Оценка рисков: что это и как работает

Что это

Оценка рисков — это систематический процесс определения потенциальных угроз, анализа их вероятности и возможного ущерба, а также выработки мер реагирования. Это не разовое действие, а итеративная практика: риски меняются вместе с проектом, рынком и внешней средой. Результат оценки — приоритизированный список угроз с конкретными рекомендациями: что игнорировать, что мониторить, а с чем работать немедленно.

Зачем это нужно

Без оценки рисков решения принимаются интуитивно — и это дорого обходится. По данным PMI, около 11,4% бюджета проектов тратится впустую именно из-за неэффективного управления рисками. Оценка рисков нужна, чтобы распределить ресурсы туда, где угрозы реальны, а не туда, где они кажутся страшными. Это обязательный элемент в финансах (Базель III требует оценки кредитных и операционных рисков от банков), в IT-безопасности (стандарт ISO 27001), в строительстве, медицине и госуправлении.

Как это работает

Классический процесс оценки рисков состоит из нескольких последовательных шагов:

Идентификация рисков — составление полного списка угроз через мозговой штурм, интервью с экспертами, анализ исторических данных или метод SWOT.
Качественный анализ — оценка каждого риска по двум осям: вероятность наступления (низкая / средняя / высокая) и степень воздействия. Результат — тепловая карта рисков (risk matrix).
Количественный анализ — перевод оценок в цифры. Например, метод Монте-Карло моделирует тысячи сценариев и показывает распределение вероятных исходов. Используется там, где важна точность: в финансовом моделировании, страховании, крупных инфраструктурных проектах.
Приоритизация — риски ранжируются по показателю ожидаемых потерь: вероятность × размер ущерба. Риск с вероятностью 10% и ущербом 1 млн рублей важнее риска с вероятностью 80% и ущербом 50 000 рублей.
Планирование реагирования — для каждого приоритетного риска выбирается стратегия: избежать, снизить, передать (страхование, аутсорсинг) или принять.
Мониторинг — риски пересматриваются регулярно, обычно раз в спринт или квартал.

Примеры

IT-проект: команда оценивает риск ухода ключевого разработчика. Вероятность — средняя, ущерб — высокий (срыв релиза). Решение: документирование кода и перекрёстное обучение внутри команды.
Финтех: банк перед запуском нового продукта оценивает кредитный риск портфеля с помощью скоринговых моделей и стресс-тестирования по сценариям роста ставки ЦБ.
Стартап: основатели перед выходом на новый рынок анализируют регуляторные риски — изменения законодательства, которые могут заблокировать бизнес-модель (как это случилось с рядом криптобирж в 2022–2023 годах).
Строительство: подрядчик оценивает риск удорожания материалов и закладывает в контракт индексацию цен или фиксирует поставки заранее.
Кибербезопасность: по методологии OWASP Top 10 команда безопасности ранжирует уязвимости веб-приложения и устраняет сначала те, что несут наибольший риск утечки данных.

Связанные понятия

Управление рисками (Risk Management) — более широкий процесс, частью которого является оценка.
Риск-аппетит — уровень риска, который организация готова принять осознанно.
Тепловая карта рисков (Risk Matrix) — инструмент визуализации рисков по осям вероятности и воздействия.
KRI (Key Risk Indicators) — ключевые индикаторы риска, метрики для раннего обнаружения угроз.
Стресс-тестирование — проверка устойчивости системы или портфеля в экстремальных сценариях.
ISO 31000 — международный стандарт управления рисками, описывающий принципы и процесс.

Частые ошибки

Главная ошибка — путать оценку рисков с составлением списка страхов. Риск без цифр — это просто тревога. Второй типичный просчёт — оценивать риски один раз в начале проекта и забывать о них. Среда меняется: появляются новые зависимости, уходят люди, меняется законодательство. Ещё одна ловушка — фокус только на негативных рисках. Стандарт PMBoK напоминает, что риск — это неопределённость в обе стороны: есть и позитивные риски (возможности), которые тоже стоит планировать и использовать.