Россия. Проект 10 плюс. Матрица рисков

Матрица рисков

13.1. Назначение матрицы
Матрица рисков предназначена для выявления, оценки и управления событиями, способными нарушить достижение целей программы «Россия 10+».

Она применяется на четырёх уровнях:

программа в целом;
технологическая миссия;
инвестиционный проект;
отдельное предприятие, производство или экспортная сделка.
Матрица должна использоваться до принятия инвестиционного решения, в процессе реализации проекта и после его перехода к серийному производству.

Риск не может считаться управляемым только потому, что он включён в отчётность. Для каждого существенного риска должны быть определены:

владелец;
источник;
вероятность;
возможный ущерб;
скорость реализации;
показатели раннего предупреждения;
меры предупреждения;
резервный сценарий;
предельный уровень;
полномочия по остановке проекта.
13.2. Принципы управления рисками
Принцип персонального владельца
Каждый риск закрепляется за конкретным должностным лицом или органом.

Формулировка «ответственны все участники» означает отсутствие реальной ответственности.

Принцип раннего предупреждения
Основное внимание направляется не на ликвидацию последствий, а на выявление признаков приближающегося нарушения.

Принцип независимой оценки
Команда проекта не должна единолично определять приемлемость собственных рисков.

Принцип соразмерности
Глубина контроля зависит от:

размера капитала;
критичности технологии;
стадии проекта;
потенциального ущерба;
экспортной чувствительности;
числа зависимых продуктовых линий.
Принцип честного закрытия
Прекращение бесперспективного проекта рассматривается как нормальный инструмент управления портфелем, а не как автоматическое доказательство провала всей программы.

Принцип резервного маршрута
Для каждого системообразующего проекта должен существовать альтернативный вариант:

поставщика;
технологии;
площадки;
финансирования;
программной архитектуры;
экспортного рынка.
13.3. Категории рисков
Код Категория
R-MKT Рыночные риски
R-TEC Технологические риски
R-IND Производственные риски
R-CMP Компонентные и цепочечные риски
R-FIN Финансовые риски
R-MAC Макроэкономические риски
R-GOV Управленческие риски
R-COR Коррупционные и комплаенс-риски
R-IP Риски интеллектуальной собственности
R-CYB Киберриски
R-EXP Экспортные и страновые риски
R-SEC Риски незаконного и специального применения
R-ENV Экологические риски
R-SOC Социальные и кадровые риски
R-REG Регуляторные и правовые риски
R-SYS Системные риски программы
13.4. Шкала вероятности
Балл Вероятность Описание
1 Очень низкая Событие возможно только при исключительном сочетании условий
2 Низкая Событие маловероятно, но известны отдельные аналогичные случаи
3 Средняя Событие реалистично в течение горизонта проекта
4 Высокая Существуют явные признаки или повторяющиеся предпосылки
5 Очень высокая Событие уже начинается либо практически неизбежно без вмешательства
Вероятность должна оцениваться на определённом горизонте:

12 месяцев;
три года;
полный срок проекта.
13.5. Шкала воздействия
Балл Воздействие Возможные последствия
1 Незначительное Локальная задержка или перерасход до 5%
2 Умеренное Перенос этапа, перерасход до 10%, ограниченное снижение характеристик
3 Существенное Задержка до года, перерасход до 25%, потеря части рынка
4 Критическое Срыв миссии, остановка производства, крупная потеря капитала
5 Системное Нарушение нескольких миссий, угроза безопасности или устойчивости программы
Воздействие оценивается по наибольшему из последствий:

финансовому;
технологическому;
производственному;
экспортному;
социальному;
экологическому;
репутационному;
связанному с безопасностью.
13.6. Скорость реализации риска
Балл Скорость Время от первых признаков до ущерба
1 Медленная Более двух лет
2 Умеренная От одного до двух лет
3 Быстрая От трёх до двенадцати месяцев
4 Очень быстрая От нескольких дней до трёх месяцев
5 Мгновенная Часы или дни
Высокая скорость требует заранее утверждённого автоматического плана действий.

13.7. Обнаруживаемость
Балл Обнаруживаемость Характеристика
1 Высокая Риск легко выявляется стандартным мониторингом
2 Хорошая Признаки видимы при регулярном анализе
3 Средняя Требуется специальная проверка
4 Низкая Риск может долго скрываться
5 Очень низкая Нарушение обычно обнаруживается после значительного ущерба
Чем ниже обнаруживаемость, тем выше итоговый риск.

13.8. Индекс риска
Базовый показатель рассчитывается как:

BRI = P ; I,

где:

P — вероятность;
I — воздействие.
Расширенный индекс приоритетности:

RPI = P ; I ; K; ; K;,

где:

K; — коэффициент скорости реализации;
K; — коэффициент низкой обнаруживаемости.
Рекомендуемые коэффициенты:

Балл скорости или обнаруживаемости Коэффициент
1 1,00
2 1,10
3 1,25
4 1,45
5 1,70
Индекс используется для сравнения рисков, но не заменяет профессиональное решение. Риск с низкой вероятностью и катастрофическим воздействием может потребовать обязательного резервирования независимо от среднего интегрального балла.

13.9. Зоны риска
Зона Базовый индекс P ; I Режим
Зелёная 1–4 Текущий контроль
Жёлтая 5–9 Обязательный план снижения
Оранжевая 10–15 Решение комитета по рискам, ограничение нового капитала
Красная 16–20 Приостановка масштабирования, независимый аудит
Критическая 21–25 Остановка проекта или специальное государственное решение
Для рисков безопасности, незаконного применения, утраты критической технологии и коррупции могут устанавливаться более строгие пороги.

13.10. Риск-аппетит программы
Программа допускает высокий риск в:

фундаментальной науке;
поисковых исследованиях;
ранних технологических архитектурах;
ограниченных экспериментальных пилотах.
Программа не допускает высокий остаточный риск в:

серийной безопасности;
достоверности статистики;
защите критических данных;
экспортном контроле;
финансовой отчётности;
защите интеллектуальной собственности;
эксплуатации систем в общественной инфраструктуре.
Высокая неопределённость научного результата допустима. Сокрытие результата, подмена испытания или нарушение закона недопустимы.

13.11. Основная матрица рисков программы
Код Риск Основные причины Ранние признаки Основные меры
R-MKT-01 Отсутствие подтверждённого спроса Проектирование без заказчика, политические обещания вместо контрактов Нет оплаченного пилота, заказчик не выделяет персонал, отсутствует бюджет Квалифицированный заказчик, оплаченный пилот, поэтапная мощность
R-MKT-02 Перепроизводство Производственное задание не связано с рынком Рост запасов, снижение загрузки парка, субсидируемые повторные закупки Модульные линии, контроль загрузки, остановка расширения
R-TEC-01 Технологическое отставание Длительный цикл, одна архитектура, слабое сравнение Увеличение разрыва с конкурентами, снижение экспортного интереса Несколько поколений, международный бенчмаркинг, смена архитектуры
R-TEC-02 Невоспроизводимый прототип Ручная сборка, уникальные специалисты, нестабильная технология Большой разброс испытаний, длительная настройка, высокий брак Опытная линия, технологическая документация, повторные испытания
R-CMP-01 Низкая доля российских компонентов Формальная локализация, зависимость от критического импорта Высокая внешняя доля вычислителей, сенсоров или оборудования Матрица критических технологий, график локализации, резервные маршруты
R-CMP-02 Потеря ключевого поставщика Один производитель, одна страна или фабрика Рост сроков, отказ от контрактов, прекращение поддержки Альтернативный поставщик, запас, российская разработка
R-IND-01 Завышение стоимости проекта Слабая конкуренция, связанные подрядчики, уникальность Быстрый рост сметы, изменение требований, высокий аванс Открытая книга, независимая оценка, этапная оплата
R-IND-02 Недозагрузка производства Завышенный прогноз спроса, слишком крупная первая очередь Загрузка ниже 50%, перенос заказов, рост себестоимости Модульное расширение, контрактное производство, перепрофилирование
R-IND-03 Низкое качество Ускоренный запуск, слабые поставщики, отсутствие статистики Рост гарантий, повторные отказы, жалобы заказчиков Цифровая прослеживаемость, независимые испытания, остановка партии
R-FIN-01 Потеря государственного капитала Слабая финансовая модель, отсутствие прав и обеспечения Просрочка, постоянная докапитализация, отрицательный поток Возвратные инструменты, обеспечение, права фонда, реструктуризация
R-FIN-02 Непрозрачные гарантии Скрытые условные обязательства Рост гарантированного долга, слабая оценка риска Единый лимит гарантий, страховая премия, раскрытие обязательств
R-MAC-01 Инфляция активов Одновременный запуск множества проектов Рост стоимости земли, стройки, оборудования, зарплат Национальный календарь строек, этапность, типовые проекты
R-MAC-02 Денежный перегрев Финансирование опережает физическую готовность Рост цен, дефицит подрядчиков, избыточная ликвидность Синхронизация траншей, разделение валютной и рублёвой частей
R-GOV-01 Монополизация Закрытые интерфейсы, единый поставщик, административные преимущества Рост цен, блокирование сторонних модулей, отсутствие альтернатив Открытые интерфейсы, резервные поставщики, антимонопольный аудит
R-GOV-02 Межведомственный паралич Размытые полномочия, последовательные согласования Просрочки решений, противоречащие требования Проектный офис, сроки, автоматическая эскалация
R-COR-01 Коррупция Конфликт интересов, непрозрачные закупки, посредники Завышенные комиссии, связанные сделки, давление на экспертизу Раскрытие собственников, ротация, цифровой след, защита информаторов
R-COR-02 Технологическая имитация Формальный отчёт вместо результата Презентации без испытаний, патенты без внедрения, постоянный перенос Контрольные точки, независимые испытания, закрытие проекта
R-IP-01 Потеря интеллектуальной собственности Слабые договоры, права у подрядчика, банкротство Нет реестра прав, код хранится у одного лица Депозитарий, государственная лицензия, права при банкротстве
R-IP-02 Утечка технологии Кибератака, сотрудник, совместное предприятие Необычное копирование, запрос лишней документации Разделение доступа, ноу-хау, киберзащита, контроль партнёров
R-CYB-01 Компрометация управления Общие ключи, слабая идентификация, устаревший код Необычные команды, попытки входа, несоответствие конфигурации Индивидуальные сертификаты, сегментация, безопасный режим
R-CYB-02 Атака на цифровую фабрику Удалённый доступ, подмена программ станка Отклонение параметров, неизвестные версии, дефекты партии Изоляция производственного контура, подпись программ, резервное восстановление
R-EXP-01 Политический риск страны Смена власти, валютные ограничения, национализация Задержка платежей, изменение закона, кадровые перестановки Страхование, этапный капитал, местная коалиция, план выхода
R-EXP-02 Невозврат экспортного кредита Слабый денежный поток, завышенная гарантия Просрочка, снижение загрузки, запрос реструктуризации Обеспечение, проектное финансирование, участие заказчика
R-EXP-03 Незаконный реэкспорт Слабый контроль пользователя и лицензиата Несовпадение места сервиса, необычные запчасти, смена владельца Цифровой паспорт, аудит, договорные ограничения
R-SEC-01 Незаконное применение Модификация, слабая проверка пользователя Необычная конфигурация, отказ раскрыть назначение Классификация, проверка пользователя, ограничение функций
R-ENV-01 Экологический ущерб Батареи, шум, аварии, космический мусор Рост инцидентов, жалобы, превышение нормативов Экологический паспорт, переработка, ремонт, мониторинг
R-SOC-01 Социальное неприятие Непрозрачность, потеря рабочих мест, наблюдение Протесты, отказ операторов, негативные инциденты Общественные пилоты, переподготовка, защита данных
R-SOC-02 Дефицит кадров Рост проектов быстрее подготовки специалистов Вакансии, переманивание, снижение качества Заказ на подготовку, учебные фабрики, международный набор
R-REG-01 Задержка регулирования Новые технологии не вписываются в действующие правила Невозможность пилота, разные требования регионов Экспериментальные режимы, раннее участие регулятора
R-SYS-01 Зависимость от одного института Концентрация капитала, экспертизы и управления Отсутствие независимых решений, сокрытие проблем Разделение полномочий, внешний аудит
R-SYS-02 Разрыв между миссиями Компоненты и продукты планируются отдельно Невостребованные разработки, задержка интеграции Единая архитектура зависимостей и продуктовая матрица
13.12. Остаточный риск
После применения мер рассчитывается остаточный риск.

RR = RP ; RI,

где:

RP — остаточная вероятность;
RI — остаточное воздействие.
Проект может перейти к следующему этапу только при условии, что остаточный риск:

находится в пределах риск-аппетита;
имеет утверждённого владельца;
обеспечен необходимым резервом;
не нарушает обязательных требований безопасности.
Мера не считается действующей только потому, что она включена в план. Необходимо подтвердить её фактическое исполнение.

13.13. Показатели раннего предупреждения
Для каждого риска устанавливаются количественные сигналы.

Примеры:

Риск Жёлтый сигнал Красный сигнал
Спрос Менее 50% мощности покрыто заказами Менее 30% мощности покрыто заказами
Перепроизводство Запасы превышают трёхмесячные продажи Запасы превышают шестимесячные продажи
Стоимость Превышение сметы более 10% Превышение более 25%
Срок Задержка этапа более трёх месяцев Задержка более года
Качество Гарантийные отказы выше плана на 25% Удвоение частоты критических отказов
Компоненты Один поставщик обеспечивает более 70% критической позиции Поставщик уведомил о прекращении поставок
Экспортный кредит Просрочка свыше 30 дней Просрочка свыше 90 дней
Локализация Отставание от графика на один этап Отсутствует технологический путь к целевому уровню
Кадры Более 10% критических вакансий Более 25% критических вакансий
Кибербезопасность Рост попыток доступа и неподписанных версий Подтверждённая компрометация управления
Интеллектуальные права Неполная регистрация ключевых прав Право утрачено или передано без согласия
Страновой риск Задержка разрешений и валютных платежей Запрет перевода средств или угроза национализации
Пороговые значения уточняются для каждого класса проекта.

13.14. Карточка риска
Каждый риск в цифровом реестре должен иметь следующую структуру:

Поле Содержание
Идентификатор Уникальный код
Формулировка Конкретное событие и последствие
Категория Рыночная, технологическая, финансовая и иная
Владелец Должность и организация
Причины Источники возникновения
Вероятность До и после мер
Воздействие До и после мер
Скорость Время до ущерба
Обнаруживаемость Возможность раннего выявления
Индикаторы Жёлтые и красные сигналы
Меры Предупреждающие и реагирующие действия
Резерв Финансовый, производственный или технологический
Срок пересмотра Дата следующей оценки
Статус Открыт, снижается, реализован, закрыт
13.15. Эскалация рисков
Уровень проекта
Риск управляется руководителем проекта и куратором фонда.

Уровень миссии
Передаётся при воздействии на несколько проектов или критическую технологию.

Уровень фонда
Рассматривается при угрозе значительной потери капитала, концентрации или нарушении лимитов.

Уровень проектного офиса
Применяется при межведомственном, производственном или инфраструктурном риске.

Уровень Стратегического совета
Используется для системных рисков:

резервной достаточности;
крупных международных кризисов;
остановки нескольких миссий;
существенного изменения стратегии.
13.16. Стресс-тестирование
Не реже одного раза в год программа проходит комбинированное стресс-тестирование.

Обязательные сценарии:

одновременное падение внутреннего и экспортного спроса;
прекращение поставок критической электроники;
недоступность ключевого производственного оборудования;
инфляционный перегрев;
кибератака на несколько цифровых фабрик;
дефолт крупного зарубежного партнёра;
потеря критического патента или программной лицензии;
авария массового продукта;
одновременный дефицит кадров и энергии;
комбинированный финансово-технологический шок.
Стресс-тест должен показывать:

какие функции сохраняются;
какие производства останавливаются;
какой резерв требуется;
какие проекты временно сокращаются;
сколько времени занимает восстановление;
кто принимает решение.
13.17. Независимый аудит рисков
Аудитор должен проверять:

полноту реестра;
реалистичность вероятностей;
достоверность ранних сигналов;
наличие резервных маршрутов;
исполнение мер;
отсутствие сокрытия красных рисков;
связь риска с инвестиционным решением.
Руководитель не должен получать премию за отсутствие зарегистрированных рисков. Такая мотивация приводит к их сокрытию.