1.17. Оценка рисков

Раздел Оценка рисков основного меню объединяет инструменты для ведения журнала выявленных угроз, проведения оценок рисков методом «Бабочка» и контроля уровней риска по классификаторам.

Примечание

На этой странице описана работа с интерфейсом. Применяемые методы оценки рисков и их место в процессах СУБП описаны в разделе Оценка рисков.

Раздел содержит три пункта подменю:

Для работы с разделом необходимы соответствующие права:

1.17.1. Классификаторы

Страница Оценка рисков –> Классификаторы содержит таблицу факторов опасности (негативных факторов, предпосылок и событий), для которых в административном интерфейсе установлены пороговые уровни частоты проявления по зонам риска.

Таблица отсортирована от большего текущего уровня риска к меньшему и содержит колонки:

Таблицу можно отфильтровать по Области недостатка и Области воздействия.

1.17.2. Журнал рисков

Страница Оценка рисков –> Журнал рисков содержит карточки всех выявленных угроз. Журнал разделён на Актуальные угрозы и Архив угроз.

Карточки можно отсортировать:

  • по дате создания;

  • по дате крайней оценки рисков;

  • по дате следующей переоценки.

Фильтр в верхней части страницы позволяет отобрать угрозы по содержимому их оценок рисков:

  • Область воздействия;

  • Классификатор;

  • Стратегия управления риском;

  • Надёжность барьера и Тип барьера;

  • Область барьера;

  • Документ организации, на который ссылается барьер.

1.17.2.1. Карточка угрозы

Каждая карточка содержит номер угрозы, её описание, Ответственного и перечень всех выполненных по данной угрозе оценок рисков. Для каждой оценки отображаются:

  • номер и дата завершения (либо пометка Не закончено);

  • Руководитель оценки рисков;

  • принятые стратегии управления рисками по вероятным последствиям: снижение, перевод или отказ от риска;

  • Решение по результатам оценки рисков, при его наличии;

  • кнопка Подробнее для перехода к схеме оценки.

Кнопки в карточке угрозы позволяют:

  • Изменить описание угрозы - доступно Ответственному и пользователю с уровнем доступа Руководитель по БП;

  • Переоценка рисков - установить периодичность переоценки в месяцах и перейти к новой оценке (см. Переоценка рисков). Рядом с кнопкой отображается дата следующей переоценки, которая подсвечивается при её приближении;

  • Перенести в архив / Восстановить из архива - скрыть неактуальную угрозу, не удаляя накопленные данные;

  • Удалить - полностью удалить угрозу со всеми оценками. Доступно только пользователю с уровнем доступа Руководитель по БП.

1.17.3. Новая оценка рисков

Для внесения новой угрозы необходимо перейти в Оценка рисков –> Новая оценка рисков и заполнить форму:

  • Описание выявленной угрозы обязательное поле. Формулировка угрозы, которая будет отображаться в журнале рисков;

  • Основание для оценки обязательное поле. Информация, послужившая поводом для проведения оценки;

  • Ответственный обязательное поле. Владелец угрозы в журнале рисков. Выбирается из пользователей с правом RISK - Журнал угроз. Назначить другого пользователя может только Руководитель по БП, в остальных случаях ответственным становится автор угрозы;

  • Руководитель оценки рисков обязательное поле. Пользователь, который будет выполнять оценку. Выбирается из подчинённых пользователей с правом RISK - Оценка рисков;

  • Причина оценки рисков. Необязательное поле: Сообщение от персонала, Необъяснимое изменение SPI, По результатам аудита/инспекции, Управление изменениями или Внешняя информация.

После сохранения формы автоматически откроется страница оценки рисков.

Примечание

Новую оценку рисков можно также создать из раздела Контроль вероятностей, нажав на столбик диаграммы показателя. В этом случае поле Основание для оценки будет автоматически заполнено названием показателя и месяцем, а причиной будет указано Изменение значения SPI.

1.17.4. Проведение оценки рисков

Оценка рисков выполняется на отдельной странице в виде схемы по методу «Бабочка» (о самом методе - Метод «Бабочка»). Страница открывается автоматически после создания новой угрозы либо по кнопке Подробнее в карточке угрозы.

В шапке страницы отображаются:

  • номер оценки рисков и причина её проведения;

  • номер и описание угрозы;

  • Основание для оценки;

  • Ответственный за угрозу;

  • Руководитель оценки рисков. Пока оценка не завершена, Ответственный или Руководитель по БП могут заменить руководителя оценки;

  • Связанные сообщения - ссылки на сообщения из базы данных, относящиеся к данной оценке. Сообщения можно добавлять и убирать по соответствующим кнопкам;

  • История оценок - кнопки перехода между всеми оценками данной угрозы, включая завершённые.

1.17.4.1. Построение схемы

Схема состоит из восьми колонок, отражающих развитие опасного события от причин до последствий:

  1. Группы угроз - класс и группа угроз;

  2. Области воздействия - области недостатка, на которые воздействует угроза;

  3. Негативные факторы - негативные факторы с фильтром по области;

  4. Предпосылки - предпосылки с фильтром по области;

  5. Предотвращающие барьеры - существующая защита, препятствующая развитию события;

  6. События;

  7. Смягчающие барьеры - существующая защита, уменьшающая тяжесть последствий;

  8. Вероятные последствия - итоговые последствия с оценкой риска по матрице.

Блоки добавляются кнопкой + в заголовке колонки. Каждый блок можно перетаскивать внутри колонки, редактировать и удалять, а также соединять с блоками соседних колонок причинно-следственными связями.

Для барьеров дополнительно указываются:

  • Тип барьера: Стандарты, Обучение или Технологии;

  • Надёжность: Низкая, Средняя или Высокая;

  • Область эксплуатации;

  • Документ компании, устанавливающий барьер.

Для каждого вероятного последствия выполняется оценка по матрице рисков: выбранная ячейка определяет значение индекса риска, зону риска и необходимость мероприятий.

1.17.4.2. Панель инструментов

В правом верхнем углу страницы расположены кнопки:

  • Сохранить изменения, Отменить / Вернуть изменения, Отменить несохранённые изменения;

  • История версий - просмотр сохранённых версий схемы и восстановление любой из них;

  • Завершить оценку рисков - фиксирует оценку с текущей датой, после чего редактирование схемы становится недоступным. Завершить оценку может только Руководитель оценки рисков;

  • Экспортировать оценку рисков и Сохранить изображение схемы;

  • Удалить оценку рисков - доступно только пользователю с уровнем доступа Руководитель по БП;

  • Развернуть на весь экран и управление масштабом схемы;

  • Комментарии - обсуждение оценки (см. Комментарии);

  • Создать ПБП - создание Предупреждения по БП по результатам оценки.

1.17.4.3. Решение по результатам оценки рисков

После завершения оценки Ответственный или Руководитель по БП вносит Решение по результатам оценки рисков: текст решения, при необходимости файл, а также стратегию управления риском для каждого вероятного последствия:

  • Уменьшение - снижение риска за счёт разработки мероприятий;

  • Перевод - передача риска третьей стороне;

  • Отказ - отказ от деятельности, порождающей риск.

Принятые решения и стратегии отображаются в карточке угрозы.

1.17.4.4. Переоценка рисков

По уже выявленной угрозе можно выполнять неограниченное количество переоценок. Кнопка Переоценка рисков доступна в карточке угрозы и на странице оценки.

В открывшемся диалоге можно:

  • установить Периодичность переоценки в месяцах. Дата следующей переоценки рассчитывается автоматически от даты завершения крайней оценки, а при её приближении Ответственному поступит напоминание;

  • продолжить незавершённую оценку, если таковая имеется;

  • создать новую оценку. Новая схема создаётся как копия предыдущей, что позволяет актуализировать барьеры и последствия, не строя схему заново.