Register rizík, ktorý sa naozaj používa

Scenár, ktorý poznáte možno aj z vlastnej firmy. Blíži sa audit, treba mať register rizík. Niekto cez víkend vyplní tabuľku, dvadsať riadkov, pekne vyfarbené, pravdepodobnosť krát dopad. Tabuľka sa uloží do šanónu a otvorí sa zase o rok, deň pred ďalším auditom, keď sa v nej prepíšu dátumy. Medzitým firma urobila tri veľké rozhodnutia a register pri žiadnom z nich nikto nepoužil.

Takýto register sa nepoužíva. Splní formálnu požiadavku, ale firme nedá vôbec nič. Je horší než žiadny, lebo dáva falošný pocit, že riziká máte pod kontrolou.

Čo register rizík vlastne je

Register rizík je záznam informácií o identifikovaných rizikách. Slúži ako nástroj rozhodovania, nie ako dokument pre audítora. Má byť miestom, kam sa firma pozrie, keď zvažuje vážne rozhodnutie, a kde nájde, čo jej hrozí, ako vážne to je, kto sa o to stará a čo s tým robí.

Rovnako ho chápe aj ISO 31000. Register je výstupom zaznamenávania a podávania správ (čl. 6.7), teda tej časti procesu, ktorá má výsledky riadenia rizík dostať k tým, čo rozhodujú. Norma IEC 31010 zaraďuje registre rizík do skupiny B.10 medzi techniky na zaznamenávanie a vykazovanie, rovnako ako maticu následkov a pravdepodobnosti. Register teda nie je analytický nástroj, je to miesto, kde sa výsledok analýzy stáva použiteľným.

Rozdiel medzi dokumentom a nástrojom nie je v tom, aká pekná je tabuľka. Je v tom, či ju niekto použije predtým, než sa rozhodne.

Prečo sa väčšina registrov prestane používať

Príčiny sú zakaždým podobné.

Register vznikol pre audítora, nie pre firmu. Keď je cieľom „mať to na audit“, výsledok tomu zodpovedá: spĺňa formu, no nie je napojený na to, ako firma reálne funguje. Býva priveľký a prekomplikovaný, lebo „nech tam je všetko“. Register so sto riadkami nikto nečíta, a teda ani nepoužíva. Nemá majiteľa, nikomu nepatrí, a čo nikomu nepatrí, to nikto neudržiava. A je statický, vyplní sa raz a nemení sa, hoci riziká firmy sa priebežne menia. Register, ktorý sa nepoužíva, spoznáte podľa toho, že posledná zmena v ňom je spred roka.

Čo z registra robí nástroj rozhodovania

Rozdiel je v niekoľkých veciach a ani jedna z nich nie je o kráse tabuľky.

Je napojený na rozhodovanie. Zohľadňuje sa pri dôležitých rozhodnutiach, nielen pri audite. Keď firma zvažuje zákazku, investíciu či zmenu dodávateľa, register je jedno z miest, kam sa pozrie. Má majiteľa, konkrétneho človeka, ktorý zaň zodpovedá, dohliada na aktualizáciu a stará sa, aby bol aktuálny. Má stanovenú periodicitu, teda pevný moment, keď sa preberá, typicky na poradách vedenia alebo pri preskúmaní manažmentom. A je primerane podrobný, dosť na to, aby bol užitočný, nie tak, aby ho nikto neprešiel. Každé riziko v ňom má vlastníka, opatrenie a stav, takže je jasné, kto sa o čo stará a aký je aktuálny stav.

Spoločným menovateľom je zmena. Používaný register sa mení, lebo sa menia súvislosti firmy. Ak vyzerá rovnako ako pred rokom, nie je aktuálny, len tak vyzerá.

Čo v ňom má byť (a čo nie)

Tu vzniká najviac zbytočnej práce. Firmy si myslia, že čím viac stĺpcov, tým lepšie, a vyrobia tabuľku, ktorú nikto nevyplní poriadne. Opak je pravda: chcete primerané minimum, ktoré sa naozaj používa.

Pre väčšinu firiem stačí, aby pri každom riziku bolo, o aké riziko ide a ktorý cieľ ohrozuje (lebo riziko bez väzby na cieľ je len obava), jeho príčina, následok a pravdepodobnosť (čo i len v škále nízke, stredné, vysoké), vlastník rizika, dohodnuté opatrenie, jeho stav a termín. To je základ, ktorý unesie rozhodovanie. Kde je pri hodnotení čiara medzi prijateľným a neprijateľným, vyplýva z kritérií rizika a z toho, koľko rizika ste ochotní niesť.

Čo tam nepatrí, sú stĺpce, ktoré nikto nepoužíva, a riziká nakopírované z internetu, ktoré sa vašej firmy netýkajú. Register plný cudzích rizík je rovnako nepoužiteľný ako prázdny.

Nástroj je pritom druhoradý. Menšia firma vystačí s jedným dobre vedeným hárkom, väčšia ocení softvér. Nástroj sám osebe nič nerieši, o používaní registra rozhoduje periodicita, vlastníctvo a napojenie na rozhodovanie.

Rovnaká logika platí aj mimo rizík. Napríklad záznam o spracovateľských činnostiach podľa GDPR je presne taký register, ktorý má hodnotu len vtedy, keď sa používa.

Ako udržať register aktuálny

Register sa prestane používať vtedy, keď jeho aktualizácia nemá vopred stanovený termín ani jasný dôvod. Register rizík si udržíte v aktívnom používaní najmä dvoma vecami: pravidelným revíznym cyklom a jeho zaradením do riadiacich a rozhodovacích procesov organizácie.

Prvou podmienkou je pravidelná revízia. Register musí mať nastavený jasný revízny kalendár, napríklad štvrťročne alebo ročne podľa kritickosti rizika, a aktualizuje sa navyše okamžite po každej významnej zmene (nový systém, nový dodávateľ, legislatívna zmena, závažný incident). Bez tejto disciplíny sa register rýchlo stane statickým dokumentom „kvôli auditu“, ktorý nereflektuje reálny stav rizík. ISO 31000 interval nestanovuje, žiada však, aby monitorovanie a preskúmavanie prebiehalo priebežne počas celého procesu (čl. 6.6), nie až pred auditom.

Druhou podmienkou je, aby sa register prezentoval vedeniu a bol súčasťou bežných riadiacich stretnutí, napríklad formou desiatich najzávažnejších rizík a ich vývoja na porade manažmentu. Práve tu sa register najviac zhodnotí, lebo vstupuje priamo do rozhodovania, kým sa ešte dá ovplyvniť.

Keď má register pevnú periodicitu, spúšťače aj miesto na porade vedenia, prestane byť ročným predauditným cvičením a stane sa pracovným nástrojom.

Rýchly test: používate svoj register?

Položte si pár otázok. Kedy bola posledná zmena v registri? Má každé riziko menovite svojho vlastníka? Pozrel sa naň niekto pri poslednom veľkom rozhodnutí? Sú v ňom riziká, ktoré sa naozaj týkajú vašej firmy, alebo skôr všeobecné položky, čo by sedeli komukoľvek? Ak na väčšinu odpovedáte vyhýbavo, máte dokument, nie nástroj. Začať sa pritom dá od toho, čo už máte, a nie od prázdneho hárka. Ďalšie typické chyby sme zhrnuli v článku o najčastejších chybách v riadení rizík.

Za tým, či ľudia do registra dávajú pravdivé informácie alebo prikrášlené, stojí riziková kultúra. Register je v tomto zmysle zrkadlo: ukazuje, ako firma zaobchádza s nepríjemnými správami.

Ak chcete register, ktorý vám reálne pomáha rozhodovať, nielen prejsť auditom, na úvodnej konzultácii sa pozrieme na ten váš a navrhneme konkrétny ďalší krok, bez záväzku.