Интегрированные системы управления безопасностью. Разработка и аудит. Практикум

ПРИЛОЖЕНИЕ  14.5 Методика оценки и управления рисками

недостижения целей

1  Общие положения

Для достижения целей организации, устанавливаемых на основании Политики, необходимо управлять рисками, которые могут повлиять на их недостижение.

Управление рисками недостижения целей включает:

анализ влияния контекста (внешних и внутренних факторов) на риски недостижения целей;

идентификацию, анализ и оценку рисков, разработку мер управления рисками;

мониторинг рисков и оценку результативности предпринятых действий.

2  Анализ влияния контекста на риски недостижения целей

После формирования проекта целей на планируемый год анализируется влияние контекста (внешних и внутренних факторов) на риски недостижения каждой отдельной цели.

Внешние факторы, которые могут повлиять на риски недостижения целей:

поставщики;

законодательные требования;

требования внешних документов, которые организация обязалась выполнять;

природные катаклизмы;

обеспечение финансовыми ресурсами.

Внутренние факторы, которые могут повлиять на риски недостижения целей:

персонал (квалификация персонала, обеспеченность персоналом);

оборудование;

инструмент;

здания и сооружения;

сырье и материалы;

42

энергоресурсы;

технология производства продукции;

продукция;

транспорт;

контрольное, измерительное и испытательное оборудование;

автоматизированные системы управления;

требования внутренних документов;

организация и планирование производства.

При анализе влияния внешних и внутренних факторов учитывают, что на риски недостижения каждой отдельной цели может повлиять как персонифицированный фактор, так и группа факторов.

На первоначальном этапе должны быть рассмотрены все внешние и внутренние факторы. При последующем анализе, при отсутствии изменений, факторы, не влияющие на риски недостижения целей, не рассматриваются.

Влияние внешних факторов рассматривается в том случае, если организация может повлиять на вероятность возникновения риска или минимизировать последствия действия возникшего риска на достижение цели.

3  Идентификация, анализ, оценка рисков и меры управления

Идентификация, анализ и оценка рисков осуществляется после проведения анализа влияния внешних и внутренних факторов.

В первую графу Карты управления рисками (см. приложение  14.4) вносят цели (проект). Для каждой цели указывают внешние и внутренние факторы, определенные как влияющие на риски ее недостижения. При идентификации рисков, влияющих на недостижение цели, для каждого фактора определяются события (сценарии), их причины, способные привести к возникновению риска, а также последствия событий.

Для каждого фактора могут быть рассмотрены несколько возможных событий (сценариев). Для каждого события (сценария) может быть рассмотрено несколько причин и последствий.

43

При идентификации, анализе и оценке рисков используется следующая информация:

достижение целей организации за прошедший период;

выполнение бизнес-плана за прошедший период;

требования внешних и внутренних нормативных документов, применимых к деятельности организации;

результаты оценки значимости экологических аспек-

тов.

При идентификации рисков следует учитывать их влияние как на недостижение цели в качестве измеримого показателя, так и на сроки ее достижения и риски, реализовавшиеся

ворганизации в течение 5 лет.

По выявленным событиям (сценариям), причинам и последствиям проводится оценка. Оценка проводится для каждого сочетания «событие (сценарий) – причина – последствие» в случае, если этих сочетаний несколько.

Оценка вероятности возникновения риска осуществляется по шкале вероятности (таблица  14.5.1). При оценке вероятности возникновения риска учитывают опыт работы организации за прошедшие 5 лет и опыт работы аналогичных родственных организаций или организаций-конкурентов (если имеются).

Таблица  14.5.1 – Шкала вероятности

Оценка значимости возможных последствий от реализации события (сценария) определяется по шкале последствий (таблица  14.5.2). Оценка значимости возможных последствий от реализации события (сценария) и причины его возникновения проводится применительно к качеству выпускаемой продукции, нанесению вреда окружающей среде и финансовым потерям.

44

Таблица  14.5.2 – Шкала последствий

Балльная оценка риска осуществляется по формуле

Р =В З,

где Р – оценка риска, балл; В – оценка вероятности, балл; З – оценка значимости последствия, балл.

На основании балльной оценки риска определяют уровень риска в соответствии со шкалой уровня риска (таблица  14.5.3).

45

Таблица  14.5.3 – Шкала уровня риска

46

Приемлемыми считают риски низкого и среднего уровней, значение которых составляет от 1 до 11 баллов. Неприемлемыми считают риски высокого и критического уровней, значение которых составляет от 12 до 25 баллов.

Для неприемлемых рисков должны быть разработаны меры управления. Возможные меры управления неприемлемыми рисками приведены в таблице  14.5.3. При разработке мер управления рисками учитывают информацию о результативности предпринятых действий по управлению рисками за предыдущий период.

По результатам идентификации, анализа и оценки рисков могут быть приняты следующие решения:

установление (принятие) целей без изменений;

установление целей с дополнительными мероприяти­

ями;

изменение целей;

обоснованный отказ или перенос сроков достижения

целей.

4  Мониторинг рисков. Оценка результативности предпринятых действий по управлению рисками

Мониторинг рисков осуществляется совместно с мониторингом достижения целей организации по итогам первого полугодия. Мониторинг проводится с целью:

определения достаточности разработанных мер управления рисками;

обнаружения изменений во внешних и внутренних факторах, которые могут повлиять на риски недостижения целей;

идентификации, анализа и оценки вновь появляющихся рисков;

переоценки при необходимости идентифицированных рисков, разработки дополнительных мероприятий.

Контроль выполнения мероприятий по предупреждению/снижению рисков ежемесячно осуществляет руководитель организации. По истечении сроков выполнения мероприятий ответственный по ИСМ указывает фактически выполненные

47

мероприятия, даты их выполнения в графе «Предпринятые действия» Карты управления рисками.

Оценка результативности предпринятых действий по управлению рисками осуществляется при анализе и оценке результативности достижения целей за год. В случае если цели организации достигнуты на 95–100 %, мероприятия по предупреждению/снижению рисков признаются результативными.

48