Управление рисками в испытательной лаборатории по ГОСТ ISO/IEC 17025: реестр рисков и матрица оценки

Требование управлять рисками — одно из ключевых нововведений ГОСТ ISO/IEC 17025-2019. На практике оно чаще всего превращается в формальный документ «для галочки», который эксперт при аккредитации быстро распознаёт. Разберём, что стандарт действительно требует, как построить рабочий реестр рисков, как оценивать риск по матрице и что отличает живую систему управления рисками от бумажной.

Что требует ГОСТ 17025 по управлению рисками

Управление рисками заложено в стандарт на нескольких уровнях: пункт 8.5 «Действия в отношении рисков и возможностей» обязывает лабораторию планировать такие действия и встраивать их в систему менеджмента, а раздел 4 требует выявлять и снижать риски для беспристрастности. При этом стандарт сознательно не предписывает конкретный метод оценки и не требует формального менеджмента риска — лаборатория выбирает подход сама, соразмерно своей деятельности. Общая логика опирается на требования ГОСТ ISO/IEC 17025 и принципы менеджмента риска (ГОСТ Р ИСО 31000).

Смысл требования простой: заранее увидеть, что может подорвать достоверность результатов или беспристрастность, и принять меры до того, как проблема случится.

Где искать риски: чек-лист по областям лаборатории

Чтобы реестр не свёлся к паре очевидных пунктов, риски ищут по всем направлениям работы:

• Беспристрастность — коммерческое или административное давление на результат, конфликт интересов;
• Персонал — недостаточная квалификация, подмена, зависимость от одного специалиста;
• Оборудование и прослеживаемость — отказ прибора, просроченная поверка/калибровка, потеря метрологической прослеживаемости;
• Методики — применение неаттестованной или устаревшей методики измерений, ошибки валидации;
• Помещения и условия — выход параметров среды (температура, влажность) за допустимые границы;
• Поставщики и внешние услуги — некачественные реактивы, стандартные образцы, субподряд;
• Отбор проб и обращение с объектами — нарушение отбора проб, порча или подмена образцов;
• Данные и ИТ — потеря или искажение данных, сбой ЛИМС;
• Достоверность результатов — систематический промах, дрейф, необнаруженная ошибка (снижается через внутрилабораторный контроль и межлабораторные сличения).

Как оценить риск: матрица «вероятность × последствия»

Каждый риск оценивают по двум шкалам. Вероятность (P): 1 — низкая, 2 — средняя, 3 — высокая. Последствия (S) для достоверности результата: 1 — незначительные, 2 — умеренные, 3 — критические. Уровень риска — произведение R = P × S:

Пороговые значения: 1–2 — низкий риск (принимаем и наблюдаем), 3–4 — средний (нужны меры снижения), 6–9 — высокий (меры обязательны и приоритетны). Шкалы можно расширить до 5×5, но для большинства лабораторий 3×3 достаточно и проще в сопровождении.

Реестр рисков: пример с остаточным риском

Главное, чего не хватает типовым шаблонам, — оценка остаточного риска после принятых мер. Именно она показывает, что меры действительно работают:

Обратите внимание: не каждый риск снижается до низкого — по достоверности результата остаётся средний уровень, за которым продолжают наблюдать. Такой честный реестр вызывает у эксперта больше доверия, чем «идеальный», где всё сведено к нулю.

Обработка рисков: четыре стратегии

Для каждого значимого риска выбирают способ обработки: снизить (уменьшить вероятность или последствия — самый частый вариант), избежать или устранить источник (отказаться от рискованной операции), передать (например, отдать работу на субподряд аккредитованной лаборатории) или принять (осознанно оставить низкий риск под наблюдением). Возможности обрабатывают зеркально — их не «снижают», а реализуют.

Периодичность пересмотра и роль руководства

Реестр рисков — не разовый документ. Его пересматривают планово (обычно не реже раза в год) и внепланово: при вводе новой методики или оборудования, изменении нормативных требований, после несоответствий, жалоб, отрицательных результатов МСИ или инцидентов с беспристрастностью. Итоги управления рисками — обязательный вход для анализа системы менеджмента со стороны руководства: именно руководство оценивает результативность мер и выделяет ресурсы. Управление рисками увязывают с общей системой менеджмента — см. документы СМК лаборатории.

Типичные ошибки

• реестр «для галочки», составленный один раз и не обновляемый;
• учтены только негативные риски, а возможности (п. 8.5 требует и их) забыты;
• риски не привязаны к конкретным мерам, срокам и ответственным;
• чужой шаблон без адаптации — риски, которых у лаборатории нет, и пропущенные реальные;
• нет оценки остаточного риска, поэтому непонятно, сработали ли меры;
• реестр живёт отдельно от области аккредитации и реальных процессов.

Частые вопросы

Обязателен ли формальный реестр рисков по ГОСТ 17025? Стандарт требует планировать действия в отношении рисков и возможностей, но не предписывает конкретную форму или метод. Реестр рисков — удобный и общепринятый инструмент, который ожидают увидеть при аккредитации, хотя формально «единственно правильной» формы нет.

Какой метод оценки рисков выбрать? Для большинства лабораторий достаточно матрицы «вероятность × последствия» (3×3 или 5×5). Более сложные методы (FMEA, «галстук-бабочка») применяют точечно для критичных процессов; их описывает ГОСТ Р ИСО/МЭК 31010.

Как часто пересматривать реестр рисков? Планово — не реже раза в год, в рамках анализа со стороны руководства, и внепланово при значимых изменениях: новое оборудование или методика, несоответствия, жалобы, плохие результаты межлабораторных сличений.

Нужно ли учитывать возможности, а не только риски? Да. Пункт 8.5 говорит о действиях в отношении рисков и возможностей: возможности (например, освоение нового метода или расширение области) фиксируют и реализуют наравне с обработкой рисков.

Что такое остаточный риск? Это уровень риска, оставшийся после принятых мер. Его оценка показывает результативность мероприятий: если остаточный риск всё ещё высок, меры усиливают или пересматривают.

Источники и нормативная база

ГОСТ ISO/IEC 17025-2019 «Общие требования к компетентности испытательных и калибровочных лабораторий» (п. 4.1, 8.5) — текст стандарта.

ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство».

ГОСТ Р ИСО/МЭК 31010 «Менеджмент риска. Методы оценки риска».

Приказ Минэкономразвития России от 26.10.2020 № 707 «Об утверждении критериев аккредитации».

Автор материала Анна Ведущий эксперт по лицензированию и СРО Профиль автора →