Badanie AICPA i NC State ERM Initiative z 2025 roku wskazuje, że choć 61% menedżerów przyznaje, iż ryzyko w ich organizacjach staje się coraz bardziej złożone, tylko 32% ocenia swój nadzór nad nim jako dojrzały. Ta rozbieżność często wynika z faktu, że przedsiębiorstwa identyfikują zagrożenia, ale nie sprawdzają, czy zastosowane zabezpieczenia rzeczywiście je ograniczają. Aby to ocenić, trzeba rozróżnić ryzyko istniejące przed wdrożeniem zabezpieczeń od tego, które pozostaje po ich zastosowaniu. Pierwsze z nich nazywamy ryzykiem nieodłącznym lub inherentnym (ang. inherent risk), drugie zaś ryzykiem rezydualnym (ang. residual risk). W tym artykule przyjrzymy się obu tym pojęciom oraz ich znaczeniu dla organizacji.
- 1. Czym jest ryzyko inherentne?
- 2. Co charakteryzuje ryzyko rezydualne?
- 3. Ryzyko inherentne i rezydualne jako narzędzia decyzyjne
- 4. Rola kontroli i mitygacji ryzyka
- 5. Ocena skuteczności kontroli
- 6. Apetyt na ryzyko i progi decyzyjne
- 7. Przykłady z obszaru IT i cyberbezpieczeństwa
- 8. Najczęstsze błędy w ocenie ryzyka
- 9. Poziomy ryzyka w GRC i audycie
- 10. Podsumowanie i dobre praktyki
- 11. Najczęściej zadawane pytania
Czym jest ryzyko inherentne?
Ryzyko inherentne, zwane także ryzykiem wbudowanym, to poziom zagrożenia, który występuje, zanim zaczną działać kontrole ryzyka, a organizacja wdroży jakiekolwiek zabezpieczenia. Wynika ono z samej natury prowadzonej działalności, niezależnie od tego, co firma robi, żeby się chronić. Proces obsługi płatności jest narażony na oszustwa, system informatyczny na ataki, a dane wrażliwe mogą wyciec. To właśnie jest ryzyko inherentne, ponieważ towarzyszy działalności od początku.
W efektywnym zarządzaniu ryzykiem świadomość tego poziomu zagrożenia stanowi punkt wyjścia do dalszej pracy. Pozwala ona porównywać obszary działalności i sprawdzać, gdzie ryzyko jest największe jeszcze przed oceną skuteczności zabezpieczeń.
Co charakteryzuje ryzyko rezydualne?
Ryzyko rezydualne lub szczątkowe to ryzyko, które nie znika po wdrożeniu zabezpieczeń. Nawet przy istniejących procedurach, systemach ochrony i przeszkolonym personelu pewien stopień ryzyka zawsze się utrzymuje. Ryzyko rezydualne odnosi się właśnie do tego pozostałego poziomu zagrożenia i uwzględnia skuteczność zastosowanych środków kontrolnych, a nie tylko ich formalne istnienie.
Przy podejmowaniu kluczowych decyzji biznesowych należy brać pod uwagę ryzyko rezydualne. Jeśli organizacja posiada zabezpieczenia, ale nie monitoruje ich skuteczności ani nie wyznacza osób za nie odpowiedzialnych, ich efektywność stopniowo spada. W rezultacie ryzyko wzrasta, mimo że dokumentacja może wskazywać na coś przeciwnego.
Ryzyko inherentne i rezydualne jako narzędzia decyzyjne
Rozróżnienie między tymi dwoma poziomami wprowadza ład i logikę w procesie zarządzania ryzykiem, ponieważ umożliwia oddzielenie oceny samych zagrożeń od oceny tego, czy zabezpieczenia faktycznie je ograniczają. Dzięki temu zespoły odpowiedzialne za ryzyko, IT i bezpieczeństwo mają wspólny punkt odniesienia przy ustalaniu priorytetów i podejmowaniu decyzji.
Ten podział ma też praktyczne konsekwencje dla organizacji. Jeśli ryzyko inherentne jest wysokie, a rezydualne niskie, zabezpieczenia działają. Jeśli ryzyko rezydualne pozostaje wysokie mimo rozbudowanych kontroli ryzyka, warto sprawdzić, czy zabezpieczenia naprawdę odpowiadają zagrożeniom, z którymi firma się mierzy.
Rola kontroli i mitygacji ryzyka
Poziomy ryzyka stają się użytecznym narzędziem zarządzania dopiero wtedy, gdy organizacja potrafi powiązać je z konkretnymi działaniami. Te działania opierają się na stałych kontrolach ryzyka oraz jego mitygacji.
Kontrole ryzyka to mechanizmy organizacyjne, proceduralne i techniczne, które ograniczają prawdopodobieństwo wystąpienia zdarzenia albo jego skutki. Mogą one dotyczyć dostępu do systemów, zatwierdzania zmian, monitoringu, kopii zapasowych, zarządzania podatnościami, a także wymagań wobec dostawców. Kontrola jest użyteczna, gdy odnosi się do konkretnego zagrożenia, wiadomo, kto za nią odpowiada, i można sprawdzić jej skuteczność.
Mitygacja ryzyka to z kolei ogół działań prowadzących do obniżenia jego poziomu. W zależności od rodzaju ryzyka może oznaczać wdrożenie nowego zabezpieczenia, zmianę procesu, ograniczenie zakresu przetwarzanych danych, rozdzielenie uprawnień albo przebudowę architektury. Dobrze zaplanowana mitygacja przekłada się na wymierny spadek ryzyka rezydualnego, bo zmienia realną ekspozycję po zastosowaniu zabezpieczeń.
W wielu organizacjach porządek w opisie ryzyka i kontroli wprowadza RCSA (ang. risk and control self-assessment). To podejście ułatwia porównanie wyników i wprowadza spójne zasady oceny w całej organizacji.
Ocena skuteczności kontroli
Wdrożenie kontroli ryzyka to dopiero początek. Zależy nam przecież przede wszystkim na tym, aby przynosiła ona efekt, a to wymaga regularnej weryfikacji. Testy, przeglądy i wyniki audytu pokazują, czy kontrola działa tak, jak powinna, czy tylko figuruje w procedurach.
Wynik weryfikacji powinien bezpośrednio wpływać na ocenę ryzyka. Jeśli kontrola działa gorzej niż zakładano, ryzyko rezydualne jest wyższe niż wynika z rejestru, a decyzje zarządu opierają się na błędnych danych. Dlatego sprawdzanie, czy kontrole działają oraz aktualizacja oceny ryzyka stanowią jeden proces, a nie dwa osobne zadania.
W większych organizacjach, gdzie kontrole są rozproszone między różnymi zespołami i systemami, trudniej jest utrzymać spójność weryfikacji. Warto wtedy wiedzieć, jak zintegrować kontrole wewnętrzne z zarządzaniem ryzykiem, bo połączenie kontroli, dowodów i wyników w jednym obiegu sprawia, że ocena ryzyka odzwierciedla rzeczywistość, a nie stan sprzed kilku miesięcy.
Apetyt na ryzyko i progi decyzyjne
Termin apetyt na ryzyko określa, jaki poziom ryzyka organizacja jest gotowa zaakceptować. Taka rama jest potrzebna, ponieważ w każdej firmie pojawiają się obszary, w których koszty zabezpieczeń rosną szybciej niż wynikające z nich korzyści.
Apetyt na ryzyko odnosi się do poziomu ryzyka rezydualnego, który organizacja uznaje za dopuszczalny po wdrożeniu zabezpieczeń. Wynik oceny przekraczający przyjęty próg pociąga za sobą konieczność zdecydowania o dodatkowych działaniach, zmianie procesu, przeniesieniu części ryzyka albo o formalnej akceptacji odchylenia.
Warto z góry ustalić, kto zatwierdza wyjątki i jak często aktualizowana jest ocena ryzyka po zmianach w środowisku zagrożeń lub w kontrolach. Dzięki temu apetyt na ryzyko przestaje być jednorazową deklaracją, a staje się podstawą regularnych decyzji o tym, czy ryzyko rezydualne mieści się w przyjętych granicach.
Przykłady z obszaru IT i cyberbezpieczeństwa
Najłatwiej zrozumieć zależności między ryzykiem nieodłącznym (inherentnym) a rezydualnym na konkretnych przykładach. Poniżej pokazujemy, jak ten sam schemat działa w trzech różnych obszarach.
Dostęp do systemów krytycznych
Administratorzy, deweloperzy i zewnętrzni dostawcy często mają dostęp uprzywilejowany do kluczowych systemów, czyli uprawnienia wykraczające poza to, czego wymaga ich codzienna praca. Ryzyko nieodłączne jest tu wysokie, bo błąd lub nadużycie może mieć poważne konsekwencje. Kontrole ryzyka w tym obszarze, takie jak segmentacja uprawnień, uwierzytelnianie wieloskładnikowe i monitoring działań, mają to ryzyko ograniczać. Ryzyko rezydualne zależy od tego, czy są one faktycznie stosowane i czy monitoring wykrywa nieprawidłowości na czas. Jeśli nie, ryzyko pozostaje wysokie niezależnie od tego, co mówi dokumentacja, i organizacja musi zdecydować, czy mieści się to w jej apetycie na ryzyko.
Phishing i przejęcie konta pracownika
Wyłudzenie danych logowania, czyli phishing, to jeden z najczęstszych sposobów, w jaki atakujący dostają się do systemów firmy. Nawet pojedynczy błąd pracownika może otworzyć im drzwi do wrażliwych danych. Organizacje ograniczają to ryzyko przez filtrowanie poczty, uwierzytelnianie wieloskładnikowe i jasne procedury reagowania na podejrzane wiadomości. Samo przeszkolenie pracowników rzadko wystarcza, bo ryzyko rezydualne spada dopiero wtedy, gdy zabezpieczenia techniczne i organizacyjne działają razem. Dla firm objętych NIS2 ma to dodatkowe znaczenie, bo incydent wpływający na ciągłość usługi lub dane osobowe wymaga zgłoszenia i udokumentowania podjętych działań.
Podatności w systemach
Systemy z lukami w zabezpieczeniach są łatwym celem dla atakujących. Im bardziej organizacja zależy od jednego systemu, tym wyższe jest ryzyko inherentne, bo awaria lub atak mogą zatrzymać całą działalność. Regularne aktualizacje, ocena podatności i przetestowane procedury odtworzeniowe to kontrole ryzyka, bez których trudno mówić o realnym bezpieczeństwie. Ryzyko rezydualne często pozostaje wysokie nie dlatego, że kontroli brakuje, ale dlatego, że aktualizacje są odkładane, a plany odtworzenia nigdy nie zostały sprawdzone w praktyce.
Najczęstsze błędy w ocenie ryzyka
Błędy w zarządzaniu ryzykiem mają wspólny mianownik. Wynikają najczęściej z rozbieżności między dokumentacją a realnym działaniem. W efekcie organizacja raportuje poziom ryzyka, który nie oddaje faktycznej ekspozycji.
Pierwszy błąd dotyczy samego podejścia do poziomów ryzyka. Organizacje koncentrują się na ryzyku nieodłącznym (inherentnym), a potem przechodzą do wniosków bez sprawdzenia, jak działają kontrole ryzyka. W takim układzie ryzyko rezydualne bywa zaniżone, ponieważ opiera się na założeniu o skuteczności, a nie na danych i dowodach.
Częstym problemem jest też utrzymanie kontroli. Dobrze zaprojektowana kontrola ma określoną częstotliwość, jest regularnie aktualizowana i podlega wskazanej osobie odpowiedzialnej za jej działanie. Brak tych elementów podnosi ryzyko rezydualne nawet wtedy, gdy dokumentacja opisuje kontrolę poprawnie. Ocena ryzyka traci aktualność, bo opisuje kontrole, które przestały działać tak, jak zakładano.
Trzecia pułapka pojawia się na poziomie decyzji. Organizacja deklaruje niski apetyt na ryzyko, a w rzeczywistości akceptuje wysoki poziom ryzyka rezydualnego bez formalnej decyzji i bez planu działań. W tle pojawia się też problem terminologiczny, bo pojęcie ryzyko inherentne bywa używane w różnych znaczeniach w zależności od zespołu, co utrudnia porównywanie wyników dla różnych rodzajów ryzyka i raportowanie.
Poziomy ryzyka w GRC i audycie
Rozdzielenie poziomów ryzyka zapewnia wspólny język dla oceny procesów, kontroli i decyzji zarządczych w obszarze GRC i audytu. Ułatwia też ustalanie priorytetów, bo pozwala odróżnić miejsca, gdzie problemem jest skala zagrożenia, od tych, gdzie ryzyko rezydualne pozostaje wysokie mimo wdrożonych zabezpieczeń.
Z perspektywy audytu wewnętrznego sama dokumentacja kontroli nie wystarczy. Audyt sprawdza, czy kontrole ryzyka są faktycznie realizowane, czy wyniki testów wpływają na ocenę ryzyka i czy zmiana kontroli prowadzi do zmiany jego poziomu. Takie podejście zapewnia powtarzalność, która jest istotna w środowisku regulacyjnym.
Odpowiednie narzędzia ułatwiają też utrzymanie spójności w większych organizacjach. Platforma do zarządzania ryzykiem łączy rejestr ryzyk z kontrolami, dowodami i historią decyzji, co pozwala zachować przejrzystość raportowania niezależnie od liczby obszarów i zespołów.
Podsumowanie i dobre praktyki
Zarządzanie ryzykiem działa sprawnie, gdy opiera się na klarownym rozdzieleniu jego poziomów i konsekwentnej pracy z kontrolami. Ryzyko nieodłączne ustawia punkt odniesienia, a ryzyko rezydualne prowadzi do decyzji, priorytetów i planu działań.
Ocenę ryzyka warto aktualizować regularnie, bo ryzyko zmienia się wraz z rozwojem firmy, jej dostawcami i sposobem pracy. Regularne testowanie kontroli ryzyka wzmacnia jakość oceny, a jasno określony apetyt na ryzyko chroni przed nieświadomym przyjmowaniem zbyt wysokiego ryzyka. Mitygacja ryzyka przynosi wtedy rzeczywisty efekt, a nie tylko poszerza dokumentację.
