Киберправо и киберэтика

7.4. Методы обработки рисков
В результате оценки рисков у менеджера появляется полная карта рисков (реестр рисков). Рассматривая комплекс рисков, в отношении некоторых из них можно прийти к выводу, что они являются приемлемыми и могут быть приняты без обработки. Такие риски просто включают в реестр рисков для проведения мониторинга. Непринятые виды риска обрабатывают, чтобы сделать их приемлемыми.
Под обработкой риска понимают процесс выбора и осуществления методов по модификации риска. Иногда термин «обработка риска», равно как и термин «стратегия управления» используют для обозначения самих методов.
Цель обработки риска состоит в идентификации и осуществлении рентабельных действий, которые позволят сделать риск допустимым. Обработка риска может самостоятельно генерировать новые виды риска, которые также следует оценивать. На рис. 7.1 можно увидеть алгоритм процесса обработки риска.



Для определения, является ли риск допустимым, рассматривают риск, оставшийся после выполнения его обработки (остаточный риск). Если суммарный риск является допустимым, рассматривают возможность дальнейшего выполнения обработки или отмены проекта.
Методы обработки риска (или комбинацию этих методов) выбирают на основе анализа затрат на обработку риска вместе с потенциальными выгодами результатов от выполнения этих вариантов обработки. Меры по модификации рисков, применяемые в риск-менеджменте, достаточно разнообразны и зависят от объекта, вида риска, размеров и вероятности его последствий, затрат на управление им и т.д. Для более комплексного анализа этих мер их классифицируют в зависимости от ряда критериев.
В зависимости от объекта воздействия методы делятся на два вида: физическая защита и экономическая защита. Физическая защита заключается в использовании таких средств, как наем охраны, сигнализация, приобретение сейфов, системы контроля качества продукции, защита баз данных от несанкционированного доступа и т.д. Экономическая защита заключается в прогнозировании уровня затрат, оценке тяжести возможного ущерба, использовании финансового механизма предприятия и договоров с третьими лицами (например, страхования).
В зависимости от того, меняются ли характеристики риска, выделяют регулирование риска и финансирование риска.
Регулирование риска включает в себя методы, в результате которых происходит целенаправленное изменение основных характеристик риска: вероятности, последствий или вариативности (отклонений от целевого значения). Методы регулирования называются иначе «дособытийными», поскольку их применяют заблаговременно до начала рискованной операции. Финансирование риска предусматривает только компенсацию последствий реализации рискового события и ликвидацию ущерба, не измененяя свойств риска. Методы финансирования называются «послесобытийными», поскольку к ним прибегают постфактум, в случае негативной реализации риска. Финансирование применяется в основном для экономических рисков, поскольку компенсировать неэкономические потери (моральные, нравственные) даже в случае выплат значительных сумм эквивалентно ущербу невозможно. Следует отличать группу методов «финансирование риска» от «финансирования обработки риска», т.е. рутинных процедур изыскания источников и оплаты мероприятий по управлению рисками.
Следующая классификация методов – в зависимости от результатов воздействия на риск. В этом случае выделяют четыре группы методов:
- избежание риска,
- уменьшение риска,
- передача риска,
- удержание риска.
В результате избежания (предотвращения) риска принимается решение не быть вовлеченным в опасную ситуацию, т.е. не осуществлять рискованную операцию. Таким образом, риск перестает существовать для данного конкретного случая и данного субъекта.
В результате мероприятий уменьшения (смягчения) оказывается редуцирующее воздействие на основные количественные характеристики риска: размер ущерба и вероятность его наступления. Примеры методов уменьшения риска – диверсификация и хеджирование.
После передачи (трансферта) риска он продолжает существовать, но полностью или частично делится еще с одним или несколькими организациями. Классический пример переноса риска – страхование.
Удержание (поглощение) риска означает, что мы признаем его наличие, но не предпринимаем никаких действий по отношению к нему. Возможные убытки покрываются за счет собственных средств организации.
Уклонение и уменьшение целиком относятся к регулированию риска, а удержание может повлечь за собой финансирование (что не зависит от того, догадывается об этом субъект или нет). При этом передача риска может быть произведена как в целях регулирования, так и в целях финансирования. В первом случае другой организации передается сама возможность наступления опасного события со всеми последствиями, а во втором случае тот, кто принимает риск, должен будет только компенсировать неблагоприятные последствия реализации риска у субъекта.
Очень часто при управлении рисками подбирают комбинации нескольких методов обработки. Эти меры могут воздействовать одновременно, сочетаясь друг с другом, или последовательно: сработала / не сработала одна - вступает в действие вторая.
Для обработки риска назначают специалиста, за которым закрепляют ответственность за процедуру обработки. Это может быть специалист:
- ответственный за действия, от которых зависит возникновение риска (руководитель «точки уязвимости»);
- от действий которого зависит вероятность появления опасного события (оператор «точки уязвимости»);
- наиболее подходящий для реагирования на появление опасного события и уменьшения его последствий (контролер).