Создание реестра рисков: пошаговая дорожная карта на 90 дней

Создание реестра рисков – фундаментальный этап любой системы управления рисками. Для риск‑профессионалов (аналитиков, менеджеров по рискам, специалистов ОТ и ПБ) важно не только собрать список потенциальных угроз, но и структурировать их так, чтобы они стали основой для принятия решений, планирования мероприятий и мониторинга эффективности.

Ниже представлена пошаговая дорожная карта на 90 дней, которая помогает последовательно перейти от идеи к готовому, действующему реестру рисков. Каждый этап включает конкретные задачи, ответственных, необходимые инструменты и контрольные точки.

Общие принципы подхода

Системность – работа ведётся в рамках утверждённой методологии (например, ISO 31000, ГОСТ Р 57.0.002‑2017 или внутренних нормативов организации).
Участие заинтересованных сторон – вовлечение руководителей подразделений, экспертов по предметам, сотрудников линии и службы ОТ.
Документирование и прозрачность – все промежуточные результаты фиксируются в виде таблиц, матриц и протоколов, доступных всем заинтересованным лицам.
Итеративность – после каждого 30‑дневного спринта проводится ретроспектива и корректировка плана.

Этап 1: Подготовка и запуск (дни 1‑30)

Цель этапа

Определить_scope_, собрать проектную команду, выбрать методологию и подготовить инфраструктуру для работы с реестром.

Ключевые задачи

Инициирование проекта – издать приказ о создании рабочей группы по построению реестра рисков, назначить руководителя проекта (Risk Owner).
Определение_scope_ и критериев успеха – какие бизнес‑процессы, подразделения или виды деятельности будут охвачены реестром; какие показатели (полнота, актуальность, удобство использования) будут считаться критериями завершения.
Выбор методологии оценки рисков – рассмотреть варианты: матрица вероятность‑ущерб, метод FMEA, метод Fault Tree Analysis, метод Bow‑Tie, а также рекомендации Минтруда (Приказ № 926 от ). Зафиксировать выбранный подход в локальном нормативном акте (Положение об оценке профессиональных рисков).
Сбор исходной информации – запросить существующие документы: реестры опасностей, карты оценки профессиональных рисков, внутренние аудиты, инциденты, нормативные акты (например, Приказ Минтранса № 90 от ).
Настройка инструментов – выбрать платформу для ведения реестра (Excel/Google Sheets, специализированные GRC‑системы, бесплатные OPR‑программы с ИИ‑алгоритмами). Настроить шаблоны: поля «Идентификатор риска», «Описание», «Источник», «Вероятность», «Воздействие», «Уровень риска», «Ответственный», «План мероприятий», «Статус».
Обучение команды – провести вводный семинар по выбранной методологии, работе с инструментом и основам документирования рисков.

Контрольные точки (end‑of‑sprint)

Приказ о создании проекта подписан и опубликован.
Документ «Scope и критерии успеха» утверждён.
Выбрана и описана методология оценки рисков.
Собран базовый набор исходных данных (не менее 80 % ожидаемых источников).
Инструмент развёрнут, шаблон готов к заполнению.
Проведено первое обучение (минимум 2 часа).

Этап 2: Идентификация и первичная оценка рисков (дни 31‑60)

Составить предварительный список рисков, присвоить им идентификаторы и выполнить первичную оценку по выбранной шкале.

Рабочие сессии по идентификации – провести серии интервью и воркшопов с руководителями подразделений и линейными сотрудниками. Использовать техники brainstorming, SWOT‑анализ, чек‑листы опасностей (например, из рекомендаций Минтруда).
Формирование чернового реестра – занести каждую выявленную угрозу в шаблон реестра, присвоив уникальный код (например, RISK‑001, RISK‑002 …).
Оценка вероятности и воздействия – применить выбранную шкалу (например, 1‑5 для вероятности и 1‑5 для воздействия). Рассчитать уровень риска (Probability × Impact) и отнести его к зоне риска (низкий, средний, высокий, критический) согласно цветовой матрице.
Классификация рисков – распределить по категориям: операционные, финансовые, репутационные, регуляторные, стратегические, профессиональные (ОТ и ПБ).
Первичная валидация – провести внутренний ревью с участием независимого эксперта (например, внешнего консультанта или аудитора) для проверки полноты и корректности оценок.
Документирование предположений и источников – для каждого риска указать, на каких данных основана оценка (документы, интервью, статистика инцидентов).

Проведено не менее 8 рабочих сессий (по 2 часа каждая) с охватом всех ключевых подразделений.
В реестре внесено минимум 150 рисков (или 100 % от запланированного_scope_).
Для каждого риска заполнены поля: описание, источник, вероятность, воздействие, уровень риска, предварительный владелец.
Результаты первичной оценки представлены в виде матрицы рисков (тепловая карта) и согласованы с руководителем проекта.
Выполнена независимая валидация – отмечены не более 10 % рисков, требующих уточнения.

Этап 3: Детализация, планирование мероприятий и финальная доработка (дни 61‑90)

Перейти от простого списка к управляемому реестру: определить ответственных, разработать планы снижения рисков, настроить процесс мониторинга и отчётности.

Назначение владельцев рисков – для каждого риска утвердить ответственного (Risk Owner) из соответствующего подразделения. Владелец отвечает за актуальность данных и исполнение плана мероприятий.
Разработка планов мероприятий (Risk Treatment Plans) – выбрать одну из четырёх стратегий реагирования: избежание, снижение, передача, принятие. Для каждого риска сформулировать конкретные действия, сроки, необходимые ресурсы и показатели эффективности (KPI).
Интеграция с существующими процессами – связать реестр с системой управления инцидентами, планом внутреннего аудита, бюджетным планированием и системой KPI подразделений.
Автоматизация и отчётность – настроить автоматические вычисления уровня риска, цветовую индикацию, генерацию ежемесячных дашбордов (например, в Power BI или встроенные отчёты GRC‑системы).
Обучение конечных пользователей – провести тренинги для владельцев рисков и аналитиков по работе с реестром, обновлению данных и интерпретации дашбордов.
Утверждение и публикация – оформить итоговый документ «Реестр рисков организации» как локальный нормативный акт (например, Положение о реестре рисков). Разместить его в корпоративном портале с контролем доступа.
План последующего обновления – определить периодичность пересмотра (квартально, полугодово) и ответственных за актуализацию.

Для 100 % рисков назначены владельцы и утверждены планы мероприятий.
Все планы мероприятий имеют чёткие сроки, ответственных и измеримые показатели.
Реестр интегрирован с хотя бы одной существующей системой (инциденты, аудит, бюджет).
Дашборд уровня рисков готов и прошёл пилотное тестирование с группой пользователей.
Проведено обучение не менее 30 ключевых сотрудников.

Пример структуры записи в реестре

Поле	Описание	Пример заполнения
ID риска	Уникальный идентификатор	RISK‑001
Наименование риска	Краткое, но информативное название	Несоблюдение требований по охране труда при работе с тяжелой техникой
Источник/Категория	Откуда возник риск	Операционный, ОТ и ПБ
Описание риска	Подробное описание события и последствий	Возможен удар рабочего движущимся элементом экскаватора при отсутствии ограждения зоны работ
Вероятность (1‑5)	Оценка частоты возникновения	3 (возможен)
Воздействие (1‑5)	Оценка потенциального ущерба	4 (серьезный вред здоровью)
Уровень риска	Вероятность × Воздействие	12 (высокий)
Зона риска	Цветовая категория	Оранжевый (высокий)
Владелец риска	Подразделение и ФИО ответственного	Отдел эксплуатации – Иванов И.И.
Стратегия реагирования	Избежать, снизить, передать, принять	Снизить
План мероприятий	Конкретные действия, сроки, ресурсы	Установить ограждение зоны работ (до ). 2. Провести инструктаж по безопасной работе (ежемесячно). 3. Внедрить систему сигнализации приближения техники (к ).
Ключевые показатели (KPI)	Как измерять эффективность	Количество инцидентов в зоне работ – цель 0 за квартал.
Статус	Текущее состояние исполнения плана	В работе
Дата последнего обновления	Когда запись последний раз редактировалась

Приведённый пример иллюстрирует, как каждая строка реестра содержит всю необходимую информацию для принятия решения и последующего контроля.

Следуя предложенной дорожной карте на 90 дней, риск‑профессионалы получают чёткий план действий, позволяющий перейти от хаотичного списка опасностей к структурированному, управляемому и постоянно обновляемому реестру рисков. Ключевые факторы успеха – чёткое определение_scope_, вовлечение экспертов, использование проверенных методологий и автоматизация рутинных операций.

После завершения 90‑дневного спринта организация получает:

Полный реестр рисков с идентификаторами, оценками и владельцами;
Документированные планы снижения рисков, интегрированные в бизнес‑процессы;
Инструменты мониторинга и отчётности, позволяющие руководству оперативно видеть текущий уровень угроз;
Базу для дальнейшего улучшения системы управления рисками (например, переход к ISO 31000:2018 или к внутренней модели риск‑ориентированного управления).

Успешное построение реестра рисков – это не разовый проект, а начало непрерывного цикла улучшения, который повышает устойчивость организации, защищает сотрудников и способствует достижению стратегических целей.