گواهینامه ایزو 31010 چیست؟ راهنمای IEC 31010:2019 و ارزیابی ریسک
عبارت «گواهینامه ایزو 31010» در جستجوهای کاربران رایج است، اما نام رسمی این استاندارد IEC 31010:2019 است و موضوع آن انتخاب و به‌کارگیری تکنیک‌های ارزیابی ریسک است. این استاندارد در کنار ISO 31000 به سازمان‌ها کمک می‌کند ریسک‌ها را شناسایی، تحلیل و ارزیابی کنند و در شرایط عدم قطعیت تصمیم‌های ساختارمندتری بگیرند.
IEC 31010:2019 یک استاندارد راهنما برای تکنیک‌های ارزیابی ریسک است و به‌عنوان یک استاندارد مستقل برای Certification طراحی نشده است. بنابراین هنگام مواجهه با عبارت‌هایی مانند «اخذ گواهینامه ISO 31010» باید بین پیاده‌سازی و استفاده از الزامات و تکنیک‌های استاندارد و صدور گواهینامه قابل اعتبارسنجی تفاوت قائل شد.
ISO 31010: افزایش مدیریت ریسک از طریق تکنیک های استاندارد
IEC 31010:2019 چیست و چه کاربردی در ارزیابی ریسک دارد؟
IEC 31010:2019 یک استاندارد بین‌المللی در حوزه مدیریت ریسک است که راهنمایی‌هایی برای انتخاب و به‌کارگیری تکنیک‌های ارزیابی ریسک ارائه می‌دهد. این تکنیک‌ها به سازمان کمک می‌کنند در شرایط عدم قطعیت، ریسک‌ها را بهتر شناسایی و تحلیل کرده و اطلاعات مناسب‌تری برای تصمیم‌گیری در اختیار داشته باشد.
IEC 31010 در خانواده استانداردهای مدیریت ریسک و در ارتباط با ISO 31000:2018 استفاده می‌شود. ISO 31000 چارچوب و اصول کلی مدیریت ریسک را ارائه می‌کند، در حالی که IEC 31010 تمرکز بیشتری بر روش‌ها و تکنیک‌های عملی ارزیابی ریسک دارد.
این استاندارد مجموعه‌ای از تکنیک‌های مختلف ارزیابی ریسک را معرفی می‌کند و درباره کاربرد، ورودی‌ها، خروجی‌ها، نقاط قوت و محدودیت‌های هر روش اطلاعات ارائه می‌دهد. انتخاب تکنیک مناسب به نوع ریسک، هدف ارزیابی، اطلاعات موجود و شرایط سازمان بستگی دارد.
IEC 31010:2019 برای صدور گواهینامه مستقل طراحی نشده است. بنابراین استفاده از اصطلاح «گواهینامه ISO 31010» باید با احتیاط انجام شود و بهتر است منظور از آن، استفاده یا پیاده‌سازی تکنیک‌های این استاندارد در نظام مدیریت ریسک سازمان باشد، نه دریافت یک Certification مستقل.
تاریخچه و توسعه
نخستین نسخه این استاندارد با عنوان IEC 31010:2009 در سال 2009 منتشر شد و به‌عنوان یک استاندارد پشتیبان برای ISO 31000، راهنمای انتخاب و به‌کارگیری تکنیک‌های ارزیابی ریسک را ارائه می‌کرد.
در سال 2019، نسخه دوم با عنوان IEC 31010:2019 منتشر شد و نسخه 2009 را جایگزین کرد. این نسخه یک بازنگری فنی محسوب می‌شود و دامنه و تعداد تکنیک‌های ارزیابی ریسک را گسترش داده است.
IEC 31010:2019 به‌صورت یک استاندارد مشترک IEC و ISO منتشر شده است، اما مرجع رسمی آن IEC 31010:2019 است. این استاندارد همچنان بر انتخاب و کاربرد روش‌های ارزیابی ریسک در شرایط مختلف تمرکز دارد و برای صدور گواهینامه مستقل طراحی نشده است.
تغییرات قابل توجه در نسخه دوم
نسخه دوم IEC 31010:2019 نسبت به نسخه 2009 یک بازنگری فنی محسوب می‌شود و چند تغییر مهم دارد.
توضیح بیشتر درباره نحوه استفاده از تکنیک‌ها:
در نسخه 2019 جزئیات بیشتری درباره برنامه‌ریزی، اجرا، بررسی و اعتبارسنجی استفاده از تکنیک‌های ارزیابی ریسک ارائه شده است.
افزایش تعداد و دامنه کاربرد تکنیک‌ها:
تعداد تکنیک‌های معرفی‌شده و حوزه‌هایی که می‌توان از آن‌ها برای ارزیابی ریسک استفاده کرد گسترش یافته است.
حذف تکرار مفاهیم ISO 31000:
مفاهیمی که در ISO 31000 توضیح داده شده‌اند دیگر در IEC 31010 تکرار نمی‌شوند. در نتیجه IEC 31010 تمرکز بیشتری بر انتخاب و کاربرد عملی تکنیک‌های ارزیابی ریسک دارد.
این تغییرات باعث شده نسخه 2019 نسبت به نسخه قبلی راهنمای دقیق‌تری برای انتخاب و استفاده از روش‌های ارزیابی ریسک در موقعیت‌های مختلف ارائه دهد.
کاربرد IEC 31010:2019 در انتخاب تکنیک‌های ارزیابی ریسک
IEC 31010:2019 به سازمان‌ها کمک می‌کند از میان روش‌های مختلف ارزیابی ریسک، تکنیکی متناسب با هدف ارزیابی، نوع ریسک، اطلاعات در دسترس و شرایط تصمیم‌گیری انتخاب کنند. این استاندارد یک روش واحد را برای همه سازمان‌ها تجویز نمی‌کند و انتخاب تکنیک مناسب باید بر اساس شرایط واقعی هر ارزیابی انجام شود.
تکنیک‌های معرفی‌شده در IEC 31010 می‌توانند برای شناسایی منابع و علل ریسک، تحلیل پیامدها و احتمال وقوع، مقایسه گزینه‌ها و پشتیبانی از تصمیم‌گیری در شرایط عدم قطعیت استفاده شوند. استاندارد همچنین درباره کاربرد، ورودی‌ها، خروجی‌ها، نقاط قوت و محدودیت‌های تکنیک‌های مختلف اطلاعات ارائه می‌دهد.
برای مثال، بسته به موضوع ارزیابی ممکن است از روش‌هایی مانند تحلیل سناریو، درخت خطا، FMEA، تحلیل Bow-Tie یا تکنیک‌های تصمیم‌گیری استفاده شود. انتخاب روش مناسب به این بستگی دارد که سازمان دقیقاً چه نوع ریسکی را بررسی می‌کند و چه اطلاعاتی از ارزیابی انتظار دارد.
استفاده از IEC 31010 می‌تواند بخشی از فرآیند مدیریت ریسک مبتنی بر ISO 31000 باشد، اما IEC 31010 به‌خودی‌خود یک استاندارد Certification نیست و گواهینامه مستقلی بر مبنای آن تعریف نشده است.
نقش مدیریت ریسک
مدیریت ریسک یک فرآیند ساختارمند برای شناسایی، تحلیل، ارزیابی و رسیدگی به ریسک‌هایی است که می‌توانند بر اهداف سازمان اثر بگذارند. ISO 31000:2018 اصول و چارچوب کلی مدیریت ریسک را ارائه می‌کند و به سازمان کمک می‌کند مدیریت ریسک را در تصمیم‌گیری‌ها و فرآیندهای خود ادغام کند.
در این ساختار، IEC 31010:2019 نقش پشتیبان دارد و مجموعه‌ای از تکنیک‌های ارزیابی ریسک را برای شناخت بهتر منابع ریسک، علل، پیامدها، احتمال وقوع و عدم قطعیت ارائه می‌دهد. اطلاعات حاصل از این ارزیابی‌ها می‌تواند به سازمان در مقایسه گزینه‌ها، اولویت‌بندی اقدامات و انتخاب روش مناسب برای مواجهه با ریسک کمک کند.
بنابراین ISO 31000 بیشتر بر اصول و فرآیند کلی مدیریت ریسک تمرکز دارد، در حالی که IEC 31010 ابزارها و تکنیک‌های عملی موردنیاز برای بخش ارزیابی ریسک را تشریح می‌کند.
کاربرد ارزیابی ریسک در پروژه‌های پیمانکاری
پروژه‌های پیمانکاری معمولاً با مجموعه‌ای از ریسک‌های فنی، اجرایی، قراردادی، مالی، ایمنی، زیست‌محیطی و زنجیره تأمین مواجه هستند. شناسایی و ارزیابی این ریسک‌ها پیش از تصمیم‌های مهم می‌تواند به مدیران پروژه کمک کند پیامدهای احتمالی، اولویت‌ها و گزینه‌های مواجهه با ریسک را بهتر بررسی کنند.
IEC 31010:2019 می‌تواند برای انتخاب تکنیک مناسب ارزیابی ریسک در چنین پروژه‌هایی مورد استفاده قرار گیرد. نوع تکنیک باید بر اساس ماهیت ریسک، اطلاعات موجود، مرحله پروژه و هدف ارزیابی انتخاب شود؛ بنابراین یک روش واحد برای همه پروژه‌ها مناسب نیست.
استفاده صحیح از تکنیک‌های ارزیابی ریسک می‌تواند در برنامه‌ریزی پروژه، بررسی تغییرات، ارزیابی ریسک‌های ایمنی و عملیاتی، انتخاب تأمین‌کنندگان و تصمیم‌گیری درباره گزینه‌های مختلف مفید باشد. با این حال، IEC 31010 جایگزین الزامات قراردادی، قانونی یا تخصصی هر پروژه نیست و باید در کنار سایر الزامات مرتبط استفاده شود.
IEC 31010:2019 و انتخاب روش مناسب ارزیابی ریسک
IEC 31010:2019 مجموعه‌ای از تکنیک‌های ارزیابی ریسک را معرفی می‌کند تا سازمان بتواند متناسب با هدف ارزیابی، نوع ریسک، سطح عدم قطعیت و اطلاعات در دسترس، روش مناسب را انتخاب کند. این استاندارد یک تکنیک مشخص را به‌عنوان بهترین روش برای همه شرایط معرفی نمی‌کند.
در پیوست استاندارد، طیف گسترده‌ای از تکنیک‌ها برای کاربردهای مختلف معرفی شده و برای هر تکنیک اطلاعاتی درباره کاربرد، ورودی‌ها، خروجی‌ها، نقاط قوت و محدودیت‌ها ارائه می‌شود. این ساختار به ارزیاب کمک می‌کند روش انتخاب‌شده را با هدف و شرایط واقعی ارزیابی تطبیق دهد.
انتخاب تکنیک مناسب باید بر اساس عواملی مانند ماهیت تصمیم، پیچیدگی مسئله، کیفیت داده‌های موجود، منابع و زمان در دسترس و میزان جزئیات موردنیاز انجام شود. در برخی موارد نیز استفاده از ترکیبی از چند تکنیک می‌تواند تصویر کامل‌تری از ریسک ارائه دهد.
بنابراین هدف IEC 31010 ارائه یک چارچوب عملی برای انتخاب و استفاده آگاهانه از تکنیک‌های ارزیابی ریسک است، نه معرفی یک روش واحد یا صدور گواهینامه مستقل.
اصول کلیدی به‌کارگیری IEC 31010:2019 در ارزیابی ریسک
IEC 31010:2019 راهنمایی عملی برای برنامه‌ریزی و اجرای ارزیابی ریسک و انتخاب تکنیک مناسب ارائه می‌دهد. این استاندارد به سازمان کمک می‌کند دامنه و هدف ارزیابی را مشخص کند، اطلاعات موردنیاز را جمع‌آوری کند، تکنیک مناسب را بر اساس شرایط انتخاب کند و نتایج ارزیابی را به شکلی قابل استفاده برای تصمیم‌گیری ارائه دهد.
به‌کارگیری IEC 31010 یک فرآیند ثابت و یکسان برای همه سازمان‌ها نیست؛ روش ارزیابی باید متناسب با نوع ریسک، هدف تصمیم‌گیری، کیفیت داده‌های موجود، منابع در دسترس و میزان عدم قطعیت انتخاب شود.
1. برنامه ریزی ارزیابی: درک چشم انداز ریسک
اولین رکن برای پیاده سازی الزامات استاندارد و اخذ گواهینامه ایزو 31010 حول محور برنامه ریزی ارزیابی می چرخد. این به عنوان راهنمای سازمان ها برای درک کامل زمینه ارزیابی ریسک عمل می کند. جنبه های کلیدی شامل تعریف اهداف ارزیابی ریسک، استفاده از بینش از منابع مختلف، به ویژه کارشناسان موضوع (SMEs)، و ایجاد اندازه گیری ریسک است.
معیارهایی برای طبقه بندی سطوح مختلف ریسک. این مرحله پایه و اساس یک فرآیند ارزیابی ریسک سیستماتیک و جامع را ایجاد می کند.
2. مدیریت اطلاعات: جمع آوری و اعتبارسنجی داده ها
مدیریت اطلاعات، بخش دوم راهنمای پیاده سازی و اخذ گواهینامه ایزو 31010، بر وظیفه حیاتی جمع آوری اطلاعات از منابع مختلف تمرکز دارد. برای اطمینان از صحت منابع، راهنمایی در مورد تشخیص مغایرت ها ارائه می دهد. مدیریت موثر اطلاعات برای ارزیابی دقیق ریسک ضروری است و این بخش به سازمان ها کمک می کند تا مهارت های خود را در مدیریت اطلاعات از کانال های مختلف تقویت کنند و از قابلیت اطمینان و اعتبار اطمینان حاصل کنند.
3. تکنیک های ارزیابی: مرور منابع ریسک
بخش سوم، تکنیک‌های ارزیابی، راهنمایی‌هایی را در مورد نحوه بکارگیری تکنیک‌های ریسک توصیه شده در چارچوب منابع ریسک شناسایی شده ارائه می‌دهد. این شامل ارزیابی اثربخشی کنترل‌های امنیتی موجود است. با ارائه یک رویکرد ساختاریافته برای ارزیابی ریسک‌ها، سازمان‌ها می‌توانند بینش‌های ارزشمندی در مورد آسیب‌پذیری‌های بالقوه به دست آورند و استراتژی‌های مؤثری برای کاهش آن‌ها طراحی کنند. این بخش بر کاربرد عملی تکنیک های ارزیابی ریسک در سناریوهای دنیای واقعی تاکید دارد.
4. تجزیه و تحلیل بازبینی: اعتبارسنجی نتایج در برابر مدل های تثبیت شده
تجزیه و تحلیل بازبینی، عنصر چهارم، شامل راهنمایی در مورد اعتبارسنجی نتایج ارزیابی ریسک در برابر مدل‌های ریسک تعیین‌شده است. این مرحله حیاتی دقت و قابلیت اطمینان نتایج ارزیابی را تضمین می کند. سازمان ها باید احتمال وقوع عدم قطعیت هایی را که می تواند نتایج را تحت تاثیر قرار دهد، درک کنند. با اعتبارسنجی نتایج از طریق تجزیه و تحلیل بازنگری کامل، سازمان ها می توانند اعتبار فرآیندهای مدیریت ریسک خود را افزایش دهند.
5. کاربرد نتایج: تاثیر بر تصمیم گیری
بخش پایانی، کاربرد نتایج، به چگونگی تأثیر ارزیابی ریسک بر تصمیم‌گیری می‌پردازد. این شامل ارزیابی نتایج بر اساس معیارهای از پیش تعریف شده است که سطوح ریسک قابل قبول را مشخص می کند. با درک پیامدهای ریسک های ارزیابی شده، سازمان ها می توانند تصمیمات آگاهانه ای اتخاذ کنند که با تحمل ریسک و اهداف کلی خود هماهنگ باشد. این مرحله با تاکید بر کاربرد عملی اطلاعات جمع آوری شده در هدایت انتخاب های استراتژیک، چرخه ارزیابی ریسک را تکمیل می کند.
ارتباط IEC 31010:2019 با ISO 31000:2018
ISO 31000:2018 اصول، چارچوب و فرآیند کلی مدیریت ریسک را ارائه می‌کند و به سازمان کمک می‌کند مدیریت ریسک را در تصمیم‌گیری، برنامه‌ریزی و فعالیت‌های خود ادغام کند. در مقابل، IEC 31010:2019 بر انتخاب و کاربرد تکنیک‌های ارزیابی ریسک تمرکز دارد.
تکنیک‌های IEC 31010 می‌توانند در بخش ارزیابی ریسک برای شناسایی، تحلیل و مقایسه ریسک‌ها و همچنین پشتیبانی از تصمیم‌گیری مورد استفاده قرار گیرند. بنابراین IEC 31010 را می‌توان یک استاندارد پشتیبان برای فرآیند مدیریت ریسک دانست، نه جایگزینی برای ISO 31000.
در عمل، سازمان می‌تواند چارچوب مدیریت ریسک خود را بر اساس ISO 31000 شکل دهد و سپس با توجه به نوع مسئله، داده‌های موجود و هدف ارزیابی، از تکنیک‌های مناسب IEC 31010 استفاده کند. هیچ‌یک از این دو استاندارد به‌عنوان استاندارد مستقل برای Certification سازمان طراحی نشده‌اند.
خلاصه مطلب
IEC 31010:2019 یک استاندارد بین‌المللی برای انتخاب و به‌کارگیری تکنیک‌های ارزیابی ریسک است. این استاندارد به سازمان‌ها کمک می‌کند متناسب با نوع ریسک، هدف ارزیابی، اطلاعات موجود و شرایط تصمیم‌گیری، روش مناسب را انتخاب کنند.
IEC 31010 در کنار ISO 31000:2018 قابل استفاده است. ISO 31000 اصول، چارچوب و فرآیند کلی مدیریت ریسک را ارائه می‌کند و IEC 31010 بر تکنیک‌هایی تمرکز دارد که برای شناسایی، تحلیل و ارزیابی ریسک و تصمیم‌گیری در شرایط عدم قطعیت کاربرد دارند.
انتخاب صحیح تکنیک ارزیابی ریسک می‌تواند در پروژه‌ها، فرآیندهای سازمانی، تصمیم‌های سرمایه‌گذاری، ارزیابی ایمنی، زنجیره تأمین و بسیاری از موقعیت‌های دیگر به تصمیم‌گیری ساختارمندتر کمک کند. با این حال، انتخاب روش باید بر اساس شرایط واقعی هر سازمان و هر ارزیابی انجام شود.
IEC 31010:2019 یک استاندارد مستقل برای Certification نیست. بنابراین اگر هدف سازمان شما بهبود فرآیند مدیریت و ارزیابی ریسک است، باید ابتدا نیاز واقعی سازمان، چارچوب مدیریت ریسک و تکنیک‌های مناسب ارزیابی مشخص شوند؛ نه اینکه صرفاً برای دریافت مدرکی با عنوان «گواهینامه ISO 31010» اقدام شود.
