ГОСТ Р МЭК 62198-2015 Проектный менеджмент. Руководство по применению менеджмента риска при проектировании

ГОСТ Р МЭК 62198-2015

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ПРОЕКТНЫЙ МЕНЕДЖМЕНТ

Руководство по применению менеджмента риска при проектировании

Project management. Guidance on the application of risk management in the design

ОКС 03.100.01

Дата введения 2016-07-01

Предисловие

1 ПОДГОТОВЛЕН Открытым акционерным обществом "Научно-исследовательский центр контроля и диагностики технических систем" (ОАО "НИЦ КД") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 10 "Менеджмент риска"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 20 ноября 2015 г. N 1910-ст

4 Настоящий стандарт является идентичным международному стандарту МЭК 62198:2013* "Управление риском в проектах. Указания по применению" (IEC 62198:2013 "Managing risk in projects - Application guidelines", IDT).

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - .

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВЗАМЕН ГОСТ Р 51901.4-2005 (МЭК 62198:2001)

6 ПЕРЕИЗДАНИЕ. Апрель 2020 г.

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Каждый проект включает неопределенность и риск. Риск может соответствовать целям проекта или целям активов, продукции или услуги, создаваемым в результате выполнения проекта. Настоящий стандарт устанавливает принципы систематического и последовательного менеджмента риска проекта.

Менеджмент риска представляет собой скоординированную деятельность по управлению организацией в области риска. В ИСО 31000 "Менеджмент риска. Принципы и руководство" установлены принципы эффективного менеджмента риска, его структуру, которая обеспечивает основы и организационные методы разработки, внедрения, мониторинга, анализа и постоянного улучшения менеджмента риска в организации, и процесс менеджмента риска, который может быть применен ко всем видам риска в любой организации. В настоящем стандарте показано, как эти принципы и рекомендации могут быть применены к управлению неопределенностью проекта.

Настоящий стандарт может быть использован как частными лицами, так и организациями, заинтересованными в выполнении какой-либо части проекта или проекта в целом. Стандарт может быть применен к отдельным частям проекта и к комплексам взаимосвязанных проектов и программ.

Применение стандарта должно быть адаптировано к каждому конкретному проекту. Поэтому нецелесообразно вводить систему сертификации для специалистов области менеджмента риска.

Требования, установленные в настоящем стандарте, не предполагают отмены действующих стандартов.

1 Область применения

В настоящем стандарте установлены принципы и рекомендации в области менеджмента риска. В частности стандарт устанавливает подход к менеджменту риска проекта, на основе требований ИСО 31000.

В стандарте приведены рекомендации относительно принципов управления риском проекта, структура и организационные требования для осуществления менеджмента риска и процесс эффективного менеджмента риска.

Стандарт не предназначен для целей сертификации.

2 Нормативные ссылки

В настоящем стандарте использована нормативная ссылка на следующий стандарт. Для датированных ссылок применяют только указанное издание ссылочного стандарта, для недатированных - последнее издание (включая все изменения).

ISO 31000, Risk management - Principles and guidelines (Менеджмент риска. Принципы и руководство)

3 Термины и определения

В настоящем стандарте применены термины по ИСО 10006 и Руководству ИСО 73, а также следующие термины с соответствующими определениями:

3.1 проект (project): Уникальный процесс, состоящий из набора скоординированных и управляемых действий с указанием дат начала и окончания, предпринятых для достижения соответствия определенным требованиям, включая ограничения по времени, стоимости и ресурсам.

Примечание 1 - Конкретный проект может быть частью более крупного проекта.

Примечание 2 - В некоторых проектах по мере их развития совершенствуются цели проекта и характеристики продукции.

Примечание 3 - Продукцию проекта определяют в общем случае в области применения проекта. Это могут быть одна или несколько единиц продукции. Продукция проекта может быть материальной или не материальной.

Примечание 4 - Проектная организация обычно является временной - создаваемой на время выполнения проекта.

Примечание 5 - Сложность взаимодействий между различными видами проектной деятельности не обязательно связана с объемом проекта.

[ИСО 10006:2003, 3.5] (см. [1])

3.2 менеджмент проекта (project management): Планирование, организация, мониторинг, контроль и регистрация всех аспектов проекта и поощрение всех участников для достижения целей проекта.

[ИСО 10006:2003, 3.6]

3.3 план менеджмента проекта (project management plan): Документ, устанавливающий меры, необходимые для достижения целей проекта.

Примечание 1 - План менеджмента проекта должен включать в себя план качества (3.8) проекта или ссылаться на него.

Примечание 2 - План менеджмента проекта также включает в себя другие планы, касающиеся организационной структуры, ресурсов, графика, бюджета, менеджмента риска, управления окружающей средой, здоровья и управления безопасностью и защитой соответственно или ссылается на эти планы.

[ИСО 10006:2003, 3.7]

3.4 риск (risk): Следствие влияния неопределенности на достижение поставленных целей.

_______________

В соответствии с ФЗ "О техническом регулировании" от 27.12.2002 N 184-ФЗ "риск - это вероятность причинения вреда жизни или здоровью граждан, имуществу физических или юридических лиц, государственному или муниципальному имуществу, окружающей среде, жизни или здоровью животных и растений с учетом тяжести этого вреда".

Примечание 1 - Под следствием влияния неопределенности необходимо понимать отклонение от ожидаемого результата или события (позитивное и/или негативное).

Примечание 2 - Цели могут быть различными по содержанию (в области экономики, здоровья, экологии и т.п.) и назначению (стратегические, общеорганизационные, относящиеся к разработке проекта, конкретной продукции и процессу).

Примечание 3 - Риск часто характеризуют путем описания возможного события (и его последствий или их сочетания).

Примечание 4 - Риск часто представляют в виде последствий возможного события (включая изменения обстоятельств) и соответствующей вероятности.

Примечание 5 - Неопределенность - это состояние полного или частичного отсутствия информации, необходимой для понимания события, его последствий и их вероятностей.

[Руководство ИСО 73:2009, 1.1] (см. [2])

3.5 менеджмент риска (risk management): Скоординированные действия по руководству и управлению организацией в области риска.

[Руководство ИСО 73:2009, 2.1]

3.6 структура менеджмента риска (risk management framework): Взаимосвязанные элементы, которые обеспечивают реализацию принципов и организационные меры, применяемые при проектировании, разработке, внедрении, мониторинге, анализе и постоянном улучшении менеджмента риска организации.

Примечание 1 - Принципы отражают политику цели, полномочия и обязательства в области менеджмента риска (3.5).

Примечание 2 - Организационные меры включают в себя планы, взаимоотношения, подотчетность, ресурсы, процессы и действия.

Примечание 3 - Структура менеджмента риска должна быть интегрирована в общую стратегию, политику и практическую деятельность организации.

[Руководство ИСО 73:2009, 2.1.1]

3.7 политика в области менеджмента риска (risk management policy): Заявление высшего руководства об общих намерениях, руководящих принципах и направлениях деятельности организации в области менеджмента риска.

[Руководство ИСО 73:2009, 2.1.2]

3.8 план менеджмента риска (risk management plan): Краткое, схематичное описание деятельности и мероприятий в пределах структуры менеджмента риска, устанавливающих подход, элементы менеджмента и ресурсы, применяемые для менеджмента риска.

Примечание 1 - Элементы менеджмента обычно включают в себя процедуры, методы, распределение ответственности, последовательность действий и сроки их исполнения.

Примечание 2 - План менеджмента риска может быть применен к конкретной продукции, процессу и проекту, к части или всей организации.

[Руководство ИСО 73:2009, 2.1.3]

3.9 процесс менеджмента риска (risk management process): Взаимосвязанные действия по обмену информацией, консультациям, установлению целей, области применения, идентификации, исследованию, оценке, обработке, мониторингу и анализу риска, выполняемые в соответствии с политикой, процедурами и методами менеджмента организации.

[Руководство ИСО 73:2009, 3.1]

3.10 обработка риска (risk treatment): Процесс модификации риска.

Примечание 1 - Обработка риска может включать в себя:

- исключение риска путем принятия решения не начинать или не продолжать деятельность, в процессе или в результате которой может возникнуть опасное событие;

- принятие или повышение риска для обеспечения более широких возможностей;

- устранение источников риска;

- изменение правдоподобности/вероятности опасного события;

- изменение последствий опасного события;

- разделение риска с другой стороной или сторонами (путем включения в контракты или финансирования обработки риска);

- обоснованное решение о сохранении риска.

Примечание 2 - Меры по обработке риска могут включать в себя устранение, предотвращение или снижение риска.

Примечание 3 - При обработке риска могут возникнуть новые риски и могут измениться существующие риски.

[Руководство ИСО 73:2009, 3.8.1]

4 Менеджмент риска при проектировании

Каждый проект включает неопределенность, которая может повлечь за собой риск. Такой риск может быть непосредственно связан с целями проекта (например, риск не закончить проект вовремя или в рамках выделенного финансирования) или с требованиями активов, продукции или услуг, которые создает этот проект (например, для продукции риск снижения безопасности, надежности, экологической устойчивости).

Последствия, возникающие вследствие наличия неопределенности проекта, могут принести организации не только ущерб, но и пользу. Таким образом, менеджмент риска проекта направлен не только на предотвращение или сокращение проблем, но и на идентификацию и освоение новых возможностей. Принятие во внимание риска способствует принятию более эффективных проектных решений, улучшению результатов выполнения проекта и увеличению ценности для заинтересованных сторон.

Настоящий стандарт могут применять как частные лица, так и организации, заинтересованные в выполнении какого-либо этапа проекта или проекта в целом. Для получения максимальной выгоды действия менеджмента риска проекта следует начинать с самого раннего этапа выполнения проекта и продолжать в дальнейшем. Однако менеджмент риска проекта можно успешно провести на любой стадии жизненного цикла проекта при условии проведения соответствующих подготовительных работ. Процесс может быть использован для крупных или небольших проектов и отдельных стадий проекта. Он также может быть применен к отдельным задачам проекта и к наборам взаимосвязанных проектов и программ.

Стадии проекта и их особенности приведены в таблице 1.

На каждом этапе проекта существует кульминационный момент (иногда называемый "ключевым"), на котором утверждение руководителя проекта означает дальнейшее развитие проекта и перехода его на следующую стадию.

Информация о рисках и менеджменте риска составляет важную часть информации, представляемой руководителю проекта для обоснования его решений. Информация о риске и средствах управления на каждом этапе должна быть передана группе, управляющей следующим этапом.

У всех руководителей и менеджеров организации, вовлеченных в проект, существуют свои функции в области менеджмента риска, связанные с принимаемыми решениями (см. рисунок 1). Настоящий стандарт предназначен для использования:

а) директорами и менеджерами проекта, работающими в организации, являющейся собственником проекта или уполномоченной для выполнения проекта, или являющейся будущим собственником или менеджером активов проекта, продукции или услуг, создаваемых проектом;

Таблица 1 - Стадии проекта

b) членами группы проектирования, ответственными за важные участки проекта, мероприятия или комплексы работ;

c) владельцами или спонсорами проекта, ответственными за соблюдение бизнес-интересов финансирующей организации, а также за получение ожидаемых результатов и прибыли от реализации проекта;

d) руководителями, утверждающими результаты выполненных работ по проекту в каждой ключевой точке, и расходы, связанные со следующим этапом проекта;

e) экспертами, обеспечивающими руководителям уверенность в том, что информация, на основании которой они принимают официальные решения, является полной, точной и достоверной;

f) директорами и менеджерами проекта, являющимися представителями подрядной организации, субподрядчика или поставщика, которые назначают цену и осуществляют частичные или полные поставки для выполнения проекта и связанных с ним активов, продукции или услуг;

g) финансистами и страховщиками, финансирующими и поддерживающими проект;

h) проверяющими, связанными с проектом действий или активов, продукции или услуг, создаваемых проектом;

i) другими заинтересованными лицами, включая субподрядчиков, поставщиков и сторонами, заинтересованными в проекте и его результатах, а также пользователями или получателями выгод от активов, продукции или услуг, создаваемых проектом.

Рисунок 1 - Основные заинтересованные участники проекта

5 Принципы

Для того чтобы менеджмент риска проекта был эффективным, организация должна на всех уровнях выполнять приведенные ниже принципы:

a) Менеджмент риска должен создать и защитить ценности организации

Менеджмент риска способствует достижению целей и улучшению деятельности и качества проекта активов, а также продукции и услуг, создаваемых проектом. Цели должны быть поняты всеми участниками.

b) Менеджмент риска должен быть неотъемлемой частью всех процессов организации, связанных с проектом

Менеджмент риска не является обособленной деятельностью, не связанной с основной деятельностью и процессами в организации. Менеджмент риска включает часть обязательств руководства и является неотъемлемой частью всех процессов организации, включая стратегическое планирование, инвестиционное планирование и все процессы управления проектами и изменениями.

c) Менеджмент риска должен быть частью процесса принятия решений

Менеджмент риска помогает ответственным лицам принимать обоснованные решения на каждой стадии жизненного цикла проекта, определять приоритетность действий и проводить различия между альтернативными направлениями действий. Это означает, что все решения должны учитывать риск.

d) Менеджмент риска должен учитывать неопределенность имеющейся информации

Всем менеджерам следует учитывать неопределенность исходной информации, ее особенности и способы использования, особенно в критических процессах.

e) Менеджмент риска должен быть систематическим, структурированным и своевременным

Систематический, регулярный и структурированный подход к менеджменту риска способствует последовательности, сопоставимости и достоверности проектных решений, управления процессами и прибыли проекта. Надежную хорошо обоснованную структуру менеджмента риска следует применять с начала проекта.

f) Менеджмент риска должен быть основан на наилучшей доступной информации

Входные данные для менеджмента риска проекта должны быть основаны на таких источниках информации, как инженерно-технический анализ, анализ месторасположения и оборудования, результаты испытаний и отчеты о выполнении работ, дополненные хронологическими данными, предыдущим опытом, обратной связью с заинтересованными сторонами, прогнозами и экспертными оценками. Однако лица, принимающие решения, должны учитывать все ограничения данных или используемых моделей или возможности расхождений мнений экспертов.

g) Менеджмент риска должен быть адаптируемым

Действия менеджмента риска должны соответствовать типу, внешним и внутренним условиям проекта, участвующим в нем организациям, а также уровню неопределенности и сложности проекта. Сложность менеджмента риска зависит от конкретной ситуации.

h) Менеджмент риска должен учитывать человеческие и культурные факторы

Менеджмент риска должен учитывать возможности, восприятие и намерения людей и организаций, которые могут способствовать или затруднять достижение целей проекта.

i) Менеджмент риска должен быть прозрачным и учитывать интересы заинтересованных сторон

Соответствующее и своевременное вовлечение заинтересованных сторон и лиц, принимающих решения на всех уровнях организации, гарантирует, что менеджмент риска остается приемлемым и соответствует требованиям. Эта вовлеченность обеспечивает представленность заинтересованных сторон и учет их мнения при определении критериев риска.

j) Менеджмент риска должен быть динамичным, итеративным и реагирующим на изменения

По мере продвижения и разработки проекта и реализации внешних или внутренних событий, вносят изменения в область применения знания о проекте, проводят мониторинг и анализ риска, выявляют новые риски, виды риска изменяют, другие исключают из рассмотрения. Таким образом, действия по менеджменту риска проекта помогают ответственным за принятие решений непрерывно осознавать изменения и реагировать на них.

k) Менеджмент риска должен способствовать постоянному улучшению деятельности организации

Организация должна разрабатывать и применять стратегии повышения зрелости менеджмента риска проекта одновременно с другими аспектами процессов организации.

6 Структура

6.1 Общие положения

Процессы менеджмента риска проекта должны быть интегрированы с процессами менеджмента проекта. Структура управления проектом - способ организации, структурирования и управления процесса менеджмента проекта, которым он обеспечивает основы и мероприятия, реализующие менеджмент риска на всех стадиях жизненного цикла проекта, всех уровнях организации и для всех вовлеченных организаций. Успех менеджмента риска часто зависит от эффективности такой интеграции.

Структура менеджмента риска проекта способствует внедрению менеджмента риска проекта посредством применения последовательного и результативного процесса менеджмента риска (см. раздел 7) на различных уровнях и в рамках конкретной области применения проекта.

Структура обеспечивает то, что информацию о риске проекта, полученную в соответствии с процессом менеджмента риска, должным образом регистрируют и используют как основу для принятия решений распределения ответственности на всех соответствующих уровнях организации и проекта.

В настоящем разделе установлены необходимые элементы структуры менеджмента риска проекта, способ их итеративной взаимосвязи. На рисунке 2 показана структура менеджмента риска, установленная в ИСО 31000. Такая структура предназначена не для обеспечения системы менеджмента, а для помощи организациям, вовлеченным в проект, интегрировать менеджмент риска в свою общую систему менеджмента. Таким образом, организации должны адаптировать элементы структуры к своим требованиям.

Если методы и процессы менеджмента, существующие в организации, включают элементы менеджмента риска, или если в организации уже действует процесс менеджмента риска проекта для отдельных видов проекта риска или конкретных ситуаций, то их необходимо критически проанализировать на соответствие требованиям настоящего стандарта для определения их адекватности и результативности.

Рисунок 2 - Взаимосвязь элементов структуры менеджмента риска в соответствии с ИСО 31000

6.2 Полномочия и обязательства

Внедрение менеджмента риска и обеспечение его постоянной результативности требует установления четко сформулированных и последовательно выполняемых обязательств по реализации плана управления всеми организациями, участвующими в проекте, включая владельцев и ключевых подрядчиков, а также подробного стратегического планирования на всех уровнях для выполнения этих обязательств. Руководству организаций владельцев проекта, подрядчикам и основным субподрядчикам или поставщикам следует:

a) определять и поддерживать общую политику менеджмента риска, относящегося к проекту;

b) гарантировать согласованность культуры организаций-участников и политики менеджмента риска проекта в максимально возможной степени;

c) согласовывать цели менеджмента риска проекта с целями и стратегиями организаций-участников, особенно для организаций владельцев проекта;

d) определять показатели результативности функционирования менеджмента риска проекта и согласовать их с показателями результативности выполнения проекта и организаций-участников;

e) обеспечивать соответствие правовым и обязательным требованиям;

f) установить ответственность и полномочия на соответствующих уровнях организации и в организации в целом;

g) обеспечивать распределение необходимых ресурсов для менеджмента риска проекта;

h) обеспечивать наличие системы поставки ресурсов в нужное место в нужное время;

i) обеспечивать обмен информацией заинтересованными сторонами о выгодах менеджмента риска;

j) обеспечивать постоянное соответствие структуры менеджмента риска при разработке проекта на всех стадиях жизненного цикла.

В некоторых случаях требования к менеджменту риска могут быть включены в контракт.

6.3 Разработка структуры менеджмента риска

6.3.1 Понимание проекта и его области применения

До начала разработки и внедрения структуры менеджмента риска важно проанализировать внешние и внутренние области применения проекта, так как они могут значительно повлиять на разработку структуры.

Анализ внешней области применения проекта может включать, но не ограничиваться этим:

a) социальные, культурные, правовые, обязательные, финансовые, технологические, экономические, природные и рыночные условия и требования на международном, национальном, региональном и местном уровнях;

b) основные движущие силы и направления, воздействующие на цели организации или выполнение проекта;

c) взаимосвязи с внешними заинтересованными сторонами, их ценностями и восприятием, включая все организации, связанные с проектом (см. рисунок 1).

Анализ внутренней области применения проекта может включать, но не ограничиваться этим:

d) цель и задачи проекта и способы их согласования с целями и задачами владельца проекта и пользователями активов, продукции или услуг, созданных проектом;

e) управление, организационную структуру, функции и обязанности для выполнения проекта;

f) политику, цели и стратегии, необходимые для достижения этих целей;

g) возможности организаций, связанных с проектом, включая доступность и возможности их ресурсов и знаний (например, капитал, время, персонал, процессы, системы и технологии);

h) информационные системы, потоки информации и процессы принятия решений (как формальные так и неформальные), и особенно информационные системы, используемые для поддержки менеджмента проекта, его контроля и разработки отчетов;

i) взаимосвязи с внутренними заинтересованными сторонами, их ценностями и восприятием;

j) стандарты, руководства и модели, принятые организацией для выполнения проекта;

k) форму и содержание контрактных отношений между партнерами.

6.3.2 Установление политики менеджмента риска проекта

Политика в области менеджмента риска должна устанавливать цели и обязательства организации в области менеджмента риска для всех значимых организаций, связанных с проектом. Политика, как правило, включает:

a) обоснование потребности организации в менеджменте риска;

b) взаимосвязь целей и политики организации с политикой менеджмента риска проекта;

c) обязательства и ответственность в отношении менеджмента риска проекта для всех вовлеченных организаций;

d) способы разрешения конфликтов интересов;

e) обязательства по обеспечению доступности необходимых ресурсов для подотчетных и ответственных за менеджмент риска;

f) способы определения значений параметров, которыми будут измерять и отчитываться об эффективности функционирования менеджмента риска проекта и его связь с выполнением проекта в целом, а также соответствующей отчетности;

g) обязательство регулярного пересмотра и улучшения политики и структуры менеджмента риска проекта, а также в случае реализации событий или изменений в процессе разработки проекта.

Политика в области менеджмента риска должна быть правильно донесена до заинтересованных сторон.

Политика менеджмента риска для конкретного проекта может быть частью более широкого набора политик организации.

6.3.3 Ответственность

Ответственность связана с выполнением определенных обязательств и получением определенных результатов. Организации, участвующие в выполнении проекта, должны обеспечивать распределение ответственности, полномочий и наличия соответствующей компетентности в области менеджмента риска на всех стадиях выполнения проекта, включая внедрение и поддержку процесса менеджмента риска и обеспечение адекватности, результативности и эффективности управления.

Этому может способствовать:

a) идентификация организаций и владельцев отдельных видов риска в них, ответственных и уполномоченных в области менеджмента риска проекта;

b) определение лиц, ответственных за разработку, внедрение и поддержание структуры менеджмента риска;

c) установление других видов ответственности работников на всех уровнях организации за процесс менеджмента риска;

d) установление критериев функционирования работы внешней и внутренней отчетности и их распространение на риски всех проектов.

В большинстве случаев руководитель проекта имеет определенные полномочия и обязательства, обычно включающие и ответственность в области менеджмента риска проекта. В зависимости от размера и сложности проекта, задачи менеджмента риска могут быть выполнены руководителем проекта или делегированы другим специалистам. Задачи включают:

1) определение обязанностей в области менеджмента риска, связанных с деятельностью по выполнению проекта;

2) создание механизмов обмена информацией внутри проекта и координирование информации о менеджменте риска при выполнении проекта;

3) определение области применения процесса менеджмента риска проекта;

4) управление действиями по оценке риска и разработка соответствующих отчетов;

5) рекомендация, инициализация, распределение ответственности по мониторингу эффективного выполнения деятельности по обработке риска;

6) поиск руководством решений противоречивых задач менеджмента риска;

7) обмен информацией обо всех проблемах в области менеджмента риска надлежащим и своевременным образом на протяжении всего периода выполнения проекта;

8) обеспечение планами действий в нештатных ситуациях;

9) идентификация и регистрация всех проблем в области менеджмента риска;

10) мониторинг процесса менеджмента риска и осуществление корректирующих действий при необходимости;

11) создание системы документации, обеспечивающей прослеживаемость.

Полномочия в области менеджмента риска проекта и их связь с другими функциями должны быть определены и документированы. Подотчетность, выходящая за границы организации, должна быть установлена в контрактной документации.

6.3.4 Интеграция в процесс менеджмента проекта

Деятельность по менеджменту риска должна быть включена во все методы и процессы менеджмента проекта и должна выполняться адекватно, эффективно и результативно. Процесс менеджмента риска должен быть частью общего процесса менеджмента проекта и не должен быть отделен от него.

Также должен быть встроен в более общие организационные процессы менеджмент риска, включая процессы разработки политики, процессы стратегического и бизнес-планирования, анализа и внесения изменений.

План менеджмента риска проекта должен гарантировать, что политика выполняется, а менеджмент риска включен во все практики и процессы организации. План менеджмента риска проекта может быть включен в другие планы разработки проекта, такие как план выполнения проекта на стадии жизненного цикла проекта.

6.3.5 Ресурсы

Организации, участвующие в выполнении проекта, должны выделять ресурсы, необходимые для функционирования менеджмента риска проекта.

Следует определить:

a) персонал, его навыки, опыт и компетентность;

b) ресурсы, необходимые на каждом этапе процесса менеджмента риска проекта;

c) процессы, методы и поддерживающие системы, используемые в менеджменте риска проекта;

d) документированные процессы и процедуры менеджмента проекта;

e) системы управления информацией и знаниями;

f) программы обучения;

g) определенное в договоре распределение риска между организациями - участниками проекта.

Бюджет проекта должен учитывать стоимость функционирования менеджмента риска, стоимость обработки риска.

6.3.6 Установление методов обмена информацией и отчетности проекта внутри организации

Организации, участвующие в проекте, должны установить методы обмена информацией и отчетности о выполнении проекта, должны соответствовать обеспечению полномочий по менеджменту риска в каждой фазе жизненного цикла проекта. Эти методы должны обеспечивать:

a) надлежащее представление информации о ключевых элементах структуры менеджмента риска и всех последующих ее модификациях;

b) наличие соответствующей внутренней отчетности о структуре, ее эффективности и выходах;

c) доступность информации, полученной в результате применения менеджмента риска проекта, на соответствующих уровнях и в нужное время для всех участвующих организаций, в том числе на всех стадиях разработки проекта;

d) использование процессов консультирования с внутренними заинтересованными сторонами.

Эти методы должны, если это целесообразно, объединять процессы по сбору информации о риске из различных источников и могут потребовать проверки источников информации. В большинстве случаев отчетность по менеджменту риска должна быть объединена с регулярными отчетами в области менеджмента проекта.

6.3.7 Установление методов обмена информацией и отчетности о выполнении проекта с внешними заинтересованными сторонами

Организации, участвующие в выполнении проекта, должны разработать и применять план обмена информацией с внешними заинтересованными сторонами.

Такой план должен включать:

a) взаимодействие с соответствующими внешними заинтересованными сторонами и обеспечение обмена информацией с ними о проекте;

b) внешнюю отчетность о соответствии правовым, обязательным и другим требованиям;

c) обратную связь и отчетность об обмене информацией и консультациях;

d) обмен информацией для обеспечения доверия к организациям-участникам;

е) обмен информацией с заинтересованными сторонами в критической ситуации или непредвиденных условиях.

Эти методы должны (если это целесообразно) включать процессы объединения информации о риске проекта из различных источников. В большинстве случаев методами обмена информацией должен управлять владелец проекта, если не установлены обязательные требования для подрядчиков и поставщиков.

6.4 Внедрение менеджмента риска проекта

6.4.1 Внедрение структуры менеджмента риска проекта

При внедрении структуры менеджмента риска проекта, организации, вовлеченные в выполнение проекта, должны:

a) определить соответствующие сроки и стратегию применения структуры менеджмента риска в проекте, применяя по возможности совместную разработку политики и процессов менеджмента риска с владельцами риска каждой организации;

b) объединить политику и процесс менеджмента риска проекта с процессами менеджмента проекта;

c) обеспечить соответствие правовым и другим обязательным требованиям;

d) обеспечить согласованность принимаемых решений, включая разработку и установление целей с результатами процессов менеджмента риска проекта;

e) проводить информационные и обучающие сессии;

f) проводить обмен информацией и консультации с заинтересованными сторонами для обеспечения поддержания структуры менеджмента риска на должном уровне.

6.4.2 Внедрение процесса менеджмента риска проекта

Внедрение менеджмента риска проекта должно быть основано на выполнении процесса менеджмента риска (см. раздел 7) в соответствии с планом менеджмента риска (см. 7.7.2) на всех уровнях организаций-участников как часть их деятельности и процессов менеджмента риска проекта.

План менеджмента риска проекта должен быть разработан на раннем этапе разработки проекта и интегрирован с планом менеджмента проекта. Следует также определить область применения процессов менеджмента риска и объем усилий, которые должны быть затрачены на выполнение различных стадий проекта.

6.5 Мониторинг и анализ структуры менеджмента риска проекта

Чтобы гарантировать, что менеджмент риска является результативным и продолжает поддерживать деятельность организации, организация должна:

a) периодически анализировать критерии функционирования проекта на их приемлемость и соответствие критериям выполнения проекта;

b) периодически определять выполнение плана менеджмента риска проекта и определять отклонения от него;

c) периодически анализировать структуру, политику и план менеджмента риска проекта на их адекватность в соответствии с внутренней и внешней областью применения и продвижение разработки проекта;

d) предоставлять информацию о риске проекта, продвижении выполнения плана менеджмента риска проекта, выполнении политики менеджмента риска проекта, являющейся частью отчетности организации;

е) анализировать эффективность структуры менеджмента риска проекта.

Показатели функционирования менеджмента риска проекта могут быть следующими:

- показатели успешности выполнения проекта, характеризующие степень достижения цели;

- показатели, характеризующие степень выполнения менеджмента риска процесса;

- показатели, характеризующие результативность обработки риска.

6.6 Постоянное улучшение структуры менеджмента риска

Решения по улучшению плана менеджмента риска проекта принимают на основе результатов мониторинга и анализа. Эти решения должны приводить к улучшению менеджмента проекта и применению его в организации. Анализ опыта применения менеджмента риска проекта может дать полезную информацию для принятия решений об улучшении.

7 Процесс менеджмента риска проекта

7.1 Общие положения

Процесс менеджмента риска проекта должен быть:

- неотъемлемой частью менеджмента проекта;

- частью деятельности организаций, участвующих в выполнении проекта;

- согласованным и интегрированным с бизнес-процессами и процессами менеджмента проекта организаций - участников проекта.

Процесс менеджмента риска проекта включает деятельность, описанную в 7.2-7.7. Схема процесса менеджмента риска проекта приведена на рисунке 3.

Рисунок 3 - Схема процесса менеджмента риска проекта в соответствии с ИСО 31000

7.2 Обмен информацией и консультации

Обмен информацией и консультации с внешними и внутренними заинтересованными сторонами следует осуществлять на всех стадиях процесса менеджмента риска проекта. Необходимо осуществлять эффективные внешний и внутренний обмен информацией и консультирование для обеспечения того, что ответственные за процесс менеджмента риска проекта и причастные стороны понимают цели процесса менеджмента риска процесса, на основе этой информации принимают решения и обосновывают необходимость конкретных действий.

Обмен информацией и консультации с заинтересованными сторонами важны, поскольку позволяют делать выводы о риске на основе восприятия риска причастными сторонами. Восприятие риска причастными сторонами может быть различным вследствие различий в ценностях, потребностях, предположениях, области применения и опасениях заинтересованных сторон. Поскольку точки зрения могут иметь существенное влияние на принимаемые решения, то восприятие заинтересованными сторонами необходимо идентифицировать, регистрировать и учитывать в процессе принятия решений.

Обмен информацией и консультации должны способствовать получению правдивой, адекватной, точной и понятной информации с учетом конфиденциальности и неприкосновенности личных данных.

Результаты обмена информацией с наиболее значимыми организациями, участвующими в выполнении проекта (рисунок 1) могут быть отражены в различных документах, в том числе в контрактах, соглашениях о взаимопонимании и документах о распределении ответственности за конкретные виды риска и средства контроля между физическими лицами и организациями-участниками.

Планы обмена информацией и консультирования должны быть разработаны на ранних стадиях разработки проекта.

Подход на основе создания консультативной группы может:

a) помочь в установлении области применения;

b) гарантировать, что интересы заинтересованных сторон поняты и рассмотрены;

c) помочь в обеспечении адекватной идентификации рисков;

d) объединять различные области экспертизы для анализа рисков;

e) гарантировать рассмотрение различных точек зрения при определении критериев риска и количественной оценке риска;

f) обеспечивать одобрение и поддержку плана обработки риска;

g) совершенствовать соответствующее управление изменениями проекта в процессе менеджмента риска;

h) разрабатывать соответствующий план внешнего и внутреннего обмена информацией и консультаций.

Менеджмент риска использует доступную информацию, полученную на различных стадиях жизненного цикла проекта. Необходимо установить и поддерживать обмен информацией между менеджментом риска проекта и следующими сферами:

1) проектирование и разработка;

2) функции управления проектом и коммерцией;

3) управление конфигурацией;

4) качество и надежность;

5) постпроектная поддержка, включая поддержку пользователя и техническое обслуживание продукции.

Для этих аспектов обмена информацией должны быть определены полномочия и возможность быстрого реагирования, минимизирующие воздействие проекта на последствия появления опасных событий.

7.3 Установление области применения

7.3.1 Общие положения

С помощью установления области применения организации, участвующие в выполнении проекта формулируют свои цели и определяют внешние и внутренние параметры, которые следует учитывать при внедрении менеджмента риска проекта. Область применения необходимо понимать для установления критериев и структуры риска, для последовательного выполнения процесса менеджмента риска проекта.

Поскольку многие параметры аналогичны параметрам, рассматриваемым при разработке структуры менеджмента риска (см. 6.3), в этом случае при установлении области применения процесса менеджмента риска проекта их следует рассматривать более подробно. Их значения и то, как они связаны с областью применения конкретного проекта и процесса менеджмента, особенно важны.

7.3.2 Установление внешней области применения

Внешняя ситуация (контекст) - внешняя среда, в которой будет выполнен проект.

Понимание внешней области применения важно для обеспечения того, что при разработке критериев риска проекта рассмотрены цели и опасения внешних заинтересованных сторон. Внешняя область применения основана на условиях и области действия организации, детализации правовых и обязательных требований, восприятия риска заинтересованными сторонами и других аспектах риска, специфических для области применения конкретного процесса менеджмента риска проекта.

Внешняя область применения включает (но может быть дополнена):

a) социальные и культурные, политические, правовые, обязательные, финансовые, технологические, экономические, экологические требования на международном, национальном, региональном или местном уровнях;

b) основные источники и направления воздействия организации;

c) зависимость от восприятия и значимости внешних заинтересованных сторон.

7.3.3 Установление внутренней области применения

Внутренняя область применения - это внутренняя среда, в которой организации, участвующие в выполнении проекта стремятся к достижению своих целей. Внутренняя область применения - это условия внутри организации, влияющие на способ реализации менеджмента риска в организации. Внутреннюю область применения необходимо определить поскольку:

- менеджмент риска проекта влияет на цели, установленные организациями для выполнения проекта;

- процесс менеджмента риска проекта должен быть согласован с культурой, процессами, структурой и стратегиями организации;

- некоторые организации испытывают трудности при определении возможностей достижения своих стратегических, проектных или коммерческих целей и это влияет на текущие обязательства, возможности, доверие и ценности организации.

Внутренняя область применения включает (перечень может быть дополнен):

a) управление, организационную структуру, распределение обязанностей и полномочий;

b) политику, цели и стратегии, необходимые для достижения этих целей;

c) потенциальные возможности в виде ресурсов и знаний (например, капитал, время, персонал, процессы, системы и технологии);

d) зависимость от восприятия и значимости внутренних заинтересованных сторон;

e) информационные системы, информационные потоки и процессы принятия решений (как формализованные, так и неформализованные);

f) стандарты, руководства и модели, принятые организацией;

g) форму и содержание контрактных и других отношений с организациями, участвующими в выполнении проекта.

7.3.4 Установление области применения процесса менеджмента риска

Необходимо устанавливать цели, область применения и поставки проекта или тех ее частей проекта, где применен процесс менеджмента риска. Менеджмент риска проекта следует выполнять с рассмотрением всех требований по обоснованию необходимых ресурсов. Также необходимо определить требуемые ресурсы, ответственность и полномочия, а также порядок учета записи.

Область применения менеджмента риска зависит от потребностей проекта. Она может включать (перечень может быть дополнен):

a) определение проекта с точки зрения необходимых действий и процессов, активов, изготовляемой продукции, оказываемых услуг, затрат времени и расположения;

b) определение решений, которые должны быть приняты;

c) определение области применения, а также глубины и объема деятельности в области менеджмента риска проекта, которую необходимо выполнить, включая дополнения и исключения там, где это возможно, виды риска, которые будут подвергнуты обработке;

d) определение взаимосвязи между конкретным проектом, процессом или деятельностью и другими проектами, процессами или видами деятельности вовлеченных организаций;

e) определение задач и целей деятельности в области менеджмента риска проекта;

f) определение ответственностей за процесс менеджмента риска проекта, в том числе внутри процесса;

g) идентификацию направлений и объема необходимого обучения, его целей и ресурсов, необходимых для такого обучения;

h) определение методологии оценки риска проекта;

i) определение методов количественной оценки функционирования и результативности менеджмента риска проекта.

Внимание к этим и другим соответствующим факторам обеспечивает соответствие принятого подхода менеджмента риска условиям выполнения проекта и рискам, воздействующим на достижение целей проекта.

7.3.5 Определение критериев риска

Организации, участвующие в выполнении проекта, должны определить критерии значимости риска. Эти критерии должны отражать ценности и цели организации, относящиеся к проекту. Некоторые критерии могут быть основаны на правовых и обязательных требованиях, политике, а также других требованиях, выполнение которых приняла на себя организация. Критерии риска должны быть согласованы с политикой менеджмента риска проекта (см. 6.3.2), их следует определить в начале процесса менеджмента риска проекта и должны постоянно анализировать.

При определении критериев риска необходимо рассмотреть:

a) природу и типы причин или источников риска и вероятность их реализации;

b) природу типа возможных последствий, которые могут возникать и способ определения их величины;

c) границы интервала времени, в пределах которых возможно появление последствий;

d) как должен быть определен уровень риска;

e) уровень приемлемого или допустимого риска;

f) необходимость учета множественных рисков и (если да) виды и способ комбинаций, которые следует рассмотреть.

При разработке критериев риска следует учитывать мнения заинтересованных сторон.

Критерии риска должны охватывать все цели проекта, которые могут касаться:

1) коммерческих и бизнес-целей организаций, участвующих в выполнении проекта;

2) выполнение целей проекта по затратам и выполнению графика работ;

3) качества, надежности и результативности активов, продукции или услуг, создаваемых проектом;

4) здоровья и безопасности заинтересованных сторон, проекта;

5) защиты окружающей среды и ее повышения;

6) соответствия законодательным и обязательным требованиям.

Должны быть разработаны критерии приемлемости и допустимости риска. Эти критерии используют для определения количественной оценки риска на более поздних стадиях процесса.

7.3.6 Ключевые элементы

Для обеспечения уверенности, что идентификация риска является полной и не пропущены какие-либо важные виды риска, проект часто разделяют на ряд ключевых элементов, которые используют для идентификации риска.

Существует много способов такого деления на ключевые элементы в зависимости от особенностей проекта, целей, области применения и параметров оценки риска. Например, деление на ключевые элементы может быть выполнено на основе параметров:

a) работ проекта (WBS), общей структуры риска, выполняемых функций, поставок или затрат;

b) деления по стадиям жизненного цикла проекта;

c) основных разделов информации о проекте, которая обеспечивает принятие решения о переходе на следующую стадию выполнения;

d) компонентов активов, продукции или услуг, создаваемых проектом;

e) мест реализации проекта;

f) контрактов и субподрядных договоров или разделов контракта;

g) элементов организационной структуры.

Структура ключевых элементов позволяет при идентификации риска сконцентрировать внимание на каждом ключевом элементе в большей мере, чем при работе с проектом в целом. Хорошо разработанный набор ключевых элементов стимулирует творческую мысль.

Разработка структуры ключевых элементов также помогает идентифицировать необходимость специальных знаний для конкретных элементов, поэтому в команду по идентификации риска этого элемента следует включить соответствующих экспертов.

7.4 Оценка риска

7.4.1 Общие положения

Оценка риска охватывает весь процесс идентификации анализа и количественной оценки риска.

Целью оценки риска является идентификация рисков, оказывающих влияние (положительное или отрицательное) на цели проекта, понимания способов реализации опасных событий и ранжирование по значимости.

7.4.2 Идентификация риска

Цель идентификации риска состоит в выявлении, перечислении и описании всех видов риска, которые могут повлиять на выполнение проекта в целом (в положительном или отрицательном смысле).

При идентификации риска следует рассмотреть источники риска, области воздействия, события (включая изменения окружающих условий), их причины и их всевозможные последствия. Результатом идентификации риска составление полного перечня рисков и соответствующих событий, которые могут обеспечивать, задерживать, ускорять или замедлять достижение целей*. Важно также идентифицировать риск, связанный с решением не использовать благоприятные возможности. Полная идентификация риска является критически важной, поскольку риск, не идентифицированный на данном этапе, не будет включен в анализ риска.

________________

* Текст документа соответствует оригиналу. - .

При идентификации рисков следует рассмотреть обработку рисков на все цели проекта.

Результативность менеджмента риска проекта в основном зависит от идентификации риска. Следовательно, идентификация риска должна быть систематической.

Существует много методов идентификации риска. Организация должна применять методы, наиболее соответствующие целям проекта, возможностям организации и видам ожидаемых рисков. Методы могут включать:

a) мозговой штурм в пределах структуры ключевых элементов;

b) экспертные оценки;

c) интервью и анкетирование;

d) контрольные листы;

e) хронологические данные;

f) предыдущий опыт участников и данные других проектов;

g) данные испытаний и моделирования;

h) формальные методы, такие как анализ видов и последствий отказов (FMEA) или метод анализа опасностей и работоспособности (HAZOP).

Идентификация риска должна включать риски независимо от наличия контроля источника риска заинтересованными сторонами, даже если их источник или причина риска могут быть неочевидными. Идентификация риска должна включать анализ эффекта домино, включая эффект каскада и кумулятивные эффекты последствий. Все существенные причины и последствия должны быть рассмотрены.

При идентификации риска большое значение имеет своевременная и актуализированная информация. Она по возможности должна включать соответствующую исходную информацию. В идентификации риска должны принимать участие сотрудники с соответствующими знаниями и должны быть использованы все доступные источники информации.

Фокус идентификации риска зависит от стадии выполнения проекта. На ранних стадиях выполнения проекта идентификация риска обычно направлена на общие и стратегические риски и идентификацию "роковых рисков", которые могут сделать невозможным успешное завершение проекта. На более поздних стадиях выполнения проекта идентификация риска направлена на детализацию выявленных рисков.

При идентификации риска следует рассмотреть все оставшиеся стадии жизненного цикла проекта, а также жизненного цикла активов, продукции и услуг, создаваемых проектом. В процессе идентификации риска должны участвовать заинтересованные стороны и технические эксперты, обладающие соответствующими знаниями по этим вопросам. По мере выполнения проекта некоторые виды риска будут устранены и могут появиться новые, таким образом, идентификация риска является непрерывным процессом. Некоторые виды риска, идентифицированные на ранних стадиях выполнения проекта, остаются актуальными и на более поздних стадиях, что такие риски сохраняются по мере выполнения проекта.

Все виды риска должны быть зарегистрированы. Обычно их заносят в реестр риска проекта (см. 7.7.4).

7.4.3 Анализ риска

Анализ риска включает разработку и понимание каждого риска, его причин, условий и способов реализации. Анализ риска обеспечивает входную информацию для определения оценок риска и принятия решений относительно необходимости и наиболее подходящих стратегий и методов обработки риска. Анализ риска предоставляет входную информацию для принятия решений при необходимости выбора при наличии альтернативных вариантов, включая различные виды и уровни риска.

Анализ риска включает рассмотрение причин и источников риска, их положительных и отрицательных последствий для достижения целей проекта и вероятности появления этих последствий. Факторы, влияющие на последствия их появления и вероятность, должны быть идентифицированы. Необходимо также учитывать существующие средства контроля и методы управления проекта, их результативность и эффективность.

Риск может иметь множественные последствия, которые связаны с несколькими целями проекта.

Способ представления последствий и вероятности, способ их использования для определения уровня риска должны отражать вид риска, имеющуюся информацию и цель, для которой должны быть использованы результаты оценки риска. Все это должно быть согласовано с критериями риска. Также важно рассмотреть взаимозависимость различных видов риска и их источников.

При анализе необходимо рассматривать достоверность определения уровня риска и его чувствительность к предварительным условиям и предположениям, эффективно обмениваться информацией с ответственными за принятие решений, и при необходимости, с другими заинтересованным сторонами. Такие факторы, как разброс мнений экспертов, неопределенность, доступность, качество, количество и релевантность информации или ограничения, используемые при моделировании, должны быть установлены и выделены.

Анализ риска допускает различную степень детализации в зависимости от риска, цели анализа и доступности информации, данных и имеющихся ресурсов. В процессе анализа риска может потребоваться повторить процесс идентификации рисков для уточнения риска проекта.

Анализ может быть качественным или количественным или их комбинацией в зависимости от обстоятельств.

Качественный и количественный анализ может быть использован во всех стадиях выполнения проекта, но значимость их результатов на разных стадиях выполнения проекта различна. Например, качественный анализ риска применяют на ранних стадиях выполнения проекта для обеспечения стратегических решений, а количественный анализ риска применяют на более поздних стадиях для детальной разработки затрат и бюджета времени. Анализ неопределенности в области надежности и стоимости жизненного цикла выполняют при отборе вариантов проекта и детального проектирования на соответствующих стадиях выполнения проекта.

7.4.4 Сравнительная оценка риска

Целью сравнительной оценки риска является помощь решений* на основе результатов анализа риска о необходимости обработки риска и установления приоритета обработки риска. Сравнительная оценка риска включает сопоставление уровня риска, выявленного при анализе риска, с критериями риска, установленными при анализе области применения. Анализ необходимости обработки риска должен основываться на этом сопоставлении.

_______________

* Текст документа соответствует оригиналу. - .

Сравнительная оценка может включать сбалансированное ранжирование различных видов рисков (с положительными и с отрицательными последствиями) для принятия решения о возможности продолжения работы над проектом или о способах выполнения проекта.

В некоторых случаях сравнительная оценка риска может привести к решению о проведении дальнейшего анализа. Например, на ранних стадиях выполнения проекта, анализ риска может помочь при разработке планов исследований, проводимых на последующих стадиях.

7.5 Обработка риска

7.5.1 Общие положения

Обработка риска включает выбор одного или нескольких вариантов модификации риска и их применение. После применения обработки риска устанавливают новые средства контроля и управления или изменяют существующие.

Некоторые виды риска могут быть приняты без обработки, кроме технического обслуживания существующих средств контроля. Такие виды риска должны быть включены в реестр риска проекта для проведения эффективного мониторинга. Необходимо исследовать неприемлемые риски.

Принимаемые решения должны учитывать более широкую область применения риска и включать рассмотрение допустимой области риска приемлемого для сторон (кроме организации, извлекающей выгоду). Решения должны соответствовать юридическим, обязательным и другим требованиям.

Обработка риска включает циклический процесс: после начальной обработки риск переоценивают для определения допустимости остаточного риска. В противном случае выполняют другую обработку риска.

7.5.2 Выбор вариантов обработки риска

Варианты обработки риска могут включать:

a) установление риска с отрицательными последствиями с устранением источника риска или в случае решения не начинать или не продолжать деятельность, в результате которой возникает риск (или прервать выполнение проекта);

b) участие в действиях, которые могут привести к риску с положительными последствиями для использования новых возможностей (включая изменение области применения или целей проекта);

c) выполнение действий, изменяющих вероятность возникновения риска (повышающих вероятность положительных последствий или снижающих вероятность отрицательных последствий);

d) выполнение действий, изменяющих последствия риска (повышающих положительные последствия и снижающих отрицательные последствия);

e) разделение риска с другой стороной или сторонами (в том числе контрактов путем заключения страхования или субсидирование риска);

f) поддержание риска путем принятия обоснованных решений.

Решения об обработке риска основаны на простой логике:

1) если последствия риска не соответствуют законодательным или обязательным требованиям, необходимо проведение обработки риска;

2) если последствия риска не соответствуют политике организации или критериям риска, установленным при разработке области применения, как правило, необходима обработка риска;

3) если последствия риска оказывают неблагоприятное влияние на здоровье и безопасность людей, то обработка риска должна быть проведена, а критерием приемлемости: "риск должен быть настолько низким насколько это целесообразно" (ALARP);

4) во всех других случаях обработку риска выполняют тогда, когда совокупные выгоды и преимущества для проекта превышают совокупные затраты и недостатки с учетом всех преимуществ и недостатков проекта.

Варианты обработки риска не обязательно являются взаимоисключающими и не всегда воздействуют только на один риск. Могут быть рассмотрены и применены различные варианты обработки отдельного риска или комбинации вариантов. Часто удобнее использовать комбинацию вариантов обработки риска.

При выборе вариантов обработки риска следует учитывать значимость и восприятие риска для заинтересованных сторон и наиболее подходящие способы обмена информацией с ними. Некоторые варианты обработки риска могут соответствовать одинаковой эффективности проекта, но для некоторых заинтересованных сторон быть более приемлемыми, чем для других.

Проведение обработки риска может привести к возникновению новых рисков, которые необходимо также рассмотреть. Для такого вторичного риска необходимо также провести оценку, обработку, мониторинг и анализ.

7.5.3 Планы обработки риска

Целью планов обработки риска является документирование выбранного варианта обработки риска и способ ее выполнения. Информация, представленная в планах обработки риска, должна включать:

a) обоснование выбора вариантов обработки риска, включая ожидаемые выгоды;

b) перечень ответственных за утверждение плана и ответственных за выполнение плана;

c) предлагаемые действия и приоритетность их выполнения;

d) требования к ресурсам, включая возможные непредвиденные обстоятельства;

e) измерения и ограничения показателей функционирования;

f) требования к отчетности и мониторингу;

g) сроки и график выполнения.

Для каждой обработки риска должен быть назначен ответственный (владелец задачи). Наиболее подходящими могут быть:

1) специалист, ответственный за деятельность, вызывающую риск;

2) специалист, контролирующий вероятность появления риска;

3) специалист, обладающий наилучшими возможностями для реагирования появления* события (вызывающего риск) или изменение его последствий;

_______________

* Текст документа соответствует оригиналу. - .

4) специалист, обладающий соответствующими полномочиями работы для борьбы с риском.

Планы обработки риска должны быть объединены с планом менеджмента проекта.

7.6 Мониторинг и проверки

Мониторинг и проверки должны быть запланированной частью процесса менеджмента риска и интегрированы с другими действиями мониторинга и контроля проекта.

Обязанности по мониторингу и проверкам должны быть четко определены.

Мониторинг и проверки, осуществляемые организацией, должны охватывать все аспекты процесса менеджмента риска проекта и обеспечивать:

a) обнаружение изменений во внешней и внутренней области применения, включая изменения в области применения проекта, целях или критериях риска проекта, которые могут потребовать проверки рисков, их обработки и ранжирования;

b) получение дополнительной информации для улучшения оценки риска;

c) гарантии того, что средства контроля являются эффективными и результативными как при проектировании, так и при функционировании;

d) анализ извлечения опыта из случаев, изменений, тенденций, успеха и неудач (включая риск без последствий);

е) идентификацию новых рисков.

Действия по обработке риска должны быть включены в план проекта и являться частью регулярных действий по управлению проектом. Положительные результаты выполнения задач по обработке риска могут включаться в общее управление и оценку эффективности проекта, внутреннюю и внешнюю отчетность организации. В конце проекта желательно провести анализ эффективности управления проектом, извлеченных уроков и обратной связи при обучении для будущих проектов. Важно, чтобы эта деятельность началась во время проекта и ее не оставили на конец проекта, когда все, кто обладал информацией об успехах, уже перешли на другой проект.

Результаты мониторинга и пересмотра должны быть документированы, соответствующим образом зарегистрированы. Их также следует использовать в качестве входных данных для пересмотра структуры менеджмента риска (см. 6.5).

7.7 Записи и отчетность процесса менеджмента риска

7.7.1 Отчетность

Отчетность в области риска необходима в качестве входной информации для принятия управленческих решений и обеспечения уверенности в том, что цели проекта достижимы. Все совещания по проекту обеспечивают возможность обсуждения и принятия в области риска. Совещания по проекту могут быть официальными или неофициальными, но все обсуждения и решения, относящиеся к риску, должны быть зарегистрированы и занесены в отчет.

Обсуждение вопросов в области риска могут включать:

a) идентификацию и оценку новых или появившихся рисков;

b) анализ реестра рисков проекта;

c) рассмотрение статуса риска, результативности соответствующих средств управления и выполнения действий по обработке риска;

d) идентификацию и согласование всех изменений информации о рисках, повторный анализ изменений и обновление реестра риска проекта;

e) оценку результативности процесса менеджмента риска;

f) обсуждение отношений между участниками контракта (договора), включая распределение рисков.

Конкретные показатели выполнения могут быть разработаны для многих, указанных выше действий.

Требования к отчетности должны быть установлены в плане менеджмента риска проекта. Там, где это возможно, отчеты в области менеджмента риска должны быть объединены с другими видами отчетов в области менеджмента проекта.

7.7.2 План менеджмента риска проекта

В плане менеджмента риска проекта описан структурированный процесс менеджмента риска, примененный к проекту.

План менеджмента риска проекта может быть интегрирован в другие планы менеджмента проекта или может быть отдельным документом. Он может включать (или включать ссылки на соответствующие документы):

a) область применения и границы менеджмента риска проекта, включая цели менеджмента риска проекта;

b) структуру, процессы и интерфейсы менеджмента риска проекта;

c) ответственность за деятельность в области менеджмента риска, полномочия и предоставление отчетности;

d) внутренние и внешние интерфейсы;

e) график совещаний по менеджменту риска проекта (часто или являющийся частью постоянных совещаний по менеджменту проекта или согласованный с ними);

f) процессы анализа риска проекта;

g) взаимосвязь с другими документами и планами проекта;

h) соответствующие организационные процедуры;

i) взаимодействие с планами менеджмента риска из других источников, при необходимости (например, поставщиков и субподрядчиков);

j) форму реестра риска.

План менеджмента риска проекта необходимо регулярно анализировать и модифицировать в соответствии с требованиями.

7.7.3 Документация

Документация необходима для выполнения и контроля процесса менеджмента риска, особенно при переходе с одной стадии проекта к другой.

Документация оказывает помощь при планировании, оценке и прослеживаемости. Должны быть документированы процесс менеджмента риска, все виды риска и их обработка. В процессе менеджмента риска проекта основой для улучшения методов, а также всего процесса в целом являются записи.

Решения, определяющие создание записей, должны учитывать:

a) потребности организации в непрерывном обучении;

b) преимущества многократного использования информации для целей менеджмента проекта;

c) затраты и усилия, связанные с созданием и поддержкой записей;

d) правовые, обязательные и функциональные требования к записям;

e) методы доступа, простота поиска и средства хранения записей;

f) сроки хранения;

g) чувствительность информации.

7.7.4 Реестр риска проекта

Реестр риска проекта представляет собой важную форму документации. Реестр применяют для записи изменений статуса риска. Его содержание является основой для регулярной отчетности на уровне менеджмента проекта, а также для совещаний по обсуждению рисков и их обработке.

Создание реестра риска проекта должно быть начато на самой ранней стадии в жизни проекта (таблица 1). Реестр пересматривают и обновляют в течение всего жизненного цикла проекта. Реестр представляет собой базу данных, которая включает всю информацию об идентифицированных видах риска. Реестр должен содержать, по крайней мере, перечень рисков и владельцев риска (ответственных за каждый риск), причины и последствия каждого риска для целей, соответствующие средства контроля и ответственных за контроль, результаты анализа и оценки риска. При необходимости реестр может содержать дополнительную информацию, например, сведения об ответственных за дальнейший анализ (обычно это владельцы риска или специалисты, которые им подотчетны), или за обработку риска (владельцы задачи). Должен быть назначен и указан уникальный идентификационный номер риска, также следует регистрировать прослеживаемость данных до их источника.

Реестр риска может быть документом на бумажном носителе или в виде электронной таблицы или в виде компьютерной базы данных. Уровень сложности реестра риска должен соответствовать объему проекта, его значимости, особенностям и уровню рисков. В случае, когда реестр представляет собой документ на бумажном носителе или электронную таблицу, могут возникнуть трудности с доступом и его контролем.

Планы обработки риска должны быть документированы и включать необходимые действия, указание ответственного и время завершения. Задачи обработки риска должны быть включены в план проекта.

В сложном проекте могут быть виды риска, являющиеся результатом сложных взаимодействий. Такой риск можно распознать по известным признакам, но сложно определить событие, связанное с этим риском, его причину или последствия. Такой риск трудно ввести в обычный реестр риска. Тем не менее, такие риски должны быть выявлены, проанализированы и подвергнуты обработке, записи о них следует сохранять.

В крупном проекте могут быть реестры множественных рисков, подготовленные различными заинтересованными сторонами на различных стадиях проекта. Информацию этих реестров необходимо сопоставлять и передавать по всем стадиям выполнения проекта. Однако такие реестры риска отражают потребности организаций - участников выполнения проекта на конкретных стадиях проекта и восприятия риска сторонами, разработавшими проект. В реестре могут быть использованы различные критерии. Если различные реестры риска необходимо использовать на одном уровне проекта или риски переданы из одного реестра в другой (например, если принято решение о передаче ответственности за риск другой стороне, которая лучше оснащена для обработки риска), то критерии должны быть согласованы и адаптированы.

При передаче риска должно быть заключено соглашение между сторонами, участвующими в выполнении проекта о том, кто является ответственным за риск (владелец риска), а также за положительные или отрицательные последствия соответствующего опасного события.

При завершении стадии проекта часто сохраняется остаточный риск, относящийся к последующим стадиям проекта. Информация об этих рисках должна быть передана соответствующим заинтересованным сторонам и включена в соответствующие реестры риска на следующих стадиях разработки проекта.

Приложение А
(справочное)

Примеры

А.1 Общие положения

В настоящем приложении приведены виды информации, которая может быть использована или получена на каждом этапе процесса менеджмента риска проекта. Эти примеры основаны на данных выполнения различных видов проектов в упрощенной форме. Примеры носят справочный характер, их нельзя использовать в качестве реальной информации.

А.2 Процесс менеджмента риска проекта

А.2.1 Анализ заинтересованных сторон (см. 7.2)

Идентификация и анализ внешних и внутренних заинтересованных сторон важны, поскольку при определении целей проекта должны быть учтены восприятие и цели заинтересованных сторон. В таблице А.1 приведен перечень заинтересованных сторон для государственного проекта и показано, как отдельные заинтересованные стороны могут быть сгруппированы в более крупные категории. В таблице А.2 (расширенной) приведены заинтересованные стороны, участвующие в проекте по модернизации судна, их ключевые проблемы и цели, относящиеся к проекту. В таблице А.3 приведена небольшая часть таблицы, которая может быть использована для разработки плана обмена информацией с заинтересованными сторонами проекта по гражданскому строительству Такая таблица может также быть частью общего плана по обязательствам заинтересованных сторон более крупного проекта или проекта, который требует более широкого участия заинтересованных сторон, например, при анализе воздействия на окружающую среду.

Таблица А.1 - Заинтересованные стороны государственного проекта

Таблица А.2 - Заинтересованные стороны и их цели в проекте по модернизации судна

Таблица А.3 - Заинтересованные стороны и потребности в обмене информацией по проекту гражданского строительства

А.2.2 Внешняя и внутренняя области применения (см. 7.3.4)

Внешняя и внутренняя области применения позволяют получить краткую информацию об основных факторах, влияющих на выполнение проекта и окружающую среду, и таким образом обеспечить исходные данные для анализа источников неопределенности.

В таблицах А.4 и А.5 показано, как может быть представлена информация внешней области применения. В колонках "внешние факторы" и "внутренние факторы" указаны факторы, а в колонках "последствия" приведены некоторые способы, которыми фактор может влиять на выполнение проекта или создать неопределенность. Эти примеры показывают, что не всегда понятен способ классификации факторов, как внешних, так и внутренних. Однако это менее важно, чем наличие записи о факторах, позволяющее стимулировать исследования на этапе оценки риска, когда риски идентифицированы. Этот пример также показывает, что при описании области применения возможна значительная детализация, хотя в данном примере приведена упрощенная детализация.

Таблица А.4 - Описание внешней области применения для энергетического проекта

Таблица А.5 - Описание внутренней области применения для проекта создания структуры частного сектора экономики

А.2.3 Установление области применения менеджмента риска (см. 7.3.4)

Область применения менеджмента риска устанавливает условия и цели проведения конкретной деятельности по оценке риска. В некоторых случаях она может представлять собой простое описание (см. А.2.4). В других случаях это описание может быть более тщательным (см. диаграмму на рисунке А.1, на которой показаны виды производственных операций, действия поддержки, соответствующие стадии проекта и некоторые явные исключения из области применения проекта по разработке и вводу в эксплуатацию открытого месторождения).

А.2.4 Область применения менеджмента риска для проекта повышения мощности месторождения

При оценке риска рассматривают всю деятельность от настоящего времени до предполагаемой модернизации завода и электростанций, входящих в структуру организации. Все связанные действия, которые могут вызвать события, влияющие на организацию или ее заинтересованные стороны, такие как поставки топлива на электростанции или изменения в логистике завода, необходимо рассмотреть.

Рисунок А.1 - Область применения менеджмента риска для проекта по разработке и вводу в эксплуатацию открытого месторождения

А.2.5 Критерии риска (см. 7.3.5)

Критерии риска обеспечивают краткое описание всех детализованных целей проекта, важных для достижения организацией успеха. В таблице А.6 приведены критерии для проекта высокой технологии. Другие критерии приведены в таблице А.10. Эти примеры показывают, что критерии успеха проекта на практике обычно намного шире, чем просто затраты, время и качество выполнения.

Таблица А.6 - Критерии для проекта высокой технологии

А.2.6 Ключевые элементы (см. 7.3.6)

Ключевые элементы используют для структурирования деятельности по оценке риска и формирования повестки для соответствующих совещаний. В приведенных примерах колонка "примечание, описание" использована для пояснения того, что включено в каждый элемент и что исключено; если структура основана на формальной проектной структуре декомпозиции работ (WBS), в описании могут быть извлечения из словаря WBS. Часто WBS является хорошей основой для структурирования оценки риска проекта, другие структуры могут также быть полезны. Например, главные темы, приведенные на рисунке А.1, также являются основой для рассмотрения того, что может произойти в конкретном проекте.

В таблице А.7 приведены основные элементы проекта по созданию коммуникационных систем на основе WBS. В таблице А.8 также использован WBS для структурирования проекта, но в этой таблице добавлен столбец с указанием основных групп, участвующих в выполнении каждого элемента оценки риска. В таблице А.9 приведена общая структура проекта по созданию организации здравоохранения.

Таблица А.7 - Ключевые элементы проекта систем коммуникации

Таблица А.8 - Ключевые элементы и практическое руководство по планированию семинара для проекта по созданию новых вооружений

Таблица А.9 - Ключевые элементы проекта по созданию организации здравоохранения

А.2.7 Анализ риска (см. 7.4.3)

А.2.7.1 Назначение качественного уровня риска

Риски проекта часто сравнивают и анализируют с помощью оценочных шкал, когда каждому последствию реализации события риска и вероятности его реализации присваивают некоторое значение по оценочной шкале, а затем комбинируют эти значения так, чтобы обеспечить качественный уровень риска, который заносят в реестр риска.

Оценочные шкалы могут быть установлены для каждого конкретного проекта, но многие организации, постоянно работающие с проектами, используют ряд стандартных шкал для всех проектов. Во всех случаях эти шкалы должны соответствовать области применения оценки риска.

Организация может определять величину последствия рисков с применением любых или всех критериев риска, установленных ранее (см. пример в таблице А.6). В таблице А.10 приведена шкала с пятью значениями определения величины для последствий по четырем критериям, подходящим для качественного анализа риска. Некоторые организации используют шкалу с большим количеством значений (шкалу с количеством значений менее пяти лучше не использовать, так как это не обеспечивает значимое различие результатов). Во многих случаях, кроме приведенных в таблице, используют дополнительные критерии. Следует отметить, что описания шкалы по каждому направлению не должны быть идентичны друг другу, но они должны быть эквивалентны с точки зрения значимости для организации. Аномальным влением* следует считать образ действий организаций, которые регулярно выполняют проекты, но не имеют шкалы последствий непосредственно связанных с выполнением графика работ проекта. Вместо этого они рассматривают ускорение или задержку выполнения проекта с точки зрения их финансового воздействия или воздействия дохода на организацию.

_______________

* Текст документа соответствует оригиналу. - .

Воздействия могут быть положительными или отрицательными. Их величина может быть определена в абсолютных величинах или по отношению к ожидаемым результатам.

Таблица А.10 - Пример шкалы для определения значения последствий

В таблице А.11 приведено пять точек шкалы для определения значения вероятности при качественном анализе риска. Таблица включает два способа оценки вероятности (описательный с точки зрения периодов повторения события), что позволяет при оценке риска выбрать более подходящий способ в конкретной ситуации. Временная шкала в таблице должна быть установлена в соответствии с областью применения проекта. Точки шкалы могут быть установлены в абсолютных значениях или по отношению к ожидаемым результатам.

Таблица А.11 - Пример вероятностной шкалы

В таблице А.12 показан один из способов преобразования качественной оценки последствий и вероятности в уровень риска. В данном примере матрица риска не симметрична. Больший вес отдан последствиям, а не вероятности.

Следует заметить, что для обеспечения того, что уровни риска являются значимыми для проекта и отражают отношение организации к риску, необходимо тщательно разработать таблицы А.10-А.11 и затем таблицу А.12.

Таблица А.12 - Пример матрицы риска для определения уровня риска

А.2.7.2 Количественный анализ риска с использованием моделирования

Неопределенность оказывает влияние на достижение целей проекта. Если существует неопределенность оценок, полученных на стадии концепции и разработки (например, неопределенность количественных данных о ранжировании и сроках выполнения), то по мере выполнения проекта могут возникнуть события, которые не были предусмотрены. Если неопределенность входных данных представить в виде распределения вероятностей, то для определения их влияния на результаты выполнения проекта (например, капитальные затраты или запланированную продолжительность проекта) может быть использовано моделирование по методу Монте-Карло.

Моделирование позволяет получить информацию:

- о наиболее вероятных затратах с учетом идентификационных рисков;

- о вероятности того, что затраты превысят бюджет с учетом идентификационных рисков;

- какие непредвиденные затраты могут потребоваться;

- какие элементы затрат могут повлечь необходимость непредвиденных затрат.

Существует много методов определения воздействия неопределенности на стоимость проекта. Моделирование - один из таких методов. Он обычно состоит из следующих этапов:

a) анализ и валидация имеющейся информации, включая договор (контракт), структуру декомпозиции проекта (WBS), структуру разбиения затрат (CBS), реестр риска, первоначальную оценку стоимости проекта и т.д. для обеспечения уверенности в том, что они точны и представляют наиболее вероятный сценарий;

b) анализ и оценка экономических последствий (как положительных, так и отрицательных) идентифицированных рисков, неопределенности этих последствий и распределения вероятностей последствий, которые наилучшим образом представляют эти неопределенности;

c) разработка модели затрат, связанных с риском, которая включает распределения неопределенностей;

d) выполнение моделирования для многократных вычислений модели затрат на риск с использованием программного обеспечения для обеспечения входных данных, отобранных из соответствующих распределений вероятностей;

e) анализ и валидация результатов, затем изменение модели затрат на риск и повторение всех этапов при необходимости;

f) документирование и обмен информацией о результатах проведения регулярного мониторинга для обеспечения того, что предположения о входах и их неопределенности справедливы.

В следующем примере показано использование моделирования для анализа положительных и отрицательных воздействий риска на стоимость строительных работ, связанных с восстановлением порта.

После выполнения этапов, в общих чертах указанных выше, график, приведенный на рисунке А.2, помогает проектной группе выполнить валидацию вероятности непревышения начальной сметы и вероятность превышения расходов, связанных с идентифицированными рисками:

1) в соответствии с первоначальной сметой наиболее вероятная стоимость строительства составляет 124 миллиона долларов;

2) когда в анализ включили идентифицированные риски стоимость проекта определили от 119 миллионов долларов (оптимистичный прогноз) до 137 миллионов долларов (пессимистический прогноз) с вероятностями 0,05 и 0,95 соответственно и средним 128 миллионов долларов;

3) после рассмотрения идентифицированных рисков, последующий анализ, выполненный проектной группой, показал, что вероятная стоимость строительства составляет 128 миллионов долларов (с вероятностью 0,5);

4) разность первоначальной стоимости 124 миллиона долларов и полученной заключительной оценки (128 миллионов долларов) равна 4 миллионам долларов. Эта величина является необходимыми непредвиденными затратами на проект с вероятностью 0,5 того, что бюджет составит 128 миллионов долларов с учетом непредвиденных обстоятельств, что принято приемлемым.

Рисунок А.2 - Распределение затрат с использованием моделирования

А.2.8 Оценка риска (см. 7.4.4)

Приоритетность внимания к рискам зависит от нескольких факторов и включает особенности и уровень риска, результативность используемых средств его контроля и максимальную возможную экспозицию риска при отказе. В таблице А.13 приведен пример приоритетности рисков, основанный на уровне риска и результативности средств контроля. Столбец "предполагаемый срок выполнения" должен быть скорректирован с учетом шкалы времени и места выполнения проекта, передачей полномочий организациям, участвующим в выполнении проекта.

Таблица А.13 - Пример приоритетов риска

А.2.9 Обработка риска (см. 7.5)

Для оценки вариантов обработки риска может быть использована простая рабочая таблица, как, например, таблица А.14. Если в оценке риска участвуют специалисты, обычно сразу становится понятно: стоит ли проводить обработку (Да), следует от нее отказаться или ее отложить (Нет) или для принятия решения необходима дополнительная информация.

Таблица А.14 - Пример рабочей таблицы вариантов обработки риска

А.2.10 Реестр риска (см. 7.4.2 и 7.7.4)

Риски проекта часто заносят в базу данных или в реестр риска. В таблице А.15 приведена простая форма реестра риска, которая является удобной, если риски описаны с указанием причин и последствий (например, в форме "что-то происходит и приводит к воздействию на цели"). При использовании более простого описания риска, в реестр риска должны быть добавлены новые колонки, после колонки риска, для указания причин и воздействий. В таблице А.15 в колонке СЕ указывают эффективность средств контроля в соответствии с отчетами, в колонке С указывают ранг последствий (например, из таблицы А.10), в колонке L указывают ранг вероятности (например, из таблицы А.11), уровень риска определяют по комбинации данных колонок С и L (например, используя таблицу А.12), в колонке РЕ указывают потенциальный риск, который соответствует максимальным последствиям, если все средства контроля откажут.

Таблица А.15 - Простая форма реестра риска

Приложение ДА
(справочное)

Сведения о соответствии ссылочных международных стандартов национальным стандартам

Таблица ДА.1

Библиография

Электронный текст документа

и сверен по:

, 2020