Данная статья представляет собой структурированное методологическое пособие по внедрению и поддержке системы управления рисками (СУР). Материал организован в виде справочного портала для сотрудников, руководителей подразделений и специалистов по рискам. Здесь вы найдете теоретическую базу, описание процессов, контакты ответственных подразделений и инструменты для оперативной работы.
Описание: Сущность, цели и классификация приемов управления рисками
Что такое управление рисками?
Управление рисками (Risk Management) — это систематический процесс выявления, оценки, контроля и мониторинга неопределенностей, которые могут повлиять на достижение целей организации. Главная цель, не полное устранение рисков (что невозможно), а обеспечение баланса между риском и доходностью, сохранение активов и репутации.
Основные этапы процесса (по ISO 31000)
- Установление контекста: Определение внешней и внутренней среды, критериев риска, аппетита к риску.
- Выявление рисков: Поиск, распознавание и описание рисков (мозговой штурм, чек-листы, анализ инцидентов, SWOT-анализ, метод Дельфи).
- Анализ рисков: Понимание природы риска и определение уровня риска.
- Качественный анализ: Матрицы рисков (Вероятность × Последствия), риск-карты.
- Количественный анализ: Моделирование Монте-Карло, анализ чувствительности, VaR (Value at Risk), стресс-тестирование.
- Оценка рисков: Сравнение уровня риска с критериями приемлемости для принятия решения: принимать, лечить, избегать или передавать.
- Обработка рисков (Приемы управления): Выбор и реализация мер по модификации риска (подробно в п. 1.3).
- Мониторинг и ревизия: Отслеживание изменений, эффективности мер, отчетность.
- Коммуникация и консультирование: Взаимодействие со стейкхолдерами на всех этапах.
Классификация приемов и методов обработки рисков (Ядро статьи)
Выбор метода зависит от типа риска, его уровня, стоимости меры и риск-аппетита организации.
А. Избегание риска (Risk Avoidance)
Суть: Отказ от деятельности, порождающей риск, или замена её на альтернативу без данного риска.
- Примеры: Отказ от входа в нестабильный регион, прекращение выпуска непрожиточного продукта, отказ от использования ненадежных поставщиков.
- Плюсы: Риск устраняется полностью.
- Минусы: Упущенная выгода (Opportunity Cost), потеря доли рынка;
Б. Снижение (Митигация) риска (Risk Reduction / Mitigation)
Суть: Внедрение контролов для уменьшения вероятности наступления события и/или его последствий. Наиболее частый прием.
- Снижение вероятности: Профилактика, обучение персонала, ТО оборудования, автоматизация процессов, дублирование каналов связи, внедрение ККС (внутренней системы контроля).
- Снижение последствий: Планирование непрерывности бизнеса (BCP), планы аварийного восстановления (DRP), резервные фонды, системы пожаротушения, эвакуационные планы.
- Инженерные методы: Защита информации (DLP, SIEM), физическая охрана, избыточность серверов (RAID, кластеризация).
В. Передача риска (Risk Transfer / Sharing)
Суть: Переложение финансовой ответственности или управления риском на третью сторону.
- Страхование: Имущественные, ответственности, кибер-риски, D&O (директоров и владельцев).
- Геджирование (Финансовые дериваты): Форварды, фьючерсы, опции, свопы для управления валютными, процентными, товарными рисками.
- Аутсорсинг / Аутстаффинг: Передача непрофильных функций (IT, логистика, кадра) подрядчику с SLA и штрафными санкциями.
- Контрактные механизмы: Индемификация, гарантии, неустойки, форс-мажорные условия, банковские гарантии.
Г. Принятие (Ретенция) риска (Risk Acceptance / Retention)
Суть: Осознанное решение не предпринимать активных действий, так как стоимость управления превышает потенциальные потери или риск находится в пределах аппетита.
- Пассивное принятие: Ничего не делаем, просто фиксируем в реестре.
- Активное принятие: Формирование резервного фонда (Self-insurance), создание контингентных планов на случай реализации.
- Критерии: Риск < Порога материальности / Risk Appetite.
Д. Диверсификация (Risk Diversification)
Суть: Распределение ресурсов/активов по некоррелирующим направлениям для снижения совокупного воздействия.
- Диверсификация портфеля инвестиций, базы поставщиков, клиентской базы, географического присутствия, продуктовой линейки.
Современные подходы и инструменты
- ERM (Enterprise Risk Management): Интеграция в стратегию и корпоративное управление (COSO ERM 2017).
- GRC-платформы (Governance, Risk, Compliance): Автоматизация реестров, матриц, отчетности (RSA Archer, MetricStream, LogicManager, российские аналоги: RiskManager, Контур.Риски).
- Сценарное моделирование и Стресс-тестирование: Проверка устойчивости к экстремальным событиям («Черные лебеди»).
- Ключевые индикаторы рисков (KRI): Раннее предупреждение (например, рост текучести кадров -> операционный риск).
- Боу-тай анализ (Bow-Tie): Визуализация причин, события, последствий и барьеров.
Контакты для обращений (Центр компетенций по риск-менеджменту)
Для консультаций по методологии, согласования реестров рисков, подключения к ГРС-платформе или сообщения о новых угрозах обращайтесь в Центр компетенций.
| Функция / Роль | ФИО / Подразделение | Канал связи | Время ответа (SLA) |
|---|---|---|---|
| Главный риск-офицер (CRO) | Иванов Иван Иванович | Внутренний телефон: 1001 Email: cro@company.ru | 24 часа (рабочие дни) |
| Методолог по рискам | Петрова Мария Сергеевна | Teams: @m.petrova Email: risk.methodology@company.ru | 4 часа |
| Администратор ГРС-системы | Сидоров Алексей Дмитриевич | ServiceNow: Каталог услуг -> «Доступ к ГРС» Tel: 1050 | 1 час (доступ), 4 часа (консультация) |
| Координатор по БЦП/Восстановлению (BCM) | Смирнова Елена Владимировна | Email: bcm@company.ru Tel: 1088 | 2 часа |
| Горячая линия по инцидентам безопасности (24/7) | SOC / Служба безопасности | +7 (800) -55-01-99 Telegram-бот: @Company_SOC_Bot | Мгновенно |
Официальный сайт и информационные ресурсы
- Внутренний портал Риск-менеджмента (Intranet): https://risk.company.ru, Реестры рисков, методические документы, шаблоны отчетов, календарь оценок, библиотека кейсов.
- ГРС-платформа (GRC System): https://grc.company.ru — Рабочий инструмент для владельцев рисков (ввод данных, планы мер, KRI). Требует SSO-авторизации.
- База знаний (Confluence / Wiki): https://wiki.company.ru/risk — Глоссарий, FAQ, инструкции по заполнению карточек риска, архив вебинаров.
- Нормативная база (внешние стандарты):
- ISO 31000:2018 / ГОСТ Р ИСО 31000-2019
- COSO ERM Framework (2017)
- Базель III / КОСО (для банков/финтех)
- ФЗ-208 «Об акционерных обществах» (ст. 83, 95 ─ КСИ)
Горячая линия и экстренные каналы связи
Внимание: Данные каналы предназначены только для сообщений о критических инцидентах, реализованных рисках высокого уровня, подозрении на мошенничество или нарушениях комплаенса, требующих немедленного вмешательства.
🚨 Единый номер доверия / Hotline (24/7/365)
8-800-200-XX-XX (бесплатно по РФ)
Анонимность гарантирована. Работает система защиты информирующих (Whistleblower protection).
- Telegram-бот для анонимных сигналов: @Company_Compliance_Bot
- Email для расследований: ethics@company.ru (PGP-ключ на портале)
- Веб-форма: https://hotline.company.ru
Служебные экстренные телефоны (внутренние):
- Служба информационной безопасности (SOC): 112 (внутри сети) / +7 (495) -23-45-67
- Физическая безопасность / Охрана (ПП): 100 (внутри сети)
- IT Service Desk (критические сбои): 101 / it-emergency@company.ru
- Пресс-служба (репутационные инциденты): +7 (495) -23-45-68
Номера телефонов справочно-информационной службы Департамента рисков
Для оперативных справок по статусу рисков, дедлайнам отчетности, прохождению обучения.
- Единый справочник Департамента: +7 (495) -77-00-XX (автосекретарь с тональным меню)
- Приемная Зам. Генерального директора по рискам: +7 (495) -77-00-01
- Сектора:
- Финансовые риски: добавочный 210
- Операционные и IT-риски: добавочный 220
- Стратегические и репутационные: добавочный 230
- Комплаенс и правовые риски: добавочный 240
- Методология и отчетность: добавочный 250
Электронные адреса (Email) для официальной переписки
Используйте функциональные почтовые ящики (не персональные) для обеспечения непрерывности и аудита.
- risk-dept@company.ru — Общие вопросы, входящая корреспонденция, запросы от регуляторов.
- risk-registry@company.ru — Прием заполненных карточек рисков (Excel/CSV), обновление реестров филиалов.
- risk-reporting@company.ru — Сдача квартальных/годовых отчетов по КРИ, статусу планов мер.
- risk-training@company.ru — Запись на обучение, запрос материалов, сертификация риск-менеджеров филиалов.
- grc-support@company.ru — Техподдержка платформы (ошибки, права доступа, интеграции).
- bcm@company.ru — Вопросы непрерывности бизнеса, планы восстановления, учения.
Личный кабинет (ЛК) владельца риска / Риск-менеджера
Доступ: https://grc.company.ru/my (SSO / Kerberos / МФА)
Функционал Личного кабинета:
- Дашборд «Мой профиль рисков»: Визуализация рисков, за которыми вы закреплены (Owner / Action Owner). Тепловая карта, тренд KRI.
- Реестр рисков (Интерактивный): Фильтрация по подразделениям, типам, статусам. Inline-редактирование полей: Оценка, Статус меры, Дедлайн.
- Управление планами мер (Action Plans): Создание задач, назначение исполнителей, прикрепление доказательств выполнения (сканы актов, скриншоты настроек).
- KRI Monitor: Графики ключевых индикаторов с пороговыми значениями (Green/Amber/Red). Настройка алертов на Email/Teams.
- Самооценка контролов (CSA): Прогон чек-листов эффективности контролов по расписанию.
- Библиотека шаблонов: Скачивание актуальных версий Карточки риска, Отчета об инциденте, Плана мер.
- История изменений (Audit Trail): Кто, когда и что изменил в карточке риска.
Личный прием руководства Департамента рисков (CRO Office Hours)
Практика открытых консультаций для руководителей направлений и владельцев бизнеса по сложным вопросам оценки, принятия решений по граничным рискам или эскалации.
Порядок записи:
- Заявка через ЛК (раздел «Запись на прием») или email cro-reception@company.ru.
- Указание темы: «Оценка риска проекта X», «Эскалация риска ID-12345», «Согласование риск-аппетита».
- Приложение презетации/мемо (не позднее чем за 24 часа).
Формат:
- Очно: Переговорная комната 404, 4 этаж, Блок А.
- Дистанционно: MS Teams (ссылка приходит за 15 мин).
- Длительность: 30 минут (стандарт), 60 минут (комиссия).
График приема (Режим работы Департамента и Консультирования)
| Период / Событие | Режим работы / Дедлайны | Примечание |
|---|---|---|
| Стандартная рабочая неделя | Пн–Пт: 09:00–18:00 (МСК) Обед: 13:00–14:00 | Горячая линия 24/7 |
| Квартальная кампания оценки рисков (RCS) | Пн–Пт: 09:00–20:00 Сб: 10:00–14:00 (дежурный методолог) | Даты кампании: 1-20 число месяца, следующего за отчетным кварталом |
| Годовая стратегическая сессия по рискам | По отдельному графику (обычно ноябрь) | Участвуют ТОП-менеджмент, Совет директоров |
| Личный прием CRO | Вторник: 14:00–17:00 Четверг: 10:00–13:00 | Только по предварительной записи |
| Консультации методолога (Walk-in / Без записи) | Среда: 11:00–13:00 (Кабинет 412 / Teams) | Краткие вопросы по заполнению форм, инструментам |
| Обучение новичков (Onboarding) | Первый понедельник месяца, 10:00–13:00 | Обязательно для новых владельцев рисков |
Структура Департамента управления рисками (Отделы и Сектора)
Организационная структура обеспечивает покрытие всех типов рисков (Full Coverage) и разделение линий защиты (Three Lines of Defense).
1-я линия защиты (Операционное управление рисками) — В бизнесе
- Владельцы рисков в бизнес-подразделениях (Risk Owners).
- Риск-координаторы в филиалах/дочерних обществах.
2-я линия защиты (Функция риск-менеджмента) — Департамент рисков (Центр)
- Сектор методологии и стандартов (Методолог): Разработка Политики, Методологий, Материальности, Обучение, Качество данных.
- Сектор финансовых рисков: Рыночные (VaR, стресс), Кредитные (PD/LGD/EAD), Ликвидность, Процентные. Базель III, IFRS 9.
- Сектор операционных и IT-рисков: RCSA, Инцидент-менеджмент, Кибер-риски, Внедрение ПО, Аутсорсинг, BCM/DRP.
- Сектор стратегических, репутационных и ESG-рисков: Сценарное моделирование, Мониторинг СМИ/соцсетей, Климат-риски, Устойчивое развитие.
- Сектор комплаенс-контроля и правовых рисков: AML/CFT, Антикор, Конфликт интересов, Персональные данные, Работа с регуляторами.
- Сектор страхования и передачи рисков: Страховая программа, Тендеры, Управление претензиями, Каптивные структуры.
- Группа GRC-технологий и отчетности: Администрирование платформы, Автоматизация сборов, Дашборды для Совета/Комитетов, Интеграция с ERP/BPM.
3-я линия защиты (Независимая проверка) — Внутренний аудит
- Проверка эффективности СУР, тестирование контролов, аудит методологии.
Руководство Департамента и Ключевые комитеты
Руководящий состав Департамента:
| Должность | ФИО | Зона ответственности | Контакт |
|---|---|---|---|
| Главный риск-офицер (Chief Risk Officer — CRO) | Иванов Иван Иванович | Общая стратегия СУР, отчетность в Совет Директоров/Комитет по рискам, бюджет департамента, взаимодействие с регулятором (ЦБ/ФСБ/ФАС). | cro@company.ru Тел. 1001 |
| Зам. CRO по финансовым рискам | Петров Петр Петрович | Рыночные, кредитные, ликвидностные риски. Моделирование. Валидация моделей. | p.petrov@company.ru Тел. 2100 |
| Зам. CRO по нефинансовым рискам (NFR) | Сидорова Анна Викторовна | Операционные, IT, Кибер, BCM, Репутационные, ESG, Страхование. | a.sidorova@company.ru Тел. 2200 |
| Руководитель Комплаенс-функции (CCO) | Козлов Дмитрий Сергеевич | AML/CFT, Антикор, Перс.данные, Конфликт интересов, Whistleblowing. | cco@company.ru Тел. 2400 |
| Руководитель Группы GRC-технологий | Николаев Сергей Олегович | Платформа ГРС, Автоматизация, Data Governance рисков, Интеграции. | grc-tech@company.ru Тел. 2500 |
Коллегиальные органы управления рисками (Геренция):
- Комитет по управлению рисками (Risk Management Committee — RMC): При Совете Директоров. Председатель — Независимый директор. Частота: Ежеквартально.
- Операционный комитет по рискам (Operational Risk Committee — ORC): При Генеральном директоре. Председатель — CRO. Частота: Ежемесячно. Рассмотрение инцидентов, новых продуктов, лимитов.
- Кредитный комитет / АЛКО (ALCO): Специализированные комитеты по соответствующим рискам.
- Комитет по информационной безопасности: Совместно с CISO/CIO.
Отзывы и Обратная связь (Voice of Stakeholders)
Мы регулярно замеряем удовлетворенность внутренних клиентов качеством методологической поддержки, скоростью реакции и удобством инструментов. Ваше мнение формирует дорожную карту развития СУР.
Каналы сбора обратной связи:
- Ежегодный опрос «Risk Management Maturity & Satisfaction» (ноябрь): Анонимный опрос всех владельцев рисков и координаторов (платформа SurveyMonkey / Внутренняя).
- NPS после закрытия тикета в ServiceNow / GRC: Автоматический опрос «Как вы оцениваете помощь методолога/техподдержки?» (Шкала 0-10).
- Круглые столы / Фокус-группы: Раз в полугодие по направлениям (Финриск, Оприск, IT-риск).
- Почтовый ящик предложений: risk-feedback@company.ru (рассматривается Зам. CRO еженедельно).
Примеры реализованных инициатив на основе отзывов 2025-2026 гг.:
- «Упростите карточку риска» → Внедрен «Легкий режим» (Lite) для рисков ниже порога материальности (минимум полей, автозаполнение из справочников).
- «Нет мобильного доступа к KRI» → Разработано мобильное приложение «RiskPulse» (iOS/Android) с пуш-уведомлениями о превышении порогов.
- «Долго ждем доступы в ГРС» → Внедрена ролевая модель RBAC с автоподготовкой доступов при назначении на должность (HR-триггер). Срок: 15 мин.
- «Непонятно, как считать финансовое воздействие операционки» → Выпущен «Калькулятор убытков v2.0» с базами исторических данных по инцидентам Банка России / ORX.
- «Хотим больше практик, меньше теории» → Запущена серия мастер-классов «Разбор полетов»: разбор реальных инцидентов компании и рынка (Chatham House Rule).