В чем цель и смысл управления рисками?

Управление рисками нужно там и тогда, где и когда у нас  возникает потребность в принятии сложных решений. Оценивать риски необходимо в самых разных ситуациях: на этапах разработки продукта, при изучении целесообразности внесения изменений, при расследовании отклонений, для организации рабочего пространства или при принятии решения о возможности совмещения схемы производства разных препаратов и т.п. По сути там, где есть проблема выбора из нескольких вариантов, и там, где нет четких, однозначных, нормативных требований. Технология управления рисками необходима для принятия решений, не имеющих четкого норматива, т.е. в ситуации, где есть неопределенность и неуверенность. 

Ни в коем случае нельзя противопоставлять управление рисками действующим нормативным требованиям. Через оценку рисков нельзя обосновать необязательность исполнения законодательных норм. Процесс управления рисками – это источник требований. История знает много примеров, когда можно было бы избежать реализации опасных ситуаций, если бы мы ими лучше управляли. В фармацевтической практике также есть множество событий, из которых были извлечены уроки. Именно так возникли правила GMP. Эти Правила – лишь программа минимизации известных рисков, связанных с производством лекарственных средств. Предотвращение перекрестного загрязнения, перепутывания или подмены, правила гигиены и допуска персонала к самостоятельной работе, выбор стратегии контроля качества и поддержание системы качества – все это лишь несколько классических примеров из области управления рисками. 

Мне очень повезло – вся моя профессиональная деятельность так или иначе связана с управлением рисками для качества, и это позволило мне на разных предприятиях,  в разных должностях, с разных сторон  увидеть эту очень широкую и многогранную методологию. Многие руководители считают, что они и без дополнительных технологий видят полную картину своих процессов и интуитивно чувствуют риски для качества выпускаемой продукции. Не спорю, профессиональные, талантливые менеджеры обладают потрясающей интуицией. Только вряд ли она врожденная. Ее можно развивать и усилить, используя методологию управления рисками. Ведь интуиция – это подсознательный анализ различных вариантов развития тех или иных событий. В том числе опасных. Это ответ на три ключевые вопроса: «что может случиться?», «если это случится, какие будут последствия?» и «из-за чего это может произойти»? Хорошая интуиция – это «стихийная» оценка рисков в голове отдельно взятого человека. А осознанное применение процесса управления рисками – объективная корпоративная культура, слабо зависящая от субъективных факторов. Более того, это тиражируемая и легко распространяемая технология. 

Выявление рисков для качества и их оценка сами по себе не приносят результата. Результат управления рисками заключается в выборе и реализации стратегии контроля значимых рисков. Задача заключается не в бесконечном проигрывании различных сценариев, не в уходе от ответственности, а в принятии правильных, сбалансированных решений. Иногда даже рискованных, но осознанно рискованных решений. 

Риски для качества продукции – это риски для потребителя. Производитель лекарственного препарата, держатель регистрационного удостоверения и государственные органы, регулирующие сферу обращения лекарственных средств, несут ответственность перед пациентом за эффективность и безопасность продукции, поступающей на рынок. 

Безопасность основана на современных подходах к управлению рисками. Управление рисками – это линия обороны. Получается, единственный способ обеспечить безопасность пациента – это внедрить эффективную систему управления рисками для качества. Это элемент нашей ответственности перед обществом. Пациенту нужны гарантии эффективности и безопасности принимаемой им продукции. 

Безопасность не означает отсутствие опасности. Безопасное состояние – это когда мы уверены в том, что знаем, какие, с нашей точки зрения, опасные события могут произойти и какое влияние они окажут на качество нашей работы, на качество нашей продукции и, как следствие, на нашего потребителя. Безопасность заключается не в запретах, замках и колючейпроволоке, а в разработке эффективных процедур, призванных эту безопасность обеспечить. Даже если у нас не будет возможности предотвратить реализацию опасностей, мы как минимум сможем к ним подготовиться, заранее продумаем меры по предотвращению и преодолению их последствий. Заранее всех предупредим о наличии серьезной опасности, например, описав ее в инструкции. 

Опасности измеряются рисками. Риски различаются по значимости. Для того чтобы понять, какие риски требуют особого нашего внимания, нужно их адекватно оценивать. Не изучая природу возможных рисков, не определяя объем отсутствующей у нас информации, прикрываясь лозунгом «НИКАКОЙ риск не допустим!» мы не сумеем понять, из-за чего тот или иной риск может реализоваться, и, соответственно, вряд ли нам удастся снизить вероятность егонаступления. Останется только заучить: «Ну извини, так получилось!». Рисками нужно управлять систематически и профессионально. Это неотъемлемая и необходимая компетенция любого руководителя любого уровня на любом предприятии. 

Иногда звучит мнение, что управление рисками – это всего лишь броское название и невероятно вредная технология, применимая только «кабинетными» людьми. Это совсем не так. Условно, персонал любого подразделения можно разделить на две категории: руководители и исполнители. Исполнители выполняют работы, исходя из  установленных требований.  Руководители же устанавливают требования к выполнению таких работ с учетом законодательных норм, прописывают алгоритмы и создают условия, в последующем контролируя качество их исполнения. В большинстве случаев исполнителю оценка рисков не нужна. Она нужна руководителям. Нужна там и тогда, где и когда они вынуждены принимать важные и сложные решения в условиях неопределенности, например: нетзаконодательных требований или эти требования изложены без конкретных алгоритмов их реализации, или есть несколько вариантов реализации и при этом нет уверенности какой из вариантов выбрать. Руководители несут ответственность не только за результаты своей работы, но и за результаты работы исполнителя. И чем выше неуверенность, вызванная неопределенностью, тем выше ответственность за последствия реализации принимаемого решения. На основании того, как руководитель управляет рисками, можно делать вывод о его профессионализме. Если руководитель умело применяет эту методологию, он производит впечатление человека проницательного, с замечательной логикой и интуицией. Именно эти качества развивает технология управления рисками. К тому же, такой руководитель понимает причинно-следственную связь, что ошибка исполнителя часто вызвана халатностью его руководителя, которая проявляется в том, что он не до конца оценил все возможные угрозы.  

Тот же, кто считает все риски одинаково опасными, как и тот, кто считает, что риск недопустим, а другими словами, невозможен, просто не способен принимать решения. В результате – решения они принимают наугад, излюбленным методом «тыка», или ответственность за решение «перекидывают» на другого, например, на того же исполнителя. Так проще. Практика исполнять только то, что требуется и только так, как понимается – порочна по своей сути. Согласитесь, мы все часто оказываемся в ситуациях, когда сложно, а иногда и страшно, принимать решение, когда возникает ощущение неопределенности и непредсказуемости в отношении того, как наше решение повлияет на качество продукта, а значит на безопасность пациента. И тогда может показаться, что риски – это то, что от нас не зависит. Или наоборот, самонадеянно полагаться на то, что мы полностью риск исключили. Но на самом деле это не так. Любое отклонение, сбой в работе инженерной системы или оборудования, поступившая претензия или сигнал о побочном действии препарата – это реализовавшийся риск. Конечно, можно просто не регистрировать отклонения и возникающие проблемы, тем самым подтверждая надежность своих процессов. Это фарс! Риски есть и будут всегда. Главное – вовремя увидеть угрозы и просчитать «непредвиденные обстоятельства», при которых эти угрозы могут реализоваться, понять, что мы можем сделать, чтобы этого не случилось и что нам делать, если это все же произойдет. Сделать максимум, что от нас зависит, и быть готовым к любому развитию событий. 

Стоит ли тратить много усилий там, где можно обойтись малыми средствами? Если ваше решение исходит из нормативного требования, если вы в нем уверены – нет, не стоит. Здесь оценка риска не нужна. Но если вы находитесь в сложной ситуации, вам необходимо понимать возможные угрозы и их последствия, просчитывать заранее, каким образом действовать при том или ином развитии событий, быть готовым ко всему. Управление рисками улучшает предсказуемость и определенность. Это честно заработанное чувство уверенности. Это, безусловно, подход, обеспечивающий достаточную защиту потребителя, которая, в свою очередь, не мешает получению прибыли и не замедляет развитие предприятия. 

Основные принципы управления рисками для качества в фармацевтической отрасли изложены в руководящих указаниях ICH Q9, текст которых с 2008 года включен в структуру европейских GMP, сперва в Приложение 20, а затем в Часть 3 GMP. Необходимость управления рисками заявляется в различных руководящих указаниях, издаваемых регуляторными агентствами, профессиональными сообществами (например, ISPE, PDA, IEST) и организациями здравоохранения по всему миру. В основу предложенной методологии положены знания и опыт, накопленные в разных странах. Однако в России до сих пор идут споры о том, насколько корректна эта методология. Ошибочное ее восприятие уже привело к исключению текста ICH Q9 из национального ГОСТ Р 52249-2009 с «криминальной» формулировкой: «Этот текст изложен не конкретно и не пригоден к практическому применению». Почему не пригоден? Модель процесса управления рисками, представленная в руководящих указаниях ICH Q9 (см. рис. 1), проста в применении и, главное, ориентирована на практическое использование (см. рис. 2). 

Рис. 1 – Традиционный процесс управления рисками для качества (в соответствии с руководящими указаниями ICH Q10) модели представленной в ICH Q9

Конечно, в управлении рисками, как и в любой технологии, нюансов и деталей достаточно. Для того чтобы корректно ее использовать, необходимо создать внутренние стандарты и процедуры,провести обучение руководителей и вовлекаемых экспертов, осуществлять постоянный надзор постоянный надзор за качеством проводимой оценки. 

Попытки исключить технологию управления рисками из процесса принятия эффективных решений абсурдны. Недопустимо так просто исключать процесс управления рисками из стандартов только потому, что автору национального стандарта не понятна его методология. Нельзя впадать в крайности. Нельзя обвинять технологию управления рисками в избыточности, некорректности или субъективности. Решение любого человека по своей природе субъективно. Бороться нужно не с субъективностью, а с небрежностью при принятии решений. Оценка риска должна основываться не на догадках, а на современных научных достижениях, на известных фактах и с учетом накопленной экспериментальной базы и т.п. Все пробелы в знаниях и данных также нужно отнести к отдельной категории риска, так называемой «отсутствующей информации». 

Рис. 2 Алгоритм управления рисками для качества. Составлен на основании модели ICH Q9

Точно так же нельзя возводить методологию управления рисками в статус «нормативного требования». Техника принятия решений по определению не может быть нормативным требованием. Это то же самое, что заставить всех думать и действовать по единому шаблону, что просто неприемлемо и, более того, опасно! Управление рисками не направлено на обход нормативных требований так же, как управление рисками не является прямым нормативным требованием (см. раздел 1 Части 1 GMP). Правила GMP декларируют необходимость управления рисками только для того, чтобы подчеркнуть их первостепенное значение и взаимосвязь с системой качества и правилами надлежащего производства и контроля качества лекарственных средств. GMP требует проводить оценку риска тогда, когда есть неопределенность. Анализ европейской версии GMP подтверждает, что необходимость проведения оценки рисков заявляется только в следующих ситуациях: 

• Если в ходе расследования отклонения невозможно установить истинную причину его возникновения (Часть 1, 1.4 (xiv)). В такой ситуации необходимо выбрать наиболее вероятную причину с помощью дедуктивных или индуктивных методов управления рисками. 

• На этапе принятия решения о возможности совмещения производства разных препаратов на единых производственных мощностях (Часть 1, 5.9). 

• Для создания программы предотвращения перекрестного загрязнения (Часть 1, 5.18, 5.19). 

• При организации процессов упаковки (Часть 1, 5.44). 

• При принятии решений по возможности переработки или повторной обработки некондиционной продукции (Часть 1, 5.62, 5.63). 

• При принятии решения о возможности возобновления товарного оборота всей или части возвращенной продукции (Часть 1, 5.65).

• При обосновании объема валидационных работ (Приложение 15). 

То есть там и тогда, где и когда возникает потребность в принятии сложных решений. И заметьте, решений, не вступающих в конфликт с нормативными требованиями. От эффективности принимаемых руководителем управленческих решений зависят и успешное функционирование и выживаемость предприятия. Учитывать нужно и тот факт, что помимо очевидных преимуществ процесс управления рисками имеет серьезные недостатки (см. табл. 1).

Таблица 1 – Преимущества и недостатки процесса управления рисками для качества 

Преимущества	Недостатки
Повышение уверенности в принимаемых решениях Устранение конфликта интересов Сохранение знаний и логики принимаемых решений Неформальный процесс передачи знаний Улучшение исполнительской дисциплины	Большая трата времени Отвлечение специалистов от прямых рутинных обязанностей Принятие поверхностных решений Манипулирование сознанием Самообман

 Не верна по своей сути и постановка задачи – исключать только риски, которые обозначены в нормативных документах. Повторюсь, нормативные документы – это некое усредненное восприятие известных рисков. На подход, обеспечивающий достаточную защиту потребителя, которая, в свою очередь, не мешает получению прибыли и не замедляет развитие предприятия.  На каждом производстве своя специфика, свои процессы, и нормативные требования ее не учитывают.

Также как мы не ставим перед собой задачу управлять всеми рисками. Не нужно стремиться к тотальному контролю. Нам важно уметь определять наиболее опасные риски и разрабатывать адекватные и своевременные меры управления ими. Даже не в самой масштабной оценке можно выявить десятки, даже сотни, самых разнообразных рисков. Такое количество рисков может привести в замешательство любого специалиста, поскольку непонятно, что с ними делать и за что браться в первую очередь. Конечно, хорошо бы устранить все риски, но чаще всего сделать это невозможно. Наши ресурсы, как и денежные средства, всегда ограничены, соответственно мы вынуждены выбирать приоритеты. Интуитивно понятно, что некоторые риски требуют первоочередных решений, а отдельные вообще нам не интересны. Для определения приоритетных действий нам как раз и необходимо установить элементы риска – уровень его воздействия и вероятность его реализации. Если опасность реализуется, она может оказывать разное воздействие, которое во многом определяет тяжесть риска. Так же, как оценка вероятности наступления того или иного негативного события может сообщить нам о многом.Знание того, с какой вероятностью может реализоваться та или иная опасность, предопределяет наше восприятие безопасности.

По определению, риск – это сочетание вероятности реализации той или иной опасности и тяжести наносимого ею вреда. Здесь нет никакой методической ошибки. Да, перемножаются разные по смыслу величины и по их произведению делается вывод. Все верно! Используя два критерия оценки риска, речь не идет об усреднении риска. Вероятность учитывается для того, чтобы отсечь невероятные, нереальные события. Другой вопрос, что учитывая вероятность, мы все равно приоритеты расставляем исходя из уровня их воздействия. Методологическая ошибка в состоит том, что некоторые отечественные критики не учитывают главную аксиому управления рисками – тяжесть вреда имеет больший приоритет над вероятностью. Поэтому, если, например, рассмотреть набивший оскомину пример с самолетом, ошибкой можно считать неправильную градацию риска при использовании количественной оценки. Рассмотрим два события, используя пятибалльную шкалу (от 1 до 5): 

1.     Неопасное событие - опоздание прибытия самолета (тяжесть вреда равна 1), но часто повторяемое (вероятность равна 5).  2.     Опасное событие -  авиакатастрофа (тяжесть вреда равна 5), но крайне редкое (вероятность равна 1). 

Действительно, перемножение весовых коэффициентов дает одну и ту же цифру  5, но при этом не уравнивает их значимости. Первое событие – это незначительный риск, а вот второе событие может ранжироваться как значимый риск (из-за того, что коэффициент тяжести вреда превышает некий заданный порог, например, 2), а значит потребует нашего пристального внимания и разработки программы контроля такого риска, обеспечивая постоянный мониторинг ее эффективности. Программа контроля риска может быть разной – от одного действия до отдельного комплексного плана. 

Внедрение процесса управления рисками в повседневную жизнь предприятия не требует инвестиций и не подразумевает внедрения каких-то сложных систем и моделей. Достаточно сделать несколько шагов. Для того чтобы управлять рисками, необходимо сделать всего пять шагов. 

Первый шаг заключается в том, чтобы научиться видеть и четко определять опасности (угрозы). Мы часто делаем это эмпирически, осмелюсь сказать – бессознательно. Этого недостаточно. Полностью определить риски означает учесть все его параметры. 

Второй шаг – нужно научиться создавать профили рисков, то есть систематически определять все риски, присущие объекту нашей оценки. Это то, что мы часто называем протоколом оценки рисков. У нас должен быть документ, в котором все риски определены. Это важно, поскольку управлять рисками «точечно» полезно, но не достаточно. 

Задача третьего шага заключается в том, чтобы научиться определять, с какими рисками нужно работать в первую очередь. Для этого нужно уметь анализировать риски, уметь расставлять приоритеты. 

Для успешной реализации четвертого шага нужно уметь выбирать и реализовывать стратегии управления значимыми рисками. Здесь важно понимать, какие конкретные действия нам необходимо совершить, чтобы больше получить и/или меньше потерять. 

И наконец, пятый шаг – научиться создавать оптимальную «подушку» безопасности, то есть разрабатывать план действий на случай, если тот или иной риск реализуется. Задача этого шага – уметь подготовиться к любому развитию событий и всегда иметь план «Б». 

Это базовые шаги, применимые в любой ситуации, в любом бизнесе и на любом уровне иерархии предприятия. Модель, приведенная в ICH Q9, нашла свое применение в большинстве стран мира. Аналогичная модель представлена и в базовом международном стандарте ISO 31000. Сегодня для внедрения процесса управления рисками в практику фармацевтических компаний накоплена серьезная методологическая база, которая активно развивалась с 1960-х. Известно более 100 методов оценки рисков. В руководящих указаниях ICH Q9 заявлено всего шесть наиболее распространенных инструментов (см. таблицу 2), в ISO 31000 описан 31 метод, в жизни их еще больше. Однако это не означает, что необходимо использовать каждый. Нужно подобрать для себя те инструменты оценки рисков, с которыми вы можете работать и которым вы будете доверять. Главное, чтобы они были вам понятны.

Таблица 2 - Краткая характеристика методов оценки рисков, заявленных в ICH Q9 

Инструмент оценки рисков	Специали-зация	Детальность оценки	Сложность	Недостатки
PHA, Предварительный анализ опасностей	Любая	Низкая	Низкая	Необходимо уметь прогнозировать угрозы. Не позволяет устанавливать взаимосвязи между разными угрозами
HAZOP, Исследование опасности и работоспособности	Узкая	Средняя	Средняя	Требует большого количества информации об объекте оценки. Оценивает угрозы по компонентам/элементам без связи с другими компонентами/элементами
HACCP, Анализ опасностей и критических контрольных точек	Узкая	Различная	Средняя	Не пригоден для оценки взаимосвязи между отказами и их причинами. Не позволяет оценивать риски, связанные с объектами/ системами
FMEA, Анализ видов последствий и отказов	Любая	Высокая	Высокая	Мало пригоден для ретроспективной оценки риска. Не устанавливает взаимосвязи между отказами/угрозами и их причинами
FTA, Анализ дерева неисправностей	Узкая	Высокая	Высокая	Может оказаться однообразным и длительным
RRF, Классификация и отсеивание рисков	Любая	Низкая	Низкая	Не пригоден для ретроспективной оценки рисков. Мало пригоден при небольшом количестве идентифицированных угроз

Источник: А. Хамид Моллах, Майк Лонг, Гарольд С. Бэйсмен «Управление рисками в фармацевтическом производстве», 1-е изд.: пер. с англ. – М.: Группа компаний ВИАЛЕК, 2014 

  Таким образом, чтобы научиться профессионально управлять рисками, нужно «набить руку» и накопить определенный опыт. Естественно, это требует усилий и времени. Сначала в большей степени, потом – в меньшей. Главное - начать постепенно внедрять технологию управления рисками в свою работу. Для ее применения абсолютно не нужно выделять какой-то особенный день, ждать какого-то события или настроения. Управляя рисками, мы обеспечиваем качество своей работы и, наоборот, – обеспечивая  качество, мы управляем рисками. Результат управления рисками – это гарантия качества вашей продукции, гарантия соблюдения нормативных требований, гарантия стабильной прибыли, а значит – гарантия нашей стабильности. Современная жизнь этого настойчиво требует!