Management of Risk (M_o_R)

Зачем вам этот свод

Свод отвечает на вопрос, который отличает работающее управление риском от бумажного: как сделать, чтобы риск учитывался в решениях, а не жил в реестре1.

Формулировка владельца прямая: управление риском служит созданию и защите ценностиЦенностьПольза и выгода, которые сторона получает от услуги; величина субъективная.ITIL 4, книга ITIL Foundation организации и встраивается в культуру, а не сводится к перечню угроз1.

Нужен, если реестр рисков есть, а решения принимаются так, будто его нет.

Нужен, если риском занимается один отдел, а последствия достаются всем остальным.

Не нужен, если требуется методика количественной оценки. Здесь про устройство работы с риском, а считать в деньгах учит FAIR.

Что внутри

Пять частей: объединяющая структура, принципы, шесть перспектив, раздел про людей и культуру и цикл из восьми процессов3.

Две вещи здесь необычны для сводов о риске. Перспективы — свод смотрит на риск с нескольких сторон сразу, а не выстраивает единую лестницу от стратегии к операциям. И отдельный раздел про людей и культуру3: признание того, что решения о риске принимают люди со своими привычками, а не процедуры.

Ключевые понятия

Ценность. Точка отсчёта: риском управляют ради её создания и защиты1, а не ради снижения числа инцидентовИнцидентНезапланированное прерывание услуги или снижение её качества.ITIL 4, практическое руководство по управлению инцидентами.

Перспектива. Угол зрения на риск. Их шесть, и организация смотрит через все, а не выбирает одну3.

Культура. Вынесена в отдельную часть свода3 — не как лозунг, а как предмет управления наравне с процессами.

Что покрывает из шестидесяти практик

Как менялся

Действующая редакция — четвёртая. Но владелец параллельно продолжает продавать экзамены по третьей2, и это стоит учитывать при выборе обучения: на витрине рядом стоят ступени двух поколений.

Свод переупакован так же, как соседний по линейке: собственной категории у него больше нет, страница называется по имени соседнего метода и лежит в разделе про изменения, риски и выгоды2.

Чем отличается от соседей

От ISO 31000 отличается происхождением и подачей: тот — международный стандарт с рамкой из принципов, структуры и процесса, этот — свод практикПрактикаНабор ресурсов организации для выполнения работы определённого типа.ITIL 4 с сертификацией специалистов. По существу они близки, и владелец сам заявляет согласование с международно признанными стандартами1.

От Risk IT отличается предметом: тот именно про риски использования ИТ, этот — про управление риском в организации вообще.

Что обязательно, а что на выбор

Обязательного нет: сертифицируют людей, не организации2.

На выбор — глубина. Свод заявлен как универсально применимое руководство1, то есть предполагает подгонку под масштаб организации.

В России

Картина та же, что у всей линейки этого владельца, и она неутешительна: России нет в селекторе стран на его сайте — список идёт мимо неё, хотя соседние страны в нём есть4.

ГОСТ-аналога у свода нет. Ближайший действующий российский документ по управлению риском — адаптация международного стандарта, о которой написано в соседней карточке.

Практический вывод: как источник идей свод доступен через литературу, как путь к сертификации — закрыт. Российской организации разумнее строить работу с риском на международном стандарте, у которого есть и русский текст, и два руководства по применению.

Где взять первоисточник и сколько стоит

Только через экзаменационные пакеты. Практический уровень четвёртой редакции — от восьмисот тридцати пяти долларов; ступени третьей редакции дешевле, от пятисот девяноста восьми и от шестисот семидесяти пяти2.

Отдельной книги на витрине нет — как и у соседей по линейке.

Сертификация

Сертифицируют специалистов2. Одновременно продаются ступени двух редакций и отдельно переаттестация по третьей2 — при планировании обучения стоит явно уточнять поколение.

Чем это автоматизируют

Дальше наш взгляд, свод инструментов не называет. Работают реестры рисков, системы управления соответствием, средства связывания рисков с целями и решениями.

Наблюдение из практики: инструмент помогает там, где риск уже стал частью решений, и бесполезен там, где не стал. Автоматизация реестра, который никто не открывает, даёт красивый реестр, который никто не открывает.

Где ломается применение

Из наблюдений за внедрениями.

Сводят к реестру. Свод прямо говорит об обратном — риск встраивается в культуру и решения1, — но реестр проще завести и показать.

Пропускают часть про людей. Её вынесли отдельно не случайно3: без работы с привычками руководителей процессы остаются формой.

Учатся по третьей редакции, думая, что это четвёртая. Витрина владельца допускает такую путаницу2.

С чего начать

Возьмите три решения, принятых за квартал: бюджет, договор, запуск. По каждому найдите след разговора о риске — запись, оценку, хотя бы формулировку в протоколе.

Если следов нет, начинать надо не с методики, а с того, чтобы риск стал обязательным пунктом в этих трёх разговорах.

Что читать дальше