Административни стъпки в управлението на риска
Управлението на риска е поредица от процеси, предназначени да идентифицират, оценят, контролират и наблюдават рисковете, за да се сведе до минимум тяхното въздействие върху организацията. На практика успехът на управлението на риска се определя не само от технически анализ, като например вероятностни изчисления или модели на въздействие, но и от административната сила: как една организация разработва политики, документира стъпките, разпределя ролите и осигурява последователно проследяване.
Тази статия разглежда административните стъпки, свързани със систематичното управление на риска. Тези стъпки могат да се прилагат към различни видове организации – компании, държавни агенции, училища, болници и дори организации с нестопанска цел – защото администрирането на риска фундаментално набляга на реда на процесите и отчетността.
1. Установяване на контекста и целите на управлението на риска
Първата административна стъпка е да се установи контекстът. Организацията трябва да определи причината за управлението на риска, неговия обхват и целите, които се стреми да постигне. Този контекст е от решаващо значение, за да могат всички страни да разберат какви рискове са включени и за какво служи процесът.
Административно, резултатите от този етап обикновено се посочват в документи като:
– Декларация за целите и обхвата на управлението на риска
– Граници на процеса (работни единици, местоположения, проекти или специфични дейности)
– Критерии за успех, свързани с риска, и показатели за изпълнение
Без ясен контекст, процесът на управление на риска е уязвим да се превърне във формален контролен списък, а не в инструмент за вземане на решения.
2. Разработване на политики и рамки за управление на риска
След като целите бъдат определени, организацията трябва да разработи политика за управление на риска. Тази политика служи като основен чадър, който ръководи всички производни процедури. Политиката също така изяснява ангажимента на ръководството, културата на риск, която трябва да се изгради, и принципите, които трябва да се спазват.
Административно, политиките и рамките за управление на риска обикновено включват:
– Принципи за управление на риска (напр. предпазливост, прозрачност, устойчивост)
– Организационна структура и линии за отчитане на риска
– Дефиниция на термини и категории риск
– Връзка на политиката за управление на риска със стандартните оперативни процедури (СОП) или други системи за управление (качество, K3, информационна сигурност, вътрешен одит)
Документите за политиките следва да бъдат лесно достъпни и разпространявани, както и да се преглеждат редовно, за да останат актуални.
3. Определете роли, отговорности и правомощия
Управлението на риска ще бъде ефективно, ако ролите на всяка страна са ясни. Организациите трябва да определят кой е отговорен за риска, кой го наблюдава, кой одобрява действия за смекчаване на риска и кой осигурява докладването.
Обикновено разпределените роли включват:
– Висше ръководство: определя насоките, одобрява политиките, осигурява ресурси
– Звено или секретариат за управление на риска: координира процесите, изготвя доклади, улеснява оценките
– Собственик на риска: страната, пряко отговорна за рисковете в своята работна област
– Вътрешен одитор/комитет по риска: провежда независими прегледи и дава препоръки
Това решение трябва да бъде посочено в указ, организационна схема, RACI матрица (Отговорен, Подотчетен, Консултиран, Информиран) или други документи за управление.
4. Провеждайте структурирана идентификация на риска
Идентифицирането на риска е процес на идентифициране на събития или условия, които биха могли да възпрепятстват постигането на целите. Административно, идентифицирането трябва да се извършва с помощта на последователни методи, така че резултатите да могат да се сравняват между единици и периоди.
Често използваните методи за идентификация включват:
– Целенасочен брейнсторминг с работни звена
– Интервюта и въпросници
– Анализ на бизнес процесите и стандартни оперативни процедури (СОП)
– Оценка на възникнали инциденти/оплаквания
– Анализ на вътрешната и външната среда
Резултатите от идентификацията трябва да бъдат записани в регистър на риска, който включва описание на риска, източника на риска, засегнатата зона и отговорната страна.
5. Оценка на риска: вероятност, въздействие и ниво на приоритет
След като рисковете бъдат регистрирани, следващата стъпка е оценката на риска. Административно, организациите трябва да определят ясни критерии за оценка – например скала от 1 до 5 за вероятност и въздействие – за да предотвратят чисто субективната оценка.
Документите, които обикновено се подготвят на този етап, включват:
– Матрица на риска
– Критерии за риск и определение на всяко ниво
– Бележки за оценка на риска за всеки елемент от регистъра на риска
Ключовият резултат е карта на приоритетите: кои рискове трябва да бъдат разгледани незабавно, кои могат да бъдат наблюдавани и кои са приемливи.
6. Определяне на стратегия за третиране на риска
Управлението на риска е поредица от решения и действия за намаляване на вероятността или въздействието или за управление на последствията. Най-общо казано, стратегиите за управление на риска включват:
– Избягвайте риска: спрете дейности, които пораждат рискове
– Намаляване на риска (смекчаване): подобряване на контрола, процедурите или системите
– Прехвърляне на риск: застраховка, аутсорсинг или определени договори
– Приемете риска (приемете): приемете го с наблюдение и планове за спешни случаи
Доброто администриране изисква всяко решение за лечение да бъде документирано, заедно с обосновката, разходите, времевата рамка и отговорната страна. Това обикновено е посочено в план за третиране на риска, който включва времеви рамки, показатели и необходими ресурси.
7. Съставете подкрепящи документи и стандартизирайте процедурите
Често контролът на риска се проваля не защото идеята е лоша, а защото не е стандартизиран. Следователно организациите трябва да гарантират, че избраните мерки за смекчаване са превърнати в ясни оперативни документи.
Примери за подкрепящи документи:
– Нова СОП или преработена СОП
– Инструкции за работа
– Формуляри за инспекция, контролни списъци и дневници
– Минимални стандарти за обслужване или стандарти за качество
– Договорни условия с трети страни
Тази стандартизация помага да се гарантира, че контролът на риска не зависи от отделни лица, а е вграден в системата.
8. Комуникация, социализация и обучение
Управлението на риска включва и ефективна вътрешна комуникация. Рисковете не принадлежат на едно отделение; много от тях са междуфункционални. Следователно, резултатите от идентифицирането, приоритизирането и плановете за смекчаване на риска трябва да бъдат съобщени на съответните страни.
Често извършвани административни дейности:
– Социализация на политиките и процедурите за управление на риска
– Обучение за използване на регистри на риска и матрици за оценка
– Редовни брифинги относно ключовите рискове на организацията
– Комуникация при инциденти и извлечени поуки
Целта е да се изгради култура, осъзнаваща риска, където докладването на проблеми се разглежда като усилие за подобрение, а не като грешка, която трябва да бъде прикривана.
9. Мониторинг, оценка и периодично отчитане
Рискът е динамичен. Следователно управлението на риска трябва да се наблюдава. Този етап изисква ефикасно администриране на отчетността: кой докладва, кога и в какъв формат.
Мониторингът може да включва:
– Статус на внедряване на смекчаващи мерки (завършено, в процес на изпълнение, закъсняло)
– Промени в нивото на риск след внедряване на контролни механизми
– Появата на нови рискове поради промени в околната среда или проекта
– Тенденции при инциденти, оплаквания или системни повреди
Отчитането може да се извършва месечно, тримесечно или при необходимост. В идеалния случай отчетите трябва да открояват приоритетните рискове, пречките, препоръките и решенията, които ръководството трябва да вземе.
10. Одит, преглед от ръководството и непрекъснато подобрение
Последната стъпка е да се гарантира, че цялостната система за управление на риска продължава да се подобрява. Вътрешните одити или независимите оценки служат за оценка на спазването на политиките и ефективността на контрола. Освен това, прегледите на ръководството осигуряват участието на ръководството в стратегическите решения, свързани с риска.
Непрекъснатото усъвършенстване обикновено се осъществява чрез:
– Адаптиране на политиките и критериите за риск
– Подобряване на процеса на идентифициране и оценка, за да бъде по-точен
– Интегриране на управлението на риска с планирането и бюджетирането
– Внедряване на технологии (табло за управление на риска, система за дигитално отчитане)
С този цикъл на подобрение, администрирането на риска не спира като документ, а се превръща в механизъм за организационно обучение.
Затваряне
Административните стъпки в управлението на риска са основата за последователен, отчетен и въздействащ процес на управление на риска. От установяването на контекста и разработването на политики и възлагането на роли до мониторинга и одита – всички те са взаимосвързани и изискват точна документация.
Организациите със силни умения за управление на риска ще бъдат по-добре подготвени да се справят с несигурността, ще реагират по-бързо на промените и ще могат по-добре да поддържат устойчиви резултати. В крайна сметка, управлението на риска не е просто избягване на проблеми; то е свързано с изграждането на по-зряла, сигурна и мащабируема работна система.
