Реферат на тему «Митигация рисков: что это простыми словами»

Введение

«Какой план митигации по этому риску?» — такой вопрос сегодня вполне можно услышать на планёрке в московской IT-компании, и половина присутствующих при этом, скорее всего, постесняется переспросить, что имеется в виду. Слово пришло к нам лет пятнадцать-двадцать назад вместе с английскими методиками управления проектами и до сих пор не попало в большинство толковых словарей. Восходит оно к латинскому глаголу mitigare, «смягчать», от прилагательного mitis, «мягкий», и по-русски его смысл проще всего передать как «смягчение» или «снижение» риска.

Если совсем по-простому, митигация — это то, что делает человек, который не отказывается от рискованного дела, но подкладывает соломку. Собираясь в отпуск с пересадкой, он берёт рейс с запасом в три часа, кладёт лекарства в ручную кладь и покупает страховку, понимая, что задержка, потеря чемодана или простуда вполне возможны. Ни одна из этих мер не гарантирует, что всё пройдёт гладко, но каждая уменьшает вероятность неприятности или её цену.

В официальных русских документах слово почти не встречается. Национальный стандарт ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство» говорит об «обработке риска» и перечисляет её варианты, от устранения источника до изменения вероятности и последствий, а в учебниках пишут о «снижении» или «минимизации» риска. Так что «митигация» живёт скорее в деловом жаргоне, особенно в IT, банках и консалтинге, где многие документы изначально составлялись по-английски.

Попадается это слово и в новостях о климате, но там у него другой смысл. Межправительственная группа экспертов по изменению климата называет митигацией сокращение выбросов парниковых газов, то есть борьбу с причиной потепления, и противопоставляет ей адаптацию, приспособление к переменам, которые уже идут. Эту линию стоит иметь в виду, чтобы не путаться, хотя дальше речь пойдёт об управлении рисками.

В работе объяснено, что такое риск и как его оценивают, чем митигация отличается от других способов реагирования на риск и какие меры к ней относятся, а во второй главе разобраны примеры из проектного управления, производства и финансов. Основой служат стандарт ГОСТ Р ИСО 31000-2019, «Руководство к своду знаний по управлению проектами» Института управления проектами и учебник А. С. Шапкина и В. А. Шапкина по теории риска.

Глава 1. Риск и способы реагирования на него

1.1 Что такое риск и как его оценивают

В повседневной речи риском называют опасность, но в менеджменте понятие шире. ГОСТ Р ИСО 31000 определяет риск как влияние неопределённости на цели, причём влияние может быть и отрицательным, и положительным. Иначе говоря, риск означает всё, что может пойти не так, как планировалось, а в некоторых случаях и лучше, чем планировалось.

Чтобы понять, каким рискам уделять внимание, их оценивают по двум признакам: насколько вероятно событие и насколько тяжёлыми будут последствия. Часто каждый признак оценивают по шкале от одного до пяти баллов, а затем перемножают, и получается число от 1 до 25, по которому риски раскладывают в так называемую матрицу рисков. Риски из правого верхнего угла, где и вероятность, и ущерб высоки, требуют немедленных мер, а из левого нижнего можно просто держать в поле зрения.

Сама идея считать риски возникла давно, задолго до проектных офисов. Морское страхование в Лондоне конца XVII века, когда купцы и страховщики собирались в кофейне Эдварда Ллойда, уже опиралось на оценку того, какие суда и маршруты опаснее, а в XX веке инженеры атомной и авиационной промышленности превратили анализ рисков в строгую дисциплину с деревьями отказов и вероятностными расчётами. Бизнес позаимствовал у них главное: привычку заранее спрашивать, что может сломаться.

Баллы в матрице, конечно, условны, их выставляют люди по опыту и чутью, и два разных эксперта легко поставят одному риску тройку и четвёрку. Пользы от этого меньше не становится, потому что ценнее всего сам разговор, в котором команда впервые выписывает все угрозы на одну доску и сравнивает их. Пропущенный риск, о котором никто даже не вспомнил, обходится, как правило, гораздо дороже неточной оценки.

1.2 Митигация среди других стратегий

Дальше встаёт вопрос, что с риском делать, и вариантов тут, по классификации PMBOK, четыре: обойти его, переложить на кого-то другого, уменьшить или принять как есть. Митигацией называют третий путь. На практике пути часто совмещают, и строитель, укрепивший фундамент на сыром участке, всё равно страхует дом, потому что от большой воды не спасёт никакой дренаж.

Стратегии реагирования на риск и примеры их применения сведены в таблицу 1. Пример взят один и тот же, строительство загородного дома, чтобы разница между стратегиями была нагляднее.

Таблица 1 — Стратегии реагирования на риск на примере строительства дома

Из таблицы видно, что митигация занимает промежуточное положение. Уклонение радикально, но часто невозможно или слишком дорого, ведь отказ от участка может означать отказ от всего проекта. Принятие дёшево, но оставляет компанию беззащитной, а митигация позволяет продолжать дело, заплатив за безопасность разумную цену.

Меры митигации бывают двух видов. Одни снижают вероятность события, например регулярное резервное копирование не даёт потерять данные при поломке диска, а обучение сотрудников уменьшает число ошибок. Другие снижают последствия, если событие уже произошло: огнетушитель не предотвращает пожар, но позволяет потушить его в первые минуты, а запасной поставщик не спасает от срыва поставки, но сокращает простой.

Простой расчёт помогает решить, стоит ли мера своих денег. Допустим, вероятность того, что за год сломается сервер с данными интернет-магазина, оценена в десять процентов, а ущерб от недели простоя в миллион рублей, тогда ожидаемый ущерб составляет сто тысяч в год. Резервная копия в облаке за тридцать тысяч в год, которая сокращает простой до одного дня, явно окупается, а вот дублирующий сервер за полмиллиона в таком магазине, скорее всего, окажется лишним.

Как это выглядит в цифрах, показывает условный пример на рисунке 1. Для пяти рисков небольшого IT-проекта по шкале от 1 до 25 оценён уровень риска до и после мер митигации, и данные здесь не реальные, а учебные.

На рисунке видно, что меры почти никогда не сводят риск к нулю, они лишь переводят его из опасной зоны в допустимую. Остаточный риск, который остаётся после митигации, команда либо принимает, либо страхует, и это нормальная практика. Важно и то, что меры митигации сами стоят денег и времени, поэтому их выбирают, сравнивая затраты с ожидаемым снижением ущерба.

Нередко хорошая мера митигации оказывается до обидного простой. Чек-лист перед вылетом, который пилоты проходят пункт за пунктом, давно стал хрестоматийным примером того, как дешёвая процедура предотвращает дорогие ошибки, и его же переняли хирурги: Всемирная организация здравоохранения в 2008 году предложила больницам контрольный перечень хирургической безопасности из нескольких десятков вопросов, который зачитывают вслух до наркоза, до разреза и перед тем, как пациент покинет операционную.

Ещё одна особенность митигации состоит в том, что её нельзя сделать один раз и забыть. Риски меняются вместе с проектом, появляются новые, старые теряют значение, а меры, принятые полгода назад, могут перестать работать. Поэтому в проектах ведут реестр рисков, где для каждого записаны оценка, владелец, то есть человек, отвечающий за риск, и меры, и этот реестр пересматривают на регулярных совещаниях. В небольшой команде это может быть обычная таблица на общем диске, а в крупной компании отдельная система с напоминаниями и отчётами для руководства.