Реєстр ризику розрахунків з описом приклад. Реєстр основних операційних ризиків виробничого управління у м. Тюмень станом на рік. А.2 Матриця ризику

Метод Дельфіаналогічний методу мозкового штурму, та його учасники не знають одне одного. Ведучий за допомогою списку питань для отримання ідей щодо ризиків проекту збирає відповіді експертів. Далі відповіді експертів аналізуються, розподіляються за категоріями та повертаються експертам для подальших коментарів. Консенсус та список ризиків виходить через кілька циклів цього процесу. У методі Дельфі виключається тиск з боку колег і страх незручного становища під час висловлювання ідеї.

Р 50.1.084-2012 Менеджмент ризику. Реєстр ризику Посібник зі створення реєстру ризику організації

встановити закладку

встановити закладку

Менеджмент ризику

РЕЄСТР РИЗИКУ

Посібник зі створення реєстру ризику організації

Risk management. Ризик реєстр. Guidelines on construction of organization risk register

Дата введення 2013-12-01

Передмова

1 РОЗРОБЛЕНИЙ Автономної некомерційною організацією"Науково-дослідний центр контролю та діагностики технічних систем" (АНО "НДЦ КД")

2 ВНЕСЕНИ Технічним комітетомзі стандартизації ТК 10 "Менеджмент ризику"

3 ЗАТВЕРДЖЕНІ І ВВЕДЕНІ В ДІЮ Наказом Федерального агентства з технічного регулювання та метрології від 29 листопада 2012 р. N 1283

4 ВВЕДЕНО ВПЕРШЕ

Інформація про зміни до цих рекомендацій публікується у щорічному покажчику "Керівні документи, рекомендації та правила", а текст змін та поправок - у щомісячному інформаційному покажчику" Національні стандарти". У разі перегляду (заміни) або скасування цих рекомендацій відповідне повідомлення буде опубліковано в щомісячному інформаційному покажчику "Національні стандарти". Відповідна інформація, повідомлення та тексти розміщуються також у інформаційної системизагального користування – на офіційному сайті Федерального агентстваз технічного регулювання та метрології в мережі Інтернет

Вступ

Реєстр ризику є одним із способів подання та зберігання інформації про небезпечні події та ризик. Наявність реєстру ризику дозволяє організації отримати інформацію, що стосується конкретного джерела небезпеки, наслідків, об'єкта впливу небезпечних подій тощо. Однак розробка реєстру ризику, особливо за наявності великої кількості джерел небезпеки, вимагає великих зусиль, витрат часу, фінансових коштів, і навіть великого обсягу інформації.

Необхідність розробки та ведення реєстру ризику організація визначає самостійно.

3.2 реєстр ризику(risk register): Форма запису інформації про ідентифікований ризик.

Примітка - Замість терміну "реєстр ризику" іноді використовують термін "журнал ризику".

3.3 небезпека(hazard): Джерело потенційної шкоди.

Примітка: Небезпека може бути джерелом ризику.

3.4 менеджер з ризику(risk manager): Спеціаліст з ідентифікації, оцінки, аналізу, обробки, моніторингу ризику, а також інших видів діяльності в галузі менеджменту ризику організації.

4 Порядок розробки реєстру ризику організації

4.1 загальні положення

Організація повинна визначити необхідність розробки, етапи, форму та способи ведення реєстру ризику. Основні цілі розробки реєстру ризику організації, його місце у системі менеджменту ризику, переваги та недоліки реєстру ризику встановлені в ГОСТ Р 51901.21.

Реєстр ризику організації є формою ведення записів про ідентифіковані небезпечні події, оцінку відповідного їм ризику, способи та терміни його обробки. При веденні реєстру ризику необхідно враховувати відповідні обов'язкові вимоги, а також іншу доступну інформацію про види небезпеки та ризик її виникнення. Залежно від особливостей організації форма та зміст реєстру ризику можуть бути змінені або доповнені стосовно типової форми реєстру ризику, наведеної в таблиці 1 ГОСТ Р 51901.22.

Під час розробки реєстру ризику організації необхідно враховувати:

• політику, цілі та стратегію організації в галузі менеджменту ризику;
• особливості продукції, що виготовляється і надаються організацією послуг;
• основні виробничі процесита процеси менеджменту організації;
• встановлені та використовувані методи аналізу та оцінки ризику;
• законодавчі вимоги;
• умови експлуатації продукції, що випускається.

Відповідальність за менеджмент ризику має бути покладена на відповідального менеджера з ризику або групу менеджменту ризику, у тому числі відповідальність за контроль та моніторинг ризику. Вимоги до менеджерів з ризику встановлені в ГОСТ Р 51901.21.

Розробка, затвердження, ведення та актуалізація реєстру ризику організації повинна проводитись відповідно до п.5 ГОСТ Р 51901.22.

Обмін інформацією щодо реєстру ризику та забезпечення конфіденційності інформації, пов'язаної з реєстром ризику, необхідно проводити з урахуванням вимог п.6 ГОСТ Р 51901.22 та рекомендацій, встановлених у Р 50.1.070.

Приклад спрощеного методу оцінки ризику та розробки скороченого варіанта реєстру ризику малої організації наведено у Додатку А.

4.2 Етапи процесу управління ризиком організації

Основні етапи розробки реєстру ризику організації повинні відповідати етапам процесу управління ризиком. У цьому зміст етапів залежить від особливостей менеджменту ризику організації. Принципи менеджменту ризику встановлені в ДСТУ ISO 31000 . Основні елементи процесу управління ризику малих організацій наведені малюнку 1.

Рисунок 1 – Загальна схема процесу менеджменту ризику

Опис основних елементів процесу менеджменту ризику малих організацій наведено в Р 50.1.069.

4.3 Карта процесу управління ризиком організації

На основі процесу управління ризиком відповідно до ГОСТ Р 51901.21 організація може скласти карту процесу управління ризику. При розробці карти процесу для малих організацій рекомендується зберегти основні елементи управління ризиком (ідентифікація небезпечних подій, кількісна оцінка ризику, аналіз та порівняльна оцінка ризику, обробка ризику, моніторинг та перегляд), при цьому їх зміст може бути уточнений залежно від особливостей діяльності організації.

4.4 Розробка реєстру ризику організації

4.4.1 Загальні положення

Результати дій, виконуваних кожному етапі процесу управління ризику, мають бути представлені у реєстрі ризику. Правила побудови реєстру ризику наведені у ГОСТ Р 51901.22. Типову форму реєстру ризику наведено у таблиці 1 ГОСТ Р 51901.22 .

Розподіл відповідальності за розробку та ведення реєстру ризику організації має відповідати етапам процесу менеджменту ризику, оскільки внесення інформації до реєстру ризику та її коригування слід виконувати після завершення кожного етапу процесу менеджменту ризику.

Основні етапи розробки реєстру ризику організації описані у п.п.4.4.2-4.4.6.

4.4.2 Встановлення цілей та сфери застосування реєстру ризику

Організація повинна встановити зовнішні та внутрішні цілі організації, а також цілі в галузі управління ризиком для виконання інших елементів процесу управління ризику. Рекомендації щодо визначення сфери застосування менеджменту ризику наведені в Р 50.1.068.

При визначенні цілей та сфери застосування реєстру ризику в першу чергу визначають об'єкти реєстру ризику. Об'єктами реєстру ризику можуть бути:

• організація загалом, її структурний підрозділабо його частину;
• продукція, послуга, процес чи вид діяльності;
• персонал чи окремі працівники.

Загальні вимоги до визначення сфери застосування реєстру ризику встановлені в ГОСТ Р 51901.21.

4.4.3 Розробка критеріїв ризику

Організація має встановити критерії ризику. Критерії повинні відображати цілі та сферу застосування. Вони часто залежать від інтересів причетних сторін, а також від відповідних законодавчих та/або обов'язкових вимог. Критерії ризику можуть бути експлуатаційними, технічними, фінансовими, юридичними, законодавчими, соціальними, екологічними, гуманітарними та/або ін.

Загальний опис критеріїв прийняття рішень має бути розроблений при встановленні сфери застосування менеджменту ризику. Критерії ризику повинні бути уточнені та/або перероблені після ідентифікації конкретного виду ризику та вибору методу аналізу ризику. Критерії ризику повинні відповідати типу ризику та способу його подання.

Критерії ризику зазвичай вносять до реєстру ризику організації, однак для малих організацій критерії ризику можуть бути встановлені в документованих процедурах або інших документах організації з управління ризиком.

4.4.4 Ідентифікація небезпечних подій

Ідентифікація небезпечних подій повинна включати визначення явищ і подій, які можуть впливати на об'єкти реєстру ризику, встановлені в області застосування реєстру ризику. Загальні вимоги щодо ідентифікації небезпечних подій для включення до реєстру ризику встановлені у п.4.2 ГОСТ Р 51901.21.

Для малих, невеликих організацій ідентифікація небезпечних подій може складатися із трьох етапів:

• визначення методів ідентифікації ризику;
• виявлення небезпечних обставин;
• виявлення причин виникнення небезпечної події.

Спочатку організація має визначити методи ідентифікації ризику. При ідентифікації ризику можуть бути використані такі методи: аналіз контрольних листів, експертні оцінки, аналіз експериментальних та хронологічних даних, аналіз структурної схеминадійність, метод мозкового штурму, системний аналіз, аналіз сценаріїв, методи системного проектування. Ці методи більш докладно розглянуті в ГОСТ Р ІСО/МЕК 31010. Вибір методу залежить від виду ризику, сфери застосування та цілей менеджменту ризику організації, а також застосовуваних та необхідних засобів контролю та методів управління ризиком організації.

Методи ідентифікації ризику зазвичай вносять до реєстру ризику організації, однак для невеликих організацій методи ідентифікації ризику можуть бути визначені в документованих процедурах або інших документах організації з управління ризиками.

Наступним кроком є ​​ідентифікація небезпечних подій, на якому організація має скласти загальний перелік небезпечних подій, які можуть несприятливо вплинути на її діяльність та виконання цілей. На основі переліку необхідно докладно описати кожну ідентифіковану небезпечну подію, яка може статися. При складанні переліку небезпечних подій може бути використана класифікація небезпек, наведена у додатку А ГОСТ Р 51901.21.

Найменування небезпечної події має бути сформульовано зрозумілою фразою. Для небезпечної події, найменування якої є досить довгою, може бути використане коротке найменування.

Після ідентифікації можливих небезпечних подій необхідно розглянути джерела та причини їх виникнення, а також можливі наслідки діяльності організації.

Небезпечні події, їх джерела та можливі наслідки вносять до реєстру ризику організації (незалежно від її розміру).

Під час проведення етапу ідентифікації небезпек рекомендується враховувати вимоги ГОСТ Р 51901.23.

4.4.5 Аналіз ризику

Загальні вимоги до аналізу ризику небезпечних подій для включення до реєстру ризику встановлені у п.4.3 ГОСТ Р 51901.22.

Аналіз ризику включає дослідження джерел небезпечних подій, їх наслідків та ймовірностей появи цих подій. При цьому мають бути також ідентифіковані фактори, що впливають на наслідки та ймовірність події. Ризик має бути проаналізований з урахуванням поєднання наслідків події та її ймовірності. Крім того, організація повинна проаналізувати та оцінити застосовувані засоби контролю та методи управління. Величину наслідків події та її ймовірність необхідно оцінювати з урахуванням результативності існуючих стратегій, засобів контролю та методів управління.

Аналіз ризику організації може бути з різним ступенем деталізації залежно від особливостей ризику, мети аналізу, доступних даних, і ресурсів. Аналіз ризику може бути якісним, кількісним чи комбінованим. Для малих організацій якісний аналіззазвичай використовують для отримання загальної оцінкиризику та визначення проблем, пов'язаних з ризиком. Якщо організація ухвалить рішення щодо необхідності подальшого детального аналізу, то можуть бути застосовані кількісні або комбіновані методианалізу ризику Опис даних видів аналізу ризику наведено в Р 50.1.069та ГОСТ Р ІСО/МЕК 31010 .

Способи подання наслідків та ймовірності подій у реєстрі ризику мають бути обрані таким чином, щоб забезпечити виконання цілей аналізу ризику.

При проведенні аналізу ризику необхідно враховувати невизначеність та мінливість оцінок наслідків та ймовірності події, а також ефективність обміну інформацією про ризик. При внесенні до Реєстру ризику кількісних даних слід (по можливості) вказувати відповідну невизначеність.

4.4.6 Порівняльна оцінка ризику

Загальні вимоги щодо порівняльної оцінки ризику для включення до реєстру ризику встановлені в підрозділі 4.4 ГОСТ Р 51901.22.

Метою порівняльної оцінкиРизика малої організації є прийняття на основі результатів аналізу ризику та критеріїв прийнятності ризику рішень про необхідність обробки ризику та розстановку пріоритетів при виконанні обробки ризику.

При виконанні порівняльної оцінки ризику слід керуватись вимогами ГОСТ Р 51901.23.

Результати порівняльної оцінки ризику зазвичай вносять до реєстру ризику організації, якщо інше не визначено в документованих процедурах чи інших документах організації з управління ризиком.

4.4.7 Обробка ризику

Загальні вимоги до обробки ризику для включення до реєстру ризику встановлені в підрозділі 4.5 ГОСТ Р 51901.22.

На етапі обробки ризику проводять вибір стратегії обробки ризику, оцінку наслідків, ймовірності небезпечної події та ризику (з урахуванням застосування обраної стратегії обробки ризику), визначають заходи щодо обробки ризику, терміни та відповідальних за їх виконання, оцінюють результати обробки ризику.

Для малих організацій обов'язковими елементами реєстру ризику, що з етапом обробки ризику, є визначення заходів із обробці ризику, термінів їх планового і фактичного виконання.

Зазвичай бюджет обробки ризику малої організації обмежений, тому способи обробки повинні встановлювати порядок обробки кожного ризику. Організація повинна порівняти загальні витрати у разі появи небезпечної події, коли не вживаються жодних заходів, з економією коштів, отриманих після обробки ризику та застосування запобіжних дій.

4.4.8 Моніторинг ризику та перегляд реєстру ризику

Загальні вимоги до моніторингу ризику та перегляду реєстру ризику встановлені у підрозділі 4.6 ГОСТ Р 51901.22.

Організація повинна забезпечувати безперервність процесу управління ризиком, тому необхідно проводити регулярний моніторинг усіх видів ризику та перегляд записів у реєстрі ризику.

Результати моніторингу ризику зазвичай вносять до Реєстру ризику організації, однак для малих організацій ці результати можуть бути визначені в документованих процедурах або інших документах організації з управління ризиком.

Додаток А
(довідкове)

Приклад спрощеного методу оцінки ризику та розробки скороченого варіанта реєстру ризику малої організації

А.1 Загальні положення

Структура та склад реєстру ризику залежить від особливостей організації. Типову форму реєстру ризику наведено в ГОСТ Р 51901.22. Малі організації можуть використовувати скорочену (спрощену) форму реєстру ризику, приклад якої наведено у таблиці А.1.

Таблиця А.1 - Спрощена форма реєстру ризику

При заповненні реєстру ризику можна використовувати такі шкали:

шкала наслідків: 5 – наслідки катастрофічні, 4 – наслідки значні, 3 – наслідки помірні, 2 – наслідки невеликі, 1 – наслідки малозначні;

шкала ймовірності небезпечної події: 5 - ймовірність дуже висока; 4 - ймовірність висока; 3 - ймовірність середня; 2 - ймовірність низька; 1 - ймовірність дуже низька;

оцінка ризику: ризик прийнятний (0-4); ризик контрольований (5-8); ризик значущий (9-25);

заходи щодо обробки ризику: (0) ризик відсутній, дії не вживаються; (0-4) низький ризик, робляться лише низьковитратні дії; (5-8) середній ризик, робляться дії з урахуванням часу їх виконання та економічної доцільності; (9-25) високий ризик, Необхідне термінове виконання заходу щодо зниження ризику; (16-25) високий ризик застосування негайних (аварійних) дій зі зниження ризику.

А.2 Матриця ризику

А.2.1 Загальні положення

Метод оцінки ризику небезпечних подій наведено у ГОСТ Р 51901-23*, проте малі організації можуть застосовувати спрощені методи оцінки ризику, при цьому необхідно враховувати невизначеність таких оцінок ризику.

________________

* Ймовірно помилка оригіналу. Слід читати: ГОСТ Р 51901.23. - Примітка виробника бази даних.

Малі організації можуть використовувати матрицю ризику з метою оцінки значущості ризику. Для систематичної та послідовної оцінки ризику необхідно розробити матрицю ризику відповідно до наступних етапів:

• оцінка ймовірності небезпечної події (А.2.2);
• оцінка наслідків небезпечної події (А.2.3);
• складання матриці ризику (А.2.4);
• визначення заходів щодо обробки ризику (А.2.5).

У цьому прикладі наведено найпростіший варіант матриці ризику. Організація залежно та умовами оцінки ризику може розробити свою матрицю ризику.

А.2.2 Оцінка ймовірності небезпечної події

У малій організації в залежності від об'єкта реєстру ризику менеджер з ризику повинен відповісти на питання, яка ймовірність реалізації небезпечної події при застосуванні зазначених засобів контролю та методів управління заходів щодо зниження ризику. У цьому можна використовувати таблицю А.2.

Таблиця А.2 - Оцінка ймовірності небезпечної події

Якщо існують сумніви щодо оцінки ймовірності виникнення небезпечної події, то ранг небезпеки події підвищують.

А.2.3 Оцінка наслідків небезпечної події

Залежно від області впливу небезпечної події, менеджер з ризику повинен оцінити наслідки небезпечної події за існуючих засобів контролю, методів управління та заходів щодо зниження ризику. І тому можна використовувати таблицю А.3.

Таблиця А.3 - Оцінка наслідків небезпечної події

Якщо існують сумніви щодо оцінки наслідків небезпечної події, то ранг цієї події підвищують.

А.2.4 Складання матриці ризику

У даному прикладівикористано найбільш простий спосіб оцінки ризику - якісна оцінка наслідків та ймовірності небезпечної події. При цьому ризик розраховують як добуток наслідків на ймовірність:

Ранги наслідків та ймовірності визначають за таблицями 2 та 3.

Отримані результати дозволяють побудувати матрицю ризику (таблиця А.4), яку можна використовувати як основу для ідентифікації прийнятного та неприйнятного ризику.

Таблиця А.4 - Матриця ризику

Для більшої наочності в реєстрі ризику оцінка ризику може бути виділена кольором:

зелений колір – прийнятний ризик (0-4);

жовтий колір – контрольований ризик (5-8);

червоний (темно-червоний) колір – серйозний та значущий ризик (9-25).

Ідентифіковані види ризику може бути ранжовані як у підрозділах, і у всій організації. Ранжування засноване на матриці ризику (добуток наслідків та ймовірності) і дозволяє ідентифікувати більшу частину істотних ризиків.

А.2.5 Визначення стратегії та заходів щодо обробки ризику

Залежно від оцінки ризику (див. таблицю А.4) повинні бути визначені дії, що вживаються по кожному ризику, зареєстрованому в реєстрі ризику. У таблиці А.5 наведено приклад дій з урахуванням оцінки ризику.

Таблиця А.5 - Приклад дій з урахуванням оцінки ризику

Заходи щодо зниження ризику або обробки ризику можуть бути включені до реєстру ризику та/або можуть бути розроблені у вигляді окремого документа. У цьому випадку в реєстрі ризику має бути дано посилання на цей документ. У наведеному прикладі заходи щодо обробки ризику включені до Реєстру ризику.

А.3 Додаткові положення

Оскільки реєстр ризику постійно актуалізується, необхідно реєструвати дати записів про ризик та всіх внесених змін. Якщо план заходів включено до регістру ризику, мету та терміни завершення дій, передбачених планом, мають бути зареєстровані.

Колонка коментарів або приміток у реєстрі ризику дозволяє робити посилання на необхідну інформацію, наприклад проведення наради, на якій обговорювалися проблеми цього ризику.

Реєстр ризиків проекту містить інформацію в табличній легкочитаній формі про відомі, ідентифіковані ризики проекту. Реєстр ризиків проекту повинен завжди містити актуальну інформацію, від цього повною мірою залежить якість роботи команди проекту з ризиками. Зазвичай реєстр ризиків проекту містить таку інформацію:

• ID- Унікальний ідентифікаційний номерризику проекту. При використанні , цей номер повинен збігатися з ID ризику, вказаним у ІСУП.
• Опис ризику- Детальний опис ризику проекту.
• Категорія- категорія ризику відповідно до КСУП. Наприклад, інвестиційний ризик, технологічний ризик, ризик, пов'язаний із командою проекту та інше.
• Тип- Тип ризику: позитивний або негативний. Позитивні ризики грають на руку команді проекту та несуть у собі додаткові переваги, що дозволяють швидше реалізувати проект. Негативні ризики, навпаки, знижують ймовірність успішного завершення проекту.
• Вплив— ступінь впливу ризику на один із чотирьох ключових параметрів проекту: вартість, терміни, зміст або якість. Зазвичай оцінюється значення 0.05, 0.1, 0.2, 0.4, 0.8.

• Загальний вплив- загальний вплив ризику залежить від обраної моделі ( max- Використовується максимальне значення, avg- використовується середнє значення) і визначається на підставі впливу ризику на чотири параметри.
• Ймовірність- Імовірність виникнення ризику. Зазвичай оцінюється значення 0.1, 0.3, 0.5, 0.7, 0.9.
• Значення- фактично величина ризику, розраховується як твір Загального впливуна Ймовірність.
• Стратегія- Стратегія реагування на ризик. Вибирається одна із семи стратегій. Для негативних ризиків: ухилення, зниження, спільне використання. Для позитивних ризиків: передача, використання, посилення. Для всіх ризиків: прийняття.
• Заходи— опис заходів щодо роботи з ризиком відповідно до обраної стратегії реагування.
• Відповідальний— ПІБ члена команди проекту, відповідального за роботу з ризиком.