Стратегическая оценка рисков (Strategic Risk Assessment, М. Фриго, Р. Андерсон)

Стратегическая оценка рисков (Strategic Risk Assessment) — процесс идентификации, оценки и управления рисками и неопределённостями (внутренними и внешними событиями или сценариями), способными помешать организации ДОСТИЧЬ своей стратегии и стратегических целей. В отличие от операционной оценки рисков, направленной на физическую безопасность рабочего места, здесь предметом анализа выступает сама реализуемость стратегии — конкурентные, технологические, репутационные и регуляторные угрозы бизнес-модели.

Происхождение и исследовательская база

Метод развит доктором Марком Фриго (Университет Де Поля, соучредитель Strategic Risk Management Lab) и Ричардом Андерсоном (бывший партнёр PwC, клинический профессор стратегического риск-менеджмента в том же университете). Их совместная работа «Strategic Risk Assessment: A First Step for Risk Management and Governance» и последующий «Strategic Risk Management: A Primer for Directors and Management Teams» систематизировали подход, дополняющий и интегрирующий рамку COSO ERM (Enterprise Risk Management) применительно именно к стратегическому уровню риска. Фриго и Андерсон разработали также диагностические инструменты — Strategic Risk Management Alignment Guide и Strategic Risk Management Maturity Diagnostic.

«Стратегический риск-менеджмент — это процесс идентификации, оценки и управления рисками и неопределённостями, способными помешать организации достичь своей стратегии и стратегических целей» — М. Фриго, Р. Андерсон.

Первичные формулировки метода — статьи авторов «What Is Strategic Risk Management?» (Strategic Finance, апрель 2011) и «Strategic Risk Management: A Foundation for Improving Enterprise Risk Management and Governance» (Journal of Corporate Accounting & Finance, март-апрель 2011), которые Фриго публикует на собственном сайте в открытом доступе; позднее подход лёг в основу документа COSO «Embracing Enterprise Risk Management: Practical Approaches for Getting Started», подготовленного Фриго и Андерсоном для Committee of Sponsoring Organizations of the Treadway Commission — то есть метод получил статус не только академической концепции, но и практического руководства признанного международного стандарта внутреннего контроля и управления рисками.

Ключевые идеи и принципы

1. Принцип: три этапа стратегической оценки рисков.

   (1) Построить обзор ключевых стратегий и бизнес-целей организации — без этого невозможно определить, ЧТО именно находится под угрозой. (2) Провести высокоуровневую оценку существующих риск-процессов и возможностей организации. (3) Сформировать общий стратегический риск-профиль предприятия и план действий по усилению процессов и возможностей управления риском.

2. Принцип: риск оценивается через призму СТРАТЕГИИ, а не физической безопасности.

   Ключевой вопрос стратегической оценки рисков — не «может ли это причинить физический вред сотруднику», а «может ли это помешать компании достичь заявленных стратегических целей». Один и тот же фактор (например, устаревание технологии) может быть незначим с точки зрения охраны труда, но критичен с точки зрения стратегии.

3. Принцип: интеграция со стратегическим планированием, а не отдельный процесс.

   ERM-практики наиболее эффективны, когда встроены непосредственно в процесс стратегического планирования, а не существуют как параллельный, оторванный от стратегии комплаенс-процесс — иначе управление риском превращается в формальность, не влияющую на реальные стратегические решения.

4. Принцип: зрелость риск-процессов как отдельное измерение.

   Помимо оценки конкретных рисков, метод явно оценивает зрелость самих риск-процессов и возможностей организации (culture, capability, governance) — компания может правильно идентифицировать риски, но не иметь организационной зрелости, чтобы реально на них реагировать.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: стратегическая оценка рисков проводится в отрыве от процесса стратегического планирования.

   Риск-менеджмент существует как отдельный комплаенс-процесс, результаты которого никак не влияют на реальные решения о стратегии — совет директоров рассматривает риск-отчёт и стратегический план на разных заседаниях без явной связи.

   Как избежать

   встраивать стратегическую оценку рисков непосредственно в цикл стратегического планирования, обсуждать риски и стратегию на одних и тех же сессиях.

2. Ошибка 2: путают стратегические риски с операционными.

   В стратегический риск-профиль попадают операционные инциденты (сбои процессов, аварии) вместо угроз самой бизнес-модели и стратегическим целям — теряется фокус на действительно значимом для долгосрочной жизнеспособности компании.

   Как избежать

   явно фильтровать риски по критерию «угрожает ли это способности достичь стратегии», а не по критерию «это негативное событие вообще».

3. Ошибка 3: не оценивают зрелость собственных риск-процессов.

   Организация фокусируется исключительно на перечислении конкретных рисков, не оценивая, обладает ли она реальной организационной способностью на них реагировать.

   Как избежать

   явно включать оценку зрелости риск-культуры, governance и возможностей организации как отдельный элемент анализа, а не только список рисков.

4. Ошибка 4: риск-профиль обновляется слишком редко.

   Стратегический риск-профиль пересматривается раз в год по формальному календарю, хотя конкурентные и технологические риски могут кардинально измениться за более короткий срок.

   Как избежать

   устанавливать частоту пересмотра риск-профиля исходя из реальной скорости изменения отрасли, а не фиксированного календарного цикла.

5. Ошибка 5: недостаточная вовлечённость совета директоров.

   Стратегическая оценка рисков проводится риск-менеджерами среднего звена без реального обсуждения на уровне совета директоров, хотя именно там принимаются решения, требующие понимания стратегического риск-профиля.

   Как избежать

   обеспечивать регулярное, содержательное обсуждение стратегического риск-профиля непосредственно на заседаниях совета директоров, а не только в виде формального отчёта.

   Самая тяжёлая документированная иллюстрация Ошибок 2 и 5 сразу — Boeing 737 MAX: расследования Конгресса США и последующие иски акционеров показали, что комитет по аудиту совета директоров Boeing, формально отвечавший за надзор над рисками, сосредоточился исключительно на финансовых рисках и прибыли, ни разу не рассмотрев вопрос безопасности самолётов, а корпоративный процесс управления рисками (ERM) в основном оценивал производственные и финансовые риски. Совет директоров, утверждая проект 737 MAX (создан под давлением конкуренции с Airbus A320neo, с жёсткими требованиями по срокам и затратам), не рассматривал возможные последствия глубокой переработки предыдущего поколения 737 NG для безопасности, а в период между ноябрём 2018 и мартом 2019 года — после двух катастроф и до наземного запрета полётов, введённого FAA, — совет ни разу не обсудил даже возможность приостановки эксплуатации самолёта. То есть риск, угрожавший самому существованию стратегии компании в гражданской авиации (безопасность продукта, регуляторное доверие, репутация), был классифицирован и обсуждался как операционный вопрос производства, а не как стратегический риск на уровне совета — именно эту подмену и предупреждает методика Фриго и Андерсона.

План внедрения

1. Месяц 1: построить обзор ключевых стратегий и бизнес-целей организации, зафиксировать, что именно должно быть защищено от риска.

2. Месяц 2: провести высокоуровневую оценку зрелости существующих риск-процессов и организационных возможностей (culture, capability, governance).

3. Месяц 3: идентифицировать и оценить конкретные стратегические риски по вероятности и влиянию на достижение стратегических целей, сформировать стратегический риск-профиль.

4. Месяц 4: разработать план действий по усилению риск-возможностей и митигации топ-рисков, представить совету директоров.

   Далее: Поддержание и обновление — встроить регулярный пересмотр стратегического риск-профиля в цикл стратегического планирования, частота — исходя из скорости изменений в отрасли, не реже раза в год.

Как реализовать этот план с помощью фрейма «Стратегическая оценка рисков» в OrgDevTools

Фрейм — три секции сверху вниз: «Ключевые стратегические цели под угрозой», «Стратегический риск-профиль» и «План усиления риск-возможностей», плюс вердикт в верхней части.

Месяц 1 плана (обзор стратегии) — секция целей: здесь фиксируется, что именно защищается; подсказка поля напоминает пример вида «удвоить долю рынка в сегменте X за 3 года». Месяц 3 (риск-профиль) — секция профиля устроена не как простой список, а как таблица оценок: для каждого риска задаются вероятность (1-5) и влияние на стратегию (1-5), фрейм автоматически считает риск-балл как их произведение, сортирует риски по убыванию балла и помечает три наивысших значком «ТОП-РИСК» — прямая защита от Ошибки 2: подсказка секции явно требует оценивать влияние на достижение стратегии, а не физический вред. При этом сами оценки 1-5 вводятся вручную и остаются субъективным суждением команды — фрейм считает арифметику, но не проверяет, действительно ли риск стратегический, а не операционный.

Вердикт реализован как настоящая приоритетная логика, а не равновесная проверка: пока не заполнена ни одна цель, предлагает начать именно с них (риски оцениваются относительно целей, а не абстрактно); если цели есть, но риск-профиль пуст — жёлтое предупреждение; если топ-риск уже выявлен, но план усиления возможностей не составлен — красный вердикт с названием и баллом этого риска; и только когда есть и цели, и профиль, и хотя бы один пункт плана — зелёный. Зрелость риск-процессов (Принцип 4, Ошибка 3) отдельного поля во фрейме не имеет — её оценку команда ведёт вне фрейма или записывает в план усиления возможностей.

Месяц 4 — секция плана действий: сюда вносятся меры по топ-рискам и укреплению самих риск-процессов; регулярность пересмотра (Ошибка 4) и вовлечённость совета директоров (Ошибка 5) фреймом не отслеживаются и остаются организационной дисциплиной.

Книги по теме

Р. Андерсон, М. Фриго — «Strategic Risk Management: A Primer for Directors and Management Teams». Первоисточник трёхэтапного процесса и диагностических инструментов зрелости.

Р. Андерсон, М. Фриго — «Strategic Risk Assessment: A First Step for Risk Management and Governance». Практическое руководство по проведению стратегической оценки рисков.