ГОСТ Р 56839—2015
В приложении Е представлены примеры методов оценки эффективности мер по УПРАВЛЕНИЮ РИ
СКОМ, осуществляемых как часть КОНТРОЛЯ.
Эффективность мер по УПРАВЛЕНИЮ РИСКОМ может быть установлена только при четком по
нимании того, какой эффект должен достигаться за счет этих мер. Стабильность эффективности на
стадии эксплуатации можно контролировать только в том случав, если этот требуемый эффект четко
определен и записан вместе с реализованной мерой по УПРАВЛЕНИЮ РИСКОМ.
ВЕРИФИКАЦИЯ реализации
Реализация всех мор по УПРАВЛЕНИЮ РИСКОМ должна быть ВЕРИФИЦИРОВАНА и докумен
тально оформлена в ФАЙЛЕ МЕНЕДЖМЕНТА РИСКА МЕДИЦИНСКОЙ ИТ СЕТИ. ВЕРИФИКАЦИЯ под
тверждает, что меры по УПРАВЛЕНИЮ РИСКОМ были реализованы в МЕДИЦИНСКОЙ ИТ СЕТИ и
осуществляется до запуска сети в эксплуатацию. Запуск в эксплуатацию подразумевает использование
МЕДИЦИНСКОЙ ИТ-СЕТИ. как правило, для ПАЦИЕНТОВ. Это может означать одно из:
-для новых сетей ВЕРИФИКАЦИЯ завершается до запуска в эксплуатацию или;
- в случаях, когда сеть уже используется, определяется «временное окно для изменения», в пре
делах которого предполагается, что сеть находится в состоянии изменения. Действуют планы возврата, а
также, вероятно, временные клинические процедуры (например, контроль у постели больного вместо
центрального контроля). ВЕРИФИКАЦИЯ реализации должна осуществляться до конца временного
окна для изменения. В приложении G рассмотрены примеры элементов, которые могут быть частью
временного окна для изменения.
ВЕРИФИКАЦИИ реализации должен способствовать ПРОЦЕСС УПРАВЛЕНИЯ ИЗМЕНЕНИЯМИ
И ВЕРСИЯМИ.
7.4.9 ШАГ 9. Выполнение оценки новых РИСКОВ, возникающих в связи с УПРАВЛЕНИЕМ
РИСКОМ
Существует вероятность появления новых РИСКОВ в результате реализации мер по УПРАВЛЕ
НИЮ РИСКАМИ.
Примером может служить добавление слишком большого количества средств защиты, приводя
щее к тому, что практикующий врач не может получить информацию для ПАЦИЕНТА, когда это ему
необходимо. В таком случае может потребоваться модифицировать или изменить меры по УПРАВЛЕ
НИЮ РИСКОМ так. чтобы они скорее служили целям клиники, чем являлись ИТ решением.
Оценка новых РИСКОВ должна документально оформляться в ФАЙЛЕ МЕНЕДЖМЕНТА РИСКА
МЕДИЦИНСКОЙ ИТ СЕТИ. Любой новый риск должен подвергаться оценке в соответствии с ШАГАМИ
2—9. Это итеративный ПРОЦЕСС, который может состоять из нескольких циклов итерации.
7.4.10 ШАГ 10. Оценка совокупного ОСТАТОЧНОГО РИСКА и формирование отчота о нем
В дополнении к любым ОСТАТОЧНЫМ РИСКАМ, связанным с индивидуальными ОПАСНЫМИ
СИТУАЦИЯМИ, ОТВЕТСТВЕННОЙ ОРГАНИЗАЦИИ требуется определить совокупный ОСТАТОЧНЫЙ
РИСК, связанный с МЕДИЦИНСКОЙ ИТ СЕТЬЮ. Определение ОСТАТОЧНОГО РИСКА включает оцен ку
всех отдельных ОСТАТОЧНЫХ РИСКОВ и определение того, превышает ли всеобщий РИСК сумму
РИСКОВ других частей. Например, хотя каждая издвух отдельных ОПАСНЫХ СИТУАЦИЙ может иметь
допустимый ОСТАТОЧНЫЙ РИСК, если есть вероятность, что обе ОПАСНЫЕ СИТУАЦИИ возникнут
одновременно, то совокупный ОСТАТОЧНЫЙ РИСК может оказаться недопустимым.
ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна определить и документально оформить сводку по
ОСТАТОЧНОМУ РИСКУ, содержащую список всех отдельных ОСТАТОЧНЫХ РИСКОВ и совокупный
ОСТАТОЧНЫЙ РИСК, остающийся после реализации мер по УПРАВЛЕНИЮ РИСКОМ. Эта сводная
информация является реестром ОЦЕНКИ РИСКА.
Как описано в 7.4.6. один тип мер по УПРАВЛЕНИЮ РИСКОМ предназначен для предоставления
информации для пользователей системы. Данная информация часто содержит в себе данные об обу
чении. маркировке или уведомлениях об определенных применениях, способных привести к ОПАСНОЙ
СИТУАЦИИ. При оценке совокупного ОСТАТОЧНОГО РИСКА, следует учитывать наличие любой другой
дополнительной информации, касающейся РИСКА в системе, которую следует донести до пользовате
лей МЕДИЦИНСКОЙ ИТ СЕТИ, а также нет ли необходимости установить каналы связи для передачи
подобной информации.
Не существует никакого предпочтительного метода для оценки допустимости совокупного ОСТА
ТОЧНОГО РИСКА. ОТВЕТСТВЕННАЯ ОРГАНИЗАЦИЯ должна установить метод и критерии, которые
необходимо соблюдать, в политике МЕНЕДЖМЕНТА РИСКА. Могут быть качественные или количе
ственные подходы. Примером более качественного подхода оценки совокупного ОСТАТОЧНОГО РИ
СКА может быть определение допустимого максимального числа ОПАСНЫХ СИТУАЦИЙ, которое
19