Можно ли свести остаточный риск к нулю?

Inherent vs Residual Risk (врождённый и остаточный риск)

Врождённый риск — уровень риска до применения контролей; остаточный — то, что остаётся после внедрения контролей и мер снижения.

КРАТКО

Inherent vs Residual Risk — пара понятий в управлении рисками: врождённый риск оценивают без единого контроля, остаточный — уже после внедрения мер снижения. Врождённый показывает природу и масштаб угрозы, остаточный — достаточно ли действующих контролей. Разница между ними равна эффективности контролей, а остаточный риск должен укладываться в риск-аппетит компании.

СИНОНИМЫ:inherent riskresidual riskврождённый рискприсущий рискнеотъемлемый рискостаточный риск

Врождённый и остаточный риск — фундаментальная пара понятий в управлении рисками и аудите.

Логика оценки

Оцените врождённый риск (вероятность × влияние) — так, как если бы никаких контролей не было вообще.
Опишите контроли: политики, технические средства, процессы.
Оцените остаточный риск — уже с учётом контролей.
Сравните остаточный риск с риск-аппетитом. Если остаточный выше аппетита, нужны дополнительные контроли.

Пример матрицы

Хакерская атака: врождённый риск высокий (5 баллов), контроли — межсетевой экран уровня приложений, двухфакторная аутентификация и мониторинг → остаточный риск средний (3 балла). Это в пределах аппетита, риск принимаем.

КОГДА ПРИМЕНЯТЬ

Аудит рисков
Соответствие требованиям SOX
Проектирование системы внутреннего контроля

КОГДА НЕ СТОИТ

Простые проекты — там достаточно одной оценки риска

ПРИМЕР

Финансовая отчётность: врождённый риск ошибки высокий, потому что объём операций большой. Контроли: автоматическая сверка, проверка «в четыре глаза» и ежемесячное закрытие периода. Остаточный риск — низкий, требования SOX выполнены.

КАК ИСПОЛЬЗОВАТЬ В SHTAB

Документируйте оба уровня. Аудитор обязательно спросит: «А каким был бы риск, если убрать все контроли?» — это и есть врождённый риск. Держите в реестре рисков обе оценки рядом, чтобы видеть вклад каждого контроля.

Попробовать бесплатно

Вопросы про «Inherent vs Residual Risk (врождённый и остаточный риск)»

Теоретически да, но это дорого и чаще всего невыгодно: предельная стоимость каждого следующего контроля растёт нелинейно, а выигрыш в снижении риска уменьшается. Разумная цель — снизить остаточный риск до уровня риск-аппетита компании и остановиться, а сэкономленные деньги направить на риски, которые пока выше допустимого уровня.

Ещё из «Финансы и риск-менеджмент»

Вся категория →

Burn Rate (скорость сжигания денег)

Скорость, с которой стартап расходует свои денежные резервы, — обычно считается за месяц.

Black Swan (чёрный лебедь)

Редкое и непредсказуемое событие с экстремальными последствиями, которое задним числом кажется вполне объяснимым.

Cash Flow (денежный поток)

Движение денежных средств компании: поступления минус выплаты за период.

Применяйте термины на практике

База знаний, задачи и цели — в одном сервисе. Бесплатно — без лимита по числу людей.

Попробовать бесплатно Все термины