Балл риска и уровень Уровень риска считает система — не сотрудник с калькулятором
TP-RAP переводит ответы анкеты о поставщике в 13 показателей риска, один сводный балл и уровень Уровень риска от 1 до 6 — без единой цифры, вписанной вручную. Поменялся ответ в анкете — балл и уровень пересчитываются заново, а не правятся в форме.
Что считает система
Исполнитель отвечает на вопросы анкеты RAQ о поставщике — стране, доступе к данным, физическому доступу, роли в бизнес-процессе, финансовых операциях. Дальше в дело вступает не человек, а расчётный механизм платформы: он берёт ответы, справочник коэффициентов вопросов и справочник граничных значений — и выдаёт 13 показателей риска, сводный балл и итоговый уровень риска. Ни один из этих четырёх результатов нельзя вписать в форму руками: во всех экранах, где они показаны, поля только для чтения.
Результат расчёта не остаётся числом в отчёте: по нему автоматически подбирается состав контролей на поставщика (подробнее — на странице «Первичные проверки и постоянный мониторинг»), и он же управляет тем, что видит проверяющий на форме согласования.
Показатели риска: SIRA и SLRA
Методика считает риск не одним числом, а по двум группам показателей. Первая — риски самой деятельности, которую поставщик выполняет для банка: SIRA (9 показателей). Вторая — риски, которые несёт сам поставщик как сторона отношений: SLRA (4 показателя). Каждый из 13 получает собственный уровень риска по своей шкале — задолго до того, как посчитается общий балл.
9 показателей риска деятельности (SIRA)
- Существенность продукта / услугиКритичность продукта или услуги
- Доступ к информацииДоступ к информации
- Физический доступ / доступ к сетиФизический доступ / доступ к сетям
- Характер взаимодействия с клиентомХарактер и уровень взаимодействия с клиентами
- Соответствие требованиям законодательстваВлияние на соблюдение законодательства и регуляторных требований
- Риск мошенничества
- Риск финансовых операций
- Финансовые последствия
- Репутационное влияниеВлияние на репутацию
4 показателя риска самого поставщика (SLRA)
- Зависимость от субподрядчиковЗависимость от субподрядчиков
- Геополитический (страновой) риск
- Риск привлечённого поставщика услуг (OSP)OSP Risk
- Технологический / программный рискРиск технологий и программного обеспечения
Показатели не считаются изолированно. Риски деятельности (SIRA) усилены рисками самого поставщика (SLRA) через веса взаимного усиления — и наоборот: слабый по одному показателю поставщик поднимает оценку по связанным показателям, а не остаётся с «средним» баллом по каждому в отдельности.
Сводный балл — Балл риска
Методика не скрывает, откуда берётся число. Каждый ответ на вопрос анкеты сопоставлен со строкой справочника коэффициентов — у него есть балл и вес; вклад вопроса в показатель риска — вес, умноженный на балл. Показатели риска деятельности суммируются во взвешенную оценку по каждому направлению, а восемь таких оценок дают сводный балл риска — то самое число, с которым потом сверяется справочник граничных значений, чтобы определить общий уровень риска.
Путь одного ответа до сводного балла
Ответ на вопрос → балл и вес из справочника коэффициентов (854 строки) → вклад в один из 9 показателей риска деятельности → усиление весами взаимного усиления от показателей риска поставщика → сумма восьми взвешенных оценок → сводный балл риска. Ни на одном из этих шагов число не проходит через форму, которую можно отредактировать.
Показатель «Репутационное влияние» получает собственный уровень риска по своей шкале и виден в отчётности наравне с остальными восемью, но в сумму сводного балла не входит — как и заложено методикой.
Уровни риска Уровень риска 1–6
Сводный балл риска — числовой результат расчёта. Справочник граничных значений относит его к одному из шести уровней риска. Полученный уровень определяет, какие контроли назначаются поставщику автоматически.
| Уровень риска | Уровень риска | Диапазон сводного балла | Индикатор |
|---|---|---|---|
| Уровень риска 1 | Очень высокий | от 385,01 | высокий |
| Уровень риска 2 | Высокий | 260,01–385,01 | высокий |
| Уровень риска 3 | Средний | 148,01–260,01 | средний |
| Уровень риска 4 | Низкий | 73,01–148,01 | низкий |
| Уровень риска 5 | Очень низкий | 0–73,01 | низкий |
| Уровень риска 6 | Не применяется | — | н/п |
Проверьте границы сами
Введите сводный балл — узнаете Уровень риска по тем же границам справочника, что использует расчёт.
- Уровень риска 5 · Очень низкий — до 73,01
- Уровень риска 4 · Низкий — 73,01–148,01
- Уровень риска 3 · Средний — 148,01–260,01
- Уровень риска 2 · Высокий — 260,01–385,01
- Уровень риска 1 · Очень высокий — от 385,01
Точная сборка балла из 13 показателей риска сложнее, чем один вводимый параметр этой формы — здесь проверяются только границы Уровень риска, а не полный расчёт.
Автоматический расчёт без ручного ввода
Расчёт запускается сразу после того, как исполнитель заканчивает анкету — отдельным шагом процесса, до формирования контролей и до согласования. Результат ложится в карточку поставщика и в экран «Отчёт об уровнях риска» — там, где проверяющий и аудитор видят итог. Полей ввода на этом экране нет ни для общего уровня риска, ни для одного из 13 показателей: их можно посмотреть, нельзя исправить.
Прокрутите таблицу вбок — 13 показателей в две колонки экрана продукта
| Присущие риски деятельности поставщика | Уровень риска | Присущие риски поставщика | Уровень риска |
|---|---|---|---|
| Критичность продукта или услуги | Уровень риска 2 | Зависимость от субподрядчиков | Уровень риска 4 |
| Доступ к информации | Уровень риска 1 | Геополитический риск | Уровень риска 3 |
| Физический доступ / доступ к сетям | Уровень риска 4 | OSP Risk | Уровень риска 6 |
| Характер и уровень взаимодействия с клиентами | Уровень риска 3 | Риск технологий и программного обеспечения | Уровень риска 2 |
| Влияние на соблюдение законодательства и регуляторных требований | Уровень риска 2 | ||
| Риск мошенничества | Уровень риска 5 | ||
| Финансовые операции | Уровень риска 3 | ||
| Финансовые последствия | Уровень риска 2 | ||
| Влияние на репутацию | Уровень риска 4 |
В отчёте показаны девять показателей риска деятельности и четыре показателя риска поставщика. Общий уровень риска выделен отдельным индикатором.
Что это даёт ИТ-директору
- Расчёт — отдельный, изолированный шаг процесса. Он запускается как отдельная задача маршрута после заполнения анкеты и до формирования контролей — сбой в нём не портит уже сохранённые ответы анкеты и не требует переделывать интерфейс согласования.
- Формулы живут в справочниках, а не в коде экрана. Коэффициенты вопросов, веса взаимного усиления показателей и граничные значения уровней риска — это данные в системе, а не константы, зашитые в форму: их меняют через экраны справочников, без релиза.
- Версия оценки — это дата расчёта. Все 13 показателей и сводный балл, которые относятся к одному результату анкеты, читаются на одну и ту же дату — переоценка не путается со старой версией и не требует отдельной таблицы соответствий.
- Результат нельзя подправить в интерфейсе. На экранах, где уровень риска и сводный балл риска показаны — в отчёте о рисках и на форме согласования — это поля только для чтения: любое изменение балла проходит только через повторный расчёт по новым ответам анкеты.
Показать расчёт Уровень риска на вашем стенде
На демонстрации разберём реальную анкету поставщика, покажем, как меняются показатели риска при разных ответах, и откуда берётся состав контролей, который система подбирает по итоговому уровню риска.