Čo je riadenie rizík a prečo je jadrom dobrého rozhodovania

Každá firma riadi riziká. Otázka je, či to robí vedome, alebo náhodou. Keď konateľ odmietne veľkú zákazku, lebo „na to nemáme kapacitu a pohoríme na termíne“, riadi riziko. Keď firma má dvoch dodávateľov tej istej súčiastky namiesto jedného lacnejšieho, riadi riziko. Robí sa to denne, len väčšinou intuitívne, v hlave jedného-dvoch ľudí a bez stopy. Problém nastane, keď tí ľudia nie sú prítomní, keď sa firma rozrastie alebo keď príde rozhodnutie, ktoré je príliš veľké na to, aby bolo založené na niekoho pocite.

Riadenie rizík ako disciplína je presne o tomto: spraviť z intuície opakovateľný, zdieľaný a obhájiteľný spôsob rozhodovania. Nie je to nič nové ani exotické. Je to len pomenovanie a sprehľadnenie toho, čo dobré firmy robia tak či tak.

Čo riziko vlastne je

Začnime tým, čo riziko nie je: nie je to len zoznam zlých vecí, ktoré sa môžu stať. Je to časté nedorozumenie, s ktorým sa v praxi stretávam, a vedie k registrom plným požiarov, povodní a pádu IT systémov, ktoré s reálnym fungovaním firmy nemajú nič spoločné.

ISO 31000, medzinárodný návod pre riadenie rizík, definuje riziko ako účinok neistoty na ciele. Sú v tom tri dôležité slová. Účinok môže byť negatívny aj pozitívny, riziko teda zahŕňa aj premeškanú príležitosť, nielen hrozbu. Neistota je jadro veci, ak je výsledok istý, nie je to riziko, je to fakt. A ciele sú to, na čom záleží, riziko bez väzby na konkrétny cieľ firmy je len abstraktná obava. Riziko, ktoré neohrozuje žiadny váš cieľ, nie je vaše riziko.

Jednotlivé normy pritom definíciu formulujú mierne odlišne. ISO 31000 hovorí o účinku neistoty na ciele, ISO 9001 o účinku neistoty na očakávaný výsledok a ISO/IEC 27001 o účinku neistoty na dosiahnutie cieľov. Koncepčne ide o to isté, líši sa len to, k čomu sa neistota vzťahuje. Keď v tomto článku hovorím o riziku, mám na mysli vymedzenie podľa ISO 31000.

Toto vymedzenie má praktický dôsledok. Ak chcete vedieť, aké sú vaše skutočné riziká, najprv musíte vedieť, aké máte ciele. Firma, ktorá nevie pomenovať, kam ide, nedokáže zmysluplne pomenovať, čo ju od toho môže odchýliť.

Prečo to nie je papier pre audítora

Veľká časť firiem sa s riadením rizík prvýkrát stretne až ako s požiadavkou normy. ISO 9001 žiada myslenie založené na riziku, ISO/IEC 27001 posúdenie rizík informačnej bezpečnosti, GDPR pri istých spracúvaniach posúdenie vplyvu. A tak vznikne register rizík deň pred auditom, vyplní sa, audítor odíde spokojný a dokument putuje do priečinka, kde ho do ďalšieho auditu nikto neotvorí.

Takýto register je strata času. Splní formálnu požiadavku, ale firme nedá nič. Riadenie rizík má hodnotu len vtedy, keď ovplyvňuje skutočné rozhodnutia, keď sa naň niekto pozrie predtým, než podpíše zmluvu, spustí projekt alebo zmení dodávateľa. Nepoužívaný register je drahší než žiadny, lebo dáva falošný pocit, že riziká máte pod kontrolou.

Rozdiel medzi použiteľným a nepoužiteľným systémom rizík nie je v kvalite tabuľky. Je v tom, či výstup niekam vstupuje. K tomu sa v sérii vrátime pri článku o registri rizík.

Riziko je súčasťou rozhodovania, nie príloha k nemu

Firmy, ktorým riadenie rizík reálne pomáha, sa od tých, ktoré ho len „majú“, líšia v jednom. Riadenie rizík nie je samostatná aktivita vedľa biznisu. Je to vrstva každého dôležitého rozhodnutia.

Samotná norma ISO 31000 hovorí: riadenie rizík je súčasťou správy a riadenia organizácie a je základom toho, ako sa organizácia riadi na všetkých úrovniach. Inak povedané, nemá to byť odbor, ktorý raz za rok vyplní tabuľku, ale spôsob uvažovania, ktorý je prítomný vtedy, keď sa rozhoduje o stratégii, investícii, novom trhu či veľkom kontrakte.

V praxi to znamená jednoduchú otázku položenú v správnej chvíli: „Čo sa musí stať, aby toto rozhodnutie dopadlo zle, a vieme s tým niečo spraviť?“ Firma, ktorá si ju kladie systematicky, sa nevyhne zlým výsledkom úplne. Vyhne sa ale tým, ktoré bolo vidno dopredu, a to je v praxi väčšina z nich.

Prečo sa riadenie rizík prekrýva so všetkým

Toto je dôvod, prečo riadenie rizík považujem za jadro, nie za jednu z mnohých tém. Ak sa pozriete na moderné systémy riadenia, zistíte, že všetky používajú rovnakú logiku rizika.

ISO 9001 stavia na myslení založenom na riziku: máte uvažovať, čo ohrozuje kvalitu a spokojnosť zákazníka, a konať skôr, než problém nastane. ISO/IEC 27001 je doslova postavená na posúdení rizík, celý systém informačnej bezpečnosti vychádza z toho, čo môže ohroziť dôvernosť, integritu a dostupnosť vašich informácií. Európska smernica NIS2, prenesená do slovenského zákona č. 69/2018 Z. z. v znení neskorších noviel, žiada riadenie rizík kybernetickej bezpečnosti ako základnú povinnosť. Kontinuita podnikania podľa ISO 22301 je riadenie rizika prerušenia prevádzky. A GDPR pri rizikových spracúvaniach žiada posúdenie vplyvu na ochranu údajov, čo je posúdenie rizika pre práva fyzických osôb.

Päť rôznych svetov, jeden spoločný základ. To má zásadný praktický dôsledok: firma, ktorá vie riadiť riziká ako disciplínu, nemusí budovať päť oddelených systémov od nuly. Stavia raz a používa naprieč. Firma, ktorá to nevie, rieši to isté päťkrát, zakaždým inak, a skončí s piatimi tabuľkami rizík, ktoré si navzájom protirečia.

Čo z toho má vaša firma

Ak odhliadneme od noriem a auditov, dobre nastavené riadenie rizík dáva firme tri veci. Lepšie rozhodnutia, lebo veľké kroky robíte s otvorenými očami, nie naslepo. Menej prekvapení, lebo to, čo bolo vidno dopredu, ste zachytili včas. A spoločnú reč, lebo namiesto „mám zlý pocit z tej zákazky“ má tím spôsob, ako obavu pomenovať, porovnať s inými a rozhodnúť sa s ňou alebo proti nej.

Zároveň buďme čestní v tom, čo riadenie rizík nie je. Nie je to veštec. Nezaručí, že sa nič nepokazí, a nenahradí úsudok. Je to nástroj, ktorý úsudok zlepšuje a robí ho zdieľateľným, nie automat, ktorý rozhoduje za vás. Firma, ktorá od neho čaká istotu, bude sklamaná. Firma, ktorá od neho čaká lepšie šance, ich dostane.

Čo vás čaká v tejto sérii

Toto je úvodný článok série, v ktorej riadenie rizík rozoberieme do hĺbky a prakticky. Pozrieme sa na rámec a proces podľa ISO 31000, na techniky hodnotenia rizík, na to, ako určiť, koľko rizika firma vedome unesie, a ako postaviť register, ktorý sa naozaj používa. Budeme sa venovať aj tomu, prečo bežná matica rizík nestačí, akú rolu hrá riziková kultúra a ako riadenie rizík prepája kvalitu, informačnú bezpečnosť, kontinuitu aj ochranu údajov do jedného celku. Samostatne sa pozrieme na riadenie rizík informačnej bezpečnosti podľa ISO/IEC 27001 a zákona o kybernetickej bezpečnosti. Na záver zhrnieme najčastejšie chyby, ktoré pri zavádzaní vídam v praxi.

Ak medzitým riešite, ako riadenie rizík nastaviť konkrétne vo vašej firme alebo organizácii, na úvodnej konzultácii posúdime, kde stojíte, a navrhneme ďalší krok bez záväzku.