Stanowisko
Zarządzanie ryzykiem
Skąd wiecie, że Wasz rejestr ryzyk opisuje dzisiejszą firmę? Jeśli ostatni raz aktualizowaliście go przy poprzednim przeglądzie zarządu, to opisuje firmę sprzed roku.
Rozmowa wstępna
Cztery pytania, od których byśmy zaczęli
Skąd wiecie, że rejestr ryzyk jest aktualny?
Jeśli jedynym momentem aktualizacji jest warsztat raz w roku, to między warsztatami rejestr jest dokumentem historycznym.
Kiedy zapada decyzja o działaniu ograniczającym ryzyko?
Na przeglądzie czy wtedy, gdy ryzyko już się zmaterializowało. To rozróżnienie decyduje o tym, czy funkcja ryzyka ma sens.
Co zostaje po warsztacie z ryzykami, gdy jego uczestnicy odejdą?
Jeśli lista bez uzasadnień i bez przypisanych działań, to następny warsztat zaczyna od zera.
Który rodzaj zdarzeń powtarza się u Was najczęściej?
Zdarzenia, które już wystąpiły, są najtańszym źródłem wiedzy o ryzykach - pod warunkiem, że ktoś je zestawia.
Zdejmujemy prowadzenie rejestru, zostawiamy ocenę ryzyka
Zbieranie sygnałów, utrzymanie rejestru, pilnowanie działań i przygotowanie raportów dają się odciążyć. Ocena prawdopodobieństwa i skutku zostaje przy człowieku.
- Rejestr aktualizuje się z sygnałów, nie tylko z warsztatów. - Zdarzenia, reklamacje, awarie i ustalenia audytowe zasilają obraz ryzyka między przeglądami.
- Ryzyko ma przypisane działanie i właściciela. - Pozycja bez działania jest widoczna jako pozycja bez działania, a nie jako linijka w tabeli.
- Ocena zostaje subiektywna, ale przestaje być nieuzasadniona. - Zapisujemy, na czym opiera się ocena, żeby przy kolejnym przeglądzie dało się ją podważyć albo potwierdzić.
Zakres
Co da się odciążyć w zarządzaniu ryzykiem
Osiemnaście przykładowych zadań. Każde ma punkt zatwierdzenia po stronie człowieka. Poniżej wybrane, a zakres dopasowujemy do Waszego modelu ryzyka.
Identyfikacja ryzyk
- Zbieranie sygnałów ze zdarzeń, audytów i reklamacji
- Propozycja nowej pozycji w rejestrze (decyzja: specjalista)
- Powiązanie ryzyka z procesem i właścicielem
- Wskazanie obszarów bez zidentyfikowanych ryzyk
Ocena i priorytety
- Rejestr ocen z uzasadnieniem i datą
- Porównanie oceny z historią zdarzeń w tym obszarze
- Sygnał o ryzyku ocenionym dawno i niezweryfikowanym
- Zestawienie ryzyk wedle priorytetu (decyzja: specjalista)
Działania ograniczające
- Przypisanie działania do ryzyka z terminem i właścicielem
- Wskazanie ryzyk bez przypisanego działania
- Przypomnienie o działaniu zbliżającym się do terminu
- Ocena, czy działanie zmieniło poziom ryzyka (ocena: specjalista)
Monitoring sygnałów
- Wskaźniki wczesnego ostrzegania wedle ryzyka
- Sygnał o przekroczeniu wartości progowej
- Zestawienie zdarzeń mogących wskazywać na materializację
Raport dla zarządu
- Projekt raportu z rejestru i działań (zatwierdzenie: specjalista)
- Zmiany w rejestrze od poprzedniego przeglądu
- Zestawienie ryzyk wymagających decyzji zarządu
Dzień pracy
Dzisiaj
- Rejestr aktualizujecie przed przeglądem, zbierając dane mailem
- Oceny opierają się na warsztacie sprzed roku, bez zapisanego uzasadnienia
- Działania przypisane do ryzyk pilnujecie przypomnieniami
- Nie wiecie, które ryzyka nie mają żadnego działania
- Zdarzenia z firmy nie trafiają do rejestru
- Raport dla zarządu składacie ręcznie przez kilka dni
Z asystą AI
- Rejestr zasila się sygnałami ze zdarzeń i ustaleń
- Ocena ma zapisane uzasadnienie i datę, więc da się ją zweryfikować
- Działania mają właściciela, termin i przypomnienie
- Ryzyka bez działania są wskazane
- Zdarzenia z firmy są zestawione wedle rodzaju
- Raport powstaje z rejestru, Wy nadajecie mu wnioski
- Aktualność rejestru
rejestr opisuje firmę dzisiejszą
sygnały zasilają go między przeglądami
- Powiązanie ryzyka z działaniem
mniej pozycji bez żadnej reakcji
brak działania jest widoczny jako brak
- Sygnały przed materializacją
materializacja ryzyka bywa widoczna wcześniej
wskaźniki progowe są monitorowane
- Podstawa decyzji zarządu
przegląd dotyczy zmian, nie odtwarzania listy
raport powstaje z rejestru na bieżąco
Zaczynamy od powiązania ryzyk z działaniami, bo to najszybciej pokazuje, gdzie rejestr jest martwy.
- Krok 1
Rejestr z właścicielami i działaniami
Każde ryzyko z procesem, właścicielem i działaniem albo z wyraźnym brakiem działania.
- Krok 2
Sygnały ze zdarzeń
Zdarzenia, reklamacje, awarie i ustalenia audytowe zasilające rejestr.
- Krok 3
Wskaźniki wczesnego ostrzegania
Progi i sygnały przy ryzykach, które da się mierzyć.
- Krok 4
Raport dla zarządu
Zmiany od ostatniego przeglądu i ryzyka wymagające decyzji. Na końcu, bo wymaga żywego rejestru.
Częste pytania
Pytania, które padają na pierwszym spotkaniu
Czym to się różni od audytu wewnętrznego i compliance?
Audyt sprawdza, czy to, co ustalono, jest robione. Compliance pilnuje zgodności z obowiązkami. Ryzyko zajmuje się tym, co może się zdarzyć, choć jeszcze się nie zdarzyło - i dlatego jest jedyną z tych trzech funkcji, która pracuje bez twardych dowodów.
Czy to stanowisko przetrwa, skoro rejestr aktualizuje się sam?
Rejestr aktualizuje się sygnałami, ale ocena prawdopodobieństwa i skutku jest osądem - i tym osądem jest ta rola. Odciążamy zbieranie, pilnowanie działań i składanie raportu na przegląd. Specjalista, który nie spędza dwóch tygodni na przygotowaniu materiału, zajmuje się ryzykami, których nikt jeszcze nie nazwał.
Czy to podlega AI Act?
Zarządzanie ryzykiem nie jest zastosowaniem wysokiego ryzyka. Uwagi wymaga tylko to, żeby sygnały dotyczące zdarzeń nie składały się w ocenę osób odpowiedzialnych za obszary - rejestr prowadzimy wedle procesów, a nie wedle ludzi.
Zostało pytanie, którego tu nie ma? Umów rozmowę
Następny krok
Ile pozycji w Waszym rejestrze ryzyk nie ma przypisanego żadnego działania?
Pokażemy Wam, jak wygląda zarządzanie ryzykiem, w którym rejestr zasila się zdarzeniami, a ocena ma zapisane uzasadnienie.