Тезисы о понятиях риски и возможности

[Леонид Яскин]

ISO 9001:2015 требует в 6.1 определить и адресовать риски и возможности в качестве основы для повышения результативности СМК, улучшения результатов и предотвращения негативных эффектов.
Понятия риска и возможности, при всей кажущейся простоте, нуждаются в дальнейшем осмыслении, основой для которого могут стать следующие тезисы:
1. И риск, и возможность означают некое событие, которое может произойти в будущем, а может и не произойти. Менеджмент может влиять на вероятность возникновения события и на его последствия.
2. Термин «риск» определен как «эффект неопределенности» (ISO 9000:2015 п.3.7.9), или отклонение от ожидаемого – положительное или отрицательное. Другой коннотации риска в ISO 9001:2015 нет.
3. Термин возможность в стандартах ISO не определен.
4. Примеры возможностей приведены в ISO 9000:2015 п.6.1 Примечание 2. Они включают новые практики, продукты, рынки, клиенты, технологии, партнерства. Все они должны быть в рамках области применения СМК.
5. Возможность, как и риск, это эффект неопределенности, сочетание вероятности реализации возможности и эффекта от реализации.
6. Термин «риски и возможности» определен в ISO 14001:2015 п. 3.2.11 как «потенциальные негативные эффекты (угрозы) и потенциальные выгодные эффекты (возможности)».
7. Из вышеуказанного определения следует, что возможности это положительные эффекты, но остается неясность в отношении рисков: это только угрозы или также и возможности?
8. Стоит напомнить, что ISO/DIS 14001:2014 базировался на понятии «риски, ассоциированные с угрозами и возможностями». Такая трактовка (угрозы и возможности – две стороны риска) присутствует во многих руководствах по менеджменту рисков.
9. В стандарте ISO 31000:2009 указано, что «менеджмент риска позволяет организации улучшать идентификацию возможностей и угроз» (Введение), то есть речь идет о двух коннотациях риска как функции неопределенности. С другой стороны, указано, что «важно идентифицировать риски, связанные не с реализацией возможностей» (п. 5.4.2). Последнее означает отделение рисков (угроз) от возможностей при их идентификации.
10. Менеджмент риска по ISO 31000:2009 применим к менеджменту возможностей.
11. События, воспринимаемые как угроза, могут оказаться благоприятными возможностями. И наоборот. Пример – реорганизация.
12. Позитивное отклонение, возникающее от риска, может предоставить возможность, но не все положительные эффекты риска приводят к возможностям (ISO 9001:2015 п. 0.3.3).

[Евгений Жуков]

Спасибо за тезисы
Буду осмысливать

[Виталий Эйнула]

Леонид, а сами вы чем оперируете в работе: возможностями или рисками?

[Игорь Горюнов]

Спасибо за тезисы. Но как без документирования можно будет доказать аудиторам, что в организации внедрены элементы "риск-ориентированного мышления"?

[Виталий Эйнула]

Спасибо за тезисы. Но как без документирования можно будет доказать аудиторам, что в организации внедрены элементы "риск-ориентированного мышления"?

а по какому НД требуется внедрить "элементы "риск-ориентированного мышления""?
а вообще, достаточно показать любой план или график и сказать нужные слова даже если в названии документа нигде не будет и слова про риск
я на самом деле критично отношусь к риск менеджменту ,если такой есть вообще. Гораздо эффективней выполнить требование НД, чем придумывать придумывать риски.

[Игорь Горюнов]

а по какому НД требуется внедрить "элементы "риск-ориентированного мышления""?

В разделе "Введение" (0.3.3) ГОСТ Р ИСО 9001-2015, в пункте 6.1.

[Сергей Прохоров]

я на самом деле критично отношусь к риск менеджменту ,если такой есть вообще. Гораздо эффективней выполнить требование НД

А если риск менеджмент является требованием НД?

чем придумывать придумывать риски.

Что значит "придумывать"?

[Виталий Эйнула]

Что значит "придумывать"?

а как называется то ,что делают риск менеджеры ?
вот есть требование , выполняй.. тут все понятно. а про риск несбывшегося события ничего не написано. ту что надо делать?. вот гляньте на пищевку.. придумывают планы КД на не сбывшиеся события.. ужас.. сработает такой план?. Весь смысл не в том,чтобы сделать план, а чтобы при его разработке увидеть и познать что будет, если ..но не более. .увидеть и познать..

[Сергей Прохоров]

а как называется то ,что делают риск менеджеры ?

ИМХО не "придумывать", а "идентифицировать"

а про риск несбывшегося события ничего не написано. ту что надо делать?.

Попробую на простом примере.
Через дорогу переходите? Посмотреть по сторонам не забываете?
Вооот. Риск идентифицирован, оценен, признан существенным и разработаны мероприятия для снижения риска. Просто это сделал другой дядя, не Вы. Вы в данном случае рядовой исполнитель

вот гляньте на пищевку..

Я ее ну ооочень внимательно рассматриваю. Изнутри.

придумывают планы КД на не сбывшиеся события.. ужас.. сработает такой план?.

А "бумажная СМК" сработает? Класс исполнителя ниже плинтуса - вот и планы такие

увидеть и познать..

ИМХО "Маловато будет, маловато!" (С) В условиях изменяющихся внешних/внутренних факторов пересматривать надо периодически. А меры по снижению разработать?
Пример из жизни.
Жалуется мне ГИ, что скоро на закалку по кооперации деталюшки отдавать будет некуда - единственный оператор в округе за 80 лет болеет часто...
Вот Вам и "увидеть и познать". Увидели. Познали. Продолжаем сидеть на нижних 90 и ждать когда эти нижние 90 наступят

[Igor Paslenov]

а по какому НД требуется внедрить "элементы "риск-ориентированного мышления""?

В разделе "Введение" (0.3.3) ГОСТ Р ИСО 9001-2015, в пункте 6.1.

0.3.3 - это не требования, а часть введения до начала требований (с гл. 1). А в 6.1 никакого РОМ нет.
И, вообще подумайте сами, как это кто-то требует чтобы вы имели определенное мышление, возможно отличающееся от того, которое у вас есть. Эти штучки возможны только в специализированных больничках с помощью специально обученных людей. Да, продемонстрировать можно все, что угодно, но для этого не обязательно менять мышление. Это- очень личное.

[Игорь Горюнов]

0.3.3 - это не требования, а часть введения до начала требований (с гл. 1). А в 6.1 никакого РОМ нет.

Что тогда показывать внешним аудиторам при сертификации по новой версии ГОСТ Р ИСО 9001-2015 в плане управления рисками? Поскольку нет никаких требований по предоставлению документированной информации по рискам, то можно всё на пальцах объяснить? Или как? Или об этом пока не знают ни аудиторы, ни ОС, на сами организации?

[Сергей Прохоров]

Что тогда показывать внешним аудиторам при сертификации по новой версии ГОСТ Р ИСО 9001-2015 в плане управления рисками? Поскольку нет никаких требований по предоставлению документированной информации по рискам, то можно всё на пальцах объяснить? Или как? Или об этом пока не знают ни аудиторы, ни ОС, на сами организации?

А попробовать по уму сделать? Для пользы дела, так сказать. Или Вы для аудиторов менеджментом рисков интересуетесь?

[Андрей Козин]

В одной статье прочитал, что в реестр рисков надо вносить информацию об известных рисках.
О неизвестном риске вы не сможете указать его вероятность. ИМХО в управлении рисками ничего пиидумывать не надо. Надо упралять рисками на пострянной основе и знания о них будут накапливаться и уточнятся. Это с одной стороны.
С другой стороны есть такое действие с риском как дополнительное изучение на ряду с страхованием, принятием, передачей и проч.
Вообще риски вещь полезная. Ведь иногда после события с негативными последствиями начинаешь думать "А почему заранее об этом не подумал? Ведь можно было ..." Не зря ещё до нас придумали мудрую фразу "Мужик задним умом крепок".

[Семен Семенович]

в реестр рисков надо вносить информацию об известных рисках

Естественно. Если риск неизвестен - мы о нем не знаем и в "реестр" внести не сможем. Нельзя внести то, чего не знаешь.

О неизвестном риске вы не сможете указать его вероятность.

Риск - это и есть вероятность. Мы можем говорить о событии и вероятности его наступлении. Если мы не знаем вероятность наступления события достоверно, мы можем рассчитать вероятность "экспертным" путем.

"Мужик задним умом крепок".

"знал бы, где упасть - соломинку бы подстелил"

[Виталий Эйнула]

Ведь иногда после события с негативными последствиями начинаешь думать "А почему заранее об этом не подумал? Ведь можно было ..."

не можно.
По Дао.. если событие еще не случилось,значит вы не знаете, что оно случится.
На момент не сбывшегося события вы не смогли даже подумать в эту сторону.. вы способны оценить риск только после того, как событие свершилось.

в футболе.. команда проигрывает, тренер думает как исправить- замена игрока, перестройка схемы игры и подсказки некоторым полевым.. меняет игрока, а команда все равно проиграла, перестроится под другую схему не смогли. Мог ли тренер за ранее подумать, когда и кого выпускать на замену, какую схему применить?

[Роман Озеранский]

Мог ли тренер за ранее подумать, когда и кого выпускать на замену, какую схему применить?

А может надо было подумать о замене самого тренера .

[Виталий Эйнула]

Мог ли тренер за ранее подумать, когда и кого выпускать на замену, какую схему применить?

А может надо было подумать о замене самого тренера .

команда на первом месте идет. с отрывом.. полные трибуны.. зачем тренера менять
за ранее мы можем продумать не риски, а лишь пути решения, при этом понимаем, какой будет результат при реализации данного пути. Если результат не удовлетворяет и отличен от запланированного, то мы судорожно пытаемся понять в чем были риски. . почему я сделал так, а не иначе.. .. да?.. нет мы просто прикрываемся этим словом.. риск.. на самом деле это неграмотное планирование и неверные суждения о будущем результате

[Роман Озеранский]

Управляя рисками мы пытаемся управлять причинами возникновения неблагоприятных ситуаций. Но все причины, коллеги практики, как это не прискорбно для вас будут делиться на общие и специальные причины вариабельности. С момента выхода ISO 9001:2015 чуть ли не каждый первый МК потоптался по этим рискам, а все по той причине что ISO 9001:2015 сподобился вспомнить о понятии риск, если бы он об этом не вспомнил, клали бы вы с прибором на эти риски . При всем при этом, ни один из вас - практиков не обмолвился о корреляции рисков и причин вариабельности, а все потому что - не дружат наши практики со статистическим управлением процессами . И у меня для начала маленький вопросик для вас коллеги, а вы понимаете когда говорите об управлении рисками, какие причины вариабельности посредством управления рисками вы собираетесь минимизировать - общие или специальные ?

[Семен Семенович]

будут делиться на общие и специальные причины вариабельности

нет четкой границы между "общими" и "специальными" причинами вариабельности.

не обмолвился о корреляции рисков и причин вариабельности

а чего обмалвливаться, если причины вариабельности определяют риски? Это и так понятно.

какие причины вариабельности посредством управления рисками вы собираетесь минимизировать - общие или специальные ?

а какая разница?

[Роман Озеранский]

нет четкой границы между "общими" и "специальными" причинами вариабельности.

Так ничего чистого в природе не существует, всегда есть примеси .

а чего обмалвливаться, если причины вариабельности определяют риски? Это и так понятно.

А мне не понятно что же первично, причины вариабельности или риски ? И если это понятно, то чего же Вы тогда далее говорите, про то что нет разницы какие причины минимизировать - общие или специальные ?

а какая разница?

Вот я и хотел бы послушать практиков, видят ли они разницу.
Я например вброшу такой провокационный тезис - зачем заниматься управлением рисками нивелируя специальные причины вариабельности, если этих причин (по позднему Демингу) - 2% - де-факто, это статистическая погрешность . А вот теперь пускай практики скажут свое веское слово, что они думают по этому поводу .