Управление рисками — это идентификация, оценка и приоритезация рисков (определенных в ISO 31000 как влияние неопределенности на цели ) с последующим скоординированным и экономичным применением ресурсов для минимизации, мониторинга и контроля вероятности или воздействия неудачных событий [1]. или максимизировать реализацию возможностей.
Риски могут исходить из различных источников, включая неопределенность на международных рынках , политическую нестабильность , угрозы провала проекта (на любом этапе проектирования, разработки, производства или поддержания жизненного цикла), юридические обязательства, кредитный риск, несчастные случаи, природные причины и катастрофы. , преднамеренное нападение противника или события неопределенной или непредсказуемой первопричины .
Существует два типа событий: негативные события можно классифицировать как риски, а позитивные события классифицировать как возможности. Стандарты управления рисками были разработаны различными учреждениями, в том числе Институтом управления проектами , Национальным институтом стандартов и технологий , актуарными обществами и стандартами ISO (стандарты управления качеством, помогающие работать более эффективно и уменьшать количество отказов продукции). [2] [3] [4] Методы, определения и цели сильно различаются в зависимости от того, применяется ли метод управления рисками в контексте управления проектами, безопасности, проектирования , промышленных процессов , финансовых портфелей, актуарных оценок или общественного здравоохранения и безопасности. Некоторые стандарты управления рисками подвергались критике за отсутствие измеримого улучшения риска, тогда как уверенность в оценках и решениях, похоже, возрастает. [1]
Стратегии управления угрозами (неопределенностями с негативными последствиями) обычно включают в себя избегание угрозы, снижение негативного эффекта или вероятности угрозы, передачу всей или части угрозы другой стороне и даже сохранение некоторых или всех потенциальных или фактических последствий угрозы. особая угроза. Противоположность этих стратегий может быть использована для реагирования на возможности (неопределенные будущие состояния с выгодами).
В качестве профессиональной роли риск-менеджер [ 5] будет «контролировать комплексную программу страхования и управления рисками организации, оценивать и выявлять риски, которые могут помешать репутации, безопасности, защищенности или финансовому успеху организации», а затем разрабатывать планы по минимизировать и/или смягчить любые негативные (финансовые) последствия. Аналитики риска [6] поддерживают техническую сторону подхода организации к управлению рисками: после того, как данные о рисках собраны и оценены, аналитики делятся своими выводами со своими менеджерами, которые используют эту информацию для принятия решения о возможных решениях. См. также Главный риск-менеджер , внутренний аудит и управление финансовыми рисками § Корпоративные финансы .
Управление рисками появляется в научной и управленческой литературе с 1920-х годов. Официальной наукой это стало в 1950-е годы, когда в библиотечных поисках стали появляться статьи и книги со словом «управление рисками» в названии. [7] Большинство исследований изначально было связано с финансами и страхованием.
Широко используемый словарь для управления рисками определен в ISO Guide 73:2009 «Управление рисками. Словарь». [2]
В идеальном управлении рисками применяется процесс определения приоритетов, при котором в первую очередь обрабатываются риски с наибольшими потерями (или последствиями) и наибольшей вероятностью возникновения. Риски с меньшей вероятностью возникновения и меньшими потерями обрабатываются в порядке убывания. На практике процесс оценки общего риска может быть трудным, и балансирование ресурсов, используемых для смягчения последствий между рисками с высокой вероятностью возникновения, но меньшими потерями, и рисками с высокими потерями, но с меньшей вероятностью возникновения, часто может быть неправильно выполнено.
Управление нематериальными рисками идентифицирует новый тип риска, который имеет 100% вероятность возникновения, но игнорируется организацией из-за отсутствия возможности идентификации. Например, когда к ситуации применяется недостаточное знание, материализуется риск знания . Риск в отношениях возникает, когда происходит неэффективное сотрудничество. Риск вовлечения в процесс может стать проблемой при применении неэффективных операционных процедур. Эти риски напрямую снижают производительность работников умственного труда, снижают экономическую эффективность, прибыльность, уровень обслуживания, качество, репутацию, ценность бренда и качество доходов. Управление нематериальными рисками позволяет управлению рисками создавать немедленную выгоду за счет выявления и снижения рисков, которые снижают производительность.
Альтернативная стоимость представляет собой уникальную задачу для риск-менеджеров. Может быть сложно определить, когда направить ресурсы на управление рисками, а когда использовать эти ресурсы где-то еще. Опять же, идеальное управление рисками сводит к минимуму расходы (или рабочую силу, или другие ресурсы), а также минимизирует негативные последствия рисков.
Риск определяется как возможность того, что произойдет событие, которое отрицательно повлияет на достижение цели. Таким образом, неопределенность является ключевым аспектом риска. Такие системы, как Комитет спонсорских организаций Комиссии Тредуэя по управлению рисками предприятия (COSO ERM), могут помочь менеджерам смягчить факторы риска. В каждой компании могут быть разные компоненты внутреннего контроля, что приводит к разным результатам. Например, структура компонентов ERM включает внутреннюю среду, постановку целей, идентификацию событий, оценку рисков, реагирование на риски, контрольную деятельность, информацию и коммуникацию, а также мониторинг.
Возможности впервые появляются в научных исследованиях и книгах по менеджменту в 1990-х годах. В первом проекте свода знаний по управлению проектами PMBoK 1987 года возможности вообще не упоминаются.
Современная школа управления проектами признает важность возможностей. Возможности были включены в литературу по управлению проектами с 1990-х годов, например, в PMBoK, и стали важной частью управления рисками проекта в 2000-х годах [8] , когда статьи под названием «Управление возможностями» также начали появляться в библиотечных поисковых запросах. Таким образом, управление возможностями стало важной частью управления рисками.
Современная теория управления рисками рассматривает любые внешние события, как положительные, так и отрицательные. Положительные риски называются возможностями . Подобно рискам, возможности имеют определенные стратегии смягчения: использовать, делиться, расширять, игнорировать.
На практике риски считаются «обычно негативными». Исследования и практика, связанные с рисками, гораздо больше внимания уделяют угрозам, чем возможностям. Это может привести к таким негативным явлениям, как фиксация цели [9].
По большей части эти методы состоят из следующих элементов, выполняемых более или менее в следующем порядке:
Область знаний по управлению рисками , как это определено Сводом знаний по управлению проектами PMBoK, состоит из следующих процессов:
Международная организация по стандартизации (ISO) выделяет следующие принципы управления рисками: [11]
Управление рисками должно:
Бенуа Мандельброт проводил различие между «мягким» и «диким» риском и утверждал, что оценка и управление риском должны быть фундаментально разными для этих двух типов риска. [12] Умеренный риск соответствует нормальному или близкому к нормальному распределению вероятностей , подвержен регрессии к среднему значению и закону больших чисел и, следовательно, относительно предсказуем. Дикий риск следует за распределениями с толстым хвостом , например, распределением Парето или степенным законом , подвержен регрессии к хвосту (бесконечное среднее или дисперсия, что делает закон больших чисел недействительным или неэффективным), и поэтому его трудно или невозможно предсказать. По мнению Мандельброта, распространенной ошибкой при оценке и управлении риском является недооценка дикости риска, полагая, что риск является умеренным, тогда как на самом деле он является диким, чего следует избегать, если оценка риска и управление риском должны быть достоверными и надежными, по мнению Мандельброта.
Согласно стандарту ISO 31000 – «Управление рисками. Принципы и рекомендации по внедрению» [3] процесс управления рисками состоит из следующих этапов:
Это включает в себя:
После установления контекста следующим шагом в процессе управления рисками является выявление потенциальных рисков. Риски связаны с событиями, которые при возникновении вызывают проблемы или выгоды. Следовательно, идентификация рисков может начинаться с источника проблем и проблем конкурентов (выгода) или с последствий проблемы.
Некоторыми примерами источников риска являются: заинтересованные стороны проекта, сотрудники компании или погода в аэропорту.
Когда известен источник или проблема, можно исследовать события, которые может вызвать источник, или события, которые могут привести к проблеме. Например: выход заинтересованных сторон во время проекта может поставить под угрозу финансирование проекта; конфиденциальная информация может быть украдена сотрудниками даже в закрытой сети; Попадание молнии в самолет во время взлета может привести к немедленным травмам всех людей на борту.
Выбранный метод выявления рисков может зависеть от культуры, отраслевой практики и соблюдения требований. Методы идентификации формируются посредством шаблонов или разработки шаблонов для идентификации источника, проблемы или события. Распространенными методами выявления рисков являются:
После того как риски идентифицированы, их необходимо оценить с точки зрения потенциальной серьезности их воздействия (как правило, отрицательного воздействия, такого как ущерб или потери) и вероятности возникновения. Эти величины можно либо просто измерить, как в случае стоимости утраченного здания, либо невозможно узнать наверняка в случае маловероятного события, вероятность наступления которого неизвестна. Поэтому в процессе оценки крайне важно принимать наиболее обоснованные решения, чтобы правильно расставить приоритеты в реализации плана управления рисками .
Даже краткосрочное положительное улучшение может иметь долгосрочные негативные последствия. Возьмем пример «магистрали». Шоссе расширяют, чтобы обеспечить больше движения. Увеличение пропускной способности приводит к большему развитию областей, связанных с повышенной пропускной способностью. Таким образом, со временем трафик увеличивается, заполняя доступную пропускную способность. Таким образом, магистрали необходимо расширять, казалось бы, бесконечными циклами. Есть много других инженерных примеров, когда возросшая мощность (для выполнения любой функции) вскоре заполняется возросшим спросом. Поскольку за расширение приходится платить, результирующий рост может стать неустойчивым без прогнозирования и управления.
Фундаментальной трудностью в оценке риска является определение частоты возникновения, поскольку статистическая информация доступна не по всем видам прошлых происшествий и особенно скудна в случае катастрофических событий просто из-за их нечастости. Кроме того, оценка тяжести последствий (воздействия) для нематериальных активов часто бывает весьма затруднительна. Оценка активов – еще один вопрос, требующий решения. Таким образом, наиболее образованные мнения и доступные статистические данные являются основными источниками информации. Тем не менее, оценка рисков должна предоставлять высшим руководителям организации такую информацию, чтобы основные риски были легко понятны и чтобы решения по управлению рисками могли быть расставлены по приоритетам в рамках общих целей компании. Таким образом, существовало несколько теорий и попыток количественной оценки рисков. Существует множество различных формул риска, но, пожалуй, наиболее широко распространенной формулой количественной оценки риска является: «Частота (или вероятность) возникновения, умноженная на воздействие события, равна величине риска». [ нечеткий ]
Меры по снижению риска обычно формулируются в соответствии с одним или несколькими из следующих основных вариантов риска, а именно:
Более поздние исследования [18] показали, что финансовые выгоды от управления рисками в меньшей степени зависят от используемой формулы, но в большей степени зависят от частоты и способа проведения оценки риска.
В бизнесе крайне важно иметь возможность представить результаты оценки рисков в финансовом, рыночном или графике. Роберт Кортни-младший (IBM, 1970) предложил формулу представления рисков в финансовом выражении. Формула Кортни была принята в качестве официального метода анализа рисков для правительственных агентств США. Формула предлагает расчет ALE (годовая ожидаемая потеря) и сравнивает ожидаемую стоимость потерь с затратами на внедрение мер безопасности ( анализ затрат и выгод ).
После того как риски идентифицированы и оценены, все методы управления рисками попадают в одну или несколько из этих четырех основных категорий: [19]
Идеальное использование этих стратегий контроля рисков может оказаться невозможным. Некоторые из них могут включать компромиссы, которые неприемлемы для организации или лица, принимающего решения по управлению рисками. Другой источник из Министерства обороны США (см. ссылку), Университет оборонного снабжения , называет эти категории ACAT, что означает «Избегать», «Контроль», «Принятие» или «Передача». Такое использование аббревиатуры ACAT напоминает другое ACAT (категория закупок), используемое в закупках оборонной промышленности США, в которых управление рисками занимает видное место в процессе принятия решений и планирования.
Подобно рискам, возможности имеют определенные стратегии смягчения: использовать, делиться, улучшать, игнорировать.
Это включает в себя отказ от выполнения действий, которые могут представлять риск. Одним из таких примеров является отказ от покупки недвижимости или бизнеса во избежание юридической ответственности . Избегание полетов на самолете из-за страха быть угоном . Избегание может показаться ответом на все риски, но избегание рисков также означает потерю потенциальной выгоды, которую могло бы дать принятие (сохранение) риска. Не вступление в бизнес во избежание риска потерь также исключает возможность получения прибыли. Ужесточение регулирования рисков в больницах привело к отказу от лечения состояний с более высоким риском в пользу пациентов с более низким риском. [20]
Снижение риска или «оптимизация» предполагает снижение серьезности потерь или вероятности их возникновения. Например, спринклеры предназначены для тушения пожара , чтобы снизить риск потерь в результате пожара. Этот метод может привести к большим потерям из-за повреждения водой и поэтому может оказаться непригодным. Системы пожаротушения с использованием галона могут снизить этот риск, но стоимость такой стратегии может оказаться непомерно высокой .
Признавая, что риски могут быть положительными или отрицательными, оптимизация рисков означает нахождение баланса между отрицательным риском и выгодой от операции или деятельности; и между снижением риска и приложенными усилиями. Эффективно применяя стандарты управления охраной труда, техники безопасности и окружающей среды (HSE), организации могут достичь приемлемых уровней остаточного риска . [21]
Современные методологии разработки программного обеспечения снижают риски за счет поэтапной разработки и поставки программного обеспечения. Ранние методологии страдали от того, что они поставляли программное обеспечение только на заключительной стадии разработки; любые проблемы, возникшие на более ранних этапах, означали дорогостоящую доработку и часто ставили под угрозу весь проект. Разрабатывая итерации, программные проекты могут ограничить затрачиваемые усилия одной итерацией.
Аутсорсинг может быть примером стратегии разделения рисков, если аутсорсинг может продемонстрировать более высокие способности в управлении или снижении рисков. [22] Например, компания может передать другой компании только разработку программного обеспечения, производство товаров повседневного спроса или поддержку клиентов, одновременно занимаясь управлением бизнесом. Таким образом, компания может больше сосредоточиться на развитии бизнеса, не беспокоясь особо о производственном процессе, управлении командой разработчиков или поиске физического местоположения для центра. Кроме того, внедрение средств контроля также может быть вариантом снижения риска. Средства контроля, которые либо обнаруживают причины нежелательных событий до появления последствий, возникающих во время использования продукта, либо выявляют коренные причины нежелательных сбоев, которых команда может затем избежать. Средства контроля могут быть сосредоточены на процессах управления или принятия решений. Все это может помочь принять более правильные решения относительно риска. [23]
Кратко определяется как «разделение с другой стороной бремени потерь или выгод от риска, а также мер по снижению риска».
Термин «передача риска» часто используется вместо разделения рисков, поскольку ошибочно полагают, что вы можете передать риск третьей стороне посредством страхования или аутсорсинга. На практике, если страховая компания или подрядчик обанкротятся или предстанут перед судом, первоначальный риск, скорее всего, все равно вернется к первой стороне. Таким образом, в терминологии как практиков, так и ученых, покупка страхового контракта часто описывается как «передача риска». Однако с технической точки зрения покупатель контракта обычно сохраняет за собой юридическую ответственность за «перенесенные» убытки, а это означает, что страхование можно точнее описать как компенсационный механизм после события. Например, полис страхования от травм не передает риск автомобильной аварии страховой компании. Риск по-прежнему лежит на страхователе, а именно на человеке, попавшем в аварию. Страховой полис просто предусматривает, что в случае возникновения несчастного случая (события) с участием держателя полиса страхователю может быть выплачена некоторая компенсация, соразмерная страданиям/ущербу.
Методы управления рисками делятся на несколько категорий. Пулы удержания риска технически сохраняют риск для группы, но его распространение на всю группу предполагает передачу риска между отдельными членами группы. Это отличается от традиционного страхования тем, что члены группы не обмениваются страховыми премиями заранее, а вместо этого убытки распределяются между всеми членами группы.
Удержание риска предполагает принятие убытка или выгоды от риска в случае возникновения инцидента. Настоящее самострахование попадает в эту категорию. Удержание риска является жизнеспособной стратегией для небольших рисков, когда стоимость страхования от риска с течением времени будет выше, чем общие понесенные убытки. Все риски, которые не удалось избежать или перенести, по умолчанию сохраняются. Сюда входят риски, которые настолько велики или катастрофичны, что либо их невозможно застраховать, либо страховые премии будут неоправданными. Война является примером, поскольку большая часть имущества и рисков не застрахована от войны, поэтому убытки, связанные с войной, сохраняются застрахованным. Также любые суммы потенциальных убытков (рисков), превышающие страховую сумму, являются сохраняемым риском. Это также может быть приемлемо, если вероятность очень больших убытков невелика или если стоимость страхования на большие суммы покрытия настолько велика, что это слишком сильно помешает достижению целей организации.
Выберите соответствующие меры контроля или контрмеры для смягчения каждого риска. Меры по снижению рисков должны быть одобрены руководством соответствующего уровня. Например, риск, касающийся имиджа организации, должен основываться на решении высшего руководства, тогда как руководство ИТ должно иметь полномочия принимать решения по рискам компьютерных вирусов.
План управления рисками должен предлагать применимые и эффективные меры безопасности для управления рисками. Например, наблюдаемый высокий риск компьютерных вирусов можно снизить путем приобретения и внедрения антивирусного программного обеспечения. Хороший план управления рисками должен содержать график осуществления контроля и ответственных за эти действия. Существует четыре основных этапа плана управления рисками: оценка угроз, оценка уязвимости, оценка воздействия и разработка стратегии снижения рисков. [24]
Согласно ISO/IEC 27001 , этап сразу после завершения этапа оценки рисков состоит из подготовки Плана обработки рисков, который должен документировать решения о том, как следует обрабатывать каждый из выявленных рисков. Смягчение рисков часто означает выбор мер безопасности , который должен быть задокументирован в Заявлении о применимости, которое определяет, какие конкретные цели мер безопасности и меры безопасности из стандарта были выбраны и почему.
Внедрение соответствует всем запланированным методам смягчения воздействия рисков. Приобретите полисы страхования для рисков, которые решено передать страховщику, избегайте всех рисков, которых можно избежать, не жертвуя целями организации, сократите другие и сохраните остальные.
Первоначальные планы управления рисками никогда не будут идеальными. Практика, опыт и фактические результаты потерь потребуют внесения изменений в план и предоставят информацию, позволяющую принять возможные различные решения при борьбе с возникающими рисками.
Результаты анализа рисков и планы управления должны периодически обновляться. Для этого есть две основные причины:
Управление рисками предприятия (ERM) определяет риск как те возможные события или обстоятельства, которые могут оказать негативное влияние на рассматриваемое предприятие , при этом воздействие может оказываться на само существование, ресурсы (человеческие и капитальные), продукты и услуги или клиентов предприятия, а также внешние воздействия на общество, рынки или окружающую среду. Здесь существуют различные определенные рамки , в которых каждый вероятный риск может иметь заранее сформулированный план борьбы с его возможными последствиями (чтобы обеспечить непредвиденные обстоятельства , если риск станет ответственностью ). Таким образом, менеджеры анализируют и контролируют как внутреннюю, так и внешнюю среду, с которой сталкивается предприятие, рассматривая бизнес-риски в целом и любое влияние на достижение предприятием своих стратегических целей . Таким образом, ERM пересекается с различными другими дисциплинами – управлением операционными рисками , управлением финансовыми рисками и т. д. – но отличается своей стратегической и долгосрочной направленностью. [25]
Применительно к финансам управление рисками касается методов и практик измерения, мониторинга и контроля рыночного риска , кредитного риска и операционного риска в балансе фирмы , в торговом портфеле банка или в отношении стоимости портфеля управляющего фондом ; обзор см. в разделе «Финансы § Управление рисками» .
В информационных технологиях управление рисками включает в себя «Обработку инцидентов», план действий по борьбе со вторжениями, кибер-кражей, отказом в обслуживании, пожаром, наводнениями и другими событиями, связанными с безопасностью. По данным Института SANS , это шестиэтапный процесс: подготовка, идентификация, сдерживание, искоренение, восстановление и извлеченные уроки. [26]
Концепция «управления договорными рисками» подчеркивает использование методов управления рисками при развертывании контракта, т.е. управление рисками, которые принимаются при заключении контракта. Норвежский академик Петри Кескитало определяет «управление договорными рисками» как «практический, упреждающий и систематический метод заключения контрактов, который использует планирование и управление контрактами для управления рисками, связанными с деловой деятельностью». [27] В статье Сэмюэля Грингарда, опубликованной в 2010 году, упоминаются два судебных дела в США, в которых подчеркивается важность наличия стратегии борьбы с рисками: [28]
Грингард рекомендует максимально использовать стандартные для отрасли формулировки договоров, чтобы максимально снизить риск, и полагаться на положения, которые использовались и подлежат толкованию в суде на протяжении ряда лет. [28]
Управление таможенными рисками связано с рисками, которые возникают в контексте международной торговли и влияют на безопасность и защищенность, включая риск того, что незаконные наркотики и контрафактные товары могут пересекать границы, а также риск неправильного декларирования грузов и их содержимого. [31] Европейский Союз принял Рамочную систему управления таможенными рисками (CRMF), применимую на всей территории Союза и во всех его государствах-членах , цели которой включают установление общего уровня защиты таможенного контроля и баланс между целями безопасного таможенного контроля и облегчением процедур таможенного контроля. законной торговли. [32] Двумя событиями, которые побудили Европейскую комиссию пересмотреть политику управления таможенными рисками в 2012-2013 годах, были теракты 11 сентября 2001 года и трансатлантический заговор с взрывом самолета в 2010 году, включавший посылки, отправляемые из Йемена в Соединенные Штаты , на которые ссылается Комиссия. как «инцидент в октябре 2010 г. (Йемен)». [33]
ESRM — это подход к управлению программами безопасности, который связывает действия по обеспечению безопасности с миссией и бизнес-целями предприятия посредством методов управления рисками. Роль руководителя службы безопасности в ESRM заключается в управлении рисками нанесения ущерба активам предприятия в партнерстве с руководителями бизнеса, чьи активы подвержены этим рискам. ESRM включает в себя обучение бизнес-лидеров реалистичному влиянию выявленных рисков, представление потенциальных стратегий по смягчению этих воздействий, а затем реализацию варианта, выбранного бизнесом, в соответствии с принятыми уровнями толерантности к бизнес-рискам [34].
Для медицинских устройств управление рисками — это процесс выявления, оценки и снижения рисков, связанных с причинением вреда людям и ущербом имуществу или окружающей среде. Управление рисками является неотъемлемой частью проектирования и разработки медицинских изделий, производственных процессов и оценки практического опыта и применимо ко всем типам медицинских изделий. Доказательства его применения требуются большинством регулирующих органов, таких как FDA США . Управление рисками для медицинских устройств описано Международной организацией по стандартизации (ISO) в стандарте ISO 14971:2019 «Медицинские устройства. Применение управления рисками к медицинским устройствам», стандарте безопасности продукции. Стандарт обеспечивает структуру процесса и связанные с ним требования к обязанностям руководства, анализу и оценке рисков, контролю рисков и управлению рисками жизненного цикла. Руководство по применению стандарта доступно в ISO/TR 24971:2020.
Европейская версия стандарта управления рисками была обновлена в 2009 году и снова в 2012 году, чтобы ссылаться на Директиву о медицинских устройствах (MDD) и Директиву об активных имплантируемых медицинских устройствах (AIMDD), пересмотренную в 2007 году, а также Директиву о медицинских устройствах in vitro (IVDD). ). Требования EN 14971:2012 практически идентичны требованиям ISO 14971:2007. Различия включают три «(информативных)» Z-приложения, которые относятся к новым MDD, AIMDD и IVDD. В этих приложениях указаны отклонения в содержании, которые включают требование о максимально возможном снижении рисков и требование о том, чтобы риски снижались за счет конструкции, а не путем маркировки на медицинском устройстве (т. е. маркировка больше не может использоваться для снижения риска).
Типичные методы анализа и оценки рисков, применяемые в отрасли медицинского оборудования, включают анализ опасностей , анализ дерева отказов (FTA), анализ видов и последствий отказов (FMEA), исследование опасностей и работоспособности ( HAZOP ), а также анализ прослеживаемости рисков для обеспечения внедрения средств управления рисками. и эффективным (т.е. отслеживание рисков, выявленных в соответствии с требованиями к продукции, проектными спецификациями, результатами проверки и валидации и т. д.). Для анализа FTA требуется программное обеспечение для построения диаграмм. FMEA-анализ можно выполнить с помощью программы для работы с электронными таблицами . Существуют также интегрированные решения по управлению рисками для медицинского оборудования.
В проекте руководства FDA представило еще один метод, названный «Обоснование обеспечения безопасности», для анализа обеспечения безопасности медицинского оборудования. Обоснование обеспечения безопасности представляет собой структурированное рассуждение о системах, подходящих для ученых и инженеров, подкрепленное совокупностью доказательств, которые обеспечивают убедительные, понятные и обоснованные доказательства того, что система безопасна для данного применения в данной среде. Согласно этому руководству, ожидается, что в рамках предпродажной очистки будет представлено обоснование безопасности для устройств, критически важных для безопасности (например, инфузионных устройств), например 510(k). В 2013 году FDA представило еще один проект руководства, согласно которому производители медицинского оборудования должны предоставлять информацию по анализу рисков кибербезопасности.
Управление рисками проекта должно рассматриваться на различных этапах приобретения. В начале проекта развитие технических разработок или угрозы, представленные проектами конкурентов, могут вызвать оценку риска или угрозы и последующую оценку альтернатив (см. Анализ альтернатив ). После принятия решения и начала проекта можно использовать более знакомые приложения для управления проектами: [35] [36] [37]
Мегапроекты (иногда называемые «крупными программами») — это крупномасштабные инвестиционные проекты, стоимость каждого проекта обычно превышает 1 миллиард долларов. Мегапроекты включают в себя крупные мосты, туннели, автомагистрали, железные дороги, аэропорты, морские порты, электростанции, плотины, проекты по очистке сточных вод, схемы защиты прибрежных наводнений, проекты по добыче нефти и природного газа, общественные здания, системы информационных технологий, аэрокосмические проекты и оборонные системы. Было показано, что мегапроекты особенно рискованны с точки зрения финансов, безопасности, а также социальных и экологических последствий. Поэтому управление рисками особенно актуально для мегапроектов, и для такого управления рисками были разработаны специальные методы и специальное обучение. [38]
Важно оценить риск стихийных бедствий, таких как наводнения , землетрясения и т. д. Результаты оценки риска стихийных бедствий ценны при рассмотрении будущих затрат на ремонт, потерь от простоев в работе и других простоев, воздействия на окружающую среду, затрат на страхование и предлагаемых затрат на снижение риска. [39] [40] Сендайская рамочная программа по снижению риска стихийных бедствий — это международное соглашение 2015 года, в котором установлены цели и задачи по снижению риска стихийных бедствий в ответ на стихийные бедствия. [41] В Давосе регулярно проводятся международные конференции по стихийным бедствиям и рискам , посвященные комплексному управлению рисками.
Для оценки риска и управления рисками стихийных бедствий и других климатических явлений можно использовать несколько инструментов, включая геопространственное моделирование, ключевой компонент науки об изменении земель . Такое моделирование требует понимания географического распределения людей, а также способности рассчитать вероятность возникновения стихийного бедствия.
Управление рисками для людей и имущества в дикой природе и отдаленных природных зонах развивалось по мере увеличения участия в отдыхе на природе и снижения социальной терпимости к потерям. Организации, предоставляющие коммерческий опыт работы в дикой природе, теперь могут соответствовать национальным и международным стандартам обучения и оборудования, таким как ANSI /NASBLA 101-2017 (лодочный спорт), [42] UIAA 152 (инструменты для ледолазания), [43] и Европейская норма 13089:2015. + А1:2015 (альпинистское снаряжение). [44] [45] Ассоциация экспериментального образования предлагает аккредитацию для программ приключений в дикой природе. [46] Конференция по управлению рисками, связанными с дикой природой , обеспечивает доступ к передовому опыту, а специализированные организации предоставляют консультации и обучение по управлению рисками, связанными с дикой природой. [47]
Текст «Безопасность на открытом воздухе – управление рисками для лидеров активного отдыха», [48] , опубликованный Новозеландским советом по безопасности в горах, представляет собой взгляд на управление рисками в дикой природе с точки зрения Новой Зеландии, признавая ценность национального законодательства по безопасности на открытом воздухе и уделяя значительное внимание роль процессов суждения и принятия решений в управлении рисками, связанными с дикой природой.
Одной из популярных моделей оценки рисков является Модель оценки рисков и управления безопасностью (RASM), разработанная Риком Кертисом, автором «Полевого руководства для туристов». [49] Формула модели RASM: Риск = Вероятность аварии × Серьезность последствий. Модель RASM сопоставляет отрицательный риск (потенциал потерь) и положительный риск (потенциал роста).
ИТ-риск – это риск, связанный с информационными технологиями. Это относительно новый термин из-за растущего осознания того, что информационная безопасность — это просто один из аспектов множества рисков, которые имеют отношение к ИТ и поддерживаемым ими процессам реального мира. «Кибербезопасность тесно связана с развитием технологий. Она отстает лишь на время, достаточное для развития таких стимулов, как черный рынок, и обнаружения новых эксплойтов. Развитию технологий не видно конца, поэтому мы можем ожидать того же от кибербезопасности. ." [50]
Структура ИТ-рисков ISACA связывает ИТ-риски с управлением рисками предприятия .
Анализ рисков Duty of Care (DoCRA) [51] оценивает риски и меры их защиты, а также учитывает интересы всех сторон, потенциально затронутых этими рисками.
Управление операционным риском (ORM) — это надзор за операционным риском , включая риск потерь в результате: неадекватных или сбойных внутренних процессов и систем; человеческие факторы; или внешние события. Учитывая характер операций , ORM обычно представляет собой «непрерывный» процесс и включает в себя постоянную оценку рисков, принятие решений о рисках и внедрение средств контроля рисков.
Во многих странах управление операционными рисками в морской нефтегазовой отрасли регулируется режимом обоснования безопасности . Инструменты и методы идентификации опасностей и оценки рисков описаны в международном стандарте ISO 17776:2000, а такие организации, как IADC (Международная ассоциация буровых подрядчиков), публикуют рекомендации по разработке сценариев по охране труда, технике безопасности и окружающей среде (HSE), основанные на Стандарт ИСО. Кроме того, государственные регулирующие органы часто ожидают схематического изображения опасных событий в рамках управления рисками при представлении обоснований безопасности; они известны как диаграммы-бабочки (см. Сетевая теория в оценке рисков ). Этот метод также используется организациями и регулирующими органами в горнодобывающей промышленности, авиации, здравоохранении, обороне, промышленности и финансах.
Принципы и инструменты управления рисками качества все чаще применяются к различным аспектам фармацевтических систем качества. Эти аспекты включают процессы разработки, производства, распространения, проверки и подачи/рассмотрения на протяжении всего жизненного цикла лекарственных субстанций, лекарственных препаратов, биологических и биотехнологических продуктов (включая использование сырья, растворителей, вспомогательных веществ, материалов для упаковки и маркировки в лекарственных препаратах, биологические и биотехнологические продукты). Управление рисками также применяется к оценке микробиологического загрязнения фармацевтической продукции и чистых производственных помещений. [52]
Управление рисками цепочки поставок (SCRM) направлено на поддержание непрерывности цепочки поставок в случае возникновения сценариев или инцидентов, которые могут нарушить нормальный бизнес и, следовательно, прибыльность. Риски для цепочки поставок варьируются от повседневных до исключительных, включая непредсказуемые природные явления (такие как цунами и пандемии ) и контрафактную продукцию, а также затрагивают качество, безопасность, отказоустойчивость и целостность продукции. Снижение этих рисков может затрагивать различные элементы бизнеса, включая логистику и кибербезопасность, а также области финансов и операций.
Коммуникация о рисках — это сложная междисциплинарная академическая область, которая является частью управления рисками и связана с такими областями, как кризисная коммуникация . Цель состоит в том, чтобы убедиться, что целевые аудитории понимают, как риски влияют на них или их сообщества, апеллируя к их ценностям. [53] [54]
Коммуникация о рисках особенно важна для обеспечения готовности к стихийным бедствиям , [55] общественного здравоохранения , [56] и подготовки к крупным глобальным катастрофическим рискам . [55] Например, последствия изменения климата и климатические риски влияют на каждую часть общества, поэтому информирование об этих рисках является важной практикой информирования о климате , позволяющей обществам планировать адаптацию к изменению климата . [57] Аналогичным образом , в профилактике пандемий понимание риска помогает сообществам остановить распространение болезней и улучшить меры реагирования. [58]
Информирование о рисках касается возможных рисков и направлено на повышение осведомленности об этих рисках, чтобы стимулировать или убеждать изменить поведение для устранения угроз в долгосрочной перспективе. С другой стороны, кризисная коммуникация направлена на повышение осведомленности о конкретном типе угрозы, масштабах, результатах и конкретных действиях, которые следует принять для снижения угрозы. [59]
Коммуникация рисков в области безопасности пищевых продуктов является частью системы анализа рисков . Вместе с оценкой рисков и управлением рисками информирование о рисках направлено на снижение заболеваний пищевого происхождения . Информирование о рисках безопасности пищевых продуктов является обязательным видом деятельности органов по безопасности пищевых продуктов [60] в странах, принявших Соглашение о применении санитарных и фитосанитарных мер .
Информирование о рисках также существует в меньших масштабах. Например, о рисках, связанных с личными медицинскими решениями, необходимо сообщить этому человеку вместе с его семьей. [61]{{cite book}}: CS1 maint: числовые имена: список авторов ( ссылка ){{cite book}}: CS1 maint: числовые имена: список авторов ( ссылка ){{cite book}}: |author=имеет общее имя ( справка )CS1 maint: несколько имен: список авторов ( ссылка )
СМИ, связанные с управлением рисками, на Викискладе?