ISO 31000 v praxi: zásady, rámec a proces riadenia rizík

Keď firma prvýkrát siahne po norme ISO 31000, často čaká zoznam povinností: urob toto, zdokumentuj tamto, a budeš v súlade. Norma takto nefunguje. ISO 31000 nie je kontrolný zoznam požiadaviek. Je to návod, ktorý opisuje, ako vyzerá dobré riadenie rizík, a necháva na vás, ako to vo svojej firme uchopíte.

To je jej silná stránka a aj úskalie. Silná stránka, lebo sa prispôsobí firme každej veľkosti aj orgánu verejnej správy bez toho, aby vás tlačila do štandardnej šablóny. Úskalie, lebo bez vlastného úsudku z nej ľahko vznikne buď prázdna formalita, alebo naopak prebujnená byrokracia. Aby ste vedeli, čo si z nej zobrať, treba poznať jej tri oblasti: zásady, rámec a proces.

ISO 31000 sa necertifikuje

Na rozdiel od ISO 9001 alebo ISO/IEC 27001, ktoré sú certifikovateľné, ISO 31000 certifikovať nemožno. Norma je vydaná ako návod a poskytuje odporúčania, nie požiadavky, a nie je určená na certifikačné účely. Akreditovanú certifikáciu systému manažérstva podľa ISO 31000 preto nemožno získať. Ak vám ju niekto ponúka, žiadajte si označenie akreditačného orgánu a rozsah akreditácie.

Čo existuje a dáva zmysel, je zaviesť riadenie rizík podľa ISO 31000 a vedieť to preukázať, teda vyhlásiť, že ste „v súlade s ISO 31000“. Existujú aj osobné certifikáty pre risk manažérov od rôznych vzdelávacích inštitúcií, tie sa však týkajú človeka, nie organizácie, a nezamieňajte si ich s certifikáciou systému.

Slovenská verzia normy vyšla ako STN ISO 31000:2019 Manažérstvo rizika. Návod, je identická s medzinárodným vydaním ISO 31000:2018 a nahradila STN ISO 31000:2011. Normu si môžete obstarať na portáli Úradu pre normalizáciu, metrológiu a skúšobníctvo SR. Že je to „len“ návod, neznižuje jej váhu, regulátori, audítori aj vedenie firiem ju berú ako referenčný rámec, voči ktorému sa riadenie rizík porovnáva.

Tri oblasti: zásady, rámec, proces

Celá norma je postavená na troch navzájom prepojených oblastiach, ktoré spolu tvoria architektúru riadenia rizík. Zásady (čl. 4) hovoria, prečo a podľa čoho riadiť riziká. Rámec (čl. 5) hovorí, ako riadenie rizík ukotviť v štruktúre a vedení firmy, aby nebolo jednorazovou akciou. A proces (čl. 6) hovorí, ako naložiť s konkrétnym rizikom, krok za krokom.

Vzťah medzi nimi je jednosmerný. Zásady sú východiskom, ktoré sa má premietnuť do rámca aj do procesu. Rámec vytvára prostredie, teda zodpovednosti, zdroje a väzbu na rozhodovanie, v ktorom sa proces vôbec dá vykonávať. A proces je operatívna postupnosť krokov, ktorú aplikujete na jednotlivé riziko. Ak niektorú oblasť vynecháte, zvyšné dve nesú váhu, ktorú neunesú.

Zásady: podľa čoho poznať, že to funguje

V strede všetkých zásad stojí jediný cieľ: vytvárať a chrániť hodnotu. Riadenie rizík nie je samoúčelné. Podľa normy má zlepšovať výkonnosť, podporovať inovácie a pomáhať dosahovať ciele, teda nielen chrániť to, čo firma už má. Okolo tohto jadra norma opisuje osem zásad, ktoré sú v praxi kritériami, podľa ktorých posúdite, či vaše riadenie rizík vôbec za niečo stojí.

Je riadenie rizík zabudované do bežných činností, alebo beží vedľa nich ako oddelený proces? Je štruktúrované a komplexné, teda dáva konzistentné a porovnateľné výsledky, nie náhodné? Je prispôsobené vašej firme, jej súvislostiam a cieľom, nie skopírované od iných? Zapája správnych ľudí vrátane tých, čo riziku reálne rozumejú? Je dynamické, teda reaguje na postupné aj náhle zmeny? Stojí na najlepších dostupných informáciách aj s priznaním ich limitov? Berie do úvahy ľudské a kultúrne faktory, lebo riziká riadia ľudia, nie tabuľky? A vedie k neustálemu zlepšovaniu?

Ak na väčšinu odpoviete „nie“, máte síce možno register rizík, ale nemáte riadenie rizík.

Rámec: aby to nebola jednorazová aktivita

Rámec je časť, ktorú firmy najčastejšie preskočia, lebo je menej viditeľná než pekná tabuľka rizík. Jeho zmyslom je ukotviť riadenie rizík tak, aby prežilo aj po odchode nadšeného jednotlivca a aby sa stalo súčasťou toho, ako firma funguje.

V centre rámca stojí vedenie a jeho záväzok, ktorému norma venuje samostatnú klauzulu (čl. 5.2 Vodcovstvo a záväzok). Bez toho, aby manažment riadenie rizík chcel a podporoval ho zdrojmi aj príkladom, ostane na papieri. Okolo tohto jadra norma opisuje cyklus (čl. 5.3 až 5.7): integráciu do riadenia firmy, návrh rámca, implementáciu, hodnotenie a zlepšovanie. Je to vedome cyklus, nie jednorazový projekt, podobne ako pri iných systémoch manažérstva.

Rozlišujte, čo rámec je a čo nie je. Rámec nie je samotné riadenie rizík. Je to súbor politík, postupov a zaužívanej praxe, ktoré riadenie rizík podporujú a držia pri sebe. Jeho účinnosť závisí od dvoch vecí: od podpory vrcholového vedenia a od toho, nakoľko je prepojený s tým, ako sa organizácia riadi inak. Ak riadenie rizík nevychádza zo strategického plánovania, riadenia zmien ani z existujúcich systémov manažérstva kvality či bezpečnosti, ostane vedľajšou koľajou. Tejto väzbe sme sa venovali podrobnejšie pri integrovanom riadení rizík.

Praktická rada: skôr než začnete vypĺňať register, rozhodnite, kto za riadenie rizík zodpovedá, ako sa napojí na rozhodovanie a kde sa o rizikách bude reálne rozhodovať. Inak budete mať iba formálny dokument. Rovnako platí, že rámec bez zodpovedajúcej rizikovej kultúry ostane formálny, lebo o tom, čo sa do systému dostane, rozhodujú ľudia.

Proces: ako naložiť s konkrétnym rizikom

Proces je to, čo si väčšina ľudí pod riadením rizík predstaví. Norma ho chápe ako systematické uplatňovanie politík, postupov a praxe na komunikáciu a konzultáciu, na stanovenie súvislostí a na posudzovanie, zaobchádzanie, monitorovanie, preskúmavanie, zaznamenávanie a podávanie správ o riziku. V praxi je to opakovateľný postup pre jednotlivé riziko, ktorý má jednoznačné kroky.

Prvým krokom procesu je v norme komunikácia a konzultácia (čl. 6.2), tá však beží priebežne. Prakticky sa začína predmetom, súvislosťami a kritériami (čl. 6.3), kde stanovíte rozsah, vonkajšie aj vnútorné súvislosti a kritériá, podľa ktorých budete riziká hodnotiť. Práve tu vzniká to, aké riziko je pre vás akceptovateľné, lebo definovanie kritérií rizika má norma ako samostatnú klauzulu (čl. 6.3.4).

Nasleduje posudzovanie rizika (čl. 6.4), ktoré má tri kroky: identifikáciu (čo vám hrozí a aké máte príležitosti), analýzu (aká je pravdepodobnosť a aký dopad) a hodnotenie (je toto riziko prijateľné, alebo s ním treba niečo robiť). Na analýzu a hodnotenie existujú rôzne techniky, od matice následkov a pravdepodobnosti až po robustnejšie postupy podľa IEC 31010.

Potom prichádza zaobchádzanie s rizikom (čl. 6.5). Norma ponúka viacero možností a stojí za to poznať ich všetky: znížiť riziko zmenou pravdepodobnosti alebo následkov, odstrániť jeho zdroj, zdieľať ho s inou stranou, vyhnúť sa mu, prijať ho informovaným rozhodnutím, alebo ho vedome podstúpiť či zvýšiť, ak vám otvára príležitosť. Posledná možnosť sa v praxi prehliada najčastejšie, hoci práve ona odlišuje riadenie rizík od obrany pred nimi. Vyberiete možnosť, zdôvodníte ju a opatrenie zavediete.

Dve veci pritom bežia priebežne počas celého procesu, nie až na konci: monitorovanie a preskúmavanie (čl. 6.6), lebo riziká sa menia, a zaznamenávanie a podávanie správ (čl. 6.7), aby výstup niekam vstupoval. Spolu s komunikáciou a konzultáciou tvoria most späť k rozhodovaniu.

Čo si z toho zobrať, aj keď normu nezavádzate úplne

Nie každá firma potrebuje zaviesť ISO 31000 v plnom rozsahu. Ale tie tri oblasti fungujú ako dobrý základ pre akékoľvek riadenie rizík, aj keď normu nikdy neotvoríte. Najprv si ujasnite, prečo riziká riadite a podľa akých kritérií (zásady). Potom rozhodnite, kto za to zodpovedá a kam to vo firme patrí (rámec). A až potom riešte konkrétne riziká krok za krokom (proces).

S týmto sa v projektoch stretávame opakovane: firmy preskočia prvé dve oblasti a rovno vyplnia tabuľku. Výsledkom je register, ktorý nikto nevlastní a nikto nepoužíva. Poradie nie je formalita, je to rozdiel medzi systémom, ktorý sa používa, a dokumentom, ktorý pri audite neobstojí. Ďalšie typické chyby sme zhrnuli v článku o najčastejších chybách v riadení rizík.

Ak zvažujete, či a v akom rozsahu má ISO 31000 zmysel práve pre vašu firmu alebo organizáciu, na úvodnej konzultácii to posúdime a navrhneme konkrétny ďalší krok, bez záväzku.