Платформа
Модулі
За галузями
За сектором
За стандартом
Блог
Новини
Компанія
Події
Стандарти · Управління ризиками
ISO 31000 та методи з IEC 31010, а також те, як цей самий процес називають у різних галузях: ISO/IEC 27005, ISO 14971, ICH Q9, NIST, COSO, FMEA і HAZOP. Пояснюємо все зрозумілою мовою в одному каталозі. Кожен запис має посилання на першоджерело.
Огляд
Чотири речі, які варто знати, перш ніж переходити до деталей. Галузеві стандарти різняться термінологією та переліком документів, які треба вести, але не самим процесом.
Контекст, ідентифікація, аналіз, оцінювання, реагування, моніторинг і перегляд. Це настанова, а не сертифікат. Аудитор перевіряє, чи працює процес і чи ведуться записи щодо нього.
FMEA, HAZOP, аналіз «краватка-метелик», дерева відмов і подій, метод Монте-Карло та FAIR. У таблиці показано, який метод підходить для якого етапу. Найпоширеніші з них мають власні стандарти методів.
ISO/IEC 27005 для безпеки, ISO 14971 для медичних виробів, ICH Q9 для фармацевтики, NIST RMF і COSO для систем та підприємства, ризик-орієнтоване мислення для ISO 9001 і AQAP 2110.
Кожен із них завершується записом: ризик, його власник, аналіз, спосіб опрацювання, залишковий ризик і дата перегляду. Знайдіть свій у каталозі нижче.
Кожен стандарт систем управління на цьому сайті вимагає керувати ризиками, і в кожної галузі є власний стандарт того, як це робити. ISO 9001 та AQAP 2110 називають це ризик-орієнтованим мисленням. В інформаційній безпеці є ISO/IEC 27005 і NIST Risk Management Framework. Для медичних виробів є ISO 14971, для фармацевтики - ICH Q9, для корпоративного управління - COSO, а для дисциплін безпеки - функціональна безпека та аналіз небезпек процесів. Це один процес під різними назвами, а сам процес описує стандарт ISO 31000. Ця сторінка пояснює цей процес, техніки, на які він спирається, що додає кожна галузь і звідки беруться документи. А навігатор нижче знайде ті, що стосуються саме вас.
ISO 31000 у редакції 2018 року - це настанови з управління ризиками будь-якого типу. Він визначає принципи, рамкову структуру для впровадження управління ризиками в систему керівництва організації та сам процес: встановити сферу застосування, контекст і критерії; визначити, що може статися і як; проаналізувати ймовірність і наслідки; оцінити за критеріями; обробити ризик, уникаючи, зменшуючи, розподіляючи або приймаючи його; та здійснювати моніторинг, перегляд, реєстрацію і звітування. За ним не можна сертифікуватися, і це зроблено навмисно. Аудитор чи інспектор дивиться, чи працює процес і чи є записи про це, а кожен галузевий стандарт нижче - це той самий процес зі своєю термінологією та своїми обов'язковими результатами. Див. ISO 31000.
IEC 31010 - це супровідний каталог технік, близько сорока, з таблицею того, яка з них підходить для якого кроку. Одні збирають думки: мозковий штурм, структуровані інтерв'ю, метод Дельфі. Інші визначають ризики: контрольні переліки, дослідження небезпек та працездатності, структурований аналіз "що якщо", аналіз сценаріїв. Треті аналізують: аналіз видів і наслідків відмов з визначенням критичності або без нього, аналіз дерева відмов і дерева подій, аналіз "краватки-метелика", байєсівські мережі, аналіз Маркова, моделювання Монте-Карло. Ще інші оцінюють: принцип "настільки низько, наскільки практично можливо", аналіз витрат і вигід, матриці ризиків. Найпоширеніші з них мають власні стандарти методів. IEC 60812 - це стандарт для FMEA і FMECA, техніки, що лежить в основі роботи над надійністю конструкцій і процесів. IEC 61882 - це стандарт для HAZOP, структурованого командного дослідження відхилень у конструкції процесу, яке проводять хімічна і фармацевтична галузі. IEC 61508 - це функціональна безпека, життєвий цикл безпеки та рівні повноти безпеки, з яких походять галузеві стандарти для машинобудування, залізниць, автомобілебудування та технологічних установок.
В управлінні якістю ISO 9001 вимагає ризик-орієнтованого мислення під час планування системи та її процесів, а AQAP 2110 робить це вимогою: постачальник у сфері оборони визначає ризики й керує ними в межах усього контракту, і замовник може попросити показати аналіз. В інформаційній безпеці ISO/IEC 27005 описує оцінювання й обробку, яких вимагає ISO/IEC 27001. NIST SP 800-30 описує оцінювання, а SP 800-37 - рамкову структуру із семи кроків, що поєднує категоризацію, вибір засобів контролю, оцінювання та надання дозволу. FAIR же кількісно визначає кіберризик через частоту та масштаб втрат, а не через кольори. Для медичних виробів ISO 14971 проводить процес через небезпеки, небезпечні ситуації та шкоду, вимагає контролю ризиків і оцінки співвідношення користі та ризику та триває під час виробництва й після нього; кожне проєктне рішення в технічному файлі простежується до нього. У фармацевтиці ICH Q9 - це управління ризиками для якості, переглянуте у 2023 році, щоб визначити, наскільки формальним має бути процес і як прибрати з нього суб'єктивність; додаток до нього перелічує ті самі техніки, що й IEC 31010. У корпоративному управлінні рамкова структура COSO поєднує ризики підприємства зі стратегією та результативністю, і саме її впізнають рада директорів та зовнішній аудитор. Безперервність бізнесу, ISO 22301, - це той самий процес, спрямований на збої, де замість переліку небезпек використовують аналіз впливу на бізнес. А найновіша назва - це ШІ: ISO/IEC 23894 та NIST AI Risk Management Framework застосовують цей процес до систем штучного інтелекту, а EU AI Act робить систему управління ризиками обов'язковою для систем високого ризику. Див. ISO/IEC 27005, а також сторінки оборони, кібербезпеки та фармацевтики і медичних виробів, де наведено самі галузеві стандарти.
Хоч би як галузь це називала, процес завершується записом, і саме цей запис читає аудитор, інспектор, орган з оцінки відповідності чи замовник. Реєстр ризиків містить кожен ризик, його власника, аналіз у тій шкалі, яку приписує стандарт, обрану обробку, залишковий ризик після неї та дату останнього перегляду. Файл управління ризиками медичного виробу, план обробки ризиків інформаційної безпеки, аналіз ризиків оборонного контракту та оцінка ризиків для фармацевтичної якості - це один реєстр з різними стовпцями. Історія переглядів важить не менше, ніж самі записи: реєстр, який склали одного разу й більше не чіпали, свідчить про процес, що спрацював лише один раз.
ISO 31000, IEC 31010, ISO 14971 та ISO/IEC 27005 купують в ISO, IEC або у вашому національному органі стандартизації, як і стандарти методів IEC. Кожна публікація NIST, зокрема SP 800-30, SP 800-37 та AI Risk Management Framework, безкоштовна на сайті NIST. ICH Q9 безкоштовний на сайті ICH, стандарт Open FAIR - у The Open Group за умови реєстрації, а рамкову структуру COSO купують у COSO. Кожен запис у навігаторі нижче має посилання на своє джерело.
Не ця сторінка і не ми. Стандарт систем управління, який ви маєте, називає процес управління ризиками, якого він очікує, контракт називає стандарт, а регламент називає файл. Навігатор може показати вам усю карту: шукайте за назвою, переглядайте за родиною або дайте відповідь на чотири запитання про те, звідки походить ваша вимога, і побачите, про які стандарти й техніки зазвичай запитують компанії, подібні до вашої. Кожен запис має посилання на своє джерело, на свою сторінку ComplyTrain там, де вона є, а інакше - на форму запиту. ComplyTrain зберігає стандарт як дерево вимог із доказами для кожної вимоги, а реєстр ризиків - один із записів, які він веде.
Провідник стандартів
Шукайте одночасно серед ISO 31000 та IEC 31010, стандартів методології, галузевих стандартів ризику та рамкових документів, переглядайте їх за родинами або дайте відповідь на чотири запитання про те, звідки походить ваша вимога.
Нічого не знайдено. Спробуйте номер, код або перегляньте за групами.
Який стандарт управління ризиками стосується вас, визначають три речі: стандарт системи менеджменту, який ви маєте, контракт, що його називає, і регуляторна вимога до ведення файлу. Сприймайте це як орієнтир, а не остаточний вердикт.
Чотири запитання, позначте все, що вам підходить. Ми нічого не зберігаємо.
Стандарти й методи, про які найчастіше запитують такі компанії, як ваша. Звірте це зі своєю системою управління та договором.
Який стандарт управління ризиками стосується вас, визначають три речі: стандарт системи менеджменту, який ви маєте, контракт, що його називає, і регуляторна вимога до ведення файлу. Сприймайте це як орієнтир, а не остаточний вердикт.
На кожній сторінці описано, чого вимагає від вас стандарт і як під нього організовано робочий простір ComplyTrain. Наведений вище каталог містить значно більше, і ви можете запросити будь-яку позицію з нього. Додати стандарт до робочого простору - це зазвичай кілька днів, а не окремий проєкт.
ISO 31000
ISO 31000 - це міжнародні настанови з управління ризиками. Управління ризиками в ComplyTrain побудоване за структурою цього процесу, тож ризик стає живою системою в межах усієї організації, а не таблицею, яку переглядають раз на рік.
ISO 27005
ISO 27005 - це настанови з управління ризиками інформаційної безпеки: оцінювання та обробка ризиків, яких вимагає ISO 27001, але не описує. ComplyTrain веде цей процес як живий реєстр, а не як щорічний документ.
Стандарт зазвичай приходить як умова контракту чи лист від регулятора, а не як проєкт, що його хтось планував. Часто - у компанії, де немає менеджера з якості. Програмне забезпечення - це лише половина відповіді. Другу дають консультанти Skylen. Вони від першого дня працюють на базі ComplyTrain, тож у вас лишається жива система, якою володіє ваша команда, а не папка з документами й консультант, який уже пішов.
Пункт за пунктом розбираємо стандарт, на який посилається ваш контракт або регулятор, і показуємо, де ви зараз. Ви отримуєте план дій за пріоритетами. Далі можете рухатися разом з нами або самостійно.
Що охоплює оцінюванняНаші консультанти вибудовують систему разом із вашою командою: процедури, керування документами, перелік записів, які потрібно зберігати, і графік перегляду. Ми також готуємо вас до аудиту чи інспекції.
Як відбувається співпрацяСистему обслуговуємо ми, тож навіть невелика команда може досягти потрібного стандарту й утримувати його, не наймаючи менеджера з якості.
Що означає повне обслуговуванняНі. ISO 31000 - це настанови, укладені так, що сертифікація за ними неможлива, а сертифікат, який стверджує протилежне, нічого не вартий. Сертифікують систему управління, яка застосовує цей процес: ISO 9001, ISO/IEC 27001 чи ISO 13485. Аудитор перевіряє, що передбачений системою процес управління ризиками працює і документується. Див. ISO 31000.
Один процес, а поглядів на нього стільки, скільки вимагають ваші стандарти. Компанія, що має ISO 9001 та ISO/IEC 27001 і виробляє медичний виріб, працює з ризиками якості, ризиками інформаційної безпеки та файлом управління ризиками виробу. Кожен має свої колонки, приписані відповідним стандартом, і аудитор одного не читатиме решту. Керувати цим можна лише тоді, коли все зведено в одну систему з єдиним методом і єдиним циклом перегляду.
Той, що відповідає вашому питанню і якого вимагає ваш стандарт або замовник. FMEA описує режими відмов конструкції чи процесу. Саме її очікує побачити інженер з надійності або нотифікований орган для медичних виробів. HAZOP описує відхилення в проектуванні процесу і є стандартом на хімічних та фармацевтичних виробництвах. Bow-tie показує бар'єри між причинами й наслідками і добре сприймається керівництвом. Кількісні методи, як-от FAIR та Monte Carlo, потрібні там, де потрібне число: у кіберризиках і у фінансах. Повну таблицю наведено в IEC 31010.
Небезпека - це джерело можливої шкоди. Ризик - це поєднання ймовірності настання шкоди та її тяжкості. ISO 14971 вводить третій термін: небезпечну ситуацію, тобто обставини, за яких люди зазнають впливу небезпеки. Стандарт вимагає оцінити ризик для кожної такої ситуації. Більшість відмінностей у термінології між галузевими стандартами саме такого характеру: процес той самий, лише його етапи названо детальніше або узагальненіше.
Ні. Сертифікацію видає акредитований орган сертифікації, ліцензію - ваш регулятор, а державний контроль якості здійснює закупівельний орган. ComplyTrain - це система, у якій ви вибудовуєте, ведете та документуєте свою відповідність, а консультанти Skylen проведуть вас через цю роботу. Сертифікат ви заробляєте самі.
Так, саме для цього на кожній позиції є кнопка «Request access». Вкажіть стандарт і джерело вимоги, а ми повернемося до вас із поясненням, що потрібно, щоб тримати його у вашому робочому просторі. Зазвичай відповідаємо протягом одного робочого дня. Додати стандарт до робочого простору - це, як правило, справа кількох днів, а не окремий проєкт. ComplyTrain зберігає стандарт як дерево вимог, до кожної з яких прив'язані ваші докази. Саме це дерево ми й будуємо.