ГОСТ Р ИСО/МЭК 31010— 2011
5.3 Анализ риска
5.3.1 Общие положения
Анализ риска включает в себя анализ и исследование информации о риске. Анализ риска обеспечи
вает входные данные процесса общей оценки риска, помогает в принятии решений относительно необхо
димости обработки риска, а также помогает выбрать соответствующие стратегии и методы
обработки риска.
Анализ риска включает анализ вероятности и последствий идентифицированных опасных событий с
учетом наличия и эффективности применяемыхспособов управления. Данные о вероятности событий и их
последствиях используют для определения уровня риска.
Также анализ риска включаетанализ источников опасных событий, их положительных и отрицатель
ных последствий и вероятностей появления этих событий. При этом должны быть идентифицированы
факторы, влияющие на вероятность события и его последствия. Событие может иметь множественные
последствия и может влиять на различные цели. Также должны быть учтены результаты применения и
эффективность существующих методов управления. Различные методы анализа риска описаны в
приложении В. В сложных ситуациях может быть применено несколько методов.
Анализ риска обычно включает оценку диапазона возможных последствий события, ситуации или
обстоятельств и соответствующих им вероятностей для определения уровня риска. Однако в некоторых
случаях, например, когда последствия незначительны или вероятность события чрезвычайно низка, для
принятия решений может бытьдостаточно исследований только одного параметра.
В некоторых случаях последствие может быть результатом реализации нескольких событий или не-
идентифицированного события. В этом случае оценку риска необходимо сосредоточить на анализе значи
мости и уязвимости компонентов исследуемой системы. При этом следует определить методы обработки
риска, соответствующие уровни защиты и стратегии восстановления.
Методы, используемые при анализе риска, могут быть качественными, количественными или сме
шанными. Степень глубины и детализации анализа зависит от конкретной ситуации, доступности достовер
ныхданных и потребностей организации, связанных с принятием решений. Некоторые методы и степень
детализации анализа могутбыть установлены в соответствии с правовыми и обязательными требованиями.
При качественной оценке риска определяют последствия, вероятность и уровень риска по шкале
«высокий», «средний» и «низкий»: оценка последствий и вероятности может быть объединена; сравнитель
ную оценку уровня риска в этом случае проводят в соответствии с качественными критериями.
В смешанных методах используют числовую шкалу оценки последствий, вероятности и их сочетания
для определения уровня риска по соответствующей формуле. Шкалы могут быть линейными, логарифми
ческими или могут быть построены по другим принципам. Используемые формулы соответственно могут
быть различными.
При количественном анализе оценивают практическую значимость и стоимость последствий, их веро
ятности и получают значение уровня риска в определенных единицах, установленных при разработке обла
сти применения менеджмента риска. Полный количественный анализ не всегда может быть возможен или
желателен из-за недостаточной информации обанализируемой системе, видахдеятельности организации,
недостатка данных, влияния человеческого фактора и т. п. или потому, что такой анализ не требуется, или
трудозатраты на количественный анализ слишком велики. В таком случае ранжирование рисков высоко
квалифицированными специалистами может быть более эффективно.
Если применен качественный анализ рисха. четкие объяснения всех используемых терминов и прин
ципов. лежащих в основе критериев, должны быть зарегистрированы в виде записей.
В случае применения количественного анализа необходимо помнить, что уровни вычисленного риска
являются только оценками. Необходимо обеспечить согласованность неопределенностей полученных оце
нок с уровнем точности и прецизионности используемых методов и данных.
Уровни риска должны быть выражены в соответствующих терминах для конкретного вида риска в
наиболее удобной форме. В некоторых случаях значение риска может быть выражено в виде распределе
ния вероятностейдиапазона последствий.
5.3.2 Оценка методов управления
Уровень рисказависитотадекватности и эффективности применяемыхметодов управления. Для оценки
методов управления риском необходимо ответить на следующие вопросы.
- Какие методы применяют для снижения конкретного риска?
-Действительно ли применение этих методов приводит к обработке риска, обеспечивающейдостиже
ние приемлемого уровня риска?
6