Нещодавно мені трапилася ця таблиця — «Types of Risk. April 2026 Edition». Двадцять один вид ризику, кожному відведено окремий рядок, піктограму і коротке визначення. Виглядає зручно, але спробуймо поставити просте запитання: чи справді перед нами двадцять один різний вид ризику?

У переліку поруч розташовані кіберризик, ризик штучного інтелекту, геополітичний ризик, ризик переривання діяльності, ризик ланцюгів постачання, ризик третіх сторін, технологічний, регуляторний, комплаєнс-, макроекономічний, кліматичний, репутаційний, операційний, стратегічний, фінансовий ризики та ще кілька категорій. На перший погляд усе логічно: сучасна організація справді може зіткнутися з кожною з перелічених загроз, а подібна таблиця дозволяє швидко нагадати керівникові або ризик-менеджеру, на що варто звертати увагу. Проблема виникає тоді, коли таку добірку починають сприймати не як інформаційну ілюстрацію, а як готову класифікацію ризиків, яку достатньо перенести до власного реєстру ризиків, адже в одному переліку виявляються явища різної природи: одні можуть бути джерелами ризику, інші описують можливі події, треті — їхні наслідки, четверті характеризують сферу діяльності, у якій виникає невизначеність, а деякі взагалі стосуються здатності організації протистояти несприятливим подіям і відновлюватися після них.

Це не означає, що наведена таблиця неправильна, навпаки, вона добре ілюструє значно важливішу для практики ризик-менеджменту проблему: не існує єдиного універсального переліку видів ризику, який був би правильним для кожної організації і на всі випадки життя. Класифікація ризиків потрібна не для того, щоб знайти кожному ризику єдину правильну назву, а для того, щоб допомогти організації побачити суттєві для неї невизначеності, зрозуміти їхні взаємозв’язки, визначити відповідальних і приймати обґрунтовані рішення, тому значно корисніше не запам’ятовувати черговий список із двадцяти, тридцяти чи п’ятдесяти видів ризику, а навчитися розуміти, що саме ми називаємо ризиком і навіщо його класифікуємо.

Навіщо взагалі класифікувати ризики

У практичній роботі перелік ризиків з’являється досить швидко. Компанія проводить ідентифікацію ризиків, опитує керівників підрозділів, аналізує процеси та інциденти, вивчає зовнішнє середовище — і поступово отримує десятки, а іноді сотні формулювань. Один підрозділ повідомляє про можливість відмови інформаційної системи, інший — про залежність від постачальника програмного забезпечення, третій — про кібератаку, четвертий — про можливий витік персональних даних. Паралельно з’являються валютний ризик, кадровий ризик, регуляторні зміни, шахрайство, помилки персоналу, природні катастрофи, репутаційні втрати. Якщо залишити все це простим списком, дуже швидко стане незрозуміло, де закінчується один ризик і починається інший, які з них пов’язані між собою, хто ними управляє і чи не врахували ми одну й ту саму проблему кілька разів під різними назвами.

Саме тут потрібна таксономія ризиків — упорядкована система категорій, яка дозволяє групувати ризики за обраними організацією ознаками. Для одного страховика верхній рівень таксономії може складатися зі страхового, ринкового, кредитного, операційного ризиків та ризику ліквідності, для іншої компанії до цього рівня можуть бути додані стратегічний, комплаєнс- або кіберризик, а всередині великих категорій з’являться підкатегорії другого і третього рівнів. Сам факт того, що класифікації відрізняються, не означає, що одна компанія визначила ризики правильно, а інша помилилася. Значення має інше: чи дозволяє обрана структура охопити суттєві ризики конкретної організації, не втратити їх між функціями та підрозділами, уникнути непотрібного дублювання і зрозуміти, де знаходиться відповідальність за управління ними.

Проблеми починаються тоді, коли таксономію сприймають як каталог незалежних один від одного ризиків. У реальному житті ризики майже ніколи не існують у таких акуратних комірках. Геополітична подія може спричинити зміну валютного курсу, порушення роботи постачальників, кібератаки, втрату активів або переривання діяльності, використання штучного інтелекту може породити помилкове рішення, порушення вимог законодавства, витік інформації, дискримінацію клієнтів або репутаційну кризу, проблема з постачальником хмарних послуг одночасно може виглядати як ризик третьої сторони, технологічний ризик, кіберризик і ризик безперервності діяльності, тому назва категорії ще майже нічого не говорить про природу конкретного ризику, доки ми не зрозуміли, що може статися, чому це може статися і як це вплине на цілі організації.

Один інцидент — вісім «видів ризику»

Спробуємо застосувати перелік із наведеної таблиці до страхової компанії. Уявімо, що внаслідок кібератаки страховик на три дні втратив доступ до інформаційної системи врегулювання збитків. Частина працівників не може отримати доступ до справ, обмін документами з клієнтами порушений, строки врегулювання починають збільшуватися, а згодом з’ясовується, що частина персональних даних могла стати доступною стороннім особам. Компанія повинна реагувати на інцидент, відновлювати систему, з’ясовувати масштаби витоку, виконувати регуляторні вимоги, пояснювати ситуацію клієнтам, а інформація про проблему потрапляє в публічний простір.

Як назвати цей ризик? Очевидна відповідь — кіберризик (Cyber Risk), адже початковою подією була кібератака. Але система стала недоступною, тому перед нами одночасно ризик технологічних збоїв (Technology Disruption Risk) і ризик переривання діяльності (Business Interruption Risk). Дані клієнтів могли бути скомпрометовані — маємо ризик конфіденційності даних (Data Privacy Risk). Можливе порушення встановлених вимог — комплаєнс-ризик (Compliance Risk), а взаємодія з регулятором додає регуляторний вимір. Затримка врегулювання та публічність інциденту створюють репутаційний ризик (Reputational Risk), витрати на відновлення, можливі санкції та додаткові виплати мають фінансові наслідки, а якщо компанія не здатна швидко відновити критичний процес, таблиця дозволяє додати ще й ризик операційної стійкості (Resilience Risk). Нарешті, усе це цілком можна віднести до операційного ризику (Operational Risk), оскільки йдеться про порушення функціонування систем і процесів компанії.

Виходить дивна ситуація: одна подія без особливих зусиль потрапляє мало не до половини категорій нашої таблиці. Якщо просто записати її в реєстр вісім разів, ми не отримаємо вісім різних ризиків — ми лише вісім разів опишемо різні сторони одного причинно-наслідкового ланцюга. Якщо ж вибрати одну категорію і проігнорувати всі інші, можемо втратити важливі наслідки та взаємозв’язки. Отже, проблема не вирішується пошуком «правильної» комірки, потрібно спочатку розібрати сам ризик.

У спрощеному вигляді цей ланцюг може виглядати так: недостатній рівень кіберзахисту → успішна кібератака → недоступність інформаційної системи та можливий витік даних → затримка врегулювання збитків → фінансові, регуляторні та репутаційні наслідки. Тепер видно, що ми мали справу не з вісьмома незалежними ризиками, а з джерелами та вразливостями, ризиковою подією, її безпосередніми проявами та наслідками для цілей компанії, і саме причинно-наслідковий зв’язок між ними для ризик-менеджера набагато важливіший, ніж суперечка про те, у який рядок класифікатора поставити цей випадок.

Це одна з причин, чому хороша таксономія ризиків повинна допомагати мислити, а не замінювати мислення. Якщо після класифікації ми краще розуміємо природу ризику, його власника, причини, можливі наслідки, взаємозв’язки з іншими ризиками та необхідні заходи реагування — класифікація виконує свою функцію. Якщо ж результатом стає лише довший перелік красиво названих категорій, ризик-менеджмент від цього не стає кращим.

Джерело ризику, подія і наслідки — не одне й те саме

Одна з причин плутанини в класифікації полягає в тому, що словом «ризик» у повсякденній професійній мові ми часто називаємо зовсім різні речі. «Війна — це ризик», «кібератака — це ризик», «зупинка системи — це ризик», «штраф регулятора — це ризик», «репутаційні втрати — це ризик» — кожна з цих фраз зрозуміла співрозмовнику і в певному контексті цілком прийнятна. Проте для системного аналізу такої точності вже недостатньо, тому що війна або зміна законодавства можуть виступати джерелами невизначеності, кібератака чи відмова інформаційної системи — подіями, а фінансові втрати, санкції регулятора або погіршення репутації — наслідками цих подій. Якщо всі елементи причинно-наслідкового ланцюга просто назвати окремими ризиками і поставити поруч у реєстрі, ми втратимо найціннішу інформацію — розуміння того, як один елемент породжує інший і де саме організація може втрутитися в цей ланцюг.

Це добре узгоджується з логікою ISO 31000, де ризик визначається через вплив невизначеності на цілі, а під час його ідентифікації пропонується враховувати, серед іншого, джерела ризику, причини, події, загрози, вразливості та наслідки. Для практики це набагато корисніше, ніж намагання знайти для кожної ситуації єдину правильну назву. Якщо страховик бачить ризик лише як «кіберризик», це ще мало допомагає вирішити, що з ним робити. Коли ж він розкладає ситуацію на вразливість інформаційної інфраструктури, можливий сценарій атаки, критичні системи, які можуть стати недоступними, процеси, що через це зупиняться, і фінансові, регуляторні та репутаційні наслідки, з’являється можливість визначити конкретні контролі, показники раннього попередження, сценарії реагування та відповідальних за них осіб.

При цьому причинно-наслідковий ланцюг не завжди має просту форму «одна причина — одна подія — один наслідок». Одна причина може призвести до кількох подій, одна подія — мати кілька наслідків, а наслідок однієї події — стати джерелом наступного ризику, наприклад, тривала недоступність системи врегулювання спочатку створює операційну проблему, потім призводить до накопичення неврегульованих справ, далі — до порушення строків виплат, скарг клієнтів і регуляторної уваги, а вже після цього може вплинути на репутацію, продажі та фінансовий результат. Саме тому реальний профіль ризиків організації більше нагадує мережу взаємопов’язаних причин і наслідків, ніж таблицю, в якій кожен ризик займає одну клітинку.

То куди записувати кіберризик, репутаційний ризик чи ризик ШІ?

Звідси виникає цілком практичне запитання: якщо категорії перетинаються, чи потрібно взагалі вирішувати, до якого виду належить конкретний ризик? Потрібно, тому що без певної структури неможливо побудувати реєстр ризиків, визначити їхніх власників, агрегувати результати оцінювання, встановлювати ліміти та ключові індикатори ризику, готувати звітність і бачити загальний профіль ризиків компанії, але класифікація повинна бути службовим інструментом системи управління, а не самоціллю. Її завдання — допомогти організації управляти ризиками, а не довести, що кожному явищу знайдено бездоганну назву.

Тому цілком нормально, коли один і той самий ризик можна розглядати в кількох вимірах, але для цілей реєстру він має основну категорію, власника і зрозумілий причинно-наслідковий опис, наприклад, витік персональних даних унаслідок кібератаки може бути віднесений до операційного або кіберризику залежно від прийнятої в компанії таксономії, але при його оцінюванні повинні враховуватися і можливі регуляторні санкції, і фінансові втрати, і репутаційні наслідки. Немає потреби створювати ще три копії того самого ризику лише тому, що наслідки потрапляють до різних категорій, водночас якщо репутаційний ризик виникає незалежно від кіберінциденту — наприклад, через систематично непрозору практику врегулювання збитків, — це вже може бути інший ризик із власними причинами, сценаріями та заходами реагування.

Особливо показовим у цьому сенсі є «ризик штучного інтелекту», який дедалі частіше з’являється у сучасних переліках ризиків. Сам по собі ШІ не пояснює, що може статися з організацією. Помилка моделі може призвести до неправильного андеррайтингового рішення, використання некоректних або упереджених даних — до несправедливого ставлення до певних груп клієнтів, неналежне використання конфіденційної інформації — до її розголошення, залежність від зовнішнього постачальника технології — до ризику третьої сторони, а неконтрольоване використання працівниками загальнодоступних систем — до витоку корпоративної інформації. Тому для однієї організації ризики, пов’язані із застосуванням ШІ, можуть бути окремою категорією через масштаб і стратегічне значення технології, тоді як для іншої вони цілком логічно залишатимуться набором сценаріїв усередині операційного, комплаєнс-, кібер- або стратегічного ризику. Обидва підходи можуть працювати, якщо організація розуміє, для чого вона обрала конкретну структуру і які управлінські рішення ця структура повинна підтримувати.

Те саме стосується репутаційного ризику. Його можна виділити в самостійну категорію, якщо компанія вважає репутацію окремим об’єктом управління, має відповідального власника, показники та процедури моніторингу, але дуже часто репутаційна шкода є наслідком реалізації зовсім іншого ризику: невиплати страхового відшкодування, витоку даних, шахрайства, порушення законодавства, невдалого продуктового рішення або поведінки керівництва. Якщо кожний такий випадок одночасно реєструвати ще й як окремий репутаційний ризик, сукупний профіль компанії легко почати рахувати двічі, тому питання «до якої категорії належить цей ризик?» майже завжди варто доповнювати іншим: «а що ми збираємося робити інакше після того, як його класифікуємо?»

Хороша таксономія починається не з красивого списку

Звідси випливає, можливо, найважливіший практичний висновок для ризик-менеджера: не варто починати побудову системи управління ризиками з пошуку в інтернеті найдовшого або найсучаснішого переліку їхніх видів. Такий перелік може бути корисною підказкою під час ідентифікації, своєрідним контрольним списком, який допомагає запитати себе, чи не забули ми про кіберзагрози, кліматичні зміни, залежність від третіх сторін або нові технології, але він не повинен автоматично перетворюватися на таксономію конкретної компанії. Страховик, банк, виробниче підприємство, логістична компанія і технологічний стартап мають різні цілі, бізнес-моделі, регуляторні вимоги та джерела невизначеності, тому однакова класифікація для них була б радше ознакою механічного копіювання, ніж зрілості ризик-менеджменту.

Хороша таксономія повинна бути достатньо широкою, щоб суттєвий ризик не залишився поза увагою, але водночас достатньо простою, щоб не перетворитися на каталог із десятків категорій, межі між якими ніхто, крім автора методології, не здатний пояснити. Вона повинна дозволяти перейти від окремого ризику до його власника, оцінки, ліміту або іншого критерію прийнятності, ключового індикатора, заходів реагування та звітності, а також давати можливість агрегувати інформацію до рівня, на якому Правління і Наглядова рада бачать не сотні окремих записів реєстру, а зрозумілий сукупний профіль ризиків компанії. Якщо ж для того, щоб визначити, куди віднести конкретну подію, ризик-менеджер змушений проводити тривалу методологічну дискусію, структура, ймовірно, стала складнішою, ніж проблема, яку вона мала вирішити.

Саме тому таблиця, з якої ми почали, корисна не як готова відповідь на питання «які бувають ризики», а як хороший привід поставити правильніше питання. Не скільки видів ризику існує, а яка класифікація допоможе конкретній організації краще ними управляти? Відповідь на нього вже не поміститься в універсальну таблицю з двадцяти одного рядка — і це нормально.

П’ять запитань до власної класифікації ризиків

Перевірити якість таксономії ризиків можна без складної методології. Перше запитання — чи зрозуміло людям у компанії, що означає кожна категорія і де проходять межі між ними? Якщо одна й та сама подія в різних підрозділах без будь-якого пояснення називається операційним, комплаєнс-, стратегічним або репутаційним ризиком, проблема полягає не в тому, що хтось із працівників не вивчив правильну класифікацію, а в тому, що сама класифікація не виконує своєї функції. Межі між категоріями ніколи не будуть абсолютно непроникними, та це й не потрібно, але організація повинна мати зрозумілу логіку: що вважається основною категорією ризику, за яким принципом вона визначається і як при цьому враховуються пов’язані ризики та наслідки.

Друге запитання — чи не рахуємо ми одну проблему кілька разів? Це особливо важливо, коли результати оцінювання окремих ризиків використовуються для формування сукупного ризикового профілю. Якщо кібератака зареєстрована як кіберризик, спричинене нею переривання діяльності — як окремий операційний ризик, можливий штраф — як комплаєнс-ризик, а репутаційні втрати — ще як один самостійний ризик, механічне агрегування таких оцінок може створити враження, що компанія має чотири незалежні ризикові позиції, хоча перед нами значною мірою один сценарій із кількома наслідками. Це не означає, що наслідки не потрібно оцінювати окремо, але ризик-менеджер повинен бачити їхній спільний корінь і не допускати подвійного рахунку там, де результати оцінювання агрегуються.

Третє запитання — чи можна за кожною категорією дійти до конкретного управлінського рішення? Якщо в реєстрі є «геополітичний ризик», але ніхто не може пояснити, що компанія робитиме у відповідь на його зміну, така назва залишається надто загальною. Значно корисніше визначити конкретні сценарії, через які геополітична невизначеність здатна вплинути на цілі компанії: недоступність певних територій, зміна вартості активів, порушення роботи постачальників, обмеження перестрахового покриття, зростання збитковості окремих видів страхування, тоді з’являються відповідальні, показники, сценарії реагування і рішення. Категорія ризику допомагає зорієнтуватися на карті, але управляємо ми не назвою категорії, а конкретними проявами невизначеності.

Четверте запитання — чи відповідає наша таксономія реальному бізнесу, а не модній професійній лексиці? Поява нового поняття в міжнародних звітах або професійних публікаціях не означає, що компанія негайно повинна додати ще один рядок верхнього рівня до власної класифікації. Ризики, пов’язані зі штучним інтелектом, біорізноманіттям, дезінформацією або третіми сторонами, безумовно, можуть бути суттєвими, але рішення про їх виділення в окрему категорію має залежати від характеру діяльності, масштабів експозиції, регуляторного середовища та потреб управління. Інакше таксономія починає рости слідом за кожним новим глобальним рейтингом ризиків, хоча сама система управління ними від цього не змінюється.

І нарешті, п’яте запитання — чи допомагає ця класифікація керівництву бачити ризик краще? Це, мабуть, найпростіший і водночас найжорсткіший тест. Правлінню та Наглядовій раді не потрібна таксономія заради таксономії; їм потрібно розуміти, де компанія приймає найбільший ризик, як він співвідноситься з ризик-апетитом, які ризики зростають, які взаємно підсилюють один одного, де наближаються критичні межі і які рішення необхідно прийняти. Якщо складна система категорій допомагає відповісти на ці питання — вона корисна, якщо ж вона лише дозволяє підготувати красиву карту ризиків із десятками різнокольорових комірок, можливо, варто повернутися до початку і запитати, навіщо ця класифікація взагалі була створена.

Висновки

Отже, на запитання, винесене в назву цієї статті, можна відповісти досить просто: одного правильного переліку видів ризику не існує, та він і не потрібен. Існують різні способи подивитися на невизначеність, з якою стикається організація, і згрупувати ризики так, щоб ними було зручніше управляти, тому дві компанії можуть використовувати різні таксономії і при цьому мати однаково зрілі системи управління ризиками, тоді як дві інші можуть користуватися абсолютно однаковим переліком із міжнародного довідника, але одна справді управлятиме ризиками, а друга лише правильно розкладатиме їх по комірках.

Таблиця «Types of Risk», з якої почалася наша розмова, у цьому сенсі справді корисна. Вона нагадує про широкий спектр сучасних загроз і може бути хорошим контрольним списком під час ідентифікації ризиків, але, мабуть, найкорисніше, що з нею можна зробити, — не переносити двадцять один рядок до свого реєстру, а взяти будь-який із них і поставити кілька наступних запитань: що конкретно може статися з нашою компанією, чому це може статися, на досягнення яких цілей це вплине, якими будуть наслідки, хто управляє цим ризиком і що ми робитимемо, якщо він почне зростати? Коли на ці запитання є відповіді, назва категорії стає корисним способом упорядкувати інформацію, коли відповідей немає, навіть найдосконаліша класифікація залишається лише списком.

Можливо, тому для «Абетки ризик-менеджменту» варто запам’ятати просте правило: спочатку зрозумійте ризик — і лише потім вирішуйте, як його назвати.

Сергій БАБИЧ