Институт внутренних аудиторов

RSS
Формулировка операционного риска: COSO против ISO
 
Цитата
PMI пытается вбить в головы, что возможностями нужно так же управлять, как и рисками.

К этой идее я отношусь с осторожностью. Напоминает short-termed opportunism из учебников по менеджменту, шараханье за призраками возможностей.
Возможности идут впереди рисков. Например, авария в мексиканском заливе. В свое время ВР решила, что глубоководная добыча нефти - это супер возможность, и в результате едва не накрылась медным тазом.
Увязка в стандарте рисков и возможностей выглядит искусственно, слишком тривиально. Почему если есть риск, то должны быть возможности, кроме намеченной цели, которая сама по себе возможность?
Возможностями надо бы заниматься отдельно от рисков, как в советское время были рацпредложения (и у японцев).
 
Спорить не буду. Поскольку не видел ни одного живого примера рационального управления краткосрочными возможностями. Элементы есть, например у Шелл, в виде ORP - opportunity realisation process. Но это опять таки для long-term opportunities, таких как новый проект, например.
Что касается краткосрочных возможностей на моей практике это все обычно построено на интуиции и опыте конкретного руководителя и абсолютно несистемно. Согласен, что применительно к аудиторской практике, мы все-таки фокусируемся на рисках нежелательных событий.
Возможностями занимается бизнес.
Что касается конкретно BP - я знаком с кейсом, присутсвовал на его разборе у нас в компании, и могу сказать, что, по моему мнению, проблема там была не в управлении возможностями - с этим все нормально, глубоководная добыча имеет право на существование. Там просто сыграл как обычно фактор присутствия высокого руководства. Связанная с этим боязнь, что проблемы "всплывут" и надежда на американский авось. Ну и технические проблемы конечно, куда же без них. Только без человеческого фактора эти технические проблемы ни к чему бы не привели.
 
Цитата
проблема там была не в управлении возможностями - с этим все нормально, глубоководная добыча имеет право на существование

Возикает вопрос, откуда сыр-бор вокруг возможностей, почему считается, что они обделены вниманием? В книжках полно примеров и обсуждений упущенных возможностей (японские машины в США, Кодак и цифровая фотография и т.д.). Большинство из них, конечно, long term. Но в стандарте вроде бы сроки не разделяются? Действительно ли мы многое теряем, если не формализуем поиск возможностей при управлении рисками?
 
Пока не формализуешь и не начнешь хотя-бы фиксировать возможности (пусть и задним числом) - не узнаешь сколько теряешь.
 
Цитата
Риск (COSO):Вероятность возникновения а) поломок/аварий в системе подачи топлива; б) хищения топлива сотрудниками терминала в процессе передачи топлива из танкера в резервуар, что может привести к:
- снижению запасов топлива в резервуаре;
- затратам на «дозаказ» недостающего топлива;
- некорректному отражению данных по остаткам топлива в учете (например, при попытке персонала скрыть факт хищения/разлива топлива);
- нанесение вреда окружающей среде.

Мой вариант:
Цель (одна): передача топлива из танкера в резервуар без потерь.

Риск: В результате а) поломок/аварий в системе подачи топлива; б) хищения топлива сотрудниками терминала возникнут потери топлива.

Коротко и понятно, где должны быть контроли. Операционные, экологические и учетные последствия потерь топлива - другая тема.
 
Цитата
"Project Risk is an uncertain event or condition that, if it occurs, has a positive or negative effect on one or more Project Objectives ..".
Конечно тут речь идет о проекте, но уберите слово проект и получится идеальное определение, что такое Риск.


Цитата
Поскольку IIA использует косовскую формулировку, при сдаче экзамена приходилось чувствовать себя шизофреником - понимаешь одно, а делаешь совсем другое, чтобы "как в букваре" было.


У меня возникает схожее чувство , когда я читаю про positive effect:
"Существует риск, что в результате разных событий проект будет выполнен в срок или с экономией бюджета"
Поэтому предпочитаю косовское определение.
 
Юрий, да, PMI пытается вбить в головы, что возможностями нужно так же управлять, как и рисками. Поэтому методология там одна.
Если существует возможное событие, при реализации которого проект удастся сдать с опережением сроков и/или с экономией бюджета - почему бы ее не развить?Так же как и с риском - только вместо уменьшения вероятности события и его последствий - поработать над увеличением вероятности и усилением эффекта.
Но для России это слишком. Тут и рисками то управлять заставить людей почти невозможно, что уж говорить о возможностях.
Но если большинство людей не могут освоить взятие производной, это еще не повод насмехаться над диффурами.
 
Прошу прощения. Я правильно понимаю - в приведенном примере по COSO 2 риска, а в ISO 1 но в результате 2х возможных событий?
 
Правильное (лично для меня) определение риска дано в ANSI PMI FS-PMBOK-2013:
"Project Risk is an uncertain event or condition that, if it occurs, has a positive or negative effect on one or more Project Objectives ....A risk may have one or more causes and, if it occurs, it may have one or more impacts".
Конечно тут речь идет о проекте, но уберите слово проект и получится идеальное определение, что такое Риск.
Конечно риск это не вероятность и конечно риск это не влияние на цели - использование обоих вариантов приводит к созданию риск профиля изобилующего непонятными рисками, зачастую повторяющимися, содержащего жуткие комбинации событий из разных областей. В результате невозможно назначить ОДНО ответственное лицо, невозможно выбрать ОДНУ стратегию управления этим риском и поставить четкий дедлайн.
Каждый риск - это желательное или нежелательное возможное событие (создание условий так же в итоге можно свести к событию).
Ваш пример показателен - на самом деле речь идет о двух несвязанных с собой рисках, изолированных друг от друга по первопричинам.
Используя ANSIшное определение можно получить два четких, простых риска, которыми понятно как управлять и для каждого можно выбрать конкретную стратегию упраления, разработать конкретное мероприятие, назначить конкретных ответственных и конкретные даты.
 
Поскольку IIA использует косовскую формулировку, при сдаче экзамена приходилось чувствовать себя шизофреником - понимаешь одно, а делаешь совсем другое, чтобы "как в букваре" было.