ISO 31000 — международный стандарт-руководство, который описывает принципы, структуру и процесс менеджмента риска для организаций любого размера и любой отрасли. Стандарт определяет риск как влияние неопределённости на цели; это влияние может быть как отрицательным, так и положительным. По данным Международной организации по стандартизации (ISO), действующая версия — ISO 31000:2018, которая была пересмотрена и подтверждена в 2023 году.
Стандарт обновляется: согласно каталогу ISO, проект третьего издания ISO/DIS 31000 зарегистрирован как проект международного стандарта 3 ноября 2026 года и находится на этапе опроса членов ISO; до выхода нового издания действует редакция 2018 года. Методы оценки риска описаны в отдельном документе — IEC 31010, изданном в 2019 году.
Коротко:
- ISO 31000 — это руководство, а не набор требований; по данным ISO, он не предназначен для сертификации.
- Процесс включает обмен информацией и консультирование, область применения и контекст, оценку риска, обработку риска, мониторинг и анализ, документирование и отчётность.
- IEC 31010 объединяет методы для этапа оценки в 10 групп; среди них HAZOP, FMEA, анализ «галстук-бабочка» и матрица рисков.
Что такое ISO 31000 и можно ли по нему сертифицироваться?
ISO 31000 разрабатывает технический комитет ISO/TC 262 «Менеджмент риска». Согласно области применения, документ не привязан к отрасли и может использоваться на протяжении всей жизни организации в любой деятельности, включая принятие решений на всех уровнях. Менеджмент риска определяется как скоординированные действия по руководству и управлению организацией применительно к риску.
Самый частый вопрос — сертификация. Страница каталога ISO отвечает однозначно: ISO 31000 содержит рекомендации по лучшей практике, но не является стандартом, по которому можно сертифицировать систему менеджмента риска. Поэтому «сертификат ISO 31000» может означать разве что личный сертификат об обучении; сертификация организаций по этому стандарту не проводится.
Согласно предисловию, редакция 2018 года, заменившая редакцию 2009 года, пересмотрела принципы как ключевые критерии успеха, выдвинула на первый план лидерство высшего руководства и интеграцию менеджмента риска в корпоративное управление и сильнее подчеркнула итеративный характер процесса. В брошюре ISO добавлено, что часть терминов перенесена в отдельный словарный документ ISO Guide 73.
Из каких шагов состоит процесс менеджмента риска по ISO 31000?
Процесс описан в разделе 6 стандарта. Согласно содержанию, шаги таковы:
| Шаг | Содержание |
|---|---|
| Обмен информацией и консультирование | Обмен информацией с заинтересованными сторонами и учёт их мнений |
| Область применения, контекст и критерии | Определение области, внешний и внутренний контекст, критерии риска |
| Оценка риска (risk assessment) | Идентификация, анализ и сравнительная оценка риска (risk evaluation) |
| Обработка риска | Выбор вариантов обработки, подготовка и реализация планов |
| Мониторинг и анализ | Регулярная проверка процесса и результатов |
| Документирование и отчётность | Фиксация результатов и доведение их до заинтересованных лиц |
Процесс не работает сам по себе. Раздел 5 описывает структуру, в которую он встроен: лидерство и обязательства, интеграция, проектирование (понимание организации и её контекста, распределение ролей и полномочий, выделение ресурсов), внедрение, оценивание и улучшение. Поэтому шаг «область применения, контекст и критерии» так важен: если заранее не определить, какой риск приемлем, последующая оценка превращается в толкование, которое меняется от человека к человеку.
О терминах: английское risk assessment — это общий этап, включающий идентификацию, анализ и сравнительную оценку, а risk evaluation — лишь его последнее звено. Чёткое разделение этих понятий во внутренних документах помогает избежать путаницы, особенно при переводе.
Какие методы оценки риска содержит IEC 31010?
Согласно каталогу Международной электротехнической комиссии (IEC), IEC 31010:2019 даёт рекомендации по выбору и применению методов оценки риска, помогающих принимать решения в условиях неопределённости; стандарт издан совместно с ISO под двойным логотипом. Второе издание, опубликованное 13 июня 2019 года, заменило первое издание 2009 года: число и сфера применения методов расширены, а понятия ISO 31000 больше не повторяются. Объём документа — 264 страницы.
Приложение B кратко описывает методы в 10 группах по назначению; в содержании под этими группами перечислено 41 наименование методов:
| Группа | Примеры методов |
|---|---|
| Сбор мнений заинтересованных сторон и экспертов | Мозговой штурм, метод Дельфи, номинальная группа, структурированное интервью, опрос |
| Идентификация риска | Контрольные листы, FMEA/FMECA, HAZOP, сценарный анализ, SWIFT |
| Определение источников и причин | Диаграмма Исикавы, циндинический подход |
| Анализ мер управления | «Галстук-бабочка», HACCP, LOPA |
| Понимание последствий и вероятности | Байесовский анализ, анализ воздействия на бизнес, дерево событий, дерево отказов, анализ надёжности человека, марковский анализ, метод Монте-Карло |
| Анализ зависимостей и взаимодействий | Причинно-следственное картирование, анализ перекрёстного влияния |
| Количественная мера риска | Токсикологическая оценка риска, VaR, условный VaR |
| Оценка значимости риска | ALARP/SFAIRP, F-N-диаграммы, диаграмма Парето, ТО, ориентированное на надёжность, индексы риска |
| Выбор между вариантами | Анализ затрат и выгод, дерево решений, теория игр, многокритериальный анализ |
| Документирование и отчётность | Реестр рисков, матрица последствий и вероятности (матрица рисков), S-кривые |
Примечательная деталь: матрица рисков находится не среди методов анализа, а в группе документирования и отчётности. Иначе говоря, матрица не заменяет анализ, а наглядно представляет его результат.
Как выбрать подходящий метод оценки риска?
Разделы 6 и 7 IEC 31010 требуют спланировать оценку до выбора метода: определить цель и область, понять контекст, вовлечь заинтересованные стороны, учесть человеческие, организационные и социальные факторы и пересмотреть критерии принятия решений. Затем следуют сбор информации и моделирование, проверка результатов, анализ неопределённости и чувствительности. Таблицы приложения A показывают, к какому шагу процесса ISO 31000 подходит каждый метод.
Практические вопросы ниже — не цитата из стандарта, а отправная точка для выбора:
- Каков вопрос? Найти новые риски, оценить вероятность известного или выбрать между двумя вариантами?
- Есть ли данные? При недостатке числовых данных лучше подходят экспертные методы, при богатых данных — вероятностные модели.
- Кто будет участвовать? Методам вроде HAZOP нужна междисциплинарная команда; если её не собрать, реалистичнее структурированный контрольный лист.
- Кому пойдёт результат? Совету директоров удобнее реестр и матрица рисков, инженерам — дерево отказов или дерево событий.
Вывод: ISO 31000 — это процедура или язык управления?
ISO 31000 не даёт организации готовую форму; он даёт общий язык: как обсуждать риск, кто принимает решения и как процесс возвращается к началу. IEC 31010 дополняет его ответом на вопрос «как измерять». Пока действует редакция 2018 года, а третье издание находится на стадии проекта, самое время пересмотреть существующие процедуры по рискам. Практичный первый шаг — письменно зафиксировать критерии риска организации и для каждого риска записывать, какой метод выбран и почему. Практический пример — в статье об анализе опасностей и матрице рисков.
Тема «Менеджмент риска по ISO 31000» входит в каталог корпоративного обучения Orient Global; подробности — на странице обучения.
#interimmanagement #forwarddeployedengineering #iso31000 #menedzhmentriska #iec31010