Критический риск — категория риска в управлении рисками¶

Критический риск — категория риска, характеризующаяся максимальным уровнем потенциального ущерба и/или высокой вероятностью реализации, при котором последствия для организации, проекта или системы могут быть необратимыми. Термин применяется в управлении рисками, информационной безопасности, промышленной безопасности, финансовом менеджменте и проектном управлении. Критические риски, как правило, требуют незамедлительного реагирования и выделения приоритетных ресурсов на их минимизацию.

¶Определение и место в классификации рисков

В общем подходе риск описывается как комбинация вероятности наступления неблагоприятного события и масштаба его последствий. Критический риск занимает верхнюю ступень в шкале оценки рисков и обычно выделяется наряду с категориями «незначительный», «умеренный» и «высокий».

Точная граница между категориями определяется методологией конкретной организации. В ряде стандартов критический риск определяется как риск, который может привести к остановке деятельности, гибели людей, крупным финансовым потерям или репутационным последствиям, не подлежащим восстановлению.

¶Методы оценки

Для выявления критических рисков применяются количественные и качественные методы:

• Матрица «вероятность — влияние» — классический инструмент, где риски распределяются по сетке в зависимости от двух параметров. Критические риски попадают в верхний правый угол матрицы.
• Анализ сценариев — проработка цепочек событий, ведущих к наихудшему исходу.
• Метод Монте-Карло — статистическое моделирование, позволяющее оценить распределение возможных потерь.
• Экспертная оценка — привлечение профильных специалистов для ранжирования рисков по уровню критичности.
• Анализ дерева событий — моделирование развития инцидента от инициирующего события до конечных последствий.

В информационной безопасности для определения критичности активов и угроз используются методики, основанные на оценке конфиденциальности, целостности и доступности (CIA-триада), а также на анализе бизнес-процессов, зависящих от конкретного актива.

¶Сферы применения

¶Промышленная безопасность

В промышленности критический риск связан с возможностью аварий на опасных производственных объектах, техногенных катастроф и гибели людей. Оценка критичности регулируется в России рядом нормативных актов, включая Федеральный закон «О промышленной безопасности опасных производственных объектов». К критическим относятся риски взрывов, выбросов опасных веществ, разрушения конструкций.

¶Информационная безопасность

В ИБ критический риск определяется как угроза, реализация которой ведёт к утечке государственной или коммерческой тайны, отказу в обслуживании критически важных систем, нарушению целостности данных. Методики оценки критичности ИТ-активов описаны в национальных и отраслевых стандартах, например в ГОСТ Р ИСО/МЭК 27005.

¶Финансовый менеджмент

В финансовой сфере к критическим рискам относятся кредитный риск контрагента с вероятностью дефолта, риск ликвидности, риск значительного колебания курсов валют или ценных бумаг. Банки и финансовые организации обязаны выделять капитал под критические риски в соответствии с требованиями регуляторов.

¶Проектное управление

В проектах критический риск — это угроза, которая может привести к срыву сроков, выходу за бюджет или отказу от проекта. В методологиях управления проектами (PMBOK, PRINCE2) критические риски подлежат обязательному плану реагирования и регулярному пересмотру.

¶Управление критическими рисками

Стандартный цикл работы с критическими рисками включает:

1. Идентификацию — систематический поиск угроз через аудит, интервью, анализ документации.
2. Оценку — определение вероятности и потенциального ущерба.
3. Реагирование — выбор стратегии: избежание, снижение, передача (страхование, аутсорсинг) или принятие.
4. Мониторинг — постоянное наблюдение за индикаторами, свидетельствующими о приближении критического события.

Для критических рисков чаще всего выбирается стратегия снижения или избежания, поскольку стратегия принятия допустима лишь в исключительных случаях, когда организация осознанно идёт на риск в обмен на потенциальную выгоду.

¶Нормативное регулирование в России

В России управление рисками, включая критические, регулируется рядом стандартов и нормативных актов. ГОСТ Р ИСО 31000 устанавливает общие принципы управления рисками. В государственном секторе применяются методические рекомендации по оценке рисков, связанных с информационной безопасностью и непрерывностью деятельности. Отдельные отрасли (атомная энергетика, нефтегазовая промышленность, транспорт) имеют собственные системы оценки критичности рисков.

¶См. также

• Управление рисками
• Информационная безопасность
• Промышленная безопасность
• Матрица рисков

¶Источники

• ГОСТ Р ИСО 31000 «Менеджмент риска. Руководство»
• ГОСТ Р ИСО/МЭК 27005 «Информационная безопасность. Управление рисками»
• ГОСТ Р ИСО 31010 «Менеджмент риска. Методы оценки рисков»
• Федеральный закон «О промышленной безопасности опасных производственных объектов»
• PMBOK Guide (Project Management Institute)
• Стандарт PRINCE2