ДСТУ ISO/IEC 16085:2016 Інженерія систем і програмних засобів. Процеси життєвого циклу. Керування ризиками (ISO/IEC 16085:2006, IDT)

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ДСТУ ISO/IEC 16085:2016
(ISO/IEC 16085:2006, IDT)

Інженерія систем і програмних засобів

ПРОЦЕСИ ЖИТТЄВОГО ЦИКЛУ

Керування ризиками

Київ
   
(ДП «УкрНДНЦ»)
2018

ПЕРЕДМОВА

1 РОЗРОБЛЕНО: Міжнародний науково-навчальний центр інформаційних технологій і систем НАН України та МОН України (Міжнародний центр), Технічний комітет стандартизації «Інформаційні технології» (ТК 20) (Підкомітет «Інженерія програмних засобів і систем» — ПК 7)

2 ПРИЙНЯТО ТА НАДАНО ЧИННОСТІ: наказ Державного підприємства «Український науково-дослідний

і навчальний центр проблем стандартизації, сертифікації та якості» (   
(ДП «УкрНДНЦ»)) від 27 грудня 2016 р. №451 3 2018-01-01

3 Національний стандарт відповідає ISO/IEC 16085:2006 Systems and software engineering — Life cycle processes — Risk management (Інженерія систем і програмних засобів. Процеси життєвого циклу. Керування ризиками)

Ступінь відповідності — ідентичний (IDT)

Переклад з англійської (еn)

4 Цей стандарт розроблено згідно з правилами, установленими в національній стандартизації України

5 НА ЗАМІНУ ДСТУ ISO/IEC 16085:2015

ЗМІСТ

Національний вступ

Вступ до ISO/IEC 16085:2006

1 Огляд

1.1 Сфера застосування

1.2 Ціль

1.3 Галузь застосування

1.4 Відповідність

1.5 Попередження

2 Нормативні посилання

3 Терміни та визначення понять

4 Застосування цього стандарту

5 Керування ризиками в життєвому циклі

5.1 Процес керування ризиками

5.2 Нульовий пункт

Додаток А (довідковий) План керування ризиками

Додаток В (довідковий) Запит на оцінювання ризику

Додаток С (довідковий) План оброблення ризику

Додаток D (довідковий) Застосування керування ризиками в життєвому циклі програмних засобів

Додаток Е (довідковий) Анотована бібліографія

Додаток НА (довідковий) Перелік національних стандартів України, ідентичних з міжнародними стандартами, посилання на які є в цьому стандарті

НАЦІОНАЛЬНИЙ ВСТУП

Цей національний стандарт ДСТУ ISO/IEC 16085:2016 (ISO/IEC 16085:2006) «Інженерія систем і програмних засобів. Процеси життєвого циклу. Керування ризиками», прийнятий методом перекладу, — ідентичний щодо ISO/IEC 16085:2006 «Systems and software engineering. Life cycle processes. Risk management» (версія en).

Технічний комітет, відповідальний за цей стандарт в Україні, — ТК 20 «Інформаційні технології».

Цей стандарт уведено на заміну ДСТУ ISO/IEC 16085:2015, прийнятий методом підтвердження.

Усі вимоги, зазначені у цьому національному стандарті, не суперечать законодавству України.

До стандарту внесено такі редакційні зміни:

— слова «цей міжнародний стандарт» замінено на «цей стандарт»;

— структурні елементи стандарту: «Титульний аркуш», «Передмову», «Національний вступ», першу сторінку, «Терміни та визначення понять» і «Бібліографічні дані» — оформлено згідно з вимогами національної стандартизації України;

— у розділі «Нормативні посилання» та в додатку Е наведено «Національні пояснення», виділені рамкою;

— зі «Вступу» до ISO/IEC 16085:2006 у цей «Національний вступ» внесено все, що безпосередньо стосується цього стандарту;

— вилучено «Передмову до ISO/IEC 16085:2006» як таку, що безпосередньо не стосується технічного змісту цього стандарту;

— долучено довідковий додаток НА (Перелік національних стандартів України, ідентичних і/або модифікованих з міжнародними стандартами, посилання на які є в цьому стандарті).

Копії стандартів, на які є посилання в цьому стандарті, можна замовити в Національному фонді нормативних документів.

ВСТУП до ISO/IEC 16085:2006

Цей стандарт забезпечує організації практичною настановою стосовно того, як визначити і реалізувати процес керування ризиками протягом усього життєвого циклу програмного забезпечення. Стандарт корисний для керування ризиками, пов’язаними з організаціями, що займаються питаннями програмного забезпечення або системами. Активне керування ризиками є ключовим чинником успіху в керуванні проектом програмного забезпечення.

Керування ризиками є ключовою дисципліною для прийняття ефективних рішень та інформування про результати в організаціях. Ціль керування ризиками полягає у визначенні потенційних управлінських і технічних проблем до того, як вони виникнуть, з тим щоб вжити заходів, які зменшують або усувають імовірність і/або вплив цих проблем, якщо вони виникають. Це є важливим інструментом для безперервного визначення доцільності проектів планів, для поліпшення пошуку і виявлення потенційних проблем, які можуть вплинути на діяльність життєвого циклу, якість і продуктивність програмних продуктів, і для покращення активного керування проектами.

Цей стандарт можна застосовувати як до систем, так і до програмних засобів. Додаток D застосовний тільки до програмних засобів. Серію стандартів щодо життєвого циклу ISO/IEC 12207 застосовують для того, щоб підвести підсумки там, де згадують керування ризиками, замість конкретного процесу керування ризиками.

НАЦІОНАЛЬНИЙ СТАНДАРТ УКРАЇНИ

ІНЖЕНЕРІЯ СИСТЕМ І ПРОГРАМНИХ ЗАСОБІВ
ПРОЦЕСИ ЖИТТЄВОГО ЦИКЛУ
Керування ризиками

SYSTEMS AND SOFTWARE ENGINEERING
LIFE CYCLE PROCESSES
Risk managementl

Чинний від 2018-01-01

1 ОГЛЯД

Цей стандарт установлює неперервний процес керування ризиками. Розділ 1 містить загальний огляд та опис цілі, сфери і галузі застосування, а також визначає критерії відповідності. У розділі 2 наведено нормативні посилання, довідкові посилання наведено в Додатку Е. У розділі 3 подані терміни та визначення понять. У розділі 4 описано, як керування ризиками застосовують до життєвого циклу. В розділі 5 наведено вимоги до процесу керування ризиками.

Є кілька довідкових додатків. У додатку А, додатку В і додатку С наведено зміст трьох документів: «План керування ризиками», «Запит заходу щодо ризику» і «План оброблення ризику». У додатку D підсумовано, де в серії стандартів ISO/IEC 12207 розглядають керування ризиками щодо процесів життєвого циклу програмних засобів. У стандарт щодо процесів життєвого циклу системи ISO/IEC 15288 аналогічний додаток не долучають, оскільки він містить процес керування ризиками. Додаток Е, як зазначалося напередодні, — це анотована бібліографія стандартів та інших документів, стосовно матеріалу, розглянутого у цьому стандарті.

1.1 Сфера застосування

У цьому стандарті описано процес керування ризиками під час придбання програмних засобів або систем, постачання, розроблення, експлуатації та супроводу.

1.2 Ціль

Ціль цього стандарту — забезпечити постачальників, придбавачів, розробників і менеджерів, які мають однин і той самий набір вимог до процесу, відповідним керуванням широким різноманіттям ризиків. У цьому стандарті не наведено детальних методів керування ризиками, але замість цього зосереджено увагу на визначенні процесу керування ризиками, в якому будь-який зі способів може бути застосовний.

1.3 Галузь застосування

У цьому стандарті визначають процес керування ризиками протягом усього життєвого циклу. Цей стандарт прийнятний для організацій, щоб впроваджувати його в застосування в усіх відповідних проектах. Цей стандарт корисний для керування ризиками, пов’язаними з організаціями, що опікуються питаннями програмного забезпечення або системами.

Цей стандарт може бути застосовний у поєднанні з серією стандартів ISO/IEC 12207:1995, ISO/IEC 15288 або окремо.

1.3.1 Застосування з серією ISO/IEC 12207:1995

Нині ISO/IEC 12207:1995 — це стандарт схожий на «парасольку» ISO, що описує стандартні процеси придбання, постачання, розроблення, експлуатації та супроводу програмного забезпечення. У стандарті зазначено, що активне керування ризиками є ключовим чинником успіху в керуванні проектом програмного забезпечення. В ISO/IEC 12207:1995 згадано ризик і керування ризиками у кількох місцях, але не розглядають процес керування ризиками (див. додаток D). У цьому стандарті керування ризиками вважають, що так процес об’єднують із визначенням процесу керування ризиками, яке надано пізнішими доповненнями до стандарту ISO/IEC 12207. Цей стандарт може бути застосовний для керування ризиками на організаційному рівні або керування ризиками на рівні проекту, в будь-якій галузі застосування або фазі життєвого циклу, щоб підтримувати перспективи менеджерів, учасників проектів та інших представників зацікавлених сторін.

У загальній схемі процесу життєвого циклу, яку подано в ISO/IEC 12207:1995, керування ризиками є «організаційний процес життєвого циклу». Заходи і завдання організаційного процесу є обов’язковими для організації, яка застосовує цей процес. Тому організація гарантує, що цей процес реалізують.

У цьому стандарті припускають, що під час застосування разом з ISO/IEC 12207:1995 інші технічні процеси та процеси керування ISO/IEC 12207 виконують оброблення ризику. Для цих процесів наведено відповідні відношення.

1.3.2 Застосування з серією ISO/IEC 15288:2002

ISO/IEC 15288:2002 містить процес керування ризиками і в ньому згадано ризик і керування ризиками в кількох місцях. Цей стандарт може бути застосовний для керування ризиками на організаційному рівні, для керування ризиками на рівні підприємства або керування ризиками на рівні проекту, в будь-якому полі діяльності або етапі життєвого циклу для того, щоб підтримувати перспективні рішення менеджерів, учасників проектів та інших представників зацікавлених сторін.

ISO/IEC 16085 у загальних рисах сумісний із процесом керування ризиками, який задокументовано в ISO/IEC 15288:2002, та забезпечує додатковою інформацією щодо процесу, для того щоб допомогти в плануванні та виконанні керування ризиками. Під час застосування спільно з ISO/IEC 15288:2002 цей стандарт передбачає, що інші технічні процеси і процеси керування, наведені в ISO/IEC 15288, виконують оброблення ризику. Можуть бути інтерпретовані для застосування в життєвому циклі системи: сфера і галузь застосування, ціль, вимоги відповідності з розділу 1. Безпосередньо можна застосовувати до життєвого циклу системи: визначення (розд. 3), інформацію щодо процесу (розд. 5) та ескіз плану керування ризиками (додаток А), запит заходу щодо ризику (додаток В), а також план оброблення ризику (додаток С).

1.3.3 Застосування незалежних серій ISO/IEC

Цей стандарт можна застосовувати незалежно від будь-яких особливостей стандартних процесів життєвого циклу програмного забезпечення або систем. Під час такого застосування в стандарті зосереджено увагу на додатковому забезпеченні для оброблення ризику.

1.4 Відповідність

В організації або в проекті можуть вимагати відповідності стосовно цього стандарту виконанням процесу, демонструванням усіх планів і виконанням усіх вимог (зазначених обов’язковим словом — «повинен») щодо заходів та завдань, описаних у розділі 5.

Потрібно зазначити, що в тих випадках, коли цей стандарт застосовують незалежно від ISO/IEC 12207:1995 або ISO/IEC 15288:2002, то застосовують додатковий набір вимог щодо оброблення ризику, наведений у 5.1.4.2.

1.5 Попередження

У цьому стандарті встановлюють мінімальні вимоги щодо процесу керування ризиками, а також мінімальні вимоги до заходів і завдань. Реалізація цих вимог або підготовки планів керування ризиками чи запитів заходу щодо ризику відповідно до цього стандарту не гарантує відсутність ризиків. Відповідність цьому стандарту не звільняє будь-яку сторону від будь-яких соціальних, моральних, фінансових або юридичних зобов’язань.

2 НОРМАТИВНІ ПОСИЛАННЯ

Наведені нижче нормативні документи необхідні для застосовування цього стандарту. У разі датованих посилань застосовують тільки наведені видання. У разі недатованих посилань застосовують останнє видання нормативних документів (разом зі змінами).

ISO/IEC 12207:1995 Information Technology — Software Life Cycle Processes*

ISO/IEC 12207:1995/AM D.1:2002 Information Technology — Software Life Cycle Processes — Amendment 1

ISO/IEC 12207:1995/AMD.2:2003 Information Technology — Software Life Cycle Processes — Amendment 2

ISO/IEC 15026:1998 Information Technology — System and Software Integrity Levels

ISO/IEC 15288: 2002 Systems Engineering — System life cycle processes.

НАЦІОНАЛЬНЕ ПОЯСНЕННЯ

ISO/IEC 12207:1995 Інформаційні технології. Процеси життєвого циклу програмного забезпечення

ISO/IEC 12207:1995/AMD.1:2002 Інформаційні технології. Процеси життєвого циклу програмного забезпечення. Зміна 1

ISO/IEC 12207:1995/AMD.2:2003 Інформаційні технології. Процеси життєвого циклу програмного забезпечення. Зміна 2

ISO/IEC 15026:1998 Інформаційні технології. Рівні цілісності систем і програмних засобів

ISO/IEC 15288:2002 Програмна інженерія. Процеси життєвого циклу систем.