Вход
Купить систему ГАРАНТ
Получить демо-доступ
Узнать стоимость
Информационный банк
Подобрать комплект
Семинары
Национальный стандарт РФ ГОСТ Р МЭК 31010-2021 "Надежность в технике. Методы оценки риска" (утв. и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 24 сентября 2021 г. N 1011-ст)
-
Приложение А (справочное). Классификация методов
-
Приложение В (справочное). Описание приемов
-
Приложение ДА (справочное). Сведения о соответствии ссылочных международных стандартов национальным стандартам
Dependability in technics. Risk assessment techniques
УДК 658:562.014:006.354
ОКС 03.100.01
Дата введения - 1 января 2022 г.
Введен впервые
Предисловие
1 Подготовлен Закрытым акционерным обществом "Научно-исследовательский центр контроля и диагностики технических систем" (ЗАО "НИЦ КД") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4
2 Внесен Техническим комитетом по стандартизации ТК 119 "Надежность в технике"
3 Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 24 сентября 2021 г. N 1011-ст
4 Настоящий стандарт идентичен международному стандарту МЭК 31010:2019 "Менеджмент риска. Технологии оценки риска" (IEC 31010:2019 "Risk management - Risk assessment techniques", IDT).
Международный стандарт разработан Техническим комитетом IEC/TC 56.
Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).
При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА
5 Введен впервые
Введение
В настоящем стандарте приведено руководство по выбору и применению различных методов, способствующих пониманию риска и учету соответствующей неопределенности.
Эти методы используют:
- в ситуациях, где необходимо более глубокое понимание существующего или другого конкретного риска;
- при принятии решения по результатам сопоставления вариантов, каждому из которых соответствует свой риск, или оптимизации риска;
- в процессе менеджмента риска при выполнении действий по обработке риска.
Эти методы используют на этапах оценки риска, связанных с идентификацией, анализом и сравнительной оценкой риска в соответствии с ИСО 31000, и в более общем случае для понимания неопределенности и ее последствий.
Методы, приведенные в настоящем стандарте, могут быть использованы в широком диапазоне ситуаций в основном в технической области. Некоторые методы похожи по концепции, но имеют различные наименования и методологию, отражающую историю их разработки в различных странах. Методы продолжают развиваться, и многие из них могут быть использованы в широком диапазоне ситуаций, выходящих за границы их первоначального применения. Методы могут быть адаптированы, объединены и применены по-новому или распространены на новые области применения в соответствии с текущими и будущими потребностями.
Настоящий стандарт представляет собой введение в избранные методы и включает в себя сопоставление вариантов их применения, преимуществ и ограничений. В стандарте приведены ссылки на источники более подробной информации.
Пользователями настоящего стандарта являются:
- все участники действий по оценке и менеджменту риска;
- специалисты, участвующие в разработке руководства по оценке риска в конкретных условиях;
- специалисты, принимающие решения в условиях неопределенности, включая:
- специалистов, выполняющих сравнительную оценку риска или назначающих исполнителей такой оценки,
- специалистов, анализирующих и интерпретирующих результаты оценок,
- специалистов, осуществляющих выбор методов оценки в соответствии с конкретными требованиями.
Организации, которые обязаны проводить оценку рисков на соответствие установленным требованиям или целям, получат преимущества при использовании соответствующих стандартизированных методов оценки риска.
Стандарт в первую очередь предназначен для организаций, взаимодействующих с зарубежными партнерами, которые, как правило, не признают применения неидентичных национальных стандартов. Эти проблемы не позволяет решить ГОСТ Р 58771, при разработке которого были использованы основные положения МЭК 31010.
1 Область применения
Настоящий стандарт устанавливает руководство по выбору и применению методов оценки риска в широком диапазоне ситуаций. Эти методы используют при принятии решений в условиях неопределенности, для получения информации о конкретных видах риска при выполнении процесса менеджмента риска. В стандарте приведено краткое описание ряда методов со ссылками на документы, содержащие более подробную информацию.
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты [для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения)]:
ISO Guide 73:2009, Risk management - Vocabulary (Менеджмент риска. Термины и определения)
ISO 31000:2018, Risk management - Guidelines (Менеджмент риска. Принципы и руководство)
3 Термины и определения
В настоящем стандарте применены термины по ИСО 31000:2018, Руководству ИСО 73:2009, а также следующие термины с соответствующими определениями.
Терминологические базы данных ИСО и МЭК доступны по следующим интернет-адресам:
- электронная база МЭК Electropedia по адресу: http://www.electropedia.org/;
- электронная платформа ИСО с функцией онлайн-просмотра терминов по адресу: http://www.iso.org/obp.
3.1 правдоподобность (появления события) (likelihood): Характеристика возможности и частоты появления события.
Примечание 1 - В менеджменте риска термин "правдоподобность" используют как характеристику возможности появления события, которая может быть определенной или неопределенной, измеримой или неизмеримой, объективной или субъективной, иметь качественную или количественную оценку и может быть выражена математически (как вероятность или частота за установленный период времени).
Примечание 2 - Английский термин "правдоподобность" не имеет прямого эквивалента в некоторых языках, вместо которого в этом случае применяют термин "вероятность". В английском языке термин "вероятность" часто применяют как чисто математический термин. Таким образом, в области управления риском в части терминологии термин "вероятность" использован в более широком смысле, чем в других языках, кроме английского.
[ИСО 31000:2018, 3.7]
3.2 возможность (opportunity): Сочетание обстоятельств, которое, как ожидается, будет благоприятно для достижения целей.
Примечание 1 - Возможность - это позитивная ситуация, в которой вероятно получение преимуществ и над которой существует объективный контроль.
Примечание 2 - Возможность для одной стороны может быть угрозой для другой стороны.
Примечание 3 - Как использование, так и неиспользование возможности являются источниками риска.
3.3 вероятность (probability): Мера возможности появления события, выражаемая действительным числом из интервала от 0 до 1, где 0 соответствует невозможному, а 1 - достоверному событию.
Примечание - См. определение 3.1, примечание 2.
3.4 драйвер риска (risk driver, driver of risk): Фактор, оказывающий основное влияние на риск.
3.5 угроза (threat): Потенциальный источник опасности, вреда или другого нежелательного результата.
Примечание 1 - Угроза - негативная ситуация, в которой вероятны потери и которую человек плохо контролирует.
Примечание 2 - Угроза для одной стороны может создавать возможности для другой стороны.
4 Основные концепции
4.1 Неопределенность
Неопределенность - это термин, охватывающий многие основные понятия. Было предпринято много попыток, которые продолжаются по классификации типов неопределенности, включая:
- неопределенность, которая характеризует внутреннюю изменчивость некоторых явлений и не может быть уменьшена в результате дальнейших исследований; например, бросание кубиков (иногда такую неопределенность называют алеаторной неопределенностью);
- неопределенность, которая обычно возникает из-за недостатка знаний (и поэтому может быть уменьшена при получении большего количества данных), уточнения моделей, совершенствования методов отбора проб и т.д. (иногда такую неопределенность называют эпистемической неопределенностью).
Другие общеизвестные формы неопределенности охватывают:
- лингвистическую неопределенность, которая характеризует двусмысленность, присущую разговорной речи;
- неопределенность принятия решений, имеющую особое значение для стратегий менеджмента риска и характеризующую неопределенность, связанную с системами ценностей, профессиональными суждениями, ценностями организации и социальными нормами.
Примерами неопределенности являются:
- неопределенность в отношении истинности предположений, включая предположения о поведении людей или функционировании системы;
- вариабельность параметров, на которых основано принятие решения;
- неопределенность в достоверности или точности моделей, используемых для прогнозирования;
- события (включая изменение обстоятельств или условий), их возникновение, особенности или последствия;
- неопределенность, связанная с разрушительными событиями;
- неопределенные результаты проблем в системе, таких как недостаток компетентного персонала, которые могут иметь широкий диапазон воздействий, четкое определение которых невозможно;
- недостаток знаний, возникающий, когда наличие неопределенности признано, но непонятно;
- непредсказуемость;
- неопределенность, возникающая из-за ограниченности человеческого мышления, например в понимании сложных данных, прогнозировании ситуации с долгосрочными последствиями или формировании объективных выводов.
Не все типы неопределенности могут быть понятны, значение неопределенности может быть трудно или невозможно определить и изменить. Однако признание того, что неопределенность существует в конкретных условиях, позволяет создавать системы раннего обнаружения изменений и принятия мер для повышения устойчивости к неожиданным ситуациям.
4.2 Риск
Риск охватывает воздействие на цели всех форм неопределенности, описанных в 4.1. Воздействие неопределенности может привести к положительным или отрицательным последствиям или к тем и другим одновременно.
Риск часто описывают в терминах источников риска, возможных событий, их последствий и вероятности этих последствий. Событие может иметь несколько причин и привести к нескольким последствиям. Последствия могут быть описаны переменными различного вида, дискретными, непрерывными или неизвестными. Вначале последствия могут быть неразличимыми и не поддающимися оценке, но со временем они могут накапливаться. Источники риска могут иметь присущую им изменчивость или неопределенность, связанную с целым рядом факторов, включая поведение людей, структуру организации, социальные воздействия, для которых может быть трудно предсказать какое-либо конкретное событие, которое может произойти. Отсюда следует, что риск не всегда можно легко свести в таблицу в виде набора событий, их последствий и вероятностей.
Методы оценки риска направлены на то, чтобы помочь людям осознать неопределенность и соответствующий риск в сложных и разнообразных условиях с целью обеспечения информацией принятие решений и выполнение действий.
5 Использование методов оценки риска
Методы, установленные в настоящем стандарте, позволяют улучшить понимание неопределенности и ее последствий для принятия решений и выполнения необходимых действий.
В ИСО 31000 установлены принципы менеджмента риска, а также основы и организационные принципы управления риском. В ИСО 31000 установлен процесс, позволяющий распознать риск, понять и изменить его в соответствии с установленными критериями, которые являются частью процесса. Методы оценки риска могут быть применены в соответствии с этим структурированным подходом, который включает установление условий и области применения менеджмента риска, оценку риска, обработку риска вместе с постоянным мониторингом, анализом, консультациями, записями и отчетностью. Этот процесс показан на рисунке А.1, где также показаны примеры того, где внутри процесса могут быть применены методы.
В процессе, установленном в ИСО 31000, оценка риска включает в себя идентификацию рисков, их анализ и использование полученной в результате анализа информации для количественной и сравнительной оценки риска, для выводов об их значимости по отношению к целям и пороговым показателям работы организации. Этот процесс обеспечивает принятие решений о необходимости, приоритетности и действиях по обработке риска. На практике применяют итерационный подход.
Методы оценки риска, описанные в настоящем стандарте, обычно используют:
- в ситуациях, когда требуется более глубокое понимание существующих рисков или конкретного риска;
- в рамках процесса менеджмента риска, при выборе действий по обработке риска;
- при необходимости сравнения нескольких вариантов или оптимизации риска.
В частности, методы могут быть использованы:
- для обеспечения структурированной информацией принятия решений и выбора действий в условиях неопределенности;
- для точного разъяснения предположений о достижении целей;
- при сравнении различных вариантов, систем, методов или подходов и т.п., когда существует много неопределенностей по каждому варианту;
- при определении реалистичных стратегических и оперативных целей;
- при определении критериев риска организации, таких как границы риска, аппетит риска и способность выдержать риск;
- для учета риска при установлении или повторном анализе приоритетов;
- для более успешного распознавания и использования риска, включая риск, который может привести к экстремальным результатам;
- для понимания, какие неопределенности имеют наибольшее значение для целей организации, и обоснования того, что с ними следует делать;
- для более успешного распознавания или использования возможностей;
- при описании факторов, способствующих возникновению риска, для понимания их значимости;
- при определении эффективных и результативных мер обработки риска;
- для определения последствий, предполагаемых методов обработки риска, включая все изменения особенностей и количественных характеристик риска;
- при обмене информацией о риске и его последствиях;
- при анализе неудач и успехов для улучшения менеджмента риска;
- для демонстрации того, что нормативные и другие требования выполнены.
Способ оценки риска зависит от сложности и новизны ситуации, а также от уровня соответствующих знаний и понимания задачи.
В самом простом случае, когда в ситуации нет ничего нового или необычного, риск хорошо понятен, а последствия и воздействия на заинтересованные стороны не являются существенными, решение о выборе, вероятно, будет принято в соответствии с установленными правилами, процедурами и предыдущими оценками риска.
Для очень новых, сложных или спорных вопросов, где существует высокая неопределенность и мало опыта, имеется мало информации, на основе которой могут быть сделаны оценки, а обычные методы анализа могут оказаться бесполезными или бессмысленными. Это также относится к обстоятельствам, когда заинтересованные стороны придерживаются сильно различающихся взглядов. В этих случаях можно использовать несколько методов для достижения частичного понимания риска, с выводами в отношении организации, социальных ценностей, а также мнения заинтересованных сторон.
Методы, установленные в настоящем стандарте, имеют наибольшее применение в ситуациях между указанными крайностями, когда сложность умеренная и имеется некоторая доступная информация для выполнения оценки.
6 Выполнение оценки риска
6.1 Планирование оценки
6.1.1 Определение цели и области применения оценки риска
Цель оценки риска должна быть установлена с указанием решений или действий, к которым она относится, лиц, принимающих решения, заинтересованных сторон, а также сроков и особенностей требуемой оценки (например, необходима качественная, полуколичественная или количественная информация).
Область применения, глубина и уровень детализации оценки должны быть определены с описанием того, что включено и что исключено. Виды последствий, которые необходимо рассмотреть при оценке риска, должны быть определены. Все условия, предположения, ограничения и необходимые ресурсы, имеющие отношение к деятельности по оценке риска, также должны быть установлены.
6.1.2 Понимание условий
При проведении оценки риска участники оценки должны быть осведомлены обо всех обстоятельствах, в которых принимают решения и выполняют действия на основе оценки риска. Эти обстоятельства включают понимание внутренних и внешних проблем, которые вносят свой вклад в условия работы организации, а также более широких социальных и экологических аспектов. Установление любого условия должно быть рассмотрено и проверено на предмет его актуальности и уместности. Понимание общей картины особенно важно в сложных ситуациях.
6.1.3 Взаимодействие с заинтересованными сторонами
Заинтересованные стороны и тех, кто может внести полезные знания, следует идентифицировать и рассматривать их мнение, независимо от того, являются ли они участниками оценки. Надлежащее вовлечение заинтересованных сторон помогает обеспечить выполнение оценки риска на основе достоверной и применимой информации, а также понимание заинтересованными сторонами причин принятия тех или иных решений. Вовлечение заинтересованных сторон может:
- обеспечить информацию, позволяющую понять условия оценки риска;
- способствовать объединению различных областей знаний и опыта для результативной идентификации и понимания риска;
- обеспечить соответствующую экспертизу при использовании этих методов;
- обеспечить понимание и учет интересов заинтересованных сторон;
- обеспечить исходные данные для процесса определения приемлемости риска, особенно когда риск оказывает влияние на заинтересованные стороны;
- обеспечить выполнение всех требований к информированию или консультированию людей;
- обеспечить сопровождение результатов и решений, принятых на основе оценки риска;
- выявить пробелы в знаниях, которые необходимо устранить до и/или в процессе оценки риска.
Следует решить, каким образом выводы и результаты оценки риска могут быть достоверны, точны и доведены до сведения соответствующих заинтересованных сторон.
Методы получения мнений заинтересованных сторон и экспертов описаны в В.1 приложения В.
6.1.4 Определение целей
Цели конкретной системы или процесса, в отношении которых проводят оценку риска, должны быть определены и там, где это практически осуществимо, документированы. Это облегчает идентификацию рисков и понимание их последствий.
В той мере, в какой это практически осуществимо, цель должна:
- отражать специфику объекта оценки;
- допускать количественное или качественное определение показателей;
- быть достижимой в рамках ограничений, налагаемых условиями;
- соответствовать более широким целям и условиям организации;
- быть выполнимой в установленные сроки.
6.1.5 Учет человеческих, организационных и социальных факторов
Человеческие, организационные и социальные факторы должны быть рассмотрены и приняты во внимание по мере необходимости. Человеческий фактор при оценке риска может быть рассмотрен как источник:
- неопределенности;
- влияния на выбор и применение методов;
- вариантов интерпретаций и использования информации (например, из-за различий восприятия риска).
Деятельность человека (хуже или лучше ожиданий) является источником риска и может также влиять на результативность контроля. Возможные отклонения от ожидаемого или предполагаемого поведения должны быть специально рассмотрены при оценке риска. Рассмотрение работы человека часто является сложным, для идентификации и анализа риска, связанного с работой человека, может потребоваться консультация экспертов.
Человеческий фактор также влияет на выбор и использование методов, особенно там, где необходимо заключение или использование командного подхода. Для уменьшения такого влияния необходима квалифицированная помощь. Такие особенности, как конформизм или чрезмерная уверенность (например, в оценке или восприятии), должны быть рассмотрены везде, где это возможно. Экспертное заключение должно быть подкреплено доказательствами, данными и усилиями, предпринятыми для предотвращения или минимизации когнитивных предубеждений.
Личные цели и ценности людей могут отличаться от целей и ценностей организации. Это может привести к различным представлениям об уровне риска и различным критериям, по которым конкретные люди принимают решения. Организация должна стремиться к достижению общего понимания риска внутри организации и учитывать различные представления заинтересованных сторон.
Социальные аспекты, включая социально-экономическое положение, расовую, этническую принадлежность, культуру, тендерные и социальные взаимоотношения, жилищные и общинные условия, могут влиять на риск как прямо, так и косвенно. Последствия могут быть долгосрочными и не сразу заметными и могут потребовать перспективного планирования.
6.1.6 Критерии анализа для принятия решений
6.1.6.1 Общие положения
Критерии, в том числе в области риска, которые необходимо применять при принятии решений, должны быть рассмотрены до проведения оценки. Критерии могут быть качественными, полуколичественными или количественными. В некоторых случаях могут отсутствовать какие-либо явные критерии; в этом случае заинтересованные стороны используют свои заключения при реагировании на результаты анализа.
Критерии анализа:
- как следует принимать решение о приемлемости риска;
- как необходимо определять относительную значимость риска;
- как следует учитывать при принятии решений из нескольких вариантов, когда каждому варианту соответствует несколько рисков, которые могут иметь положительные и отрицательные последствия;
- как следует учитывать взаимосвязи между различными видами риска.
6.1.6.2 Критерии принятия решения о приемлемости риска
Критерии определения особенностей и уровня риска, который может быть принят при выполнении поставленных целей, иногда называемого аппетитом риска, могут быть заданы путем установления метода определения величины риска или параметра, связанного с риском, вместе с пределом значений этого параметра, за которым риск становится неприемлемым. Предел, установленный для неприемлемого неблагоприятного риска, может быть связан с возможным вознаграждением.
Приемлемый риск также может быть определен путем установления приемлемых отклонений значения показателя, связанного с достижением целей.
В зависимости от вида последствий могут быть установлены различные критерии. Например, критерии приемлемости финансового риска могут отличаться от критериев приемлемости риска, связанного с опасностью для жизни человека.
Ниже приведены примеры анализа, используемого при определении приемлемого риска.
- Риск получения возможностей (RBC) (также называемый риском возможностей): RBC организации обычно определяют в терминах рискового капитала, который доступен для устранения неблагоприятных воздействий соответствующих событий. Для коммерческой фирмы возможности могут быть установлены в терминах максимальных возможностей сохранения активов, или наибольшего финансового убытка, который компания может выдержать без необходимости объявления о банкротстве. Оцененный RBC должен быть объективно проверен с помощью стресс-тестирования возможных сценариев для обеспечения достоверного уровня доверия. Аппетит риска организации отражает готовность руководства использовать свой RBC.
- ALARP/ALARA и SFAIRP: в некоторых сферах законодательно установлены следующие критерии принятия решения об обработке риска, связанного с безопасностью: риск травм или ухудшения здоровья должен быть так мал, "как разумно выполнимо" (ALARP), так мал, "как разумно достижимо" (ALARA), или средства контроля снижают частоту возникновения опасного события до уровня "столь малого, насколько это обоснованно и практически осуществимо" (SFAIRP) (см. В.8.2).
- Критерий "Глобально, по крайней мере эквивалентно" (GALE) [globalement au moins equivalent] (GAME) [1] считается приемлемым для рисков с неблагоприятными последствиями и увеличения риска конкретного источника, если можно продемонстрировать, что риски других источников уменьшились на эквивалентную или большую величину.
- Критерии затрат/преимуществ, такие как стоимость сохраненной жизни или рентабельность инвестиций (ROI).
6.1.6.3 Критерии оценки значимости риска
Критерии риска (в соответствии с которыми определяют значимость риска) могут быть выражены в терминах, которые включают в себя любую из характеристик и мер риска, разработанных в 6.3.5 и 6.3.7. Этические, культурные, правовые, социальные, репутационные, экологические, договорные, финансовые и другие соображения также могут иметь значение.
Оценка значимости риска по сравнению с другими рисками часто основана на оценке уровня риска по сравнению с критериями, которые непосредственно связаны с установленными пороговыми значениями вблизи целей организации. Сопоставление с этими критериями позволяет организации определить риски, которые необходимо обработать на основе возможностей управления результатами, выходящими за пределы пороговых значений, установленных вокруг целей.
Уровень риска редко является единственным критерием, имеющим отношение к принятию решений о значимости риска. Другие факторы могут включать устойчивость (например, тройной запас) и гибкость, этические и правовые критерии, эффективность средств контроля, максимальное воздействие, если средства контроля не применяются или отказали, сроки реализации последствий, затраты на контроль и мнения заинтересованных сторон.
Методы оценки значимости риска описаны в В.8.
6.1.6.4 Критерии выбора варианта
Организация сталкивается со многими вариантами решения, когда может быть затронуто несколько, часто конкурирующих целей и возможны как неблагоприятные, так и благоприятные результаты. Для принятия решений в такой ситуации может потребоваться выполнение нескольких критериев и поиск компромисса между конкурирующими целями. Следует определить критерии, имеющие отношение к данному решению, а также способ сопоставления критериев и достижения компромисса, все это должно быть отражено в записях. При установлении критериев возможно, что затраты и преимущества могут быть различны для разных заинтересованных сторон. Должен быть выбран способ учета различных форм неопределенности.
Методы, описанные в В.9, относятся к выбору варианта.
6.2 Управление информацией и разработка моделей
6.2.1 Общие положения
До и в процессе оценки риска должна быть получена соответствующая информация. Эта информация обеспечивает исходные данные для статистического анализа, моделей или методов, описанных в приложениях А и В. В некоторых случаях информация может быть использована лицами, принимающими решения без дальнейшего анализа.
Информация, необходимая на каждом этапе, зависит от результатов более раннего сбора информации, цели и области применения оценки, а также метода или методов, использованных для анализа. Следует определить способ сбора, хранения и представления информации.
Следует принять решение о том, какие записи о результатах оценки необходимо хранить, а также о том, как их надо выполнять, сохранять, обновлять и представлять тем, кому они необходимы. Источники информации всегда должны быть указаны.
6.2.2 Сбор информации
Информация может быть собрана из литературы, наблюдений и мнений экспертов. Данные могут быть получены, например, на основе измерений, экспериментов, интервью и опросов.
Как правило, данные прямо или косвенно отражают прошлые потери или преимущества. Примерами могут быть отказы или успешная работа конструкции, количество жалоб, финансовые выгоды или потери, воздействия на здоровье, травмы и смертельные случаи и т.п. Также может быть доступна дополнительная информация, например, о причинах отказов или успехов, источниках жалоб, характере травм и т.п. Данные также могут включать выводы на основе моделей или других методов анализа.
Необходимо принять решение по следующим вопросам:
- определить источник информации и его достоверность;
- определить тип информации (например, качественная или количественная или и та и другая одновременно (см. 6.3.7.1));
- установить уровень, к которому относится информация (например, стратегический, тактический, оперативный);
- определить количество и качество необходимых данных;
- выбрать методологию сбора данных;
- установить уровень конфиденциальности информации.
Если используемые при анализе данные являются выборочными, необходимая статистическая достоверность должна быть установлена таким образом, чтобы было собрано достаточное количество данных. Неприменение статистического анализа также следует установить.
При наличии данных или результатов предыдущих оценок необходимо сначала установить, были ли какие-либо изменения в условиях и области применения объекта. При наличии таких изменений необходимо выяснить, когда собраны данные - до изменений или позже.
Достоверность и ограничения любой информации, использованной при оценке, должны быть исследованы с учетом:
- срока давности и актуальности информации;
- источника информации и методов сбора;
- неопределенности и пробелов в информации;
- авторитетности источника или происхождения информации, наборов данных, алгоритмов и моделей.
6.2.3 Анализ данных
Анализ данных может обеспечить:
- понимание прошлых последствий и вероятности их возникновения для приобретения опыта;
- информацию о тенденциях и закономерностях, включая периодичность, что позволяет оценить влияние на будущее;
- данные корреляции, что может выявить возможные причины зависимостей при проверке.
Ограничения и неопределенности данных должны быть идентифицированы и поняты.
Нельзя предполагать, что старые данные можно продолжать применять в будущем, но они могут указать лицам, принимающим решения, вероятные события в будущем.
6.2.4 Разработка и применение моделей
6.2.4.1 Общие положения
Модель - это приближенное представление реальности. Ее цель - представить реальную сложную ситуацию в более простом виде, позволяющем ее проанализировать. Модель может помочь в понимании данных и моделировании развития процессов в различных условиях. Модель может быть физической, представленной с помощью программного обеспечения, или представлять собой набор математических соотношений.
Моделирование обычно включает в себя следующие этапы:
- описание проблемы;
- описание цели построения модели и желаемых результатов;
- разработку концептуальной модели проблемы;
- построение физического, программного или математического представления концептуальной модели;
- разработку программного обеспечения или других методов анализа поведения моделируемого процесса;
- обработку данных;
- проверку или калибровку модели путем анализа результатов в известных ситуациях;
- формулировку выводов на основе модели.
Каждый из этих этапов может включать аппроксимации, предположения и мнения экспертов (по возможности), они должны быть проверены и утверждены людьми, не зависящими от разработчиков. Критические предположения должны быть проанализированы на основе имеющейся информации в отношении их достоверности.
Для достижения достоверных результатов при использовании моделей необходимо утвердить следующее:
- концептуальную модель, адекватно отражающую оцениваемую ситуацию;
- использование модели в соответствии с условиями, для которых она была разработана;
- теоретические концепции, лежащие в основе модели, все связанные с моделью расчеты;
- обоснованность выбора параметров и математических представлений;
- применение математики, на которой основаны расчеты;
- точность и достоверность входных данных и то, что модель позволяет учесть достоверность используемых входных данных;
- работу модели в соответствии с планом без внутренних ошибок или сбоев;
- стабильность модели без излишней чувствительности к небольшим изменениям ключевых входных данных.
Это может быть достигнуто с помощью:
- выполнения анализа чувствительности для проверки чувствительности модели к изменениям входных данных и параметров;
- стресс-тестирования модели с использованием конкретных сценариев и часто экстремальных сценариев;
- сравнения результатов с прошлыми данными (кроме тех, на основе которых они были получены);
- проверки того, что применение модели различными людьми дает аналогичные результаты;
- проверки выходных данных на соответствие фактическим показателям.
Всесторонняя документация о модели, теории и предположениях, на которых она основана, должна быть сохранена и должна быть достаточной для обеспечения валидации модели.
6.2.4.2 Использование программного обеспечения для анализа
Для представления, систематизации данных и анализа могут быть использованы программные средства. Программное обеспечение, используемое для моделирования и анализа, часто обеспечивает простой пользовательский интерфейс и быстрое получение результатов, но это может привести к недопустимым результатам, чего может не заметить пользователь. Недопустимые результаты могут возникнуть:
- из-за неадекватности алгоритмов, используемых для представления ситуации;
- предположений, сделанных при разработке и использовании модели, на которой основано программное обеспечение;
- ошибок при вводе данных, включая непонимание смысла данных;
- проблем преобразования данных при использовании нового программного обеспечения;
- плохой интерпретации результатов.
Приобретаемое программное обеспечение часто является для пользователя черным ящиком и может содержать любую из этих ошибок.
Новое программное обеспечение должно быть протестировано с использованием простой модели с известными входными и выходными данными до его тестирования для сложных моделей. Детали тестирования должны быть сохранены для использования в будущем при появлении версий или программ анализа программного обеспечения.
Ошибки в построенной модели можно проверить, увеличивая или уменьшая входные значения, определяя, соответствуют ли результаты ожидаемым значениям. Это можно применить к каждому значению различных входных данных. Ошибки входных данных часто выявляют при изменении входных данных. Этот подход также дает информацию о чувствительности модели к изменениям данных.
Хорошее знание математики, относящейся к конкретному анализу, позволяет избежать ошибочных выводов. Не только вышеуказанные ошибки вероятны, но и выбор конкретной программы может оказаться неподходящим. Легко следовать программе, предполагая, что ответ будет правильным. Необходимо собрать доказательства проверки того, что результаты верны.
6.3 Применение методов оценки риска
6.3.1 Общие положения
Методы, описанные в приложениях А и В, используют для понимания риска как исходные данные для принятия решений при наличии неопределенности, включая решения о необходимости и способах обработки риска.
Методы оценки могут быть использованы:
- при идентификации риска (см. 6.3.2);
- для определения причин, источников и факторов риска, а также уровня экспозиции риска (см. 6.3.3);
- при исследовании общей результативности контроля и воздействия предлагаемой обработки риска (см. 6.3.4);
- для понимания последствий и вероятности опасных событий (см. 6.3.5);
- для анализа взаимодействий и зависимостей (см. 6.3.6);
- для определения показателей риска (см. 6.3.7).
Факторы, которые необходимо учитывать при выборе конкретного метода для этих действий, описаны в разделе 7.
В общем случае анализ может быть описательным (например, отчет об обзоре литературы, анализ сценариев или описание последствий) или количественным, когда определяют числовые значения. В некоторых случаях для сравнения конкретных видов риска могут быть применены рейтинговые шкалы.
Способ оценки риска и форма выходных данных должны быть совместимы со всеми установленными критериями. Например, количественные критерии требуют применения метода количественного анализа, который позволяет получить выходные данные в соответствующих единицах измерения.
Математические операции следует использовать только в том случае, если это позволяют выбранные метрики. В общем случае не следует использовать математические операции с порядковыми шкалами. Даже в полностью количественном анализе входными данными обычно являются оценки. Результатам не должна быть приписана точность выше точности используемых данных и методов.
6.3.2 Идентификация риска
Идентификация риска позволяет учитывать неопределенность. Все источники неопределенности, как благоприятных, так и неблагоприятных последствий, могут быть уместны в зависимости от условий и области определения оценки риска.
Методы идентификации риска обычно используют знания и опыт специалистов различных заинтересованных сторон (см. В.1.1). Они исследуют следующие вопросы:
- какая неопределенность существует и каковы могут быть ее последствия;
- какие обстоятельства или проблемы (материальные или нематериальные) могут вызвать в будущем последствия;
- какие источники риска присутствуют или могут возникнуть;
- какие существуют средства контроля и эффективны ли они;
- какие события и последствия могут произойти, как, когда, где и почему это может случиться;
- какие события произошли в прошлом и как они могут быть связаны с будущим;
- какие человеческие аспекты и организационные факторы могут быть применены.
При идентификации источников риска или ранних предупреждающих признаков возможных последствий могут быть полезны физические исследования.
Результатом идентификации рисков является перечень рисков с указанием событий, причин и последствий, могут быть использованы и другие подходящие формы представления этой информации.
Какие бы методы ни использовались, идентификацию рисков следует выполнять методично и итеративно для обеспечения тщательности и результативности. Риск должен быть идентифицирован достаточно рано для обеспечения выполнения необходимых действий. Однако возможны ситуации, когда некоторые виды риска не могут быть идентифицированы в процессе оценки риска. Поэтому необходимо создать механизм учета возникающих рисков и раннего распознавания возможных признаков успеха или неудачи.
Методы идентификации риска описаны в В.2.
6.3.3 Определение источников, причин и факторов риска
Идентификация причин, источников и факторов риска может:
- помочь при оценке вероятности события или его последствий;
- помочь в определении методов обработки риска;
- быть полезной при определении показателей раннего предупреждения и пороговых значений их обнаружения;
- определить общие причины, которые могут помочь в разработке приоритетности обработки риска.
Источниками риска могут быть события, решения, действия и процессы, как благоприятные, так и неблагоприятные, а также ситуации, которые существуют, но результаты которых не определены.
Источником риска может быть любая форма неопределенности, описанная в 4.1. События и последствия могут иметь несколько причин или причинно-следственных цепочек.
Риск часто можно контролировать только путем изменения факторов риска. Они влияют на статус и развитие экспозиции риска и часто затрагивают более одного вида риска. В результате факторы риска зачастую требуют больше внимания, чем источники отдельных рисков.
Методы определения источников, причин и факторов риска описаны в В.3.
6.3.4 Исследование результативности существующих средств контроля
На риск влияет общая результативность всех существующих средств контроля. Следует рассмотреть следующие аспекты средств контроля:
- способ назначения средств контроля риска;
- наличие средств контроля, их способность работать в соответствии с назначением и возможность достижения ожидаемых результатов;
- наличие недостатков в конструкции средств контроля или способе их применения;
- наличие пробелов в охвате средствами контроля;
- независимость друг от друга или согласованность функционирования средств контроля для обеспечения результативной работы;
- существование факторов, условий, уязвимости или обстоятельств, которые могут уменьшить или уничтожить результативность контроля, включая отказы по общей причине;
- внесение средствами контроля дополнительных рисков.
Примечание - Риску может соответствовать несколько средств контроля, а средства контроля могут влиять на несколько рисков.
Следует проводить различие между средствами контроля, которые изменяют вероятность, последствия или то и другое вместе, и средствами контроля, которые изменяют распределение риска между заинтересованными сторонами. Например, страхование и другие формы финансовых рисков напрямую не влияют на вероятность реализации события или его результаты и последствия, но могут сделать некоторые из последствий более приемлемыми для конкретной заинтересованной стороны путем уменьшения риска или сглаживания денежных потерь.
Все предположения, сделанные в процессе анализа риска относительно фактического воздействия и достоверности средств контроля, должны быть валидированы, если это возможно - с особым акцентом на отдельных средствах контроля или их комбинациях, которые, как предполагается, оказывают существенное модифицирующее воздействие на риск. Следует учитывать информацию, полученную в ходе регулярного мониторинга и анализа средств контроля.
Методы анализа средств контроля описаны в В.4.
6.3.5 Понимание последствий и вероятности
6.3.5.1 Анализ вида, величины и сроков последствий
Анализ последствий может варьироваться от описания результатов до детального количественного моделирования или анализа уязвимости. При необходимости следует рассматривать косвенные воздействия (эффект домино), когда одно последствие влечет за собой другое.
Риск может быть связан с несколькими различными видами последствий для различных целей. Виды анализируемых последствий должны быть определены при планировании оценки риска. Установленные условия должны быть проверены, чтобы гарантировать, что анализируемые последствия соответствуют целям оценки и принимаемым решениям. Условия могут быть предусмотрены в процессе оценки по мере поступления новой информации.
Величина последствий может быть выражена количественно в виде балльной величины или в виде распределения. Распределение может быть назначено, если:
- значение последствия является неопределенным;
- последствия варьируются в зависимости от обстоятельств;
- параметры, влияющие на последствия, различны.
Рассмотрение полного распределения, связанного с последствием, обеспечивает полную информацию. Можно суммировать распределение в виде точечного значения, такого как математическое ожидание значения (среднее значение), вариации (дисперсия) или процента на хвосте или в другой части распределения (процентиля).
Для любого способа получения точечного значения или значений, представляющих собой распределение последствий, существуют основополагающие предположения и неопределенности относительно:
- формы распределения, выбранной в соответствии с данными (например, непрерывная или дискретная, нормальная или несимметричная);
- наиболее подходящего способа представления этого распределения в виде точечного значения;
- значения балльной оценки из-за присущих ей неопределенностей в данных, на основе которых распределение было построено.
Не следует полагать, что данные, относящиеся к риску, обязательно подчиняются нормальному распределению.
В некоторых случаях информация может быть обобщена в виде качественного или полуколичественного ранжирования, которое может быть использовано при сопоставлении рисков.
Величина последствий может также варьироваться в зависимости от других параметров. Например, последствия воздействия на человека химического вещества обычно зависят от дозы, воздействующей на человека или другое живое существо. В этом примере риск обычно представляют кривой зависимости отклика от дозы, которая изображает вероятность заданной конечной точки (например, смерти) как функцию воздействия кратковременной или накопленной дозы.
Последствия также могут меняться с течением времени. Например, неблагоприятные последствия неисправности могут становиться со временем более значимыми. Следует выбрать соответствующие методы, чтобы это учесть.
Иногда последствия возникают в результате воздействия нескольких источников риска: например, воздействие на окружающую среду или здоровье человека в результате воздействия биологических, химических, физических и психосоциальных источников риска. При рассмотрении нескольких экспозиций риска следует учитывать возможность синергетического воздействия, а также влияние продолжительности и степени воздействия.
6.3.5.2 Анализ вероятности
Вероятность может относиться к вероятности события или к вероятности определенного последствия. Параметр, к которому относится значение вероятности, должен быть точно установлен, а событие или последствие, вероятность которого необходимо установить, должны быть четко определены. Для полного определения вероятности необходимо определить воздействие и его продолжительность.
Вероятность может быть описана различными способами, в том числе как математическое ожидание, вероятность или частота или в виде описательной формулировки (например, "весьма вероятно"). Если используют описательную формулировку, ее смысл должен быть определен. Вероятность может иметь неопределенность, которая может быть представлена в виде распределения значений, показывающих степень уверенности в том, что возникает конкретное значение.
Если в качестве меры уровня вероятности используют проценты, исследуемые события, по отношению к которым определяют процент, должны быть установлены.
Пример 1 - Утверждение, что шанс того, что поставка будет сорвана, составляет 5 %, является неясным с точки зрения периода времени и совокупности. Также неясно, относится ли этот процент к 5 % проектов или к 5 % поставщиков. Более точным является утверждение: "Вероятность того, что один или несколько поставщиков сорвут поставку товаров или услуг, необходимых для проекта, в течение срока действия проекта составляет 5 % от всех проектов".
Чтобы минимизировать неверные интерпретации при описании вероятности, как в качественном, так и в количественном виде должны быть четко определены период времени и совокупность в соответствии с областью определения конкретной оценки.
Пример 2 - Вероятность того, что один или несколько поставщиков не сорвут поставку необходимых товаров или услуг для проекта в течение ближайших двух месяцев, составляет 1 % проектов, а в течение шести месяцев срыв поставок может произойти в 3 % проектов.
Существует множество возможных смещений, которые могут повлиять на оценки вероятности. Кроме того, интерпретация оценки вероятности может применяться в зависимости от особенностей задачи. Следует позаботиться о том, чтобы понять возможные последствия индивидуальных (когнитивных) и культурных искажений.
Методы понимания последствий и вероятности описаны в В.5.
6.3.6 Анализ взаимодействий и зависимостей
Обычно между рисками существует много взаимодействий и зависимостей. Например, несколько последствий могут возникнуть по одной причине или конкретное последствие может иметь несколько причин. Возникновение одних рисков может сделать возникновение других рисков более или менее вероятными, и эти причинно-следственные связи могут образовывать цепочки или петли.
Для определения более надежной оценки риска в ситуации, когда причинно-следственные связи между рисками существенны, полезно создание причинно-следственной модели, включающей риски. Связи между рисками могут быть найдены в информации о риске, такой как сведения об общих причинах опасного события, факторах риска или общих результатах событий.
Взаимодействия между рисками могут иметь много воздействий на принятие решений, например повышение значимости деятельности, касающейся нескольких связанных рисков, или увеличение привлекательности одного варианта перед другими. Риск может поддаваться обычным методам обработки, могут быть ситуации, когда обработка одного риска имеет положительное или отрицательное значение в других местах. Действия по обработке риска могут быть объединены во времени, это позволяет значительно уменьшить объем работы и сбалансировать имеющиеся ресурсы. Скоординированный план обработки риска должен учитывать факторы, а не предполагать, что каждый риск должен быть обработан отдельно от других.
Методы анализа взаимодействий и зависимостей описаны в В.6.
6.3.7 Понимание мер риска
6.3.7.1 Определение мер риска
В некоторых ситуациях полезно использовать меру риска в виде некоторой комбинации величины возможных последствий и вероятности этих последствий. При этом могут быть использованы качественные, полуколичественные и количественные величины.
Применение качественных величин обычно предполагает использование описательных (символических) или ранговых (порядковых) шкал последствий и вероятностей.
Применение полуколичественных величин включает три варианта:
- один параметр (обычно вероятность) является количественным, а другой описательным или может быть выражен с помощью ранговой шкалы;
- шкалы делят на дискретные полосы, границам которых приписаны количественные значения. Точки на шкале часто устанавливают так, чтобы они имели логарифмическую связь с данными;
- точки шкалы ставят в соответствии с числовыми идентификаторами, значениям которых соответствуют качественные описания.
Использование полуколичественных шкал может привести к неверным толкованиям, если для всех расчетов не приведены тщательные объяснения. Поэтому полуколичественные подходы необходимо проверять и использовать с осторожностью.
Применение количественных величин предполагает использование числовых значений мер последствий и вероятностей. При выполнении количественного анализа риска необходимо обеспечить, чтобы для оценки были использованы соответствующие величины и единицы измерения.
Качественные и полуколичественные методы могут быть использованы только при сопоставлении рисков, измеряемых одним и тем же способом или с помощью критериев, выраженных в одних тех же терминах и понятиях. Качественные и полуколичественные методы не могут быть использованы для непосредственного объединения или комбинирования рисков, их очень трудно использовать в ситуациях, когда существуют как положительные, так и отрицательные последствия или когда необходим компромиссный вариант.
Если количественная оценка риска представляет собой произведение показателя последствия на вероятность, часть информации может быть потеряна. В этом случае нет различий между рисками с высокими последствиями и низкой вероятностью и рисками с низкими последствиями и высокой вероятностью. Для компенсации этого явления могут быть применены весовые коэффициенты к последствиям или вероятности; однако это следует делать с осторожностью.
Риск не всегда может быть адекватно описан или оценен как единственная величина, представляющая вероятность конкретного последствия. Примеры, когда это применимо, включают ситуации, в которых:
- последствия лучше всего выражаются в виде вероятностного распределения последствий;
- событие имеет несколько различных причин и приводит к целому ряду исходов и возможных косвенных последствий;
- последствия возникают совместно в результате постоянного воздействия источника риска;
- источники риска (например, проблемы системы) идентифицированы, но для них очень трудно определить характеристики и/или вероятность возможных последствий. (В данном случае определение достоверной оценки величины риска с точки зрения вероятности и последствий невозможно.)
Если для риска существует распределение возможных последствий, мера риска может быть получена в виде средневзвешенной по вероятности величины последствий (то есть математического ожидания). Однако такая мера не всегда подходит - она отражает среднее последствие распределения. Это приводит к потере информации о менее вероятных последствиях, которые могут быть значительными и, следовательно, важны для понимания риска. Методы работы с экстремальными значениями не включены в настоящий стандарт.
Примечание - При определении математического ожидания или среднего значения суммируют все произведения пар последствие/вероятность по распределению, это эквивалентно среднему последствий распределения.
Пример - Количественные показатели величины риска включают в себя:
- среднюю частоту реализации определенного последствия, такого как количество дорожно-транспортных происшествий на тысячу километров, в регионе;
- среднее время между исследуемыми событиями, например среднюю продолжительность работоспособного состояния объекта;
- вероятность достижения заданной конечной точки в результате определенного периода воздействия (когда последствия зависят от продолжительности воздействия), такая как вероятность возникновения рака в течение жизни в результате воздействия определенной дозы химического вещества;
- среднюю стоимость, например ожидаемую доходность или финансовую прибыль от инвестиционного периода или ожидаемую нагрузку на здравоохранение с точки зрения скорректированной инвалидности в течение жизни в расчете на миллион человек в год;
- статистику, представляющую форму распределения последствий, таких как дисперсия или волатильность доходности инвестиций;
- значения на уровне выше или ниже заданного процентиля распределения последствий.
Пример - Прибыль от проекта, вероятность достижения которой составляет 90 %, или величина риска (VaR) проекта, которая показывает возможный убыток за определенный период времени с заданной вероятностью;
- экстремальную меру, связанную с распределением последствий, такую как ожидаемые максимальные последствия.
Показатели, основанные на последствиях, такие как вероятные максимальные потери, в основном используют, когда трудно определить, какие средства контроля могут отказать или где недостаточно данных для оценки вероятности.
Величина риска зависит от предположений о наличии и результативности соответствующих средств контроля. Часто используют такие термины, как присущий или общий риск (в ситуации, когда предполагается, что средства контроля работают в соответствии с назначением). Однако трудно однозначно определить эти термины, поэтому желательно всегда четко указывать предположения, сделанные относительно средств контроля.
При документировании информации о риске, как в качественном, так и в количественном виде, неопределенность, соответствующая предположениям, входным и выходным параметрам, должна быть описана.
6.3.7.2 Агрегирование показателей риска
В некоторых случаях (например, при распределении капитала) полезно объединить значения для установления одной величины риска. Могут быть объединены риски, характеризующиеся последствиями, измеряемыми в одних и тех же единицах, например в денежном выражении. То есть риски могут быть объединены только тогда, когда последствия и вероятность описаны количественно, а единицы измерений корректны. В некоторых ситуациях может быть использована мера полезности в качестве общей шкалы количественной оценки и объединения последствий, измеряемых в различных единицах измерения.
При разработке единой объединенной величины для набора более сложных рисков теряется информация о составляющих риска. Кроме того, без должного внимания при оценке объединенная величина может быть неточной и даже ошибочной. Во всех методах объединения рисков в единственную величину использованы предположения, которые следует осознать до применения метода. Данные следует проанализировать для выявления корреляций и зависимостей, которые могут повлиять на объединение рисков. Методы моделирования, используемые для определения объединенного уровня риска, должны быть подкреплены анализом сценариев и данными стресс-тестирования.
Если модели включают вычисления, включающие распределения, они должны включать учет корреляций между этими распределениями соответствующим образом. Если корреляция не учтена, результаты могут быть неточными и ошибочными. Объединение рисков простым суммированием может служить основой для принятия решений и может привести к нежелательным последствиям. Для объединения распределений может быть использовано моделирование методом Монте-Карло (см. В.5.10).
Качественные или полуколичественные показатели риска не могут быть объединены непосредственно. Таким образом, могут быть сделаны только общие качественные заявления об относительной результативности средств контроля и управления на основе изменения уровня риска.
Соответствующие данные о различных рисках могут быть объединены различными способами для помощи разработчикам при принятии решений. Можно провести качественное объединение на основе мнений экспертов с учетом более подробной информации о рисках. При проведении качественного объединения риска сделанные предположения и использованная информация должны быть записаны.
6.3.7.3 Социальный риск
Если население подвержено воздействию социального риска, простое объединение индивидуального уровня риска, умноженного на объем популяции, подверженной воздействию опасности, в большинстве случаев не адекватно отражает истинное влияние последствий. Например, риск гибели человека в результате такого события, как разрушение плотины, необходимо рассматривать по-разному для отдельного человека и для группы людей.
Социальный риск обычно выражают и оценивают в терминах соотношения между частотой возникновения последствий (F) и количеством людей, подверженных последствиям (N) (см. диаграммы F-N в В.8.3).
Методы, обеспечивающие меру риска, описаны в В.7.
6.4 Обзор результатов анализа
6.4.1 Верификация и валидация результатов
Там, где это практически осуществимо, результаты анализа должны быть верифицированы и валидированы. Верификация включает в себя проверку того, что анализ выполнен корректно. Валидация включает в себя проверку того, что с точки зрения установленных целей анализ проведен правильно. Для некоторых ситуаций верификация и валидация могут включать в себя процессы независимого анализа.
Валидация может включать в себя:
- проверку соответствия области применения анализа установленным целям;
- анализ всех критических предположений для обеспечения их достоверности в свете имеющейся информации;
- проверку использования соответствующих методов, моделей и данных;
- использование нескольких методов, аппроксимаций и анализа чувствительности для проверки и валидации выводов.
Верификация может включать в себя:
- проверку правильности математических преобразований и расчетов;
- проверку того, что результаты нечувствительны к способу отображения или представления данных и результатов;
- сравнение результатов с прошлым опытом (при наличии данных) или сравнение с результатами после их реализации;
- определение чувствительности результатов к способу отображения и представления данных или результатов и идентификация входных параметров, оказывающих существенное воздействие на результаты оценки;
- сравнение результатов с прошлым или последующим опытом, включая получение данных обратной связи с течением времени.
6.4.2 Анализ неопределенности и чувствительности
Специалисты, анализирующие риск, должны понимать наличие неопределенности в анализе и оценивать их влияние на достоверность результатов. О неопределенностях и их влиянии всегда должны быть информированы лица, принимающие решения.
Неопределенность результатов анализа может быть вызвана:
- вариабельностью рассматриваемой системы;
- получением данных из ненадежного источника, их несогласованностью или недостаточным объемом, например, при изменении типа собранных данных или методов их сбора;
- неоднозначностью понимания, например, установленных качественных идентификаторов;
- неадекватным отражением сложности системы в методе анализа;
- высокой зависимостью от мнений экспертов или суждений людей;
- отсутствием необходимых данных;
- использованием для прогнозирования данных, полученных ранее, из-за произошедших изменений;
- неопределенностями или аппроксимациями в используемых предположениях.
Если в процессе анализа выявлен недостаток достоверных данных, следует по возможности собрать дополнительные данные. Это может быть связано с внедрением новых способов мониторинга. В качестве альтернативы процесс анализа может быть скорректирован с учетом ограниченности данных.
Для оценки значимости неопределенностей в данных или в предположениях, используемых при анализе, может быть проведен анализ чувствительности. Анализ чувствительности включает в себя определение относительного изменения результатов, вызванного изменением отдельных входных параметров. Его используют для идентификации данных, которые должны быть точными, и данных, которые меньше влияют на общую точность. Параметры, к которым чувствителен анализ, и степень чувствительности должны быть указаны там, где это необходимо.
Параметры, критичные для оценки, изменение которых возможно, должны быть идентифицированы для постоянного мониторинга с тем, чтобы при необходимости оценка риска могла быть обновлена, а решения пересмотрены.
6.4.3 Мониторинг и анализ
Мониторинг используют:
- для сопоставления фактических результатов с результатами, спрогнозированными по результатам оценки риска, и, следовательно, для совершенствования оценок в будущем;
- поиска предвестников и ранних признаков возможных последствий, выявленных с помощью оценки;
- сбора данных, необходимых для хорошего понимания риска;
- поиска новых рисков и неожиданных изменений, которые могут указывать на необходимость обновления оценки.
Если анализ чувствительности указывает на параметры, имеющие особое значение для результатов анализа, они также должны быть рассмотрены для включения в мониторинг.
Оценки необходимо периодически пересматривать для идентификации наличия изменений, включая изменения в области применения, условиях и предположениях, а также при наличии новой информации или доступных новых методов.
6.5 Применение результатов для принятия решений
6.5.1 Общие положения
Результаты анализа риска служат основой для принятия решений и выполнения необходимых действий.
Примечание - Понимание риска помогает выполнению действий даже при отсутствии явного процесса принятия решений.
Факторы, рассматриваемые при принятии решений, и все установленные критерии должны быть определены при установлении области определения и условий оценки риска (см. 6.1.6).
Можно выделить два типа решений:
- решения о значимости риска, а также о том, следует ли проводить обработку риска и как это необходимо делать;
- решения по результатам сопоставления вариантов, когда каждый из вариантов имеет неопределенность (например, к какой из нескольких благоприятных возможностей надо стремиться).
6.5.2 Решения о значимости риска
Информация, полученная в результате идентификации и анализа риска, может быть использована для получения выводов о возможности принятия риска и сравнительной значимости риска по отношению к цели и пороговым показателям деятельности организации. Это обеспечивает входные данные при принятии решения о приемлемости риска или необходимости его обработки, а также обо всех приоритетах обработки.
Некоторые риски могут быть приняты на ограниченный период времени (например, на время выполнения обработки). Оценщик должен четко представлять себе механизмы принятия рисков во времени и процессы, которые будут использованы при последующем пересмотре.
Приоритеты для обработки, мониторинга или более детального анализа часто основаны на величине риска, полученной путем объединения характерных последствий и их вероятности, их отображают с использованием матрицы последствий/вероятностей (В.10.3). Этот метод имеет некоторые ограничения (см. В.10.3.5 и 6.3.7.1). Факторы, отличные от величины риска, которые должны быть учтены при принятии решений о приоритетности, включают в себя:
- другие меры, связанные с риском, такие как максимальные или средние последствия или результативности средств контроля;
- качественные характеристики событий и их возможные последствия;
- мнения и представления заинтересованных сторон;
- стоимость и целесообразность дальнейшей обработки по сравнению с полученным улучшением;
- взаимодействие между рисками, включая воздействия обработки на другие риски.
После того как риски оценены и принято решение об обработке рисков, процесс оценки рисков может быть повторен для проверки того, что предлагаемые методы обработки не создали дополнительных неблагоприятных рисков и что риск, остающийся после обработки, находится в установленных пределах (границах аппетита риска организации).
Методы оценки значимости риска описаны в В.8.
6.5.3 Решения, связанные с выбором вариантов
Выбор из нескольких вариантов обычно включает рассмотрение возможных преимуществ и недостатков каждого варианта с учетом его неопределенностей, в том числе:
- неопределенностей, соответствующих результатам варианта и оценкам затрат и преимуществ;
- возможных событий и разработок, которые могут повлиять на результаты;
- различных значений, которые заинтересованные стороны придают затратам и преимуществам;
- неопределенности заключений, сделанных на основе результатов анализа рисков, включая необходимость сохранения неизменными целей и критериев в будущем.
Такой тип решений часто принимают с использованием мнений экспертов на основе понимания результатов анализа вариантов и соответствующих им рисков, с учетом:
- необходимых компромиссов между конкурирующими целями;
- аппетита риска организации;
- различных мнений и убеждений заинтересованных сторон.
Методы, которые могут быть использованы при сопоставлении вариантов с учетом неопределенности, описаны в В.9.
6.6 Записи и отчетность об оценке рисков
Результаты оценки рисков, используемые методы, обоснование предположений и все рекомендации должны быть документированы и должно быть принято решение о том, кого и о чем следует информировать. Способ анализа и обновления записей должен быть определен.
Цель записей состоит:
- в обмене информацией о рисках с лицами, принимающими решения, и другими заинтересованными сторонами, включая руководителей;
- обеспечении учета и обоснования принятых решений;
- сохранении результатов оценки для дальнейшего использования и в качестве справочной информации;
- отслеживании изменения показателей и их тенденции;
- обеспечении уверенности в том, что риски поняты и учтены при управлении организацией;
- возможности верификации оценки риска;
- обеспечении прослеживаемости результатов аудита.
Из этого следует, что вся документация или записи должны быть представлены своевременно и в форме, понятной тем, кто их прочтет. Документы также должны обладать необходимой технической глубиной для валидации и достаточной детализацией будущего использования оценки. Представленная информация должна быть достаточной для прослеживания, анализа и валидации результатов. Предположения, ограничения в данных или методах и обоснование всех сделанных рекомендаций должны быть ясны.
Риск должен быть выражен в понятных терминах и единицах измерения, в которых количественные меры должны быть четкими и правильными.
Те, кто представляет результаты, должны характеризовать свою уверенность или уверенность своей команды в точности и полноте полученных результатов. Неопределенность должна быть адекватно сообщена таким образом, что отчет не гарантирует достоверности за рамками фактических данных.
Методы выполнения записей и отчетности описаны в В.10.
7 Выбор методов оценки риска
7.1 Общие положения
В данном разделе описаны факторы, которые следует учитывать при выборе методов для конкретной цели. В приложениях А и В перечислены и приведены разъяснения некоторых широко применяемых методов. В них описаны особенности каждого метода, его возможная область применения и присущие ему преимущества и недостатки.
Многие из методов, описанных в настоящем стандарте, были первоначально разработаны для конкретных отраслевых целей и направлены на управление конкретными типами нежелательных результатов. Несколько методов похожи, но используют различную терминологию, отражающую их самостоятельное развитие в течение определенного периода времени и аналогичное назначение в разных отраслях. Со временем применение многих из этих методов изменилось; например, расширилась область их применения до финансовых или управленческих ситуаций с рассмотрением как положительных, так и отрицательных результатов. Появились новые методы, а старые адаптированы к новым обстоятельствам. Методы и их применение продолжают развиваться. Существует возможность более глубокого понимания риска, используя методы вне их первоначальной области применения. Таким образом, в приложениях А и В указаны характеристики методов, которые могут быть использованы для определения набора обстоятельств, к которым они могут быть применены.
7.2 Выбор методов
Выбор метода и способ его применения должны быть адаптированы к условиям использования, а также должна быть представлена информация того типа и формы, которые необходимы заинтересованным сторонам. В целом количество и тип выбранных методов должны быть согласованы со значимостью принимаемых решений с учетом ограничений по времени, другим ресурсам и возможным затратам.
При принятии решения о том, какой метод (качественный или количественный) является более подходящим, основным критерием является форма результатов, наиболее используемая заинтересованными сторонами, а также доступность и достоверность данных. Количественные методы обычно требуют высококачественных данных, если они должны обеспечить значимые результаты. Однако в некоторых случаях, когда данных недостаточно, строгое применение количественного метода может обеспечить лучшее понимание риска, даже если результат расчетов может быть неопределенным.
Часто выбор метода соответствует конкретным обстоятельствам. Возможно, потребуется рассмотреть несколько методов, а применение более одного метода иногда может обеспечить полезное дополнительное понимание проблемы [2]. Различные методы также могут быть применены по мере увеличения количества доступной информации.
Поэтому при выборе метода следует учитывать следующее:
- цель оценки;
- потребности заинтересованных сторон;
- все правовые, нормативные и договорные требования;
- условия и сценарий функционирования;
- важность принятого решения (например, последствия принятия неправильного решения);
- все определенные критерии принятия решений и их форму;
- время до принятия решения;
- информацию, которая доступна или может быть получена;
- сложность ситуации;
- имеющийся опыт или знания, которые могут быть получены.
Характеристики методов, соответствующих этим требованиям, перечислены в таблице А.1. В таблице А.2 приведен перечень методов, классифицированных в соответствии с этими характеристиками.
По мере увеличения неопределенности, сложности и неоднозначности условий возрастает необходимость консультаций с более широкой группой заинтересованных сторон с последствиями для сочетания выбранных методов.
Примечание - Например, в IEC TR 63039:2016 [50] приведено руководство по использованию методов ETA, FTA и Марковских методов, так что их комбинированное использование является эффективным способом анализа риска сложных систем.
Некоторые из методов, описанных в настоящем стандарте, могут быть применены на этапах процесса менеджмента риска в дополнение к их использованию при оценке риска. Применение методов в процессе менеджмента риска показано на рисунке А.1. Таблица А.3 иллюстрирует их применение при оценке риска.
В приложении В приведены обзор каждого метода, его использование, входы и выходы, преимущества, а также ограничения и, где это применимо, ссылки на источники детальной информации. В приложении В дана классификация методов в соответствии с их основным применением при оценке риска, а именно:
- выявлением мнений заинтересованных сторон и экспертов (В.1);
- идентификацией риска (см. В.2);
- определением источников, причин и факторов риска (В.3);
- анализом существенных средств контроля (В.4);
- пониманием последствий и вероятности (см. В.5);
- анализом зависимостей и взаимодействий (см. В.6);
- обеспечением мер риска (см.В.7);
- оценкой значимости риска (см. В.8);
- выбором вариантов (см. В.9);
- выполнением записей и отчетности (см.В.10).
Внутри каждой группы методы расположены в алфавитном порядке, а не в соответствии с важностью и значимостью.
В большинстве методов, приведенных в приложении В, предполагается, что риски или источники риска могут быть идентифицированы. Существуют также методы, которые могут быть использованы для косвенной оценки остаточного риска путем рассмотрения существующих средств контроля и требований (см. МЭК 61508 [36]).
Несмотря на то, что в настоящем стандарте рассмотрены и приведены примеры методов, перечень описанных методов не является исчерпывающим и не приведены рекомендации относительно эффективности какого-либо метода в заданных обстоятельствах. Следует проявлять осторожность при выборе метода, чтобы гарантировать его применимость, достоверность и результативность.
Библиография
Ключевые слова: угроза, вред, событие, риск последствия, оценка риска, обработка риска, принятие решения о риске, идентификация риска, анализ риска, методы анализа риска.
Откройте актуальную версию документа прямо сейчас
Если вы являетесь пользователем интернет-версии системы ГАРАНТ, вы можете открыть этот документ прямо сейчас или запросить по Горячей линии в системе.
Национальный стандарт РФ ГОСТ Р МЭК 31010-2021 "Надежность в технике. Методы оценки риска" (утв. и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от 24 сентября 2021 г. N 1011-ст)
Текст ГОСТа приводится по официальному изданию Российского института стандартизации, Москва, 2021 г.
Дата введения - 1 января 2022 г.