ГОСТ Р 70484—2022
- анализ выявленных рисков ИС и их взаимосвязей;
- классификация и сравнительная оценка рисков ИС в соответствии с поставленными целями
управления;
- выбор и применение вариантов обработки рисков ИС (избежание риска, принятие риска, устра
нение источника риска, изменение вероятности/последствий реализации риска, разделение риска с
другой стороной/сторонами, удержание риска);
- мониторинг и пересмотр результатов управления рисками ИС.
9.2.1 Выявление и идентификация всех возможных рисков ИС предполагает комплексный анализ
внешней среды организации и возможностей возникновения рисков потенциальным страхователем по
направлениям:
- положение на рынке товаров и услуг;
- финансовое благополучие;
- положение организаций-конкурентов;
- уровень конкуренции в данной отрасли (регионе и т.п.).
Идентификация опасных событий (рисков) проводится согласно ГОСТ Р 51901.22 с учетом веро
ятности возникновения и учета в предметной области стандарта экономических, информационных и
комбинированных опасностей.
9.2.2 Анализ выявленных рисков ИС и их взаимосвязей проводится с помощью методов ко
личественного и качественного анализа определения степени риска и их сочетания согласно ГОСТ Р
51901.22.
Для анализа рисков используются количественные (метод Value at Risk (Var) для определения
выраженной в денежных единицах оценки величины, которую не превысят ожидаемые в течение дан
ного периода времени потери с заданной вероятностью; анализ чувствительности; сценарный анализ;
стресс-тестирование) или качественные (мозговой штурм; структурированные или частично структури
рованные интервью; метод Дельфи; контрольные листы; анализ воздействия на бизнес) методы оценки
либо смешанные как их сочетание (матрица последствий и вероятностей).
В процессе анализа и оценки риска, имеющего несколько областей воздействия, на основе опи
сания опасного события и его причин может быть принято решение о необходимости разделить риск на
несколько частей в соответствии с областями воздействия. Такое решение может быть дополнительно
рассмотрено после идентификации мероприятий по обработке риска. Если мероприятия по обработке
риска одинаковы как для составляющих видов риска воздействия, так и для общего риска, то риск сле дует
исследовать как общий риск. Если мероприятия по снижению риска для различных областей воз
действия различны, то рекомендуется разделить риск на несколько составляющих видов риска (ГОСТ Р
51901.22).
С учетом сложности и трудоемкости работы проводятся, как правило, финансовыми менеджера
ми совместно с риск-менеджерами и с представителями страховщика по оценке стоимости рисков в
сфере ИС.
9.2.3 Классификация и сравнительная оценка рисков ИС в соответствии с поставленными це
лями управления проводится с целью определить систему предпочтений и ограничений, по которой
финансовым менеджерам предстоит оценивать в дальнейшем альтернативные варианты управления
рисками и выбирать наилучшие.
Этап сравнительной оценки риска состоит в оценке приемлемости риска на основе критериев
риска, ранжировании опасных событий и составлении перечня опасных событий, для которых необхо
димо проведение обработки риска с учетом ущерба (ГОСТ Р 51901.22).
По результатам анализа определяется уровень риска в следующих интервалах:
- ранг 0 — риск отсутствует, никакие действия не предпринимаются;
- ранг 0—4 — риск низкий, предпринимаются низкозатратные действия;
- ранг 5—8 — риск средний, предпринимаются действия с учетом временных и экономических
затрат;
- ранг 9— 16 — риск высокий, необходимо срочное выполнение мероприятий по снижению риска;
- ранг 17—25 — риск чрезвычайный, необходимо предпринять незамедлительные действия по
его снижению.
Результатом анализа и сравнительной оценки риска является ранжирование риска с учетом ущер
ба, согласованное с политикой и целями организации в области риска, и принятие решения о необхо
димости обработки риска.
19