СМК в 1С:Документообороте: как автоматизировать управление рисками
Реестр рисков часто начинают автоматизировать с переноса существующей Excel-таблицы в 1С:Документооборот, после чего в карточке появляются вероятность, последствия, уровень риска, ответственный и несколько текстовых полей. Формально реестр уже находится в системе, но сама работа почти не меняется: кто-то раз в квартал открывает список, вручную уточняет оценки у владельцев процессов, а мероприятия по снижению риска продолжают жить в письмах, протоколах и отдельных задачах.
Чтобы автоматизация дала больше, чем централизованное хранение таблицы, на обследовании нужно разобрать весь жизненный цикл риска: откуда он появляется, кто его оценивает, по какой шкале определяется уровень, кто принимает решение о реакции, как контролируются мероприятия и когда риск пересматривается. ISO 9001:2015 не задает обязательную формулу оценки риска, поэтому методику нужно брать из действующих правил самой компании либо согласовывать до настройки системы.
Один риск удобно хранить как отдельный внутренний документ
Для 1С:Документооборота практичным вариантом становится отдельный вид внутреннего документа «Риск», потому что тогда каждый риск получает собственную карточку, ответственного, дополнительные реквизиты, связи с другими объектами и обработку. Такой вариант особенно удобен, когда по риску нужно назначать мероприятия, проводить периодический пересмотр и хранить историю решений.
Не стоит создавать отдельные виды документов «Производственный риск», «Риск закупок», «Кадровый риск» только ради классификации, если жизненный цикл у них одинаковый. Категорию, процесс, подразделение и источник риска проще вынести в дополнительные реквизиты, а отдельный вид документа оставлять только для случаев, где действительно меняются правила обработки. Либо же, если важна классификация по типам рисков, можно использовать тематики.
Какие реквизиты нужны в карточке риска
| Блок | Что можно хранить |
|---|---|
| Идентификация | Наименование риска, описание события, причина, последствия, источник выявления |
| Классификация | Процесс СМК, подразделение, категория риска, объект воздействия |
| Ответственность | Владелец риска (как правило, владелец соответствующего процесса), ответственное подразделение |
| Первичная оценка | Вероятность, влияние, итоговый балл, уровень риска |
| Реакция | Стратегия обработки, краткое описание мер |
| Остаточная оценка | Вероятность после мероприятий, влияние, остаточный балл и уровень |
| Пересмотр | Дата последней оценки, дата следующего пересмотра, основание внепланового пересмотра |
Количество полей лучше не увеличивать только ради полноты, потому что каждый реквизит должен либо влиять на решение, либо использоваться в отборе и отчетности. Описание самого риска полезно разделить хотя бы на событие и последствия: формулировка «риск задержки поставки» дает меньше информации, чем «поставщик не передает комплектующие к установленной дате» и «срок выпуска продукции сдвигается».
Как рассчитывать уровень риска
Для первой автоматизации обычно достаточно матрицы «вероятность × влияние». Организация заранее определяет шкалу, например от 1 до 5, где вероятность оценивается от редкого события до почти неизбежного, а влияние - от незначительного до критического. Итоговый балл рассчитывается умножением двух значений и попадает в одну из согласованных зон.
Например, при шкале 5 × 5 можно принять диапазоны 1-4 как низкий риск, 5-9 как умеренный, 10-16 как значительный, 17-25 как критический. Это только пример: границы зон, сами шкалы и правила реакции нужно утвердить до автоматизации - как правило, они четко прописаны во внутреннем регламенте по работе с рисками. Но все-таки в самих требованиях важно описать не только арифметику, но и расшифровку шкал, иначе два владельца процессов могут одинаковой цифрой обозначать совершенно разную вероятность.
Что делать с расчетом в типовой конфигурации
Вероятность, влияние и уровень можно хранить как дополнительные реквизиты документа. Если методика допускает ручное определение уровня по утвержденной матрице, этого достаточно для решения без разработки: пользователь выбирает оценки и уровень риска по правилам компании, а итоговый балл при необходимости хранится отдельным числовым реквизитом.
Если требуется, чтобы система сама рассчитывала произведение, определяла зону риска и исключала противоречивые значения, такое поведение нужно рассматривать как отдельную автоматизацию. Типовые дополнительные реквизиты хорошо подходят для хранения данных, но автоматический расчет нужно отдельно включить в требования и оценку как функциональный разрыв.
Первичный и остаточный риск нельзя смешивать
После регистрации риска владелец оценивает его до выполнения мероприятий, затем команда (или владелец единолично) принимает решение о мерах. Если после их реализации просто перезаписать исходные поля новыми значениями, исчезнет ответ на вопрос, насколько риск уменьшился и дали ли мероприятия ожидаемый эффект.
Поэтому в карточке нужно предусмотреть первоначальную и остаточную оценку, чтобы изменение показателей было наглядным. Например, риск получил вероятность 4 и влияние 5, итоговый балл 20; после подключения резервного поставщика вероятность снизилась до 2, влияние осталось 5, а остаточный балл стал 10. Такое сравнение уже показывает результат выбранной реакции.
Мероприятия по риску лучше вести задачами
Поле «Мероприятия по снижению риска» подходит для краткого описания реакции, однако реальное действие должно иметь исполнителя и срок. В 1С:Документообороте для этого можно использовать исполнение по документу «Риск», контролируя сроки и отчеты исполнителей.
Если мероприятий несколько, каждое нужно выделять отдельно, чтобы выполнение одного пункта не закрывало весь план. После завершения мероприятий риск тоже не должен автоматически считаться закрытым, потому что сначала проводится повторная оценка и принимается решение о приемлемости остаточного уровня.
Пересмотр риска со временем нужно проектировать отдельно
Если в карточке просто менять вероятность и влияние при каждом пересмотре, через год останется только последнее значение, а за более ранними значениями нужно будет лезть в историю изменений. Когда компании нужна динамика, удобный вариант без сложной доработки - второй вид документа «Пересмотр риска», связанный с основной карточкой. В нем фиксируются дата, текущая оценка, комментарий владельца, состояние мероприятий и решение по дальнейшей работе.
Периодичность пересмотра определяется методикой: критические риски можно рассматривать чаще, низкие - реже. Кроме плановой даты нужны основания для внепланового пересмотра, например серьезное несоответствие, жалоба, изменение процесса, смена поставщика или результаты аудита.
Риски нужно связывать с остальными объектами СМК
Риск может быть выявлен по результатам внутреннего аудита, связан с нормативным документом, подтвердиться через жалобу клиента или привести к корректирующим действиям. В 1С:Документообороте такие отношения удобно отражать связями между объектами, чтобы из карточки риска можно было перейти к источнику и результату работы.
Связывать риск со всеми документами, где он когда-либо упоминался, не нужно: связь полезна тогда, когда отвечает на понятный вопрос - откуда появился риск, какое событие подтвердило его реализацию и какие действия выполняются в ответ.
Какие отчеты нужны владельцу СМК и руководителю
Первый рабочий отчет - реестр действующих рисков с отборами по процессу, подразделению, владельцу, категории и уровню. Отдельно полезно видеть критические и значительные риски, просроченные мероприятия и карточки, у которых подошла дата очередного пересмотра.
Для анализа нужны группировки по процессам и уровням, сравнение первоначальной и остаточной оценки, доля рисков без мероприятий и перечень рисков, которые после обработки остались выше допустимого уровня. В 1С:Документообороте есть универсальный отчет и дополнительные отчеты, поэтому простые выборки можно собирать типовыми средствами, а более специфические требования (особенно включающие в себя визуализацию) при необходимости вынести в отдельный отчет, который будет доработан.
Какие вопросы задать на обследовании
Начинать нужно с действующей методики управления рисками, а не с макета будущей карточки. На обследовании важно получить ответы хотя бы на следующие вопросы:
- Что компания считает риском СМК и кто имеет право зарегистрировать новый риск?
- С какими процессами, подразделениями, целями или объектами качества связываются риски?
- Как определены шкалы вероятности и влияния и сколько уровней используется?
- Как рассчитывается итоговый уровень и где проходят границы зон риска?
- Есть ли отдельные критерии влияния на качество, деньги, сроки, безопасность или репутацию?
- Кто выполняет первичную оценку и кто имеет право ее изменить?
- Какой уровень считается приемлемым без дополнительных мероприятий?
- Какие стратегии реакции применяются и кто согласует выбранный вариант?
- Кто назначает мероприятия, исполнителей и сроки, кто вправе их переносить?
- Нужно ли сохранять первоначальную оценку и как определяется остаточный риск?
- Кто подтверждает, что мероприятия действительно дали нужный результат?
- С какой периодичностью риски пересматриваются и что запускает внеплановый пересмотр?
- Когда риск можно закрыть и должна ли карточка оставаться доступной в истории?
- Какие процедуры СМК могут создавать или изменять риски: аудит, жалоба, несоответствие, анализ показателей?
- Какие отчеты руководство использует сейчас и какие решения принимает на их основании?
Старый реестр Excel нужно обследовать отдельно
Если компания уже ведет риски в таблице, ее нужно разбирать не только как источник для миграции. Цвета ячеек, формулы, скрытые колонки и ручные комментарии часто отражают реальные правила, которых нет в официальной методике. Например, красным цветом могут выделяться не все критические риски, а только те, по которым просрочены мероприятия.
Нужно понять, какие столбцы действительно используются, кто обновляет значения, как сохраняется история прошлых оценок и какие фильтры руководство применяет перед совещанием. После этого уже определяется, что станет реквизитом карточки, что превратится в задачу, а что больше не понадобится.
Что должно получиться после обследования
Хороший результат - не просто перечень полей будущего вида документа, а согласованная схема работы: риск зарегистрирован, оценен по понятным критериям, получил владельца и уровень, при необходимости по нему назначены мероприятия, после выполнения проведена повторная оценка, а дата следующего пересмотра не потерялась.
Для первой версии не обязательно автоматизировать все расчеты и сразу строить тепловую карту. Важнее добиться сопоставимых оценок, контролируемых мероприятий и сохранения истории пересмотров, потому что только после появления надежных данных отчеты и дополнительная визуализация начинают приносить реальную пользу.