ISO 31000

ISO 31000  är en familj av standarder som rör riskbaserad hantering av en organisation.

Historik

ISO 31000-familjen av standarder har utvecklats av International Organization for Standardization (ISO) Technical Committee No. 262 "Risk Management" . I februari 2018 släpptes en ny version av standarden. Denna andra upplaga av standarden upphäver och ersätter den tekniskt reviderade första upplagan (ISO 31000:2009).

Den ryska analogen till ISO 31000 är GOST R ISO 31000-2019 "Risk Management. Principer och ledarskap".

Innehåll

31000-familjen av standarder inkluderar för närvarande:

• GOST R ISO 31000-2019 ”Riskhantering. Principer och ledarskap”;
• GOST R ISO/IEC 31010-2011 ”Riskhantering. Riskbedömningsmetoder”;
• GOST R 51897-2011 “Riskhantering. Termer och definitioner".

En av de viktigaste förändringarna som föreslagits tidigare i GOST R ISO 31000-2010 var konceptualiseringen av riskbegreppet. I enlighet med GOST betyder termen " risk " inte "chansen eller sannolikheten för förlust", utan "inverkan av osäkerhet på mål", så ordet "risk" används för att hänvisa till både positiva och negativa händelser. Påverkan är en avvikelse från vad som förväntas. Det kan vara positivt och/eller negativt och kan bidra till att realisera möjligheter och eliminera hot, skapa eller leda till möjligheter och hot. Mål kan ha olika aspekter och kategorier och kan tillämpas på olika nivåer. Risk definieras vanligtvis i termer av riskkällor, potentiella händelser, konsekvenserna av dessa händelser och deras sannolikhet. Riskhantering - samordnade åtgärder för att hantera en organisation med hänsyn till risk.

Målet med riskhantering är att skapa och skydda värden. Riskhantering förbättrar prestation, stimulerar innovation och bidrar till att målen uppnås. Enligt ISO 31000:2018 bör en organisation med effektiv riskhantering följa följande principer:

• integrerad - riskhantering är en integrerad del av organisationens verksamhet;
• strukturerad och heltäckande - en strukturerad och integrerad strategi för riskhantering leder till konsekventa och jämförbara resultat;
• anpassningsbar - strukturen och processen för riskhantering är korrelerade och justerade med hänsyn till den externa och interna kontexten för organisationen i samband med dess uppgifter;
• inkluderande – relevant och aktuellt engagemang av intressenter gör att deras kunskap, åsikter och åsikter kan beaktas. Detta leder till ökad medvetenhet och giltighet av riskhantering;
• dynamisk – risker kan uppstå, förändras eller försvinna i takt med att organisationens yttre och interna kontext förändras. Riskhantering förutser, upptäcker, känner igen och reagerar på dessa förändringar och händelser på ett lämpligt och i tid;
• baserat på bästa tillgängliga information - historiska och faktiska data, samt framåtblickande förväntningar används som input till riskhanteringsprocessen. Riskhantering tar uttryckligen hänsyn till eventuella begränsningar och osäkerheter kopplade till tillgängliga data och förväntningar. Den information som används bör vara relevant, tydlig och tillgänglig för berörda parter.
• med hänsyn till mänskliga och kulturella faktorer - mänskligt beteende och kultur påverkar väsentligt alla aspekter av riskhantering på alla nivåer och stadier;
• ständigt förbättras - riskhanteringen förbättras ständigt genom utbildning och erfarenhet.

Standardens infrastruktur är att riskinformation som erhålls genom riskhanteringsprocessen fångas upp och används som underlag för beslutsfattande och rapportering på alla nivåer i organisationen. Detta ramverk är inte avsett att föreskriva ett riskhanteringssystem, utan att hjälpa en organisation att införliva riskhantering i sitt övergripande ledningssystem.

Det allmänna riskhanteringsschemat i en organisation enligt ISO 31000 inkluderar: ledarskap och ansvar (speciellt framhävt i GOST R ISO 31000:2018); integration; utveckling; genomförande; övervakning; förbättring.

En innovation [1] är ett avsnitt om implementering av riskhantering i en organisation, som inkluderar:

• utveckling av en lämplig plan med definition av termer och resurser;
• bestämma var, när, hur och av vem olika typer av beslut fattas i organisationen;
• modifiering (ändringar) av tillämpliga beslutsprocesser (om nödvändigt);
• säkerställa att organisationens riskhanteringsmekanismer förstås och tillämpas korrekt.

Ett framgångsrikt genomförande av ramverket kräver deltagande och medvetenhet från intressenter. Detta gör det möjligt för organisationer att ta hänsyn till osäkerhet direkt när de fattar beslut, och att säkerställa att eventuell ny eller efterföljande osäkerhet beaktas när den uppstår. En korrekt utformad och tillämpad riskhanteringsram säkerställer att den införlivas i alla aktiviteter i organisationen, inklusive beslutsprocesser, och att förändringar i det externa och interna sammanhanget beaktas på lämpligt sätt.

Riskhanteringsprocessen innefattar systematisk tillämpning av policyer, förfaranden och praxis för att säkerställa kommunikation och samråd, kontextsättning och riskbedömning, riskåtgärder, riskövervakning, analys och dokumentation samt riskrapportering. Riskhanteringsprocessen bör vara en integrerad del av lednings- och beslutsprocesserna och bör integreras i organisationens struktur, aktiviteter och processer. Det kan tillämpas på strategisk, operativ, program- eller projektnivå. Inom en organisation kan riskhanteringsprocessen ha många tillämpningar, skräddarsydda efter behovet av att uppnå organisationens mål och det externa och interna sammanhanget.

Under hela riskhanteringsprocessen bör den dynamiska och föränderliga karaktären hos mänskligt beteende och kultur beaktas.

Inom en organisation kan riskhanteringsprocessen ha många tillämpningar, skräddarsydda efter behovet av att uppnå organisationens mål och det externa och interna sammanhanget.

Riskhanteringsprocessen består av sektioner:

• utbyte av information och samråd;
• omfattning, sammanhang och kriterier;
• riskbedömning;
• påverkan på risken;
• övervakning och granskning;
• dokumentation och rapportering.

Omfattning

GOST R ISO 31000 ger riktlinjer för att hantera de risker som organisationer står inför. Sättet på vilket dessa rekommendationer tillämpas kan anpassas till alla organisationer och dess sammanhang. Standarden innehåller en generell metod för att hantera eventuella risker och är inte särskilt specialiserad eller branschspecifik. Standarden kan tillämpas under hela en organisations livscykel och för alla aktiviteter, inklusive beslutsfattande på alla nivåer.

Även om denna standard ger allmän vägledning, är den inte avsedd att tillhandahålla enhetlig riskhantering mellan organisationer. När man skapar och tillämpar planer för en riskhanteringsinfrastruktur är det nödvändigt att ta hänsyn till en viss organisations olika behov, dess särskilda mål, situation (kontext), struktur, verksamhet, processer, funktioner, projekt, produkter, tjänster eller tillgångar . samt specifika praxis som antagits av organisationen.

Detta bör förstås på det sättet att denna standard ska användas för att harmonisera de riskhanteringsprocesser som beskrivs i befintliga nuvarande och framtida standarder. Den fastställer en allmän strategi för att stödja standarder som gäller specifika risker och/eller branscher och ersätter inte dessa standarder.

Se även

• ISO 9000
• ISO 14000
• ISO 21500
• Risk
• Deming cykel

Anteckningar

1. ↑ A. I. Sidorenko. Ny ISO31000:2018  (ryska)  // Risk Academy. Arkiverad från originalet den 31 mars 2019.