Когда в компании пишут положение об управлении рисками или методику оценки рисков проекта, рано или поздно встает вопрос: на какой стандарт опереться? Для выбора методов оценки основной документ — ГОСТ Р 58771-2019. Ниже — что в нем есть, как устроено приложение с методами и какие из них количественные.
Основные сведения
| Название | ГОСТ Р 58771-2019 «Менеджмент риска. Технологии оценки риска» |
| Утвержден | Приказом Росстандарта от 17 декабря 2019 г. № 1405-ст |
| Дата введения | 1 марта 2020 г. |
| Заменяет | ГОСТ Р ИСО/МЭК 31010-2011 «Менеджмент риска. Методы оценки риска» |
| Международный аналог | IEC 31010:2019 «Risk management — Risk assessment techniques» (степень соответствия NEQ — разработан с учетом основных положений) |
| Разработчик | НП «Русское общество управления рисками» (РусРиск), ТК 010 «Менеджмент риска» |
Основная часть стандарта объясняет понятия (неопределенность, характеристики риска), порядок планирования оценки и критерии выбора методов (раздел 7). Приложение А классифицирует методы по характеристикам, приложение Б описывает каждый метод: обзор, использование, входы, выходы, сильные стороны и ограничения.
Методы приложения Б
| Группа | Примеры методов |
|---|---|
| Б.1 Выявление мнений причастных сторон и экспертов | Мозговой штурм (Б.1.2), метод Дельфи (Б.1.3), метод номинальной группы (Б.1.4), интервью (Б.1.5), опросы (Б.1.6) |
| Б.2 Идентификация риска | Контрольные списки (Б.2.2), FMEA и FMECA (Б.2.3), HAZOP (Б.2.4), сценарный анализ (Б.2.5), SWIFT (Б.2.6) |
| Б.3 Анализ источников и факторов риска | Синдинический подход (Б.3.2), метод Исикавы (Б.3.3) |
| Б.4 Анализ средств контроля | «Галстук-бабочка» (Б.4.2), HACCP (Б.4.3), анализ уровней защиты LOPA (Б.4.4) |
| Б.5 Понимание последствий, вероятности и риска | Байесовский анализ (Б.5.2), байесовские сети (Б.5.3), анализ влияния на бизнес (Б.5.4), дерево событий (Б.5.5), дерево отказов (Б.5.6), анализ причинно-следственных связей (Б.5.7), анализ надежности человека (Б.5.8), марковский анализ (Б.5.9), моделирование методом Монте-Карло (Б.5.10), токсикологическая оценка (Б.5.11), стоимость под риском VaR (Б.5.12), условная стоимость под риском CVaR (Б.5.13), нечеткая логика (Б.5.14) |
| Б.6 Анализ зависимостей и взаимодействий | Отображение причин (Б.6.1), анализ перекрестного влияния (Б.6.2) |
| Б.7 Выбор между вариантами | Анализ затрат и выгод (Б.7.2), дерево решений (Б.7.3), теория игр (Б.7.4), многокритериальный анализ (Б.7.5) |
| Б.8 Оценка значимости риска | ALARP (Б.8.2), F-N-диаграммы (Б.8.3), диаграммы Парето (Б.8.4), RCM (Б.8.5), индексы риска (Б.8.6) |
| Б.9 Отчетность и документирование | Реестры рисков (Б.9.2), матрица последствий/вероятности (Б.9.3), S-кривые (Б.9.4) |
Качественные и количественные методы
Стандарт указывает для каждого метода, качественный он, количественный или может быть и тем и другим. Из количественных методов для управления рисками компаний и проектов чаще всего нужны Монте-Карло, байесовские методы, марковский анализ, VaR и CVaR, анализ затрат и выгод и S-кривые. Методы групп Б.1–Б.4 в основном качественные: они нужны, чтобы найти риски и понять их причины.
Выбор между качественным и количественным подходом стандарт связывает не только с наличием данных, но и с тем, в какой форме результат будет полезен для решения (раздел 7.2). Важная оговорка: даже при недостатке данных количественный метод может дать лучшее понимание риска, хотя сам результат расчета будет неопределенным. Подробнее о выборе — в статье «Качественный и количественный анализ рисков».
Монте-Карло в стандарте (Б.5.10)
Стандарт описывает метод как способ распространить неопределенность исходных данных через модель и получить распределение результата. Среди областей применения названы финансовые прогнозы, эффективность инвестиций, прогнозы затрат и графиков проектов, прерывание бизнес-процессов и потребность в персонале. Результатом может быть вероятность определенного исхода или значение, которое с заданной вероятностью не будет превышено, а также оценка того, какие исходные данные сильнее всего влияют на результат.
Среди сильных сторон стандарт называет возможность использовать любые распределения и учитывать зависимости, анализ чувствительности и прозрачность модели. Среди ограничений — зависимость точности от числа итераций, необходимость описать неопределенность распределениями и сложность больших моделей. Отдельно подчеркнуто, что метод может недооценивать риски с тяжелыми последствиями и малой вероятностью. На практике это значит, что такие события нужно явно включать в модель как рисковые события, а результаты смотреть не только в среднем, но и в хвостах распределения (P95, P99, CVaR). Подробнее о методе — в статье «Метод Монте-Карло в анализе рисков».
Матрица рисков в стандарте (Б.9.3)
Стандарт признает популярность матрицы рисков, но подробно перечисляет ее ограничения: субъективность оценок, зависимость рейтинга от одного значения последствий, хотя возможен их диапазон, и невозможность агрегировать риски. Как эти ограничения проявляются на примере — в статье «Карта рисков».
Как применить стандарт на практике
- В положении об управлении рисками сошлитесь на стандарт и укажите, какие методы используются на каких этапах: например, мозговой штурм и контрольные списки для идентификации, матрица рисков для первичного отбора, моделирование методом Монте-Карло для ключевых рисков и проектов.
- Для инвестиционных проектов — Монте-Карло (Б.5.10), анализ затрат и выгод (Б.7.2), дерево решений (Б.7.3). Пример — в статье «Анализ рисков инвестиционного проекта».
- Для сроков и бюджета проектов — Монте-Карло и S-кривые (Б.9.4). Пример — в статье «Количественный анализ рисков проекта».
- Для финансовых рисков компании — VaR и CVaR (Б.5.12, Б.5.13); для денежного потока их аналог — Cash Flow at Risk.
Количественные методы стандарта реализованы в наших программах: моделирование методом Монте-Карло, S-кривые, VaR и CVaR в Excel — в МоделРиск, анализ рисков сроков и стоимости проектов — в Тамаре, реестры рисков, матрица рисков и совокупный риск компании — в Пеликане.
Источник: текст стандарта ГОСТ Р 58771-2019 (М.: Стандартинформ, 2020).
Частые вопросы
Обязателен ли ГОСТ Р 58771-2019?
Национальные стандарты в России применяются добровольно, если обязательность не установлена законом, договором или внутренними документами организации. На практике стандарт часто используют как методическую основу положений об управлении рисками и ссылаются на него в договорах и требованиях заказчиков.
Чем ГОСТ Р 58771-2019 отличается от ГОСТ Р ИСО 31000?
ГОСТ Р ИСО 31000 описывает принципы и процесс менеджмента риска в целом. ГОСТ Р 58771-2019 посвящен одному этапу этого процесса — оценке риска — и описывает конкретные методы, которые на этом этапе применяются.
Где в стандарте метод Монте-Карло?
В разделе Б.5.10 «Моделирование методом Монте-Карло» приложения Б. Там описаны назначение метода, входные данные, результаты, сильные стороны и ограничения. S-кривые описаны в Б.9.4, стоимость под риском — в Б.5.12, условная стоимость под риском — в Б.5.13.
Есть ли другой стандарт с похожим названием?
Да, ГОСТ Р МЭК 31010-2021 «Надежность в технике. Методы оценки риска». Он относится к серии стандартов по надежности, тогда как ГОСТ Р 58771-2019 — к серии «Менеджмент риска» вместе с ГОСТ Р ИСО 31000.
МоделРиск
МоделРиск — надстройка Excel для анализа рисков методом Монте-Карло. Пробная версия на 30 дней без ограничений.