Riskregisterberäkningar som beskriver ett exempel. Register över de viktigaste operativa riskerna med produktionsledning i Tyumen från och med året. A.2 Riskmatris

Delphi metod liknar brainstormingmetoden, men deltagarna känner inte varandra. Handledaren använder en lista med frågor för att få idéer om riskerna med projektet och samlar in svar från experterna. Därefter analyseras experternas svar, kategoriseras och återsänds till experter för ytterligare kommentarer. En konsensus och en lista över risker erhålls genom flera cykler av denna process. Delphi-metoden eliminerar grupptryck och rädslan för tafatthet när man uttrycker en idé.

R 50.1.084-2012 Riskhantering. Riskregister. Riktlinjer för organisationens riskregister

ange ett bokmärke

ange ett bokmärke

Riskhantering

RISKREGISTER

Riktlinjer för organisationens riskregister

Riskhantering. Riskregister. Riktlinjer för uppbyggnad av organisationsriskregister

Introduktionsdatum 2013-12-01

Förord

1 UTVECKLAD AUTONOM icke vinstdrivande organisation"Forskningscentrum för kontroll och diagnostik av tekniska system" (ANO "NITs KD")

2 INTRODUCERAD Tekniska kommittén för standardisering TC 10 "Riskhantering"

3 GODKÄND OCH IKRAFTÄTTAS genom order från Federal Agency for Technical Regulation and Metrology av den 29 november 2012 N 1283

4 INTRODUCERAS FÖR FÖRSTA GÅNGEN

Information om ändringar av dessa rekommendationer publiceras i det årliga indexet "Vägledningsdokument, rekommendationer och regler", och texten till ändringar och ändringar - i det månatliga informationsindexet " Nationella standarder". I händelse av revidering (ersättning) eller annullering av dessa rekommendationer kommer ett motsvarande meddelande att publiceras i det månatliga informationsindexet" Nationella standarder. " informationssystem allmän användning - på den officiella webbplatsen Federal byrå om tekniska föreskrifter och metrologi på Internet

Introduktion

Ett riskregister är ett av sätten att presentera och lagra information om farliga händelser och risker. Förekomsten av ett riskregister gör det möjligt för en organisation att få information relaterad till en specifik riskkälla, konsekvenser, föremål för påverkan av farliga händelser, etc. Utvecklingen av ett riskregister, särskilt i närvaro av ett stort antal farokällor, kräver dock mycket ansträngning, tidskrävande, finansiella resurser, samt en stor mängd information.

Organisationen avgör behovet av att självständigt utveckla och underhålla ett riskregister.

3.2 riskregister(riskregister) blankett för registrering av information om en identifierad risk.

OBS Termen "risklogg" används ibland istället för termen "riskregister".

3.3 fara(fara): En källa till potentiell skada.

OBS! Fara kan vara en källa till risk.

3.4 riskhanterare(riskhanterare) specialist på att identifiera, bedöma, analysera, bearbeta, övervaka risker och andra aktiviteter inom riskhanteringsområdet för en organisation.

4 Rutin för utveckling av en organisations riskregister

4.1 Allmänna bestämmelser

Organisationen bör fastställa behovet av utveckling, stadier, form och metoder för att föra ett riskregister. Huvudmålen med att utveckla en organisations riskregister, dess plats i riskhanteringssystemet, fördelarna och nackdelarna med riskregistret fastställs i GOST R 51901.21.

En organisations riskregister är en form för att föra register över identifierade farliga händelser, bedöma risken förknippad med dem, metoder och tidpunkt för dess behandling. När ett riskregister förs är det nödvändigt att ta hänsyn till de relevanta obligatoriska kraven samt annan tillgänglig information om typerna av faror och risken för att den uppstår. Beroende på organisationens särdrag kan formen och innehållet i riskregistret ändras eller kompletteras i förhållande till standardformuläret för riskregistret som visas i tabell 1 GOST R 51901,22.

När man utvecklar ett riskregister bör en organisation ta hänsyn till:

• organisationens riskhanteringspolicy, mål och strategi;
• egenskaper hos tillverkade produkter och tjänster som tillhandahålls av organisationen;
• den huvudsakliga produktionsprocess och organisationens ledningsprocesser;
• etablerade och använda metoder för analys och riskbedömning;
• juridiska krav;
• driftsförhållanden för tillverkade produkter.

Ansvaret för riskhantering bör tilldelas den ansvariga riskhanteraren eller riskhanteringsgruppen, inklusive ansvar för att kontrollera och övervaka risker. Krav för riskhanterare är fastställda i GOST R 51901.21.

Utveckling, godkännande, underhåll och uppdatering av organisationens riskregister bör utföras i enlighet med punkt 5 GOST R 51901,22.

Utbytet av information om riskregistret och säkerställande av konfidentialitet för information relaterad till riskregistret måste utföras med hänsyn till kraven i klausul 6 i GOST R 51901.22 och rekommendationerna i R 50.1.070.

Ett exempel på en förenklad riskbedömningsmetod och utveckling av ett reducerat riskregister för en liten organisation ges i bilaga A.

4.2 Steg i organisationens riskhanteringsprocess

Milstolpar i utvecklingen av en organisations riskregister bör överensstämma med stegen i riskhanteringsprocessen. Samtidigt beror innehållet i stegen på egenskaperna hos organisationens riskhantering. Principerna för riskhantering är fastställda i GOST R ISO 31000. Huvudelementen i riskhanteringsprocessen för små organisationer visas i figur 1.

Figur 1 - Översikt över riskhanteringsprocessen

En beskrivning av huvuddelarna i riskhanteringsprocessen för små organisationer ges i R 50.1.069.

4.3 Karta över organisationens riskhanteringsprocess

Baserat på riskhanteringsprocessen i enlighet med GOST R 51901.21 kan organisationen upprätta en processkarta för riskhantering. När man utvecklar en processkarta för små organisationer rekommenderas det att behålla de grundläggande delarna av riskhantering (identifiering av farliga händelser, kvantitativ riskbedömning, riskanalys och jämförande bedömning, riskbehandling, övervakning och revision), samtidigt som deras innehåll kan förtydligas beroende på egenskaperna hos organisationens verksamhet.

4.4 Utveckla en organisations riskregister

4.4.1 Allmänt

Resultaten av de åtgärder som utförs i varje steg av riskhanteringsprocessen bör rapporteras i ett riskregister. Reglerna för att bygga ett riskregister ges i GOST R 51901,22... Standardformuläret för riskregistret visas i tabell 1 i GOST R 51901.22.

Ansvarsfördelningen för utveckling och underhåll av organisationens riskregister bör vara förenlig med stegen i riskhanteringsprocessen, eftersom information i riskregistret och justeringar bör göras efter att varje steg i riskhanteringsprocessen är avslutad.

De viktigaste stegen i utvecklingen av organisationens riskregister beskrivs i punkterna 4.4.2-4.4.6.

4.4.2 Fastställande av målen och omfattningen av riskregistret

Organisationen ska fastställa organisationens externa och interna mål och riskhanteringsmål för att utföra de återstående delarna av riskhanteringsprocessen. Vägledning för att definiera omfattningen av riskhantering ges i R 50.1.068.

Vid definition av riskregistrets mål och omfattning bestäms först riskregistrets föremål. Riskregisterobjekt kan vara:

• organisationen som helhet, dess strukturell indelning eller en del av det;
• produkt, tjänst, process eller aktivitet;
• personal eller enskilda arbetare.

Allmänna krav för att bestämma omfattningen av riskregistret fastställs i GOST R 51901.21.

4.4.3 Utveckla riskkriterier

Organisationen bör fastställa riskkriterier. Kriterierna bör spegla syftet och omfattningen. De beror ofta på de inblandade parternas intressen, såväl som på relevanta juridiska och/eller regulatoriska krav. Riskkriterier kan vara operativa, tekniska, ekonomiska, juridiska, lagstiftningsmässiga, sociala, miljömässiga, humanitära och/eller andra.

En allmän beskrivning av beslutskriterierna bör tas fram när omfattningen av riskhantering fastställs. Riskkriterier bör förfinas och/eller revideras efter att man har identifierat en specifik typ av risk och valt en riskanalysmetod. Riskkriterier bör vara lämpliga för typen av risk och hur den presenteras.

Riskkriterier registreras vanligtvis i organisationens riskregister, men för små organisationer kan riskkriterier fastställas i organisationens dokumenterade rutiner eller andra riskhanteringsdokument.

4.4.4 Identifiering av farliga händelser

Identifieringen av farliga händelser bör omfatta identifiering av företeelser och händelser som kan påverka de poster i riskregistret som identifierats inom riskregistrets omfattning. De allmänna kraven för identifiering av farliga händelser för införande i riskregistret fastställs i avsnitt 4.2. GOST R 51901,21.

För små, små organisationer kan identifiering av farliga händelser bestå av tre steg:

• bestämning av riskidentifieringsmetoder;
• identifiering av farliga händelser;
• identifiering av orsakerna till inträffandet av en farlig händelse.

Organisationen måste först fastställa metoderna för att identifiera risken. Vid identifiering av risk kan följande metoder användas: analys av checklistor, expertbedömningar, analys av experimentella och historiska data, analys strukturdiagram tillförlitlighet, brainstormingmetod, systemanalys, scenarioanalys, systemdesignmetoder. Dessa metoder diskuteras mer i detalj i GOST R ISO / IEC 31010. Valet av metod beror på typen av risk, organisationens omfattning och riskhanteringsmål samt de kontroller och metoder som används och krävs för att hantera organisationens risk.

Riskidentifieringsmetoder registreras vanligtvis i organisationens riskregister, men för små organisationer kan riskidentifieringsmetoder definieras i organisationens dokumenterade rutiner eller andra riskhanteringsdokument.

Nästa steg är identifieringen av farliga händelser, där organisationen måste upprätta en allmän förteckning över farliga händelser som kan negativt påverka dess verksamhet och uppnå målen. På basis av listan är det nödvändigt att i detalj beskriva varje identifierad farlig händelse som kan inträffa. Vid sammanställning av en lista över farliga händelser kan faroklassificeringen i bilaga A användas. GOST R 51901,21.

Namnet på den farliga händelsen bör formuleras i en begriplig fras. För en farlig händelse vars namn är tillräckligt långt kan ett kort namn användas.

Efter att ha identifierat möjliga farliga händelser är det nödvändigt att överväga källorna och orsakerna till att de inträffade, såväl som de möjliga konsekvenserna för organisationens verksamhet.

Farliga händelser, deras källor och eventuella konsekvenser förs in i organisationens riskregister (oavsett dess storlek).

När du utför steget med riskidentifiering, rekommenderas det att ta hänsyn till kraven i GOST R 51901.23.

4.4.5 Riskanalys

De allmänna kraven för riskanalys av farliga händelser för införande i riskregistret fastställs i avsnitt 4.3 i GOST R 51901.22.

Riskanalys innefattar en undersökning av källorna till farliga händelser, deras konsekvenser och sannolikheten för att dessa händelser inträffar. Samtidigt bör de faktorer som påverkar konsekvenserna och sannolikheten för händelsen också identifieras. Risken bör analyseras med hänsyn till kombinationen av konsekvenserna av händelsen och dess sannolikhet. Dessutom bör organisationen se över och utvärdera de kontroller och metoder som används. Storleken på konsekvenserna av en händelse och dess sannolikhet måste bedömas med hänsyn till effektiviteten hos befintliga strategier, kontroller och förvaltningsmetoder.

En organisations riskanalys kan utföras i varierande detaljeringsgrad beroende på riskens art, syftet med analysen, tillgängliga data och resurser. Riskanalys kan vara kvalitativ, kvantitativ eller kombinerad. För små organisationer kvalitativ analys vanligtvis används för att få helhetsbedömning risk och identifiering av riskproblem. Om organisationen beslutar om behovet av ytterligare detaljerad analys, då kvantitativ eller kombinerade metoder riskanalys. En beskrivning av dessa typer av riskanalyser ges i R 50.1.069 och GOST R ISO / IEC 31010.

Det sätt på vilket konsekvenser och sannolikhet för händelser presenteras i riskregistret bör väljas för att säkerställa att målen för riskanalysen uppfylls.

Riskanalys bör ta hänsyn till osäkerheten och variationen i uppskattningarna av konsekvenserna och sannolikheten för en händelse, såväl som effektiviteten av riskkommunikation. När kvantitativa uppgifter förs in i riskregistret bör den tillhörande osäkerheten anges (om möjligt).

4.4.6 Jämförande riskbedömning

De allmänna kraven för jämförande riskbedömning för införande i riskregistret fastställs i avsnitt 4.4. GOST R 51901,22.

Syftet jämförande utvärdering liten organisationsrisk är beslutet om behovet av riskbehandling och om prioriteringen av riskbehandlingen baserat på resultaten av riskanalysen och riskacceptanskriterier.

När man utför en jämförande riskbedömning bör man vägledas av kraven i GOST R 51901.23.

Resultaten av den jämförande riskbedömningen registreras vanligtvis i organisationens riskregister, om inte annat anges i organisationens dokumenterade rutiner eller andra dokument för riskhantering.

4.4.7 Riskbehandling

De allmänna kraven för riskbehandling för införande i riskregistret fastställs i underavsnitt 4.5 i GOST R 51901.22.

Vid riskbehandlingsstadiet genomförs val av riskbehandlingsstrategi, en bedömning av konsekvenserna, sannolikheten för en farlig händelse och risk (med hänsyn tagen till tillämpningen av den valda riskbehandlingsstrategin), åtgärder för riskbehandling , tidpunkten och de ansvariga för deras genomförande bestäms, och resultaten av riskbehandlingen utvärderas.

För små organisationer är de obligatoriska delarna av riskregistret i samband med riskbehandlingsstadiet definitionen av riskbehandlingsaktiviteter, tidpunkten för deras planerade och faktiska genomförande.

Vanligtvis är en liten organisations riskbehandlingsbudget begränsad, så behandlingsmetoder bör också fastställa hur varje risk hanteras. Organisationen ska jämföra de totala kostnaderna för en farlig händelse som inträffar när inga åtgärder vidtas mot de besparingar som uppnås genom riskbehandling och förebyggande åtgärder.

4.4.8 Riskövervakning och revidering av riskregistret

Allmänna krav på riskövervakning och revidering av riskregistret fastställs i avsnitt 4.6. GOST R 51901,22.

Organisationen måste säkerställa kontinuiteten i riskhanteringsprocessen, därför är det nödvändigt att regelbundet övervaka alla typer av risker och revidera uppgifterna i riskregistret.

Resultaten av riskövervakningen registreras vanligtvis i organisationens riskregister, men för små organisationer kan dessa resultat fastställas i organisationens dokumenterade rutiner eller andra dokument om riskhantering.

Bilaga A
(referens)

Ett exempel på en förenklad riskbedömningsmetod och utveckling av ett reducerat riskregister för en liten organisation

A.1 Allmänt

Riskregistrets struktur och sammansättning beror på organisationens egenskaper. Standardformuläret för riskregistret finns i GOST R 51901.22. Små organisationer kan använda en förkortad (förenklad) form av riskregistret, ett exempel på det visas i tabell A.1.

Tabell A.1 - Förenklad form av riskregistret

Vid komplettering av riskregistret kan följande skalor användas:

skala av konsekvenser: 5 - katastrofala konsekvenser, 4 - betydande konsekvenser, 3 - måttliga konsekvenser, 2 - små konsekvenser, 1 - obetydliga konsekvenser;

skalan för sannolikheten för en farlig händelse: 5 - sannolikheten är mycket hög, 4 - sannolikheten är hög, 3 - sannolikheten är medelhög, 2 - sannolikheten är låg, 1 - sannolikheten är mycket låg;

riskbedömning: acceptabel risk (0-4), kontrollerad risk (5-8), betydande risk (9-25);

riskbehandlingsåtgärder: (0) ingen risk, inga åtgärder vidtagna; (0-4) låg risk, endast lågkostnadsåtgärder vidtas; (5–8) medelhög risk, åtgärder vidtas med hänsyn till tidpunkten för genomförandet och ekonomisk genomförbarhet. (9-25) hög risk, brådskande genomförande av åtgärder för att minska risken är nödvändigt; (16-25) hög risk, användning av omedelbara (nöd)åtgärder för att minska risken.

A.2 Riskmatris

A.2.1 Allmänt

Metoden för att bedöma risken för farliga händelser anges i GOST R 51901-23 *, men små organisationer kan använda förenklade metoder för riskbedömning, medan det är nödvändigt att ta hänsyn till osäkerheten i sådana riskbedömningar.

________________

* Förmodligen ett fel i originalet. Borde läsa: GOST R 51901,23... - Anteckning från tillverkaren av databasen.

Små organisationer kan använda en riskmatris för att bedöma betydelsen av en risk. För en systematisk och konsekvent riskbedömning är det nödvändigt att utveckla en riskmatris i enlighet med följande steg:

• bedömning av sannolikheten för en farlig händelse (A.2.2);
• bedömning av konsekvenserna av en farlig händelse (A.2.3);
• upprätta en riskmatris (A.2.4);
• identifiering av riskbehandlingsarrangemang (A.2.5).

Detta exempel visar den enklaste versionen av riskmatrisen. Organisationen kan, beroende på förutsättningarna för riskbedömning, utveckla sin egen riskmatris.

A.2.2 Bedömning av sannolikheten för en farlig händelse

I en liten organisation måste riskhanteraren, beroende på föremålet för riskregistret, svara på frågan om hur stor sannolikheten är att en farlig händelse inträffar när de angivna kontrollerna och hanteringsmetoderna för riskreducering tillämpas. I detta fall kan tabell A.2 användas.

Tabell A.2 - Bedömning av sannolikheten för en farlig händelse

Om det finns tvivel vid bedömningen av sannolikheten för en farlig händelse, höjs riskgraden för händelsen.

A.2.3 Bedömning av konsekvenserna av en farlig händelse

Beroende på påverkansområde för den farliga händelsen, bör riskhanteraren bedöma konsekvenserna av den farliga händelsen med befintliga kontroller, hanteringsmetoder och riskreducerande åtgärder. För att göra detta kan du använda tabell A.3.

Tabell A.3 - Bedömning av konsekvenserna av en farlig händelse

Om det finns tvivel om bedömningen av konsekvenserna av en farlig händelse, höjs rangen av denna händelse.

A.2.4 Sammanställning av en riskmatris

V detta exempel den enklaste metoden för riskbedömning användes - en kvalitativ bedömning av konsekvenserna och sannolikheten för en farlig händelse. I detta fall beräknas risken som produkten av konsekvenserna och sannolikheten:

Konsekvensrankningar och sannolikheter bestäms från tabell 2 och 3.

De erhållna resultaten gör det möjligt att konstruera en riskmatris (tabell A.4), som kan användas som underlag för att identifiera acceptabla och oacceptabla risker.

Tabell A.4 - Riskmatris

För större tydlighet i riskregistret kan riskbedömningen markeras i färg:

grön - acceptabel risk (0-4);

gul färg - kontrollerad risk (5-8);

röd (mörkröd) färg är en allvarlig och betydande risk (9-25).

De identifierade risktyperna kan rangordnas både inom avdelningar och inom hela organisationen. Rangordningen är baserad på en riskmatris (produkt av konsekvenser och sannolikhet) och möjliggör identifiering av de flesta av de betydande riskerna.

A.2.5 Fastställande av strategi och åtgärder för riskbehandling

Beroende på riskbedömningen (se tabell A.4) bör de åtgärder som ska vidtas för varje risk som registreras i riskregistret fastställas. Tabell A.5 ger ett exempel på de åtgärder som ska vidtas med hänsyn till riskbedömningen.

Tabell A.5 - Exempel på åtgärder som ska vidtas med hänsyn till riskbedömning

Riskreducerande eller riskbehandlingsaktiviteter kan inkluderas i ett riskregister och/eller utvecklas som ett separat dokument. I detta fall måste riskregistret tillhandahålla en länk till detta dokument. I det visade exemplet ingår riskbehandlingsaktiviteterna i riskregistret.

A.3 Ytterligare bestämmelser

Eftersom riskregistret ständigt uppdateras är det nödvändigt att registrera datum för riskinmatningarna och eventuella ändringar. Om handlingsplanen ingår i riskregistret ska syftet med och tidpunkten för genomförandet av de åtgärder som planen förutser registreras.

I kolumnen med kommentarer eller anteckningar i riskregistret kan du göra hänvisningar till nödvändig information, till exempel att hålla ett möte där frågor om denna risk diskuterades.

Projektriskregistret innehåller information i tabellform, läsbar, om kända, identifierade projektrisker. Projektriskregistret ska alltid innehålla aktuell information, kvaliteten på projektgruppens arbete med risker beror helt på detta. Vanligtvis innehåller projektriskregistret följande information:

• ID- unik ett identifikationsnummer projektrisk. När det används måste detta nummer matcha risk-ID som visas i PMIS.
• Beskrivning av risken- en detaljerad beskrivning av risken med projektet.
• Kategori- riskkategori i enlighet med KSPP. Till exempel investeringsrisk, teknisk risk, risk förknippad med projektgruppen, etc.
• Sorts- typ av risk: positiv eller negativ. Positiva risker spelar i händerna på projektteamet och ger ytterligare fördelar som möjliggör snabbare projektgenomförande. Å andra sidan minskar negativa risker sannolikheten för ett framgångsrikt projektavslut.
• Inflytande- graden av riskpåverkan på en av projektets fyra nyckelparametrar: kostnad, tidpunkt, innehåll eller kvalitet. Vanligtvis uppskattad till värden på 0,05, 0,1, 0,2, 0,4, 0,8.

• Total påverkan- den övergripande effekten av risken beror på den valda modellen ( max- maxvärdet används, snitt- medelvärdet används) och bestäms utifrån riskens inverkan på fyra parametrar.
• Sannolikhet- Sannolikheten att risk inträffar. Beräknas vanligtvis som 0,1, 0,3, 0,5, 0,7, 0,9.
• Menande- Faktum är att storleken på risken beräknas som produkten Totalt inflytande på Sannolikhet.
• Strategi- Riskhanteringsstrategi. En av sju strategier väljs ut. För negativa risker: ducka, sänka, dela... För positiva risker: överföring, användning, förstärkning... För alla risker: Adoption.
• aktivitet- en beskrivning av åtgärder för att hantera risken, i enlighet med den valda insatsstrategin.
• Ansvarig- Namn på den projektgruppsmedlem som ansvarar för riskhantering.