Управление рисками. Идентификация и оценка рисков в рамках требований СТБ ISO 9001-2015

Рискоориентированный подход
в СТБ ISO 9001-2015
0.3.3 Мышление на основе рисков
4.4.1 f Рассмотреть риски
5.1.2 в Ориентация на потребителя
6 Планирование (6.1.1, примечание)
8.1 Планирование и управление деятельностью (определенных в разделе 6)
9.1.3 е Анализ и оценивание
9.3.2 е Входы анализа со стороны руководства
10.2.1 е Несоответствия и корректирующие действия
А4 Мышление на основе рисков

Рекомендации ISO
ISO 31000:2009 Менеджмент рисков. Принципы и руководящие указания
(Библиография, стр.23)
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ
ФЕДЕРАЦИИ
ГОСТ Р ИСО 31000- 2010

Взаимосвязи между принципами, инфраструктурой и процессом менеджмента риска

Принципы риск-менеджмента
a) риск-менеджмент создает и защищает ценность1).
1) В контексте корпоративного и финансового риск-менеджмента - общепринятый перевод термина «стоимость».
Риск-менеджмент наглядно способствует достижению целей и улучшению деятельности, например, обеспечения здоровья и безопасности людей, защиты, соответствия законодательным и другим обязательным требованиям, общественного признания, защиты окружающей среды, качества продукции, менеджмента проектов, результативности функций, руководства и репутации;
b) риск-менеджмент является неотъемлемой частью всех организационных процессов.
Риск-менеджмент не является обособленной деятельностью, которая отделена от основной деятельности и процессов в организации. Риск-менеджмент - это часть обязательств руководства и неотъемлемая часть всех организационных процессов, включая стратегическое планирование и все процессы управления проектами и изменениями;
c) риск-менеджмент является частью процесса принятия решений.
Риск-менеджмент помогает лицам, принимающим решения, делать обоснованный выбор, определять приоритетность действий и проводить различия между альтернативными направлениями действий;
d) риск-менеджмент явным образом связан с неопределенностью. Риск-менеджмент четко учитывает неопределенность, характер этой неопределенности и как с ней обращаться;
e) риск-менеджмент является систематическим, структурированным и своевременным.
Систематический, регулярный и структурированный подход к риск-менеджменту способствует эффективности и устойчивым, сравнимым и надежным результатам;

Принципы риск-менеджмента
f) риск-менеджмент основывается на наилучшей доступной информации.
Входные данные для процесса риск-менеджмента основываются на таких источниках информации, как исторические данные, опыт, обратная связь от заинтересованных сторон, наблюдения, прогнозы и экспертные оценки. Однако лица, принимающие решения, должны отдавать себе отчет и принимать во внимание любые ограничения данных или используемого моделирования или возможности расхождений мнений среди экспертов.
g) риск-менеджмент является адаптируемым.
Риск-менеджмент должен соответствовать внешней и внутренней ситуации (контекста) и профилю риска;
h) риск-менеджмент учитывает человеческие и культурные факторы.
Риск-менеджмент признает возможности, восприятия и намерения людей за пределами и внутри организации, которые могут способствовать или затруднять достижение целей организации;

Принципы риск-менеджмента
i) риск-менеджмент является прозрачным и учитывает интересы заинтересованных сторон.
Соответствующее и своевременное вовлечение заинтересованных сторон и, в частности, лиц, принимающих решения, на всех уровнях организации гарантирует, что риск-менеджмент остается на надлежащем уровне и отвечает современным требованиям. Это позволяет заинтересованным сторонам быть должным образом представленными и быть уверенными в том, что их мнение принимается во внимание в процессе установления критериев риска;
j) риск-менеджмент является динамичным, итеративным и реагирующим на изменения;
Риск-менеджмент непрерывно распознает изменения и реагирует на них. Как только происходит внешнее или внутреннее событие, контекст или знания изменяются, осуществляются мониторинг и пересмотр рисков, новые риски появляются, некоторые изменяются, другие исчезают;
k) риск-менеджмент способствует постоянному улучшению организации.

Взаимосвязь между элементами инфраструктуры риск-менеджмента

Полномочия и обязательства
Руководство должно:
- определять и поддерживать политику менеджмента риска;
- гарантировать согласованность культуры организации и ее политики менеджмента риска;
- определять критерии эффективности риск-менеджмента, которые должны соотноситься с критериями эффективности организации в целом;
- согласовывать цели риск-менеджмента с целями и стратегиями организации;
- обеспечивать правовое и регулятивное соответствие;
- устанавливать ответственность и обязательства на соответствующих уровнях в масштабах организации;
- обеспечивать распределение необходимых ресурсов для риск-менеджмента;
- предоставлять информацию своим заинтересованным сторонам о выгодах риск-менеджмента и обеспечивать, чтобы инфраструктура риск-менеджмента продолжала оставаться соответствующей.

Разработка инфраструктуры менеджмента риска
Понимание организации и ее ситуации (контекста)
Установление политики менеджмента риска
Ответственность
Интеграция в организационные процессы
Ресурсы
Установление внутренних механизмов обмена информацией и отчетности
Установление внешних механизмов обмена информацией и отчетности

Контекст

Интеграция в организационные процессы

Ресурсы

Внедрение менеджмента риска
1 Внедрение инфраструктуры менеджмента риска
- определить соответствующие сроки и стратегию по применению;
- применять политику и процесс риск-менеджмента к организационным процессам;
- соответствовать законодательным и другим требованиям;
- гарантировать, что принятие решения, включая разработку и установление целей, согласованы с результатами процессов риск-менеджмента;
- проводить информационные и обучающие сессии;
- обмениваться информацией и консультироваться с заинтересованными сторонами.
2 Внедрение процесса менеджмента риска
Необходимо обеспечить выполнение процесса риск-менеджмента на всех должных функциональных уровнях организации как часть ее деятельности и процессов.

Внедрение менеджмента риска
3 Мониторинг и пересмотр инфраструктуры менеджмента риска
- оценивать качество риск-менеджмента с помощью индикаторов, которые периодически пересматриваются для сохранения актуальности;
- периодически сравнивать продвижение с планом по менеджменту риска и определять отклонения от него;
- периодически пересматривать инфраструктуру, политику и план менеджмента риска для обеспечения их адекватности в рамках внутреннего и внешнего контекста организации;
- предоставлять информацию о рисках, об исполнении плана по менеджменту риска и о том, насколько хорошо организация следует политике управления рисками;
- оценивать эффективность инфраструктуры риск-менеджмента.
4 Постоянное улучшение инфраструктуры
Принимать решения в отношении улучшения инфраструктуры риск-менеджмента, политики и плана по менеджменту риска. Эти решения должны приводить к улучшениям риск-менеджмента и развитию его культуры в организации.

Процесс риск-менеджмента

5.2 Обмен информацией и консультирование
Обмен информацией и консультирование с внешними и внутренними заинтересованными сторонами осуществляются на всех этапах.
Создание консультативной группы может:
- помочь должным образом установить ситуацию (контекст);
- гарантировать, что интересы заинтересованных сторон осознаются и рассматриваются;
- способствовать соответствующей идентификации рисков;
- объединять вместе различные области экспертизы для анализа рисков;
- гарантировать рассмотрение должным образом различных точек зрения при определении критериев риска и при оценивании рисков;
- обеспечивать одобрение и поддержку плана воздействия на риск;
- совершенствовать соответствующее управление изменениями во время процесса риск-менеджмента;
разрабатывать соответствующий внешний и внутренний обмен информацией и план консультирования.
Обмен информацией и консультирование должны способствовать обмену правдивой, существенной, точной и понятной информацией с учетом аспектов конфиденциальности и личной неприкосновенности.

5.3 Определение ситуации
5.3.2 Установление внешней ситуации
Внешняя ситуация (контекст) организации может включать, но не ограничиваться этим:
a) социальную и культурную, политическую, правовую, регулирующую, финансовую, технологическую, экономическую, природную и рыночную среду на международном, национальном, региональном или местном уровнях;
b) основные движущие силы и направления, воздействующие на цели организации;
c) взаимосвязи с внешними заинтересованными сторонами, их ценности и восприятие.
5.3.3 Установление внутренней ситуации
Она может включать следующие составляющие:
- управление, организационную структуру, роли и обязанности;
- политики, цели и стратегии, необходимые для достижения этих целей;
- потенциальные возможности, понимаемые как ресурсы и знания (например, капитал, время, люди, процессы, системы и технологии);
- информационные системы, информационные потоки и процессы принятия решений (как формальные, так и неформальные);
- взаимосвязи с внутренними заинтересованными сторонами, их ценности и восприятия;
- культуру организации;
- стандарты, руководства и модели, принятые организацией;
- форму и содержание контрактных отношений

5.3.4 Установление ситуации процесса менеджмента риска
- определение задач и целей деятельности по риск-менеджменту;
- определение ответственностей за процесс риск-менеджмента и в рамках этого процесса;
- определение области применения, а также глубины и широты деятельности по риск-менеджменту;
- определение деятельности, процесса, функции, проекта, продукта, услуги или активов с учетом времени и расположения;
- определение взаимосвязей между конкретным проектом, процессом или деятельностью и другими проектами, процессами или видами деятельности организации;
- определение методологий оценки риска;
- определение способа оценки производительности и эффективности риск-менеджмента;
- определение и указание решений, которые необходимо принять;
- идентификацию, охват или объемы необходимого обучения, их уровни и цели, ресурсы, требуемые для такого обучения.

5.3.5 Определение критериев риска
Критерии риска должны быть согласованы с политикой управления рисками организации, должны быть определены в начале каждого процесса риск-менеджмента и должны постоянно рассматриваться.
При определении критериев риска факторы, которые необходимо рассматривать, должны включать следующее:
- характер и типы причин и последствий, которые могут возникать, и то, как их следует измерять;
- как следует определять возможность;
- временные рамки возможности и/или последствия(ий);
- как должен быть определен уровень риска;
- точки зрения заинтересованных сторон;
- уровень, на котором риск становится приемлемым или допустимым;
- принимать ли во внимание множественные риски, и если да, то каким образом и какие комбинации следует рассматривать.

Критерии риска

5.4 Оценка риска
Оценка риска - это полный процесс идентификации риска, анализа риска и оценивания риска.
Примечание - Стандарт ИСО/МЭК 31010 предлагает руководство по методам оценки риска
1 Идентификация риска
2 Анализ риска
3 Оценивание риска

5.5 Воздействие на риск
оценивания воздействия на риск;
обсуждения, являются ли уровни остаточного риска допустимыми;
если они не допустимы, то создание нового вида воздействия на риск;
оценивания результативности этого воздействия.

5.5.3 Подготовка и реализация планов воздействия на риск
Информация, представленная в планах воздействия на риски, должна включать:
- причины выбора вариантов воздействия на риски, включая ожидаемые выгоды, которые необходимо извлечь;
- лиц, ответственных за утверждение плана, и лиц, ответственных за реализацию плана;
- предлагаемые действия;
- требования к ресурсам, включая возможные непредвиденные обстоятельства;
- показатели качества воздействия на риск и ограничения;
- требования к отчетности и мониторингу;
сроки и график выполнения.

5.6 Мониторинг и пересмотр
Мониторинг и пересмотр должны быть планируемой частью процесса риск-менеджмента и включать регулярную проверку или надзор.
Они могут быть периодическими, произвольными.

5.7 Регистрация
процесса менеджмента риска
Деятельность по риск-менеджменту должна быть прослеживаемой. При принятии решений о создании записей необходимо принимать во внимание следующее:
потребности организации в постоянном обучении;
преимущества повторного использования информации в целях менеджмента;
затраты и усилия, вовлеченные в создание и поддержку учета;
правовые, регулятивные и оперативные потребности в учете;
метод доступа, простоту восстановления и средства хранения информации;
период хранения;
проверку источников информации.

Основные компоненты риск-менеджмента

Основные компоненты риск-менеджмента

Методики оценки риска

Методики оценки риска

Применимость подходов к оценке рисков (ISO 31010)

Применимость подходов к оценке рисков (ISO 31010)

Примеры рисков

ПРИМЕР из ISO/TS 16 949

6.3.2 Планы на случай непредвиденных обстоятельств
Организация должна подготовить планы на случай непредвиденных обстоятельств, чтобы выполнять требования потребителя в чрезвычайных ситуациях, таких как перебои в работе коммунальных служб, нехватка рабочей силы, выход из строя ключевого оборудования и возвраты из эксплуатации.

6.3.2 Планы на случай непредвиденных обстоятельств
Руководство IATF по ISO/TS 16949

Возможные риски