Риск-ориентированный подход в управлении качеством¶
Риск-ориентированный подход — это методология управления, при которой решения принимаются на основе анализа рисков: вероятности наступления неблагоприятного события и тяжести его последствий. В отличие от подхода, основанного на формальном соблюдении требований, риск-ориентированный подход требует сосредоточить усилия на угрозах с наибольшим потенциальным ущербом. Методология получила широкое распространение в стандартах системы менеджмента качества ISO 9001:2015, охране труда, информационной безопасности, банковском деле и государственном регулировании.
¶История развития
Идеи управления рисками как системной дисциплине сформировались в XX веке. В 1921 году экономист Фрэнк Найт ввёл различие между «риском» (измеримой неопределённостью) и «неопределённостью» (неизмеримой). В 1960-х годах методы анализа рисков начали применяться в ядерной энергетике и аэрокосмической отрасли, где стоимость отказов исчислялась жизнями людей. В 1980-х годах риск-анализ стал обязательным элементом оценки воздействия на окружающую среду.
В области менеджмента качества ключевым событием стало издание стандарта ISO 31000:2009 «Риск-менеджмент — Принципы и руководства», а затем его редакции 2018 года. Стандарт ISO 9001:2015 закрепил риск-ориентированный подход как один из семи принципов управления качеством, заменив прежнюю логику «предотвращения несоответствий» более широкой логикой «предотвращения рисков и недопущения нежелательных последствий».
¶Основные понятия
Риск в контексте стандартов ISO определяется как «влияние неопределённости на достижение целей». Неопределённость — это состояние неполноты или неточности информации, связанной с событием или его последствиями. Ключевые параметры риска:
- Вероятность — шанс наступления события;
- Последствия — ущерб, если событие произойдёт;
- Уровень риска — совокупная оценка, часто определяемая как произведение вероятности на тяжесть последствий.
Риски классифицируют по источникам: стратегические, операционные, финансовые, комплаенс-риски (связанные с соблюдением требований законодательства). По характеру воздействия различают угрозы (негативные риски) и возможности (позитивные риски).
¶Принципы ISO 31000
Стандарт ISO 31000:2018 формулирует ряд принципов риск-менеджмента:
- Интегрированность — риск-менеджмент является частью всех видов деятельности организации.
- Структурированность — применение единообразного и воспроизводимого подхода.
- Учитывание информации — решения принимаются на основе актуальных данных и экспертных оценок.
- Учитывание неопределённости — любое решение несёт в себе неопределённость, которая должна осознаваться.
- Лучшее в своём классе — применение наиболее подходящих методов.
- Динамичность — пересмотр рисков при изменении обстоятельств.
- Учёт человеческого фактора — поведение и культура людей влияют на риск-профиль.
- Непрерывное улучшение — совершенствование подхода на основе опыта.
¶Методы анализа рисков
Применяются как количественные, так и качественные методы. К качественным относятся мозговой штурм, метод Дельфи, матрица «вероятность × последствия», метод FMEA (анализ видов отказов и их последствий). Количественные методы включают деревья событий, деревья отказов, метод Монте-Карло, байесовские сети. В промышленности широко используется метод FMEA, разработанный в 1940-х годах в аэрокосмической отрасли США и позже стандартизированный в отраслевых стандартах AIAG и VDA.
¶Применение
¶Системы менеджмента качества
В ISO 9001:2015 риск-ориентированный подход реализуется через раздел 6.1 «Действия по реагированию на риски и возможности». Организация обязана определить риски и возможности, связанные с её контекстом, заинтересованными сторонами и системой менеджмента, и запланировать действия по их адресации. Стандарт не предписывает конкретных инструментов — организация сама выбирает методику, соразмерную масштабу деятельности.
¶Охрана труда
В России риск-ориентированный подход в охране труда закреплён в статье 209 Трудового кодекса РФ, где риск определён как «комбинация вероятности и тяжести последствий вреда здоровью работников». Приказом Минтруда России от 21.12.2016 № 782н утверждён порядок оценки профессиональных рисков. С 2021 года в России действует национальный стандарт ГОСТ Р 12.0.010-2024, устанавливающий методику оценки профессиональных рисков на рабочих местах.
¶Информационная безопасность
Международный стандарт ISO/IEC 27005 и национальный ГОСТ Р ИСО/МЭК 27005 описывают процесс управления информационными рисками. В России также действует ГОСТ Р 57580.1-2017 «Оценка и управление рисками информационной безопасности».
¶Банковское дело
Центральный банк РФ рекомендует банкам применять риск-ориентированный подход в соответствии с международными стандартами Basel II и Basel III, в частности для оценки кредитного, рыночного и операционного рисков.
¶Преимущества и ограничения
К достоинствам подхода относят рациональное распределение ресурсов (сосредоточение на критичных рисках), повышение обоснованности решений, адаптивность к изменениям внешней среды. Ограничения связаны с субъективностью экспертных оценок, трудоёмкостью количественного анализа, риском «бумажного» внедрения, когда формально процедуры описаны, но не интегрированы в реальное управление.
¶См. также
- Система менеджмента качества
- ISO 9001
- FMEA
- Управление рисками
¶Источники
- ISO 31000:2018 «Риск-менеджмент — Руководства»
- ISO 9001:2015 «Системы менеджмента качества. Требования»
- ГОСТ Р ИСО 31000-2021 «Менеджмент рисков. Руководства»
- Трудовой кодекс Российской Федерации, ст. 209
- ГОСТ Р 12.0.010-2024 «Охрана труда. Оценка профессиональных рисков»
- ГОСТ Р 57580.1-2017 «Оценка и управление рисками информационной безопасности»
- Найт Ф. «Риск, неопределённость и прибыль», 1921