ИСО 31000: оценка внедрения менеджмента риска

ISO 31000 — руководство по менеджменту риска, а не стандарт для сертификации: официальная страница ISO прямо говорит, что его нельзя использовать для сертификации. По нему можно оценить применение рекомендаций, подготовить отчёт и заключение, обучить сотрудников, но документ об оценке не следует представлять как сертификат соответствия по ISO 31000.

Полезный результат показывает, как компания принимает решения в условиях неопределённости: кто отвечает за риск, по каким данным его оценивают, какие меры выполнены и что осталось после их проверки. Ниже — как определить нужный формат, подготовить доказательства и избежать покупки бланка вместо работающего процесса. Актуально на октябрь 2026 года.

Какие версии ISO 31000 и ГОСТ действуют

ISO 31000:2018 «Risk management — Guidelines» остаётся опубликованной международной версией. ISO указывает подтверждение в 2023 году и подготовку пересмотра. Проект нового документа не заменяет действующее издание до его публикации. На официальной странице отдельно поясняется, что стандарт нельзя использовать для сертификации, но можно применять как ориентир внутренней или внешней оценки практик.

В России действует ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство», идентичный ISO 31000:2018. Он введён 1 марта 2020 года взамен версии 2010 года. Переиздание от 27 апреля 2021 года в каталоге не означает появления стандарта «ISO 31000:2021».

Дополнительно с 1 марта 2026 года действует ГОСТ Р 72254-2025 — руководство по применению ГОСТ Р ИСО 31000-2019 в системах менеджмента. Это отдельный документ об интеграции, а не замена базового руководства и не основание объявить ISO 31000 сертифицируемым.

Применение руководства само по себе не создаёт универсальной обязанности получать сертификат. Обязательные отраслевые требования проверяют отдельно. Оценка риск-менеджмента не освобождает от законодательства, условий договора или требований к конкретной системе управления.

Что оформляют вместо «сертификата»

• Отчёт об оценке применения рекомендаций: область, период, методика, рассмотренные процессы, подтверждения и выводы.
• Заключение по результатам такой оценки с явно указанными ограничениями.
• План улучшения практик: мероприятия, ответственные, ресурсы и способ проверки исполнения.
• Материалы обучения и подтверждение участия сотрудников; они показывают обучение, но не доказывают внедрение во всей организации.

Если исполнитель предлагает документ собственной добровольной системы, выясните её критерии, правила и назначение результата. Такой документ не меняет статус ISO 31000. Формулировка «аккредитованный международный сертификат ISO 31000» не соответствует назначению руководства.

До заказа согласуйте цель: оценка для руководства, проверка отдельного процесса, подготовка доказательств заказчику или обучение. Для выбора сертифицируемых систем есть раздел сертификация систем менеджмента. Похожее различие между руководством и сертификатом разобрано в статье про оценку по ИСО 26000, но предмет работы здесь — управление рисками.

Три уровня: принципы, структура и процесс

В руководстве менеджмент риска рассматривается на трёх уровнях. Принципы задают подход: интеграция в деятельность, последовательность, адаптация к контексту, участие причастных сторон, реакция на изменения, качественная информация, учёт поведения людей и улучшение. Структура связывает эту работу с управлением организацией. Процесс помогает разбирать конкретные риски и решения.

Практически это означает, что отдельный реестр не равен всей работе с рисками. Руководство должно определить полномочия, ресурсы и порядок принятия решений; владельцы процессов — применять подход в закупках, проектах и операциях. Риск-менеджер может координировать методику, но не должен формально становиться единственным ответственным за каждую проблему предприятия.

Начните с целей и границ оценки. Если анализируется поставка, уточните сроки, требования к качеству и допустимые последствия сбоя. Если рассматривается вся организация, охват шире. Для каждого вывода должно быть понятно, к какой цели и области он относится.

Как различать идентификацию, анализ и оценку

Сначала выявляют и описывают риски, затем разбирают их характеристики и сравнивают результат с принятыми критериями. Эти действия нельзя свести к случайному выставлению баллов в готовой таблице. Неопределённость может дать отрицательное или положительное отклонение от цели, поэтому подход не ограничивается списком угроз.

1. Идентификация: что может произойти, из-за каких причин и с каким влиянием на цель. Учитывайте связь событий и зависимость от внешних участников.
2. Анализ: какие сведения подтверждают возможность события и последствия, какие меры уже действуют, где данные неполные. Отдельно отмечайте допущения.
3. Сравнительная оценка: сопоставьте результат с согласованными критериями и определите, требуется ли обработка, дополнительный анализ или иное решение.

Универсальной обязательной матрицы 3×3 или 5×5 нет. Метод выбирают под задачу и доступные данные. Если применяются категории «низкий», «средний», «высокий», заранее определите их смысл и порядок использования. Иначе два подразделения оценят одинаковую ситуацию по-разному.

Для выбора способов анализа используют IEC 31010:2019 «Risk assessment techniques». Он посвящён выбору и применению технологий оценки риска, а не выпуску сертификата на организацию. Метод подбирают под решение, доступные сведения и ограничения.

Множить порядковые баллы вероятности и последствий не всегда полезно. Полученное число не становится точной денежной оценкой. При высокой неопределённости лучше явно обозначить диапазон, исходные допущения и сведения, которые нужно получить для решения.

Пример записи риска: задержка критического компонента

Это условный пример для объяснения формата, а не кейс клиента центра. Цель процесса — обеспечить компонент к установленной дате запуска. Компания зависит от одного поставщика; при задержке поставки запуск может быть перенесён и возникнут дополнительные затраты.

• Причина: зависимость от единственного источника и отсутствие проверенного альтернативного маршрута.
• Событие: компонент не поступает к согласованной дате.
• Последствие: задержка запуска, дополнительные расходы и нарушение обязательств.
• Владелец риска: руководитель соответствующего процесса, имеющий полномочия организовать решение.
• Действующие меры: контроль подтверждения заказа и сроков поставки. Их результативность нужно подтвердить записями, а не названием в реестре.
• Основание оценки: история задержек, текущие сведения поставщика, срок восстановления и влияние на план проекта. Категории определяются принятой методикой.
• План: проверить альтернативного поставщика, согласовать необходимые договорные условия и оценить целесообразность запаса.
• Проверка: ответственное лицо, срок мероприятия, подтверждение квалификации альтернативы и результат проверки доступности компонента.

После выполнения мер риск оценивают повторно. Нельзя заранее записать «остаточный риск средний» только потому, что план утверждён. Пока новый поставщик не проверен и поставка не подтверждена, мера может существовать лишь на бумаге.

В реестре полезно отделить владельца риска от исполнителя конкретного мероприятия. Руководитель процесса принимает и согласует решения, а сотрудник закупок может выполнять задачу по поставщику. Добавьте дату пересмотра и условие внеплановой переоценки: например, изменение срока или отказ альтернативного контрагента.

Обработка риска и контроль результата

Обработка может включать отказ от определённой деятельности, изменение источника, вероятности или последствий, разделение риска с другой стороной, осознанное удержание либо принятие риска ради возможности. Выбирайте сочетание мер с учётом целей, ресурсов и обязательств.

Страхование или договор с подрядчиком не означает, что риск полностью исчез. Проверьте покрытие, ограничения, исполнение обязательств и последствия, которые остаются у компании. В заключении нельзя заявить «риски устранены», если проверена только закупка страхового полиса.

Организуйте мониторинг: какие сигналы собирают, кто их рассматривает и при каком изменении решение пересматривают. По инциденту выясняют, почему действующие меры не сработали и что нужно изменить. Сообщение руководству должно помогать принять решение, а не только показывать число строк в реестре.

Документы и процедура оценки внедрения

До начала согласуют охват: процессы, площадки, период, выборку и ожидаемый результат. Затем изучают материалы, разговаривают с участниками процесса и проверяют, как решения выполнялись. Количество документов не заменяет качество доказательств.

• Описание целей и деятельности, полномочий и ответственности.
• Политика или другой согласованный порядок работы с рисками.
• Методика оценки и критерии принятия решений.
• Реестр рисков и данные, на которых основаны оценки.
• Планы обработки, подтверждения выполнения и результаты пересмотра.
• Отчётность руководству, решения по отклонениям, инцидентам и изменениям.
• Сведения об обучении и предыдущих проверках, если они относятся к области оценки.

При выборе оценщика уточните отраслевую компетенцию, методику, порядок проверки данных и независимость. У ISO 31000 нет процедуры аккредитованной сертификации, поэтому такой статус нельзя заявлять для подтверждения данной услуги. Установите организацию и специалиста, которые проводят оценку и подписывают результат. Итоговый отчёт должен указывать, что рассмотрено и что осталось вне охвата. После обсуждения фактических неточностей оформляют выводы и план улучшений. Успешное обучение сотрудников не подменяет этот анализ.

В рабочем отчёте полезны разделы: цель и область; период; критерии и методика; выборка и источники; рассмотренные риски и меры; ограничения; выводы; план улучшений. Консультация предлагает решения, оценка проверяет практику по критериям, обучение подтверждает прохождение программы. Эти результаты согласуют отдельно: один не доказывает автоматически другой.

Стоимость и срок работы

В прайсе центра для услуги ИСО 31000 указана цена от 9 000 ₽. Корректный состав работы и результат согласуют после уточнения задачи. Стартовая сумма не означает полное внедрение риск-менеджмента в любой организации или оформление международного сертификата по этому руководству.

Стоимость зависит от числа процессов и площадок, готовности материалов, интервью, необходимости разработки методики и сопровождения улучшений. Срок определяют после предварительного анализа. Если записи отсутствуют, подготовка отчёта не создаст историю исполнения мер задним числом.

Что делать с требованием тендера

Если документация требует «сертификат ISO 31000», запросите разъяснение цели, допустимого документа, редакции и области проверки. Отчёт об оценке может подтверждать применение рекомендаций, но его пригодность для заявки определяется условиями закупки. Обещать автоматическую замену нельзя.

Для качества процессов рассматривают ISO 9001, для непрерывности — систему по ISO 22301, для информационной безопасности — систему по ISO 27001. Эти стандарты имеют другой предмет. Они могут включать работу с рисками в своей области, но не становятся универсальным документом вместо любого требования заказчика.

Согласуйте формат до оплаты и подачи заявки. Отдельно проверьте требования к исполнителю и подписи. Запись результата в частном реестре или сертификат участника курса не доказывают оценку организации по всему согласованному охвату.

Частые вопросы

Действует ли заключение три года?

У ISO 31000 нет обязательного трёхлетнего сертификационного цикла и ежегодного инспекционного контроля. Заключение относится к определённой области, периоду и состоянию практик. Его актуальность пересматривают при изменении существенных условий и требований получателя.

Можно начать без отдельного риск-менеджера?

Распределите функции между компетентными руководителями и владельцами процессов, определите координацию и ресурсы. Отдельная должность сама по себе не доказывает работающий подход; отсутствие такой должности не мешает организовать практическую работу по рекомендациям.

Что подготовить первым?

Требование заказчика или цель внутренней оценки, описание охвата и несколько реальных записей о рисках с решениями. По ним легче определить пробелы и состав работы. Уточнить формат можно через контакты центра сертификации, стоимость — по прайсу услуг центра.