risk management practice

Практика управления рисками — это дисциплина, которая помогает организации системно выявлять, оценивать, контролировать и отслеживать риски, влияющие на достижение целей, предоставление услуги и принятие решений. В ITSM она обеспечивает осознанный баланс между скоростью изменений, затратами, соответствием требованиям и ожидаемой ценностью для заказчика. На практике это означает установление единого подхода к тому, что считается риском, как выполняется оценка риска, кто принимает решения об обработке риска и как фиксируются принятые меры. Практика тесно связана с руководством, управлением изменениями, управлением информационной безопасностью, управлением непрерывностью услуг и управлением поставщиками: например, риск может быть связан с экстренным изменением, зависимостью от третьей стороны или недостаточной доступностью. Типичные применения включают анализ рисков при проектировании услуги, при планировании развёртывания и релиза, при выборе сорсинга, а также при рассмотрении исключений из стандартов и политик. Вне области этого термина находятся собственно выполнение технических мер защиты или восстановление после катастрофы как операционные действия; практика управления рисками задаёт, почему и в каком объёме эти действия нужны, но не заменяет соответствующие практики и команды.

Практику управления рисками часто ошибочно сводят к разовой оценке риска или к ведению «реестра рисков ради отчётности». В ITSM риск — это не только угрозы информационной безопасности; это любая неопределённость, которая может повлиять на ценность, результат, затраты, сроки или качество услуги. Другая типичная путаница возникает между риском и проблемой: проблема описывает причину одного или нескольких инцидентов, тогда как риск относится к потенциальному будущему влиянию и может существовать даже при отсутствии инцидентов. Также риск не равен «высокой вероятности»: даже маловероятные события с тяжёлыми последствиями требуют внимания, особенно в контексте устойчивости организации и требований гарантии. Нередко практика воспринимается как функция «торможения изменений», но её задача — сделать выбор осознанным: какие меры обработки риска применить, какие риски принять, а какие снизить или передать, например через условия договоров с поставщиком. Важно не подменять управление рисками управлением соответствием требованиям: соответствие требованиям — это выполнение обязательных стандартов, а управление рисками учитывает контекст и допускает обоснованные отклонения при наличии одобрения и контроля.