Росавиацией утверждены Контрольные карты проверки соответствия организации-разработчика требованиям авиационных правил. Ревизия 02.
"Контрольные карты проверки соответствия организации-разработчика требованиям авиационных правил" (утв. Росавиацией 09.04.2017)

14. Управление рисками

14.

Управление рисками

14.1.

Утверждение систематического подхода к определению рисков, их оценке и обработке

14.1.1. Наличие и выполнение документированной процедуры стратегического управления с учетом принятия решений в условиях рисков и неопределенности при наличии различных угроз и вызовов, опирающуюся на:

- стратегическое управление портфелем разработки;

- политику в области управления рисками;

- принятие решений в условиях рисков и неопределенностей;

- анализ вызовов и угроз, внутренних и внешних, оценку безопасности и рисков;

- концепции применения и разработки, относительную эффективность (по критерию цена-качество);

- сценарии и ресурсы, потребности и возможности;

- нормативы и регламенты.

Примечание - Анализ управления включает использование моделей и методов оптимизации и игровых подходов.

14.1.2. Наличие и выполнение документированной процедуры управления, включающей ряд подробно рассматриваемых шагов:

- предварительного анализа ситуаций на рынке возможностей;

- инициализации разработка;

- планирования элементов по времени и ресурсам;

- выполнение разработки с использованием передовых технологий;

- контроль выполнения разработки, поэтапный и финальный;

- завершение разработки;

- анализ промахов и достижений и пополнение реестра разработки описанием лучших практик.

Примечание - работы могут включать технические и информационные составляющие.

14.2.

Идентификация и определение рисков

14.2.1. Наличие и выполнение документированной процедуры, регламентирующей порядок и основы управления рисками путем:

- краткого обзора менеджмента риска при разработке в части роли менеджмента риска при разработке общей схемы процесса;

- решения организационных проблем в части:

a) ответственности руководства;

b) ресурсов;

c) обмена информацией;

d) управления документацией;

- определения процессов менеджмента риска при разработке в части:

e) определения ситуации;

f) идентификации риска;

g) оценка риска;

h) обработки риска;

i) исследование и мониторинг риска;

- создания схемы процесса менеджмента риска при разработке.

14.2.2. Наличие и выполнение документированной процедуры по управлению рисками разработки, которая может быть ориентирована на рассмотрение этапов заключения контракта:

- выбор критериев условий заключения контрактов;

- анализ требований конкурсной разработки;

- оценки затраты на ЖЦ;

- прогнозирование надежности и качества;

- ожидаемые характеристики систем;

- анализ принципов руководства программой создания продукции;

- анализ рациональных подходов к управлению конфигурацией разработки.

Примечание - В процессе рассмотрения условий контракта могут быть рассмотрены различные модели структуры формирования цены проводимых работ.

14.2.3. Наличие и выполнение документированной процедуры по методике управления рисками разработки, включающей:

- общий процесс управления рисками;

- идентификацию рисков;

- получение исчерпывающего перечня рисков;

- паспортизацию рисков;

- анализ ожидаемых затрат;

- классификацию рисков;

- критерии выбора значений определяющего параметра;

- матрицу серьезности рисков;

- планирование мониторинга, предотвращения и реагирования на риски;

- критерии выделения риск-менеджера на разработку;

- мониторинг, предотвращение и реагирование на риски;

- обязанности лица, ответственного за риск;

- обязанности лица, управляющего рисками;

- анализ эффективности управления рисками;

- структуру аналитического отчета об управлении рисками;

- критерии эффективности управления рисками;

- обновление базы рисков.

Примечание - Настоящая методика может распространяться на управление:

- техническим и технологическим рисками;

- информационным риском;

- финансовым риском;

- логистическим риском и т.д.

14.2.4. Наличие и выполнение документированной процедуры управления информационным обменом при управлении рисками разработки, включающей:

- угрозы со стороны персонала;

- оценку риска со стороны отдельных сотрудников;

- перечень опасностей со стороны посвященного лица;

- проблемы доступа к информации, а именно:

a) доступа к ИТ системам;

b) доступа к сайтам;

c) доступа к разработанным/разрабатываемым технологиям;

d) доступа к персоналу;

- диаграммы, рекомендуемые для использования при проведении анализа риска.

14.2.5. Наличие и выполнение документированной процедуры комплексной системы управлениями рисками на предприятии, устанавливающей:

- общее руководство по оценке рисков;

- область применения руководства;

- общие положения;

- оценки риска опасных событий;

- мероприятия по оценке риска;

- оценку допустимого риска;

- обработку риска;

- описание среды организации;

- вопросы оценки методов обработки риска;

Примечание - Настоящий документ следует применять с учетом требований основополагающих стандартов в области риска: ГОСТ Р ИСО 31000-20101), ГОСТ Р 31010-20112), ГОСТ Р 51897-2011/Руководство ИСО 73:20093), ГОСТ Р ИСО 31000-2010, ГОСТ Р ИСО/МЭК 31010-201.

14.2.6. Наличие и выполнение документированной процедуры функционального моделирования управления рисками разработки, включающей построение диаграмм представления связей и взаимодействий между компонентами процесса выполнения разработки.

14.3.

Определение вероятности событий, связанных с рисками, с использованием установленных критериев

14.3.1. Наличие и выполнение документированной процедуры, регламентирующей порядок оценки событий, связанных с ожидаемыми опасностями и степенью угроз, включающий оценки риска на уровне организации в форме таблицы оценки риска содержащей:

- этап 1. Идентификация внутренних опасностей в составе:

a) диапазона опасностей;

b) определения компетенций ответственного лица;

c) уровня детализации опасностей;

- этап 2. Оценка вероятности;

- этап 3. Оценка последствий;

- этап 4. Ранжирование риска;

- этап 5. Контрмеры;

- этап 6. Создание абсолютной шкалы оценки последствий.

14.4.

Оценка рисков в терминах их возможных последствий с использованием установленных критериев и влияния на Летную Годность

14.4.1. Наличие и выполнение документированной процедуры, регламентирующей порядок обзора рисков и определения степени тяжести последствий при квалификации различных компонентов риска на основе:

- системы обеспечения готовности к опасным ситуациям и непрерывности деятельности;

- потенциальных областей исследования опасностей;

с учетом основных элементов системы менеджмента непрерывности деятельности и взаимосвязи элементов, относящихся к системе обеспечения готовности к опасным ситуациям и инцидентам и к системе обеспечения непрерывности деятельности.

14.5.

Определение градации рисков по их вероятности и последствиям

14.5.1. Наличие и выполнение документированной процедуры, регламентирующей порядок подготовки исходных данных для построения диаграммы-матрицы отображения рисков для различных этапов ЖЦ.

14.6.

Определение стратегии реакции на риски

14.6.1. Наличие и выполнение документированной процедуры, регламентирующей порядок определения требований к риску, прогнозирование и выбор стратегии снижения ожидаемых опасностей и ущерба с учетом анализа оценки риска на уровне организации, включающего сценарии опасных событий и построение матрица рисков.

14.7.

Определение значения допустимых границ для каждого идентифицированного риска

14.7.1. Наличие и выполнение документированной процедуры, регламентирующей методику построения матрицы отображения рисков для различных компонентов опасностей.

14.8.

Определение границ действий по обработке рисков в случае превышения ими допустимых границ

14.8.1. Наличие и выполнение документированной процедуры, регламентирующей методики выбора и реализации отображения мероприятий по уменьшению риска, включая следующие этапы:

Этап 1. Идентификация и ранжирование опасностей со стороны посвященного лица;

Этап 2. Выполнение начальной идентификации групп с большими возможностями;

Этап 3. Описание возможностей реализации опасного события;

Этап 4. Шкала возможностей;

Этап 5. Анализ контрмер;

а также примеры оценки риска на уровне:

- оценки возможностей появления выбранных опасностей;

- оценки риска опасностей со стороны персонала.

14.9.

Сообщение о мерах по обработке рисков и их статусе в соответствии с действующими соглашениями, политикой и процедурами

14.9.1. Наличие и выполнение документированной процедуры, регламентирующей порядок регистрации текущего состояния и мероприятий по снижению уровней риска, в том числе включающий руководство по оценке риска для опасностей со стороны человеческого фактора.

14.10.

Ведение учета рисков в течение всего жизненного цикла

14.10.1. Наличие и выполнение документированной процедуры, регламентирующей порядок анализа и обобщения зарегистрированных данных о выявленных тревожных ситуациях и мероприятиях предпринятых для уменьшения рисков разработки на основе правил построения реестра рисков.

Примечание - Настоящая процедура применяется с учетом требований основополагающих стандартов в области риска: ГОСТ Р ИСО 31000-2010 "Менеджмент риска. Принципы и руководство", ГОСТ Р ИСО/МЭК 31010-2011 "Менеджмент риска. Методы оценки риска", ГОСТ Р 51897-2011/Руководство ИСО 73:2009 "Менеджмент риска. Термины и определения", а также установленные правила построения реестра риска.

14.10.2. Наличие и выполнение документированной процедуры, регламентирующей порядок ведения реестра рисков при выполнении работ на предприятии.

13. Контроль разработки 15. Управление обменом информацией