Obsah
Pri zavádzaní riadenia rizík sa naprieč firmami opakujú tie isté vzory. Firmy sú rôzne, odvetvia takisto, chyby ostávajú rovnaké. Väčšina z nich sa dá napraviť bez väčších nákladov, stačí zmeniť prístup. Pri posledných dvoch je náprava náročnejšia, tam ide o čas ľudí a o vytrvalosť vedenia. Kým ich neodhalíte, postupne oslabujú celý systém. Tu je sedem chýb, s ktorými sa stretávame najčastejšie.
Chyba 1: Register pre audítora, nie pre firmu
Register rizík vznikne na základe požiadavky normy alebo audítora, vyplní sa raz a skončí v šuplíku. Pri rozhodnutiach sa doň nikto nepozrie. Takýto register síce splní formálnu požiadavku, ale firme nepomôže a v skutočnosti je horší, ako keby neexistoval vôbec, pretože vytvára falošný pocit, že riziká sú pod kontrolou.
Register rizík musí vstupovať do reálnych rozhodnutí. Inak je to len papierová ozdoba.
Chyba 2: Riziká nakopírované, bez väzby na ciele
Firma stiahne zoznam typických rizík z internetu alebo od konkurencie a prevezme ho za svoj. Výsledkom je register plný požiarov, povodní a kybernetických útokov, rizík, ktoré s jej skutočným fungovaním nemajú nič spoločné.
Riziko má zmysel len vtedy, keď ho viete prepojiť s konkrétnym cieľom vašej firmy. ISO 31000 definuje riziko ako účinok neistoty na ciele, takže riziko bez väzby na cieľ nie je riziko v zmysle normy. Ak neviete povedať, ktorý váš cieľ dané riziko ohrozuje, s najväčšou pravdepodobnosťou to jednoducho nie je vaše riziko.
Chyba 3: Všetko cez jednu maticu
Matica rizík je užitočný nástroj na rýchle triedenie a prehľadnú komunikáciu, ale stáva sa pascou, keď sa ňou meria úplne všetko. Firma stráca čas dohadovaním, či je niečo trojka alebo štvorka, bunka sa zafarbí na červeno a analýza skončí, hoci sa v skutočnosti mala práve začať.
Pri závažných rizikách matica jednoducho nestačí. Treba siahnuť po technikách, ktoré ukážu príčiny, následky a opatrenia.
Chyba 4: Nikdy nepomenovaná ochota riskovať
Veľa firiem si nikdy oficiálne neprizná, koľko rizika je vlastne ochotných zniesť. Dôsledok je jasný, rovnaké rozhodnutia dopadajú zakaždým inak, podľa toho, kto ich práve robí a akú má povahu.
Stačí sa dohodnúť, kde riziko vítate a kde ho neakceptujete, a zdokumentovať to. Práve odtiaľ vznikajú kritériá rizika, ktorým ISO 31000 venuje samostatnú klauzulu (čl. 6.3.4 Definovanie kritérií rizika). Bez tejto hranice neviete v registri rozlišovať, čo je ešte prijateľné a čo už nie.
Chyba 5: Žiadny majiteľ a žiadna periodicita revízie
Register, ktorý nepatrí nikomu, nikto neudržiava. Register bez stanoveného termínu revízie postupne stráca väzbu na skutočný stav. A tak sa register stáva zbytočný a vaše úsilie márne.
Náprava je pritom jednoduchá, každé riziko musí mať svojho vlastníka a register musí mať pevne stanovený termín, kedy sa preskúmava. ISO 31000 na to pamätá samostatnou časťou procesu (čl. 6.6 Monitorovanie a preskúmavanie), ktorá má bežať priebežne, nie až pred auditom.
Chyba 6: Systém bez ľudí
Firma vytvorí dokonalý systém na papieri a zabudne, že riziká v skutočnosti riadia ľudia. Ak zamestnanci neoznamujú problémy, pretože to podľa nich nemá zmysel, potom je aj ten najlepší register len zbierkou prikrášlených poloprávd.
Riziková kultúra nie je „mäkká téma navyše“. ISO 31000 zaraďuje ľudské a kultúrne faktory priamo medzi svoje zásady (čl. 4). Je to podmienka toho, aby systém fungoval na základe pravdivých informácií. A táto kultúra začína zhora, tým, čo vedenie odmeňuje a čo trestá.
Chyba 7: Každý systém manažérstva si vedie vlastné riziká
Mnoho firiem rieši kvalitu, životné prostredie, BOZP, informačnú bezpečnosť, kontinuitu aj ochranu údajov ako oddelené svety, každý so svojím registrom rizík, ktoré o sebe navzájom nevedia a neraz si priamo protirečia. Pritom všetky stoja na tom istom základe.
Keď ich spojíte do jedného integrovaného prístupu, riziko posúdite raz a výsledok poslúži naprieč celou firmou, namiesto toho, aby ste to isté písali opakovane. Integrácia riadenia rizika do riadenia organizácie je jednou z častí rámca podľa ISO 31000 (čl. 5.3). Je to zároveň jediná z týchto siedmich náprav, ktorá je projektom, nie zmenou prístupu.
Spoločný menovateľ a ako začať
Takmer všetky tieto chyby pramenia z toho, že firma berie riadenie rizík len ako dokument, ktorý treba vytvoriť, nie ako nástroj, ktorý má pomáhať rozhodovať. To je presne ten posun, ktorým sme túto sériu otvárali, riadenie rizík nie je papier pre audítora, je to spôsob, akým sa firma rozhoduje v neistote.
Väčšina týchto chýb nie je o peniazoch, ale o prístupe a disciplíne. Pri rizikovej kultúre a pri integrácii systémov treba počítať s časom ľudí a s vytrvalosťou vedenia, tam sa zmena neudeje rozhodnutím na porade.
Ak chcete prejsť, ktorá z nich sa týka práve vašej firmy a ako z vášho riadenia rizík spraviť použiteľný nástroj namiesto dokumentu, ktorý pri audite neobstojí, na úvodnej konzultácii to prejdeme spolu a navrhneme konkrétny ďalší krok, bez záväzku.
Časté otázky
Ako spoznám, že náš register rizík nefunguje?
Podľa toho, či doň niekto pozrie pri rozhodovaní. Ak vzniká pred auditom, plní ho jeden človek a od poslednej revízie sa v ňom nič nezmenilo, plní formálnu požiadavku a firme neslúži.
Musí mať každé riziko svojho vlastníka?
Áno. Riziko bez vlastníka neudržiava nikto a register bez stanovenej periodicity revízie postupne stráca väzbu na skutočný stav. Vlastník rizika je osoba alebo útvar so zodpovednosťou za riziko a s právomocou ho riadiť.
Ako poznám, že riziko je naozaj naše?
Podľa toho, či viete povedať, ktorý konkrétny cieľ ohrozuje. Riziko je v ISO 31000 definované ako účinok neistoty na ciele, takže riziko bez väzby na cieľ vašej organizácie spravidla nie je vaše riziko.
Oplatí sa spojiť riziká z rôznych systémov manažérstva?
Spravidla áno, lebo to isté riziko sa inak posudzuje viackrát a výsledky si môžu protirečiť. Integrácia riadenia rizika do riadenia organizácie je jednou z častí rámca podľa ISO 31000 (čl. 5.3). Počítajte s tým, že nejde o rýchly krok.