Страница 9: ДСТУ IEC/ISO 31010:2013. Керування ризиком. Методи загального оцінювання ризику (62225)

д) група розглядає адекватність і результативність засобів контролювання та погоджує виклад щодо результативності контролювання ризику. Якщо результативність незадовільна, то група глибше розглядає завдання щодо обробляння ризику, визначаючи потенційні засоби контролювання;

8. під час обговорення ставлять конкретніші запитання типу «що — якщо», щоб ідентифікувати додаткові ризики;

9. координатор, використовуючи перелік навідних слів, відстежує хід обговорення і пропонує для обговорення в групі додаткові питання та варіанти розвитку подій;

10. звичайною практикою є використання якісного чи напівкількісного методу загального оцінюван­ня ризику, щоб ранжувати передбачені дії за їхньою пріоритетністю. Це загальне оцінювання ризику зазвичай провадять з урахуванням наявних засобів контролювання та їхньої результативності.

Вихідні дані — це реєстр ризиків з діями чи завданнями, ранжованими за ризиком. Потім ці зав­дання можуть бути основою плану обробляння.

Переваги SWIFT:

• • широка застосовність до всіх видів технічних об’єктів або систем, ситуацій чи обставин, органі­зацій або діяльності;

• потребує мінімального підготування членами групи;

• є відносно швидким, а основні небезпечні чинники та ризики швидко стають очевидними під час робочого засідання;

• дослідження «системно зорієнтовано» і дає змогу учасникам побачити, як система реагує на відхили, а не просто дослідити наслідки відмови окремих складників;

• можна використовувати для визначення можливостей щодо поліпшування процесів і систем і, загалом, для визначення дій, які ведуть до успіху та збільшують його ймовірність;

• передбачає участь у засіданнях осіб, відповідальних за наявні засоби контролювання та за по­дальші дії щодо обробляння ризиків, збільшує їхню відповідальність;

— дає змогу скласти реєстр ризиків і, за незначного доробляння, — план обробляння ризиків;

— дає змогу ідентифікувати ризики та небезпечні чинники так, щоб результати можна було за­стосовувати для кількісного дослідження, тоді як, зазвичай, для оцінювання ризику та визначання пріо­ритетності відповідних дій використовують якісну чи напівкількісну форму ранжування ризику.

Обмеженості SWIFT:

• результативність залежить від досвіду та кваліфікації координатора;

• потреба в ретельному підготовленні, щоб не втрачати часу на робочих засіданнях групи;

• якщо досвід групи недостатній або якщо система навідних фраз не всебічна, деякі ризики чи небезпечні чинники може бути не ідентифіковано;

застосування методу на загальному рівні може не давати змоги виявити складні, докладні чи взаємопов'язані причини

Аналізуванням сценарію називають розробляння описових моделей того, що може трапитися в майбутньому. Його можна використовувати для ідентифікування ризиків, розглядаючи можливі варі­анти розвитку подій у майбутньому та досліджуючи їхні наслідки. Набори сценаріїв, що відбивають, наприклад, «найкращий випадок», «найгірший випадок» ) «прогнозований випадок», можна використо­вувати, аналізуючи потенційні наслідки та їхні ймовірності для кожного сценарію як форму аналізу­вання чутливості під час аналізування ризику.

Ефективність аналізування сценарію ілюстративно підтверджують, розглядаючи найзначніші зміни за останні 50 років у технології, перевагах споживачів, соціальних орієнтирах тощо. Аналізування сце­нарію не дає змоги прогнозувати ймовірності цих змін, але уможливлює розглядання їхніх наслідків, допомогаючи організаціям розвивати свої сильні сторони та спроможність поновлювати нормальне функціювання, необхідні для адаптування до передбачуваних змін.

Аналізування сценарію можна застосовувати, щоб сприяти прийняттю концептуальних рішень і плануванню майбутніх стратегій, а також щоб розглянути наявні види діяльності. Воно може бути ча­стиною всіх трьох складників загального оцінювання ризику. У разі ідентифікування й аналізування на­бори сценаріїв, що відображають, наприклад, найкращий випадок, найгірший випадок та очікуваний випадок, можна застосовувати для визначення того, що може виникнути за конкретних обставин, і для аналізування потенційних наслідків та їхніх імовірностей для кожного сценарію.

Аналізування сценарію можна застосовувати, щоб упередити появу як загроз, так і слушних мож­ливостей, а також до всіх типів ризиків — як короткотривалих, так і довготривалих. У разі короткотри­валих ризиків і надійних даних вірогідні сценарії можна екстраполювати з поточного моменту. У разі довготриваліших ризиків або менш надійних даних аналізування сценарію стає більш образним, і це можна розглядати як аналізування майбутнього.

Аналізування сценарію може бути корисним за наявності значних розбіжностей у розподіленні по­зитивних і негативних результатів у просторі, часі та групах суспільства чи організації.

Передумова аналізування сценарію — формування групи осіб, які добре розуміються на харак­тері відповідних змін (наприклад, можливих досягненнях у технології) і здатні прогнозувати події в май­бутньому без потреби їх екстраполювання з минулого. Корисно також використовувати літературні дже­рела й дані щодо змін, які вже відбуваються.

Структура аналізування сценарію може бути неформалізованою чи формалізованою.

Після того як сформовано групу, установлено доречні канали обмінювання інформацією та ви­значено контекст проблеми й питань, що їх розглядатимуть, наступний етап — ідентифікування харак­теру змін, які можуть виникнути. Це передбачає досліджування основних тенденцій, визначання ймо­вірного часу настання змін у тенденціях, а також прогнозування майбутнього.

Зміни, які треба розглядати, можуть охоплювати:

• зовнішні зміни (наприклад, технологічні зміни);

• рішення, які треба прийняти у найближчому майбутньому та які можуть спричинити різні ре­зультати;

• потреби зацікавлених сторін і те, як вони можуть змінюватися;

• зміни у макросередовищі (регуляторні, демографічні тощо). Деяких з них не можна буде уник­нути, а деякі будуть невизначеними.

Іноді зміну може бути зумовлено наслідками іншого ризику. Наприклад, ризик змінення клімату позначається на зміненні спожиткового попиту, пов’язаного з відстанями доставляння харчових про­дуктів. Це впливатиме на те, які харчові продукти вигідно буде експортувати, а які можна буде вироб­ляти всередині країни.

Тепер можна скласти перелік локальних чинників або локальних тенденцій, макрочинників чи мак- ротенденцій і ранжувати їх за їхньою (1) важливістю та (2) невизначеністю. Особливу увагу приділя­ють найважливішим і найневизначенішим чинникам. Ключові чинники чи тенденції зіставляють відпо­відно одне з одним, щоб показати сфери, у яких можна розробляти сценарії.Пропонують низку сценаріїв, кожний з яких зосереджено на правдоподібній зміні у параметрах.

Потім для кожного сценарію пишуть «історію», розповідаючи, як безпосередньо переходити до предметного сценарію. У цих «історіях» може бути подано правдоподібні докладні відомості, що додає цінності сценаріям.

Після цього сценарії можна використати для перевіряння чи оцінювання початкового питання. Пе­ревіряння передбачає врахування будь-яких значних, але передбачуваних чинників (наприклад, шаб­лонів використання), визначення того, наскільки «успішною» може бути політика (діяльність) у межах цього нового сценарію, а потім — «попереднє випробування» результатів за допомогою запитань типу «що трапиться, якщо...?», базованих на модельних припущеннях.

Коли питання чи пропозицію оцінено стосовно кожного сценарію, може виявитися, що до нього треба внести зміни, щоб зробити його надійнішим або менш ризикованим. Треба також уможливити ви­значення деяких випереджальних індикаторів, які показують, коли відбувається зміна. Забезпечити слушну можливість внесення змін до планованих стратегій можна за допомогою моніторингу та реагу­вання на випереджальні індикатори.

Оскільки сценарії— це лише визначені «зрізи» можливих майбутніх ситуацій, важливо забезпе­чити, щоб було враховано ймовірність виникнення конкретного результату (сценарію), тобто прийняти структуру ризику. Наприклад, якщо використовують сценарії найкращого випадку, найгіршого випадку та очікуваного випадку, треба спробувати покваліфікувати чи виразити ймовірність виникнення кожно­го сценарію.

Найбільш відповідного сценарію може не бути, але треба, щоб було чітке розуміння низки мож­ливих варіантів і того, як змінювати вибраний хід дій відповідно до зміщення індикаторів.

Аналізування сценаріїв передбачає врахування низки можливих подій у майбутньому. Воно може виявлятися кращим за традиційний підхід, згідно з яким спираються на довго-, середньо- та коротко­тривалі прогнози, у яких припускають, використовуючи хронологічні дані, що майбутні події, ймовірно, і далі відповідатимуть минулим тенденціями. Це важливо для ситуацій, коли поточні знання, на яких базують прогнози, обмежені чи коли ризики розглядають у віддаленішому майбутньому.

Однак ця перевага має певну переконливість, яка полягає в тому, що за високої невизначеності деякі сценарії можуть бути нереалістичними.

Основні труднощі в аналізуванні сценарію пов’язані з наявністю даних і здатністю аналітиків і тих, хто приймає рішення, розробляти реалістичні сценарії, які придатні для дослідження можливих рішень.

Небезпеки аналізування сценарію як засобу прийняття рішень полягають у тому, що такі сценарії можуть не мати адекватного підґрунтя, що дані можуть бути гіпотетичними і що нереалістичні резуль­тати не можна інтерпретувати як нереалістичні.

Аналізування впливу на діяльність, яке також називають оцінюванням впливу на діяльність, дає змогу аналізувати те, як основні ризики дестабілізування могли б позначатися на роботах організації, а також ідентифікувати та кількісно подавати можливості, необхідні для керування цими ризиками. Зок­рема, ВІА уможливлює узгоджене розуміння

• ідентифікації та критичності ключових бізнес-процесів, функцій і пов’язаних з ними ресурсів, а також основних взаємозалежностей, які є в організації;

• того, як дестабілізувальні події позначатимуться на здатності та можливості досягати критич­но важливих бізнесових цілей;

• здатностей і можливостей, необхідних, щоб керувати впливом дестабілізувальної події й до­помагати організації відновлювати прийнятні рівні функціювання.

Аналізування впливу на діяльність дає змогу визначити критичність і строки відновлення процесів і пов’язаних з ними ресурсів (персоналу, устатковання, інформаційних технологій), щоб забезпечити постійне досягнення цілей. Крім того, аналізування впливу на діяльність сприяє визначенню взаємо- залежностей і взаємозв’язків між процесами, внутрішніми та зовнішніми сторонами, а також будь-яких зв'язків у ланцюгу постачання.

В. 11.3 Вхідні дані

Вхідні дані:

• група, яка має аналізувати та розробляти план;

• інформація стосовно цілей, середовища, робіт і взаємозалежностей організації;

• докладні відомості щодо видів діяльності та робіт організації, зокрема щодо процесів, допоміж­них ресурсів, взаємозв’язків з іншими організаціями, угод зі сторонніми виконавцями, зацікавлених сторін;

• фінансові наслідки та наслідки для робіт через втрату спроможності функціювання критично важливих процесів;

• складена анкета;

• перелік опитуваних осіб з доречних підрозділів організації та/чи зацікавлених сторін, з якими взаємодіятимуть.

Аналізування впливу на діяльність можна провадити за допомогою анкет, опитувань, структуро- ваних робочих засідань або їх поєднання, щоб чітко розумітися на критично важливих процесах, на на­слідках, пов’язаних з утратою спроможності функціювання цих процесів, і на необхідних строках віднов­лення та допоміжних ресурсах.

Основні етапи такі:

• підтвердження ключових процесів і результатів дій організації для визначення критичності про­цесів, зважаючи на загальне оцінювання ризику та вразливості;

• — визначення наслідків дестабілізування для ідентифікованих критичних процесів з фінансового погляду та/або з погляду функціювання за встановлені проміжки часу;

• ідентифікування взаємозалежностей з ключовими внутрішніми та зовнішніми зацікавленими сторонами. Це може охоплювати відображення характеру взаємозалежностей по всьому ланцюгу по­стачання;

• визначення поточних придатних ресурсів і ресурсів необхідного рівня, потрібних для продов­ження діяльності на мінімально прийнятному рівні після настання дестабілізації;

• вибирання альтернативних тимчасових рішень і процесів, що їх уже використовують або за­плановано розробляти. Потреба в розроблянні альтернативних тимчасових рішень і процесів може ви­никати в разі, якщо під час дестабілізування ресурси чи можливості недоступні чи недостатні;

• визначання максимально допустимого часу простоювання (МАО) для кожного процесу залеж­но від ідентифікованих наслідків та критичних чинників успішного функціювання. МАО — це максималь­ний проміжок часу, протягом якого організація може витримувати втрату спроможності функціювання;

• визначання цільового часу відновлення (RTO) для будь-якого спеціалізованого устатковання чи інформаційних технологій. RTO — це час, протягом якого організація має на меті відновити спро­можність спеціалізованого устатковання або інформаційних технологій;

• — підтвердження поточного рівня готовності критичних процесів для керування відмовою. Це може охоплювати оцінювання рівня резервування в межах процесу (наприклад, запасного устатковання) або наявності альтернативних постачальників.