заложено в бюджете. Обычно бюджет закладывают перед запуском проекта, тогда же планируют траты по статьям. Если команда не уложится в план, потребуются дополнительные средства, и если их не будет, проект остановится.
Риски изменения объёмов работы. Они могут появиться, если исполнители не поняли требований заказчика или он сам внёс в проект изменения. Это может привести к пересмотру бюджета, сроков и списка задач.
Внешние риски. Это потенциальные события, которые находятся за пределами компании и которые компания не может контролировать. Например, на проект могут повлиять новые законы.
Единая точка отказа. Так называют единственное событие, которое может остановить всю работу над проектом. Ни один член команды не сможет дальше выполнять свои задачи, пока проблема не решится. Например, для интернет-магазина единой точкой отказа может стать отключение электричества в офисе. Если доступ к инструментам, таким как CRM, был только из офиса, вся команда не сможет выполнять задачи.
В результате команда не выполнит ни одной задачи. Зная об этой точке отказа, можно принять меры: создать резервные копии сервисов и информации в облаке.
Зависимости. Это связи между двумя задачами в проекте: когда начало одной задачи зависит от завершения другой. Зависимости часто становятся риском для проекта.
Например, один из членов команды должен подписать контракт с заводом-поставщиком. Пока контракта нет — остальная команда не может выполнить ни один заказ. Если вовремя не подписать документ, то проект не закончат в срок.
Другой пример. Участник команды уходит в отпуск. Если он отвечал за критические процессы, то другие участники не смогут выполнять свои задачи. От этого риска можно было бы защититься, узнав о планах членов команды с самого начала.
Зависимости могут быть внутренними и внешними. Внутренние — зависимости внутри проекта. Например, чтобы начать разработку сайта, нужно сначала утвердить его дизайн.
Внешние зависимости — зависимости, над которыми у команды нет контроля. Например, компания покупает у фермы овощи для продажи, и если лето окажется засушливым или слишком дождливым, урожая будет меньше — а значит, компания не получит достаточно овощей.
Рисков, которые могут повлиять на ваш проект, много. Нельзя предугадать их все, но можно проработать большинство из них. В следующем разделе мы рассмотрим методы поиска рисков.
Самый эффективный способ найти риски — мозговой штурм с командой проекта. Так каждый сможет предложить свои идеи. Лучше, если в мозговом штурме будут участвовать люди, занимающие разные роли в проекте, имеющие разный бэкграунд. Люди с разным опытом и набором навыков помогут найти риски, о которых руководитель не догадывается.
Некоторые члены команды участвовали в нескольких проектах внутри компании. Они поделятся информацией об опасностях, с которыми столкнулись коллеги. Новичок может рассказать об опыте команд, в которых он работал раньше.
Чтобы структурировать информацию, полученную во время мозгового штурма, используйте диаграмму Исикавы. Диаграмма, известная как «рыбьи кости», наглядно показывает причинно-следственные связи.
В «голову» рыбы помещают риск, который нужно проанализировать. На «костях» пишут причины, которые могут привести к негативному событию. К ним могут вести «кости» поменьше — причины второго порядка. Иногда добавляют третий, четвёртый и даже пятый уровни.
Вот диаграмма Исикавы, составленная для анализа проблемы — у компании низкие продажи.
Инфографика: Майя Мальгина для Skillbox Media
Например, есть риск, что поставщики вовремя не доставят товар. На диаграмму поместят следующие причины:
- нет инструментов отслеживания;
- государство может ввести ограничения;
- нет человека, который отвечает за доставку товара.
Может оказаться, что список рисков слишком большой. Это нормальный результат для такого анализа. Нужно будет выбрать самые важные риски, на которых сосредоточится команда.
Для оценки рисков используйте матрицу вероятности и последствий. С помощью неё вы поймёте, о каких рисках нужно помнить в первую очередь.
Сначала проанализируйте, какие последствия могут быть, если риск превратится в проблему. Используйте шкалу:
- Сильный эффект — если проблема может сорвать проект или существенно его изменить.
- Средний — если событие может повлиять на проект, но это можно поправить.
- Слабый — если риск незначительно повлияет на проект, но точно его не сорвёт.
Потом оцените вероятность того, что риск возникнет:
- Высокий — высокая вероятность риска.
- Средний — риск есть.
- Низкий — скорее всего, риска нет.
Затем нужно собрать оценки вероятности и силы последствий на одной шкале и разбить риски на несколько групп.
- Если вероятность низкая, а последствия дадут слабый эффект, то об этом риске не стоит беспокоиться. Просто имейте в виду, что он есть.
- Если вероятность высокая и последствия дадут сильный эффект, о защите от этого риска нужно позаботиться в первую очередь.
Несколько незначительных рисков обычно меньше влияют на проект, чем один риск высокого уровня. Последние чаще приводят к тому, что проект срывается. Поэтому работайте сначала с проблемами высокого и среднего уровня.
Используйте разные цвета, чтобы выделить приоритетные задачи. Так участник команды, увидев таблицу, сразу поймёт, с какими рисками нужно работать в первую очередь.
Есть четыре основные стратегии, как реагировать на риски. Можно попробовать избежать рисков, принять их, передать их другой команде; их также можно уменьшить и контролировать.
Рассмотрим каждый способ.
Избегать. Иногда вы можете избежать риска полностью. Например, если вы сомневаетесь в надёжности подрядчика, который часто не соблюдает сроки, вы можете перестать работать с ним.
Принять. Этот способ подойдёт для рисков с низкой или средней вероятностью и без тяжёлых последствий для проекта. Нужно принять, что такой риск существует, и отслеживать его всё время до окончания проекта.
Представим, что поставщик неожиданно заявил, что у него нет нужных вам компонентов, однако он пополнит запасы в ближайшее время. Возможно, это скажется на сроках проекта.
Можно начать работу с другим поставщиком, но такой риск лучше принять. Это имеет смысл, если задержки не критичны для проекта. Если не искать нового поставщика и смириться с риском, это избавит команду от лишней работы.
Уменьшить или контролировать. Для смягчения риска используйте дерево решений. Это блок-схема, которая показывает, какие решения существуют для каждой проблемы. Например, если компания работает с исполнителем, который срывает сроки, ему можно постоянно напоминать о задаче: отправлять имейлы каждый день или звонить.
Передать риски. Если команда понимает, что не может снизить риски для какой-то группы задач, она может передать их специализированным компаниям. Иногда это помогает сэкономить время и деньги.
План по управлению рисками — это документ, который описывает возможные риски и способы их снизить. Если у вас есть такой план, все члены команды и заказчики будут в курсе, какие проблемы могут возникнуть во время реализации проекта. Документ нужно постоянно дополнять, так как новые риски могут появиться на любом этапе проекта.
План можно создать в «Google Документах». Так все члены команды будут иметь к нему доступ. Укажите название компании, название проекта и кто создал этот документ — чтобы было понятно, к кому обращаться, если возникнут вопросы. Также можно написать, когда документ был создан и когда обновлялся в последний раз. Так команда будет понимать, насколько он актуален.
Скриншот: Google Career Certificates / YouTube
Далее напишите цель документа: смягчить последствия рисков в проекте. В план нужно добавить краткое описание проекта — и написать, какие проблемы проект переживёт, а какие риски могут его изменить.
Следующая часть — самая важная. Создайте таблицу, в которой вы распишете все возможные риски, оцените их и добавьте возможные решения для каждого. Как это сделать, мы разобрали в предыдущих разделах.
Например, один из рисков — поставщик не успевает уложиться в сроки. У этого риска средний уровень. Для снижения риска есть решение: ежедневно созваниваться с поставщиком.
Важно, чтобы не только команда знала о планах. Обязательно встретьтесь с заказчиком или напишите ему письмо, чтобы рассказать, какие риски есть у проекта.
Так вы уже в начале проекта будете понимать, поможет ли заказчик решить проблемы, если они возникнут. Например, если заказчик предупредил, что он не сможет увеличить бюджет, вы учтёте, что работаете с ограниченными ресурсами и дополнительных средств не будет.
Если вы не расскажете о рисках заказчику заранее, в середине проекта они могут стать неприятным сюрпризом. Так вы можете подорвать доверие к себе и всей компании. Если же заинтересованные стороны знают о рисках, все понимают, чего потенциально можно ожидать при работе над проектом.
Особенно важно поговорить с заказчиком, если есть риски высокого уровня. В таком случае лучше встретиться с ним и пообщаться лично. Возможно, вы найдёте совместные решения. Риски среднего и низкого уровня можно обсудить по электронной почте.
Все риски обнаружить невозможно, и это нормально. Но если вы предусмотрите значительную часть из них и придумаете решения, вы будете лучше подготовлены к проблемам.
- Риски — это возможные негативные ситуации, которые могут помешать выполнению проекта. Проблемы — это воплотившиеся риски.
- Самые распространённые виды рисков: временные, бюджетные, нарушения в зависимостях, внешние, а также единые точки отказа — события, которые останавливают всю работу команды.
- Ищите риски с помощью мозговых штурмов, анализируйте их с помощью диаграммы Исикавы, а потом оценивайте их эффект и вероятность.
- На риски можно реагировать с помощью одной из четырёх стратегий: избегать, принять, контролировать или передать другой команде.
- Список самых опасных рисков и список мер, с помощью которых команда будет на них реагировать, вносят в план по управлению рисками.
Другие материалы Skillbox Media по управлению проектами
- Что такое проект: разбираем главное понятие проектного управления
- Kanban: рассказываем, как работает эта методика
- Как планировать проекты и следовать графику работ с диаграммами Ганта
- Что такое Agile: методология, команда, оценка эффективности
- Как работает Scrum и как управлять проектом с помощью этой методики
Учись бесплатно:
вебинары по программированию, маркетингу и дизайну.
Участвовать
Научитесь: Профессия Менеджер проектов
Узнать больше
Предпринимательская деятельность всегда была сопряжена с рисками. Ни один проект в бизнесе не реализуется в полном соответствии с изначальным планом. Особенно если речь идет о крупных предприятиях. Для того чтобы максимально обезопасить себя от провалов и недочетов, необходимо провести анализ рисков бизнеса.
Виды рисков в бизнесе
Под бизнес-риском понимают событие или обстоятельство, которое оказывает отрицательное влияние на деятельность организации в целом и на отдельные аспекты ее функционирования. Проще говоря – это негативное событие, которое может произойти с предприятием. Есть различные виды рисков в зависимости от критерия классификации.
Внутренние и внешние
По источнику возникновения риски делят на внутренние и внешние. Внутренние связаны с ошибками самого руководства или персонала. Это может быть:
- некорректное построение процессов на предприятии;
- низкая квалификация сотрудников;
- провальная налоговая оптимизация;
- неоправданно крупные вложения в тот или иной сектор;
- отсутствие должного мониторинга, контроля, аудита;
- осуществление управления без учета актуальных изменений;
- негибкость в принятии решений.
Всё перечисленное несет в себе для компании потенциальные проблемы, которых можно избежать, если скорректировать работу.
К внешним рискам относится:
- опасная экономическая или политическая ситуация, сложившаяся в регионе, стране или мире;
- инфляция и валютные скачки;
- срочное изменение экономических регуляторов, например ключевой ставки Центрального банка, налоговых ставок, пошлин и т. д.;
- внезапные нововведения в законодательство (гражданское, трудовое, налоговое);
- стихийные бедствия и другие природно-климатические факторы.
Определенные и неопределенные
По уровню осведомленности руководства или ответственных лиц различают:
- риски определенности – это нежелательные пути развития событий, о которых имеется достаточное количество информации. В качестве источников могут выступать отчетность бухгалтерии, договоры;
- риски неполной определенности – варианты, при которых есть существенные пробелы в данных;
- риски полной неопределенности – ситуации, когда данные о возможном течении нежелательных событий и способах борьбы с ними отсутствуют вовсе. Однако с ними также работают с помощью аналитических инструментов, вычислений, которые могут дать вероятный прогноз.
Итог вычислений может быть сформирован в виде следующих значений:
- абсолютных – численное выражение ущерба, который возможен при реализации риска. Например, сумма, на которую уменьшился доход организации или стоимость товара;
- относительных – переменные показатели, обычно выражающиеся в виде процентов. Например, уменьшение оборотов по сравнению с прошлогодними или с запланированными;
- усредненных – величины, представляющие собой коэффициенты, которые получаются после исследования отдельных показателей.
Систематические и несистематические
По критерию предсказуемости риски бизнеса делят на систематические и несистематические. Первые несут угрозу всему рынку или некоторым его сферам. Предсказать их наступление и оценить последствия могут лишь эксперты соответствующих областей, но далеко не всегда. Сюда относят политические, природные, юридические и экономические риски. Несистематические возникают в отдельных организациях, их реально предсказать своими силами. Это могут быть производственные, финансовые и рыночные риски.
Провести между ними четкую грань трудно. Всё зависит от конкретной ситуации. Так, производственный несистематический риск в виде невыполнения плана продаж, казалось бы, возникший из-за отсутствия должного контроля над подчиненными и решаемый простыми дисциплинарными методами, может после более глубоко анализа оказаться следствием введения нового закона, который существенно замедлил работу производства.
Страховые и нестраховые
По критерию не только предсказуемости, но и возможности последующей компенсации, то есть защиты, риски можно разделить на страховые и нестраховые. Сама эта классификация предполагает, что предварительно будет проведен анализ и принято решение по поводу страхования самого бизнеса, его объектов или сделок. Страховые риски в виде пожаров, ограблений, порчи имущества бывает трудно спрогнозировать и просчитать, но зато можно договориться о денежной компенсации в случае их наступления.
Риски на каждом этапе
Угрозы могут быть классифицированы в зависимости от этапа, который проходит бизнес в целом. Например, на первоначальном этапе существую риски:
- ошибиться при разработке схемы будущей деятельности;
- недооценить уровень конкуренции в выбранной сфере;
- не учесть необходимость дополнительных инвестиций;
- переоценить собственные возможности и ресурсы;
- не учесть экономическую обстановку на рынке;
- ошибиться при подборе рабочего персонала.
Поэтапная классификация рисков существует и в рамках отдельных проектов. Например, при работе над мобильным приложением могут быть риски, связанные с этапами:
- фиксации требований;
- составления плана;
- создания дизайна;
- осуществления разработки;
- предварительной оценки;
- тестирования;
- внесения правок;
- приемки.
Так, может получиться, что на стадии дизайна заказчики не утвердили предложенный вариант и по окончании этапа разработки выяснилось, что внешний вид приложения они представляли себе иначе. Значит, придется потратить время и усилия для внесения изменений как в дизайн, так и в код.
Кратковременные и постоянные
По временному фактору риски делятся на кратковременные и постоянные. Риск может сопутствовать всей деятельности предприятия от начала до конца, а может являться особенностью только одного этапа или даже конкретного действия одного человека.
Прямые и косвенные
Риски при их наступлении могут наносить прямой ущерб в виде материальных потерь или утраты других ресурсов, таких как силы и время – это прямые риски. Но иногда потери не являются очевидными или сказываются на отдельном аспекте работы спустя некоторое время – это косвенные риски. Иногда к последним можно отнести репутационные риски, при которых имиджу компании вредит, например, некорректное ведение социальных сетей или даже вызвавший раздражение потенциальных клиентов конкретный рекламный пост. Еще выделяют зависимости – риски, которые влекут за собой другие. Это связи между двумя или несколькими задачами в проекте. Например, один из сотрудников может заболеть и уйти на больничный. Как таковое его отсутствие не критично, однако если на него был возложен определенный функционал в рамках проекта и руководство не позаботилось о том, чтобы подготовить ему замену заранее, процесс адаптации остальных участников может затянуться и повлечь издержки.
Высокие, средние, низкие
Риски классифицируют и по степени возможного урона, который может быть нанесен в результате того или иного события. У каждой компании границы между одними и другими будут разные. Для одной убыток в миллион рублей – это катастрофа, от которой придется долго оправляться, для другой – лишь небольшое снижение дневной прибыли.
В результате сравнения рисков по степени опасности в деятельности компании можно выделить несколько так называемых рисковых зон:
- Безрисковая. Анализируемая деятельность не содержит потенциальных угроз или вероятность их возникновения крайне мала.
- Зона с допустимым значением риска. Существуют прогнозы, которые указывают на вероятные проблемы, но даже если они сбудутся, потери будут значительно меньше ожидаемой прибыли.
- Зона критических значений. Вероятные потери выше прогнозируемой прибыли, можно потерять значительное количество ресурсов.
- Зона катастрофического риска. Предполагается урон, который перекроет все активы компании и повлечет неминуемое банкротство.
Стратегические, тактические, оперативные
Классифицируются риски и в зависимости от уровня управления компании. Оперативные риски допускаются при осуществлении мелких задач, составляющих большой проект, хорошо видны в текущем моменте и обычно не таят в себе большой опасности. Это, например, ошибки, которые можно допустить при производстве конкретного товара или оказания услуги. Тактические риски – это возможные ошибки при составлении и выполнении более крупных задач, на которых завязаны цели проекта. Например, трудности с логистикой. Стратегические риски – дефекты на самом базовом уровне. Они должны быть предусмотрены и поставлены на контроль, когда речь идет о проекте или даже о бизнесе в целом. Реализация таких рисков грозит поставить под удар всю деятельность компании.
На примере этой классификации особенно хорошо видна практическая ценность деления рисков на виды. Если ошибиться в ней, при наступлении нежелательной ситуации можно пойти по неверному направлению и начать реанимировать текущие задачи, мелкие элементы, тогда как проблема будет таиться в построении бизнеса или проекта в целом. Остальные классификации не менее важны, и правильное их составление в отношении рисков организации позволит увидеть общую картину и предпринять правильные действия для того, чтобы обезопасить бизнес. Чем больше будет выделено видов рисков, тем проще будет их прогнозировать.
Этапы анализа рисков
Классификация конкретных рисков предприятия, по сути, составляет основу их анализа. Происходит систематизация полученных параметров. Благодаря ей перед руководителем предстает полноценная картина угроз для бизнеса, возможных в ближайшем или отдаленном будущем. Риски оцениваются, определяется вероятность негативных последствий в процессе работы, осуществляется определение степени возможности их появления. Деятельность по проведению анализа рисков бизнеса можно разделить на следующие этапы:
- Выявляются источники и параметры возникновения рисков, определяются стадии и виды работ, на которых угроза нежелательного развития событий наиболее велика.
- Составляется перечень всех видов угроз, которые могут проявиться при осуществлении задуманных задач.
- Определяется целесообразность всего проекта с позиции возможных негативных событий и обстоятельств, отдельно вычисляется степень возможного наступления каждого риска.
- Производится расчет значений рисков, которые допустимы для деятельности организации. Необходимо грамотно определить степень возможного урона, при превышении которого последуют отрицательные последствия для бизнеса.
- Выявляются действия, которые необходимо осуществить для снижения или полной ликвидации рисков.
Главные ошибки анализа рисков
Проводить анализ рисков бизнеса непросто. От руководителя или специалиста, который будет этим заниматься, требуется понимание большого количества факторов и их закономерностей. Вот ошибки, которые чаще всего возникают при исследовании рисков:
- Дисбаланс между сложностью работы, направленной на выявление и изучение риска, и уровнем опасности последнего. Такая ошибка может привести к некорректному распределению людских ресурсов в исследовании. В результате на анализ несущественных угроз уйдет большое количество сил, времени и средств.
- Большое внимание к прошлым и настоящим рискам без тщательного рассмотрения будущих угроз. Подобная оценка будет соответствовать реальному положению вещей лишь отчасти.
- Неправильное определение риска. Это может произойти из-за некомпетентности персонала или большой сложности работы.
- Заминки в процессе принятия решений, касающихся минимизации и ликвидации рисков. Некоторые угрозы требуют оперативного реагирования и незамедлительного принятия необходимых мер. Без учета этого фактора проработка нежелательных сценариев будет некачественной.
- Неверно подобранные способы проработки рисков и расстановки их по значимости. Эту ошибку легко допустить в сложном проекте, в котором существует несколько направлений деятельности.
- Отсутствие опыта в ликвидации угроз. Для того чтобы предотвращать риски, нужно уметь работать с сотрудниками, проверять их профессиональную пригодность или привлекать специалистов со стороны, которые обладают необходимым опытом.
- Некачественная работа с оформлением отчетов и другой документации при оценке рисков. Из-за нее искажается восприятие данных. Как следствие возможны неверные решения руководства.
Пошаговый анализ рисков
Рассмотрим инструкцию по анализу рисков.
Первый шаг: выявление опасностей для всей организации
Необходимо определить риски в контексте целей и задач, которые стоят перед компанией. Уже на их основе можно рассматривать угрозы, которые могут проявиться в конкретных ситуациях.
Здесь полезно будет опросить экспертов, узнать мнение конкурентов и представителей смежных направлений бизнеса. Они могут обнаружить угрозы, которые связаны с рынком, целевой аудиторией, правовыми нормами. Например, при работе над финансовым проектом неплохо получить консультацию юриста, имеющего опыт в банковском деле, чтобы оставаться в рамках действующих нормативно-правовых актов или тех, которые возможно будут приняты в ближайшем будущем.
Лучше обговорить особенности проекта со всей командой. Опытные сотрудники, основываясь на целях и используемых ресурсах, подскажут, что может случиться. Если подразумевается внедрение новых технологий, следует принять во внимание время на их изучение и трудности при освоении.
Второй шаг: разработка каталога рисков предприятия
Здесь также неплохо будет задействовать экспертов и обратиться к команде. Можно вспомнить старые проблемы, с которыми уже приходилось иметь дело при работе над аналогичными проектами.
Чтобы каталог рисков получился полноценным, учтите классификации, которые наиболее актуальны для сферы деятельности компании и текущего проекта. Зафиксируйте информацию обо всех угрозах, свойственных организации. Разбейте риски на внутренние и внешние, стратегические, тактические и оперативные, высокие и низкие, кратковременные и постоянные и т. д.
Третий шаг: распределение рисков по работникам
Для каждой угрозы стоит назначить отдельного специалиста в компании. Он должен контролировать оценку конкретного риска, заниматься подсчетом вероятных убытков и создавать меры для минимизации и устранения нежелательных последствий. Следует заблаговременно четко определить зону ответственности этого специалиста. Если риск сложносоставной, то для работы с ним лучше назначить несколько экспертов.
Четвертый шаг: разработка методов управления рисками
Специалисты, назначенные ответственными за анализ рисков, должны уметь определять и разрабатывать способы их контроля. Им нужно выработать конкретные меры, направленные на уменьшение опасности, позаботиться о создании запасных вариантов. Для этого необходимо:
- согласовать порядок действий для того, чтобы риск не произошел;
- четко понять, что предпринимать, если риск превратится в проблему.
Есть несколько стратегий по управлению рисками:
- Принятие – сразу осознать, что риск превратился в проблему и запланировать ее решение.
- Уклонение – предпринять действия для того, чтобы риск не превратился в проблему.
- Снижение влияния – спланировать мероприятия, которые призваны уменьшить вероятность возникновения риска и степень его влияния.
- Передача – передать задачу и сопутствующие ей риски другим исполнителям.
Вряд ли получится проработать абсолютно все риски. Нужно сосредоточить свои силы на самых важных.
Пятый шаг: оценка рисков и их последствий
Лучше всего, если результаты оценки будут сделаны в виде понятных расчетов для того, чтобы руководитель мог взвесить все за и против. Каждый риск оценивается по тем классификациям, которые выбраны в качестве приоритетных.
Шестой шаг: обновление каталога рисков
Анализ не должен быть разовой акцией. Лучше всего проводить эту работу с определенной периодичностью: хотя бы раз в год. При каждом следующем изучении добавляйте в каталог новые риски, таким образом собирая опыт исследования угроз. В дальнейшем появится навык оценивать их системно. Опасности со временем могут меняться, трансформируясь и создавая другие последствия. Когда организация меняет методы работы, начинает вкладывать средства в другие проекты, сотрудничает с новыми партнерами, необходимо осуществлять промежуточный анализ. В результате подобной работы каталог рисков будет регулярно пополняться.
Итак, мы проводим анализ рисков бизнеса не только для минимизации возможных потерь, но и для оптимизации деятельности компании в целом. После проведения классификации угроз, составления подробного каталога, проработки различных вариантов решения проблем, организация неизбежно выйдет на новый уровень безопасности и эффективности.
Любой предприниматель хотел бы заранее предугадывать кризисы. Но переоценка некоторых рисков и недооцененность скрытых угроз приводят к тому, что многие компании нерационально используют свои ресурсы. И в ситуации кризиса это может причинить бизнесу серьёзный ущерб. В сборнике журнала Harvard Business Review «Управление рисками» подробно описываются причины ошибочного прогнозирования и его последствия. С разрешения издательства «Альпина Паблишер», выпустившего этот сборник, мы публикуем статью «Шесть ошибок руководителей компаний при управлении рисками», одним из авторов которой стал американский экономист Нассим Талеб, автор концепции «Чёрного лебедя».
Время «чёрных лебедей»
Мы живём не в том мире, к которому нас готовили обычные учебники по управлению рисками. Событий с низкой вероятностью и высоким уровнем воздействия, которые практически невозможно предсказать, – мы называем их «чёрными лебедями», – становится всё больше.
Интернет и глобализация превратили мир в сложную систему, состоящую из запутанной паутины взаимоотношений и других тесно связанных между собой факторов. Эта сложность не только увеличивает вероятность появления «чёрных лебедей» – она затрудняет прогнозирование даже рядовых событий. Наверняка можно сказать только одно: компании, которые не обращают внимание на «чёрных лебедей», пойдут ко дну.
Вместо того чтобы пытаться предугадать маловероятные события с высокой степенью воздействия, мы должны снизить нашу уязвимость по отношению к ним. Мы считаем, что управление рисками должно быть направлено на смягчение воздействия того, что нам непонятно, а не на тщетные попытки разработать сложные методы и сценарии, которые лишь закрепляют иллюзию, будто мы способны понимать и предсказывать социально- экономические реалии.
Чтобы изменить взгляды на риск, необходимо избегать шести ошибок.
Ошибка №1. Мы думаем, что сможем управлять рисками, предсказывая чрезвычайные события
Это худшая ошибка из всех – по двум причинам. Во-первых, мы предсказываем появление «чёрных лебедей» в редчайших случаях. Во-вторых, сосредотачиваясь на нескольких чрезвычайных сценариях, мы пренебрегаем другими возможностями, а в результате становимся более уязвимыми.
Гораздо эффективнее сосредоточиться на последствиях – то есть оценить возможное влияние чрезвычайных событий. Осознав это, руководители энергетических компаний в итоге переключились с прогнозирования возможных аварий на АЭС на подготовку к чрезвычайным ситуациям.
Попробуйте аналогичным образом оценить, как на вашу компанию повлияют – по сравнению с конкурентами – радикальные изменения в окружающем мире. Как скажется на вашей компании небольшое, но неожиданное падение спроса или предложения? Если это сильно повлияет на ваш бизнес, то он не сможет выдержать резкого сокращения заказов, внезапного роста товарных запасов и так далее.
В частной жизни мы иногда тоже ищем способ смягчить воздействие «чёрных лебедей». Мы не пытаемся вычислить вероятность наступления чрезвычайных событий, нас интересует лишь одно: сможем ли мы, если они действительно произойдут, справиться с последствиями.
Кроме того, мы с готовностью покупаем медицинскую страховку, страхуем автомобиль, жилище и так далее. Неужели кто-то сначала покупает дом, а потом интересуется стоимостью его страхования? Нет, мы принимаем решение о покупке с учётом того, во сколько обойдется страховка.
Но в бизнесе «страхование» кажется нам необязательным. Это не так: компании должны быть готовы противостоять любым непредвиденным трудностям и покупать «страховку», чтобы по возможности хеджировать риски.
Ошибка №2. Мы убеждены, что анализ прошлого поможет нам справиться с рисками
Риск-менеджеры ошибочно полагаются на ретроспективный взгляд для прогнозирования. Увы, наши исследования подтверждают, что события прошлого не имеют никакого отношения к возможным потрясениям в будущем. Первая мировая война, теракты 11 сентября 2001 года – у этих важнейших событий не было «предшественников». То же самое относится и к ценовым скачкам.
До конца 1980-х годов самое резкое падение цен на акции за один день составляло около 10%. Однако 19 октября 1987 года они упали на 23%. Так почему же после этого ожидалось, что если цены и упадут вновь, то всего на 23%? История часто вводит людей в заблуждение.
Нередко можно услышать, как риск-менеджеры – особенно работающие в сфере финансовых услуг – прибегают к оправданию: «Не было прецедентов». Они исходят из того, что можно найти прецеденты для чего угодно и всё предусмотреть, если приложить достаточно усилий. Но «чёрные лебеди» не имеют прецедентов. Кроме того, сегодняшний мир не похож на прежний, в нём нарастают и взаимозависимость, и нелинейность. Некоторые стратегии долгое время не дают эффекта, а затем вызывают бурную реакцию.
Люди часто не учитывают особенности случайностей, которые характерны для многих экономических показателей. Случайности бывают двух видов, и те, которые относятся к социально-экономическим, менее упорядочены и хуже поддаются отслеживанию, чем те, с которыми можно столкнуться в казино и учебниках по статистике. Они вызывают эффект «победитель получает всё» – и это имеет самые серьёзные последствия.
Менее 0,25% компаний, котирующихся на мировых биржах, – это около половины всей рыночной капитализации, на долю менее 0,2% книг приходится примерно половина всех книжных продаж, менее 0,1% лекарств составляют половину (с небольшим) продаж фармацевтической промышленности… и менее 0,1% рискованных событий приведут как минимум к половине ваших потерь.
В силу социально-экономических случайностей не существует таких понятий, как «стандартный» провал или успех. Стандартными могут быть высота и вес, но не победы и поражения. Нам приходится предсказывать как событие, так и его масштаб, что весьма непросто, поскольку воздействия на сложные системы не бывают «стандартными».
В частности, при изучении фармацевтической промышленности мы обнаружили, что большинство продаж лекарственных средств не соответствуют прогнозам. Даже когда компаниям удавалось предсказать рыночный успех того или иного лекарства на рынке, они могли недооценить уровень его продаж в 22 раза! А предугадать серьёзные изменения практически невозможно.
Ошибка №3. Мы не прислушиваемся к советам о том, чего не следует делать
Советы не делать чего-либо обычно полезнее советов что-либо сделать. В психологии человеческие поступки делятся на действие и бездействие. В экономическом плане их влияние одинаково: доллар, который не был потерян, – это заработанный доллар. Однако риск-менеджеры воспринимают их по-разному. Они больше упирают на получение прибыли, чем на избежание убытков.
Тем не менее компания может добиться успеха, предотвращая убытки, а когда конкуренты, которые этого не сделали, разорятся – забрать их долю рынка. В шахматах гроссмейстеры сосредоточены на том, чтобы избежать ошибок, а новички прежде всего думают о победе.
Из-за пренебрежения «негативными» советами – как не надо поступать – компании рассматривают управление рисками как нечто второстепенное, не связанное с получением прибыли. А между тем следовало бы включить управление рисками в структуры, которые занимаются анализом прибыльности, и относиться к нему как к деятельности, приносящей доход, особенно если бизнес чувствителен к «чёрным лебедям».
Ошибка №4. Мы предполагаем, что риск можно оценить с помощью среднеквадратического отклонения
Стандартное (среднеквадратическое) отклонение широко распространено в финансовой сфере в качестве критерия оценки инвестиционного риска, хотя его вообще не стоит использовать в риск-менеджменте. Среднеквадратическое отклонение соответствует квадратному корню из среднего значения квадратов отклонений (а не среднего арифметического отклонений). Квадраты и квадратные корни усложняют измерение.
Но всё это лишь означает, что в мире прирученной случайности около двух третей изменений должны укладываться в определённые рамки (среднеквадратические отклонения –1 и +1) и что колебания свыше семи стандартных отклонений практически невозможны. Однако в реальной жизни всё иначе – скачки отдельных показателей могут превышать 10, 20, а иногда и 30 стандартных отклонений.
Риск-менеджерам следует избегать использования средств и методов, связанных со стандартными отклонениями, таких как регрессионные модели, коэффициент детерминации (R-квадрат) и бета-факторы.
Тот, кто пытается оценить риск с помощью единственного показателя, обречён на неудачу.
Ошибка №5. Мы не учитываем, что математически одинаковые факты психологически могут восприниматься по-разному
В 1965 году физик Ричард Фейнман в своей книге «Характер физических законов» писал, что две математически равнозначные формулировки могут оказаться вовсе не одинаковыми – в том смысле, что они по-разному воспринимаются человеческим разумом.
Наши исследования также показывают: то, каким образом преподносится информация о риске, влияет на её понимание. Если сказать инвесторам, что в среднем они будут терять все свои деньги лишь раз в 30 лет, то они будут инвестировать более охотно, чем если узнают о вероятности в 3,3% терять определённую сумму каждый год.
Мы провели эксперимент, участникам которого был задан вопрос: «Вы отдыхаете за границей и хотите воспользоваться услугами национальной авиакомпании для посещения одного острова, который давно хотели увидеть. Как показывает местная статистика безопасности полётов, если бы вы летали этой авиакомпанией один раз в год, то могли бы попасть в аварию в среднем раз в тысячу лет. Вы можете отказаться от поездки, но вряд ли сможете снова посетить этот уголок мира. Вы согласитесь на этот перелёт?» Все ответили, что согласятся.
Тогда мы изменили второе предложение, чтобы оно звучало так: «Согласно статистике безопасности полётов, в среднем аварию терпит один из 1000 рейсов этой авиакомпании». В этом случае лишь 70% респондентов сказали, что согласятся на этот рейс. В обоих случаях вероятность авиакатастрофы одинакова – 1:1000, просто вторая формулировка выглядит более угрожающе.
Те, кому показывают оптимистичный сценарий, как правило, более склонны к риску. Всегда старайтесь представить риски различными способами, чтобы убедиться, что вас не вводят в заблуждение ни формулировки, ни методы расчёта.
Ошибка №6. Нас учат, что эффективность и стремление к росту акционерной стоимости не допускают излишних ресурсов
Большинство руководителей не осознают, что оптимизация делает компании уязвимыми к изменениям экономической обстановки. Биологические системы успешно справляются с переменами, ведь матушка-природа – лучший в мире риск-менеджер. Отчасти это объясняется тем, что она любит избыточность. Эволюция дала нам запчасти – например, у нас два лёгких и две почки, что помогает нам выживать.
На предприятиях избыточность означает очевидную неэффективность: простаивающие мощности, неиспользуемые запчасти и деньги, которые не участвуют в обороте. Противоположность этому – использование заёмных средств. Нас учат, что это хорошо. Ничего подобного – долги делают компании (и экономическую систему в целом) неустойчивыми и уязвимыми.
Если у вас высокая доля заёмных средств в капитале, вы можете пострадать от ошибочного прогноза продаж, от колебаний процентных ставок или от других возникших рисков. Если же ваш баланс не содержит задолженностей, вы легче перенесёте перемены.
Чрезмерная специализация препятствует развитию компаний. Теория сравнительных преимуществ Давида Рикардо гласит: для достижения максимальной эффективности одна страна должна специализироваться на производстве вина, другая – на производстве одежды, и так далее.
Подобные рассуждения не учитывают вероятность непредвиденных изменений. Что произойдёт в случае резкого падения цен на вино? В XIX веке в Аризоне и Нью-Мексико целые культуры исчезли лишь потому, что зависели от нескольких видов зерновых, которые не выдержали изменений в окружающей среде.
Вместо резюме
Не забывайте, что самый большой риск – это мы сами: достаточно переоценить свои способности и недооценить опасность, что дела могут пойти не так, как нам хотелось. Древние считали гордыню величайшим грехом, и боги безжалостно наказывали за неё. Вспомните, сколько героев пострадало из-за этого порока: Ахиллес и Агамемнон заплатили жизнью за высокомерие, Ксеркс, напав на Грецию, потерпел неудачу из-за своего тщеславия, и во все века полководцы часто гибли лишь потому, что не осознавали границ своих возможностей. Любая компания, не осознающая, где у неё ахиллесова пята, обречена на провал.
Подробнее о непредвиденных ситуациях в бизнесе и о том, как справляться с ними, читайте в сборнике «Управление рисками».
Чтобы не пропустить интересную для вас статью о малом бизнесе, подпишитесь на наш Telegram-канал, страницу в «ВКонтакте» и канал на «Яндекс.Дзен».
Управление рисками является сердцем и душой управления проектами. Игнорирование этого процесса может иметь фатальные последствия для выполняемых проектов. Усилия, предпринятые на этапе планирования, помогут сохранить все инвестиции и увеличить вероятность успеха проекта. Однако, одного планирования недостаточно, требуется постоянный мониторинг рисков. Далее представлены типичные ошибки, которые совершаются в процессе управления рисками, и даны рекомендации по поводу их устранения.
Пренебрежение процессом управления рисками предприятия
Управление рисками предприятия (или ERM) определяет процессы, структуры и методики, используемые организацией для определения и управления корпоративными рисками всех типов, в том числе оперативными, стратегическими, финансовыми, рисками соответствия и т.д. Менеджеру проекта необходимо рассмотреть возможные риски в масштабах предприятия и изучать, с какими угрозами может столкнуться организация в течение жизненного цикла проекта. Консультация с начальником отдела по управлению рисками до и во время построения плана управления рисками может оказать колоссальное влияние на развитие плана управления проектом. Управление рисками проекта должно быть сравнимо с ERM, поскольку система управления рисками предприятия может предложить определенные документы, необходимые в процессе управления, оценить вероятность / масштабы воздействия, склонность к риску, предложить программное обеспечение управления рисками. Международный институт по управлению проектами определяет это как факторы риска предприятия (EEF).
Использование неполной структуры распределения рисков
Структура распределения рисков (RBS) является катализатором для выявления большого количества рисков. Рабочие группы по управлению рисками используют ее для идентификации рисков. Структура может быть разработана путем перечисления всех основных причин потенциальных рисков. Она сильно зависит от сферы применения проекта. Каждая отрасль имеет свои собственные риски. Риски, которые действительны для проекта по разработке программного обеспечения, не могут быть применимы к проекту строительства. Менеджер проекта может начинать разработку структуры с имеющегося шаблона и настроить его для конкретного случая, используя опыт работы по предыдущим проектам и знания специфических рисков для сферы применения проекта.
Игнорирование субъективности
Процесс выявления рисков является основой успешного управления рисками. Обычно выявление рисков занимает 60% работы по процессу, остальная работа относится к категории «Просто сделай это!». Существуют различные методы сбора информации, получающие данные от всех лиц, вовлеченных в проект. Вечной проблемой информации по управлению рисками является ее субъективность. Разные люди будут воспринимать риски по-разному. Например, финансовый риск не может привлечь внимание технического директора, и технический риск вряд ли будет считаться риском у финансового менеджера. Ответственность за устранение субъективности и гарантирование качества информации о рисках несет группа управления рисками. Субъективности можно избежать, используя метод Делфи, поскольку он сохраняет анонимность экспертных мнений даже после завершения фазы идентификации.
Передача ответственности по всем рискам проекта менеджеру проекта
Успешное управление рисками не может осуществляться одним человеком. Группе по управлению рисками необходимо установить четкие ожидания и информировать экспертов по конкретным вопросам, вовлеченных в проект лиц, клиентов, членов группы о том, что от них ожидается. Принадлежность рисков должна быть доведена до сведения их владельцев. Менеджер проекта должен следить за состоянием установленных рисков, а владелец рисков должен регулярно отчитываться о состоянии рисков. Один человек в лице менеджера проекта не может владеть всеми рисками. Помимо этого, потенциальные владельцы рисков могут быть не заинтересованы в их идентификации, опасаясь возможной ответственность за выявленные риски. Создание RACI-матрицы управления рисками (ответственность, учет, консультация, информирования) обеспечит четкое распределение и связь между ролями и ответственностью владельцев рисков.
Пренебрежение анализом затрат в процессе управления рисками
Не все риски должны быть управляемыми, некоторые из них должны быть всего лишь приняты во внимание. Стратегией реагирования на отрицательные риски (да, существуют положительные риски, они называются возможности) является «избежать, передать, смягчить, и принять», но многократное повторение стратегии не рассматривается. Риски следует принимать по двум основным причинам: во-первых, невозможность применения первых трех стратегий реагирования, а, во-вторых, неблагоприятного результата при анализе возможных затрат. Например, если возможные потери значительно меньше возможных расходов на осуществление контроля, рациональнее принять риск, в противном случае Вы будете платить $100, чтобы сохранить $60.
Неправильное использование резерва
Резервный фонд может быть определен только после нескольких модификаций плана управления проектом. Резервный фонд должен использоваться только при возникновении запланированного риска. Резерв не следует использовать для любых незапланированных рисков. Также не следует использовать квоты, выделенные для одного риска, на исправление последствий другого риска, исключая ситуации, когда риск, средства которого мы используем, уже возник.
Однократное выполнение процесса
Управление рисками — это итерационный процесс, который должен осуществляться на всех этапах проекта, от начала до закрытия. Неправильно выполнить его только на этапе планирования, равно как и право остановить поиск новых рисков во время выполнения работ. Многие менеджеры проекта поведения определяют возможные риски в начале проекта и забывают о них, пока они не превратятся в проблемы. Менеджер проекта должен поднять культуру управления рисками и попросить членов проектной команды докладывать о новых рисках. Новые риски должны пройти сквозь процесс анализа и планирования стратегии реагирования. Менеджер проекта должен пересмотреть резервы и убедиться, что никакой риск не приведет к возникновению аварийных ситуаций. Важно также поместить вопрос управления рисками на повестку дня периодически повторяющихся совещаний по проекту.
Аналитический модуль в составе системы управления организацией «Простой бизнес» позволяет осуществлять постоянный мониторинг работы организации, «вскрывать» проблемы и определять возможные риски на начальных стадиях проекта. На стадии реализации проекта это позволит принимать информированные решения по вопросам профессиональной пригодности, личной эффективности, распределения ресурсов, определении рынков сбыта услуг.
Комментарии
#статьи
- 19 май 2022
-
0
Управление рисками в проекте: как найти и оценить, как составить план защиты от них
Основы управления рисками для менеджеров, которые работают с проектами. Какими бывают риски и как на них реагировать. Пересказ лекции Google.
Кадр: фильм «Исходный код»
Обозреватель Skillbox Media по маркетингу и IT. С 2015 года работает с SEO, таргетированной и контекстной рекламой. Писала для Skypro, Yagla и Admitad.
Риски — неотъемлемая часть любого проекта, от семейного праздника до строительства гидроэлектростанции. Ни один проект не следует плану на 100%, даже если им руководит опытный менеджер. Управление рисками — отрасль проектного управления со своими техниками и методиками.
Мы перевели и пересказали главное из лекции об основах управления рисками «Risk Management Basics», которую подготовили в Google для курса по управлению проектами.
- Что такое риски в проекте
- Самые распространённые виды рисков
- Как найти риски в проекте и оценить их
- Вы нашли риски: что с ними делать
- Как составить план по управлению рисками
Есть много определений риска, но мы дадим очень простое. Риск — это негативное событие, которое может произойти, а может и не произойти. Риски нужно отличать от проблем: риск станет проблемой, только если негативное событие произойдёт.
Проблемы мешают выполнению задач проекта. Если вы руководите проектом, вы должны помнить, что несёте ответственность за риски.
Вот несколько примеров рисков и проблем, к которым они привели.
- Целью проекта было опубликовать исследование, но ведущий аналитик уволился, когда была готова только половина. Дедлайн сорвали, и задачу в срок не выполнили.
- Спрос на товар резко вырос, и поставщик не смог поставить требуемое количество. Полки магазина опустели.
- Компания продавала в офисы растения, которые почти не требуют ухода. Однако у поставщиков закончились специфические растения, в которых нуждалась компания, — папоротники и кактусы.
Когда вы понимаете, какие риски есть в проекте, вы можете принять меры предосторожности — например, обратиться за консультацией. Если что-то пойдёт не так, у вас будет план, как решить проблему.
Управление рисками в проекте — это процесс поиска, оценки и предотвращения потенциальных проблем. Этот процесс регулярный, превентивных действий на старте проекта недостаточно.
Управление рисками не только снижает влияние негативных ситуаций на проект. Оно высвобождает ресурсы: материальные, трудовые.
Есть разные классификации рисков. Мы назовём виды рисков, которые упоминают чаще остальных.
Временные риски. Это вероятность того, что на выполнение задач в проекте уйдёт больше времени, чем запланировано. Помните о сроках, потому что время — это ресурсы. Если команда тратит много времени на задачи, растёт и фонд оплаты труда. Кроме того, стейкхолдеры проекта могут разочароваться из-за задержек.
Бюджетные риски. Из-за плохого планирования стоимость проекта может оказаться больше, чем заложено в бюджете. Обычно бюджет закладывают перед запуском проекта, тогда же планируют траты по статьям. Если команда не уложится в план, потребуются дополнительные средства, и если их не будет, проект остановится.
Риски изменения объёмов работы. Они могут появиться, если исполнители не поняли требований заказчика или он сам внёс в проект изменения. Это может привести к пересмотру бюджета, сроков и списка задач.
Внешние риски. Это потенциальные события, которые находятся за пределами компании и которые компания не может контролировать. Например, на проект могут повлиять новые законы.
Единая точка отказа. Так называют единственное событие, которое может остановить всю работу над проектом. Ни один член команды не сможет дальше выполнять свои задачи, пока проблема не решится. Например, для интернет-магазина единой точкой отказа может стать отключение электричества в офисе. Если доступ к инструментам, таким как CRM, был только из офиса, вся команда не сможет выполнять задачи.
В результате команда не выполнит ни одной задачи. Зная об этой точке отказа, можно принять меры: создать резервные копии сервисов и информации в облаке.
Зависимости. Это связи между двумя задачами в проекте: когда начало одной задачи зависит от завершения другой. Зависимости часто становятся риском для проекта.
Например, один из членов команды должен подписать контракт с заводом-поставщиком. Пока контракта нет — остальная команда не может выполнить ни один заказ. Если вовремя не подписать документ, то проект не закончат в срок.
Другой пример. Участник команды уходит в отпуск. Если он отвечал за критические процессы, то другие участники не смогут выполнять свои задачи. От этого риска можно было бы защититься, узнав о планах членов команды с самого начала.
Зависимости могут быть внутренними и внешними. Внутренние — зависимости внутри проекта. Например, чтобы начать разработку сайта, нужно сначала утвердить его дизайн.
Внешние зависимости — зависимости, над которыми у команды нет контроля. Например, компания покупает у фермы овощи для продажи, и если лето окажется засушливым или слишком дождливым, урожая будет меньше — а значит, компания не получит достаточно овощей.
Рисков, которые могут повлиять на ваш проект, много. Нельзя предугадать их все, но можно проработать большинство из них. В следующем разделе мы рассмотрим методы поиска рисков.
Самый эффективный способ найти риски — мозговой штурм с командой проекта. Так каждый сможет предложить свои идеи. Лучше, если в мозговом штурме будут участвовать люди, занимающие разные роли в проекте, имеющие разный бэкграунд. Люди с разным опытом и набором навыков помогут найти риски, о которых руководитель не догадывается.
Некоторые члены команды участвовали в нескольких проектах внутри компании. Они поделятся информацией об опасностях, с которыми столкнулись коллеги. Новичок может рассказать об опыте команд, в которых он работал раньше.
Чтобы структурировать информацию, полученную во время мозгового штурма, используйте диаграмму Исикавы. Диаграмма, известная как «рыбьи кости», наглядно показывает причинно-следственные связи.
В «голову» рыбы помещают риск, который нужно проанализировать. На «костях» пишут причины, которые могут привести к негативному событию. К ним могут вести «кости» поменьше — причины второго порядка. Иногда добавляют третий, четвёртый и даже пятый уровни.
Вот диаграмма Исикавы, составленная для анализа проблемы — у компании низкие продажи.
Инфографика: Майя Мальгина для Skillbox Media
Например, есть риск, что поставщики вовремя не доставят товар. На диаграмму поместят следующие причины:
- нет инструментов отслеживания;
- государство может ввести ограничения;
- нет человека, который отвечает за доставку товара.
Может оказаться, что список рисков слишком большой. Это нормальный результат для такого анализа. Нужно будет выбрать самые важные риски, на которых сосредоточится команда.
Для оценки рисков используйте матрицу вероятности и последствий. С помощью неё вы поймёте, о каких рисках нужно помнить в первую очередь.
Сначала проанализируйте, какие последствия могут быть, если риск превратится в проблему. Используйте шкалу:
- Сильный эффект — если проблема может сорвать проект или существенно его изменить.
- Средний — если событие может повлиять на проект, но это можно поправить.
- Слабый — если риск незначительно повлияет на проект, но точно его не сорвёт.
Потом оцените вероятность того, что риск возникнет:
- Высокий — высокая вероятность риска.
- Средний — риск есть.
- Низкий — скорее всего, риска нет.
Затем нужно собрать оценки вероятности и силы последствий на одной шкале и разбить риски на несколько групп.
- Если вероятность низкая, а последствия дадут слабый эффект, то об этом риске не стоит беспокоиться. Просто имейте в виду, что он есть.
- Если вероятность высокая и последствия дадут сильный эффект, о защите от этого риска нужно позаботиться в первую очередь.
Несколько незначительных рисков обычно меньше влияют на проект, чем один риск высокого уровня. Последние чаще приводят к тому, что проект срывается. Поэтому работайте сначала с проблемами высокого и среднего уровня.
Используйте разные цвета, чтобы выделить приоритетные задачи. Так участник команды, увидев таблицу, сразу поймёт, с какими рисками нужно работать в первую очередь.
Есть четыре основные стратегии, как реагировать на риски. Можно попробовать избежать рисков, принять их, передать их другой команде; их также можно уменьшить и контролировать.
Рассмотрим каждый способ.
Избегать. Иногда вы можете избежать риска полностью. Например, если вы сомневаетесь в надёжности подрядчика, который часто не соблюдает сроки, вы можете перестать работать с ним.
Принять. Этот способ подойдёт для рисков с низкой или средней вероятностью и без тяжёлых последствий для проекта. Нужно принять, что такой риск существует, и отслеживать его всё время до окончания проекта.
Представим, что поставщик неожиданно заявил, что у него нет нужных вам компонентов, однако он пополнит запасы в ближайшее время. Возможно, это скажется на сроках проекта.
Можно начать работу с другим поставщиком, но такой риск лучше принять. Это имеет смысл, если задержки не критичны для проекта. Если не искать нового поставщика и смириться с риском, это избавит команду от лишней работы.
Уменьшить или контролировать. Для смягчения риска используйте дерево решений. Это блок-схема, которая показывает, какие решения существуют для каждой проблемы. Например, если компания работает с исполнителем, который срывает сроки, ему можно постоянно напоминать о задаче: отправлять имейлы каждый день или звонить.
Передать риски. Если команда понимает, что не может снизить риски для какой-то группы задач, она может передать их специализированным компаниям. Иногда это помогает сэкономить время и деньги.
План по управлению рисками — это документ, который описывает возможные риски и способы их снизить. Если у вас есть такой план, все члены команды и заказчики будут в курсе, какие проблемы могут возникнуть во время реализации проекта. Документ нужно постоянно дополнять, так как новые риски могут появиться на любом этапе проекта.
План можно создать в «Google Документах». Так все члены команды будут иметь к нему доступ. Укажите название компании, название проекта и кто создал этот документ — чтобы было понятно, к кому обращаться, если возникнут вопросы. Также можно написать, когда документ был создан и когда обновлялся в последний раз. Так команда будет понимать, насколько он актуален.
Скриншот: Google Career Certificates / YouTube
Далее напишите цель документа: смягчить последствия рисков в проекте. В план нужно добавить краткое описание проекта — и написать, какие проблемы проект переживёт, а какие риски могут его изменить.
Следующая часть — самая важная. Создайте таблицу, в которой вы распишете все возможные риски, оцените их и добавьте возможные решения для каждого. Как это сделать, мы разобрали в предыдущих разделах.
Например, один из рисков — поставщик не успевает уложиться в сроки. У этого риска средний уровень. Для снижения риска есть решение: ежедневно созваниваться с поставщиком.
Важно, чтобы не только команда знала о планах. Обязательно встретьтесь с заказчиком или напишите ему письмо, чтобы рассказать, какие риски есть у проекта.
Так вы уже в начале проекта будете понимать, поможет ли заказчик решить проблемы, если они возникнут. Например, если заказчик предупредил, что он не сможет увеличить бюджет, вы учтёте, что работаете с ограниченными ресурсами и дополнительных средств не будет.
Если вы не расскажете о рисках заказчику заранее, в середине проекта они могут стать неприятным сюрпризом. Так вы можете подорвать доверие к себе и всей компании. Если же заинтересованные стороны знают о рисках, все понимают, чего потенциально можно ожидать при работе над проектом.
Особенно важно поговорить с заказчиком, если есть риски высокого уровня. В таком случае лучше встретиться с ним и пообщаться лично. Возможно, вы найдёте совместные решения. Риски среднего и низкого уровня можно обсудить по электронной почте.
Все риски обнаружить невозможно, и это нормально. Но если вы предусмотрите значительную часть из них и придумаете решения, вы будете лучше подготовлены к проблемам.
- Риски — это возможные негативные ситуации, которые могут помешать выполнению проекта. Проблемы — это воплотившиеся риски.
- Самые распространённые виды рисков: временные, бюджетные, нарушения в зависимостях, внешние, а также единые точки отказа — события, которые останавливают всю работу команды.
- Ищите риски с помощью мозговых штурмов, анализируйте их с помощью диаграммы Исикавы, а потом оценивайте их эффект и вероятность.
- На риски можно реагировать с помощью одной из четырёх стратегий: избегать, принять, контролировать или передать другой команде.
- Список самых опасных рисков и список мер, с помощью которых команда будет на них реагировать, вносят в план по управлению рисками.
Другие материалы Skillbox Media по управлению проектами
- Что такое проект: разбираем главное понятие проектного управления
- Kanban: рассказываем, как работает эта методика
- Как планировать проекты и следовать графику работ с диаграммами Ганта
- Что такое Agile: методология, команда, оценка эффективности
- Как работает Scrum и как управлять проектом с помощью этой методики
Научитесь: Профессия Менеджер проектов
Узнать больше
Типичные ошибки в управлении рисками ИБ, которые автору приходилось наблюдать, обычно, сводятся к следующему:
1. Для оценки рисков за большие деньги приобретается какой-либо программный инструментарий, а потом выясняется, что он не подходит, не соответствует требованиям стандартов, не интегрируется в систему управления бизнес-рисками организации (ERM), не удобен в использовании, не позволяет количественно оценить риски, не позволяет стоить приемлемые модели активов, угроз, нарушителей и уязвимостей, не учитывает силу имеющихся механизмов контроля, не позволяет создавать нужных отчетов, не предоставляет возможностей представителям бизнеса классифицировать информационные активы и оценивать их ценность, вместо информационных активов почему-то оперирует любыми другими активами (помещения, оборудование, кадры, процессы, рабочие задачи), ни с чем не совместим и использует закрытые интерфейсы и т.п.
2. Проводится слишком высокоуровневая оценка рисков, не предоставляющая достаточного объема достоверной информации для принятия управленческих решений по вопросам ИБ. Вместо отдельных бизнес-процессов рассматриваются лишь общие направления деятельности (продажи, производство, бухгалтерский учет и т.п.), вместо информационных активов, рассматриваются лишь классы активов (например, проектная документация, бухгалтерская документация, клиентская информация и т.п.), вместо конкретных угроз безопасности рассматриваются классы угроз (например, НСД к информации, атаки на отказ в обслуживании, выход их строя технических средств и т.п.). На выходе получается примерно следующее: «в случае НСД к клиентской информации компания может понести значительный ущерб в результате потери части клиентов». А кто-то в этом сомневался? На выходе такой оценки рисков получается информация, которая итак всем была известна еще до начала данного процесса. Делается вывод о том, что оценка рисков лишена смысла, т.к. не дает никакой полезной информации.
3. Проводится слишком детализированная оценка рисков, которая бросается на полпути, из-за невозможности ее практической реализации. Например, делается попытка оценить риски для каждой порции информации (файла, записи в БД, бумажного документа) или рассматривается сотня различных сценариев реализации НСД к файловому серверу с использованием различных уязвимостей TCP/IP стека. Бессмысленность подобных стараний довольно скоро становится очевидной для всех участников процесса и делается вывод о том, что оценка рисков вообще слишком сложна и не имеет практического смысла.
4. Оцениваются риски не информационных активов, а любых других активов, прямо или косвенно связанных с информационными либо являющиеся комбинацией информационных активов и прочих активов (например, люди, помещения, оборудование, приложения, задачи, процессы, рабочие места, системы и т.п.). В результате весь анализ уходит немного в сторону от ИБ в вопросы делопроизводства, управления кадрами, физическую и экономическую безопасность, организацию бизнес-процессов и куда угодно еще. Вместо информационной безопасности получается системная безопасность, процессная безопасность, физическая безопасность, кадровая безопасность и т.д. Риски ИБ перемешиваются с остальными бизнес-рисками и вопрос становится слишком сложными, а выводы делаются те же, что и в предыдущих случаях — о практической нецелесообразности применения риск-ориентированного подхода.
5. Бизнес-подразделения не вовлекаются в процесс оценки рисков, либо к ним обращаются с бессмысленными вопросами о том, сколько стоит их информация (вместо того, чтобы обсуждать с ними конкретные понятные им бизнес-ситуации, возникающие как следствие инцидентов ИБ). Поскольку дать разумный ответ на подобные вопросы невозможно, на этом участие представителей бизнеса в оценке рисков заканчивается и остается только раздражение. Далее делается вывод о том, что стоимость информационного актива объективно оценить нельзя, а значит нельзя оценить соответствующие риски.
6. Оценкой рисков занимается исключительно служба ИБ без привлечения представителей бизнес-подразделений (которые не могут сказать сколько стоит их информация). Все риски ИБ при этом завышаются, что вызывает иронию, либо негодование у руководства компании, которое чувствует, что его пытаются развести на деньги.
7. Используется слишком упрощенный подход к оценке рисков, например, учитывается только вероятность угрозы и размер ущерба (причем только качественные оценки), при этом уязвимости и механизмы контроля отдельно не рассматриваются и не учитываются их взаимосвязи и относительная сила.
8. Процессы оценки и обработки рисков ИБ оторваны от реальных процессов принятия управленческих решений руководством организации, не влияют на внутренние политики, не учитываются при бюджетировании и т.п.