Источник риска представляет собой внешние или внутренние факторы, которые могут привести к наступлению нежелательного события. К источникам риска относятся действия злоумышленников, изменения рыночной ситуации, природные катаклизмы, действия конкурентов и другие независящие от организации обстоятельства. Эти факторы часто называют угрозами. Источник риска может привести к событию только при наличии уязвимостей в системе. Таким образом, угроза выступает как потенциальный стимул для возникновения рисковой ситуации, но ее реализация зависит от уровня защищенности организации от данной угрозы.

Основная разница заключается в том, что товар - это физический объект, который передается покупателю, и после покупки покупатель несет все затраты и риски, связанные с его использованием. Услуга же предполагает, что клиент не только получает некую ценность, но и перекладывает определенные затраты и риски на поставщика. При покупке услуги клиент получает доступ к ресурсу или сервисной операции, а не просто физический продукт. Например, при покупке шоколадки как товара клиент несет все риски и затраты по ее хранению, транспортировке и использованию, а при покупке шоколадки как услуги (Choco-as-a-Service) клиент перекладывает риски и затраты по доставке или обеспечению постоянного наличия шоколадки на поставщика.

Для перехода к более частым релизам необходимы следующие технические улучшения: внедрение полной автоматизации процесса сборки и развёртывания; создание достаточного количества тестовых сред для параллельной работы; увеличение покрытия кода автоматическими тестами (юнит-тесты, интеграционные тесты, end-to-end тесты); внедрение практик непрерывной интеграции для немедленного обнаружения проблем; применение принципов разработки с малыми циклами изменений (small batches); создание системы мониторинга и обратной связи для быстрой реакции на проблемы; оптимизация процесса выделения ИТ-ресурсов под различные задачи; реализация стратегии feature toggles для безопасного включения новых функций. Эти изменения позволяют минимизировать риски и увеличить надёжность процесса доставки.

Влияние неопределенности на цели — это способ описания риска как отклонения от ожидаемых или планируемых результатов из-за недостатка информации о возможных событиях или их последствиях. Неопределенность создает условия, при которых сложно предсказать, произойдет ли событие, с какой вероятностью и каковы будут его последствия. Это влияние выражается через конкретные события и их последствия, которые могут негативно затрагивать ключевые цели организации, такие как финансовые показатели, операционная эффективность, репутация или соблюдение регуляторных требований.

Системы автоматизации, такие как инструменты ITIL или enterprise-решения (ServiceNow, Jira), поддерживают PIR через автоматическое сбор данных о выполнении изменений, мониторинг KPI, генерацию отчетов и напоминания об этапах. Они интегрируются с другими системами (например, системы управления проектами), чтобы отслеживать соблюдение сроков, бюджета и качества. Также системы обеспечивают анализ тенденций на основе исторических данных, что помогает прогнозировать риски и оптимизировать процессы.

Проблемы и риски имеют ключевые отличия: проблемы - это уже возникшие ситуации, которые оказывают негативное влияние (их вероятность составляет 100%), в то время как риски - это потенциальные события, которые могут произойти в будущем (их вероятность ниже 100%). Проблемы можно рассматривать как реализовавшиеся риски, которые не были предотвращены. Проактивное управление проблемами, включающее идентификацию известных ошибок до начала эксплуатации услуги, похоже на управление рисками, так как направлено на предотвращение возможных инцидентов. Таким образом, управление проблемами содержит элементы управления рисками, особенно в его проактивной части.

Неопределенность, как компонент риска, представляет собой состояние недостатка информации о событии, его вероятности или потенциальных последствиях. Высокий уровень неопределенности затрудняет процесс управления рисками, так как мешает точно оценить вероятность наступления нежелательных событий и их потенциальное воздействие на цели организации. Для снижения неопределенности применяются методы прогнозирования, анализ сценариев, мониторинг внешней среды и сбор дополнительной информации. Чем лучше организация может минимизировать неопределенность, тем эффективнее она может разрабатывать меры по предотвращению или снижению рисков.

Системный подход к управлению рисками в ИТ-организации предполагает комплексную идентификацию, анализ рисков и принятие решений о контрмерах на уровне всей организации, а не изолированно в отдельных процессах. Такой подход учитывает, что оценки одного и того же риска могут сильно разниться в зависимости от того, кто его оценивает и какой информацией обладает. Системный подход требует приведения оценок экспертов из разных областей к общему знаменателю и создания единого центра накопления и поддержания информации о рисках. В идеале должна быть создана централизованная функция, которая администрирует информацию о рисках, включая показатели вероятности и ущерба, и предоставляет ее всем заинтересованным сторонам для принятия управленческих решений, обеспечивая тем самым более целостное и эффективное управление.

Уровень автоматизации напрямую определяет частоту успешных релизов в ИТ-командах. Высокая степень автоматизации процессов сборки, тестирования и развёртывания снижает вероятность человеческих ошибок, ускоряет выполнение рутинных операций и позволяет чаще проводить проверки качества. Автоматизация тестирования обеспечивает быстрое получение обратной связи о работоспособности изменений, что критически важно для частых релизов. Автоматизированные процессы развёртывания позволяют быстро и предсказуемо доставлять изменения в production, минимизируя время простоя. Команды с высоким уровнем автоматизации могут безопасно увеличивать частоту релизов, тогда как команды с низким уровнем автоматизации вынуждены редко выпускать большие пакеты изменений, что увеличивает риски и снижает общую эффективность.

Реализовавшийся риск - это уже наступившее (не потенциальное) негативное событие, которое наносит вред, приводит к потерям и затрудняет достижение целей. Хотя в ITIL4 нет точной формулировки «реализовавшийся риск», это понятие выводится из определения риска как потенциальной причины негативного воздействия.