ГОСТ Р ИСО/ТО 27809— 2009
- план более широкого рассмотрения корпоративного управления;
- описание структуры управления рисками;
- практическое руководство по формулировке бизнес-требований к управлению стратегическими рисками;
- вопросник для сравнения эффективности структур управления рисками на предприятиях.
Структура включает всебя;
- классический подход к системам управления — планировать, исполнить, проверить и действовать (извест
ный как РОСА);
- деятельность по управлению рисками на трех уровнях (стратегическом, управленческом, операционном);
- идентификацию угроз;
- оценку рисков;
- принятие решений о способах управления рисками;
- идентификацию ресурсов:
- планирование управления отдельными рисками;
- коммуникации;
- мониторинг и измерение.
Однако модель процесса дает только общее представление, несмотря на то. что концепция «правдоподо
бия» широко признана. Возникает путаница между угрозами и контрмерами, например, «неудачная попытка
установить эффективные мероприятия в случае аварийной ситуации» приводится скорее в качестве примера
угрозы, а не контрмеры.
Более того, применяемые матрицы основаны на оценках типа «Низкая». «Средняя» и «Высокая», что не
позволяет классифицировать риски более чем по трем классам, что. в свою очередь, приведет к недостаточно
специализированным структурам контроля.
Чрезвычайно важным для настоящего стандарта является тот факт, что руководство практически не содер
жит указаний по контрмерам. Также оно не описывает такие разделы, как списки угроз (они присутствуют только в
виде примеров). Будучи документом высокого уровня, оно недостаточно всестороннее и специализированное для
применения в секторе здравоохранения и не предоставляет механизмов по обеспечению безопасности пациен
тов при использовании программного обеспечения в сфере здравоохранения.
С.4.3 Стандарт Австралии и Новой Зеландии AS/NZS 4360:2004
Стандарт Австралии и Новой Зеландии AS/NZS 4360:2004 [59] был принят на национальном уровне органи
зациями здравоохранения для целей корпоративного управления, включая Национальную службу здравоохране
ния Соединенного Королевства. Содержащиеся в нем понятия, такие как «обработка рисков», были взяты из
других стандартов, основанных на рисках, таких как BS 7799-2:2002 (см. С.6.1). Он является еще одним высоко
уровневым описанием необходимого процесса, хотя и с сопутствующим документом, содержащим руководства по
управлению рисками. Данный документ является, скорее, справочником по возможным процессам, а не рекомен
дуемым подходом.
Данный стандарт определяет классический/типовой «процесс» управления рисками, независимый от конк
ретной отрасли промышленности или сектора экономики, но предполагающий необходимость гибкости при реа
лизации.
В нем отмечается, что установление вероятности события и возможных последствий должно и может быть
выполнено качественным, наполовину качественным или количественным образом, в зависимости от наличия
статистики инцидентов. Однако данный стандарт содержит перечень уместных источников информации и техно
логий. которые могут быть применены. В стандарте содержатся руководства по следующим аспектам:
- выбор метода анализа (в зависимости от ситуации);
- реальные последствия и соответствующие градации вероятностей;
- типы шкал для измерения рисков, которые могут быть использованы;
- различные технологии для определения уровней рисков.
В области обработки рисков стандарт AS/NZS 4360 предоставляет подробную информацию по дополни
тельным возможностям обработки рисков с негативными последствиями (например, рисков для безопасности
пациентов), относящуюся к следующим факторам:
- предотвращение риска посредством принятия решения не начинать или не продолжать некоторые дей
ствия;
- принятие мер по изменению вероятности отрицательных последствий:
- принятие мер. изменяющих последствия с целью уменьшения величины потерь, таких как страхование или
планирование непредвиденных затраг.
- разделение рисков посредством контрактов и т.л., чтобы передать ответственность;
- фиксация/признание риска.
Более того, данный стандарт также содержит руководство по разработке планов обработки рисков, сопо
ставляющее стоимость обработки с приобретаемыми выгодами, чтобы обеспечить объективное признание рис ка.
Однако, противореча таким планам и даже конфликтуя с ними, данный стандарт в то же время, в основном,
направлен на снижение риска до практически разумного уровня (так называемый принцип ALARP). На практике
очень часто получается, что данный принцип подменяется неприемлемой и неуместной точкой зрения «избега ния
рисков».
21