Риск потерь из-за отказов процессов, систем, людей или внешних событий — рамка, внутри которой живёт операционная надёжность.
Что это значит на практике
В финансовом контуре это не абстракция, а предмет отдельных требований регулятора: организация обязана управлять таким риском, а стандарты по операционной надёжности прямо ссылаются на эту связку. Практический смысл рамки в том, что надёжность перестаёт быть заботой одних инженеров: сбой считается риском организации со своей оценкой и своим владельцем.
Как это выглядит в жизни
Риск с владельцем
Зависимость расчётов от единственного канала связи с площадкой — операционный риск. У него есть оценка возможных потерь, владелец на стороне бизнеса и решение: принять, снизить или застраховать. Без этого разговор сводится к просьбе ИТ купить второй канал.
Риск, которого нет в реестре
Про хрупкое место знают все инженеры, но в реестре рисков его нет. Значит, для организации его не существует: денег на устранение не выделят, а после аварии выяснится, что «никто не предупреждал».
Как правильно и как не надо
Риск управляется
- Записан и оценён
- У риска есть владелец в бизнесе
- Решение принято осознанно
- Пересматривается регулярно
Риск живёт в головах
- Обсуждается на кухне
- Оценки нет
- Владелец — «ИТ вообще»
- Вспоминают после инцидента
Где встречается
Практики справочника, в разборах которых этот термин работает:
Своды знаний, в которых этот термин определён:
Откуда термин
ГОСТ Р 57580.3-2022, управление риском реализации информационных угроз. Формулировка на этой странице своя.