Введение
Оценка риска, связанного с воздействием заданного набора угроз.
Оценка риска определяет возможные инциденты, вероятность их возникновения и последствия, а также допустимые уровни риска для таких событий.
Индивидуальная оценка риска
Оценка риска может проводиться в каждом конкретном случае, в том числе при взаимодействии пациента и врача. В узком смысле, оценка химического риска – это оценка риска для здоровья, связанного с воздействием факторов окружающей среды. То, как статистика представляется и доносится до человека, как словами, так и цифрами, влияет на его интерпретацию пользы и вреда. Например, показатель смертности может восприниматься как более неблагоприятный, чем соответствующий показатель выживаемости. Систематический обзор 2017 года, проведенный Кокрейновским сотрудничеством, показал, что "хорошо разработанные вспомогательные средства для принятия решений" помогают снизить влияние подобных тенденций или предубеждений. На индивидуальное восприятие риска могут влиять психологические, идеологические, религиозные или другие субъективные факторы, которые снижают рациональность процесса. Поэтому оценка рисков в нелинейных/сложных системах, как правило, более затруднительна. При разработке сложных систем, углубленная оценка рисков часто проводится в рамках инженерной безопасности и инженерной надежности, когда речь идет об угрозах для жизни, природной среды или функционированию оборудования. Сельское хозяйство, атомная промышленность, аэрокосмическая отрасль, нефтегазовая, химическая, железнодорожная и военная отрасли имеют богатый опыт работы с оценкой рисков. Кроме того, медицинские учреждения, социальные службы, пищевая промышленность постоянно контролируют риски и проводят оценку рисков. Методы оценки риска могут различаться в зависимости от отрасли и от того, связаны ли они с общими финансовыми решениями или с оценкой экологических, экологических или рисков для общественного здоровья.
Степень риска умеренная или дикая
Бенуа Мандельброт различал "умеренный" и "экстремальный" риск и утверждал, что оценка и управление рисками должны принципиально различаться для этих двух типов риска. Умеренный риск подчиняется нормальному или близкому к нормальному закону распределения вероятностей, подвержен регрессии к среднему и закону больших чисел и, следовательно, относительно предсказуем. Экстремальный риск подчиняется распределениям с "тяжелыми хвостами", например, распределениям Парето или степенным законам, подвержен регрессии к хвосту (бесконечное среднее или дисперсия, что делает закон больших чисел недействительным или неэффективным) и, следовательно, его трудно или невозможно предсказать. По мнению Мандельброта, распространенной ошибкой при оценке и управлении рисками является недооценка степени его экстремальности, то есть принятие риска за умеренный, когда на самом деле он экстремален, чего следует избегать, чтобы обеспечить достоверность и надежность оценки и управления рисками.
Количественная оценка риска
В количественной оценке риска ожидаемый годовой убыток (ALE) может использоваться для обоснования стоимости внедрения мер защиты актива. Он вычисляется путем умножения ожидаемого единичного убытка (SLE), представляющего собой потерю стоимости в результате единичного инцидента безопасности, на годовую частоту возникновения (ARO) – оценку вероятности успешной эксплуатации уязвимости угрозой. Однако полезность количественной оценки риска подвергается сомнению. Барри Коммонер, Брайан Уинн и другие критики выражают обеспокоенность тем, что оценка риска часто бывает излишне количественной и упрощенной. Например, они утверждают, что оценки риска не учитывают качественные различия между рисками. Некоторые считают, что в оценках может быть упущена важная информация, которую сложно или невозможно количественно оценить, например, различия между группами людей, подверженных опасности, или эффект социальной амплификации. Более того, Коммонер и О'Брайен утверждают, что количественные подходы отвлекают внимание от мер предосторожности и профилактики. Другие, такие как Нассим Николас Талеб, рассматривают специалистов по управлению рисками не более чем как "слепых пользователей" статистических инструментов и методов.
Критерии приемлемого риска
Приемлемый риск – это риск, который осознается и допускается, обычно потому, что стоимость или сложность реализации эффективных мер противодействия связанной уязвимости превышает ожидаемые потери. Идея о том, чтобы не увеличивать риск в течение жизни более чем на один случай на миллион, стала распространенной в дискуссиях и политике в области общественного здравоохранения. Это эвристическая оценка, предоставляющая количественную основу для определения пренебрежимо малого увеличения риска. Принятие решений в области охраны окружающей среды допускает определенную свободу в признании отдельных рисков потенциально "приемлемыми", если вероятность увеличения риска в течение жизни составляет менее одного случая на десять тысяч. Такие критерии низкого риска обеспечивают некоторую защиту в ситуациях, когда люди могут подвергаться воздействию нескольких химических веществ, например, загрязнителей, пищевых добавок или других химикатов. На практике, абсолютно нулевой риск возможен только при полном устранении деятельности, вызывающей риск. Жесткие требования, такие как один случай на миллион, могут быть технологически нереализуемыми или настолько дорогостоящими, что деятельность, вызывающая риск, станет неустойчивой. В результате оптимальная степень вмешательства представляет собой баланс между рисками и выгодами. Например, выбросы от больничных мусоросжигательных установок приводят к определенному количеству смертей в год. Однако этот риск необходимо сопоставлять с альтернативными вариантами. Все варианты связаны с рисками для здоровья населения, а также с экономическими затратами. Риск, связанный с отсутствием мусоросжигания, – это потенциальное распространение инфекционных заболеваний или даже отсутствие больниц. Дальнейшее изучение позволяет выявить такие варианты, как разделение неинфицированных и инфицированных отходов или установка систем контроля загрязнения воздуха на медицинских мусоросжигательных установках. Важно тщательно рассмотреть достаточно широкий спектр возможных решений. Таким образом, итеративный процесс, включающий анализ, рассмотрение вариантов и последующий анализ, является обычным явлением.
Общественное здравоохранение
В контексте общественного здравоохранения, оценка риска – это процесс определения характера и вероятности вредного воздействия на отдельных лиц или популяции, вызванного определенными видами деятельности человека. Оценка риска для здоровья может быть преимущественно качественной или включать статистические оценки вероятностей для конкретных групп населения. В большинстве стран использование определенных химических веществ или эксплуатация определенных объектов (например, электростанций, производственных предприятий) не допускается, если не доказано, что они не повышают риск смерти или заболеваний выше установленного порога. Например, Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) регулирует безопасность пищевых продуктов посредством оценки рисков, а EFSA выполняет ту же функцию в ЕС. Оценка профессиональных рисков – это определение степени потенциальной опасности, которую фактор риска представляет для человека в рабочей среде. При оценке учитываются возможные сценарии, а также вероятность их возникновения и последствия. Существует пять видов опасностей, о которых следует знать: производственные (способные вызвать травмы), химические, биологические, физические и эргономические (способные вызвать нарушения опорно-двигательного аппарата). Для адекватной оценки опасностей необходимо выполнить два этапа. Во-первых, провести "оценку воздействия", которая определяет вероятность и степень контакта работника с опасным фактором. Во-вторых, выполнить "характеризацию риска", которая оценивает вероятность и тяжесть возможных последствий для здоровья.
Поселения людей
Важность оценки рисков для управления последствиями изменения климата и его изменчивости подчеркивается в глобальных рамках по снижению риска бедствий, принятых странами-членами Организации Объединенных Наций по итогам Всемирных конференций в Кобе (2005) и Сендае (2015). Сэндайская рамочная программа по снижению риска бедствий акцентирует внимание на локальном уровне и поощряет комплексный подход к оценке рисков, который должен учитывать все опасности, которым подвержено сообщество, интеграцию научно-технических знаний с местными знаниями и включение концепции риска в местные планы для достижения существенного снижения риска бедствий к 2030 году. Внедрение этих принципов в практику является сложной задачей для многих стран. Система мониторинга Сэндайской рамочной программы показывает, насколько мало известно о прогрессе, достигнутом в снижении риска бедствий на местном уровне в период с 2015 по 2019 год.
Африканская страна к югу от Сахары
По состоянию на 2019 год на юге от Сахары оценка рисков еще не стала институционализированной практикой. Населенные пункты часто подвергаются воздействию множественных опасностей (гидрологическая и сельскохозяйственная засуха, ливневые, речные и прибрежные наводнения), что требует проведения оценки рисков в региональном, муниципальном и, в некоторых случаях, на уровне отдельных населенных пунктов. С первых этапов оценки необходим междисциплинарный подход и интеграция местных и научно-технических знаний. Местные знания остаются незаменимыми для понимания угроз, нависших над отдельными сообществами, критических порогов, при которых эти угрозы превращаются в бедствия, для верификации гидравлических моделей и при принятии решений о снижении рисков. С другой стороны, одних лишь местных знаний недостаточно для понимания последствий будущих изменений и климатической изменчивости, а также для определения зон, подверженных редким опасностям. Доступность новых технологий и информации с открытым доступом (высокоразрешенные спутниковые снимки, ежедневные данные об осадках) позволяет сегодня проводить оценку с точностью, которая еще 10 лет назад казалась немыслимой. Изображения, полученные с помощью беспилотных летательных аппаратов, позволяют создавать цифровые модели рельефа с очень высоким разрешением и точно определять объекты воздействия. На основе этой информации гидравлические модели позволяют с высокой точностью определять зоны затопления, даже в масштабах небольших населенных пунктов. Информация об ущербе и потерях, а также о посевах зерновых культур в масштабе отдельных населенных пунктов позволяет определить уровень многофакторного риска в региональном масштабе. Многовременные высокоразрешенные спутниковые снимки позволяют оценить гидрологическую засуху и динамику развития населенных пунктов в зоне наводнений. Оценка рисков – это не просто помощь в принятии обоснованных решений о снижении или принятии рисков. Она интегрируется с системами раннего предупреждения, выделяя наиболее уязвимые районы, где предотвращение бедствий и подготовка к ним являются первоочередными задачами. Когда оценка рисков учитывает динамику воздействия во времени, она помогает определить политику снижения рисков, наиболее соответствующую местным условиям. Несмотря на этот потенциал, оценка рисков еще не интегрирована в местное планирование на юге от Сахары, которое в лучшем случае ограничивается анализом уязвимости к изменению климата и его изменчивости. Особое внимание в этом регионе следует уделять соответствующим нормативным документам и правилам, действующим в данной юрисдикции. Понимание нормативной базы, которой должно соответствовать управление рисками, является неотъемлемой частью разработки безопасной и соответствующей нормам практики оценки рисков.
Информационная безопасность
Оценка рисков информационных технологий может выполняться качественным или количественным методом, с использованием различных методологий. Важным отличием оценки рисков в информационной безопасности является модификация модели угроз с учетом того, что любая злоумышленническая система, подключенная к Интернету, имеет возможность представлять угрозу для любой другой подключенной системы. В связи с этим, оценка рисков может потребовать учета угроз со стороны всех потенциальных злоумышленников, а не только тех, кто имеет обоснованный доступ, как это принято в других областях. Определение NIST: процесс выявления рисков для деятельности организации (включая миссию, функции, имидж, репутацию), организационных активов, отдельных лиц, других организаций и государства, возникающих в результате функционирования информационной системы. Управление рисками включает в себя анализ угроз и уязвимостей, а также рассмотрение мер по снижению рисков, обеспечиваемых запланированными или внедренными средствами защиты информации. Существуют различные методологии и фреймворки оценки рисков, такие как: Фреймворк управления рисками NIST (RMF), Цели контроля для информационных и связанных технологий (COBIT), Факторный анализ информационных рисков (FAIR), Оценка критически важных угроз, активов и уязвимостей (OCTAVE), Метод оценки рисков Центра интернет-безопасности (CIS RAM) и Стандарт анализа рисков "Долг заботы" (DoCRA), который помогает определить понятие "разумной" безопасности.
Кибербезопасность
Процесс оценки угроз и рисков (TRA) является частью управления рисками, относящимися к киберугрозам. Процесс TRA определяет киберриски, оценивает степень их серьезности и может рекомендовать мероприятия по снижению рисков до приемлемого уровня. Существуют различные методологии для проведения TRA (например, Гармонизированная методология TRA), все они используют следующие элементы: идентификация активов (что необходимо защищать), идентификация и оценка угроз и уязвимостей для идентифицированных активов, определение эксплуатируемости уязвимостей, определение уровней риска, связанных с уязвимостями (каковы последствия повреждения или потери активов), и разработка программы по снижению рисков.
Мегаинвестиционные проекты
Мегапроекты (иногда также называемые "крупными программами") – это особо крупномасштабные инвестиционные проекты, стоимость которых, как правило, превышает 1 миллиард долларов США на проект. К ним относятся мосты, туннели, автомагистрали, железные дороги, аэропорты, морские порты, электростанции, плотины, проекты в области очистки сточных вод, защита побережья от наводнений, проекты по добыче нефти и природного газа, общественные здания, информационные технологии, аэрокосмические проекты и системы обороны. Показано, что мегапроекты сопряжены с особенно высокими рисками в отношении финансов, безопасности, а также социальных и экологических последствий.
Эволюция программного обеспечения
Исследования показали, что ранние этапы жизненного цикла разработки системы, такие как определение требований и разработка проектной документации, особенно подвержены ошибкам. Этот эффект особенно ярко проявляется в проектах с участием множества заинтересованных сторон, имеющих различные точки зрения. Эволюционные процессы разработки программного обеспечения предлагают итеративный подход к проектированию требований, чтобы смягчить проблемы неопределенности, неоднозначности и противоречивости, присущие разработке программного обеспечения.
Морская промышленность
В июле 2010 года судоходные компании договорились использовать стандартизированные процедуры для оценки рисков при выполнении ключевых операций на борту судов. Эти процедуры были внедрены в рамках пересмотренного Кодекса ММС.
Подводные дайвинги
Формальная оценка риска является обязательным компонентом большинства профессиональных планов погружений, но формат и методология могут различаться. Последствия инцидента, вызванного выявленной опасностью, обычно выбираются из небольшого числа стандартизированных категорий, а вероятность оценивается на основе статистических данных, когда они доступны (что бывает редко), и, в большинстве случаев, на основе обоснованной оценки, основанной на личном опыте и политике компании. Для преобразования этих данных в уровень риска часто используется простая матрица, обычно выражающаяся как неприемлемый, допустимый с ограничениями или приемлемый. Если риск признан неприемлемым, необходимо принять меры для его снижения до приемлемого уровня, а результаты оценки риска должны быть одобрены заинтересованными сторонами перед началом погружения. В особых обстоятельствах, таких как военные или поисково-спасательные операции, когда есть шанс спасти пострадавшего, может быть приемлем более высокий уровень риска. Руководители погружений обучены процедурам выявления опасностей и оценки рисков, и это является частью их планирования и оперативной ответственности. Необходимо учитывать как риски для здоровья, так и риски для безопасности. Можно выделить несколько этапов: оценка риска в рамках планирования проекта погружения, оценка риска на месте, учитывающая конкретные условия в день погружения, и динамическая оценка риска, которая проводится в ходе операции членами команды погружения, особенно руководителем и рабочим водолазом. В рекреационном дайвинге степень оценки риска, ожидаемая от дайвера, относительно проста и включена в предстартовые проверки. Агентства по сертификации дайверов разработали несколько мнемонических правил, чтобы напомнить дайверу об учете рисков, но обучение носит базовый характер. Ожидается, что компании, предоставляющие услуги дайвинга, будут проявлять повышенную заботу о своих клиентах, а инструкторы и дайвмастеры должны оценивать риски от имени своих клиентов, предупреждать их о специфических опасностях места погружения и необходимой квалификации для планируемого погружения. Ожидается, что технические дайверы будут проводить более тщательную оценку рисков, но поскольку они делают осознанный выбор в пользу рекреационной деятельности, уровень приемлемого риска может быть значительно выше, чем для профессиональных дайверов, работающих под руководством работодателя.
Приключения на открытом воздухе и в дикой природе
В деятельности на открытом воздухе, включая коммерческое обучение на природе, экспедиции в дикую местность и активный отдых, оценка риска подразумевает анализ вероятности и масштаба неблагоприятных последствий, таких как травмы, заболевания или повреждение имущества, вызванных факторами окружающей среды и связанными с ними причинами, в сопоставлении с пользой для развития человека или другими преимуществами, получаемыми от пребывания на природе. Это особенно важно, поскольку школы и другие организации оценивают преимущества участия молодежи и взрослых в различных образовательных мероприятиях на открытом воздухе, сопоставляя их с присущими и другими опасностями, связанными с этими мероприятиями. Школы, корпоративные организации, стремящиеся к развитию командного духа, родители/опекуны и другие лица, планирующие мероприятия на природе, ожидают или требуют от организаций оценки опасностей и рисков, связанных с различными видами деятельности на открытом воздухе – такими как парусный спорт, стрельба, охота, альпинизм или кемпинг – и выбора мероприятий с приемлемым уровнем риска. Организации, занимающиеся обучением на природе, приключениями в дикой местности и другими видами деятельности, связанными с пребыванием на открытом воздухе, должны, а в некоторых юрисдикциях обязаны, проводить оценку рисков перед началом коммерческой деятельности. Такие организации получают рекомендации относительно порядка проведения и представления этих оценок. Оценка рисков для организованных мероприятий на природе является лишь одним из компонентов комплексного плана управления рисками, поскольку многие оценки рисков используют упрощенный линейный подход, не применяя более современные методы управления рисками, основанные на теории сложных социотехнических систем.
Окружающая среда
Оценка экологических рисков (ЭРР) направлена на оценку воздействия стрессовых факторов, как правило, химических веществ, на местную окружающую среду. Риск – это комплексная оценка вероятности и степени тяжести нежелательного события. В ЭРР это нежелательное событие часто зависит от рассматриваемого химического вещества и от сценария оценки риска. Обычно это нежелательное событие представляет собой негативное воздействие на организмы, популяции или экосистемы. Современные ЭРР обычно сравнивают уровень воздействия с уровнем, при котором не наблюдается эффектов, например, соотношение прогнозируемой экологической концентрации (PEC) к прогнозируемой концентрации отсутствия эффектов (PNEC) в Европе. Хотя подобное соотношение полезно и часто используется в регулировании, оно лишь указывает на превышение кажущегося порога. В ЭРР разрабатываются новые подходы для количественной оценки риска и эффективного информирования об этом как управленцев, так и широкой общественности. Определение нежелательного (неблагоприятного) события является политическим или нормативным решением, что дополнительно усложняет применение традиционных инструментов анализа рисков к экологическим системам. Значительная часть политических дискуссий, связанных с оценкой экологических рисков, посвящена точному определению того, что представляет собой неблагоприятное событие.
Биоразнообразие
Оценка рисков для биоразнообразия позволяет оценить риски для биологического разнообразия, в особенности риск исчезновения видов или коллапса экосистем. Объектами оценки выступают биологические единицы (виды, подвиды или популяции) или экологические единицы (среды обитания, экосистемы и т.д.), а риски часто связаны с антропогенным воздействием и вмешательством (угрозами и факторами давления). Региональные и национальные протоколы были предложены различными научными и государственными учреждениями и рабочими группами, однако глобальные стандарты, такие как Красный список видов, находящихся под угрозой исчезновения, и Красный список экосистем МСОП, получили широкое распространение и признаны или предложены в качестве официальных индикаторов прогресса в достижении международных политических целей и задач, таких как цели Айчи и Цели устойчивого развития.
Закон
Оценки риска используются на многочисленных этапах судебного процесса и разрабатываются для измерения широкого спектра факторов, таких как уровень рецидива, потенциальные проблемы до судебного разбирательства, условно-досрочное освобождение и выявление возможных вмешательств для подсудимых. Клинические психологи, судебно-психологические эксперты и другие специалисты несут ответственность за проведение оценок риска. В зависимости от используемого инструмента оценки риска, специалисты должны собирать разнообразную информацию о подсудимом или оцениваемом лице. Эта информация включает в себя его предыдущую судимость (если таковая имеется) и другие данные (например, демографические сведения, образование, трудовой статус, медицинская история), которые можно получить посредством непосредственного опроса подсудимого или из архивных записей. Оценка риска предсказывает неявку в суд, вероятность нового уголовного ареста во время предварительного освобождения и вероятность нового ареста за насильственное преступление во время предварительного освобождения. Наблюдается и учитывается множество факторов, в зависимости от того, на каком аспекте оценки рисков делается акцент, и, как и в случае с другими актуарными оценками риска, каждому фактору присваивается определенный вес для получения итогового балла. Для подсудимых, находящихся в заключении, оценки риска используются для определения вероятности рецидива и определения длительности приговора. Оценки риска также помогают сотрудникам службы пробации и условно-досрочного освобождения определить необходимый уровень контроля за проходящим испытательный срок и какие меры могут быть приняты для улучшения профиля риска правонарушителя. Система профилирования управления исправительными учреждениями для альтернативных санкций (COMPAS) – это инструмент оценки риска, предназначенный для измерения риска досудебного освобождения, общего риска рецидива и риска насильственного рецидива. Подробная информация о методах оценки и алгоритмах COMPAS не является общедоступной.