Ryzyko organizacyjne obejmuje zdarzenia mogące zakłócić realizację celów firmy, takie jak błędy procesów, brak kompetencji czy niewłaściwa komunikacja. Zgodnie z ISO 31000 należy określić kontekst, zidentyfikować i przeanalizować zagrożenia, ocenić ich skutki oraz ustalić działania ograniczające ryzyko. Proces powinien być udokumentowany, często monitorowany i doskonalony przy zaangażowaniu pracowników oraz kierownictwa.
Ocena ryzyka organizacyjnego według ISO 31000 wspiera zarządzanie sytuacjami, które mogą zakłócić realizację celów przedsiębiorstwainstytucji lub projektu. Dotyczy podobnie jak ryzyk operacyjnych, finansowych i prawnychi zagrożeń związanych z personelem, technologią, dostawcami, reputacją czy ciągłością działania.
Tekst jest przeznaczony dla menedżerów, właścicieli procesów, audytorów wewnętrznych oraz osób odpowiedzialnych za system zarządzania ryzykiem. Największą wartość przynosi wtedy, gdy ocena nie ogranicza się do sporządzenia rejestru, lecz prowadzi do porównywalnych decyzji, przypisania odpowiedzialności i częstej aktualizacji założeń.
Kryteria oceny ryzyka i konstrukcja skali
Ocena rozpoczyna się od określenia kontekstu: celów organizacji, zakresu procesuinteresariuszy, źródeł zagrożeń oraz istniejących zabezpieczeń. Następnie analizuje się możliwość wystąpienia zdarzenia i jego konsekwencje.
Kryteria powinny odzwierciedlać specyfikę organizacji, a nie kopiować uniwersalny wzorzec. Inne progi będą właściwe dla szpitala, operatora infrastruktury krytycznej, banku i przedsiębiorstwa produkcyjnego. Skala pięciostopniowa często obejmuje poziomy od 1 – bardzo niskiego do 5 – bardzo wysokiego. Prawdopodobieństwo można opisać częstotliwością, przedziałem czasowym albo oceną ekspercką. Skutki należy rozpatrywać wielowymiarowo: finansowo, operacyjnie, prawnie, środowiskowo, wizerunkowo i pod kątem zdrowia lub życia ludzi. Dla każdego poziomu trzeba wskazać jednoznaczne przedziały, przykłady oraz źródło danych. Ogranicza to uznaniowość i ułatwia porównywanie ocen między działami.
Ryzyko całkowite może być przedstawione w macierzy jako iloczyn prawdopodobieństwa i wpływu, lecz taki model wymaga ostrożności. Dwa ryzyka o identycznym wyniku liczbowym mogą mieć zupełnie inny profil oraz odmienną akceptowalność.
Granice tolerancji powinny wskazywać, które przypadki wymagają redukcji, eskalacji do kierownictwa albo natychmiastowego zatrzymania procesu. Należy także odróżnić ryzyko inherentne, oceniane przed zastosowaniem zabezpieczeń, od rezydualnego, pozostającego po wdrożeniu kontroli.
Monitoring i aktualizacja oceny
Monitorowanie według ISO 31000 nie jest jednorazowym audytem. Obejmuje śledzenie wskaźników ryzyka, skuteczności mechanizmów kontrolnych, zmian regulacyjnychincydentów, reklamacji, opóźnień i sygnałów z otoczenia.
Dobrze zaprojektowany monitoring łączy dane ilościowe z informacjami jakościowymi, w tym obserwacjami pracowników i ustaleniami audytowymi.
System monitorowania powinien prowadzić do konkretnej reakcji zarządczej:
- ustalenia właściciela ryzyka, częstotliwości pomiaru i źródła danych;
- zdefiniowania progów alarmowych oraz sposobu eskalacji przekroczeń;
- udokumentowania decyzji, działań korygujących i terminu ponownej oceny.
Przegląd rejestru ryzyka przeprowadza się cyklicznie, a także po zmianie struktury organizacyjnej, systemu IT, dostawcy, procesu lub wymagań prawnych.
Monitoring powinien sprawdzać , czy kontrola formalnie istnieje, lecz także czy działa efektywnie i ogranicza ekspozycję. Wyniki należy raportować w formie dostosowanej do odbiorcy: zarząd potrzebuje obrazu trendów i ryzyk przekraczających apetyt na ryzyko, jednak właściciel procesu – informacji o powódch, działaniach i terminach.
Ustalenie kryteriów oceny ryzyka w organizacji
ISO 31000 nie narzuca jednej, uniwersalnej skali ryzyka ani obowiązkowego wzoru macierzy.
Wymaga jednak określenia kryteriów adekwatnych do celów, kontekstu i profilu organizacji. Kryteria powinny obejmować co najmniej poziom akceptowalności ryzyka, tolerancję odchyleń, konsekwencje finansowe, operacyjne, prawne, reputacyjne i środowiskowe oraz wpływ na zdrowie i życie ludzi. Należy także ustalić, kto podejmuje decyzję o akceptacji ryzyka, jak często dokonuje się przeglądu ocen i jakie działania uruchamia przekroczenie ustalonego progu. Ocena ryzyka według ISO 31000 jest narzędziem podejmowania decyzji, a nie wyłącznie techniką obliczeniową. Jej sens polega na porównaniu ryzyka z przyjętymi kryteriami i dobraniu proporcjonalnej reakcji.
Jak definiować możliwość i skutek?
Prawdopodobieństwo powinno odnosić się do jasno określonego przedziału czasu, scenariusza i warunków brzegowych. Skutek opisuje jednak rozmiar następstw realizacji ryzyka. Oba parametry muszą mieć zrozumiałe definicje oraz źródła danych: różne dane, audyty, zdarzenia historyczne, opinie ekspertów lub modele prognostyczne. Nie należy mieszać częstotliwości zdarzenia z jego dotkliwością.
Skala pięciostopniowa i interpretacja wyniku
Często często stosuje się skalę od 1 do 5 dla prawdopodobieństwa i skutku. Przykładowo możliwość może oznaczać: 1 – rzadkie, 2 – mało prawdopodobne, 3 – możliwe, 4 – prawdopodobne, 5 – niemal pewne. Skutek można opisać analogicznie: 1 – nieważny, 2 – mały, 3 – umiarkowany, 4 – poważny, 5 – katastrofalny. Każdy poziom powinien mieć mierzalne granice, np. przedziały strat finansowych, czas niedostępności procesu, liczbę poszkodowanych lub zakres naruszenia wymagań prawnych. Wynik w macierzy często oblicza się jako iloczyn prawdopodobieństwa i skutku.
Otrzymuje się wtedy zakres od 1 do 25, który można podzielić na strefy: niską, umiarkowaną, wysoką i krytyczną.
Taki wynik jest wskaźnikiem priorytetu, nie obiektywną miarą ryzyka. Dwa ryzyka o wartości 12 mogą wymagać zupełnie innych decyzji, jeżeli jedno wynika z częstego zakłócenia procesu, a drugie z mało prawdopodobnego zdarzenia o skutkach śmiertelnych. Skala powinna uwzględniać ryzyka o charakterze nagłym, skumulowanym i zależnym od innych zdarzeń. Przy ocenie trzeba rozróżnić ryzyko inherentneistniejące przed zastosowaniem zabezpieczeńoraz rezydualne, pozostające po ich wdrożeniu. Kryteria akceptacji powinny wskazywać, kiedy ryzyko można zaakceptować, kiedy wymaga dodatkowych kontroli, a kiedy konieczne jest wstrzymanie działania lub eskalacja do najwyższego szczebla zarządzania.
Rejestr ryzyka organizacyjnego porządkuje informacje o zagrożeniach, właścicielach, działaniach i wynikach monitorowania zgodnie z ISO 31000.
Struktura rejestru ryzyka organizacyjnego według ISO 31000
Rejestr powinien odzwierciedlać cały proces zarządzania ryzykiem: ustanowienie kontekstuidentyfikację, analizę, ocenę, postępowanie oraz monitorowanie. Nie jest wyłącznie tabelą zagrożeń. Stanowi kontrolowany zapis decyzji, odpowiedzialności i aktualnego poziomu ekspozycji organizacji. Każdy wpis powinien obejmować co najmniej:
- jednoznaczny opis ryzyka wraz ze wskazaniem przyczyn i możliwych skutków;
- kategorię ryzyka, proces, jednostkę organizacyjną oraz właściciela ryzyka;
- ocenę prawdopodobieństwa i wpływu przed zastosowaniem zabezpieczeń;
- istniejące mechanizmy kontrolne oraz ocenę ryzyka rezydualnego;
- plan postępowania z terminem, miernikiem realizacji i osobą odpowiedzialną za działanie.
Ocena powinna być wykonywana według wcześniej zatwierdzonych kryteriów, na przykład skali pięciostopniowej, progów akceptacji oraz limitów eskalacji.
Ryzyko rezydualne musi być oceniane po uwzględnieniu rzeczywiście działających kontroli, a nie samych deklaracji ich istnienia. Rejestr powinien także wskazywać źródło danych, datę ostatniej oceny i planowany termin kolejnego przeglądu.
Monitorowanie działań ograniczających ryzyko
Monitoring według ISO 31000 obejmuje podobnie jak zmianę poziomu ryzykai skuteczność wdrażanych działań. Właściciel ryzyka aktualizuje status zadań, dokumentuje dowody realizacji i zgłasza opóźnienia.
Samo oznaczenie działania jako „zakończone” nie potwierdza skuteczności kontroli.
Do monitorowania stosuje się mierniki wyprzedzające, takie jak odsetek przeszkolonych pracowników, terminowość przeglądów lub liczba niezweryfikowanych dostawcóworaz mierniki wynikowe, na przykład liczbę incydentów, strat i niezgodności. Przekroczenie ustalonego progu powinno uruchamiać eskalację do właściciela procesu, komitetu ryzyka albo kierownictwa. Rejestr należy przeglądać cyklicznie oraz po ważnych zmianach: reorganizacji, wdrożeniu systemuincydencie, zmianie prawa lub pojawieniu się nowego dostawcy. Niezależna weryfikacja przez audyt wewnętrzny pomaga ocenić kompletność zapisów, adekwatność kryteriów i faktyczne działanie zabezpieczeń. Historia zmian zapewnia rozliczalność decyzji i pozwala prześledzić, dlaczego poziom ryzyka został zmieniony.
Według ISO 31000 właścicielem ryzyka organizacyjnego powinna zostać osoba lub jednostka organizacyjna, która ma formalną odpowiedzialność za dane ryzyko oraz uprawnienia do wpływania na jego poziom. Norma nie wskazuje konkretnego stanowiska, ponieważ właścicielstwo zależy od struktury, celów i modelu zarządzania organizacją. Najczęściej jest nim kierownik procesu, właściciel produktu, dyrektor obszaru albo członek kadry zarządzającej odpowiedzialny za realizację określonego celu. Nie musi to być osoba, która osobiście wykonuje czynności obarczone ryzykiem. Decydujące znaczenie ma jej zdolność do podejmowania decyzji, przydzielania zasobów, zatwierdzania działań ograniczających ryzyko i akceptowania ryzyka rezydualnego.
Właściciel ryzyka organizacyjnego według ISO 31000 – kto spełnia te kryteria?
Właściciel ryzyka organizacyjnego powinien znajdować się możliwie blisko procesu lub celu, którego ryzyko dotyczy, ale równocześnie mieć wystarczający mandat decyzyjny. Przykładowo ryzyko przerwy w produkcji może należeć do dyrektora operacyjnego, ryzyko naruszenia wymagań prawnych – do dyrektora compliance, a ryzyko utraty płynności – do dyrektora finansowego.
Jeżeli skutki ryzyka wykraczają poza jeden obszar, właścicielem może być członek zarządu. Właścicielstwo oznacza odpowiedzialność za zarządzanie ryzykiem, a nie wyłączną winę za jego wystąpienie. Do właściciela należy określenie reakcji na ryzyko: jego ograniczenie, unikanie, transfer, wykorzystanie szansy albo świadoma akceptacja. Powinien także monitorować skuteczność zabezpieczeń, aktualizować ocenę prawdopodobieństwa i skutków oraz raportować przekroczenie ustalonego apetytu na ryzyko.
Funkcja zarządzania ryzykiem, audyt wewnętrzny lub pełnomocnik do spraw systemu nie są automatycznie właścicielami wszystkich ryzyk. Ich rolą jest ustanawianie metodyki, wspieranie identyfikacji, konsolidowanie informacji i niezależna ocena systemu kontroli. Odpowiedzialność pozostaje po stronie menedżera dysponującego realnym wpływem na źródło ryzyka. W rejestrze ryzyk należy jedno wskazać właściciela, zakres jego odpowiedzialności, wymagane działania, terminy, wskaźniki monitorowania oraz poziom akceptacji. Przy ryzykach współdzielonych można wyznaczyć właściciela głównego i właścicieli wspierających, zachowując jedną osobę odpowiedzialną za koordynację decyzji.
