Место стандарта в системе документов
ГОСТ Р ИСО 31000 задает рамку, принципы, структуру и процесс. Он намеренно не содержит методов, потому что они зависят от отрасли и задачи. Методы вынесены в ГОСТ Р 58771 – 2019 «Менеджмент риска. Технологии оценки риска», российскую версию международного документа IEC 31010.
Практический смысл для компании простой. В методологии управления рисками достаточно написать, что оценка проводится методами, приведенными в ГОСТ Р 58771, и перечислить те пять-шесть, которыми компания действительно пользуется. Это снимает половину вопросов аудита о происхождении методики.
Методы, которые реально применяются в России
Из более чем тридцати описанных в стандарте.
| Метод | Где применяется | Трудоемкость |
|---|---|---|
| Мозговой штурм и структурированное интервью | Идентификация рисков на старте и при пересмотре | Низкая |
| Матрица последствий и вероятностей | Приоритизация корпоративного реестра | Низкая |
| Анализ видов и последствий отказов | Оборудование, технологические линии | Средняя |
| Анализ галстук-бабочка | Промышленная безопасность, разговор с руководством | Средняя |
| Анализ дерева отказов и дерева событий | Опасные производственные объекты | Высокая |
| Анализ сценариев | Стратегические риски, стресс-тесты | Средняя |
| Моделирование Монте-Карло | Резервы проектов и бюджетов | Высокая |
| Анализ причин и последствий | Расследование инцидентов | Средняя |
Как стандарт описывает каждый метод
Структура одинаковая, это удобно при выборе.
- Краткое описание и область применения
- Что требуется на входе, данные, время, квалификация
- Порядок выполнения
- Что получается на выходе и в каком виде
- Сильные стороны и ограничения
- Применимость к этапам процесса, идентификация, анализ, сравнительная оценка
Чего в стандарте нет
Стандарт не выбирает метод за вас и прямо говорит, что универсального метода не существует. Он также не содержит шкал, порогов и критериев существенности, это зона ответственности компании.
И еще одно, о чем часто забывают. Наличие ссылки на ГОСТ Р 58771 в методологии не означает, что компания применяет описанные в нем методы. Аудит проверяет не ссылку, а следы применения, протоколы сессий, расчеты, обоснования оценок. Ссылка без следов работает против компании.
Частые вопросы
Нет, это стандарт добровольного применения. Обязательность может возникнуть, если он указан в договоре, в требованиях заказчика или во внутреннем документе самой компании.
Можно. Стандарт не ограничивает перечень, но авторский метод придется описывать и обосновывать самостоятельно.
Пять основных стандартов по управлению рисками выложены на нашем сайте в разделе стандартов, скачивание без регистрации.
Проверьте зрелость своей системы управления рисками
Тринадцать вопросов по пяти уровням ГОСТ Р 70350, результат сразу: уровень, три главных пробела и следующий шаг.
