Съвети за Бизнеса
Управление на риска по ISO 31000: как се прави регистър, който някой използва
Отворете регистъра на рисковете на коя да е сертифицирана българска фирма. Ще намерите между осем и дванадесет реда, създадени в деня преди първия сертификационен одит. „Загуба на ключов клиент — вероятност средна, въздействие високо, мярка: поддържане на добри отношения.“ Оттогава документът не е пипан.
Това не е управление на риска. Това е документ за одитор. Разликата е в едно: работещият регистър променя решения, а не само съществува.
Ключови изводи
- ISO 31000 е насока, не изискване. По него не се сертифицира — той дава принципи, рамка и процес, които всяка организация адаптира за себе си.
- ISO 9001 не изисква ISO 31000. Клауза 6.1 изисква да определите рисковете и възможностите и да планирате действия — не предписва методология, формуляр или матрица.
- Процесът има шест стъпки: обхват и контекст, идентифициране, анализ, оценяване, третиране, плюс постоянните комуникация и наблюдение.
- Рискът не е само заплаха. Определението е „ефект на неопределеността върху целите“ — ефектът може да е и положителен.
- Матрицата вероятност–въздействие е инструмент, не методът. ISO 31010 описва над тридесет техники; за повечето фирми са достатъчни три-четири.
- Регистър без собственик и срок не работи. Всеки риск има отговорник, мярка и дата за преглед — иначе остава описание.
Какво е ISO 31000 и какво не е
ISO 31000 е международен стандарт с насоки за управление на риска. Той не е сертификационен стандарт — няма орган, който да издаде сертификат по ISO 31000, и всяко предложение за такъв сертификат е повод за внимание.
Стандартът е построен върху три елемента, които често се бъркат:
| Елемент | Какво съдържа | Отговаря на въпроса |
|---|---|---|
| Принципи | Интегрираност, структурираност, съобразеност, приобщаване, динамичност, най-добра налична информация, човешки и културни фактори, непрекъснато подобряване | Какво прави управлението на риска ефективно? |
| Рамка | Лидерство и ангажираност, интегриране, проектиране, внедряване, оценяване, подобряване | Как се вгражда в организацията? |
| Процес | Обхват и контекст, идентифициране, анализ, оценяване, третиране, комуникация, наблюдение, записване | Как се работи с конкретен риск? |
Повечето фирми прилагат само процеса и пропускат рамката. Резултатът е познат: има регистър, но няма кой да го поддържа, защото управлението на риска не е вградено в начина, по който се взимат решения.
Определението, което променя мисленето: рискът е „ефект на неопределеността върху целите“. Три следствия: рискът винаги е спрямо цел — без цели няма рискове; ефектът може да е и положителен, тоест възможност; и несигурността е източникът, не самото събитие.
Какво всъщност изисква ISO 9001
Най-честото недоразумение е, че ISO 9001 изисква регистър на рисковете. Не изисква. Клауза 6.1 казва, че организацията трябва да определи рисковете и възможностите, които е необходимо да бъдат адресирани, и да планира действия за тях. Няма изискване за:
- документирана процедура за управление на риска;
- регистър в определен формат;
- матрица вероятност–въздействие;
- числена оценка или скала;
- прилагане на ISO 31000.
На практика повечето организации все пак водят регистър, защото е най-удобното доказателство. Но форматът е ваш избор — и точно затова има смисъл да изберете формат, който ще използвате.
Процесът в шест стъпки
- Определете обхвата, контекста и критериите. За какво точно говорим — цялата фирма, един процес, един проект? Кои са целите? Какво ниво на риск е приемливо? Без критерии оценяването е усещане.
- Идентифицирайте рисковете. Какво може да се случи, защо и как. Тук се губи най-много стойност, когато идентифицирането се прави от един човек на бюро вместо от хората, които вършат работата.
- Анализирайте ги. Разберете природата на риска, източниците, последиците и вероятността. Анализът може да е качествен, количествен или смесен.
- Оценете ги спрямо критериите. Решете кои рискове изискват действие и в какъв ред. Това е решение, а не изчисление.
- Третирайте ги. Избягване, поемане за търсене на възможност, премахване на източника, промяна на вероятността или на последиците, споделяне (застраховка, договор) или информирано приемане.
- Наблюдавайте и преглеждайте. Рисковете се променят. Преглед при планирана честота и при всяка значима промяна в контекста.
Комуникацията и консултирането вървят успоредно на всички стъпки, а записването и докладването правят процеса проследим.
Методите: кой кога
| Метод | Подходящ за | Усилие |
|---|---|---|
| Структуриран разговор по процеси | Идентифициране на оперативни рискове с екипа | Ниско |
| Матрица вероятност–въздействие | Подреждане по приоритет и визуализация | Ниско |
| Анализ на сценарии | Стратегически рискове, прекъсване на доставки | Средно |
| FMEA | Продуктови и процесни рискове в производството | Високо |
| Анализ на причината и последиците | Рискове със сложна причинност | Средно |
| Анализ на въздействието върху дейността | Непрекъснатост на дейността, вход към ISO 22301 | Средно |
ISO 31010 описва над тридесет техники. За малка и средна фирма комбинацията от първите две покрива 80 % от нуждите, а FMEA се добавя само там, където има производство с критични характеристики.
За матрицата: тя е инструмент за комуникация, не за точност. Умножаването на „вероятност 3“ по „въздействие 4“ дава число, което изглежда обективно, но почива на две субективни преценки. Използвайте я, за да подредите и да говорите за рисковете — не за да заместите разговора с аритметика.
Как изглежда регистър, който се използва
Разликата между жив и мъртъв регистър е в четири колони, които обикновено липсват:
- Собственик на риска — конкретно име, не отдел. Отделите не взимат решения.
- Мярка със срок — какво ще се направи и докога, а не „следене на ситуацията“.
- Остатъчен риск — каква е оценката след мярката. Ако не се променя, мярката не върши работа.
- Дата на следващ преглед — различна за различните рискове.
И още нещо практично: регистър с 60 реда не се преглежда от никого. По-полезно е да има 10–15 реално управлявани риска, отколкото изчерпателен списък, който се отваря веднъж годишно.
Връзката с останалите стандарти
Рисково-базираното мислене е в основата на всички съвременни стандарти за системи за управление, но всеки го прицелва различно:
| Стандарт | Фокус на риска |
|---|---|
| ISO 9001 | Способност да се доставя съответстващ продукт и удовлетвореност на клиента |
| ISO 14001 | Екологични аспекти и въздействия, задължения за спазване |
| ISO 45001 | Опасности за здравето и безопасността, включително психосоциални |
| ISO 27001 | Поверителност, цялост и наличност на информацията |
При интегрирана система общата методология по ISO 31000 позволява един процес и един регистър с различни категории, вместо четири паралелни документа, които никой не свързва.
Регистърът ви се отваря само преди одит?
Изграждаме процес за управление на риска, съобразен с размера на фирмата ви — с работна сесия по идентифициране заедно с екипа, не с попълнен от консултант формуляр.
Заключение
Управлението на риска се проваля не заради лоша методология, а заради грешен собственик. Когато регистърът принадлежи на отговорника по качеството, той е документ. Когато всеки риск принадлежи на човека, който би понесъл последствията, той започва да влияе на решения.
Ако искате да проверите в коя от двете ситуации сте, направете един експеримент: попитайте трима души извън звеното по качеството кой е най-големият риск за фирмата. Ако отговорите им не съвпадат с първите три реда в регистъра, знаете какво да поправите.
Често задавани въпроси
Може ли фирма да се сертифицира по ISO 31000?
Не. ISO 31000 е стандарт с насоки, а не със сертификационни изисквания, и по него не се издават сертификати на организации. Предложение за „сертификация по ISO 31000“ е сигнал за недобросъвестен доставчик. Възможни са обучения и персонални квалификации, но не и сертификация на системата.
Изисква ли ISO 9001 регистър на рисковете?
Не. Клауза 6.1 изисква организацията да определи рисковете и възможностите, които трябва да бъдат адресирани, и да планира действия за тях, но не предписва документирана процедура, формат на регистър, матрица или числена оценка. Регистърът е най-удобното доказателство, но не е задължителна форма.
Какво е определението за риск по ISO 31000?
Рискът се определя като ефект на неопределеността върху целите. От това следва, че рискът винаги се разглежда спрямо конкретна цел, че ефектът може да бъде както отрицателен, така и положителен, и че източникът е несигурността, а не самото събитие.
Колко риска трябва да има в регистъра?
Няма изискван брой. На практика регистър с 10 до 15 реално управлявани риска работи по-добре от списък с 60 реда, който се отваря веднъж годишно. Броят трябва да е такъв, че всеки риск да има собственик, мярка със срок и реален преглед.
Задължителна ли е матрицата вероятност–въздействие?
Не е задължителна. Тя е една от над тридесетте техники, описани в ISO 31010, и е удобна за подреждане по приоритет и за комуникация. Оценката обаче остава субективна, затова матрицата не бива да заменя разговора за риска, а само да го структурира.
Кои са вариантите за третиране на риска?
Вариантите включват избягване на риска чрез отказ от дейността, поемане на риск за търсене на възможност, премахване на източника, промяна на вероятността, промяна на последиците, споделяне на риска чрез застраховка или договор и информирано приемане на риска. Изборът се прави спрямо предварително определените критерии.
Един регистър ли се води при интегрирана система?
Препоръчително е да е един, с категории за качество, околна среда, здраве и безопасност и информационна сигурност. Обща методология позволява единен процес на идентифициране и преглед, вместо няколко паралелни документа, които не се свързват помежду си и се поддържат от различни хора.