Что такое реестр рисков
Что такое реестр рисков
ГОСТ Р 51901.22-2012
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Risk management. Risk register. Principles of development
Дата введения 2013-12-01
Предисловие
1 РАЗРАБОТАН Автономной некоммерческой организацией «Научно-исследовательский центр контроля и диагностики технических систем» (АНО «НИЦ КД»)
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 010 «Менеджмент риска»
5 ПЕРЕИЗДАНИЕ. Июль 2020 г.
Введение
Реестр риска является одним из способов представления и хранения информации об опасных событиях и риске. В реестр риска обычно включают основные виды опасностей, применяемые методы оценки и снижения риска и мероприятия по предупреждению, снижению и обработке риска. При разработке реестра риска необходимо учитывать соответствующие законодательные и обязательные требования, а также иную доступную информацию о видах опасности и риске их возникновения. Однако составление реестра риска, особенно при наличии большого количества источников опасности, требует больших усилий, затрат времени, финансовых средств, а также накопления необходимого объема информации.
Необходимость разработки и ведения реестра риска организация определяет самостоятельно.
Настоящий стандарт следует применять с учетом требований основополагающих стандартов в области риска: ГОСТ Р ИСО 31000, ГОСТ Р ИСО/МЭК 31010 и ГОСТ Р 51897/Руководство ИСО 73:2009.
1 Область применения
В настоящем стандарте установлены правила построения реестра риска. Общие принципы разработки и ведения реестра риска установлены в ГОСТ Р 51901.21.
Реестр риска является одним из способов представления информации о риске. Необходимость разработки и ведения реестра риска организация определяет самостоятельно.
Реестр риска может применяться как элемент системы менеджмента риска или самостоятельно. В системе менеджмента риска реестр риска не является обязательным элементом, могут быть использованы другие способы представления информации о риске.
Настоящий стандарт предназначен в первую очередь для менеджеров по риску, руководителей организаций и технических экспертов по оценке опасных событий, инцидентов и аварий, а также для ответственных за разработку политики менеджмента риска, составление реестра риска, управление и оценку риска, оценку эффективности менеджмента риска организации.
Реестр риска позволяет организациям на местном, региональном и федеральном уровнях сопоставлять данные о риске и применять апробированные методы предупреждения опасных событий и инцидентов и реагирования на них.
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
ГОСТ Р ИСО 31000 Менеджмент риска. Принципы и руководство
ГОСТ Р ИСО/МЭК 31010 Менеджмент риска. Методы оценки риска
Действует ГОСТ Р 58771-2019 «Менеджмент риска. Технологии оценки риска».
ГОСТ Р 51897 Руководство ИСО 73:2009 Менеджмент риска. Термины и определения
ГОСТ Р 51901.21 Менеджмент риска. Реестр риска. Общие положения
ГОСТ Р 51901.23 Менеджмент риска. Реестр риска. Руководство по оценке риска опасных событий для включения в реестр риска
3 Термины и определения
В настоящем стандарте применены термины по ГОСТ Р 51897, а также следующие термины с соответствующими определениями.
3.2 менеджмент риска (risk management): Скоординированные действия по руководству и управлению организацией в области риска.
3.3 реестр риска (risk register): Форма записи информации об идентифицированном риске.
3.4 менеджер по риску (risk manager): Специалист по идентификации, оценке, анализу, обработке, мониторингу риска, а также другим видам деятельности в области менеджмента риска организации.
4 Порядок разработки реестра риска организации
4.1 Общие положения
Основные цели разработки реестра риска, его место в системе менеджмента риска, преимущества и недостатки реестра риска, а также основные этапы разработки установлены в ГОСТ Р 51901.21.
Реестр риска должен содержать данные по идентификации опасных событий и оценке их риска, а также данные о возможных последствиях воздействия этих опасных событий на деятельность организации в стоимостном и материальном выражении. В реестр риска включают также оценку выполнения мероприятий по обработке риска. Типовая форма реестра риска приведена в таблице 1. В зависимости от особенностей организации форма и содержание реестра риска могут быть изменены или дополнены. Форма реестра риска должна быть утверждена высшим руководством организации.
Составление реестра риска начинают с определения области применения реестра риска, и в частности с определения объектов реестра риска. Объектами реестра риска могут быть:
— организация в целом, ее структурное подразделение или его часть;
— продукция, услуга, процесс или вид деятельности;
— персонал или отдельные работники.
Общие требования к определению области применения реестра риска установлены в ГОСТ Р 51901.21.
Распределение ответственности за разработку и ведение реестра риска должно соответствовать этапам менеджмента риска, поскольку внесение информации в реестр риска и ее корректировку следует выполнять после завершения каждого этапа менеджмента риска.
При внесении в реестр риска количественных данных следует (по возможности) указывать соответствующую им неопределенность.
Основные элементы реестра риска соответствуют этапам менеджмента риска, описанным в 4.2-4.6.
Идентификация опасных событий
Индии-
видуа-
льный инден-
тификатор опасного события
Крат-
кое наиме-
нование опас-
ного собы-
тия и его описа-
ние
Этап жизнен-
ного цикла проду-
кции (услуги), на котором может возник-
нуть опасное событие
Причина опасного события
Возможные воздействия и последствия опасных событий на деятельность организации
Преду-
преждающие средства контроля и методы управ-
ления
Средства контроля и методы управ-
ления по реагиро-
ванию на опасное событие
и восста-
новлению деятель-
ности
Уровень приме-
няемых предупре-
ждающих средств контроля и методов управ-
ления
Уровень применя-
емых средств контроля и методов управ-
ления по реагиро-
ванию на опасное событие и восстано-
влению деятель-
ности
Источ-
ники данных и предпо-
ложения, использ-
уемые при оценке риска
Метод оценки и анализа риска
Оценка последствий (ущерба) при реализации опасного события
Вероят-
ность опасного события
Резуль-
тат количест-
венной оценки риска
Уровень неоп-
реде-
ленно-
сти оценки риска
Объект воздей-
ствия опас-
ного события
Описа-
ние воздей-
ствия опас-
ного события
Управление рисками: модель процесса и компетенций
Дмитрий Могилко
Асессор по модели EFQM
Партнёр ГК «Современные технологии управления» ()
Каковы критерии оценки рисков, функции риск-менеджмента и компетенции по управлению рисками, требования и рекомендации стандартов по управлению рисками? Какие возможности для унифицикации сведений о параметрах риска есть в системе Business Studio? На эти вопросы отвечает автор. Также в статье представлен обзор функций и необходимых компетенций для управления рисками, модель процесса управления рисками и структура паспорта риска.
Глобализация конкуренции, сокращение цикла производства продукции, повышение требований к гибкости производства для удовлетворения персональных предпочтений потребителей и выпуск продукции под заказ — все эти тенденции обусловливают повышение неопределенности организационной среды и необходимость формирования риск-ориентированного мышления, что отражено в ГОСТ Р ИСО 9001–2015 «Системы менеджмента качества. Требования» [1]. При этом отмечается, что повышение результативности системы менеджмента качества (СМК) предполагает необходимость выполнения предупреждающих действий на основе планирования, анализа и улучшения деятельности, связанной с рисками и возможностями.
Риск-менеджмент становится частью процесса принятия управленческих решений в условиях неопределенности [2], поэтому для повышения результативности и эффективности таких решений необходимо углублять знания и совершенствовать деловые качества в области управления рисками. Для обобщения сведений о принципах и подходах управления рисками, представленных в большом количестве стандартов, автор предлагает использовать модель в виде семантической сети, которая отражает структуру основных понятий этой предметной области (рис. 1).
Рис. 1. Структура основных понятий риск-менеджмента
Представленная модель построена на основе следующей логики.
В качестве средства визуализации результатов идентификации опасных событий может быть использована диаграмма «галстук-бабочка» (рис. 2) [8], включающая:
Рис. 2. Диаграмма «галстук-бабочка»
Опасные события, их источники и возможные последствия вносятся в реестр риска организации, являющийся формой записи сведений об идентифицированном риске [7]. Реестр риска может быть разработан в полном [6] или сокращенном [7] (табл. 1) варианте в зависимости от размера и сферы деятельности организации.
Для качественной (балльной) оценки уровня риска могут быть использованы следующие шкалы [7]:
Примечание: объекты воздействия опасного события приведены для примера.
| Оценка вероятности, % | Качественная оценка вероятности, баллы |
|---|---|
| Очень высокая — 81–100 | Очень высокая — 5 |
| Высокая — 61–80 | Высокая — 4 |
| Средняя — 21–60 | Средняя — 3 |
| Низкая — 1–20 | Низкая — 2 |
| Очень низкая — менее 1 | Очень низкая — 1 |
Результирующая оценка значимости риска может быть представлена с помощью матрицы риска (табл. 4), при этом его уровень рассчитывается как произведение последствий (I) на вероятность (L).
| Качественная оценка вероятности опасного события | Последствия | ||||
|---|---|---|---|---|---|
| Малозначительные (1) | Небольшие (2) | Умеренные (3) | Значительные (4) | Катастрофические (5) | |
| Очень низкая (1) | 1 | 2 | 3 | 4 | 5 |
| Низкая (2) | 2 | 4 | 6 | 8 | 10 |
| Средняя (3) | 3 | 6 | 9 | 12 | 15 |
| Высокая (4) | 4 | 8 | 12 | 16 | 20 |
| Очень высокая (5) | 5 | 10 | 15 | 20 | 25 |
Следующий этап управления риском — оценивание, т. е. ответ на вопрос, являются ли риск и/или его величина приемлемыми или допустимыми (на основе сравнения результатов анализа риска с установленными критериями). Сравнительная оценка риска включает:
По результатам анализа определяется уровень риска в следующих интервалах:
После оценки риска наступает этап его обработки / модификации посредством:
Обработка риска включает следующие этапы:
Завершающим этапом процесса менеджмента риска является мониторинг ключевых индикаторов риска. Ключевые индикаторы риска должны:
Менеджмент риска поддерживается инфраструктурой, обеспечивающей основу и организационные меры для его разработки, внедрения, мониторинга, пересмотра и постоянного улучшения. При разработке инфраструктуры менеджмента риска устанавливаются ответственность, полномочия и соответствующие компетенции.
Основная роль в процессе управления риском принадлежит менеджеру по риску, который должен принимать активное участие на этапах идентификации, оценки и обработки риска, а также:
Компетенции менеджеров по риску основываются на знаниях, навыках и деловых качествах, приобретенных во время учебы и в процессе работы. Основные требования к знаниям и умениям менеджеров по риску относительно использования реестра риска включают:
Основные требования к навыкам менеджеров по риску включают способности:
Оценка риска осуществляется группой, включающей следующие роли:
Текстовое формализованное описание процесса менеджмента риска приведено в ГОСТ Р ИСО/МЭК 12207–2010 [10] и включает следующие параметры:
В качестве графического описания процесса менеджмента риска автор предлагает IDEF0-модель (рис. 3).
Рис. 3. IDEF0-модель процесса менеджмента риска
Для развития компетенций участников менеджмента риска автор представляет параметрическую модель в форме паспорта риска (табл. 5), содержащую требования и рекомендации стандартов в области управления рисками.
Табл. 5 включает набор основных параметров риска, однако для конкретных случаев этот перечень может быть модифицирован исходя из потребностей заинтересованных сторон, среды организации и уровня компетентности участников.
Ориентировочной целью, к чему вы стремитесь, управляя рисками, – это нивелировать до 90% значимых угроз (рисков). То есть порядка 10% значимых угроз вы не сможете нивелировать, никуда от них не денетесь, они останутся. Это то, что называется в проектном управлении неснижаемыми рисками. Например, пожары, ураганы, любые форс-мажоры. В России ураганов почти не бывает, но в целом у каждого риска есть вероятность. На вероятность возникновения урагана вы не можете повлиять, вы не можете предвидеть, случится ураган или нет. Зато вы можете снизить его влияние. Делается это достаточно легко. Например, в США ураганы очень часто возникают. И там на жилые дома устанавливают противоураганные ставни. Если забыть их закрыть перед ураганом, то сильный ветер разобьет окна, а потом унесет крышу. А если противоураганные ставни закрыть, то ветер просто «обтечет» дом. Это пример того, что ураган – риск, неснижаемый по вероятности, но по влиянию его можно снизить.
Следующий шаг. Представьте, у вас целая простыня рисков. Если вы будете с каждым церемониться, то далеко не уедете. Вы все время проекта проведете над мыслями о том, как нивелировать риски. Поэтому второй шаг – понять, какие из выписанных рисков самые главные. Вам нужно создать short-лист из 20-30 рисков, про которые речь пойдет подробнее. Для этого надо сделать качественный анализ. Качественный – не от слова «качество», ваша задача – определить значимость риска: большой, малый, средний. Значимые риски получат ваше внимание, незначимые – не получат.