ШАГ 6. Измерение (количественная оценка) рисков

Выявленные на предыдущем этапе риски требуется количественно измерить, чтобы появилась возможность сравнить их между собой и оценить их приемлемость или опасность для организации. Основные сложности измерения рисков связаны с необходимостью оценки вероятности и последствий событий, которые еще не произошли. А в ряде случаев речь идет о явлениях, которых вообще никогда не происходили с данным объектом. При этом объем доступной информации для измерения чаще всего очень ограничен. Поэтому достаточно сложным является поиск подходящих методов расчетов и исходных данных, а также оценка надежности полученных результатов.

По итогам выполнения данного этапа для каждого идентифицированного риска определяются численные значения вероятности, последствий и иных показателей, характеризующих степень опасности.

Идентификация и измерение рисков (Шаги 5 и 6) в совокупности составляют "анализ риска". В процессе деятельности появляются новые данные, существующая информация пополняется и уточняется, поэтому процесс анализа - непрерывный. В результате создается информационная основа управления риском. Чем надежнее основа, тем более взвешенные и эффективные решения сможет принять руководство.

ШАГ 7. Определение критериев значимости рисков

Все выявленные и измеренные риски несут в себе разную угрозу для организации. В условиях ограниченных ресурсов важно грамотно распределить их. Поэтому необходимо провести ранжирование рисков по степени опасности и наибольшее внимание уделять самым критичным из них. Для этого следует установить некоторые критерии, которые позволят разделить все риски на группы по их значимости для организации. Эти критерии в значительной степени зависят от отношения руководства к риску, поэтому не всегда являются объективными.

ШАГ 8. Ранжирование рисков по значимости

Идентифицировав риски и применив к ним выбранные критерии, получают перечень рисков, сгруппированных по степени значимости. В нем, как правило, различают категории критических (неприемлемых), допустимых и пренебрежимо малых рисков. В результате, сразу становятся видны те из них, которые требуют особого внимания и те, обработку которых можно производить в зависимости от наличия возможностей и ресурсов.

Определение критериев и ранжирование вместе составляют так называемое "оценивание риска". Данное название нельзя назвать удачным с методической точки зрения, поскольку в процессе управления риском слишком часто приходится сталкиваться с терминами, образованными от слова "оценка". Тем не менее, данное понятие определено в ГОСТ Р 51897-2002, поэтому его употребление нормативно обосновано.

В свою очередь, в том же ГОСТе вводится также понятие "оценка риска", которая согласно данному стандарту объединяет этапы анализа и оценивания риска, охватывая тем самым всю область подготовительной работы перед началом выбора и реализации мер по обработке риска.