Цель лекции – сформировать у коллег видение методики качественного анализа рисков, теоретическую и практическую базу, которая позволит эффективно использовать в своей повседневной деятельности техники работы с рисками, с позиции их качественной оценки, переосмыслить применяемые ранее в своих активностях подходы, скорректировав их на предмет возможной рисковой составляющей.
Усвоив методологии КАР, коллеги смогут быть более успешными и эффективными, превентивно реагируя на потенциальные рисковые ситуации и обеспечивая тем самым для себя и свои компании надежные демпферный запас информации или ресурсов, что играет конкурентное преимущество для большинства ИТ организаций на сегодняшний день.
Качественный анализ рисков представляет собой процесс, направленный на выявление конкретных рисков деятельности/процесса/проекта, а так же порождающих их причин, с последующей оценкой возможных последствий и выработку мероприятий по работе с рисками. В процессе КАР происходит выработка метрик, отвечающих за определение граничных показателей факторов, символизирующих о проявление риска/ов.
Преимущество качественного анализа состоит в том, что он позволяет быстро и относительно "дешево" (с минимальными затратами ресурсов) определить максимально возможное количество факторов и областей, в которых возможно явное или неявное проявление рисков.
Отличие качественного и количественного (будет рассмотрен в следующем модуле) видов анализа рисков состоит в том, что в процессе качественного анализа выявляются все возможные риски, влияние которых может повлиять на цели деятельности, (так сказать очерчиваются рамки работы по работе с рисками). В процесс количественного анализа разрабатываются количественные оценки возможности осуществления рисков. Так же в процессе количественного анализа происходит сравнение и более качественная приоритезация и переопритезация рисков.
Можно сказать, что качественный и количественный анализы рисков это последовательно идущие стадии одного процесса по работе с рисками. В этом процессе, качественный анализ является необходимой базой, без которой дальнейшая работа с рисками не представляется возможным.
Таким образом, присутствие качественного анализа рисков, как активности, при условии уже существующих процессов идентификации рисков, позволяет говорить о стадии "рождении" системы по работе с рисками, которая будет рассмотрена нами позже. Количественный анализ, это следующий этап, выполняемый после качественного анализа, который более затратен и целесообразен к применению только в тех организациях, где работе с рисками уделяется особое внимание, в силу специфики их активностей и состоянии на рынке ИТ.
Если организация/компания/фирма/структурное подразделение претендует на лидирующие позиции в том окружении, где оно осуществляет свою активность, то без процессов качественного анализа рисков этих "высот" не достигнешь.
Пытливый коллега, наверное, уже отметил для себя повторяемость и закономерность многих структур работ, которые излагаются нами на протяжении этого курса. Тут стоит сказать о том, что деятельность по анализу рисков хоть и является довольно инновационной для нашей сферы, но, при этом, как любая качественная профессиональная деятельность, цель которой это достижение определенных результатов, должна подчиняться определенным законам. Одним из таких законов является последовательность проводимых этапов работ. В сравнении можно привести последовательность работ, выполняемых при разработке программного обеспечения (Жизненный цикл ПО в соответствии с ГОСТ 12207) и многие другие профессиональные ИТ стандарты, методики и методологии, доказавшие свое право на успешность. В дальнейшем мы рассмотрим подобную структуру работ.
Структура работ по качественному анализу рисков, заключается в подробном рассмотрении данных, полученных в ходе активности идентификации рисков, детализации деятельности, связанной с самим доменом анализа рисков, документированием полученной информации и выработанных результатов, а так же планированием дальнейшего пути работы над рисками. План работ можно представить следующим образом:
Набор процессов, отраженных выше, является необходимым минимумом в активности по качественному анализу рисков. Их использование послужит упорядоченным осмыслением и переосмыслением приобретенных ранее знаний и позволит повысить уровень навыков, прививаемый на протяжении данного курса лекций.
Предлагаемая нами последовательность работ хорошо зарекомендовала себя ранее и, по сути, является примером "best practice", применяемой при активности качественного анализа рисков.
Рассмотрение КАР, мы начнем с фазы идентификации, основополагающей, как было показано ранее, для всех видов процессов анализа.
Рассматривая активность идентификации причин, для качественного анализа рисков, мы сосредоточимся на моментах, понимание и использование которых позволит ориентироваться в сути процессах качественного анализа рисков. Более полно процедура идентификации рисков, полностью описывающая данный процесс работы, была нами описана в лекции №3.
Стартом для процесса идентификации рисков КАР может являться:
В процессе идентификации рисков используются те же инструменты, которые были описаны ранее в 3 лекции.
Результатом процесса идентификации должны стать:
Идентификация рисков выполняется сотрудниками, для которых данная активность является частью их рабочих обязанностей, но, при этом, в данную работу должно быть вовлечено максимальное количество людей, для которых выполнение процессов подверженных рискам, это их основная обязанность. Дело в том, что в деятельности по выявлению и работе с рисками жизненноважны детали процессов, в которых возможно проявление рисков. Эти детали доступны только для экспертов конкретного домена, которыми риск-менеджеры, часто не являются, поэтому сплав профессиональных знаний определенных процессов и риск-менеджемента во многих случаях являются залогом успеха. Именно внимание к деталям отличает новичка/молодого специалиста от признанного профессионала.
Идентификация рисков - итеративный процесс, периодическое выполнение которого является условием построения системы по работе с рисками.
По причине того, что риски это понятие динамическое, то по мере развития проекта или процесса в рамках его жизненного цикла могут обнаруживаться новые риски, проявляться старые риски, при этом обладая более высоким потенциальным ущербом от их возможной реализации.
Частота итерации и состав участников выполнения каждого цикла в каждом случае должны быть разными (это желательное условие). В процессе идентификации должны принимать поочередное участие все задействованные в риск-менеджменте сотрудники. Это условие поможет выработать чувство "собственности" и ответственности за риски и за действия по реагированию на них.
После того, как получен набор входных данных, который позволит говорить о возможных рисках, необходимо обработать и представить полученные данные таким образом, чтобы дальнейшая работа над ними позволила четко, однозначно, непротиворечиво трактовать тот или иной риск. Изложенные выше характеристики информации (ясность, однозначность, непротиворечивость) являются основными показателями объективной и эффективной информации на основе которой можно принимать успешные управленческие решения, от своевременности которых зависит развитие любого типа бизнеса.
Именно о того, насколько правильно выявлен риск, будет оптимально выбрано средство/метод/стратегия по его обработке.
Активность по обработке "входных" данных можно значительно облегчить и унифицировать, в случае её надлежащего шаблонизирования. При разработке специализированных шаблонов документов, таких, как:
Приведенные средства позволят:
Безусловно, не используя приведенные советы можно добиться высоких результатов, но при этом будет затрачено избыточное количество энергии и ресурсов, которую можно было бы потратить на более конструктивную деятельность.
Применение опыта конкретных отраслей для конкретной ситуации, учитывая и адаптируя его под определенный условия, позволят накапливать успешный опыт коллег, преумножая и переосмысливая его для того домена, в котором Вы осуществляете свою активность.
Тему инструментария мы поднимали в лекции №3, которая практически вся была посвящена теме разнообразных видов инструментов, используемых для сбора и идентификации информации. С небольшими оговорками, освещенные инструменты подходят для обработки полученной информации, её структуризации и процессам анализа и синтеза, из которых состоит вся активность анализа рисков. Но, наиболее популярные инструменты, используемые для качественного анализа рисков осветить необходимо применительно к рассматриваемой деятельности. Наиболее признанными методами, для обработки "рисковой информации" на данный момент развития данного домена, являются следующие средства:
Многие из этих методов мы подробно и очень скрупулезно рассмотрели ранее, в ходе предыдущих лекций. Сегодня же мы сосредоточимся на том, что подвергнем тщательной декомпозиции те техники, которые акцентируются на процессах качественного анализа рисков или схожими, по природе возникновения, с ними.
После того, как все риски выявлены и включены в реестр рисков, все данные о них, вне зависимости от их степени вероятности возникновения, которая, как правило, определяется на основе методов экспертных оценок или мозгового штурма, и воздействия на окружение включаются в реестр рисков. За всеми рисками в дальнейшем ведется подробное наблюдение и изучение.
Очень важно каждый из них держать под контролем и управлять его "поведением" в интересах результатов выполняемой деятельности.
Важным инструментом, позволяющим оценить величину риска, его влияние и другие характеристики является матрица вероятности и последствий (МВП). МВП – это методика, позволяющий определять ранг риска отдельно для каждой цели процесса/проекта, например для рамок функциональности, времени или других ресурсов. Ранг риска позволяет оперативно управлять реагированием на риски, которые расположенные в различных зонах матрицы. Зоны матрицы играют роль приоритетов. К примеру, для рисков, расположенных в зоне высокого риска (обычно выделяется красным цветом) матрицы необходимы предупредительные операции и агрессивная стратегия реагирования, которая позволят оптимально справиться с возникающей задачей/ами.
Для угроз, расположенных в зоне низкого риска (зеленый цвет), осуществление предупредительных операций может не потребоваться, если держать под контролем все содержание выполняемой деятельности.
(рис 5.5.1)
Еще одним, дополнительным преимуществом МВП является то, что она очень просто и наглядно позволяет наблюдать за миграцией рисков во время хода проекта/процесса, осуществлять контроль над его рангом и взаимосвязанными с этой трансформацией связями. Многие риски, в начале определенной активности могут находиться в зоне низкого ранга, а ближе к ответственным вехам переместиться в пограничные или более критичные зоны.
Именно поэтому риск-менеджемент, в организациях, претендующих на лидерство в своем сегменте, не может быть "стихийным", а должен быть частью регулярной работы.
Следующим инструментом, который необходимо рассмотреть является анализ чувствительности.
Анализ чувствительности призван для определения того, какие риски имеют наибольшее влияние на выполняемую деятельность.
Смысл данного инструмента состоит в отслеживании параметров, которые оказывают наибольшее скрытое или явное влияние на конкретные факторы, условия, процессы.
В данном методе необходимо фиксировать и отслеживать все параметры. При изменении одного из них, будет возможным определить воздействие риска на всю ситуацию в целом или на какую-то её часть.
При обследовании определенного вопроса необходимо выделить параметры, влиянию которых он подвержен, например, такие: отсутствие ресурсов, необходимость в аутсорсинге и т.д. В процессе анализа чувствительности для конкретного параметра, рассматриваются те ситуации, при которых ранг матрицы имеет наибольшее значение, после чего они фиксируются, и с ними выполняется определенная деятельность, связанная с уклонением/минимизацией/игнорированием риска, и т.д. актуальная в данном случае.
Последний инструмент, о котором мы сегодня поговорим это анализ дерева решений (АДР). Самые сложные и комплексные ситуации, окружение которых изобилует рисковой составляющей, когда результат деятельности находится под большим суммарным риском реализации, применяют АДР. Несомненным преимуществом АДР является то, что это графический инструмент для анализа рисков процесса/проекта. Лежащее в основе данного вида анализа дерево решений (ДР) представляет собой частный случай диаграммы Ишикавы, приспособленный под активность по анализу и работе с рисками (Рис. 5.5.2).
(рис 5.5.2)
В ходе АДР конкретная ситуация, с учетом каждой из имеющихся возможностей её дальнейшего осуществления, рассматривается и фиксируется в виде графа, который принято называть дерево решений (Рис. 5.5.2).
Дерево решений имеет пять элементов:
Для построения ДР оптимально подходить техника "mindmap". О ней мы упоминали ранее, в прошлой лекции, поэтому каждый сможет найти необходимый материал. Скажем лишь о том, что при желании можно без особых усилий изучить упомянутую технику и адаптировать существующие инструменты "mindmap" для построения дерева решений, с учетом собственных предпочтений и специфики рисковых процессов.
В результате построения ДР получается наглядно представить все необходимые "узловые моменты", от которых зависит принятие решения по каждой отдельной альтернативе и все альтернативы в целом, что способствует принятию целостного, для определенного процесса, решения по каждому отдельному риску, осознавая полную картину и представляя возможное взаимовлияние отдельных рисков.
В заключение главы про инструментарий хочется сказать о том, что использование одного, конкретного метода, каким бы универсальным он не был, не является панацеей. Наиболее удовлетворительные результаты получается в случае использования нескольких различных техник, которые бы дополняли друг друга.
Результатом обработки "инструментами", определенных "входных данных", является конкретная результирующая информация, имеющая определенную степень ясности, понятности и применимости для дальнейшего использования.
При обработке данных необходимо помнить о тех стэйкхолдерах, кто будет являться целевыми пользователями этой информации и от кого, в конечном итоге, зависит принятие решений и одобрение дальнейшей работы по риск-менеджменту. Как бы качественно и профессионально не был выполнен анализ. При оформлении демонстрационного отчета или презентации на первый план выходит понятие визуализации полученных результатов и самодостаточность полученной информации. Лучше всего, если Ваш материал будет понятен с минимальным количеством слов.
Но, при этом, не менее ценно помнить о том, что стэйкхолдеры бывают разные. Кто-то лучше относиться к числовым показателям, а кто-то лучше реагирует на полностью визуальный слайды.
Перед тем как составлять итоговый материал, изучите ключевых стэйкхолдеров – их образование, опыт работы, рабочие предпочтения и т.д. Успех всегда зависит от мелочей, которые можно почерпнуть в беседах с более опытными коллегами, руководством, изучением best practice. Мы не призываем Вас к организации "разветвленной шпионской сети", но рекомендуем быть более внимательными к деталям.
Наиболее удачные материалы в конечном итоге формируют библиотеку проекта/процесса (если хотите, то Ваш собственный репозиторий знаний), которую можно будет в дальнейшем "наращивать", развивать и применять для дальнейшего использования.
Один из самых важных, но, при этом самый "игнорируемый" процесс – это процесс документирования. О важности фиксации результатов, для дальнейшей работы с полученной информацией, знают все, но вот наладить процесс документирования удается в немногих организациях. Это происходит из-за того, что документирование очень сложный и скрупулезный процесс, в котором необходимо отражать все значимые изменения, возникающие по ходу проекта.
Необходимость организации и реализации этой активности появляется в тех компаниях, в которых анализ рисков становится не "стихийновозникающей" задачей, а процессом, важность которого осознана благодаря накопленному (как положительному, так и отрицательному) опыту работы над рисками.
Можно долго излагать прописные и теоретические истины о том, что ждет тех, кто должны образом не будет документировать свои процессы анализа рисков, но в наших лекциях нет задачи Вам что-то навязать, но есть желание обучить Вас тому, как следует работать, что бы Вы могли быть успешными в направлении анализа рисков. Документирование именно тот процесс, который позволит обладать актуальной информацией. Каждый профессионал должен обладать свойством объективности и беспристрастности к тем данным и результатам, которые достигнуты в процессе его работы и ему нужно уметь своевременно донести их до тех сотрудников/руководства, от которых зависит принятие решений, а порой, такие решения ему придется принимать самому. Именно поэтому обоснованность принятого выбора из ряда альтернатив является ключевым моментом для последующих процессов.
Но при этом, специалистам, задействованным в процессах анализа рисков, важно знать и понимать специфику той деятельности, в которой они проводят свой анализ. Порой, способность пожертвовать "малым", во имя приобретения больших "бонусов" служит ключевым фактором успешной деятельности компании на рынке.
Процесс анализа рисков следует документировать на протяжении жизненного цикла всего проекта/процесса. Объем документирования и его форма, содержащая результаты анализа, зависит от конкретных целей проведенного анализа риска. В итоговом документе необходимо привести следующие данные:
Не менее важный документ, который служит для формирования общей картины рисков – карта рисков (КР). КР основана на составлении детального документа, исходя из данных высокоуровневого представления всех возможных рисков. В этом документе должны быть приведены:
Приведенный список данных является минимально необходимым и достаточным для составления карты рисков, способной отвечать заданным метрикам процессов по работе с ними.
Когда речь заходит о составлении карты рисков, тогда будет уместным сказать о том, что "коллективное сознание" руководства процесса/проекта пришло к пониманию необходимости не просто отслеживать определенные риски и пытаться организовать отдельные точечные процессы по работе с ними, а создания документа, который сможет лечь в основе системы, по работе с рисками, повышающей качество процессов и конечного результата исследуемого домена.
Приведенном нами перечнем наибольший интерес вызывает третий пункт. Мы сосредоточимся на его пояснении. Он предполагает, что будет проведен не только КАР, но и частично выполнен количественный анализ (которому будет посвящен следующий модуль), логичность проведения которого должна быть подтверждена результатами КАР.
Для того, что бы составить детальную КР, необходимо разработать метрики, которые могли бы подтвердить обоснованность результатов качественного анализа для:
Результатом выполненной работы будет являться детальное описание всех комбинаций "актив — угроза" для каждого актива подверженного риску с количественной оценкой всех составляющих и суммарного уровня риска, как произведения величины влияния риска на вероятность использования уязвимости.
После того, как будет составлена карта рисков, можно говорить о том, что работа по приоритезации рисков может быть выполнена не на основе достаточно субъективных экспертных оценок, а в соответствии с принятым в процессах по анализу рисков математическим аппаратом, что приводит к значимости и обоснованности выполняемой активности.
Таким образом мы постепенно приходим к пониманию того, что без особых дополнительных ресурсных затрат можно выстроить подобие качественной системы по работе с рисками. Она будет включать в себя базу, реализованную в виде качественного анализа рисков и небольшой "надстройки", выполненной в виде количественного анализа рисков. В интеграции результатов, предложенной структуры системы по работе с рисками, будут вовлечены максимальное количество "слоев" организационной структуры, отдельно взятой компании, что приведет к согласованности и подтверждению ожиданий пользователей от данной системы.
Разработка плана реагирования на риски начинается после того, как проведены все необходимые виды анализа рисков. На этом этапе необходимо утвердить сотрудников, ответственных за определенные риски и выработать план/инструкцию, в которой будет описан процесс реагирования на риски. Данный документ должен так же содержать:
Шаблонный подход к данному процессу можно быть применен только тогда, когда все виды рисков хорошо изучены и подкреплены актуальными данными о состоянии рисков, в изучаемой деятельности, а так же выполняется своевременная актуализация критичной информации. Если рисковая составляющая не достаточно хорошо изучена и нет четкого плана по их обработке, то такие риски должны более пристально отслеживаться и процедуры их обработке должны быть более оперативны.
Способы реагирования должны рассматриваться для каждого риска отдельно, с учетом специфики возникновения и проявления каждого, отдельно взятого риска.
План не должен остаться только на бумаге.
Разработка правильного, понятного и оптимального, для заданных параметров и условий плана – это 5% работы, а вот его выполнение, корректировка и "воплощение в жизнь", это оставшаяся часть.
Процесс планирования не должен быть статическим и теоретическим, но вот быть актуальным и выполнимым быть обязан.
В связи с тем, что процессы анализа рисков должны соответствовать принципам системного менеджмента, описанными в серии Гостов/Исо 9000 серии и принятыми на сегодняшний день за эталон, а так же учитывая тот факт, что качество реализуемых продуктов и услуг должно постоянно повышаться и удовлетворять запросам потребителей (внутренние или внешние эти потребители, по отношению к конкретной организации это не так важно), в жизненном цикле процессов риск-менеджмента должна присутствовать активность связанная с постоянным самоанализом/рефлексией проводимой деятельности.
Самоанализ должен заключаться не в фиктивном аудите или точечной инспекции выполняемых действий, а в подробном осмыслении и переосмыслении проводимых работ, с целью их оптимизации и корректировки, в соответствии со стратегией и задачами конкретной организации. Фаза "Совершенствования", названная так нами по причине того, что авторы видят в этой фазе залог успешности проводимых процессов, должна быть организована таким образом, чтобы руководство компании непосредственно участвовало и было осведомлено о результатах этой фазы, выраженных в:
Именно за счет процессов постоянного улучшения можно выработать баланс между целями организации и ИТ ресурсами, выделенными для риск-менеджмента;
Учитывая то, что процесс/ы совершенствования должны быть включены в каждую выполняемую активность, мы считаем правильным предложить дальнейший путь по работе с рисками, заключенный в накоплении данных и информации, сформированных на основе качественного анализа рисков и постепенном переходе к процессам количественного анализа, в результате выполнения которых становится возможным максимальным образом минимизировать влияние человеческого фактора на обработку рисковой составляющей процессов/проектов рассматриваемой организации.
Только после того, как накоплен опыт и необходимый массив информации в проведении качественного анализа рисков, целесообразно переходить к их количественной оценке. Причем концентрировать внимание следует именно на тех рисках, которые в процессе качественной классификации были включены в категорию высоких (особенно с высокой степенью ущерба при высокой вероятности реализации).
При количественной оценки рисков, используя оценки ущерба и вероятность реализации, мы рекомендуем, для начала, использовать 3-х бальную шкалу оценки рисков — высокий, средний, малый. Со временем, после осмысления рисковых процессов и понимания необходимых результатов данной активности можно будет данную шкалу дополнять, обоснуя необходимость проводимых действий.
Реализация количественных оценок, как правило, приводит к тому, что на качественном уровне структуры работ придется проделать не одну, а несколько регулярных процедур по работе с рисками, вырабатывая в организации культуру управления рисками. Это является необходимым условием повышения грамотности владельцев ИТ-активов и процессов, без которых невозможна успешная работа в этом направлении.
Здесь необходимым будет пожелать терпения и настойчивости в достижении целей риск-менеджмента, ответственным за это специалистам и руководителям.
"Переходный" период, связанный с аккумулированием необходимой информации – это очень сложный и достаточно долгий процесс, в котором необходимо использовать передовой опыт и качественную информацию.
В большинстве случаев, результатом "переходного периода" является выход на новый виток процессов анализа ИТ-рисков.
Сегодняшний модуль подошел к концу.
В этой части лекции по анализу рисков мы описали процесс качественного анализа рисков. Эта активность позволит сформировать необходимую базу, для дальнейшего формирования и развития процессов анализа ИТ-рисков. Оптимально выстроенные процессы анализа рисков позволяют заложить прочный, надежный, но в то же время относительно гибкий информационный фундамент, на котором становится возможным построить прочный и надежный домен информационных технологий, обеспечивающий организации качественным и относительно "безрисковыми" процессами.
В текущей лекции мы осветили необходимые данные и инструменты, которые могут лечь в основе качественного анализа рисков. В следующем модуле мы продолжим разговор о анализе рисков, но при этом уделим большое внимание её количественной составляющей.
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.