какие индикаторы положены в основу факторов риска
Что такое индикаторы риска нарушения обязательных требований и их примеры
Зачем нужны индикаторы риска
На основании ч. 9 ст. 23 Закона № 248-ФЗ контрольный (надзорный) орган разрабатывает индикаторы риска нарушения обязательных требований для оценки риска причинения вреда (ущерба) охраняемым законом ценностям при принятии решения о проведении и выборе вида внепланового контрольного (надзорного) мероприятия.
То есть, внеплановый контроль основан на выявлении индикаторов риска, а плановый – на отнесении объекта/деятельности к категории риска.
Понятие
Индикатор риска нарушения обязательных требований – это соответствие или отклонение от параметров объекта контроля. То есть, это своего рода «маячки», «красные линии» для проверяющих. Они говорят о том, что не всё в порядке и надо бы срочно проверить объект, деятельность.
Суть в том, что сами по себе индикаторы не являются нарушениями обязательных требований, но с высокой степенью вероятности говорят о наличии таких нарушений и риска причинения вреда (ущерба) охраняемым законом ценностям.
Учтите, что выявление соответствия объекта контроля параметрам, утвержденным индикаторами риска нарушения обязательных требований, или отклонения объекта контроля от таких параметров – это основание для проведения контрольных (надзорных) мероприятий (ч. 1 ст. 57 Закона № 248-ФЗ).
При этом одно из оснований для отказа прокуратуры в согласовании внепланового контрольного (надзорного) мероприятия – несоответствие его вида индикаторам риска нарушения обязательных требований (ч. 8 ст. 66 Закона № 248-ФЗ).
Как утверждают индикаторы
Перечень индикаторов риска нарушения обязательных требований утверждают различные уровни власти – в зависимости от курируемых ими видов контроля:
ВИД КОНТРОЛЯ
КТО УТВЕРЖДАЕТ ПЕРЕЧЕНЬ ИНДИКАТОРОВ
На практике перечни индикаторов риска нарушения обязательных требований в зависимости от вида и уровня контроля утверждает приказ федерального или регионального министерства, ведомства, а также документ местных властей.
У каждого контрольного (надзорного) органа есть своя информационная система. И одна из её задач – выявление индикаторов риска нарушения обязательных требований в своей сфере.
Федеральным законом о виде контроля может быть установлено, что федеральный орган исполнительной власти способствует разработке и утверждению индикаторов риска нарушения обязательных требований полномочным на это контрольным (надзорным) органом.
Источники информации об индикаторах
При выявлении индикаторов риска нарушения обязательных требований контрольный (надзорный) орган может использовать сведения, характеризующие уровень рисков причинения вреда (ущерба), полученные с соблюдением законодательства из любых достоверных источников – в том числе (ч. 1 ст. 24 Закона № 248-ФЗ):
В процессе сбора, обработки, анализа и учета сведений об объектах контроля в целях определения их индикаторов риска нарушения обязательных требований контролируемые лица не участвуют. Взаимодействие по этому вопросу Закон № 248-ФЗ не разрешает.
Контрольный (надзорный) орган обязан размещать и поддерживать в актуальном состоянии на своем официальном сайте, помимо прочего, перечень индикаторов риска нарушения обязательных требований (ч. 3 ст. 45 Закона № 248-ФЗ).
Примеры
В качестве примера перечня индикаторов риска нарушения обязательных требований на федеральном уровне можно привести приказ Минэкономразвития России от 28.05.2021 № 300. Он утвердил перечня индикаторов по федеральному государственному контролю (надзору) за деятельностью аккредитованных лиц.
Есть ещё приказ МЧС России от 07.06.2021 № 364 с перечнем индикаторов риска нарушения обязательных требований при осуществлении пожарного надзора. К ним отнесены:
Также в качестве примера можно привести приказ Минтранса от 28.05.2021 № 171 с индикаторами риска нарушения обязательных требований при контроле (надзоре) в области железнодорожного транспорта и приказ Минсельхоза от 28.05.2021 № 343 с индикаторами для ветеринарного контроля (надзора).
Все названные документы действуют с 1 июля 2021 года, как и Закон № 248-ФЗ.
Ключевые индикаторы риска, система показателей и шаблон
Правильно разработанная модель рисков помогает проводить обсуждение рисков в компании. Она объединяет индикаторы, направленные на оценку вероятности возникновения риска, влияния риска, а также действий, контролирующи риск.
Ключевые темы статьи:
KRI (ключевые показатели риска) не так уж и отличаются от KPI, а модели управления рисками очень поожи на ССП. Поговорим о лучши практика KRI.
Концепция риска
Что такое риск, как можно его измерить и контролировать? Интуитивно риск понимается как нечто, связанное с опасностью/угрозой, это событие может произойти с определённой степенью вероятности и привести к определённым негативным последствиям. За исключением одного аспекта это восприятие верно: риск не всегда является угрозой для бизнеса, он также может быть возможностью.
Раньше ISO определяла риск как «возможность или вероятность убытка», однако в соответствии с ISO 31000:2009, определение риска звучит следующим образом: «влияние неопределённости на цели».
Иными словами, современное определение риска признаёт, что тот может быть связан не только с угрозами, но и с возможностями.
С одной стороны, потеря ключевого сотрудника может оказаться угрозой для компании, однако с другой стороны, вы можете найти нового сотрудника, который привнесёт в организацию новые идеи и опыт. Всё зависит от контекста бизнеса (бизнес-целей).
Что такое ключевые индикаторы риска (KRI)?
Как следует из названия, KRI — это индикаторы, являющиеся ключевыми для процесса управления рисками.
Большинство принципов KPI (ключевы показателей эффективности) применимы и для KRI:
Поэтому я советую вам прочесть статью: 12 шагов к системе KPI. Во время изучения материала замените «KPI» на «KRI». Вы с лёгкостью можете использовать те же идеи и рекомендации для показателей риска.
На данный момент нам будет достаточно определить KRI как показатели риска, являющиеся важной частью портфеля управления рисками. Как следует из определения риска стандарта ISO, окончательное решение о том, что является или не является риском, зависит от целей компании, поэтому будьте осторожны при копировании KRI други компания.
Различия между KRI и KPI
Некоторые авторы предлагают четкое разделение между KPI и KRI: первые отвечают за производительность бизнеса, вторые – за риск. Примером типичного KPI, который не является KRI является «чистая прибыль».
Однако «чистая прибыль» также не говорит нам ничего о производительности или том, какого значения очет достичь организация!
Чтобы использовать показатель «Чистая прибыль», мы должны добавить контекст, пороговые и базовые значения, целевые значения, а также релевантный план действий:
Проанализируйте этот KPI! Разве теперь он не поож на KRI? Безусловно, у нас нет индикаторов вероятности и влияния, однако мы легко можем и добавить…
Другой аргумент в поддержку идеи о сожей природе KRI и KPI:
Возможно, это преувеличение, однако лично я не вижу никакой фундаментальной разницы. В комментария под статьей я готов об этом подискутировать. Безусловно, KRI в большей степени ориентированы на риск, однако при желании вы можете трансформировать KRI в KPI и наоборот.
Включение рисков в KRI. Определение ключевого индикатора риска.
Мы добрались до интересной части. Поговорим об управлении рисками. Управление риском – это управление цепочкой:
Как правило, мы не можем внести все аспекты риска в один KRI, поэтому мы будем использовать три индикатора:
Например, для такого KRI, как «Плоое наставничество», мы используем:
Какие из эти показателей являются KRI? Я бы назвал KRI пару «вероятность» и «влияние», в то время как «план действий» относится к процедурам контроля риска.
Шаблон KRI
Этот шаблон вы можете использовать для создания ключевы показателей риска.
| Индикаторы риска | План контроля рисков | Индикатор действия | |
|---|---|---|---|
| Идентификация риска: ______________ | Вероятность риска: ________ Индикатор влияния: _________ | Действие 1: _________ Действие 2: _________ | Индикатор 1: _________ Индикатор 2: _________ |
Описанный ранее пример будет выглядеть следующим образом:
| Индикаторы риска | План контроля риска | Индикатор действия | |
|---|---|---|---|
| Идентификация риска: «Плоое наставничество» | Индикатор вероятности: Время, затрачиваемое на наставничество в течение недели, часов Индикатор влияния: Индекс вовлечения сотрудников, % | Действие 1: Улучшение процедур наставничества | Индикатор 1: Пройден тренинг по развитию лидерски качеств, часов. |
KPI действия/результата и KRI вероятности/влияния
При создании стратегической карты мы всегда стремимся к тому, чтобы:
Сравнив это с «вероятностью», «влиянием» и «планом действия», вы поймёте, что я имею в виду.
Правильно описанная стратегия очень поожа на оценку рисков и контроля, проведённую соответствующим образом.
Как риски появляются на карте? Культура отчетности.
Подобно целям, которые являются проекциями правильно составленной стратегии, риски представляют собой проекцию правильно проведённого анализа рисков.
Внедрение культуры, поожей на культуру NASA: один раз столкнувшись с проблемой, организация проводит тщательны анализ возможны причин, даже если проблема больше не возникает.
Как использовать оценку риска и модель контроля
Описанная ранее модель оценки риска не является чем-то новым, однако она нужна вам так же, как и стратегическая карта, помогающая управлять эффективностью бизнеса. Конкретные цифры могут вводить в заблуждение и не давать нужной информации. Тогда зачем нужна эта модель?
Таким образом вы можете внедрить контроль рисков на уровне ДНК компании. Это гораздо лучше, чем регулярные отчеты о KRI, имеющие мало общего с реальными проблемами.
Список наиболее популярны KRI
Бесплатная учетная запись BSC Designer даёт вам доступ к нескольким системам показателей риска, включающим 89 KRI.
Для доступа к системам показателей риска неободимо:
Эти индикаторы не всегда являются обязательными для организации. Как и KPI, KRI должны быть согласованы с контекстом бизнеса, в противном случае вы будете оценивать и пытаться управлять риском, не имеющим отношение к вашей компании.
ПО для управления рисками и соответствия требованиям: KRI в BSC Designer
Как я упоминал в статье о корпоративном управлении, нет неободимости приобретать отдельное ПО для управления рисками и соответствия требованиям (compliance).
Показатели риска продолжают быть показателями. И можно автоматизировать при помощи программы реализации стратегии, которой вы пользуетесь.
Далее мы рассмотрим, как пользователя BSC Designer могут отслеживать KRI.
Выберите показатель и единицу измерения «Риск»:
Определите план по снижению риска:
Определите вероятность риска:
Определите влияние риска:
В этом случае BSC Designer сможет визуализировать требуемые данные на графике риска:
Основное преимущество состоит в том, что показатели могут быть согласованы с целями на стратегической карте:
Ключевые индикаторы риска
Ключевые индикаторы риска (риск-индикаторы) — это показатели, которые позволяют спрогнозировать и оценить вероятность реализации риска (наступления рискового события). Вероятность реализации риска нередко можно привязать к различным количественным показателям деятельности организации — вот эти показатели и будут ключевыми индикаторами риска (англ. Key Risk Indicator, KRI).
Индикаторы риска непосредственно связаны с факторами (источниками) риска, и уже через факторы, с рисками (модель «галстук-бабочка»). Риск-индикаторы используются при проведении оценки факторов риска и, соответственно, могут быть использованы для оценки рисков.
Система ключевых индикаторов рисков разрабатывается в зависимости от того, какие риски были идентифицированы и утверждены к управлению в системе управления рисками организации на основании ее аппетита к риску. Для каждого типа рисков (в идеальной ситуации — для каждого конкретного риска в карте рисков организации) необходимо разработать и утвердить перечень ключевых индикаторов: для операционного риска это будут свои индикаторы, для коррупционного риска — свои; финансовые и кредитные риски также обладают собственными риск-индикаторами. Важно, чтобы риск-индикаторы были измеряемыми количественно — это обязательное условия для того, чтобы можно было наладить их мониторинг и контроль.
Необходимо иметь ввиду, что каждый риск может характеризоваться многими факторами и, соответственно, многими индикаторами риска. В итоге в рамках системы управления рисками организации мы получаем десятки, сотни или даже тысячи риск-индикаторов. Отслеживание такого количества показателей вручную может быть весьма затруднено, поэтому логичным представляется автоматически получать индикаторы риска, к примеру, из учетных (или прочих операционных) информационных систем организации, и реализовать некий механизм на основе систем автоматизации управления рисками, который будет пересчитывать вероятность реализации рисков в зависимости от значения соответствующих ключевых индикаторов риска.
Ключевые индикаторы риска также могут использоваться как триггеры для того, чтобы запустить определенные процессы по реагированию на риск. Например, для конкретного КИР мы можем задать его пороговое значение и, при превышении этого значения, можем инициировать исполнение мероприятий по реагированию на риск. По сути, превышение порогового значения КИР — это еще не реализация самого риска, но тем не менее, подобное событие уже может требовать принятия мер митигирования.
Примеры ключевых индикаторов риска
Примеры ключевых индикаторов для различных рисков приведены на картинке:
Примеры ключевых индикаторов риска
В данном случае, в отслеживании статуса индикаторов риска применяется метод «светофора» или Red, Amber, Green (RAG). В этом методе происходит определение пороговых значений риск-индикаторов и каждому диапазону присваивается соответствующий цвет «светофора». Соответственно, визуально можно сразу определить диапазон, в котором находится индикатор риска.
Видео о ключевых индикаторах риска:
Статья 23. Категории риска причинения вреда (ущерба) и индикаторы риска нарушения обязательных требований
Статья 23. Категории риска причинения вреда (ущерба) и индикаторы риска нарушения обязательных требований
ГАРАНТ:
См. комментарии к статье 23 настоящего Федерального закона
1) чрезвычайно высокий риск;
3) значительный риск;
2. Положением о виде контроля должно быть предусмотрено не менее трех категорий риска, в том числе в обязательном порядке категория низкого риска.
4. Критерии риска должны учитывать тяжесть причинения вреда (ущерба) охраняемым законом ценностям и вероятность наступления негативных событий, которые могут повлечь причинение вреда (ущерба) охраняемым законом ценностям, а также учитывать добросовестность контролируемых лиц.
5. При определении критериев риска оценка тяжести причинения вреда (ущерба) охраняемым законом ценностям проводится на основе сведений о степени тяжести фактического причинения вреда (ущерба) в подобных случаях, потенциальном масштабе распространения вероятных негативных последствий, влекущих причинение вреда (ущерба), с учетом сложности преодоления таких последствий.
6. При определении критериев риска оценка вероятности наступления негативных событий, которые могут повлечь причинение вреда (ущерба) охраняемым законом ценностям, проводится с учетом предшествующих данных о фактическом причинении вреда (ущерба) вследствие наступления событий, вызванных определенными источниками и причинами риска причинения вреда (ущерба), по различным видам объектов контроля с выделением видов объектов контроля, характеризующихся схожей или различной частотой случаев фактического причинения вреда (ущерба).
7. При определении критериев риска оценка добросовестности контролируемых лиц проводится с учетом следующих сведений (при их наличии):
1) реализация контролируемым лицом мероприятий по снижению риска причинения вреда (ущерба) и предотвращению вреда (ущерба) охраняемым законом ценностям;
2) наличие внедренных сертифицированных систем внутреннего контроля в соответствующей сфере деятельности;
3) предоставление контролируемым лицом доступа контрольному (надзорному) органу к своим информационным ресурсам;
4) независимая оценка соблюдения обязательных требований;
5) добровольная сертификация, подтверждающая повышенный необходимый уровень безопасности охраняемых законом ценностей;
6) заключение контролируемым лицом со страховой организацией договора добровольного страхования рисков причинения вреда (ущерба), объектом которого являются имущественные интересы контролируемого лица, связанные с его обязанностью возместить вред (ущерб) охраняемым законом ценностям, причиненный вследствие нарушения контролируемым лицом обязательных требований.
8. Критерии риска должны основываться на достоверных сведениях, характеризующих уровень риска причинения вреда (ущерба) в соответствующей сфере, а также практику соблюдения обязательных требований в рамках вида контроля, и обеспечивать возможность контролируемому лицу самостоятельно оценивать правомерность отнесения его деятельности и (или) принадлежащих ему (используемых им) иных объектов контроля к соответствующей категории риска.
9. В целях оценки риска причинения вреда (ущерба) при принятии решения о проведении и выборе вида внепланового контрольного (надзорного) мероприятия контрольный (надзорный) орган разрабатывает индикаторы риска нарушения обязательных требований. Индикатором риска нарушения обязательных требований является соответствие или отклонение от параметров объекта контроля, которые сами по себе не являются нарушениями обязательных требований, но с высокой степенью вероятности свидетельствуют о наличии таких нарушений и риска причинения вреда (ущерба) охраняемым законом ценностям.
Информация об изменениях:
10. Перечень индикаторов риска нарушения обязательных требований по видам контроля утверждается:
1.2. Индикаторы, категории риска
Специфика и разнообразие риска в различных областях экономической жизни и знания требует определения показателей риска, факторов, его определяющих, и критериев, на основе которых будут приниматься рисковые решения.
Можно рассмотреть следующие индикаторы риска:
1. Потенциальные потери. При анализе этих потерь возможны две ситуации:
а) в результате проведения мероприятий положение станет хуже, чем было;
б) исход будет в сущности не отличаться от предполагаемого результата.
2. Случайные потери. Эти потери очень трудно измерить, поскольку они не являются очевидными до определенного момента. Случайные потери могут совершенно изменить рисковую ситуацию: устранить риск или, наоборот, усилить его влияние,
3. Надежность. Определение этого показателя сформулировано Райзбергом Б.А.. Надежность связана с производственной и предпринимательской деятельностью, определяя уверенность в будущем. Она показывает «не столько вероятность определенного уровня потерь, сколько вероятность того, что потери не превышают некоторого уровня» При оценке надежности она проявляется влиянием на риск в большей степени субъективных факторов на действия, события и последствия принимаемых решений.
В результате рассмотрения основных индикаторов риска определяются следующие объективные позиции по отношению к риску: благосклонное отношение к риску (favoring risk), враждебное отношение к риску (adverse risk) и нейтральное отношение к риску (neutral risk). Эти понятия увязывают теорию спроса и потребительского выбора с теорией риска. Поэтому следует остановиться на принципе предельной полезности.
Отношение каждого человека к риску различно в зависимости от множества условий: характера конкретной личности, внешних обстоятельств и т.п.
Теория принятия рискового решения связана с теорией потребительского выбора. Полезность в микроэкономике рассматривается как цель потребления, зависящая от множества возможностей, которыми располагают потребители. В условиях риска, также как и в условиях потребительского выбора, люди, располагая определенной информацией, представляют вероятность каждого из возможных результатов конкретного события или ситуации.
В случае определенности ситуации, связанной с постоянной полезностью, будет иметь место нейтральное отношение к риску. В случае враждебного отношения к риску будет иметь место убывающая предельная полезность и поэтому рисковая альтернатива не выбирается. При возрастающей предельной полезности в случае удачи возможен большой выигрыш и, следовательно, имеет место положительное отношение к риску и выбор рисковой альтернативы.
Таким образом, термин полезности вносит новую черту в понятие риска, характеризующегося и субъективными факторами.
Для того, чтобы проанализировать сложившуюся ситуацию и принять решение, необходимо выяснить, что известно о данной ситуации.
Для этого необходимо в дополнение к категории «риск» ввести такие категории, как «уверенность» и «неопределенность».
На рисунке 1.1 изображены уровни принятия решения и взаимосвязь между ними.
Полная информация РИСК Неведение
Уверенность Недостаток знания Неопределенность
Рисунок 1.1- Уровни принятия решения
Решения, принимаемые на основе полной информации, носят определенный характер. Эти решения принимаются с уверенностью в их конечном результате. Такие ситуации, когда конечный исход нельзя предсказать с действительной достоверностью, детерминированы по своей сути. В планировании такие ситуации возможны при решении вопросов близкой перспективы (оперативное решение).
Неопределенность, напротив, предполагает отсутствие информации о прошлом, настоящем и будущем данного события, положения или значения. Это означает недостаток уверенности в оценке вероятности наступления события. Также неопределенность предполагает знание всевозможных исходов, но вероятность наступления события не может быть ни определена, ни оценена.
Останавливаясь на факторе неопределенности, который определяет трудность планирования, особенно сложно установить нежелательные события, проблемы для нового проекта или решения. Это связано прежде всего с тем, что предприятие является динамической системой и окружено динамической средой. На любой проект, разрабатываемый данным предприятием, среда оказывает возмущающие воздействия, что корректирует отдельные детали проекта. Само предприятие в ходе оперативного управления проектом также вносит изменения в его содержание. При внедрении проекта в производственную, финансовую или социальную сферу, следовательно, существует риск невыполнения первоначальной проектной цели.
Определение термина «риск» с точки зрения неопределенности впервые было предложено профессором Чикагского университета Ф. Книхтом в 1993 году: «. если мы допускаем, что исход каждого естественного происшествия известен, то при принятии решения в рисковой ситуации мы говорим о неопределенности».
Таким образом, процесс принятия решения с точки зрения «уверенности» включает в себя следующие шаги:
1). Определение альтернативных линий поведения.
2). Расчет затрат по каждому варианту и их окупаемость (покрытие).
3). Выбор лучшего варианта с использованием экономико-математических методов или путем перечисления вариантов.
Тогда, как процесс принятия решения в рисковой ситуации с точки зрения «неопределенности» должен содержать следующие моменты:
1). Использование критерия ожидаемой величины покрытия затрат, принимая во внимание риск, усложняющий понятие решения.
2).Ожидаемая величина покрытия является суммой отдельных величин, влияющих на вероятность наступления случайного события.
3).Другие критерии выбора могут быть также использованы, особенно в неповторяющихся ситуациях, например, ограничение потерь.
Подводя итог можно выделить три аспекта риска:
1. Потери, связанные с риском.
3. Наличие некоторого выбора (альтернативность).
Для характеристики возможных потерь необходимо определить их величину, вероятность и пути предотвращения или снижения. Каждая из этих составляющих важна при оценке риска ситуации.
Необходимо учитывать, что величину и вероятность потерь можно рассчитывать, но, в свою очередь, эти два понятия являются зависимыми, например, от временного фактора.
Для упрощения анализа ситуаций не всегда необходимо разделять события на отдельные, множественные и непрерывные. Но следует отметить, что результаты, которые получаются при оценке отдельного события имеют меньшую степень риска, чем те, у которых возможны множественные потери (и политические, и социальные, и экономические).