ISO 31000

ISO 31000  er en familie af standarder relateret til risikobaseret ledelse af en organisation.

Historie

ISO 31000-familien af ​​standarder er udviklet af International Organisation for Standardization (ISO) tekniske komité nr. 262 "Risk Management" . I februar 2018 udkom en ny version af standarden. Denne anden udgave af standarden annullerer og erstatter den teknisk reviderede første udgave (ISO 31000:2009).

Den russiske analog af ISO 31000 er GOST R ISO 31000-2019 "Risk Management. Principper og ledelse".

Indhold

31000-familien af ​​standarder inkluderer i øjeblikket:

• GOST R ISO 31000-2019 "Risikostyring. Principper og ledelse”;
• GOST R ISO/IEC 31010-2011 “Risikostyring. Risikovurderingsmetoder”;
• GOST R 51897-2011 "Risikostyring. Vilkår og definitioner".

En af de vigtigste ændringer foreslået tidligere i GOST R ISO 31000-2010 var konceptualiseringen af ​​risikobegrebet. I overensstemmelse med GOST betyder udtrykket " risiko " ikke "chancen eller sandsynligheden for tab", men "påvirkningen af ​​usikkerhed på mål", så ordet "risiko" bruges til at henvise til både positive og negative begivenheder. Påvirkning er en afvigelse fra det forventede. Det kan være positivt og/eller negativt og kan hjælpe med at realisere muligheder og eliminere trusler, skabe eller føre til muligheder og trusler. Mål kan have forskellige aspekter og kategorier og kan anvendes på forskellige niveauer. Risiko er normalt defineret i form af risikokilder, potentielle hændelser, konsekvenserne af disse hændelser og deres sandsynlighed. Risikostyring - koordinerede handlinger for at styre en organisation under hensyntagen til risiko.

Målet med risikostyring er at skabe og beskytte værdi. Risikostyring forbedrer præstationer, stimulerer innovation og bidrager til opnåelse af mål. I henhold til ISO 31000:2018 skal en organisation med effektiv risikostyring følge følgende principper:

• integreret - risikostyring er en integreret del af organisationens aktiviteter;
• struktureret og omfattende - en struktureret og integreret tilgang til risikostyring fører til konsistente og sammenlignelige resultater;
• tilpasningsdygtig - strukturen og processen for risikostyring er korreleret og justeret under hensyntagen til den eksterne og interne kontekst af organisationen, der er forbundet med dens opgaver;
• inkluderende – relevant og rettidig involvering af interessenter gør det muligt at tage hensyn til deres viden, synspunkter og meninger. Dette fører til øget bevidsthed og validitet af risikostyring;
• dynamisk - risici kan opstå, ændre sig eller forsvinde i takt med, at organisationens eksterne og interne kontekst ændrer sig. Risikostyring forudser, opdager, genkender og reagerer på disse ændringer og begivenheder på en passende og rettidig måde;
• baseret på den bedst tilgængelige information - historiske og faktiske data, samt fremadrettede forventninger bruges som input til risikostyringsprocessen. Risikostyring tager eksplicit hensyn til eventuelle begrænsninger og usikkerheder forbundet med tilgængelige data og forventninger. De anvendte oplysninger skal være relevante, klare og tilgængelige for interesserede parter.
• under hensyntagen til menneskelige og kulturelle faktorer - menneskelig adfærd og kultur påvirker i væsentlig grad alle aspekter af risikostyring på alle niveauer og stadier;
• konstant forbedring - risikostyring forbedres konstant gennem uddannelse og erfaring.

Infrastrukturen i standarden er, at risikoinformation opnået gennem risikostyringsprocessen er korrekt fanget og brugt som grundlag for beslutningstagning og rapportering på alle niveauer i organisationen. Denne ramme har ikke til formål at foreskrive et risikostyringssystem, men at hjælpe en organisation med at inkorporere risikostyring i dets overordnede ledelsessystem.

Den generelle risikostyringsordning i en organisation i henhold til ISO 31000 omfatter: ledelse og ansvar (specielt fremhævet i GOST R ISO 31000:2018); integration; udvikling; implementering; overvågning; forbedring.

En innovation [1] er et afsnit om implementering af risikostyring i en organisation, som omfatter:

• udvikling af en passende plan med definition af begreber og ressourcer;
• at bestemme hvor, hvornår, hvordan og af hvem forskellige typer beslutninger træffes i organisationen;
• modifikation (ændringer) af gældende beslutningsprocesser (hvis nødvendigt);
• sikre, at organisationens risikostyringsmekanismer er forstået og anvendt korrekt.

En vellykket implementering af rammen kræver deltagelse af interessenter og bevidsthed. Dette giver organisationer mulighed for at tage usikkerhed direkte i betragtning, når de træffer beslutninger, og sikre, at enhver ny eller efterfølgende usikkerhed tages i betragtning, når den opstår. En korrekt designet og anvendt risikostyringsramme sikrer, at den er inkorporeret i alle aktiviteter i organisationen, herunder beslutningsprocesser, og at der tages tilstrækkeligt hensyn til ændringer i den eksterne og interne kontekst.

Risikostyringsprocessen involverer systematisk anvendelse af politikker, procedurer og praksis for at sikre kommunikation og høring, kontekstsætning og risikovurdering, risikohandling, risikoovervågning, analyse og dokumentation og risikorapportering. Risikostyringsprocessen bør være en integreret del af ledelses- og beslutningsprocesserne og bør integreres i organisationens struktur, aktiviteter og processer. Det kan anvendes på det strategiske, operationelle, program- eller projektniveau. Inden for en organisation kan risikostyringsprocessen have mange anvendelsesmuligheder, skræddersyet til behovet for at nå organisationens mål og den eksterne og interne kontekst.

Gennem hele risikostyringsprocessen bør den dynamiske og skiftende karakter af menneskelig adfærd og kultur tages i betragtning.

Inden for en organisation kan risikostyringsprocessen have mange anvendelsesmuligheder, skræddersyet til behovet for at nå organisationens mål og den eksterne og interne kontekst.

Risikostyringsprocessen består af sektioner:

• udveksling af information og høring;
• omfang, kontekst og kriterier;
• risikovurdering;
• indvirkning på risiko;
• overvågning og revision;
• dokumentation og rapportering.

Omfang

GOST R ISO 31000 giver retningslinjer for styring af de risici, som organisationer står over for. Måden, hvorpå disse anbefalinger anvendes, kan tilpasses enhver organisation og dens kontekst. Standarden indeholder en generel tilgang til håndtering af enhver risiko og er ikke højt specialiseret eller branchespecifik. Standarden kan anvendes gennem hele en organisations livscyklus og for enhver aktivitet, herunder beslutningstagning på alle niveauer.

Selvom denne standard giver generel vejledning, er den ikke beregnet til at give ensartet risikostyring på tværs af organisationer. Når du opretter og anvender planer for en risikostyringsinfrastruktur, er det nødvendigt at tage hensyn til en bestemt organisations forskellige behov, dens særlige mål, situation (kontekst), struktur, operationer, processer, funktioner, projekter, produkter, tjenester eller aktiver . samt specifik praksis vedtaget af organisationen.

Dette skal forstås på den måde, at denne standard skal bruges til at harmonisere de risikostyringsprocesser, der er beskrevet i eksisterende nuværende og fremtidige standarder. Den etablerer en generel tilgang til støtte for standarder, der gælder for specifikke risici og/eller industrier og erstatter ikke disse standarder.

Se også

• ISO 9000
• ISO 14000
• ISO 21500
• Risiko
• Deming cyklus

Noter

1. ↑ A. I. Sidorenko. Ny ISO31000:2018  (russisk)  // Risk Academy. Arkiveret fra originalen den 31. marts 2019.