Управление рисками и возможностями в испытательных и калибровочных лабораториях

В нашей стране с 1 сентября 2019 года Приказом Федерального агентства по техническому регулированию и метрологии от 15.07.2019 №385-ст был введён в действие стандарт ГОСТ ISO/IEC 17025-2019 «Общие требования к компетентности испытательных и калибровочных лабораторий». С 01.01.2021 вступили в силу новые критерии аккредитации, утверждённые Приказом Министерства экономического развития Российской Федерации от 26.10.2020 № 707 «Об утверждении критериев аккредитации и перечня документов, подтверждающих соответствие заявителя, аккредитованного лица критериям аккредитации». Согласно требованиям, приведённым в данных документах, лаборатории должны включать в свою систему менеджмента качества процедуры, описывающие действия по управлению рисками и возможностями.

Вопросы риск-менеджмента входили в систему менеджмента качества лабораторий и до введения указанных выше документов. Так, в действовавшем ранее ГОСТ ИСО/МЭК 17025-2009, риск упоминался в контексте необходимости учитывать его при принятии решений. Новая редакция стандарта переходит от требований учёта к управлению рисками и устанавливает необходимость разработки процедуры, объектом которой становятся риски.

В стандарте ГОСТ Р ИСО 31000-2019 риск определён как следствие влияния неопределённости на достижение поставленных целей. Риск часто связан с событием (результатом действия или процесса), в том числе с решением не предпринимать каких-либо действий. Риск всегда влечёт последствия, которые могут быть негативными, позитивными или ничтожными.

Под влиянием понимается отклонение события от ожидаемого. Влияние может быть как отрицательным, так и положительным.

Под неопределённостью понимается отсутствие достоверной информации о факторах, влияющих на результат действия или процесса. При этом может отсутствовать информация как об уровне влияния, так и о наличии влияющего фактора. При уменьшении неопределённости, можно уменьшить вероятность наступления события риска, но полностью исключить эту вероятность невозможно.

Под целями следует понимать цели организации. Цели могут иметь различные аспекты (финансовые, экологические, цели в отношении здоровья и безопасности) и могут применяться на различных уровнях (стратегических, в масштабах организации, проекта, продукта или процесса). Однако ГОСТ ISO/IEC 17025-2019 устанавливает требование к управлению рисками и возможностями только применительно к лабораторной деятельности (испытаниям, калибровке, отбору образцов). Управление рисками вне лабораторной деятельности не является требованием стандарта, но может быть включено в систему менеджмента качества лаборатории.

Принципы риск-менеджмента должны быть задекларированы в документах системы менеджмента качества лаборатории.

Процесс управления рисками должен начинаться с попытки понять внешние и внутренние факторы, которые могут влиять на успех лаборатории в достижении целей. Важно понимать место лаборатории на рынке услуг и место внутри организации, частью которой она является.

Чем больше факторов составляют внешний и внутренний контекст, тем больше рисков подлежит рассмотрению. Например, включение в контекст требований охраны труда влечёт за собой управление рисками в этой области. Для испытательных и калибровочных лабораторий, помимо лабораторной деятельности, характерно рассмотрение рисков в области аккредитации, сохранение государственной и коммерческой тайны, обращения с ядовитыми и радиоактивными веществами, обеспечение промышленной, пожарной, экологической, санитарной безопасности и т.д.

Процедура управления рисками и возможностями должна включать этапы, приведённые на Рис. 1.

Рис.1 – Процедура управления рисками и возможностями

Обмен информацией и консультирование с заинтересованными сторонами (руководителями и работниками структурных подразделений, с которыми происходит взаимодействие в отношение риска или возможности) осуществляются на всех этапах риск-менеджмента.

Обмен информацией и консультирование должны гарантировать, что руководители структурных подразделений (владельцы процессов) и заинтересованные стороны принанимают решения, основанные на информации (свидетельствах), отражающей причины, которые указывают на необходимость воздействия на риск/возможность.

Обмен информацией и консультирование должны способствовать обмену объективной, существенной, точной и понятной информацией.

Для идентификации рисков и возможностей в лаборатории могут быть применены такие методы, как SWOT-анализ, мозговой штурм, метод Дельфи. В таблице 1 приведены примеры рисков, которые могут быть идентифицированы в лаборатории.

Таблица 1

Примеры рисков

№ п/п	Содержание риска
1	Нарушение принципа беспристрастности при проведении работ
2	Увольнение (выход на пенсию) сотрудников лаборатории
3	Болезнь сотрудников лаборатории
4	Нарушение режима конфиденциальности
5	Несоблюдение области аккредитации при проведении работ
6	Несоблюдение процедур подтверждения компетентности
7	Отсутствие заявок на проведение работ
8	Ошибки при заключении договоров
9	Нарушение сроков исполнения договорных обязательств
10	Недостаточная компетентность персонала лаборатории
11	Возникновение существенных негативных изменений в публичном мнении о лаборатории
12	Неправильное публичное восприятие результатов лабораторной деятельности
13	Потеря данных (информации)
14	Отсутствие денежных ресурсов (финансовый риск)
15	Несоблюдение времени проведения аудита
16	Недостижение целей аудита
17	Отсутствие необходимой нормативной документации
18	Несоблюдение требований нормативных документов
19	Поломка оборудования
20	Несвоевременная поверка имеющихся средств измерений и аттестация испытательного оборудования

Риски и возможности идентифицируются и по результатам идентификации оформляются паспорта рисков и возможностей. При идентификации рисков и возможностей определяется и документируется следующая информация:

• название риска/возможности;

• причина возникновения риска/возможности;

• вероятность наступления риска/возможности;

• возможные последствия риска/возможности.

На этапе анализа риска и возможности определяются последствия, вероятность возникновения и уровень риска и возможности, а также причины и факторы возникновения рисковых ситуаций. Анализ проводится отдельно по каждому из идентифицированных рисков и возможностей.

Пример определения значимости ущерба, причиняемого риском, приведён в Таблице 2.

Таблица 2

Определение уровня ущерба

№ п/п	Последствия в баллах	Уровень ущерба	Влияние риска
			Время	Сроки выполнение работ	Удовлетворенность Заказчика
1	1 балл	Несущественный	Требуется время на устранение риска	Зачастую не сдвигаются	Удовлетворённость Заказчика не изменилась
2	2 балла	Низкий	Требуется время на устранение риска	Сдвигаются в пределах допустимых по договору	Удовлетворённость Заказчика не изменилась
3	3 балла	Средний	Требуется время на устранение риска	Сроки сдвинуты выше указанных в договоре	Удовлетворённость потребителя снижена из-за увеличения сроков работ
4	4 балла	Существенный	Требуется время на устранение риска	Сроки сдвинуты выше указанных в договоре	Удовлетворённость потребителя снижена из-за увеличения сроков работ, получение претензий (жалоб)
5	5 баллов	Катастрофичес-кий	Требуется время на устранение риска	Сдвигаются сроки всех договорных обязательств	Отказ Заказчика или появление информации, влияющей на репутацию организации

После того как каждый выявленный риск оценен с точки зрения ущерба, проводится экспертная оценка вероятности наступления такого ущерба. В Таблице 3 приведен пример шкалы вероятности, которая может применяться для ранжирования рисков.

Таблица 3

Бальная система оценки вероятности наступления риска/возможности

№ п/п	Вероятность наступления события	Вероятность в баллах	Характеристика
1	Крайне маловероятно	1 балл	Возможно произойдёт в этом году
2	Маловероятно	2 балла	Точно произойдёт 1-4 раза в год
3	Возможно	3 балла	Разница в возникновении двух последовательных событий рассчитывается в месяцах
4	Вероятно	4 балла	Разница в возникновении двух последовательных событий рассчитывается в неделях
5	Весьма вероятно	5 баллов	Произойдёт 1 раз за день и чаще

С помощью матрицы вероятности и последствий (Таблица 4) или путём умножения вероятности наступления события (риска) на уровень ущерба получают общую оценку риска.

Таблица 4

Матрица вероятности и последствий

Вероятность/баллы		Уровень ущерба/баллы
		Несущест-венный	Низкий	Средний	Сущест-венный	Катастро-фический
		1	2	3	4	5
Весьма вероятно	5	5	10	15	20	25
Вероятно	4	4	8	12	16	20
Возможно	3	3	6	9	12	15
Маловероятно	2	2	4	6	8	10
Крайне маловероятно	1	1	2	3	4	5

 

	- низкий уровень риска (от 1 до 3 баллов)
	- средний уровень риска (от 4 до 9 баллов)
	- высокий уровень риска (от 10 до 16 баллов)
	- критический уровень риска (от 20 до 25 баллов)

Любое событие риска может быть охарактеризовано по двадцати пяти бальной шкале. В матрице вероятности и последствий выделены четыре основных зоны. В зависимости от зоны, в которую попал риск, применяются разные стратегии реагирования на него.

Примеры стратегии реагирования на риски в зависимости от их уровня приведены в Таблице 5.

Таблица 5

Стратегия реагирования на риски

Уровень риска	Стратегия реагирования
Критический	Неприемлемые. Незамедлительные действия, необходимые для снижения риска путем разработки мероприятий по его предотвращению или снижению
Высокий	Неприемлемые. Срочные действия, необходимые для снижения риска путем разработки мероприятий по его предотвращению или снижению
Средний	Необходим периодический мониторинг уровня риска. В случае экономической целесообразности лаборатория может принять решение о разработке мероприятий по минимизации рисков среднего уровня
Низкий	Риск приемлемый. Необходим периодический мониторинг уровня риска

Риски, отнесенные к категории «низкие», считаются допустимыми и управляемыми в соответствии с существующей стратегией реагирования.

Риски, отнесенные к категории «средние», считаются допустимыми, но при этом требуется разработка и реализация организационных мероприятий для исключения или минимизации этих рисков и перевода их в категорию «низкие».

Риски, отнесенные к категории «высокие» и «критические», требуют незамедлительной разработки мер по управлению ими.

Для рисков, требующих управления, необходимо разработать мероприятия по снижению уровня рисков, определить необходимые ресурсы и назначить ответственного за реализацию этих мероприятий. Мероприятия по минимизации рисков позволяют исключить риски либо свести уровень рисков до категории «низкие».

Воздействия на риски включают выбор одного или нескольких вариантов мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов.

Воздействия на риски и возможности являются циклическим процессом, состоящим из следующих этапов:

• планирование мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов;

• реализация мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов;

• оценка результативности мероприятий;

• выявление причин и разработка необходимых мероприятия при отрицательном результате реализованных мероприятий;

• определение достаточности реализованных мероприятий.

Планирование мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов производиться по итогам проведенного анализа и оценки рисков и возможностей.

Сотрудником лаборатории, ответственным за процесс, заполняется план мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов.

Реализация мероприятий по минимизации вероятности возникновения рисков и их негативного влияния на цели процессов и максимизации вероятности возникновения возможностей и их позитивного влияния на цели процессов должна проводится в соответствии с планом и в запланированные сроки.

После реализации мероприятий по минимизации вероятности возникновения рисков и максимизации вероятности возникновения возможностей, сотрудником лаборатории, ответственным за процесс, заполняется отчёт о реализации мероприятий по минимизации рисков и максимизации возможностей.

Результативность мероприятий оценивается определением того, наступил риск/возможность или нет.

Мониторинг и анализ рисков и возможностей являются составной частью процесса риск-менеджмента. Регулярное проведение мониторинга, анализа и управления рисками направлены на проверку:

• достоверности предположений о рисках и возможностях;

• достоверности предположений, на которых основана оценка рисков, включая внешние и внутренние области применения;

• достижимости ожидаемых результатов;

• соответствия результатов оценки рисков фактической информации о рисках;

• правильности применения методов оценки рисков;

• эффективности воздействия на риски и возможности.

Комплексное управление рисками позволяет более полно учитывать внутренние и внешние факторы рисков в деятельности лаборатории, определяет пути обеспечения устойчивости организации, ее способности противостоять неблагоприятным ситуациям.

Основные показатели эффективного управления рисками и возможностями – выполнение лабораторией договорных обязательств в срок и отсутствие жалоб и претензий со стороны потребителей.

Несмотря на то, что новая редакция межгосударственного стандарта ГОСТ ISO/IEC 17025-2019 не устанавливает требований к документированному процессу управления рисками, лабораториям настоятельно рекомендуется разработать и внедрить собственную документированную процедуру управления рисками, так как наличие такой процедуры является обязательным.

Приведённый пример оценки рисков и возможностей в лаборатории окажет несомненную помощь руководителям и сотрудникам лабораторий в понимании вопроса, что такое мышление, основанное на рисках.

Представленный в статье подход к построению риск-менеджмента может быть реализован любой лабораторией без существенных затрат.