Obsah

Scenár, ktorý poznáme z desiatok firiem. Blíži sa audit, treba mať register rizík. Niekto cez víkend vyplní tabuľku, dvadsať riadkov, pekne ofarbené, pravdepodobnosť krát dopad. Audítor príde, kývne hlavou, odíde. Tabuľka sa uloží do priečinka a otvorí sa zase o rok, deň pred ďalším auditom, keď sa v nej prepíšu dátumy. Medzitým firma urobila tri veľké rozhodnutia a register pri žiadnom z nich nikto neotvoril.

Toto je mŕtvy register. Splní formálnu požiadavku a firme nedá vôbec nič. A povedzme si rovno nepríjemnú pravdu: takýto register je horší než žiadny, lebo dáva falošný pocit, že riziká máte pod kontrolou.

Čo register rizík vlastne je

Register rizík je podľa slovníka rizík záznam informácií o identifikovaných rizikách. To je definícia, no nepovie to podstatné. Podstatné je, na čo slúži: je to nástroj rozhodovania, nie dokument pre audítora. Má byť miestom, kam sa firma pozrie, keď zvažuje veľký krok, a kde nájde, čo jej hrozí, ako vážne to je, kto sa o to stará a čo s tým robí.

Rozdiel medzi týmito dvoma pohľadmi (dokument verzus nástroj) je celý rozdiel medzi mŕtvym a živým registrom. Nie je v tom, aká pekná je tabuľka. Je v tom, či do nej niekto pozerá predtým, než sa rozhodne.

Prečo väčšina registrov zomrie

Príčiny sú zakaždým podobné a oplatí sa ich poznať, lebo sa im dá predísť.

Register vznikol pre audítora, nie pre firmu. Keď je cieľom „mať to na audit”, výsledok tomu zodpovedá: spĺňa formu, no nie je napojený na to, ako firma reálne funguje. Býva priveľký a prekomplikovaný, lebo „nech tam je všetko”. Register so sto riadkami nikto nečíta, a teda ani nepoužíva. Nemá majiteľa, je ničí, a čo je ničie, to nikto neudržiava. A je statický, vyplní sa raz a nemení sa, hoci riziká firmy sa menia každý mesiac. Mŕtvy register spoznáte podľa toho, že posledná zmena v ňom je spred roka.

Čo robí register živým

Živý register sa od mŕtveho líši v niekoľkých veciach, a ani jedna z nich nie je o kráse tabuľky.

Je napojený na rozhodovanie. Otvára sa pri veľkých krokoch, nielen pri audite. Keď firma zvažuje zákazku, investíciu či zmenu dodávateľa, register je jedno z miest, kam sa pozrie. Má majiteľa, konkrétneho človeka, ktorý zaň zodpovedá, dohliada na aktualizáciu a stará sa, aby žil. Má rytmus, pravidelný moment, keď sa preberá, typicky na poradách vedenia alebo pri preskúmaní manažmentom. A je primerane podrobný, dosť na to, aby bol užitočný, nie tak, aby ho nikto neprešiel. Každé riziko v ňom má vlastníka, opatrenie a stav, takže je jasné, kto sa o čo stará a kam to dospelo.

Spoločným menovateľom je pohyb. Živý register sa mení, lebo sa mení realita firmy. Ak vyzerá rovnako ako pred rokom, nie je živý, len sa tak tvári.

Čo v ňom má byť (a čo nie)

Tu je v praxi najviac zbytočného trápenia. Firmy si myslia, že čím viac stĺpcov, tým lepšie, a vyrobia tabuľku, ktorú nikto nevyplní poriadne. Opak je pravda: chcete minimum, ktoré sa naozaj používa.

Pre väčšinu firiem stačí, aby pri každom riziku bolo, o aké riziko ide a ktorý cieľ ohrozuje (lebo riziko bez väzby na cieľ je len obava), jeho príčina, hodnotenie významnosti (pravdepodobnosť a dopad, čo i len v škále nízke, stredné, vysoké), vlastník rizika, dohodnuté opatrenie, jeho stav a termín. To je kostra, ktorá unesie rozhodovanie. Čo tam nepatrí, sú stĺpce, ktoré nikto nepoužíva, a riziká nakopírované z internetu, ktoré sa vašej firmy netýkajú. Register plný cudzích rizík je rovnako mŕtvy ako prázdny.

Zámerne tu nehovorím o nástroji. Či to bude tabuľka alebo softvér, je druhoradé. Malá firma vystačí s jedným dobre vedeným hárkom, väčšia ocení nástroj. Nástroj ale mŕtvy register neoživí, oživí ho jedine to, že sa používa.

Ako ho udržať pri živote

Register zomiera vtedy, keď jeho aktualizácia nemá svoj čas a dôvod. Oživíte ho dvoma vecami.

Prvou je rytmus. Dajte registru pevný termín, keď sa posudzuje, napríklad raz za štvrťrok na porade vedenia alebo v rámci preskúmania manažmentom. Nie „keď bude čas”, ten nikdy nepríde, ale pevný termín v kalendári. Druhou je spúšťač. Okrem pravidelného rytmu sa register otvára pri udalostiach: pred veľkým rozhodnutím, po incidente, pri zmene, ktorá mení rizikový obraz. Práve tu sa register najviac zhodnotí, lebo vstupuje priamo do rozhodnutia, kým sa ešte dá ovplyvniť.

Keď má register rytmus aj spúšťače, prestane byť ročným rituálom a stane sa pracovným nástrojom. To je celý cieľ.

Rýchly test: žije váš register, alebo len leží?

Položte si pár otázok. Kedy bola posledná zmena v registri? Má každé riziko menovite svojho vlastníka? Pozrel sa naň niekto pri poslednom veľkom rozhodnutí? Sú v ňom riziká, ktoré sa naozaj týkajú vašej firmy, alebo skôr všeobecné položky, čo by sedeli komukoľvek? Ak na väčšinu odpovedáte vyhýbavo, máte dokument, nie nástroj. A to je dobrá správa, lebo oživiť register je oveľa lacnejšie než ho budovať odznova.

Ak chcete register, ktorý vám reálne pomáha rozhodovať, nielen prejsť auditom, na úvodnej konzultácii sa pozrieme na ten váš a navrhneme, ako z neho spraviť živý nástroj. Bez záväzku.