Стратегическая оценка рисков (Strategic Risk Assessment) — процесс идентификации, оценки и управления рисками и неопределённостями (внутренними и внешними событиями или сценариями), способными помешать организации ДОСТИЧЬ своей стратегии и стратегических целей. В отличие от операционной оценки рисков, направленной на физическую безопасность рабочего места, здесь предметом анализа выступает сама реализуемость стратегии — конкурентные, технологические, репутационные и регуляторные угрозы бизнес-модели.
Происхождение и исследовательская база
Метод развит доктором Марком Фриго (Университет Де Поля, соучредитель Strategic Risk Management Lab) и Ричардом Андерсоном (бывший партнёр PwC, клинический профессор стратегического риск-менеджмента в том же университете). Их совместная работа «Strategic Risk Assessment: A First Step for Risk Management and Governance» и последующий «Strategic Risk Management: A Primer for Directors and Management Teams» систематизировали подход, дополняющий и интегрирующий рамку COSO ERM (Enterprise Risk Management) применительно именно к стратегическому уровню риска. Фриго и Андерсон разработали также диагностические инструменты — Strategic Risk Management Alignment Guide и Strategic Risk Management Maturity Diagnostic.
«Стратегический риск-менеджмент — это процесс идентификации, оценки и управления рисками и неопределённостями, способными помешать организации достичь своей стратегии и стратегических целей» — М. Фриго, Р. Андерсон.
Ключевые идеи и принципы
Принцип: три этапа стратегической оценки рисков.
(1) Построить обзор ключевых стратегий и бизнес-целей организации — без этого невозможно определить, ЧТО именно находится под угрозой. (2) Провести высокоуровневую оценку существующих риск-процессов и возможностей организации. (3) Сформировать общий стратегический риск-профиль предприятия и план действий по усилению процессов и возможностей управления риском.
Принцип: риск оценивается через призму СТРАТЕГИИ, а не физической безопасности.
Ключевой вопрос стратегической оценки рисков — не «может ли это причинить физический вред сотруднику», а «может ли это помешать компании достичь заявленных стратегических целей». Один и тот же фактор (например, устаревание технологии) может быть незначим с точки зрения охраны труда, но критичен с точки зрения стратегии.
Принцип: интеграция со стратегическим планированием, а не отдельный процесс.
ERM-практики наиболее эффективны, когда встроены непосредственно в процесс стратегического планирования, а не существуют как параллельный, оторванный от стратегии комплаенс-процесс — иначе управление риском превращается в формальность, не влияющую на реальные стратегические решения.
Принцип: зрелость риск-процессов как отдельное измерение.
Помимо оценки конкретных рисков, метод явно оценивает зрелость самих риск-процессов и возможностей организации (culture, capability, governance) — компания может правильно идентифицировать риски, но не иметь организационной зрелости, чтобы реально на них реагировать.
Ограничения, слепые зоны и критика
Стратегические риски по своей природе сложнее количественно измерить, чем операционные (частота травм, аварий) — оценки вероятности и влияния на стратегию неизбежно более субъективны. Метод требует значительной вовлечённости высшего руководства и совета директоров — без их реального участия оценка рисков сводится к упражнению риск-менеджеров без связи с реальными стратегическими решениями. Стратегический риск-профиль отражает состояние на момент оценки, но стратегические риски (особенно конкурентные и технологические) могут меняться быстрее операционных — требуется более частый пересмотр, чем типично для традиционного годового цикла риск-менеджмента.
Типовые ошибки
Ошибка 1: стратегическая оценка рисков проводится в отрыве от процесса стратегического планирования.
Риск-менеджмент существует как отдельный комплаенс-процесс, результаты которого никак не влияют на реальные решения о стратегии — совет директоров рассматривает риск-отчёт и стратегический план на разных заседаниях без явной связи.
Как избежать: встраивать стратегическую оценку рисков непосредственно в цикл стратегического планирования, обсуждать риски и стратегию на одних и тех же сессиях.
Ошибка 2: путают стратегические риски с операционными.
В стратегический риск-профиль попадают операционные инциденты (сбои процессов, аварии) вместо угроз самой бизнес-модели и стратегическим целям — теряется фокус на действительно значимом для долгосрочной жизнеспособности компании.
Как избежать: явно фильтровать риски по критерию «угрожает ли это способности достичь стратегии», а не по критерию «это негативное событие вообще».
Ошибка 3: не оценивают зрелость собственных риск-процессов.
Организация фокусируется исключительно на перечислении конкретных рисков, не оценивая, обладает ли она реальной организационной способностью на них реагировать.
Как избежать: явно включать оценку зрелости риск-культуры, governance и возможностей организации как отдельный элемент анализа, а не только список рисков.
Ошибка 4: риск-профиль обновляется слишком редко.
Стратегический риск-профиль пересматривается раз в год по формальному календарю, хотя конкурентные и технологические риски могут кардинально измениться за более короткий срок.
Как избежать: устанавливать частоту пересмотра риск-профиля исходя из реальной скорости изменения отрасли, а не фиксированного календарного цикла.
Ошибка 5: недостаточная вовлечённость совета директоров.
Стратегическая оценка рисков проводится риск-менеджерами среднего звена без реального обсуждения на уровне совета директоров, хотя именно там принимаются решения, требующие понимания стратегического риск-профиля.
Как избежать: обеспечивать регулярное, содержательное обсуждение стратегического риск-профиля непосредственно на заседаниях совета директоров, а не только в виде формального отчёта.
Главное, что нужно знать
Стратегическая оценка рисков смещает фокус управления риском с физической безопасности и операционных сбоев на угрозы самой способности организации достичь заявленной стратегии — конкуренция, технологические разрывы, репутация, регуляторная среда. Ценность метода реализуется только при реальной интеграции с процессом стратегического планирования и вовлечённости высшего руководства — иначе он вырождается в формальный, оторванный от решений комплаенс-ритуал.
План внедрения
Месяц 1: построить обзор ключевых стратегий и бизнес-целей организации, зафиксировать, что именно должно быть защищено от риска.
Месяц 2: провести высокоуровневую оценку зрелости существующих риск-процессов и организационных возможностей (culture, capability, governance).
Месяц 3: идентифицировать и оценить конкретные стратегические риски по вероятности и влиянию на достижение стратегических целей, сформировать стратегический риск-профиль.
Месяц 4: разработать план действий по усилению риск-возможностей и митигации топ-рисков, представить совету директоров.
Далее: Поддержание и обновление — встроить регулярный пересмотр стратегического риск-профиля в цикл стратегического планирования, частота — исходя из скорости изменений в отрасли, не реже раза в год.
Книги по теме
Р. Андерсон, М. Фриго — «Strategic Risk Management: A Primer for Directors and Management Teams». Первоисточник трёхэтапного процесса и диагностических инструментов зрелости.
Р. Андерсон, М. Фриго — «Strategic Risk Assessment: A First Step for Risk Management and Governance». Практическое руководство по проведению стратегической оценки рисков.