Реестр рисков есть, а ответа аудитору — нет
Ситуация, знакомая многим менеджерам по качеству: до сертификационного аудита месяц, в папке лежит «реестр рисков и возможностей» — таблица на сорок строк, скачанная когда-то из отраслевого шаблона. Аудитор открывает её и задаёт три простых вопроса: откуда взялась эта строка, что изменилось в ваших процессах из-за этого риска и когда таблицу пересматривали в последний раз. Если ответов нет, реестр не спасает: он показывает, что риски «оформили», а не то, что ими управляют.
Пункт 6.1 ГОСТ Р ИСО 9001-2015 — действующего российского текста стандарта ISO 9001, дальше просто «стандарт», — требует от организации не таблицу, а четыре действия: учесть факторы внешней и внутренней среды и требования заинтересованных сторон, определить риски и возможности, спланировать действия и встроить их в процессы системы менеджмента качества (СМК), а затем оценить результативность этих действий. Реестр при этом стандарт не требует вовсе — это один из разрешённых способов, и плохой реестр хуже его отсутствия.
Четырнадцать тем идут от текста нормы к практике. Сначала — что такое риск-ориентированное мышление и чем риск отличается от возможности, затем — сам пункт 6.1 с его четырьмя обязанностями. Дальше вход: откуда риски появляются и в каких пунктах стандарта они живут после определения. Отдельная часть — о том, чего стандарт не требует, и о судьбе предупреждающих действий. Затем методы из официального руководства по применению и рамка ISO 31000 — как добровольный выбор, а не обязанность. После этого — глазами аудитора: что он проверяет и какие находки самые частые. Две темы — про возможности как вторую половину пункта и про изменения: климатическую поправку 2024 года и новую редакцию стандарта. Финальная тема собирает рабочий цикл без «реестра для галочки».
Результат для слушателя: вы сможете читать пункт 6.1 как короткий список обязанностей, объяснить руководству, почему формальный реестр — не требование, выбрать метод выявления рисков под своё предприятие, собрать свидетельства для аудитора из живых документов процессов и подготовиться к вопросам про климатическую поправку и новую редакцию.
Уровень лекции — продвинутый. Предполагается, что устройство стандарта по разделам и процессный подход с циклом PDCA вам знакомы по соседним лекциям; здесь они не пересказываются, а пункт 4.4.1 появляется только как точка, где риски втыкаются в каждый процесс. Методику внутреннего аудита и оформление карточек несоответствий здесь тоже нет — это соседние темы.
Цитаты из норм даны дословно по действующему тексту ГОСТ Р ИСО 9001-2015. Руководство по применению стандарта названо правильным обозначением — ГОСТ Р 57189-2016/ISO/TS 9002:2016, дальше — «руководство 9002».
Числа из практики аудитов даны с рамкой: это разбор выборки одной консалтинговой компании, а не мировая статистика. Учебные примеры предприятий вымышлены и помечены как учебные.
Нажмите «Начать», чтобы перейти к первой теме.
Риск-мышление: привычка вместо отдельного раздела
Вы переходите дорогу. На тихом переулке вы просто посмотрели по сторонам и пошли. На оживлённой трассе в дождь — встали, дождались зелёного, проверили, что машины тормозят. Никто при этом не заполняет таблицу «рисков перехода», но оценка риска произошла — и зависела от обстановки: та же дорога днём и ночью оценивается по-разному.
Эту бытовую операцию — заметить неопределённость, прикинуть, чем она грозит, и подстроить действия — разработчики стандарта называют риск-ориентированным мышлением. В официальном пояснении подкомитета, написавшего стандарт, прямо сказано: это то, что все мы делаем автоматически, а успешные компании встраивают в работу интуитивно. Задача пункта 6.1 — сделать эту привычку систематической.
До редакции 2015 года стандарт выделял «предупреждающие действия» в отдельный раздел — с собственной процедурой и записями. В действующей редакции отдельного раздела нет, а его место заняла мысль, размазанная по всему тексту: вместо «заведите процедуру предупреждения» — «планируйте с учётом рисков». Разработчики объясняли это так: установить систематический подход к рассмотрению риска вместо того, чтобы трактовать «предотвращение» как отдельный компонент.
Появилось и опорное определение. Во введении стандарта (пункт 0.3.3) сказано: риск — это влияние неопределённости, и любая такая неопределённость может иметь положительные или отрицательные воздействия. Обратите внимание на вторую половину фразы: риск в стандарте — не только угроза. Положительное отклонение, вытекающее из риска, может создать возможность — но, как там же оговорено, не все положительные отклонения приводят к возможностям.
Фраза-резюме разработчиков: риск-мышление делает предотвращение привычкой. Оно не новое и непрерывное — его нельзя «внедрить в пятницу» одним документом, его можно только встроить в планирование процессов.
Дальше нужен аккаунт
Прогресс и монеты сохранятся.