Действующий
Риски обычно перечисляются как отдельные события, но взаимозависимости могут быть отмечены. При записи информации о рисках следует четко определять различия между рисками (потенциальные последствия того, что может произойти), источниками риска (как и почему это может произойти) и неэффективными мерами по управлению ими. Также может быть полезно указать признаки того, что событие может произойти в ближайшее время.
Многие реестры рисков также включают некоторый рейтинг значимости риска, указание того, считается ли риск приемлемым или допустимым, или требуется ли дальнейшая обработка риска и причины этого решения. Если рейтинг значимости применяется к риску, основанному на последствиях и их вероятности, он должен учитывать вероятность того, что меры по управлению риском будут неэффективны. Неэффективным мерам по управлению риском не должен присваиваться уровень риска, как если бы это был отдельный риск.
Риски с положительными последствиями могут быть записаны в том же документе, что и те, где последствия являются отрицательными, или отдельно. Возможности (которые представляют собой обстоятельства или идеи, которые могут быть использованы, а не случайные события) обычно документируются отдельно и анализируются таким образом, чтобы учитывать издержки, выгоды и любые потенциальные негативные последствия. Такой документ иногда называют реестром стоимости и возможностей.
Реестр рисков используется для документирования и отслеживания информации об отдельных рисках и управлении ими. Он может использоваться для передачи информации о рисках причастным сторонам и выделения особо важных рисков. Он может использоваться на корпоративном уровне, уровне подразделения или проекта, но, как правило, наиболее часто используется на операционном уровне, где существует большое количество рисков и мер по управлению и обработке риска, которые необходимо отслеживать. Информация из реестра рисков может быть консолидирована для предоставления информации для высшего руководства.
Реестр рисков может использоваться в качестве основы для отслеживания реализации методов обработки риска, поэтому он может содержать информацию о данных методах и способах их реализации или ссылаться на другие документы или базы данных с этой информацией (в такую информацию могут входить владельцы рисков, действия, владельцы действий, краткие сводки дел, бюджеты и сроки и т.д.). В некоторых ситуациях может быть предусмотрена определенная форма реестра рисков.
Входы в реестр рисков, как правило, являются результатом технологий оценки риска, таких как описанные в разделах Б.1 - Б.4, дополненные отчетами об ошибках.
- информация о рисках объединяется в форму, в которой можно определить и отслеживать требуемые действия;
- информация о различных рисках представлена в сопоставимом формате, который может использоваться для определения приоритетов и к которому относительно легко обращаться для получения информации;
- создание реестра рисков обычно вовлекает в процесс многих людей и повышает общую осведомленность о необходимости управления рисками.
- риски, зафиксированные в реестрах рисков, обычно основаны на событиях, что может затруднить точное описание некоторых форм риска (см. 4.2);
- кажущаяся простота использования может привести к чрезмерной уверенности в информации, поскольку зачастую бывает сложно описывать риски последовательно, а источники риска, риски и недостатки в мерах управления рисками часто путают;
- существует много разных способов описания риска, и выделение приоритетных рисков будет зависеть от способа их описания и уровня дезагрегации проблемы;
- необходимы значительные усилия для поддержания реестра рисков в актуальном состоянии (например, все предлагаемые методы воздействия должны быть указаны в качестве текущих мер по управлению после их внедрения, возникающие риски должны постоянно добавляться, а те, которые больше не существуют, удаляться);
- риски, как правило, фиксируются в реестрах рисков по отдельности. Это может затруднить консолидацию информации для разработки общей программы по обработке рисков.
Матрица последствий/вероятности (также называемая матрицей рисков или тепловой картой) представляет собой способ отображения рисков в соответствии с их последствиями и вероятностью и объединения этих характеристик для отображения рейтинга значимости риска.
Для осей матрицы определяются индивидуальные шкалы последствия и вероятности. Шкалы могут иметь любое количество точек: 3-, 4- или 5-точечные шкалы являются наиболее распространенными. Шкалы могут быть качественными, полуколичественными или количественными. Если для определения уровней шкалы используются числовые описания, они должны соответствовать доступным данным и должны быть указаны их значения.
Как правило, чтобы соответствовать данным, каждый последующий уровень на двух шкалах должен быть на порядок больше, чем предыдущий.
Шкала (или шкалы) последствий может изображать положительные или отрицательные последствия. Масштабы должны быть непосредственно связаны с целями организации и должны охватывать диапазон от максимального возможного правдоподобного последствия до минимального потенциально значимого уровня. Частичный пример для неблагоприятных последствий показан на рисунке Б.17.
1 Частичные примеры используются для того, чтобы они не могли использоваться непосредственно, чтобы подчеркнуть, что шкалы всегда должны быть адаптированы.
2 Можно использовать большее или меньшее количество категории последствий, и в зависимости от области применения шкала может иметь меньше или больше пяти уровней. Значения рейтинга шкалы оценки последствий могут быть указаны словами, цифрами или буквами.
Шкала вероятности должна охватывать диапазон, соответствующий данным для оцениваемых рисков. Пример части шкалы, определяющей вероятность, показан на рисунке Б.18.
Примечание - Шкала рейтинга вероятности может иметь более или менее пяти уровней, а значения рейтинга могут быть указаны в виде слов или букв.
Шкала вероятности должна быть адаптирована к ситуации; может потребоваться охват разных диапазонов для положительных или отрицательных последствий. Самый низкий уровень шкалы вероятности, который должен использоваться с отрицательными последствиями, должен отражать приемлемую вероятность для наибольшего определенного последствия (в противном случае все события с самым высоким уровнем последствий определяются как недопустимые и не могут стать допустимыми). При принятии решения о приемлемой вероятности для конкретного риска с высоким уровнем последствий следует учитывать тот факт, что несколько других рисков могут приводить к таким же последствиям.
Матрица изображается с последствиями по одной оси, а вероятностью на другой, в соответствии с выбранными шкалами. Оценка приоритета может быть связана с каждой ячейкой. В приведенном примере есть пять уровней приоритетности, обозначенных римскими цифрами. Правила принятия решений (такие как уровень внимания руководства или срочность ответа) могут быть связаны с ячейками матрицы.
Это будет зависеть от подходов к определению шкал и отношения организации к риску. Структура матрицы должна позволить определять приоритетность риска исходя из того, в какой степени он приводит к результатам, которые находятся за пределами установленных организацией порогов производительности относительно ее целей.
Матрица может быть построена так, чтобы придавать дополнительный вес последствиям (как показано на рисунке Б.19) или вероятности, либо она может быть симметричной, в зависимости от ее применения.
Матрица последствий/вероятности используется для оценки и передачи относительной величины рисков на основе пары последствия - вероятность, которая обычно ассоциируется с рассматриваемым событием.
Чтобы оценить риск, пользователь сначала определяет категории последствий, которые наилучшим образом соответствуют ситуации, а затем определяет предполагаемую вероятность реализации данных последствий. Определяется ячейка матрицы, соответствующая точке пересечения их значений, и далее из нее считываются уровень риска и связанное с ним правило принятия решения.