Читать книгу: «Управление рисками. Как больше зарабатывать и меньше терять», страница 4

2.3.Точки уязвимости и рисковые события

Точки уязвимости – это очень важный параметр риска, про который часто забывают.

Определяя точки уязвимости риска «погода может оказаться нелетной», мы должны постараться увидеть все возможные слабые места, причины и обстоятельства, которые могут привести к реализации данного риска.

Во-первых, может иметь место циклон или какое-либо другое погодное явление, на которое мы не можем повлиять. Во-вторых, в аэропорту может не быть средства обработки против образования льда, и тогда взлет будет невозможным (хотя из других аэропортов самолеты в аналогичных условиях будут улетать). Или самолет авиакомпании не имеет специального навигационного оборудования. Точку уязвимости, которую можно условно назвать «циклон», мы ликвидировать не можем. Но если, выбирая маршрут, мы узнаем, предусмотрена ли в аэропорту обработка против образования льда, то одну точку уязвимости мы сможем ликвидировать, тем самым уменьшив риск.

Еще один, более близкий большинству читателей пример. Если рисковое событие – это «попадание в ДТП», то точкой уязвимости здесь могут стать «недостаток опыта водителя», «сложные дорожные условия» (на них, как и на возникновение циклона, мы вряд ли сможем повлиять) и т. д.

При этом, если рисковое событие может и не наступить, то уязвимое место – это некая данность, факт. Мы видим, что на дорогах «сложные условия» и знаем, что у водителя мало опыта. Мы знаем, что в аэропорту, из которого мы собираемся улететь, не предусмотрена обработка против образования льда.

Важно помнить: риски реализуются, когда одновременно «активны» несколько точек уязвимости. В рассмотренном примере мы увидели, что точки «неопытный водитель» и «сложные дорожные условия» с большой вероятностью приведут к аварии (рис. 2–1).

Если же активна только точка «неопытный водитель», а «сложных дорожных условий» не наблюдается, вероятность аварии гораздо меньше (рис. 2–2).

И наконец, если водитель опытный, то он, скорее всего, не попадет в аварию и в сложных дорожных условиях – в ситуации, когда активна только точка «сложные дорожные условия» (рис. 2–3).

А вот если точки уязвимости одновременно активны, то риск реализуется со значительно большей вероятностью. Именно одновременную активность нескольких уязвимых точек обычно называют «трагическим стечением обстоятельств», тогда как подобная ситуация – результат недостаточного управления рисками.

Нейтрализовав хотя бы одну точку уязвимости, мы если не ликвидируем риск совсем, то значительно уменьшим вероятность наступления рискового события.

И последний в этом разделе пример. Допустим, мы определяем риск возникновения пожара на складе. Точки уязвимости можно выявить, задав себе вопрос: какие условия должны сложиться, чтобы это событие произошло? Во-первых, на складе должно быть что-то, способное воспламениться, назовем эту точку уязвимости «наличие горючих материалов». Понятно, что сами по себе даже очень горючие материалы не загорятся. Нужны источник огня и действия по его «высечению». Вторую точку уязвимости мы назовем «поджог», подразумевая, что это может быть курящий сотрудник, замыкание и т. д.

Получается, что точки уязвимости для рискового события «пожар на складе» таковы (рис. 2–4).

Еще раз продемонстрируем, что, убрав одну точку уязвимости, мы можем уменьшить вероятность наступления риска: ведь сами по себе горючие материалы не загорятся, для этого необходимо действие – поджог. Исключив возможность поджога (запретив курить на складе), мы снизим риск возникновения пожара (рис. 2–5).

Если же у нас на складе ничего загореться не может, то тогда и действия, способствующие поджогу, тоже не приведут к пожару (рис. 2–6).

Активные точки уязвимости всегда содержат в себе «условия» (наличие горючих материалов) и «действия» (поджог).

Поэтому, определяя точки уязвимости, ищите условия и действия. Другое дело, что мы далеко не всегда можем их выявить (к примеру, мы не знаем, из-за чего возникают многие неизлечимые болезни). Но пусть это не является для вас демотивирующим фактором – по большей части рисков точки уязвимости мы определить сможем. А если и нет – то сможем подготовиться и придумать план действий на случай, если риск реализуется.

Есть еще один важный момент, который необходимо помнить при определении риска. Очень часто точки уязвимости и рисковые события мы воспринимаем совершенно одинаково, более того – из них можно составить бесконечную цепочку. Согласитесь, сказав «риск поджога» и «риск пожара», мы подразумеваем одно и то же. В нашем примере мы рассматривали пожар как рисковое событие. Пожар же, в свою очередь, приведет к тому, что сгорит склад и компания понесет определенные убытки. Поэтому «пожар» будет являться точкой уязвимости для риска «убытки». Можно продолжать двигаться дальше, и в результате точки уязвимости и риски образуют бесконечную цепочку. Если продолжать расписывать риск пожара, мы можем получить, например, следующую картину (рис. 2–7).

Курение на складе может являться точкой уязвимости для события «поджог», однако может существовать и другой источник огня. Теперь, если обозначить событие «кто-то курил на складе» как риск, мы увидим, что точками уязвимости здесь могут стать отсутствие оборудованных мест для курения, нарушение инструкций, да и сам факт наличия в компании курящего сотрудника. Естественно, что пожар, в свою очередь, может привести к убыткам и потерям позиций на рынке. Важно понимать, что, ликвидируя точку уязвимости нижнего уровня, мы ликвидируем точки уязвимости более высокого уровня. Проанализируйте даже самые глобальные риски, и вы наверняка докопаетесь до «нижних» точек уязвимости.

Может возникнуть вполне закономерный вопрос: как определять риски, если, к примеру, «пожар» может быть определен и как риск, и как точка уязвимости для другого риска? Ответ здесь простой – риски нужно определять таким образом, чтобы было понятно, какие меры принимать. Если, определив риск «пожар», мы сделаем максимум для того, чтобы на складе никто не курил, это будет эффективно вне зависимости от того, как этот риск назвать.

Один реализовавшийся риск может стать точкой уязвимости для другого риска. Риск «пожар» – это точка уязвимости для риска следующего уровня. Если реализуется риск «пожар», то эта точка уязвимости для другого риска становится активной. Это также важно учитывать, определяя риски.

2.4. Взаимосвязь между параметрами риска

Мы рассмотрели, как связаны между собой рисковые события и точки уязвимости. Теперь, чтобы увидеть, как взаимосвязаны все параметры (факторы) риска, рассмотрим рис. 2–8, где видны причинно-следственные связи.

Рисунок специально «обезличен», поскольку логика определения рисков универсальна для всех областей применения. Прочитать его можно следующим образом: «Поскольку есть точки уязвимости “X”, может реализоваться событие “Y” с вероятностью “P”, и если оно реализуется, то окажет влияние на бизнес “I”».

Или, если обратиться к примеру с попаданием в ДТП, то получится следующая картина (рис. 2–9).

Этот рисунок может быть прочитан следующим образом: «Поскольку на дороге сложные условия и за рулем неопытный водитель, ДТП случится с вероятностью 90 %, что приведет к тому, что мы потратим на 10 000 рублей и на 5 часов больше, чем мы планировали». Естественно, вряд ли кто-то, планируя поездку куда-либо, включает в затраты время и деньги, которые могут быть потрачены в случае попадания в ДТП, поэтому эти затраты всегда будут «внеплановыми».

Таким образом, определяя риск, мы должны выявить: событие, точки уязвимости, влияние и вероятность. Убрав точки уязвимости, мы чаще всего значительно уменьшаем вероятность наступления рискового события.

2.5. Субъективность риска, управление рисками и планирование

Мы уже говорили, что при определении рисков любого проекта нужно четко понимать, в чем цель этого проекта. Определение целей – важная часть планирования; планирование же – это одна из основных управленческих функций, тесно связанная с риск-менеджментом. Может показаться, что если не планировать, то и рисков не будет, но это не так. Если не планировать работу (на всех уровнях), то рисков будет еще больше.

Взаимосвязь управления рисками и планирования во многом объясняет субъективность рисков. Это важное свойство рисков, и о нем нужно помнить при их определении, особенно когда риски определяют несколько человек (например, команда проекта или сотрудники организации).

Здесь самое время поговорить о том, является ли позитивное, но незапланированное событие риском? С общепринятой точки зрения, вроде бы и нет. Потому что наступление риска подразумевает некий ущерб. И мы, рассматривая методы управления рисками, как правило, рассматриваем риски «негативные». Однако в более широкой перспективе позитивное, но незапланированное событие – это риск. Может показаться, что нет смысла включать в риски положительные события. Ведь управление рисками требует времени. Чем меньше рисков, тем меньше времени потребуется.

Рассмотрим пример из практики строительства. Предположим, что у нас одновременно реализуются два риска. Первый: поставщики бетона не привезут его вовремя. Второй: наступят непредвиденные заморозки. На вопрос «Какое из этих событий позитивное, а какое – негативное?», скорее всего, большинство людей скажет, что оба – негативные. А теперь представим, что нам не привезли бетон. Все в панике. И тут неожиданно (как всегда зимой) грянули заморозки. Это вроде тоже плохо. Но представьте, что эти события произошли одновременно. Что получается? Если бы бетон привезли вовремя (то есть риск не реализовался бы), он бы замерз, и мы бы понесли большие убытки, чем в случае, если бы бетон не привезли. А так он не замерз. Получается, что «заморозки» – если и не позитивное событие, то, как минимум, оно смягчает другой риск! И что же, теперь его к рискам не относить?

Однажды я летел в Женеву через Цюрих. Самолет в Цюрих должен был прилететь поздно вечером, и мне предстояла поездка в Женеву на поезде практически среди ночи. Большая часть пассажиров, что важно, летело через Цюрих в другие страны. Самолет задержался на шесть часов. Для большинства пассажиров – особенно для тех, кто летел транзитом, – негативное влияние этого риска очевидно: они опоздали на следующие рейсы. Мне же было только лучше – авиакомпания предоставила гостиницу в Цюрихе из-за задержки самолета, и я спокойно поехал в Женеву на поезде утром, выспавшийся и отдохнувший.

Поэтому то, что для меня риск, для вас может риском и не быть. То, что является риском для вас, может не быть риском для ваших коллег, партнеров, конкурентов.

«Позитивность» и «негативность» события – вещи относительные, и определить эти качества события можно только в контексте конкретной ситуации.

Поэтому можно дать понятию риск и более общее, но в то же время более компактное определение. Риск – это событие, которое, если наступит, приведет к несоответствию факта плану. И наоборот: в основе любого несоответствия факта плану лежат реализовавшиеся риски.

Вы запланировали полететь куда-либо и не полетели – для вас это риск. Запланировали полететь за 10 000 руб., полетели в итоге за 15 000. Запланировали доехать за полчаса и без затрат – заплатили 10 000 рублей и потеряли 5 часов времени. Это все – реализовавшиеся риски.

Если не планировать, тогда все, что происходит, можно считать «риском». Не планируя деятельность (проект, жизнь, бизнес, процессы и т. д.), определить риски невозможно. А значит, невозможно ими управлять.

Риск определяют: событие, которое может произойти из-за того, что есть некая «точка уязвимости, слабое место» (с некоторой вероятностью). И если это событие произойдет, то оно приведет к отклонению «факта» от «плана» (то есть окажет какое-то влияние на нашу жизнь, проект, бизнес, процесс и т. д.).

Еще пример. Предположим, вы запланировали открыть новый офис в течение месяца. Есть риск, что произойдет сбой в поставках, и на поиски и заключение договоров с новыми поставщиками уйдет как минимум неделя. Тогда, соответственно, открытие нового офиса сдвинется в лучшем случае на две недели. Здесь рисковым событием является «сбой в поставках». В случае, если событие не наступило, нужно каким-то образом определить вероятность его наступления (чаще всего вероятность определяют интуитивно). Точкой уязвимости здесь могут стать, например, «ненадежные поставщики» (точку уязвимости не всегда можно определить). Влияние риска – офис откроется на две недели позже запланированного срока. То есть имеет место отклонение факта от плана. А это отклонение уже можно измерить в деньгах.

2.6. Определение рисков на примере кейса «Парк развлечений»

Вот комментарий менеджера, который он сделал при осмотре парка развлечений:

Колесо обозрения. Посмотрел – вспомнил, как сам катался. Классика, всегда будет популярно. Большая очередь, преимущественно из молодых людей. Многие с пивом. Но это ладно – у оператора этой штуки вид очень усталый, и в мусорном ведре – пустые бутылки от «Крушовице» (пытался замаскировать, довольно неловко). Видимо, чешское пиво любит. Надо будет узнать, какой доход приносит это колеса.

Итак, какие выводы можно сделать на основе этой информации?

Во-первых, пока все вроде работает – колесо обозрения крутится. Если бы с ним что-то было не так, это наверняка было бы упомянуто. Во-вторых, мы получили информацию, которая должна нас насторожить – оператор склонен к употреблению легких алкогольных напитков. Само по себе это, может быть, и не страшно, но если вдруг появится какая-либо техническая неисправность, то оператор может ее не заметить. Мы увидели одну точку уязвимости – «оператор с пивом». Если мы добавим к этому точку уязвимости «техническая неисправность», то появляется вероятность, что колесо неожиданно остановится в момент, когда на нем находятся люди. Мы получили рисковое событие – «колесо остановится, когда на нем находятся люди». Здесь мы определяли риск «от точек уязвимости к событию». Но мы могли двигаться и другим путем: мы могли предположить, что, если колесо остановится, это будет не очень хорошо, а затем подумать, что может к этому привести. В результате мы пришли бы к тем же самым точкам уязвимости.

Мы определили событие и точки уязвимости. А каково влияние этого риска? Очевидно, что в случае его реализации популярность аттракциона снизится. Последствия, я думаю, понятны.

Последнее, что нам нужно определить для того, чтобы полностью сформулировать риск, – вероятность его наступления. Для такого типа рисков определить вероятность очень сложно, потому что события из разряда «остановится колесо обозрения» очень редки и статистики здесь нет. Зато, если событие произойдет, его влияние будет весьма значительным. Поэтому здесь, как и во многих случаях, связанных с управлением ежедневными рисками, оценку вероятности имеет смысл использовать как средство «отсечения» совсем уж невероятных событий. То есть оценку вероятности следует применять как показатель, помогающий решить: работать с этим риском или нет. Так, вероятность наступления риска «на колесо обозрения упадет метеорит» мы определили бы как «невероятно», и в дальнейшем этот риск уже не учитывали.

Таким образом, у нас получается следующее описание риска (рис. 2-10).

Этот же риск можно представить на схеме, где видны взаимосвязи (рис. 2-11).

Схема может быть прочитана следующим образом: «Из-за того, что оператор с пивом может не заметить возникшую техническую неисправность, которая приведет к тому, что колесо обозрения с находящимися на нем людьми, остановится, это вызовет большой скандал, и популярность аттракциона уменьшится».

Очевидно, что если мы ликвидируем какую-либо из точек уязвимости, то значительно уменьшим вероятность рискового события, а значит, и вероятность потерь, связанных с последствиями реализовавшегося риска (можно, например, найти непьющего оператора и т. д).

Определяя риски, фиксируйте все четыре параметра, это необходимо для того, чтобы рисками управлять. Можно составить таблицу рисков с четырьмя колонками, в которых будут отражены параметры рисков.

2.7. Коллизии, ошибки, сбои, или Что такое реализовавшийся риск

В этом разделе мы поговорим о коллизиях, сбоях, ошибках, невыполнениях планов и т. д. Все эти вещи хорошо знакомы каждому. Можно ли с ними бороться, и если да, то как? Эта тема непосредственно связана с управлением рисками, хотя на первый взгляд это неочевидно.

Если рассматривать сбой, коллизию, отставание от плана, ошибки персонала и т. д. с точки зрения риск-менеджмента – все это подходит под определение риска.

Таким образом, любая ошибка, коллизия, сбой, отклонение от планов и т. д. – это реализовавшийся риск. При этом обычно чем меньше времени тратится на управление рисками, тем больше рисков возникает в жизни.

Риск – потенциальное отклонение «факта» от «плана». Коллизия, сбой – случившееся отклонение «факта» от «плана». То есть любая коллизия – это реализовавшийся риск. Вне зависимости от того, рассматриваем мы Чернобыльскую катастрофу, тривиальную аварию на дороге, сбой в поставках – всегда есть некий факт, который к этому приводит, и каждый из этих рисков мог бы быть заранее определен и смягчен.

Если в компании в течение месяца фиксировать все коллизии, которые возникают в работе, и анализировать ущерб, к которому они привели, то результат будет весьма впечатляющим. И окажется, что весь этот ущерб связан с реализацией рисков. И если ничего не предпринимать, ситуация не изменится, и ущерб станет регулярным.

Продолжим рассматривать кейс «Парк развлечений». Для того, чтобы осознать, что же такое реализовавшиеся риски, представим, что, пока наши менеджеры определяли еще не реализовавшиеся риски, одному из них позвонили из администрации парка и сообщили три новости.

• В администрацию позвонила разъяренная мама ребенка и сказала, что подаст на «весь ваш парк» в суд, потому что ее ребенок отравился сладкой ватой.

• Прошел дождь, и все дорожки в парке пришли в состояние, когда гулять по ним можно только в резиновых сапогах «по пояс».

• Кафе, где продают пиво, вместо планируемых за неделю 10 000, заработало только 5 000, потому что посетителей было очень мало.

С точки зрения риск-менеджмента произошло отклонение от плана, коллизия под названием «отравление сладкой ватой», то есть – событие. Событие это, безусловно, повлияет на вашу репутацию, отношение к вам друзей, да и в целом – ситуация неприятная. То есть имеет место ущерб. В нашем определении не хватает вероятности, потому что событие уже произошло.

Очевидно, что эта информация представляет собой описание рискового события, и этой информации недостаточно для того, чтобы рисками управлять. Поэтому нам необходимо зафиксировать эти риски и определить все оставшиеся параметры – точки уязвимости, влияние и вероятность. Под вероятностью в этом случае мы будем понимать возможность возникновения такого же события в будущем.

Обычно, когда речь идет о каком-то риске, упоминается только рисковое событие. Регистрируя риски, постарайтесь определить их остальные параметры. Например, рассмотрим коллизию, то есть рисковое событие «ребенок отравился сладкой ватой». Относительно влияния риска также можно сделать обоснованные предположения. Определение же точек уязвимости в данном случае означает «определение рисков», ведь в зависимости от того, каковы эти точки, вырабатываются меры управления риском. Возможно, что сладкая вата была испорчена, и тогда нужно выяснять, из-за чего это произошло. Возможно, причина – в нарушении технологии, может быть – в испорченном сырье и т. д. Здесь потребуется мнение компетентного специалиста. Но также нужно иметь в виду, что ребенок мог отравиться не в парке и не ватой – тогда точки уязвимости у этого риска будут совсем другие, соответственно, и действия тоже. Если, в нашем случае, мы выясним, что точкой уязвимости является «технология изготовления», это одно. Если же мы выясним, что ребенок съел слишком много сладкой ваты или вообще отравился в другом месте – это совсем другое.

Определение точек уязвимости, благодаря которым реализовался риск «по дорожкам невозможно гулять» вряд ли вызовет какие-либо сложности. Очевидно, что причина в том, что дорожки не заасфальтированы. И столь же очевидны меры, которые необходимо предпринять, – попросту заасфальтировать дорожки.

Третий реализовавшийся риск – это пример операционного несоответствия «план – факт». Запланировали заработать 10 000, заработали 5000. Определение точек уязвимости должно дать нам ответ на вопрос, почему кафе не пользуется популярностью и почему мы не зарабатываем столько, сколько должны. В нашем примере точки уязвимости очевидны – это месторасположение кафе. Этот пример здесь приведен для того, чтобы еще раз обратить ваше внимание: все, что мы запланировали и чего мы не достигли, – это реализовавшиеся риски, у которых необходимо искать точки уязвимости.