ГОСТ Р 71440-2024 Информационные технологии (ИТ). Оценка процессов. Руководство по определению рисков в процессах

     4.3 Значимость результатов определения рисков в процессе

4.3.1 Влияние объема оценки и контекста процесса на результаты определения рисков

Недопустимые нарушения реализации процесса в сравнении с выбранным эталоном процесса (или системой-эталоном) для модели рассматриваемой системы или модели процесса могут служить причиной возникновения конкретных рисков в процессе. Для каждого типа риска определяют соответствующий объем оценки, включая определенный контекст процесса в рассматриваемой системе.

Если оценку проводят специально для определения рисков, связанных с процессом, или если результат оценки выбирают из набора имеющихся вариантов, изначальный объем оценки, включая контекст процесса, будет оказывать влияние на значимость результатов для рассматриваемой системы.

По результатам оценки определяют типы рисков, на которые следует обратить внимание в соответствии с конкретным требованием или категорией требований системной инженерии. В зависимости от выявленного типа риска следует определить соответствующий целевой объем оценки, который может послужить основой для определения профиля возможностей процесса для рассматриваемой системы. Пример классификации типов рисков, связанных с процессами, приведен в приложении А.

4.3.2 Категоризация рисков, связанных с процессом

Типы рисков определяют согласно целям определения рисков в процессах для рассматриваемой системы. Они связаны с применением процессов для выполнения конкретного требования или категории требований системной инженерии.

Для конкретного требования типы рисков, связанных с конкретным процессом, можно группировать в категории. Сделать это можно путем сопоставления выявленных основных причин высокого риска с недостатками выполняемого процесса для рассматриваемой системы (см. приложение А). При рассмотрении конкретного типа риска для рассматриваемой системы необходимо определить исходные цели и данные для оценки, профиля процесса и критерии для сбора информации.

4.3.3 Определение рекомендаций по рейтингу

Конкретные рекомендации по рейтингу, включая критерии сбора информации, могут быть разработаны заинтересованными сторонами для обеспечения понимаемости используемой логики рейтингования и улучшения сопоставимости результатов определения рисков в процессе (см. 6.5-6.7).