Страница 2: ДСТУ IEC/ISO 31010:2013. Керування ризиком. Методи загального оцінювання ризику (62225)

Залучення зацікавлених сторін до процесу керування ризиком необхідне, щоб

• розробляти план обмінювання інформацією;

• належно визначати оточення;

• забезпечувати розуміння та враховування інтересів зацікавлених сторін;

• об’єднувати різні напрями фахової компетентності для ідентифікування та аналізування ризику;

• забезпечувати належне враховування різних поглядів під час оцінювання ризиків;

• забезпечувати адекватне ідентифікування ризиків;

• гарантувати ухвалення та підтримання плану обробляння.

Зацікавлені сторони треба залучати до забезпечення взаємного зв’язку між процесом загального оцінювання ризику та іншими напрямами керування, зокрема керування змінами, керування проектами та програмами, а також керування фінансами.

Установлення оточення дає змогу визначити основні параметри керування ризиком і сферу за­стосування та критерії для іншої частини процесу. Установлення оточення передбачає враховування внутрішніх і зовнішніх параметрів, пов’язаних з організацією загалом, а також попереднього досвіду стосовно конкретних ризиків, що їх охоплюють загальним оцінюванням.

Під час установлювання оточення визначають і погоджують цілі загального оцінювання ризику, критерії ризику та програму загального оцінювання ризику.

У разі загального оцінювання конкретного ризику треба, щоб установлення оточення охоплювало визначання зовнішнього, внутрішнього оточення, а також оточення керування ризиком і класифікуван­ня критеріїв ризику:

1. установлення зовнішнього оточення передбачає ознайомлення з середовищем, у якому функ- ціюють організація та система, а саме:

• культурні, політичні, правові, регуляторні, фінансові, економічні та конкурентні чинники середо­вища на міжнародному, національному, регіональному чи місцевому рівнях;

• ключові чинники та тенденції, що впливають на цілі організації;

• сприйняття та цінності зовнішніх зацікавлених сторін;

2. установлення внутрішнього оточення передбачає з’ясування

• можливостей організації стосовно ресурсів і знань;

• інформаційних потоків і процесів прийняття рішень;

• внутрішніх зацікавлених сторін;

• цілей, а також запроваджених стратегій їх досягання;

• сприймання цінностей і культури;

• політик і процесів;

• стандартів і базових моделей, прийнятих організацією;

• структур (наприклад, підпорядкування, ролей і підзвітності);

3. установлення оточення процесу керування ризиком передбачає

• визначення підзвітності та відповідальності;

• визначення обсягу діяльності з керування ризиком, який треба виконати, зокрема спеціальні долучення та винятки;

• визначення обсягу проекту, процесу, функції чи діяльності стосовно тривалості та місця про­вадження;

• визначення взаємозв’язків між конкретним проектом або конкретною діяльністю та іншими проектами чи видами діяльності організації;

• визначення методологій загального оцінювання ризику;

• визначення критеріїв ризику;

• визначення способів оцінювання дієвості керування ризиком;

• — визначення та конкретизацію рішень, які треба прийняти, і дій, які треба виконати;

• ідентифікацію необхідних досліджень з установлення сфери чи меж застосування, їхніх об­сягу, цілей, а також ресурсів, потрібних для цих досліджень;

4. визначення критеріїв ризику передбачає прийняття рішень щодо

• характеру й типів можливих наслідків і способу їх вимірювання;

• способу подавання ймовірностей;

• способу визначання рівня ризику;

• критеріїв, за якими прийматимуть рішення щодо необхідності обробляння ризику;

• критеріїв, за якими прийматимуть рішення щодо прийнятності та/чи допустимості ризику;

• — того, чи враховуватимуть комбінації ризиків, і в який спосіб це робитимуть.

Основою критеріїв можуть бути такі джерела:

• узгоджені цілі процесу;

• критерії, ідентифіковані у специфікаціях;

• загальні джерела даних;

• загальноприйняті у промисловості критерії, наприклад, рівні повноти безпеки;

• готовність організації до ризику;

• правові та інші вимоги до конкретного устатковання чи конкретних випадків застосування.

Загальне оцінювання ризику — це спільний процес ідентифікування ризику, аналізування ризику та оцінювання ризику.

Загальне оцінювання ризику можна провадити на рівні організації, на рівні підрозділів, стосовно проектів, окремих видів діяльності або конкретних ризиків. Різним оточенням можуть відповідати різні засоби та методики.

Загальне оцінювання ризику забезпечує розуміння ризиків, їхніх причин, наслідків і їхніх імовірно­стей. Воно зазначає вхідні дані для прийняття рішень щодо

• необхідності розпочинати певну діяльність;

• способів максимізування можливостей;

• потреби обробляти ризики;

• вибирання серед варіантів з різними ризиками;

• установлення пріоритетності варіантів обробляння ризику;

• вибору найбільш відповідних стратегій обробляння ризиків, які зменшуватимуть несприятливі ризики до допустимого рівня.

Після завершення загального оцінювання ризику провадять обробляння ризику, яке передбачає вибирання та погоджування одного чи кількох прийнятних варіантів, що дають змогу змінити ймовірність виникнення ризиків, впливи ризиків або й те і друге, а також запровадження цих варіантів.

Після цього етапу виконують циклічне повторне загальне оцінювання нового рівня ризику задля визначення його допущеності за попередньо встановленими критеріями з тим, щоб прийняти рішення щодо потреби подальшого додаткового обробляння.

Як частину процесу керування ризиком треба регулярно здійснювати моніторинг і критичне ана­лізування ризиків і засобів контролювання для перевірення того, що

• припущення щодо ризиків й надалі чинні;

• припущення, на яких базується загальне оцінювання ризику (зокрема, зовнішнє та внутрішнє оточення) й надалі чинні;

• очікуваних результатів досягають;

• результати загального оцінювання ризику узгоджуються з наявним досвідом;

• методики загального оцінювання ризику належно застосовують;

• заходи щодо обробляння ризиків є результативні.

Треба встановити відповідальність за здійснення моніторингу та критичного аналізування.

4. ПРОЦЕС ЗАГАЛЬНОГО ОЦІНЮВАННЯ РИЗИКУ

   1. Загальний огляд

Загальне оцінювання ризику дає змогу тим, хто приймає рішення, а також відповідальним сторо­нам краще розуміти ризики, які можуть впливати на досягнення цілей, адекватність та результативність запроваджених засобів контролювання. Це забезпечує основу для прийняття рішень щодо найбільш відповідного підходу до обробляння ризиків. Вихідні дані загального оцінювання ризику — це вхідні дані для процесів прийняття рішень в організації.

Загальне оцінювання ризику — це спільний процес ідентифікування ризику, аналізування ризику та оцінювання ризику (див. рисунок 1). Спосіб застосування цього процесу залежить не лише від ото­чення процесу керування ризиком, але також від методів і методик, використовуваних для загального оцінювання ризику.

ІЄС 2061/09

Рисунок 1 — Внесок загального оцінювання ризику до процесу керування ризиком

Для загального оцінювання ризику може бути потрібно застосувати багатодисциплінарний підхід, оскільки ризики можуть охоплювати широкий діапазон причин і наслідків.

Ідентифікування ризику — це процес виявляння, усвідомлення та реєстрування ризиків.

Призначеність ідентифікування ризику — визначити, що може статися, або які можуть виникнути ситуації, що можуть впливати на досягнення цілей системи чи організації. Після того, як ризик іден­тифіковано, організація має визначити будь-які наявні засоби контролювання, зокрема стосовно кон­структивних особливостей, персоналу, процесів і систем.

Процес ідентифікування ризику охоплює визначення причин і джерела ризику (небезпеки в кон­тексті фізичної шкоди), подій, ситуацій або обставин, які можуть чинити матеріальний вплив на досяг­нення цілей, а також визначення характеру цього впливу.

Методами ідентифікування ризику можуть бути:

• доказові методи, наприклад, застосування переліків контрольних запитань і критичне аналізу­вання хронологічних даних;

• системні методи групової роботи, коли група експертів систематично ідентифікує ризики за до­помогою ст'руктурованого набору навідних фраз або запитань;

• методи індуктивного мислення, наприклад, HAZOP.

Щоб поліпшити точність і повноту ідентифікування ризику, можна використовувати різноманітні допоміжні методи, зокрема «мозкову атаку» та метод Дельфі.

Незалежно від фактично застосованих методів під час ідентифікування ризику особливу увагу важ­ливо приділяти людським та організаційним чинникам. Тому під час процесу ідентифікування ризику треба враховувати відхили людських і організаційних чинників від очікуваних станів, а також події, по­в’язані з технічними та програмними засобами.

Ризик аналізують для того, щоб поглибити розуміння ризику. Воно дає змогу отримувати вхідні дані для загального оцінювання ризику і прийняття рішень щодо потреби оброблення ризику та щодо найбільш відповідних стратегій і методів обробляння.

Аналізування ризику полягає у визначанні наслідків і їхніх імовірностей стосовно ідентифікова­них ризикових подій, ураховуючи наявність (чи відсутність) і результативність будь-яких наявних за­собів контролювання. Потім наслідки та їхні ймовірності поєднують, щоб визначити рівень ризику.

Аналізування ризику передбачає розглядання причин і джерел ризику, їхніх наслідків та ймовір­ностей виникнення цих наслідків. Треба визначити чинники, що впливають на наслідки і ймовірність. Подія може мати багато наслідків і може впливати на багато цілей. Треба враховувати наявні засоби контролювання та їхню результативність. Різноманітні методи цього аналізування описано в додатку В. У складних випадках може бути потрібно застосувати кілька методів.

Аналізування ризику, зазвичай, передбачає кількісне оцінювання низки потенційних наслідків, які можуть виникати за настання події, ситуації чи обставини, а також пов’язаних з ними ймовірностей з тим, щоб виміряти рівень ризику. Однак, у деяких випадках, наприклад, коли наслідки незначні чи коли очікувана ймовірність надзвичайно низька, для прийняття рішення може бути достатньо оцінки лише одного параметра.

За деяких обставин наслідок може бути результатом низки різних подій чи умов або того, що конк­ретну подію не ідентифіковано. У такому разі загальне оцінювання ризику зосереджують на аналізу­ванні важливості та вразливості елементів системи з тим, щоб визначити види обробляння ризику, по­в'язані з рівнями захисту чи стратегіями відновлювання.

Методи, використовувані під час аналізування ризику, можуть бути якісними, напівкількісними чи кількісними. Необхідний ступінь докладності залежить від конкретного випадку застосування, наявності вірогідних даних і потреб організації щодо прийняття рішень. Деякі методи та ступінь докладності ана­лізування може бути приписано в законодавстві.

Якісне загальне оцінювання дає змогу позначити наслідок, імовірність і рівень ризику такими тер­мінами щодо рівня значущості, як «високий», «середній» та «низький», поєднати наслідок та ймовірність і оцінити рівень ризику, який випливає з цього, відповідно до якісних критеріїв.

Напівкількісні методи передбачають застосування числових шкал оцінювання наслідків і ймовір­ностей та їх поєднання, щоб отримати рівень ризику за деякою формулою. Шкали можуть бути лінійними чи логарифмічними, або можуть мати якийсь інший взаємозв’язок; використовувані формули також мо­жуть різнитися.

Під час кількісного аналізування оцінюють практичне значення наслідків і їхніх імовірностей, а також обчислюють значення рівня ризику в конкретних одиницях, визначених під час установлювання ото­чення. Повне кількісне аналізування не завжди може бути можливе чи слушне через недостатність інформації про аналізовувані систему чи діяльність, нестачу даних, вплив людських чинників тощо або тому, що витрати на кількісне аналізування не скупні чи потрібні. За таких обставин ефективним може бути порівняльне напівкількісне чи якісне ранжування ризиків із залученням спеціалістів, визнаних у відповідних галузях.

У разі кількісного аналізування треба чітко пояснити всі використовувані терміни та протоколю­вати основу для всіх критеріїв.Навіть якщо проведено повне кількісне аналізування, потрібно визнавати, що обчислені рівні ри­зику є лише його оцінками. Треба бути уважним для забезпечення впевненості в тому, що їм не припи­сано рівень точності та прецизійності, несумісний з точністю використовуваних даних і методів аналі­зування.

Рівні ризику треба подавати в термінах, найпридатніших для цього типу ризику, та у формі, що сприяє оцінюванню ризику. У деяких випадках величину ризику може бути подано як розподілення ймо­вірності за діапазоном наслідків.