risk

Риск в ITSM — это выражение неопределённости, которая может повлиять на способность организации создавать ценность через услуги и достигать согласованных целей. В практическом применении риск рассматривают при проектировании и изменении услуг, выборе архитектуры и технологий, управлении поставщиками, обеспечении доступности и непрерывности, а также при планировании развёртывания и релизов. Управление рисками помогает принимать обоснованные решения о том, какие меры контроля и какие инвестиции оправданы: что лучше предотвратить, что — обнаруживать через мониторинг, а что — принимать как остаточный риск. Риск может быть связан с событиями как в рабочей среде, так и вне её: отказ компонента ИТ-инфраструктуры, ошибка в релизе, несоответствие требованиям, утечка данных, потеря ключевого ресурса, изменения спроса или зависимость от третьей стороны. При этом термин охватывает и позитивную неопределённость: например, вероятность более быстрого достижения результата благодаря новой практике или технологии. Вне области этого понятия находятся сами последствия и фактически произошедшие нарушения: инцидент, сбой или катастрофа — это уже реализованный риск, требующий оперативных действий и восстановления, а не оценивания вероятности.

Риск часто неверно сводят только к угрозам и отрицательным сценариям. В ITIL риск также включает неопределённость, ведущую к положительным результатам, поэтому при оценке риска важно не потерять возможности, особенно в цифровой трансформации и при внедрении DevOps. Другая частая ошибка — путать риск с проблемой или известной ошибкой. Проблема — это причина или потенциальная причина одного или нескольких инцидентов, а риск — более широкое понятие: он может относиться к изменениям, поставщикам, соответствию требованиям, мощности и производительности и даже к организационным факторам, не обязательно уже проявившимся как инцидент. Ещё одно заблуждение — считать, что достаточно разово выполнить оценку риска перед RFC и на этом завершить работу. На практике риски пересматриваются на протяжении жизненного цикла услуги и изменения, поскольку меняются контекст, спрос, конфигурация и рабочая среда. Наконец, риск не равен «нулевой терпимости»: стремление исключить все риски обычно ведёт к избыточному контролю, росту затрат и снижению скорости организации; цель управления рисками — осознанный баланс ценности, затрат и приемлемого уровня услуги.