"ГОСТ Р 58781-2019. Национальный стандарт Российской Федерации. Ракетно-космическая техника. Система менеджмента качества. Управление рисками при обеспечении качества изделий ракетно-космической техники"
(утв. и введен в действие Приказом Росстандарта от 25.12.2019 N 1473-ст)

1 РАЗРАБОТАН Федеральным государственным унитарным предприятием "Центральный научно-исследовательский институт машиностроения" (ФГУП ЦНИИмаш)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 321 "Ракетно-космическая техника"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 25 декабря 2019 г. N 1473-ст

4 ВВЕДЕН ВПЕРВЫЕ

Настоящий стандарт устанавливает основные принципы и элементы управления рисками в рамках системы менеджмента качества организаций, осуществляющих исследования, проектирование и разработку, опытную отработку, производство, поставку, монтаж и техническое сопровождение в эксплуатации изделий ракетно-космической техники и предоставляемых услуг (далее - продукция), а также рекомендации по их применению.

Настоящий стандарт предназначен для использования подразделениями организации в рамках управления рисками и обеспечения качества изделий ракетно-космической техники с целью снижения последствий отрицательного воздействия вероятных событий, которые могут явиться причиной изменения качества, затрат, сроков или ухудшения технических характеристик изделий, отвечающих требованиям заказчика (потребителя), а также при разработке и совершенствовании действующей системы менеджмента качества.

Положения, представленные в настоящем стандарте, являются дополнительными по отношению к требованиям к системам менеджмента качества по ГОСТ Р ИСО 9001, ГОСТ Р ЕН 9100 и к порядку организации и выполнения работ по созданию, производству и эксплуатации изделий ракетно-космической техники.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ 27.002 Надежность в технике. Термины и определения

ГОСТ 27.310 Надежность в технике. Анализ видов, последствий и критичности отказов. Основные положения

ГОСТ Р ИСО 9000 Системы менеджмента качества. Основные положения и словарь

ГОСТ Р ИСО 9001 Системы менеджмента качества. Требования

ГОСТ Р 51897 Менеджмент риска. Термины и определения

ГОСТ Р 51901.11 Менеджмент риска. Исследование опасности и работоспособности. Прикладное руководство

ГОСТ Р 51901.12 Менеджмент риска. Метод анализа видов и последствий отказов

ГОСТ Р 51901.14 Менеджмент риска. Структурная схема надежности и булевы методы

ГОСТ Р 51901.16 Менеджмент риска. Повышение надежности. Статистические критерии и методы оценки

ГОСТ Р 52806 Менеджмент рисков проектов. Общие положения

ГОСТ Р 56078 Системы менеджмента качества предприятий авиационно-космической промышленности. Руководство по менеджменту риска в цепи поставок

ГОСТ Р 58780 Ракетно-космическая техника. Программа обеспечения качества. Общие положения

ГОСТ Р ИСО 10005 <*> Менеджмент организации. Руководящие указания по планированию качества

--------------------------------

<*> С 01.10.2020 действует ГОСТ Р ИСО 10005-2019 "Менеджмент качества. Руководящие указания по планам качества".

ГОСТ Р ИСО 11231 Менеджмент риска. Вероятностная оценка риска на примере космических систем

ГОСТ Р ИСО 17666 Менеджмент риска. Космические системы

ГОСТ Р ИСО 31000 Менеджмент риска. Принципы и руководство

ГОСТ Р ИСО/МЭК 31010-2010 Менеджмент риска. Методы оценки риска

ГОСТ Р ЕН 9100 Системы менеджмента качества организаций авиационной, космической и оборонной отраслей промышленности. Требования

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте федерального органа исполнительной власти в сфере стандартизации в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

3.1 В настоящем стандарте применены термины по ГОСТ Р ИСО 9000, ГОСТ 27.002, а также следующие термины с соответствующими определениями:

3.1.1

3.1.2

Примечания:

1 Владелец риска отвечает за оценку, управление риском, мониторинг и оценку эффективности управления риском, а также за отчетность по полученным результатам.

2 Владелец риска назначается руководителем организации.

3.1.3

3.1.4 индекс риска: Обозначение, характеризующее значимость риска, которое является сочетанием вероятности возникновения и тяжести последствий опасного события (степень вероятности и тяжести последствий).

3.1.5 качественный анализ риска: Анализ риска без проведения количественной оценки риска.

3.1.6 классификация рисков: Распределение рисков на конкретные группы в соответствии с определенным признаком, положенным в основу классификации.

3.1.7

3.1.8 неустранимый риск: Риск, для которого попытки снижения риска невыполнимы, снижение риска невозможно проверить (верифицировать) или снижение риска экономически нецелесообразно.

3.1.9

3.1.10

3.1.11 оценивание риска: Процесс сравнения количественно оцененного риска с установленными критериями риска для определения значимости риска.

3.1.12 оценка риска: Общий процесс идентификации риска, анализа риска и оценивания риска.

3.1.13 план управления рисками: Документ, определяющий процедуры, используемые для управления рисками организации и распределения полномочий и ответственности за различные риски.

3.1.14 политика организации в области управления рисками: Документ, устанавливающий принципы организации в области управления рисками.

3.1.15 приемлемый уровень риска: уровень риска, при котором никаких дальнейших действий по управлению им не требуется.

3.1.16

3.1.17

3.1.18 программа обеспечения качества: Документ, устанавливающий комплекс взаимоувязанных и взаимодействующих организационных и технических мероприятий, методов, средств, правил, требований и норм, направленных на выполнение заданных технической документацией требований к качеству продукции (процессов).

3.1.19 процесс, переданный сторонним организациям: Процесс, выполнение которого передано сторонней организации (соисполнителю), который необходим организации для достижения, обеспечения, поддержания и повышения качества выпускаемой продукции (услуг) и находится под управлением ее системы менеджмента качества.

3.1.20 реализация риска: Наступление нежелательного (опасного) события.

3.1.21

3.1.22 снижение риска: Действия, предпринятые для уменьшения вероятности наступления опасных событий, негативных последствий или того и другого вместе, связанных с риском.

3.1.23

3.1.24 сценарий риска: Последовательность или комбинация событий от первоначальной причины до нежелательного последствия.

3.1.25 тренд риска: Направление изменения риска по всему жизненному циклу проекта.

3.1.26

3.1.27 устранимый риск: Риск, который может быть снижен до приемлемого уровня или исключен полностью.

В настоящем стандарте применены следующие сокращения:

АВПКО - анализ видов, последствий и критичности отказов;

ДС - документ по стандартизации;

ДСЕ - детали и сборочные единицы;

ЗИП - запасные части, инструменты, принадлежности и материалы;

КА - космический аппарат;

КД - конструкторская документация;

КИ - комплектующие изделия;

КПЭО - комплексная программа экспериментальной отработки;

КР - карта (карточка) разрешения на отступление от требований конструкторской документации;

НИР - научно-исследовательская работа;

ОКР - опытно-конструкторская работа;

ОЧ - отделяющиеся части;

ПД - программная документация;

ПЗ - представительство государственного заказчика (заказчика);

ПОБ - программа обеспечения безопасности;

ПОН - программа обеспечения надежности;

ПОК - программа обеспечения качества;

ППКН - программа повышения (поддержания) качества и надежности;

ПЭОТП - программа экспериментальной отработки технологических процессов;

РБ - разгонный блок;

РД - рабочая документация;

РКД - рабочая конструкторская документация;

РКН - ракета космического назначения;

РКТ - ракетно-космическая техника;

РН - ракета-носитель;

СМК - система менеджмента качества;

СЧ - составная часть;

ТД - технологическая документация;

ТЗ - техническое задание;

ТТЗ - тактико-техническое задание.

5.1.1 Внедрение процедуры управления рисками при обеспечении качества изделий РКТ на всех этапах жизненного цикла изделия (комплекса) (далее - управление рисками) осуществляется для достижения следующих целей:

- снижение последствий отрицательного воздействия вероятных событий, которые могут явиться причиной снижения качества, увеличения затрат, сроков или ухудшения технических характеристик изделий РКТ;

- обеспечение более достоверной идентификации источников опасных событий и угроз;

- исключение факторов неожиданности наступления событий, которые могут повлечь негативные последствия;

- превентивное устранение источников опасных событий;

- более эффективное распределение и использование ресурсов;

- улучшение управления инцидентами, снижение потерь и стоимости риска, включая коммерческие страховые взносы;

- повышение доверия причастных сторон;

- обеспечение соответствия требованиям заказчика, плановым, законодательным и нормативным требованиям;

- повышение результативности СМК организации;

- повышение безопасности для персонала организации.

5.1.2 Действия, предпринятые в отношении рисков, должны быть пропорциональны их потенциальному влиянию на соответствие продукции.

5.2.1 При управлении рисками необходимо руководствоваться принципами риск-менеджмента по ГОСТ Р ИСО 31000-2010 (раздел 3), а также следующими основными принципами реализации процедуры управления рисками:

- принцип осознанной необходимости в управлении рисками при обеспечении качества изделий РКТ;

- принцип нормирования риска (разработки критериев риска);

- принцип снижения уровня рисков;

- принцип документирования;

- принцип системности и непрерывности;

- принцип информирования;

- принцип соответствия уровня принимаемых рисков ресурсным возможностям организации.

Данный принцип основан на рассмотрении всей совокупности рисков как объективного и необходимого фактора функциональной деятельности организации с целью предотвращения или снижения до приемлемого уровня их негативных последствий в процессе обеспечения качества изделий РКТ. Необходимо в документах СМК установить четкое распределение ответственности и полномочий за осуществление управления рисками на всех уровнях управления - от высшего руководства до специалистов организации.

В основе практических мероприятий по управлению рисками лежит концепция приемлемого риска, которая состоит в стремлении к снижению риска до приемлемого для организации уровня. В качестве критериальных значений в процессе управления рисками используют их пороговые уровни, которые организация считает приемлемыми.

Приемлемый уровень риска определяется с учетом представлений о риске причастных сторон, требованиями нормативных правовых актов, ДС, а также (при наличии) требованиями заказчика, установленными в ТТЗ (ТЗ).

Данный принцип основан на проведении мероприятий по снижению уровня рисков путем их оценки и разработки действий, направленных на уменьшение вероятности опасных событий, их последствий или того и другого вместе.

В результате реализации мероприятий по управлению рисками некоторые конкретные риски могут быть исключены (ликвидированы), а некоторые снижены до приемлемого значения.

Деятельность по управлению рисками должна быть отражена в ДС организации, включая:

- установление политики и целей организации в области управления рисками (либо включение в политику и цели организации в области качества);

- разработку документированных процедур по управлению рисками в соответствии с настоящим стандартом;

- установление основных видов документированной информации, необходимых для управления рисками;

- обеспечение документирования мероприятий по управлению рисками, проводимых на всех этапах жизненного цикла изделия РКТ и функционирования СМК;

- отражение основных задач, обязанностей, ответственности и степени участия в мероприятиях по управлению рисками в положениях о структурных подразделениях и/или должностных инструкциях, и/или ДС организации.

Данный принцип основан на необходимости управления всеми идентифицированными рисками в отношении выделенных видов продукции и/или деятельности по обеспечению качества в процессе ее создания.

Для неблагоприятных событий оценивают вероятность их возникновения и тяжесть последствий.

Управление рисками является неотъемлемой частью деятельности по обеспечению качества изделий РКТ и должно непрерывно осуществляться в рамках существующих процессов СМК организации.

При управлении рисками необходимо установить требования по получению и анализу информации о рисках, способах обмена информацией и принятию решений об управлении рисками. Результаты оценки и снижения уровня рисков, а также значений остаточных рисков должны доводиться до всех причастных сторон.

Меры, принимаемые в отношении рисков, в т.ч. затраты, должны быть адекватны возможному влиянию этих рисков на обеспечение соответствия изделий РКТ установленным требованиям, а также финансовым возможностям организации. При этом следует учитывать следующее:

- ущерб от нежелательных (опасных) событий, как правило, влечет за собой незапланированные финансовые потери, которые должны анализироваться и учитываться как ожидаемый размер финансовых потерь при дальнейшем планировании затрат на качество;

- необходимо анализировать возможность кумулятивного появления нежелательных (опасных) событий, когда их появление может привести к появлению других нежелательных (опасных) событий, в связи с чем происходит непрерывное ухудшение ситуации. Необходимо рассмотреть все возможные варианты развития нежелательных (опасных) событий.

Ожидаемый размер финансовых потерь, соответствующий тому или иному уровню риска, должен соответствовать той доле средств организации, которая обеспечивает управление рисками, с целью обеспечения финансовой устойчивости и темпов экономического развития организации.

6.1.1 К основным элементам процедуры управления рисками при обеспечении качества на всех этапах создания изделий РКТ относятся следующие:

- обмен информацией и консультации;

- установление политики и целей в области управления рисками;

- установление области применения процедуры управления рисками;

- разработка критериев риска;

- оценка риска, включающая идентификацию, анализ и оценивание риска;

- обработка риска, включая принятие решений, разработка и выполнение мероприятий по обработке риска, анализ результатов;

- мониторинг и оценка эффективности управления рисками.

Схема процедуры управления рисками приведена в приложении А.

6.1.2 Процедура управления рисками осуществляется при выполнении контрактов (договоров) на создание изделий РКТ, управлении проектами, процессами производства или процессами СМК и должна гарантировать систематическую идентификацию рисков, их оценку и формирование мероприятий по управлению рисками. При этом возможно проводить анализ рисков как по каждому контракту (договору), проекту, так и по портфелю контрактов (договоров), проектов на уровне всей организации.

6.1.3 Результаты управления рисками должны учитываться в процессе выполнения контракта (договора), управления проектом, процессами СМК, включая процессы жизненного цикла продукции, и в решениях, связанных с данным контрактом (договором), проектом, процессом СМК.

6.1.4 Процедуру управления рисками при управлении проектом рекомендуется осуществлять по ГОСТ Р 52806.

6.2.1.1 Обмен информацией и консультации являются составляющей процедуры управления рисками при обеспечении качества изделий РКТ, направленной на обмен мнениями с причастными сторонами, как внутренними, так и внешними, с целью принятия обоснованных решений по управлению рисками на всех уровнях управления и этапах жизненного цикла изделий РКТ.

6.2.1.2 В ДС организации должны быть установлены и документально оформлены:

- виды и объем информации, необходимой для управления рисками;

- формы необходимых информационных документов;

- ответственность, порядок, периодичность, методы сбора, ведения, хранения и обработки всех видов информации;

- порядок доведения информации до высшего руководства организации и органов управления в СМК организации, а также до внешних причастных сторон (заказчик, потребитель, ПЗ и др.);

- порядок и условия предоставления данных об уровнях рисков при обеспечении качества изделий РКТ внутренним и внешним причастным сторонам;

- порядок контроля достоверности и своевременности предоставляемой информации.

6.2.1.3 Информационное обеспечение должно быть направлено на решение следующих основных задач по управлению всеми идентифицированными рисками:

- использование научно-технических достижений в отечественной и мировой практике по управлению рисками при создании, производстве и эксплуатации изделий РКТ;

- оценка и управление рисками в процессе обеспечения качества изделий РКТ;

- подтверждение достижения требуемого уровня качества изделий и результативного функционирования СМК, а также приемлемого уровня выявленных рисков;

- планирование разработки и корректировки действующих ДС и документов СМК по управлению рисками;

- постоянное совершенствование СМК, в т.ч. в части управления рисками;

- оценка рисков в отношении соисполнителей и поставщиков, связанных с выполнением установленных требований к выполняемым работам и поставляемым изделиям, сырью, материалам и др.

Оценку рисков в отношении соисполнителей и поставщиков рекомендуется осуществлять по ГОСТ Р 56078.

6.2.1.4 Для создания и функционирования в организации информационного обеспечения процедуры управления рисками при обеспечении качества изделий РКТ рекомендуется предусматривать:

- сбор, обработку, анализ, обобщение, представление (обмен) необходимой информации на всех этапах жизненного цикла изделий РКТ (данных о качестве разработки, отработки, техническом состоянии изделий, выявленных несоответствиях и эффективности проводимых мероприятий по их устранению);

- создание и ведение классификаторов видов и причин несоответствий изделий, ДСЕ, материалов, полуфабрикатов, КИ, документации, процессов и др., а также отступлений от требований КД, оформленных КР;

- определение исполнителей, подразделений и служб организации, их функциональных обязанностей, ответственных за своевременный сбор, анализ и распределение информации между потребителями;

- установление форм первичной регистрации данных о рисках для обеспечения качества - записи (журналы, карты и др.) и формы обобщения и анализа информации (отчеты, акты, перечни и др.);

- установление рациональных и стабильных информационных связей между источниками и потребителями информации;

- создание информационных массивов нормативно-справочных данных, правил по их хранению, использованию и внесению изменений;

- подготовку и представление руководству организации, органам управления, заказчику, ПЗ итоговых отчетных материалов (информационных данных) об оценках рисков и трендов рисков при обеспечении качества проводимых работ и создаваемых изделий, эффективности мероприятий по управлению рисками.

Проведение указанных работ необходимо осуществлять на основе действующих ДС, включая ДС организации.

При установлении политики, целей и области применения процедуры управления рисками определяют перспективные и текущие цели деятельности организации в области управления рисками при обеспечении качества изделий РКТ, включая внешнюю и внутреннюю среду организации. Политика в области управления рисками должна периодически, но не реже одного раза в год, анализироваться высшим руководством на постоянную пригодность и актуализироваться (при необходимости).

6.2.2.1 Руководством организации должна быть определена, документально оформлена, утверждена и доведена до всего персонала политика организации в области управления рисками на текущий период и на перспективу.

Политика в области управления рисками может разрабатываться как в виде отдельного документа, так и в составе политики в области качества.

Политика организации в области управления рисками должна содержать обязательства руководства по обеспечению процедуры управления рисками, с учетом всех направлений деятельности организации, и быть направлена на удовлетворение требований заказчика (потребителя) и улучшение экономических показателей организации.

В организации должны постоянно проводиться мероприятия, обеспечивающие понимание, поддержку и реализацию политики в области управления рисками всеми сотрудниками организации.

6.2.2.2 В организации должны быть определены цели в области управления рисками. Данные цели могут разрабатываться как отдельно, так и в составе целей организации в области качества. Возможный перечень целей в области управления рисками - по 5.1.1.

Цели в области управления рисками должны быть соизмеримы и согласованы с политикой организации в области управления рисками.

При установлении целей необходимо в т.ч. учитывать риски невыполнения требований заказчика (ТТЗ, ТЗ), плановых (программных) документов, требований ДС по обеспечению качества изделий РКТ и других требований.

При определении целей в области управления рисками необходимо учитывать, что процедура управления рисками должна быть реализована с учетом полного анализа потребностей организации в обеспечении ресурсами, сбалансированности затрат, в т.ч. на качество изделий РКТ.

Задачи, ставящиеся перед подразделениями и службами организации на конкретные плановые периоды, должны, при необходимости, своевременно уточняться и корректироваться руководством организации для выполнения принятой политики в области управления рисками.

6.2.2.3 Для эффективного управления рисками должна быть определена и документально установлена область и границы применения этого управления.

Установление области и границ применения процедуры управления рисками включает:

- установление внешней и внутренней областей применения процедуры управления рисками, всех причастных сторон;

- распределение ответственности за управление рисками, включая определение должностных лиц или подразделений организации, ответственных за организацию и координацию работ по управлению рисками, включая идентификацию, анализ рисков и разработку плана управления рисками, а также участвующих в управлении рисками при обеспечении качества изделий РКТ;

- определение изделия РКТ, контракта (договора), проекта или деятельности, процесса СМК, для которых будет применяться процедура управления рисками;

- определение вариантов принятия решений по управлению рисками;

- определение ограничений по времени, месту и ресурсам для деятельности организации;

- детализацию действий по управлению рисками при обеспечении качества изделий РКТ, которые должны быть выполнены, включая любые установленные ограничения и исключения.

6.2.2.4 При определении области применения процедуры управления рисками, для обеспечения эффективной идентификации опасных событий, учета различных мнений причастных сторон (экспертов) при проведении анализа и оценки рисков, а также для управления изменениями при обработке риска могут быть применены различные методы, в т.ч. экспертные. Методы управления рисками устанавливаются организацией с учетом ГОСТ Р ИСО/МЭК 31010 и других стандартов по менеджменту рисков.

6.2.2.5 Мнение причастных сторон о рисках могут оказать существенное влияние на принятие решения по управлению рисками, поэтому необходимо оформлять соответствующую документированную информацию, идентифицировать и учитывать ее в процессе принятия решения по управлению рисками.

6.2.2.6 Вовлечение причастных сторон в процедуру управления рисками позволяет закрепить риск за владельцами риска, а обязательства - за причастными сторонами. Порядок закрепления риска за владельцами риска устанавливается в ДС организации. Закрепление обязательств за причастными сторонами, если они являются сторонними организациями, отражается в контракте (договоре).

6.2.2.7 Установление внешней области применения процедуры управления рисками определяет взаимоотношения между организацией и ее внешней средой и может, например, включать:

- внешние причастные стороны (заказчики, потребители и др.);

- ключевых деловых партнеров (соисполнители, поставщики и др.);

- внешнюю среду, связанную с заказчиками, социальной сферой, законодательными и обязательными требованиями, культурой, конкуренцией, финансами и политикой;

- сильные и слабые стороны, возможности и угрозы для организации в области рисков.

Установление внешней области применения важно для учета интересов причастных сторон при разработке критериев риска, а также вероятных внешних угроз и возможностей организации по снижению степени их влияния.

6.2.2.8 Перед началом деятельности в области управления рисками на любом уровне необходимо провести анализ данных об организации, в т.ч. следующих:

- цели и задачи в области обеспечения качества изделий РКТ, а также стратегии, необходимые для их достижения;

- внутренние причастные стороны (организационная структура);

- возможности организации с точки зрения ресурсов (персонал, экспериментальная и производственная база, научно-технический задел, организационные и технологические процессы, финансы);

- виды деятельности, осуществляемые проекты и установленные для них цели и задачи;

- ограничения по времени, месту и ресурсам для деятельности по контракту (договору), проекту;

- распределение ответственности и полномочий различных структурных подразделений организации, участвующих в управлении рисками при обеспечении качества изделий РКТ.

При необходимости данный перечень может быть дополнен.

6.2.3.1 Выявленные и измеренные риски влекут различные негативные последствия, влияющие на достижение поставленных целей организации. В связи с этим следует провести ранжирование рисков по степени опасности. Для этого необходимо установить критерии риска, которые позволят разделить все идентифицированные в организации риски на группы по их значимости для организации. Критерии должны отражать установленные ранее цели и область применения процедуры управления рисками.

6.2.3.2 Установление критериев зависит от представлений о риске причастных сторон, экспертов, а также от соответствующих законодательных и/или обязательных требований, таких как требования ДС и требования, установленные заказчиком. При необходимости после выбора метода анализа конкретного риска критерии могут быть более детально уточнены и/или переработаны.

6.2.3.3 Риски можно оценивать по объективным либо субъективным критериям.

Примером объективного критерия является требование к вероятности выхода из строя какого-либо оборудования за определенный промежуток времени.

Примером субъективного критерия является оценка экспертом риска выхода из строя оборудования. Для этого обычно разрабатывается качественная шкала с несколькими градациями, например: минимальный, низкий, средний, высокий, максимальный уровни риска.

6.2.3.4 В качестве примера критерии риска в части вероятности реализации риска приведены в таблице 1. Критерии риска в части последствий реализации риска представлены в таблице 2.

6.2.4.1 При идентификации рисков необходимо составить перечень нежелательных (опасных) событий (рисков), которые могут повлиять на достижение каждой из установленных целей в области качества изделий РКТ. Перечень должен охватывать нежелательные (опасные) события, которые могут задержать выполнение целей, понизить степень достижения целей или сделать выполнение целей невозможным. Затем на основе перечня более подробно идентифицируют все нежелательные (опасные) события, которые могут произойти.

Форма составления перечня рисков приведена в приложении Б. Типовой перечень рисков при обеспечении качества РКТ приведен в приложении В.

6.2.4.2 При необходимости на основе использования результатов идентификации рисков может быть разработана классификация рисков.

В качестве признаков классификации могут использоваться следующие:

- причины появления нежелательных (опасных) событий;

- характер деятельности, с которой связаны соответствующие риски;

- степень ущерба;

- объекты, на которые направлены риски и др.

6.2.4.3 После идентификации возможных нежелательных (опасных) событий необходимо рассмотреть причины их возникновения и вероятные сценарии дальнейшего развития. Необходимо провести идентификацию сценария риска, которая предусматривает выполнение следующих действий:

- идентификация сценариев риска, включая причины и последствия;

- идентификация средств раннего предупреждения (обнаружения) появления нежелательных (опасных) событий для предупреждения распространения неблагоприятных последствий.

6.2.4.4 Методы, используемые для идентификации риска, включают в себя анализ документации, данных, проведение проверок (осмотров), экспертных оценок. Выбор используемого метода зависит от характера анализируемых действий, вида рисков, области применения, целей управления риском. Виды методов и порядок их применения устанавливают в ДС организации.

6.2.4.5 В процессе анализа документации и данных подлежат изучению следующие основные документы:

- отчеты службы качества организации о результативности СМК, ее соответствия установленным требованиям;

- документы системы планирования и реализации НИР и ОКР, производства и эксплуатации изделий РКТ, в т.ч. ПОН, ПОБ, ПОК, ППКН, КПЭО, ПЭОТП, планы подготовки производства, планы авторского надзора главного конструктора и др., данные об их выполнении;

- данные о качестве продукции, соответствии производственных процессов установленным требованиям;

- сведения об имевших место нештатных ситуациях, необходимых ресурсах на устранение нештатных ситуаций, последствиях реализации рисков и др.

6.2.4.6 При проведении проверки (осмотра) объекта риска исследуют различные внешние и внутренние аспекты и причины, влияющие на уровень риска. В частности, проверке могут подлежать:

- пространственное расположение производственных объектов;

- условия содержания производственных объектов, соблюдение техники безопасности и санитарных норм;

- связи между операциями;

- результаты контроля соблюдения требований ДС и др.

6.2.5.1 Задача анализа риска включает выполнение следующих действий:

- определение вероятности реализации каждого риска;

- определение тяжести последствий для каждого риска;

- использование доступных источников информации и применение пригодных методов для поддержки процесса оценки риска.

6.2.5.2 Анализ риска включает классификацию и исследование информации о риске по 6.2.4. Анализ риска обеспечивает входные данные для принятия решений относительно необходимости управления риском и состава мероприятий по управлению риском. Анализ риска включает в себя анализ источников нежелательных (опасных) событий, вероятности появления этих событий и их отрицательных последствий. При этом должны быть также идентифицированы факторы, влияющие на вероятность и последствия события. Риск должен быть проанализирован с учетом сочетания вероятности и последствий этого события. При этом должны быть учтены результаты применения существующих средств управления риском.

На предварительном этапе анализа риска аналогичные нежелательные (опасные) события, вызывающие схожие последствия, могут быть объединены, а риски, имеющие слабое влияние на достижение целей, исключены из детального исследования.

Должны быть идентифицированы существующие процессы, устройства или методы, которые направлены на минимизацию отрицательных или увеличение положительных последствий рассматриваемых событий. Необходимо оценить сильные и слабые стороны используемых способов и методов управления рисками, идентифицированными в организации.

6.2.5.3 Основными группами методов анализа рисков являются:

- статистические методы;

- теоретико-вероятностные (логико-вероятностные) методы;

- оценка последствий реализации риска (возможных ущербов);

- экспертные методы и др.

Выбор и применение методов оценки рисков - по ГОСТ Р ИСО/МЭК 31010.

6.2.5.4 В основе статистических методов лежит оценка вероятности наступления случайного события, исходя из относительной частоты появлений данного события в серии наблюдений (за период времени). Данные методы являются наиболее предпочтительными, поскольку они достаточно просты и базируются на фактических данных. Статистические критерии и методы оценки - по ГОСТ Р 51901.16.

Статистические методы не применимы там, где нет достаточного объема наблюдений.

6.2.5.5 В основе теоретико-вероятностных (логико-вероятностных) методов лежит построение математической модели изучаемого объекта, позволяющей проводить оценку риска. К таким методам относятся метод анализа дерева неисправностей, метод структурной схемы надежности и др. Данные методы достаточно трудоемки, но в ряде случаев являются единственным возможным научно обоснованным способом оценки, в соответствии с ГОСТ Р 51901.11, ГОСТ Р 51901.12, ГОСТ Р 51901.14 и др.

Методы вероятностной оценки рисков используют в соответствии с ГОСТ Р ИСО 11231.

6.2.5.6 В основе методов оценки последствий реализации риска (возможных ущербов) лежит построение аддитивной (совокупной) модели затрат на разработку, производство, испытания, эксплуатацию изделия РКТ, компенсацию ущерба третьим лицам, а также модели упущенной выгоды.

6.2.5.7 Экспертные методы используют в тех случаях, когда нет достаточного объема статистических данных, а также нет возможности построить математическую модель.

Для проведения экспертных оценок идентифицированных в организации рисков следует создавать экспертные группы, как правило, из числа сотрудников организации, которые хорошо информированы и компетентны в области качества изделий РКТ. При этом основными критериями подбора экспертов должны быть:

- образование (теоретическая подготовка);

- технологическая компетентность (опыт работы по соответствующему направлению деятельности);

- опыт работы в составе экспертных комиссий и групп;

- профессионализм и объективность;

- отсутствие личной заинтересованности в результатах экспертизы и искажении информации;

- наличие положительных рекомендаций и отзывов.

Средством сбора информации от экспертов могут быть опросные листы. Форма опросного листа по оценке рисков приведена в приложении Г. Форма, заполняемая при оценке основных показателей рисков при обеспечении качества изделий РКТ, приведена в приложении Д.

В процессе оценки и обработки рисков для каждого риска может составляться протокол оценки, в котором будет фиксироваться вся основная информация по данному риску - подразделение (процесс), к которому относится риск, описание риска, причина его возникновения, качественная и/или количественная оценка, мероприятия по устранению риска в краткой форме (исключение/снижение/передача с пояснением при необходимости). Форма протокола оценки риска приведена в приложении Е.

6.2.5.8 Вероятность события и величину его последствий необходимо оценивать с учетом результативности существующих стратегий и средств управления в области обеспечения качества РКТ. Сочетание вероятности появления и последствий событий позволяет определить уровень риска.

6.2.5.9 Анализ риска может быть проведен с различной степенью детализации в зависимости от особенностей риска, цели анализа, доступных данных и ресурсов. В зависимости от конкретных обстоятельств анализ риска может быть качественным, количественным или их комбинацией. На практике качественный анализ часто используют вначале для получения общей характеристики риска и определения основных проблем, связанных с риском. Далее целесообразно провести более детальный количественный анализ риска.

6.2.5.10 При выполнении качественного анализа для описания масштабов потенциальных опасных событий, вероятности появления и последствий этих событий может быть использовано словесное описание. Качественное описание масштаба потенциальных последствий должно быть адаптировано к конкретным условиям и разным видам рисков.

Качественный анализ может быть использован:

- при начальной деятельности по идентификации риска, для которого требуется более детальный анализ;

- в ситуации, когда этот вид анализа является наиболее подходящим для принятия решений;

- если доступные числовые данные или ресурсы не позволяют провести количественный анализ.

Качественный анализ следует проводить на основе фактической информации и данных.

6.2.5.11 При выполнении количественного анализа используют числовые значения для оценок вероятности появления и последствий события. Качество анализа зависит от точности и полноты полученных оценок. Используемые модели должны быть валидированы.

Последствия появления событий могут быть определены путем моделирования результатов событий или набора событий, или методами прогнозирования на основе экспериментальных исследований или данных предыдущих наблюдений. Последствия появления событий могут быть описаны с помощью финансовых, технических показателей или результатов воздействия события на человека. Во многих случаях для описания последствий появления событий в различные периоды времени в различных местах для разных групп людей или ситуаций требуется несколько числовых характеристик.

Способ представления вероятности появления и последствий событий, а также способы их объединения должны быть выбраны таким образом, чтобы обеспечить цели оценки риска и различимость исследуемых видов риска.

6.2.6.1 Для проведения оценивания риска и ранжирования риска по значимости необходимо результаты оценки (вероятность реализации и последствия негативного события) сравнить с заданными критериями риска.

Оценивание риска проводится следующим образом:

- определяется категория вероятности реализации риска;

- определяется категория последствий реализации риска.

В зависимости от степени опасности может быть выделено несколько категорий вероятности реализации и последствий риска (см. таблицы 1, 2).

6.2.6.2 Ранжирование рисков может осуществляться в соответствии с ГОСТ Р ИСО 17666, в т.ч. с использованием карты рисков, показанной на рисунке 1.

Карта рисков представляет собой графическое отображение результатов оценивания риска, представленное в двухмерной плоскости, измерениями которой являются категории вероятности и последствий реализации рисков.

При этом вероятность реализации риска увеличивается снизу вверх при продвижении по вертикальной оси, а последствия реализации риска увеличиваются слева направо по горизонтальной оси.

На карте рисков ранжирование риска по цвету ("красный", "желтый", "зеленый") использовано только для иллюстрации. На практике такое ранжирование проводится с учетом специфики и возможностей организации.

На карте рисков каждой ячейке соответствует определенная значимость риска (очень низкий, низкий, средний, высокий, очень высокий) и индекс риска (E1...E5, D1...D5, C1...C5, B1...B5, A1...A5).

Весь спектр значений риска разбивается на три области, которые по "принципу светофора" обозначают соответствующими цветами:

- красная - область недопустимого (чрезмерного) риска, требующая повышенного внимания и немедленных действий;

- желтая - область приемлемого риска, но требующая повышенного внимания;

- зеленая - область допустимого (пренебрежимого) риска, требующая контроля возможного повышения уровня рисков.

Применение карты рисков для ранжирования рисков осуществляется путем заполнения ячеек номерами риска (в соответствии с перечнем рисков).

Основная ценность карты риска состоит не в определении уровня вероятности или уровня последствия негативного события, а в относительном расположении одного риска относительно других рисков и в их расположении по отношению к границе приемлемости риска. На карте рисков видно, какие риски, лежащие в желто-красной зоне, необходимо перевести в зеленую зону.

Карта рисков позволяет определить, какие риски необходимо обработать в приоритетном порядке.

При некоторых обстоятельствах оценка риска может привести к решению о необходимости дальнейшего анализа риска.

Перечень рисков и составленная на его основе карта рисков являются основной информационной базой для принятия решений по обработке рисков.

6.2.7.1 Обработка риска включает:

- установление критериев принятия решений;

- выбор метода обработки риска (исключение риска, снижение риска, передача риска, принятие риска) на основе критериев принятия решений;

- идентификацию набора вариантов обработки риска, оценку этих вариантов для выбранного метода обработки риска;

- формирование (при необходимости) и выполнение плана управления рисками, анализ результатов.

6.2.7.2 Для определения решений, которые должны быть предприняты на основе полученных оценок рисков, устанавливаются критерии принятия решений. В основу критериев принятия решений положены принятые категории вероятности и последствий рисков и устанавливаемые на их основе пять диапазонов значимости риска: очень низкий, низкий, средний, высокий, очень высокий. Критерии принятия решений приведены в таблице 3.

Для рисков, отнесенных к категориям с низкой и очень низкой значимостью, дополнительно целесообразно осуществлять оценку вероятности и тяжести последствий совокупности этих рисков.

6.2.7.3 Методы обработки риска:

- исключение (уклонение от) риска;

- снижение (уменьшение) риска;

- передача (разделение) риска;

- принятие (сохранение) риска.

6.2.7.4 При методе исключения (уклонения от) риска принимается решение не начинать или не продолжать деятельность, которая приводит к возникновению подобного риска (если это возможно). Риск перестает существовать у данного субъекта.

6.2.7.5 Метод снижения (уменьшения) риска предполагает изменение вероятности наступления неблагоприятного события, изменение последствий от реализации события.

Изменение вероятности и последствий неблагоприятного события включает в себя предупреждающие мероприятия, выполняемые до возникновения события.

Изменение последствий также включает в себя мероприятия, выполняемые после реализации события. Процесс расследования происшествия при осуществлении космической деятельности определяется с учетом нормативных правовых актов Российской Федерации, нормативных и методических документов федеральных органов исполнительной власти и Госкорпорации "Роскосмос". По результатам расследования причин происшествия разрабатывают мероприятия по устранению выявленных причин происшествий, а также мероприятий по исключению и предупреждению повторения происшествия, совершенствованию СМК, ДС организации и др.

Риск продолжает существовать у данного субъекта (остаточный риск), но изменяется (уменьшается) его уровень. При этом остаточный риск может являться как устранимым риском, так и неустранимым. Если риск снижен до приемлемого уровня, он является устранимым риском. Если же попытки снижения риска невыполнимы или снижение риска невозможно проверить (верифицировать), риск является неустранимым и может быть принят либо передан (разделен).

6.2.7.6 При использовании метода передачи (разделения) риска риск продолжает существовать, но все или отдельные его элементы передаются другому лицу. Механизмы передачи (разделения) включают в себя использование контрактов (договоров) со сторонними организациями (передача процесса), страховых схем и организационных структур, таких как партнерство и совместные предприятия для распределения и, возможно, передачи ответственности и обязанностей.

Обычно существует некоторая финансовая стоимость разделения части риска с другой организацией, например премия, оплаченная за страхование. Если риски разделены полностью или частично, то организация, передающая риск, приобретает новый риск, связанный с недостаточно эффективным управлением переданным риском другой организации.

6.2.7.7 При применении метода принятия (сохранения) риска риск продолжает существовать и полностью остается у данного субъекта. После того как риск изменен или разделен, еще сохраняется остаточный риск. Риск может быть сохранен, если оцененные затраты на снижение риска превышают его последствия. Риск также может быть сохранен по умолчанию, например, в ситуации, когда существует отказ идентифицировать, соответствующим образом разделить или иначе провести обработку риска.

6.2.7.8 Выбор наиболее приемлемого варианта обработки риска включает в себя установление баланса между затратами на осуществление каждого варианта обработки риска и полученными при этом преимуществами. Необходимо рассматривать все прямые и косвенные затраты и преимущества, такие как материальные и нематериальные, измеряемые в денежных или других единицах измерения.

Многие варианты обработки риска могут быть рассмотрены и применены как отдельно, так и в сочетании с другими вариантами. Организация может принять и внедрить комбинации вариантов обработки риска.

При принятии решений должны быть учтены потребности в более тщательном анализе маловероятного, но значимого риска, обработка которого необходима, но не целесообразна из-за экономических соображений. При этом ответственность, возникающая на основе законодательных и социальных требований за наступление опасного события, должна быть приоритетной по отношению к экономической выгоде.

План управления рисками должен идентифицировать порядок осуществления каждого варианта обработки риска. Необходимо сравнить полные затраты в случае появления опасного события с затратами на обработку риска и предупреждающие действия.

Обработка риска может самостоятельно привести к новому риску, для которого должны быть выполнены идентификация, оценка, обработка и проведен его мониторинг.

Если после обработки существует остаточный риск, то должно быть принято решение о целесообразности сохранения этого риска или повторения процесса обработки риска.

6.2.7.9 Метод снижения (уменьшения) риска включает выполнение следующих действий:

- определение предупреждающих действий (мероприятий) для исключения и (или) минимизации негативного воздействия риска;

- установление критериев достижения/недостижения и верификации снижения риска;

- определение необходимых ресурсов для проведения мероприятий по снижению риска;

- верификация снижения риска;

- идентификация рисков, которые не могут быть снижены до приемлемого уровня, и представление их руководству для принятия управляющих решений;

- идентификация сниженных рисков, для которых невозможна верификация снижения риска;

- представление руководству отчетной документации по успешно сниженным видам риска и неудачному снижению риска в списке устранимого риска для дальнейших управляющих решений.

6.2.7.10 Метод передачи (разделения) риска включает выполнение следующих действий:

- определение перечня рисков, передаваемых полностью или частично внешним организациям по договору (привлечение внешних соисполнителей, субподрядчиков и др.);

- определение перечня рисков, передаваемых полностью или частично страховым организациям;

- заключение договоров с соисполнителями, субподрядчиками и др.;

- заключение договора страхования со страховой организацией.

Порядок действий организации по передаче рисков по договору осуществляется в соответствии с документированной процедурой по подготовке и оформлению договоров на передачу процесса.

Перечни рисков, передаваемых страховым организациям и по договору на передачу процесса, входят в общий список идентифицированных в организации рисков.

6.2.7.11 Метод принятия (сохранения) риска включает выполнение следующих действий:

- идентификация принимаемых рисков;

- представление руководству документации по принимаемым рискам;

- идентификация неустранимых рисков;

- разработка предложений по дальнейшим действиям в отношении неустранимых рисков.

6.2.7.12 С целью документального оформления выбранных вариантов обработки рисков рекомендуется разрабатывать план управления рисками с конкретными задачами для подразделений и служб организации.

План управления рисками может разрабатываться как в виде отдельного документа, так и в составе иного планового документа организации.

План управления рисками может включать в себя:

- перечни снижаемых, передаваемых, исключаемых и принятых рисков;

- перечень мероприятий (действий) по управлению данными рисками (снижаемыми, передаваемыми, исключаемыми);

- необходимые ресурсы для реализации мероприятий;

- распределение ответственности, обязанностей и полномочий при реализации мероприятий;

- сроки реализации мероприятий (действий) по управлению данными рисками (снижаемыми, передаваемыми, исключаемыми);

- сведения о договорах страхования, используемых покупных изделий, внешних субподрядчиках и др.;

- требования к отчетности (сведения о выполненных мероприятиях (действиях), остаточном риске, обмене информацией об остаточном риске и др.) и мониторинг результатов управления рисками и др.

План управления рисками может учитываться при разработке ПОК или входить в ее состав для снижения риска невыполнения требований к качеству в соответствии с ГОСТ Р ИСО 10005 и ГОСТ Р 58780.

Форма плана управления рисками устанавливается организацией.

Ответственными за реализацию плана управления рисками являются владельцы рисков.

6.2.7.13 Мероприятия по управлению рисками должны быть включены в процессы менеджмента организации и должны обсуждаться с соответствующими причастными сторонами. Выполнение мероприятий по управлению рисками необходимо контролировать, анализировать на предмет достаточности и результативности предпринятых действий и, при необходимости, своевременно вносить корректировки в состав мероприятий.

Примерами мероприятий по управлению рисками при обеспечении функционирования СМК могут быть:

- совершенствование процессов создания продукции, включая внедрение современных технологий проектирования и разработки;

- совершенствование процедур контроля изготовления и отработки изделий, принятия решений о переходе к следующему этапу работ;

- совершенствование процессов производства продукции, в т.ч. по совершенствованию технологических процессов, контролю технологической дисциплины, работе с особо ответственными технологическими процессами и операциями, анализу карточек разрешения и др.;

- совершенствование процессов СМК, оказывающих влияние на конкретный риск;

- реализация мероприятий по результатам анализа видов, последствий и критичности отказов;

- систематическое обучение и переподготовка персонала;

- материально-техническое перевооружение организации, включая закупку (модернизацию) оборудования;

- актуализация требований к поставщикам, устанавливаемых в контракте (договоре);

- проведение дополнительной оценки и аудитов поставщиков и соисполнителей;

- совершенствование процесса контроля за ходом выполнения контрактов (договоров) с заказчиками;

- мероприятия, направленные на обеспечение финансовой стабильности организации, включая страхование и передачу рисков и др.

6.2.8.1 Процедура управления рисками при обеспечении качества изделий РКТ должна отслеживаться и при необходимости корректироваться. Мониторинг может осуществляться непрерывно в процессе осуществления деятельности по управлению рисками или путем проведения периодических оценок. Этап мониторинга результатов процедуры управления рисками обеспечивает обратную связь в СМК организации.

6.2.8.2 Данные непрерывного мониторинга и оценки эффективности управления рисками используют для обеспечения постоянной актуализации плана управления рисками. Результаты мониторинга могут изменить факторы, воздействующие на вероятность и последствия события, а также факторы, воздействующие на пригодность (приемлемость) или стоимость вариантов обработки риска. Поэтому необходимо повторять цикл управления рисками через запланированные регулярные промежутки времени.

Задача мониторинга включает выполнение следующих действий:

- периодическая оценка всех идентифицированных в организации рисков и обновление результатов после каждого шага итерации процедуры управления рисками;

- идентификация изменений существующего перечня рисков и инициирование анализа новых рисков;

- верификация снижения рисков;

- графическое изображение (при необходимости) тренда риска на выбранном этапе жизненного цикла изделия РКТ или по всему жизненному циклу изделия РКТ.

Здесь под графическим изображением тренда риска понимается график изменения величины риска на выбранном этапе жизненного цикла изделия РКТ.

При оценке эффективности управления рисками сравнивают полученные результаты с затраченными ресурсами на управление рисками, в т.ч. на мероприятия по исключению и/или снижению риска.

Примечание - Для объектов наземной космической инфраструктуры управление рисками осуществляется на следующих этапах создания:

- техническое предложение (аванпроект);

- эскизный проект;

- разработка РКД;

- заводские испытания;

- автономные испытания;

- комплексные испытания;

- применение в летных испытаниях;

- прием в эксплуатацию.

Протокол оценки риска 

1 Идентификация риска

1.1 Подразделение ____________________________________________________

1.2 Процесс (подпроцесс, деятельность) __________________________________

1.3 Описание риска (происшествия, инцидента) ____________________________

1.4 Законодательный, нормативный и/или технический документ, требования которого под угрозой невыполнения ______________________________________

1.5 Причина возникновения риска ________________________________________

2 Качественная оценка риска

2.1 Последствие риска: незначительное/существенное/значительное/критическое/катастрофическое (нужное подчеркнуть)

2.2 Вероятность реализации риска: максимальная/высокая/средняя/низкая/минимальная (нужное подчеркнуть)

2.3 Ранжирование риска (присвоение риску степени значимости): очень низкий/низкий/средний/высокий/очень высокий (с учетом данных по 2.1, 2.2 и 6.2.6.2 настоящего стандарта)

3 Действия по риску (немедленные/планируемые/действия не требуются)

3.1 Мероприятия по устранению (исключение/снижение/передача) риска _______

______________________________________________________________________

Подписи участников оценки риска и владельца риска, если он не является владельцем процесса