4.3.4 Оценка риска
Оценка риска — процесс, объединяющий идентификацию, анализ и сравнительную оценку риска.
Риск может быть оценен для всей организации, ее подразделений, отдельных проектов, деятельности или конкретного опасного события. Поэтому в различных ситуациях могут быть применены различные методы оценки риска.
Оценка риска обеспечивает понимание возможных опасных событий, их причин и последствий, вероятности их возникновения и принятие решений:
- о необходимости предпринимать соответствующие действия;
- о способах максимальной реализации всех возможностей снижения риска;
- о необходимости обработки риска;
- о выборе между различными видами риска;
- о приоритетности действий по обработке риска;
- о выборе стратегии обработки риска, позволяющей снизить риск до приемлемого уровня.
4.3.5 Обработка риска
После завершения оценки риска принимают и выполняют одно или несколько решений об обработке риска, позволяющих изменить вероятность возникновения опасного события и/или его воздействие.
Обработка риска обычно является адаптивным процессом проверки риска на его приемлемость и
соответствие ранее установленным критериям для определения необходимости дальнейшей обработки риска.
4.3.6 Мониторинг и анализ
Мониторинг и анализ риска являются составной частью процесса менеджмента риска. Регулярное
проведение мониторинга, анализа и управления риском направлены на проверку:
- достоверности предположений о риске;
- достоверности предположений, на которых основана оценка риска, включая внешние и внутренние
области применения;
- достижимости ожидаемых результатов;
- соответствия результатов оценки риска фактической информации о риске;
- правильности применения методов оценки риска;
- эффективности обработки риска.
Процессы мониторинга и анализа риска должны быть документированы, а результаты мониторинга и анализа риска зафиксированы в отчете.
5 Процесс оценки риска
Оценка риска является процессом, объединяющим идентификацию, анализ риска и сравнительную оценку риска (см. рисунок 1). Способ реализации этого процесса зависит не только от области применения процесса менеджмента риска, но также и от методов оценки риска.
5.2 Идентификация риска
Идентификация риска — это процесс определения элементов риска, составления их перечня и описания каждого из элементов риска.
Целью идентификации риска является составление перечня источников риска и событий, которые
могут повлиять на достижение каждой из установленных целей организации или сделать выполнение этих целей невозможным. После идентификации риска организация должна идентифицировать существенные особенности проекта, персонал, процессы, системы и средства управления.
Процесс идентификации риска включает в себя идентификацию причин и источников опасных событий, ситуаций, обстоятельств или риска, которые могут оказать существенное воздействие на достижение
целей организации, и характер этих воздействий.
Методы идентификации риска могут включать в себя:
- методы оценки риска на основе документальных свидетельств, примерами которых являются анализ контрольных листов, анализ экспериментальных данных, а также данных и событий, произошедших в прошлом;
- подход, в соответствие с которым группа экспертов следует установленному процессу идентификации риска посредством структурированного множества подсказок или вопросов;
- индуктивные методы, такие как HAZOP.
Для повышения точности и полноты идентификации риска могут быть использованы различные вспомогательные методы, например метод мозгового штурма и метод Дельфи.
Независимо от фактически используемых методов при идентификации риска важно учитывать человеческие и организационные факторы. Отклонения, вызванные воздействием человеческих и организационных факторов, а также опасные события, связанные с информационными технологиями, должны быть учтены в процессе идентификации риска.