Шаг 4. Определение ограничений для системы управления риском

Любая организация действует в условиях определенных ограничений. Они могут быть обусловлены характеристиками внешней среды, либо самой организации. Некоторые из ограничений существуют и в отношении деятельности организации по управлению рисками. Риск-менеджерам приходится их учитывать в работе при достижении поставленных целей. Поэтому необходимо представлять источники и характер возможных ограничений.

Первые четыре шага (1-4) можно объединить понятием "постановка задачи", которая определяет:

- необходимость решения;

- цели;

- требования;

- ограничения.

Подробнее эти аспекты управления рисками рассматриваются в Главе 4.

Шаг 5. Идентификация рисков.

После постановки задачи начинается сбор необходимой информации. И первое, что надо собрать - это информация о том, какие риски действуют на объект. Делать это достаточно сложно, потому что риски очень многообразны по своей природе и характеру влияния на различные ценности. К наступлению опасного явления могут привести разные причины. Одно опасное явление, как правило, обладает несколькими вариантами влияния на объект. Объект по-разному реагирует на эти воздействия. Кроме того, весь процесс реализации риска во многом зависит от наличия или отсутствия многочисленных факторов риска. Поэтому процесс идентификации, т.е. выявления и описания рисков, является творческим и плохо поддается формализации.

Результатом данного этапа является максимально возможный перечень рисков, действующих на объект.

Шаг 6. Измерение (количественная оценка) рисков.

Выявленные на предыдущем этапе риски требуется количественно измерить, чтобы появилась возможность сравнить их между собой и оценить их приемлемость или опасность для организации. Основные сложности измерения рисков связаны с необходимостью оценки вероятности и последствий событий, которые еще не произошли. А в ряде случаев речь идет о явлениях, которых вообще никогда не происходили с данным объектом. При этом объем доступной информации для измерения чаще всего очень ограничен. Поэтому достаточно сложным является поиск подходящих методов расчетов и исходных данных, а также оценка надежности полученных результатов.

По итогам выполнения данного этапа для каждого идентифицированного риска определяются численные значения вероятности, последствий и иных показателей, характеризующих степень опасности.

Идентификация и измерение рисков (Шаги 5 и 6) в совокупности составляют "анализ риска". В процессе деятельности появляются новые данные, существующая информация пополняется и уточняется, поэтому процесс анализа - непрерывный. В результате создается информационная основа управления риском. Чем надежнее основа, тем более взвешенные и эффективные решения сможет принять руководство.

Шаг 7. Определение критериев значимости рисков.

Все выявленные и измеренные риски несут в себе разную угрозу для организации. В условиях ограниченных ресурсов важно грамотно распределить их. Поэтому необходимо провести ранжирование рисков по степени опасности и наибольшее внимание уделять самым критичным из них. Для этого следует установить некоторые критерии, которые позволят разделить все риски на группы по их значимости для организации. Эти критерии в значительной степени зависят от отношения руководства к риску, поэтому не всегда являются объективными.

Шаг 8. Ранжирование рисков по значимости.

Идентифицировав риски и применив к ним выбранные критерии, получают перечень рисков, сгруппированных по степени значимости. В нем, как правило, различают категории критических (неприемлемых), допустимых и пренебрежимо малых рисков. В результате, сразу становятся видны те из них, которые требуют особого внимания и те, обработку которых можно производить в зависимости от наличия возможностей и ресурсов.

Шаг 9. Анализ возможных мер управления рисками.

Большое количество видов рисков влечет и многообразие мер управления ими. Также как и при идентификации рисков важно структурировать все множество вариантов. У организации, подверженной какому либо риску, есть четыре принципиальных пути:

- полностью избежать риска;

- изменить риск до приемлемого уровня;

- передать риск кому-то другому;

- принять риск на себя.

Эти подходы могут применяться обособленно или комбинироваться между собой. Все возможные меры управления конкретными рисками могут быть сгруппированы в зависимости от того, какой из указанных принципов лежит в их основе. Лица, ответственные за управление рисками в организации, обязаны провести анализ вариантов обработки идентифицированных рисков, оценить их достоинства и недостатки, а также возможность применения в существующих условиях.