Кейс / Управление рисками
Оценка и пересмотр рисков компании
Платформа помогает командам оценивать риски компании и следить за работой с ними. Я собрал вокруг записи риска владельца, оценку, историю и связанные объекты, чтобы при следующем разборе не восстанавливать контекст по отдельным спискам.
01
Проблема
Команда компании регулярно пересматривает риски: что может пойти не так, какие меры уже приняты и что требует внимания. Владельцу риска нужно разобраться в текущей оценке и связанных с ней данных, прежде чем продолжать работу.
В старом модуле реестр, активы и текущая работа были разнесены по отдельным спискам. Для одной оценки приходилось восстанавливать контекст. Я переработал модуль вокруг записи риска, связав её с владельцем, оценкой, историей и затронутыми объектами.
Активом здесь может быть система или другой ресурс компании. Мерой контроля называют действие, помогающее управлять риском. Связь с ними объясняет контекст оценки, но сама по себе не доказывает, что риск уже снижен.
02
Исследование
Задача продукта
Сохранить контекст для следующей оценки
Дать владельцу риска понятную запись, по которой можно восстановить текущее состояние и подготовить дальнейший разбор. Моя задача состояла в распределении информации между реестром, карточкой и общими объектами.
В интервью я разбирал последнюю оценку риска: откуда брали сведения, как находили ответственного и что проверяли при следующем обращении к записи. Затем сопоставил старые списки с этими действиями.
На сценарных разборах просил выбрать риск, найти его владельца и затронутый актив, сопоставить профиль с историей. Проверял, какие сведения нужны в общем списке, а какие помогают разобраться в одной записи.
- Участников
- 6
- 3 владельца рисков, 2 специалиста по рискам и 1 аудитор.
- Раунда разбора
- 2
- Те же задачи на ранней и уточнённой структуре экранов.
Сосредоточился на восстановлении контекста оценки. Выбор методики расчёта и эффективность самих мер контроля оставались задачами специалистов по рискам.
- Интервью
- Разбор оценок
- Карта пути пользователя
- Сценарные проверки
- Сравнение структуры записей
Чтобы проверить логику записей, сопоставил её с рекомендациями по управлению рисками. Источники помогли отделить описание риска, ответственное лицо и обработку от самого числового значения.
NIST: реестр и подробная запись
В материалах NIST реестр передаёт краткую оценку и способ реагирования, а подробная запись раскрывает затронутые объекты и контекст. Я использовал это разделение для общего списка и карточки риска.
ISO 31000: пересмотр риска
ISO рассматривает управление риском как продолжающийся процесс оценки, обработки и пересмотра. Поэтому в карточке рядом с профилем я сохранил владельца, историю и доступ к связанной работе.
03
Инсайты
Статус не объясняет приоритет
Два открытых риска могут требовать разного внимания. Я показал в реестре остаточную оценку, уведомления и обработку, чтобы список помогал выбрать запись для разбора.
ОснованиеДля выбора нужен уровень риска с учётом принятых мер, а не только признак «Открыт».
Оценке нужен контекст
Само число не говорит, кто отвечает за риск и к каким объектам он относится. Я собрал владельца, профиль и историю на одной странице, сохранив связи с объектами.
ОснованиеПри повторном разборе нужны не только результат оценки, но и сведения, позволяющие его проверить.
Связь не равна защите
Нулевой счётчик помогает заметить актив, не связанный ни с одним риском. Наличие связи ещё не доказывает эффективность мер. Поэтому сведения о связях я отделил от оценки риска.
ОснованиеЗаполненность записей и состояние самого риска отвечают на разные вопросы.
04
Задачи и гипотезы
Я разделил ожидаемую пользу для процесса и вопросы, которые можно проверить по интерфейсу.
Гипотезы бизнеса
Меньше повторного восстановления контекста
Если профиль риска, его владелец и связанные объекты доступны из одной записи, то регистрация и первичная оценка займут меньше времени, поскольку исходные сведения не придётся собирать заново.
- Основание
- Повторяющийся контекст приходилось собирать из отдельных списков.
- Как проверил
- Сравнил медиану регистрации и оценки до обновления и через два квартала. Если бы время не изменилось, потребовалось бы проверить, на каком действии сохраняется повторная работа.
Направление поддержано
Медиана снизилась с 22 до 9 минут. Это результат обновлённого процесса в целом; отдельный эффект интерфейса не выделялся.
Решение в интерфейсе
Сохранил одну карточку риска с контекстом и общий каталог, вместо повторения сведений в каждой таблице.
Видимая полнота связей
Если связанные объекты и отсутствие связей заметны в рабочем контексте, то доля рисков с указанным контролем или активом увеличится.
- Основание
- Без явной связи заполненная карточка не показывает, к какому объекту относится риск.
- Как проверил
- Сравнил долю записей хотя бы с одним связанным контролем или активом в двух срезах реестра. Связь требовалось проверять по содержанию; её наличие не считалось снижением риска. Если бы доля не выросла, пересмотрел бы заметность отсутствующих связей и путь поиска объекта.
Полнота записей выросла
Через два квартала доля составила 88% вместо 31%. Показатель отражает наличие связей, а не их качество или эффективность контроля.
Решение в интерфейсе
Показал связанные объекты в профиле и количество связей в каталоге.
Гипотезы интерфейса
Выбор риска до открытия карточки
Если в реестре рядом со статусом видны оценка, уведомления и обработка, то владелец сможет обоснованно выбрать риск для разбора, не открывая все записи.
- Основание
- Статус «Открыт» встречается у рисков с разной оценкой и разным состоянием работы.
- Как проверил
- Просил выбрать запись, требующую внимания, и объяснить выбор по данным строки. Засчитывал сочетание оценки и контекста, а не выбор только по одному статусу. Выбор только по статусу означал бы, что состав или подачу признаков в строке нужно пересмотреть.
Поддержана в разборе
В повторном задании основой выбора стали оценка и уведомления. Статус перестал быть единственным ориентиром.
Решение в интерфейсе
Оставил в строке краткие признаки для выбора; подробный профиль вынес в карточку.
Контекст оценки на одной странице
Если владелец, профиль и история находятся вместе, то пользователь сможет найти ответственного, затронутый актив и изменения оценки без восстановления этих сведений по разным спискам.
- Основание
- Владелец риска и владелец актива могут отвечать за разные части работы. При пересмотре также важно видеть историю, а не только текущее число.
- Как проверил
- Просил назвать владельца риска, показать связанный актив и найти изменения в истории. Причину изменения нельзя было выводить только из графика. Если бы участники путали владельцев или не находили контекст, пересмотрел бы подписи ролей и расположение сведений.
Поддержана в разборе
Участники находили ответственного и контекст в карточке. Для уточнения объекта обращались к каталогу, различая владельца риска и владельца актива.
Решение в интерфейсе
Сохранил владельца риска в шапке, профиль и историю рядом, а ответственность за актив отдельно в каталоге.
05
Путь пользователя
Карта показывает, как владелец готовится к пересмотру риска: выбирает запись, восстанавливает контекст и определяет, что требует дальнейшего внимания.
- Роль
- Владелец риска
- Ситуация и цель
- Восстановить контекст риска и определить, что нужно проверить при пересмотре.
-
Выбрать риск
- Цель
- Определить запись для пересмотра.
- Действия и контакты
- Просматривает список и уточняет, что требует внимания.Реестр / коллеги
- Затруднение
- Статус не объясняет различия между открытыми рисками.
- Что нужно
- Сравнить оценку и состояние обработки.
- Моё решение
- Показал остаточную оценку, уведомления и обработку в строке.
- Экраны
-
Разобраться в записи
- Цель
- Восстановить суть риска.
- Действия и контакты
- Читает описание и сверяет текущую оценку.Карточка риска
- Затруднение
- Один балл не раскрывает контекст.
- Что нужно
- Сопоставить оценку с описанием.
- Моё решение
- Разместил профиль рядом с оценкой и историей.
- Экраны
-
Уточнить ответственность
- Цель
- Понять, с кем продолжить разбор.
- Действия и контакты
- Находит владельца риска и ответственных за объект.Карточка / каталог
- Затруднение
- Владельцы риска и актива обозначают разные обязанности.
- Что нужно
- Различить ответственность за риск и объект.
- Моё решение
- Владелец риска виден в шапке, Owner/Custodian актива в каталоге.
-
Проверить связанные объекты
- Цель
- Найти контекст затронутого актива.
- Действия и контакты
- Сопоставляет запись с каталогом и смотрит связи.Профиль / каталог
- Затруднение
- Повторяющиеся названия не гарантируют, что записи связаны.
- Что нужно
- Увидеть объект и наличие отношений.
- Моё решение
- Показал связанные объекты и количество связей в каталоге.
-
Сопоставить изменения
- Цель
- Увидеть динамику оценки.
- Действия и контакты
- Сравнивает текущее состояние с историей.Профиль / история
- Затруднение
- Без истории трудно заметить изменение значения.
- Что нужно
- Найти изменение, не выдумывая его причину.
- Моё решение
- Поставил историю рядом с профилем риска.
- Экраны
-
Сверить общую картину
- Цель
- Определить дальнейшее внимание к риску.
- Действия и контакты
- Возвращается к списку и сопоставляет состояние записи.Карточка / реестр
- Затруднение
- Сведения по одному риску нужно соотнести с остальными.
- Что нужно
- Проверить оценку, уведомления и обработку в общем списке.
- Моё решение
- Сохранил те же смысловые признаки в реестре.
- Экраны
История показывает изменение значений, но сама не объясняет причину. Связь с активом даёт контекст, не подтверждая эффективность мер контроля.
06
Решения в интерфейсе
Основой стала карточка риска. Реестр помогает выбрать запись, а каталог и библиотека сохраняют общий контекст для повторного использования.
Выбрать риск для разбора
Я оставил в реестре признаки, необходимые для первого решения: остаточную оценку, статус, уведомления и обработку. Человек сравнивает записи до открытия подробностей, самостоятельно определяя приоритет.
Восстановить контекст оценки
В шапке карточки видны владелец и текущее состояние. Профиль расположен рядом с историей, а вкладки обозначают задачи, индикаторы, проблемы и исключения. Так один риск остаётся центром разбора, не превращаясь в длинную форму обо всём.
Работать с общими объектами
В каталоге я разделил типы объектов и показал количество их связей с рисками. Библиотека хранит названия, категории и описания повторяющихся рисков, давая команде общую основу для новых записей.
Экраны по этапам
Выберите экран или листайте ряд. Каждый макет можно открыть целиком.
07
Проверка дизайна
В двух раундах сценарных разборов проверял, как человек выбирает риск, восстанавливает его контекст и объясняет значение связей. Смотрел на обоснование ответа, а не только на найденный элемент.
Открытый не всегда самый важный
- Затруднение
- Одинаковый статус у разных рисков не объясняет, какой разбирать первым.
- Что изменил
- В реестре рядом со статусом показал остаточную оценку, уведомления и обработку. Выбор можно объяснить по данным строки.
Владелец риска и владелец актива
- Затруднение
- Одной подписи «владелец» недостаточно: человек отвечает либо за оценку риска, либо за затронутый объект.
- Что изменил
- Владелец риска остался в шапке карточки. В каталоге отдельно видны Owner и Custodian актива.
Связанный не значит защищённый
- Затруднение
- Количество связей можно ошибочно принять за полноту или эффективность мер по снижению риска.
- Что изменил
- В каталоге показываю число отношений, а оценку и историю оставляю в карточке риска. Эти показатели не заменяют друг друга.
08
Результаты
Я собрал владельца, профиль, оценку и историю вокруг одной записи риска. Реестр помогает выбрать её для разбора, а каталог показывает контекст связей. Библиотека сохраняет общую основу описания повторяющихся рисков.
Дважды показывал команде путь от выбора риска до проверки связанных объектов. На первом разборе обсудили распределение сведений между реестром, карточкой и каталогом. Уточнив структуру, согласовал её на втором разборе и передал разработчикам состояния и правила отображения.
Через два квартала после запуска сравнили обновлённый процесс с предыдущим. Вместе с интерфейсом менялась организация работы, поэтому показатели описывают общий результат, а не изолированный вклад дизайна.
- Регистрация и оценка нового риска
- Прежний процесс22Через два квартала9мин −13 минут
- Медианное время от начала регистрации до завершения первичной оценки. Это одна операция с новым риском, не весь аудит и не последующие пересмотры.
- Риски со связанным контролем или активом
- Прежний процесс31%Через два квартала88%+57 п.п.
- Число рисков хотя бы с одной связью с контролем или активом, делённое на все риски в отчётном срезе. Каждый риск учитывается один раз.
- Проверки, завершённые в срок
- Прежний процесс61%Через два квартала80%+19 п.п.
- Проверки, завершённые к установленному сроку, делённые на все проверки, срок которых наступил в отчётном окне. Незавершённые просроченные проверки остаются в знаменателе.
Для времени сравнил медианы, для долей разницу в процентных пунктах. Наличие связи не доказывает её правильность или снижение риска, а соблюдение срока не гарантирует качество проверки. Показатели относятся к разным частям процесса и не складываются в общий прирост эффективности.
