1.4.1 Процесс оценки рисков

1. Идентификация рисков.

На данном этапе необходимо выявить все потенциальные риски, которые могут повлиять на достижение целей ИТ-проекта.

В соответствии с ГОСТ Р ИСО/МЭК 27001-2021, важно идентифицировать риски, связанные с нарушением конфиденциальности, целостности и доступности информации. Следует учитывать риски, связанные с турбулентной внешней средой, такие как устаревание результатов проекта к моменту завершения или изменение состава ключевых участников. При идентификации рисков полезно использовать различные методы, такие как мозговой штурм, анализ документации, экспертные оценки и анализ причинно-следственных связей.

2. Анализ рисков.

На данном этапе проводится оценка вероятности возникновения каждого риска и определение потенциального воздействия на проект. Также как и анализ рынка, анализ рисков может быть как качественным, так и количественным. Качественный анализ включает оценку рисков на основе экспертных оценок и опыта, в то время как количественный анализ использует статистические данные и математические модели для определения вероятности и воздействия рисков.

В соответствии с ГОСТ Р ИСО/МЭК 27001-2021, необходимо оценивать потенциальные последствия реализации рисков и определять уровни рисков информационной безопасности.

3. Оценка рисков.

На данном этапе проводится сравнение результатов анализа рисков с установленными критериями приемлемости рисков. Оценка рисков позволяет определить приоритетность обработки рисков и разработать стратегии реагирования на риски. В соответствии с ГОСТ Р ИСО/МЭК 27001-2021, необходимо устанавливать и поддерживать критерии рисков информационной безопасности, включая критерии принятия рисков и критерии для проведения оценки рисков.

4. Разработка стратегий реагирования на риски.

На данном этапе разрабатываются планы действий по снижению вероятности возникновения рисков и/или уменьшению их потенциального воздействия на проект. Стратегии реагирования на риски могут включать уклонение от риска, снижение риска, передачу риска или принятие риска.

Важно учитывать, что стратегии реагирования на риски должны быть экономически обоснованными и соответствовать целям проекта.

5. Мониторинг и контроль рисков.

На протяжении всего жизненного цикла ИТ-проекта необходимо осуществлять мониторинг и контроль рисков. Это включает регулярный пересмотр идентифицированных рисков, оценку эффективности разработанных стратегий реагирования на риски и выявление новых рисков.

В соответствии с ГОСТ Р ИСО 31000, оценка рисков включает оперативную коррекцию оценок риска в соответствии с данными о ходе реализации проекта. В случае реализации риска необходимо документировать всю информацию о риск-факторах, первоначальных оценках, статусах мероприятий и мероприятиях по реагированию в реестре реализовавшихся рисков.

1.5 Резюме

Содержит краткое изложение основных моментов бизнес-плана, включая описание продукта/сервиса, рынка, конкурентов, факторов успеха, статуса проекта, необходимых инвестиций, команды и дорожной карты.