Изчисления на регистъра на риска, описващи пример. Регистър на основните оперативни рискове от управлението на производството в Тюмен към годината. A.2 Рискова матрица

Делфи методе подобен на метода на мозъчната атака, но участниците не се познават. Фасилитаторът използва списък с въпроси, за да получи идеи за рисковете на проекта, като събира отговори от експертите. След това отговорите на експертите се анализират, категоризират и се връщат на експертите за допълнителни коментари. Чрез няколко цикъла на този процес се получава консенсус и списък на рисковете. Методът Delphi елиминира натиска от връстници и страха от неловкост при изразяване на идея.

R 50.1.084-2012 Управление на риска. Регистър на риска. Насоки за регистъра на рисковете на организацията

задайте отметка

задайте отметка

Управление на риска

РЕГИСТЪР НА РИСКА

Насоки за регистъра на рисковете на организацията

Управление на риска. Регистър на риска. Насоки за изграждане на регистър на рисковете на организацията

Дата на въвеждане 2013-12-01

Предговор

1 РАЗВИТИ АВТОНОМНИ организация с идеална цел"Научноизследователски център за управление и диагностика на технически системи" (АНО "НИЦ КД")

2 ВЪВЕДЕНИ Техническият комитетза стандартизация ТК 10 "Управление на риска"

3 ОДОБРЕН И ВЪВЕДЕН В СИЛА със заповед на Федералната агенция за техническо регулиране и метрология от 29 ноември 2012 г. N 1283

4 ВЪВЕДЕНИ ЗА ПЪРВИ ПЪТ

Информацията за промените в тези препоръки се публикува в годишния указател „Насоки, препоръки и правила“, а текстът на промените и допълненията – в месечния информационен индекс „ Национални стандарти". В случай на преразглеждане (замяна) или отмяна на тези препоръки, съответното известие ще бъде публикувано в месечния информационен индекс "Национални стандарти". информационна системаобщо ползване - на официалния уебсайт Федерална агенцияотносно техническото регулиране и метрологията в интернет

Въведение

Регистърът на риска е един от начините за представяне и съхраняване на информация за опасни събития и рискове. Наличието на регистър на риска позволява на организацията да получи информация, свързана с конкретен източник на опасност, последици, обект на влияние на опасни събития и др. Въпреки това, разработването на регистър на риска, особено при наличието на голям брой източници на опасност, изисква много усилия, отнема много време, финансови ресурси, както и голямо количество информация.

Организацията определя самостоятелно необходимостта от разработване и поддържане на регистър на риска.

3.2 регистър на риска(регистър на риска) формуляр за записване на информация за идентифицирания риск.

ЗАБЕЛЕЖКА Терминът "регистрация на риска" понякога се използва вместо термина "риск регистър".

3.3 опасност(опасност): Източник на потенциална вреда.

ЗАБЕЛЕЖКА Опасността може да бъде източник на риск.

3.4 риск мениджър(риск мениджър) специалист в идентифицирането, оценката, анализирането, обработката, наблюдението на риска и други дейности в областта на управлението на риска на организация.

4 Процедура за разработване на регистър на риска на организация

4.1 Общи положения

Организацията трябва да определи необходимостта от разработване, етапи, форма и методи за поддържане на регистър на риска. Основните цели на разработването на регистъра на риска на организацията, неговото място в системата за управление на риска, предимствата и недостатъците на регистъра на риска са установени в GOST R 51901.21.

Регистърът на риска на организацията е форма за поддържане на записи за идентифицирани опасни събития, оценка на риска, свързан с тях, методите и времето за неговата обработка. При поддържане на регистър на риска е необходимо да се вземат предвид съответните задължителни изисквания, както и друга налична информация за видовете опасност и риска от нейното възникване. В зависимост от спецификата на организацията, формата и съдържанието на регистъра на риска могат да бъдат променени или допълнени спрямо стандартната форма на регистъра на риска, показана в Таблица 1. GOST R 51901.22.

Когато разработва регистър на риска, организацията трябва да вземе предвид:

• политиката, целите и стратегията за управление на риска на организацията;
• характеристики на произвежданите продукти и услуги, предоставяни от организацията;
• основното производствени процесии управленските процеси на организацията;
• установени и използвани методи за анализ и оценка на риска;
• правни изисквания;
• условия на работа на произвежданите продукти.

Отговорността за управлението на риска трябва да бъде възложена на отговорния мениджър на риска или групата за управление на риска, включително отговорността за контролиране и наблюдение на риска. Изискванията към мениджърите на риска са установени в GOST R 51901.21.

Разработването, одобрението, поддържането и актуализирането на регистъра на риска на организацията трябва да се извършва в съответствие с клауза 5 GOST R 51901.22.

Обменът на информация за регистъра на риска и гарантирането на поверителността на информацията, свързана с регистъра на риска, трябва да се извършва, като се вземат предвид изискванията на точка 6 от GOST R 51901.22 и препоръките, установени в R 50.1.070.

Пример за опростен метод за оценка на риска и разработването на регистър с намален риск за малка организация е даден в Приложение А.

4.2 Стъпки в процеса на управление на риска на организацията

Основните етапи в развитието на регистъра на риска на организацията трябва да са в съответствие със стъпките в процеса на управление на риска. Същевременно съдържанието на етапите зависи от характеристиките на управлението на риска на организацията. Принципите за управление на риска са установени в GOST R ISO 31000. Основните елементи на процеса на управление на риска за малки организации са показани на фигура 1.

Фигура 1 - Общо описание на процеса на управление на риска

Дадено е описание на основните елементи от процеса на управление на риска за малки организации R 50.1.069.

4.3 Карта на процеса на управление на риска в организацията

Въз основа на процеса на управление на риска в съответствие с GOST R 51901.21, организацията може да изготви карта на процеса на управление на риска. При разработването на карта на процеса за малки организации се препоръчва да се запазят основните елементи на управлението на риска (идентификация на опасни събития, количествена оценка на риска, анализ на риска и сравнителна оценка, третиране на риска, мониторинг и ревизия), като съдържанието им може да бъде изяснено в зависимост от спецификата на дейността на организацията.

4.4 Разработване на регистър на риска на организация

4.4.1 Общи

Резултатите от извършените действия на всеки етап от процеса на управление на риска трябва да се отчитат в регистър на риска. Дадени са правилата за изграждане на регистър на риска GOST R 51901.22... Стандартната форма на регистъра на риска е дадена в таблица 1 на GOST R 51901.22.

Възлагането на отговорност за разработването и поддържането на регистъра на риска на организацията трябва да бъде в съответствие с етапите на процеса на управление на риска, тъй като въвеждането на информация в регистъра на риска и неговите корекции трябва да се извършват след приключване на всеки етап от риска процес на управление.

Основните етапи в разработването на регистъра на риска на организацията са описани в точки 4.4.2-4.4.6.

4.4.2 Определяне на целите и обхвата на регистъра на риска

Организацията установява външните и вътрешните цели на организацията и целите за управление на риска за изпълнение на останалите елементи от процеса на управление на риска. Дадени са насоки за определяне на обхвата на управлението на риска R 50.1.068.

При определяне на целите и обхвата на регистъра на риска първо се определят обектите на регистъра на риска. Обектите на регистъра на риска могат да бъдат:

• организацията като цяло, нейната структурно подразделениеили част от него;
• продукт, услуга, процес или дейност;
• персонал или отделни работници.

Общите изисквания за определяне на обхвата на регистъра на риска са установени в GOST R 51901.21.

4.4.3 Разработване на критерии за риск

Организацията трябва да установи критерии за риск. Критериите трябва да отразяват целта и обхвата. Те често зависят от интересите на участващите страни, както и от съответните законови и/или регулаторни изисквания. Критериите за риск могат да бъдат оперативни, технически, финансови, правни, законодателни, социални, екологични, хуманитарни и/или други.

При установяване на обхвата на управлението на риска трябва да се разработи общо описание на критериите за вземане на решение. Критериите за риск трябва да бъдат изяснени и/или ревизирани след идентифициране на конкретен тип риск и избор на метод за анализ на риска. Критериите за риск трябва да са подходящи за вида риск и начина, по който е представен.

Критериите за риск обикновено се записват в регистъра на риска на организацията, но за малки организации критериите за риск могат да бъдат установени в документираните процедури на организацията или други документи за управление на риска.

4.4.4 Идентифициране на опасни събития

Идентифицирането на опасните събития трябва да включва идентифициране на явления и събития, които могат да засегнат елементите от регистъра на риска, идентифицирани в обхвата на регистъра на риска. Общите изисквания за идентифициране на опасни събития за включване в регистъра на риска са установени в точка 4.2. GOST R 51901.21.

За малки, малки организации идентифицирането на опасни събития може да се състои от три етапа:

• определяне на методи за идентифициране на риска;
• идентифициране на опасни събития;
• идентифициране на причините за възникване на опасно събитие.

Организацията първо трябва да определи методите за идентифициране на риска. При идентифициране на риска могат да се използват следните методи: анализ на контролни списъци, експертни оценки, анализ на експериментални и исторически данни, анализ структурна схеманадеждност, метод на мозъчна атака, системен анализ, сценариен анализ, методи за проектиране на системи. Тези методи са разгледани по-подробно в GOST R ISO / IEC 31010. Изборът на метод зависи от вида на риска, обхвата и целите на организацията за управление на риска и прилаганите и необходими контроли и практиките на организацията за управление на риска.

Методите за идентифициране на риска обикновено се записват в регистъра на риска на организацията, но за малки организации методите за идентифициране на риска могат да бъдат дефинирани в документираните процедури на организацията или други документи за управление на риска.

Следващата стъпка е идентифицирането на опасни събития, при което организацията трябва да изготви общ списък на опасните събития, които биха могли да повлияят неблагоприятно на нейната дейност и постигането на целите. Въз основа на списъка е необходимо да се опише подробно всяко идентифицирано опасно събитие, което може да възникне. При съставянето на списък с опасни събития може да се използва класификацията на опасностите, дадена в Приложение А. GOST R 51901.21.

Името на опасно събитие трябва да бъде формулирано в разбираема фраза. За опасно събитие, чието име е достатъчно дълго, може да се използва кратко име.

След идентифициране на възможни опасни събития е необходимо да се разгледат източниците и причините за тяхното възникване, както и възможните последици за дейността на организацията.

Опасните събития, техните източници и възможни последици са включени в регистъра на риска на организацията (независимо от нейния размер).

При извършване на етапа на идентифициране на опасностите се препоръчва да се вземат предвид изискванията на GOST R 51901.23.

4.4.5 Анализ на риска

Общите изисквания за анализ на риска от опасни събития за включване в регистъра на риска са определени в точка 4.3 от GOST R 51901.22.

Анализът на риска включва изследване на източниците на опасни събития, техните последици и вероятностите за възникване на тези събития. В същото време трябва да се идентифицират и факторите, влияещи върху последствията и вероятността от събитието. Рискът трябва да се анализира, като се вземе предвид комбинацията от последиците от събитието и неговата вероятност. В допълнение, организацията трябва да прегледа и оцени използваните контроли и методи. Големината на последиците от дадено събитие и неговата вероятност трябва да бъдат оценени, като се вземе предвид ефективността на съществуващите стратегии, контроли и методи за управление.

Анализът на риска на организацията може да се извърши с различна степен на детайлност в зависимост от естеството на риска, целта на анализа, наличните данни и ресурси. Анализът на риска може да бъде качествен, количествен или комбиниран. За малки организации качествен анализобикновено се използва за получаване цялостна оценкариск и идентифициране на рискови проблеми. Ако организацията реши необходимостта от по-нататъшен подробен анализ, тогава количествен или комбинирани методианализ на риска. Описанието на тези видове анализ на риска е дадено в R 50.1.069и GOST R ISO / IEC 31010.

Начинът, по който последиците и вероятността от събития се представят в регистъра на риска, трябва да бъде избран, за да се гарантира, че целите на анализа на риска са изпълнени.

Анализът на риска трябва да вземе предвид несигурността и променливостта в оценките на последствията и вероятността от събитие, както и ефективността на комуникацията за риска. Когато количествените данни се въвеждат в регистъра на риска, трябва да се посочи свързаната несигурност (ако е възможно).

4.4.6 Сравнителна оценка на риска

Общите изисквания за сравнителна оценка на риска за включване в регистъра на риска са определени в подраздел 4.4. GOST R 51901.22.

Целта сравнителна оценкарискът на малката организация е решението за необходимостта от третиране на риска и за приоритизирането на третирането на риска въз основа на резултатите от анализа на риска и критериите за приемане на риска.

При извършване на сравнителна оценка на риска трябва да се ръководи от изискванията на GOST R 51901.23.

Резултатите от сравнителната оценка на риска обикновено се записват в регистъра на риска на организацията, освен ако не е посочено друго в документираните процедури на организацията или други документи за управление на риска.

4.4.7 Третиране на риска

Общите изисквания за третиране на риска за включване в регистъра на риска са определени в подраздел 4.5 на GOST R 51901.22.

На етапа на третиране на риска се извършва изборът на стратегия за третиране на риска, оценка на последствията, вероятността от опасно събитие и риск (като се вземе предвид прилагането на избраната стратегия за третиране на риска), мерки за третиране на риска определят се сроковете и отговорните за тяхното изпълнение и се оценяват резултатите от третирането на риска.

За малките организации задължителните елементи на регистъра на риска, свързани с етапа на третиране на риска, са дефинирането на дейностите по третиране на риска, времето за тяхното планирано и реално изпълнение.

Обикновено бюджетът за третиране на риска на малка организация е ограничен, така че методите за лечение трябва също да определят как се обработва всеки риск. Организацията сравнява общите разходи за опасно събитие, настъпило, когато не се предприемат действия срещу спестяванията, получени от третиране на риска и превантивни действия.

4.4.8 Мониторинг на риска и ревизия на регистъра на риска

Общите изисквания за мониторинг на риска и ревизия на регистъра на риска са установени в подраздел 4.6. GOST R 51901.22.

Организацията трябва да осигури непрекъснатост на процеса на управление на риска, поради което е необходимо редовно да се следят всички видове риск и да се ревизират вписванията в регистъра на риска.

Резултатите от мониторинга на риска обикновено се записват в регистъра на риска на организацията, но за малки организации тези резултати могат да бъдат дефинирани в документираните процедури на организацията или други документи за управление на риска.

Приложение А
(справка)

Пример за опростен метод за оценка на риска и разработване на регистър с намален риск за малка организация

A.1 Общи

Структурата и съставът на регистъра на риска зависи от характеристиките на организацията. Стандартната форма на регистъра на риска е дадена в GOST R 51901.22. Малките организации могат да използват съкратена (опростена) форма на регистъра на риска, пример за който е показан в Таблица А.1.

Таблица А.1 - Опростена форма на регистъра на риска

При попълване на регистъра на риска могат да се използват следните скали:

скала на последствията: 5 - катастрофални последици, 4 - значителни последици, 3 - умерени последици, 2 - малки последици, 1 - незначителни последици;

скалата на вероятността за опасно събитие: 5 - вероятността е много висока, 4 - вероятността е висока, 3 - вероятността е средна, 2 - вероятността е малка, 1 - вероятността е много ниска;

оценка на риска: приемлив риск (0-4), контролиран риск (5-8), значителен риск (9-25);

мерки за третиране на риска: (0) няма риск, не са предприети действия; (0-4) нисък риск, предприемат се само действия с ниска цена; (5-8) среден риск, действията се предприемат, като се отчита времето на тяхното изпълнение и икономическата осъществимост; (9-25) висок риск, необходимо е спешно прилагане на мерки за намаляване на риска; (16-25) висок риск, използването на незабавни (спешни) действия за намаляване на риска.

A.2 Рискова матрица

A.2.1 Общи

Методът за оценка на риска от опасни събития е даден в GOST R 51901-23 *, но малките организации могат да използват опростени методи за оценка на риска, като е необходимо да се вземе предвид несигурността на такива оценки на риска.

________________

* Вероятно грешка в оригинала. трябва да се чете: GOST R 51901.23... - Бележка от производителя на базата данни.

Малките организации могат да използват матрица на риска, за да оценят значимостта на риска. За систематична и последователна оценка на риска е необходимо да се разработи матрица на риска в съответствие със следните стъпки:

• оценка на вероятността от опасно събитие (А.2.2);
• оценка на последствията от опасно събитие (А.2.3);
• изготвяне на матрица на риска (A.2.4);
• идентифициране на мерките за третиране на риска (A.2.5).

Този пример показва най-простата версия на матрицата на риска. Организацията, в зависимост от условията на оценка на риска, може да разработи своя собствена матрица на риска.

A.2.2 Оценка на вероятността от опасно събитие

В малка организация, в зависимост от обекта на регистъра на риска, мениджърът на риска трябва да отговори на въпроса каква е вероятността от възникване на опасно събитие при използване на определени контроли и методи за управление на мерките за намаляване на риска. В този случай може да се използва таблица А.2.

Таблица А.2 - Оценка на вероятността от опасно събитие

Ако има съмнения при оценката на вероятността от опасно събитие, тогава степента на опасност на събитието се увеличава.

A.2.3 Оценка на последствията от опасно събитие

В зависимост от зоната на въздействие на опасното събитие, мениджърът на риска трябва да оцени последствията от опасното събитие със съществуващите контроли, управленски практики и мерки за намаляване на риска. За това може да се използва таблица А.3.

Таблица А.3 - Оценка на последствията от опасно събитие

Ако има съмнения относно оценката на последствията от опасно събитие, тогава рангът на това събитие се повишава.

A.2.4 Съставяне на матрица на риска

V този примеризползван е най-простият метод за оценка на риска - качествена оценка на последствията и вероятността от опасно събитие. В този случай рискът се изчислява като произведение на последствията и вероятността:

Рангът на последствията и вероятностите се определят от таблици 2 и 3.

Получените резултати позволяват да се изгради матрица на риска (Таблица А.4), която може да се използва като основа за идентифициране на приемливи и неприемливи рискове.

Таблица А.4 - Рискова матрица

За по-голяма яснота в регистъра на риска оценката на риска може да бъде подчертана в цвят:

зелено - приемлив риск (0-4);

жълт цвят - контролиран риск (5-8);

червеният (тъмночервен) цвят е сериозен и значителен риск (9-25).

Идентифицираните видове риск могат да бъдат класирани както в отдели, така и в цялата организация. Класирането се основава на матрица на риска (продукт на последствията и вероятността) и позволява идентифициране на повечето от значимите рискове.

A.2.5 Определяне на стратегия и мерки за третиране на риска

В зависимост от оценката на риска (вж. Таблица А.4) следва да се определят действията, които трябва да бъдат предприети за всеки риск, записан в регистъра на риска. Таблица А.5 предоставя пример за действията, които трябва да бъдат предприети, като се вземе предвид оценката на риска.

Таблица А.5 - Пример за действия, които трябва да се предприемат, като се вземе предвид оценката на риска

Мерките за намаляване на риска или за третиране на риска могат да бъдат включени в регистъра на риска и/или да бъдат разработени като отделен документ. В този случай регистърът на риска трябва да предостави връзка към този документ. В показания пример дейностите по третиране на риска са включени в регистъра на риска.

A.3 Допълнителни разпоредби

Тъй като регистърът на риска се актуализира постоянно, е необходимо да се записват датите на вписванията на риска и всички направени промени. Ако планът за действие е включен в регистъра на риска, целта и времето за завършване на действията, предвидени в плана, трябва да бъдат записани.

Колоната с коментари или бележки в регистъра на риска ви позволява да правите препратки към необходимата информация, например провеждане на среща, на която се обсъждат въпросите на дадения риск.

Регистърът на рисковете по проекта съдържа информация в табличен, четим вид за известни, идентифицирани рискове по проекта. Регистърът на риска по проекта винаги трябва да съдържа актуална информация, качеството на работата на екипа по проекта с рискове зависи изцяло от това. Обикновено регистърът на рисковете по проекта съдържа следната информация:

• документ за самоличност- единствен по рода си идентификационен номерпроектен риск. Когато се използва, този номер трябва да съответства на идентификатора на риска, показан в PMIS.
• Описание на риска- подробно описание на риска на проекта.
• Категория- рискова категория в съответствие с KSPP. Например инвестиционен риск, технологичен риск, риск, свързан с екипа на проекта и т.н.
• Тип- вид риск: положителен или отрицателен. Положителните рискове играят в ръцете на екипа по проекта и носят допълнителни ползи, които позволяват по-бързо изпълнение на проекта. Напротив, отрицателните рискове намаляват вероятността за успешно завършване на проекта.
• Влияние- степента на влияние на риска върху един от четирите ключови параметъра на проекта: цена, време, съдържание или качество. Обикновено се оценява като 0,05, 0,1, 0,2, 0,4, 0,8.

• Цялостно въздействие- цялостното въздействие на риска зависи от избрания модел ( макс- използва се максималната стойност, средно- използва се средната стойност) и се определя въз основа на влиянието на риска върху четири параметъра.
• Вероятност- вероятността от възникване на риск. Обикновено се оценява като 0,1, 0,3, 0,5, 0,7, 0,9.
• смисъл- всъщност величината на риска се изчислява като продукт Пълно влияниеНа Вероятност.
• Стратегия- стратегия за отговор на риска. Избира се една от седемте стратегии. За отрицателни рискове: избягване, понижаване, споделяне... За положителни рискове: предаване, използване, усилване... За всички рискове: Осиновяване.
• дейност- описание на мерките за справяне с риска, в съответствие с избраната стратегия за реагиране.
• Отговорен- Име на члена на проектния екип, отговорен за управлението на риска.