Ryzyko na chłodno: czym jest ocena ryzyka i dlaczego ma znaczenie?

Od zgadywania do zarządzania: czym jest ocena ryzyka?

Zacznijmy od podstawowej definicji. Czym właściwie jest ocena ryzyka? Krótko mówiąc, to uporządkowany proces identyfikacji i analizy ryzyk, które mogą wpłynąć na organizację. Nacisk pada tu na „uporządkowany” proces, który nie ma się opierać wyłącznie na intuicji. Celem całego przedsięwzięcia jest zrozumienie poziomu ryzyka, na jakie narażona jest organizacja, i podejmowanie świadomych decyzji o tym, jak sobie z nim radzić. Nasuwa się więc oczywiste pytanie: czym jest „ryzyko” w ocenie ryzyka? Norma ISO 31000, międzynarodowy standard zarządzania ryzykiem, definiuje ryzyko jako „wpływ niepewności na cele”. Ciekawe w tej definicji jest to, że traktuje ryzyko dwustronnie – niepewność może przecież wpływać na cele nie tylko negatywnie, ale i pozytywnie. Na przykład zmienność cen ropy to poważne zagrożenie dla każdego przedsięwzięcia transportowego, ale bywa błogosławieństwem dla spółek naftowych i producentów samochodów elektrycznych. Zwróćmy też uwagę, że ryzyko odnosi się do celów, a nie po prostu do tego, że „stanie się coś złego”. To ujęcie pokazuje, co tak naprawdę jest zagrożone.

Gdy ryzyka zostaną już określone, trzeba zdecydować, jak sobie z nimi poradzić. To sprawia, że ocena ryzyka jest częścią szerszego procesu zarządzania ryzykiem Samą ocenę ryzyka można rozłożyć na identyfikację ryzyka (czyli znajdowanie ryzyk) i analizę ryzyka (czyli ocenę, jak poważne są). Trzecim etapem całego cyklu identyfikacja–analiza–ocena jest decyzja o tym, jak postąpić z ryzykiem.

Poznaj ryzyko, zanim uderzy: dlaczego ocena ryzyka ma znaczenie?

Podobnie jak jazda we mgle „na wyczucie”, tak i zarządzanie ryzykiem „na wyczucie” nie jest bezpieczne. Intuicji doświadczonego menedżera nie należy oczywiście lekceważyć, ale lepiej podeprzeć ją twardymi danymi i analizą. Ocena ryzyka dostarcza decydentom informacji potrzebnych do rozdzielania zasobów i doboru zabezpieczeń. Wspiera świadome, oparte na danych decyzje i zapobieganie problemom, zamiast ślepego reagowania na nie już po ich wystąpieniu. Bez niej wydatki na bezpieczeństwo to niewiele więcej niż zgadywanka.

W dłuższej perspektywie dobra ocena ryzyka buduje odporność organizacji. Stanowi podstawę zgodności z przepisami, a wiele regulacji wręcz wymaga udokumentowanej oceny ryzyka. W krótszej i średniej perspektywie pomaga organizacji ustalać priorytety – nie na każde ryzyko da się i trzeba odpowiadać w tym samym czasie, a dobre dane z oceny ryzyka pozwalają zdecydować, którymi problemami zająć się w pierwszej kolejności i jak zagospodarować dostępne środki.

Ocena ryzyka, rozumiana jako ciągła pętla identyfikacja–analiza–ocena, jest potrzebna również dlatego, że ryzyko jest dynamiczne – zmieniają się zarówno krajobraz zagrożeń, jak i sama organizacja.

Wreszcie, ma to sens biznesowy. Ocena ryzyka nie tylko pozwala uniknąć potencjalnie kosztownych problemów, ale też wyraźnie łączy ryzyko ze strategią i celami. Czyni ryzyko widocznym i zrozumiałym dla kierownictwa, inwestorów i innych interesariuszy. Dzięki temu łatwiej pozyskać i uzasadnić wydatki na bezpieczeństwo i odporność.

Pętla w czterech krokach: jakie są główne etapy procesu oceny ryzyka?

Naszkicowaliśmy już proces oceny ryzyka w ogólnych zarysach; teraz omówimy go bardziej szczegółowo.

1. Identyfikacja. Na tym etapie celem jest zidentyfikowanie wszystkich potencjalnych ryzyk. Pamiętając o definicji ryzyka z ISO 31000, chodzi o wydobycie na wierzch wszystkiego, co niepewne i może wpłynąć na cele organizacji.
2. Analiza. Tu następuje oszacowanie prawdopodobieństwa i skutków każdego ryzyka. Uwaga: „oszacowanie” nie znaczy „zgadywanie”. Nawet w przypadku ryzyk, które wydają się oczywiste, lepiej zebrać konkretne dane, przydatne na dalszych etapach procesu.
3. Ewaluacja. Skoro znane jest już prawdopodobieństwo każdego ryzyka, można je porównać z przyjętymi przez organizację kryteriami akceptacji ryzyka. Kryteria te – a konkretnie apetyt na ryzyko i tolerancję ryzyka – omówimy szczegółowo później. Teraz ważne, by pamiętać, że te granice powinny być wyznaczone wcześniej i zależą od charakteru organizacji (np. giełda kryptowalut akceptuje znacznie wyższe ryzyko niż fundusz emerytalny).
4. Priorytetyzacja. Wiedząc, jak prawdopodobne i jak poważne jest ryzyko oraz jak wypada na tle kryteriów akceptacji organizacji, można zdecydować, którymi ryzykami zająć się najpierw i ile zasobów na nie przeznaczyć.

Proces opisany przez ISO 31000 obejmuje też dwa działania prowadzone równolegle: komunikację i konsultacje oraz ustalanie kontekstu (zakresu, celów, kryteriów).

Efektem powyższego procesu jest rejestr ryzyk, który nie tylko wymienia ryzyka wraz z ich opisami, prawdopodobieństwami, ocenami i decyzjami o postępowaniu, ale też przypisuje im właścicieli, aby zapewnić odpowiedzialność za obsługę ryzyka.

Nie obronisz się przed tym, czego nie widzisz: jak identyfikować ryzyko?

Identyfikacja to pierwszy etap procesu oceny ryzyka, na którym opiera się cała reszta. Sama w sobie niewiele rozwiązuje (jedynie nieformalnie – dając ludziom wiedzę, na co uważać), ale jeśli nie będzie kompletna, na wszystkich kolejnych etapach pozostaną luki w strategii zarządzania ryzykiem. Dlatego jest to zarazem etap najtrudniejszy do poprawienia bez naruszania całej struktury.

Jak więc identyfikować ryzyka? Niektóre bywają oczywiste, ale sensem całego procesu jest wychwycenie tych mniej oczywistych. Można tu zastosować kilka ciekawych metod. Norma ISO/IEC 31010 kataloguje ponad 30 formalnych technik identyfikacji i oceny (FMEA, bow-tie, drzewo błędów itd.). Omówmy ogólnie kilka z nich.

• Międzyoddziałowe burze mózgów z udziałem różnych osób ze wszystkich istotnych działów – IT, operacji, finansów, działu prawnego, HR, pracowników pierwszej linii, każdego, kto ma styczność z ocenianym procesem lub systemem. Im więcej różnych perspektyw, tym lepiej.
• Ustrukturyzowane wywiady z interesariuszami. Znów – stawiaj na różnorodność. Ważna jest też ich ustrukturyzowana forma: przygotuj kwestionariusz, aby odpowiedzi były porównywalne i nic istotnego nie umknęło.
• Ankiety wśród członków zespołu. Kwestionariusze są mniej otwarte niż wywiady, ale pozwalają zebrać dane od większej liczby osób. Jak zawsze obowiązuje zasada różnorodności.
• Przegląd wcześniejszych incydentów i danych historycznych. To bardzo cenne w przypadku procesów o długiej historii i nie musi ograniczać się do historii własnej organizacji. Uczenie się na cudzych błędach to świetny pomysł. I nie przejmuj się, jeśli dany problem już rozwiązano – i tak powinien znaleźć się w raporcie, bo być może pojawiły się nowe rozwiązania.
• Listy kontrolne i standardowe taksonomie ryzyk. Skorzystaj z gotowej listy znanych kategorii ryzyka (np. z jakiejś normy lub wcześniejszych projektów), aby systematycznie sprawdzić, które z nich dotyczą twojej organizacji (zamiast polegać wyłącznie na pamięci czy wyobraźni).
• Mapowanie procesów. Rozrysuj kolejno każdy krok procesu i przy każdym z nich spytaj, co może pójść nie tak. FMEA (analiza rodzajów i skutków możliwych błędów) to przykład sformalizowanego mapowania procesów. Polega na przejściu przez system element po elemencie i pytaniu: „Jak ta część może zawieść i jak bardzo byłoby to groźne?”
• Analiza scenariuszy. Buduj szczegółowe, wiarygodne narracje o konkretnych sposobach, w jakie ryzyko może się zmaterializować, aby ujawnić ryzyka i skutki, których prosta lista kategorii by nie pokazała.
• Analiza porównawcza (benchmarking) względem standardów branżowych i/lub innych firm. Sprawdź, jakie ryzyka i incydenty dotknęły podobne organizacje albo co dana norma wskazuje jako typowe dla twojej branży. Ryzyka dotyczące podobnych organizacji prawdopodobnie dotyczą też ciebie.
• Analiza drzewa błędów (FTA). Zacznij od jednego złego skutku i cofaj się, mapując każdą kombinację awarii, która mogłaby go wywołać.
• Analiza „muszki” (bow-tie). Umieść jedno ryzyko na środku diagramu, po jednej stronie jego przyczyny i zabezpieczenia prewencyjne, a po drugiej – skutki i środki ograniczające.

Prawdopodobieństwo spotyka skutek: jak analizować i oceniać ryzyko?

Na etapie analizy dla każdego ryzyka ocenia się dwa parametry: prawdopodobieństwo (jak możliwe jest, że to się wydarzy?) oraz wpływ/skutek (jak dotkliwe by to było?). Analiza obejmuje także badanie źródeł lub przyczyn każdego ryzyka oraz wpływu, jaki mają na nie istniejące środki kontroli.

Ewaluacja z kolei polega na porównaniu wyników analizy z kryteriami ryzyka (omówionymi niżej), aby rozstrzygnąć, czy ryzyko jest akceptowalne. Odpowiada na pytanie, czy organizacja może dane ryzyko przyjąć i czy mieści się ono w akceptowalnych granicach. Walczyć z nim czy je zaakceptować? Efektem etapu ewaluacji jest uszeregowana lista ryzyk wraz z rekomendacją postępowania dla każdego z nich.

Ryzyko, które widać: czym różni się ryzyko inherentne od szczątkowego?

Te dwie kategorie ryzyka mają znaczenie na etapie analizy i ewaluacji. Ryzyko wbudowane (inherentne) to poziom ryzyka przed zastosowaniem jakichkolwiek środków kontroli czy ograniczających. Odzwierciedla bazową ekspozycję na niepewność, jaką tworzy samo prowadzenie działalności. Na przykład firma obsługująca płatności online ma wysokie inherentne ryzyko naruszenia danych po prostu dlatego, że przechowuje dane finansowe, które są łakomym kąskiem dla cyberprzestępców.

Ryzyko szczątkowe (rezydualne) to z kolei ryzyko, które pozostaje po zastosowaniu środków kontroli i postępowania z ryzykiem. Innymi słowy, to rzeczywista ekspozycja organizacji w danych warunkach. Środki kontroli mogą zmniejszyć prawdopodobieństwo i/lub skutki ryzyka, ale żaden z nich nie eliminuje ich całkowicie. Ryzyko szczątkowe nadal trzeba dokumentować, monitorować i przeglądać, bo czasem potrzebne jest dalsze postępowanie albo pojawiają się nowe możliwości.

Jeśli śledzisz tylko jedną z tych dwóch kategorii, nieuchronnie albo zaniżysz ekspozycję, albo przecenisz siłę zabezpieczeń. Śledzenie samego ryzyka inherentnego ignoruje wartość środków kontroli, a śledzenie samego ryzyka szczątkowego ukrywa, jak skuteczne są te środki.

Ile to za dużo? Apetyt na ryzyko a tolerancja ryzyka

To dwa łatwe do pomylenia pojęcia. Apetyt na ryzyko określa poziom ryzyka, jaki organizacja świadomie akceptuje w dążeniu do swoich celów. Organizacje mogą akceptować różne poziomy ryzyka na różnych etapach rozwoju – start-up chętniej podejmie ryzyko niż ugruntowana firma. Bywa on też różny dla różnych działań nawet w obrębie tej samej firmy: bank może mieć wysoki apetyt na ryzyko przy inwestycjach kapitałowych, a jednocześnie niemal zerowy w obszarze zgodności z przepisami czy bezpieczeństwa danych. Apetyt na ryzyko to czynnik strategiczny: ustalany na poziomie zarządu i względnie stabilny.

Tolerancja ryzyka to natomiast dopuszczalne odchylenie od przyjętego poziomu dla konkretnego ryzyka lub procesu. W odróżnieniu od poprzedniej kategorii jest to czynnik operacyjny, który może się zmieniać w zależności od konkretnego procesu czy okoliczności. Jeśli firma ogólnie toleruje ryzyko rzędu ~1%, to jakie zaakceptuje dla działania o wysokim potencjalnym zysku? 2%? 10%? Na to pytanie odpowiada tolerancja ryzyka.

Oba te czynniki bezpośrednio kształtują decyzje o reagowaniu na ryzyko. Organizacja zwykle ostrożna może przyjąć większe niż zwykle ryzyko, jeśli uzasadnia to potencjalny zysk. Na przykład zachowawcza z natury firma farmaceutyczna może postawić na nową szczepionkę w czasie pandemii (ze względu na potencjalny popyt i wyższą konieczność).

Bez zdefiniowania apetytu na ryzyko i tolerancji ryzyka priorytetyzacja staje się zgadywanką, a wydatki trudno uzasadnić. To właśnie z tymi czynnikami należy porównywać ryzyko szczątkowe, aby ocenić, czy jest akceptowalne.

Więcej niż przeczucie: ocena jakościowa czy ilościowa?

To dwie różne metody oceny ryzyka, z których każda ma swoje wady i zalety.

Jakościowa ocena ryzyka szacuje prawdopodobieństwo i skutki niekorzystnego zdarzenia za pomocą opisowych etykiet, takich jak niskie, średnie i wysokie, i opiera się na percepcji oraz doświadczeniu oceniających. Jej zalety to szybkość i niski koszt – wymaga minimum danych i obliczeń, a wykorzystuje wiedzę ekspercką. Wadą jest subiektywność i trudność w porównywaniu różnych ryzyk. Typowym produktem jakościowej analizy ryzyka jest kolorowa macierz ryzyka (patrz niżej).

Ilościowa ocena ryzyka z kolei przypisuje wartości liczbowe szacunkom prawdopodobieństwa i skutków. O ile to pierwsze wciąż jest po części arbitralne, o tyle drugie można wyrazić w kwotach jako potencjalną stratę finansową wynikającą z niekorzystnego zdarzenia. To czyni ją zarazem zrozumiałą i przekonującą. Jest to podejście obiektywne i oparte na danych, korzystające z analizy statystycznej i modeli matematycznych. Plusy oceny ilościowej to precyzja i porównywalność, wsparcie decyzji na podstawie analizy kosztów i korzyści. Jest przekonująca dla współczesnych menedżerów i inwestorów, którzy są skłonni widzieć firmę jako arkusz kalkulacyjny. Minusem jest jednak to, że ocena ilościowa zależy od dobrych danych historycznych, których większości organizacji brakuje, i zwykle wymaga więcej czasu oraz wiedzy, by zrobić ją porządnie. Dlatego jest używana najczęściej w dojrzałych, bogatych w dane sektorach, takich jak ubezpieczenia, finanse, energetyka jądrowa czy lotnictwo.

Złotym środkiem jest ocena półilościowa, w której do kategorii jakościowych przypisuje się skale liczbowe. Pozwala to sumować i porównywać oceny między różnymi typami ryzyka. Macierz ryzyka to najpopularniejsze narzędzie półilościowe. W praktyce najlepiej zacząć od oceny jakościowej i przechodzić ku ilościowej w miarę dojrzewania danych. Pamiętajmy, że ocena ryzyka to proces ciągły.

Nanieść nieprzewidywalne: jak działa macierz ryzyka?

Termin „macierz ryzyka” padł już dwukrotnie, więc pewnie czas wyjaśnić, co to jest. Najprościej mówiąc, jest to wykres, na którym nanosi się prawdopodobieństwo ryzyk na jednej osi, a ich skutki na drugiej. Te, które najprawdopodobniej spowodują największe zakłócenia, trafiają do górnego prawego rogu. To czytelne wizualne przedstawienie tego, które problemy są najpilniejsze i którymi należy zająć się najpierw – co czyni ją zarówno narzędziem analizy, jak i komunikacji.

Najczęstszy format macierzy ryzyka to siatka 3×3 lub 5×5. Zwykle każde pole jest oznaczone kolorem (najczęściej od zielonego do czerwonego), aby pokazać łączny poziom ryzyka, jak na przykładowej ilustracji poniżej:

• Wysokie prawdopodobieństwo i wysoki skutek (czerwony) = działaj natychmiast.
• Niskie prawdopodobieństwo i niski skutek (zielony) = zaakceptuj lub tylko monitoruj.

Ilustracja: przykładowa macierz ryzyka.

Choć macierz ryzyka jest użyteczna przy analizie i (jeszcze bardziej) przy komunikowaniu wyników, nie jest pozbawiona wad. Po pierwsze, jest skuteczna tylko wtedy, gdy kryteria oceny są ujednolicone i uzgodnione w całej organizacji. Jeśli nie ma wspólnej definicji tego, co właściwie znaczą „niskie”, „średnie” i „wysokie”, macierz nie ma wielkiej wartości. Tworzy też złudne poczucie precyzji, które nie oddaje ograniczeń oceny jakościowej. Często zdarza się też, że ryzyka o wysokim skutku i niskim prawdopodobieństwie są systematycznie niedoszacowywane.

Ograniczyć, przenieść, unikać, zaakceptować: co po ocenie ryzyka?

Skoro wszystkie ryzyka zostały już zidentyfikowane i uszeregowane, trzeba zdecydować, jak sobie z nimi poradzić. Cztery standardowe opcje postępowania to: Ograniczenie, Przeniesienie, Unikanie i Akceptacja .

Ograniczyć (zmitygować) ryzyko to znaczy dodać środki kontroli i procedury, które obniżają jego prawdopodobieństwo lub łagodzą skutki. Sposobów na ograniczanie ryzyka jest tyle, ile samych ryzyk. Do popularnych należą np. szkolenia, które pomagają pracownikom w porę dostrzec nadchodzący problem i mu zapobiec albo nauczyć się reagować, gdy już wystąpi. Właśnie dlatego przeprowadza się próbne alarmy przeciwpożarowe. Inne częste metody to ograniczanie dostępu do wrażliwych obiektów, sprzętu czy danych. A skoro o danych mowa – dwa najprostsze sposoby na ograniczenie całej gamy powiązanych ryzyk to wprowadzenie uwierzytelniania dwuskładnikowego i tworzenie kopii zapasowych. Pożarów, wycieków danych, ataków ransomware i awarii dysków nigdy nie da się całkowicie wyeliminować, ale przy odpowiednich narzędziach można je uczynić mniej prawdopodobnymi i/lub zminimalizować ich skutki.

Przenieść ryzyko to znaczy przerzucić odpowiedzialność finansową i/lub operacyjną na stronę trzecią. Najbardziej oczywistą metodą jest ubezpieczenie, w którym ubezpieczyciel przejmuje odpowiedzialność finansową za koszt niekorzystnego zdarzenia (lub jego część). Jest to najczęstsze w przypadku ubezpieczeń od siły wyższej lub od odpowiedzialności cywilnej. To pierwsze dotyczy ryzyka, którego w niektórych przypadkach nie da się wyeliminować ani nawet ograniczyć, więc najlepszym sposobem na jego zniwelowanie jest ubezpieczenie. To drugie ryzyko można ograniczać na wiele sposobów, ale z uwagi na koszty często związane z odpowiedzialnością za szkody wyrządzone osobom trzecim, większość organizacji ma ostatnią poduszkę bezpieczeństwa w postaci ubezpieczenia OC.

Alternatywą dla ubezpieczenia jest umowne przejęcie odpowiedzialności (indemnifikacja), w którym jedna strona jakiejś innej umowy zgadza się pokryć koszty określonych niekorzystnych zdarzeń. Może to działać w obie strony między klientem a dostawcą. Na przykład, w umowach najmu to zwykle klient przejmuje odpowiedzialność za np. wszelkie szkody związane z korzystaniem z wynajętego obiektu. Z kolei np. w umowach licencyjnych (takich jak na oprogramowanie czy materiały objęte prawami autorskimi) często to dostawca bierze na siebie odpowiedzialność za problemy spowodowane przez licencjonowane oprogramowanie, naruszenia praw autorskich itp. Jeszcze innym sposobem przeniesienia ryzyka jest outsourcing, w którym zewnętrzny podmiot przejmuje dane zadanie wraz z powiązanym ryzykiem. Trzeba jednak zaznaczyć, że outsourcing sam w sobie może być źródłem ryzyka, więc należy go starannie rozważyć, zwłaszcza gdy chodzi o bezpieczeństwo danych.

Aby uniknąć ryzyka, po prostu przestań robić to, z czym się ono wiąże. Może to być konkretna działalność, technologia czy projekt, z którego rezygnuje się całkowicie, by usunąć ryzyko – na przykład przez wyjście z określonego rynku, wycofanie linii produktów itd. Dobrym aktualnym przykładem jest wdrażanie AI: wiele firm zainwestowało w sztuczną inteligencję, część nawet zwolniła pracowników, ale – jak pokazuje badanie MIT NANDA The GenAI Divide: State of AI in Business 2025 – większość z nich nie odniosło żadnych korzyści, a wiele musiało wręcz wycofać wprowadzone zmiany. Jednym ze sposobów na całkowite uniknięcie tego ryzyka byłoby w ogóle nie wdrażać niesprawdzonej nowej technologii.

Wreszcie, ryzyko można świadomie zaakceptować i funkcjonować dalej ze znanym ryzykiem. Choć może się to wydawać nierozsądne, czasem ryzyko o niskim prawdopodobieństwie i niezbyt poważnych skutkach jest tak trudne lub kosztowne do ograniczenia, że po prostu nie warto się nim przejmować. Na przykład: w zeszłym roku Półwysep Iberyjski doświadczył ogólnokrajowej awarii zasilania. Firma zależna od prądu mogła to ryzyko ograniczyć – i niektóre to zrobiły: działało kilka bankomatów, część masztów telefonii komórkowej, a osiedlowe sklepiki przeszły na rozliczenia gotówkowe. Dla większości firm jest to jednak zjawisko tak wyjątkowo rzadkie, że utrata jednego dnia działalności nie jest warta przygotowań na taką ewentualność. Inny przykład pochodzi z Polski: w Białymstoku główna trasa rowerowa przechodzi pod mostami drogowymi wzdłuż rzeki, by ominąć ruch. Oznacza to, że kilkadziesiąt metrów tej trasy bywa czasem zalewane. Czy dałoby się temu zapobiec? Zapewne tak, ale ograniczanie problemu, który zdarza się średnio raz w roku, najzwyczajniej się nie opłaca. Dlatego władze miasta po prostu ustawiły znaki ostrzegawcze i pogodziły się z koniecznością okazjonalnego usuwania kilkunastu centymetrów błota ze ścieżki rowerowej.

Bardzo ważne jest dokumentowanie każdej decyzji o postępowaniu z ryzykiem, szczególnie w przypadku akceptacji, która nie zostawia po sobie naturalnego śladu (bo nie podejmuje się żadnych działań). Zarazem, z punktu widzenia interesariuszy istnieje przepaść między świadomym, celowym podejmowaniem ryzyka a narażeniem na ryzyko przez zaniedbanie. Udokumentowanie procesu jest dowodem należytej staranności – zwłaszcza gdy decyzjom o akceptacji towarzyszą działania ograniczające (strategie mitygacji) zastosowane wobec innych ryzyk.

Po wdrożeniu środki postępowania z ryzykiem stają się środkami kontroli. ISO 31000 definiuje środek kontroli jako każdą politykę, procedurę, praktykę, proces, technologię, technikę, metodę lub urządzenie, które modyfikuje ryzyko. Kluczowe jest też ponowne zmierzenie ryzyka szczątkowego po zakończeniu postępowania, aby potwierdzić, że mieści się ono w granicach tolerancji.

Normy, na których można polegać: gdzie w ISO 31000, 27001 i 22301 mieści się ocena ryzyka?

ISO 31000 to ogólna norma zarządzania ryzykiem: zbiór zasad i wytycznych, z których każda organizacja, w każdym sektorze, może skorzystać, by uporządkować sposób zarządzania ryzykiem. Wyznacza proces zarządzania ryzykiem, który śledziliśmy w całym artykule: ustalenie kontekstu, identyfikację ryzyk, ich analizę, ewaluację i postępowanie z nimi, a następnie monitorowanie, z komunikacją i konsultacjami towarzyszącymi całości. Jej norma towarzysząca, ISO/IEC 31010, to źródło wiedzy o tym, „jak to się robi”: kataloguje ponad trzydzieści konkretnych technik identyfikacji i analizy ryzyka, od prostych narzędzi, jak macierz ryzyka, po bardziej rygorystyczne, jak FMEA czy analiza drzewa błędów i metoda „muszki”. Warto jasno zaznaczyć, że ISO 31000 to wytyczne, a nie norma certyfikowalna. Organizacja może dostosować do niej swoje praktyki, a nawet poddać się nieformalnemu audytowi, ale nie ma żadnego „certyfikatu ISO 31000” do powieszenia na ścianie.

ISO/IEC 27001 to z kolei norma certyfikowalna, a ocena ryzyka leży u jej podstaw. To międzynarodowa norma systemów zarządzania bezpieczeństwem informacji, a każda wdrażająca ją organizacja jest zobowiązana przeprowadzić formalną ocenę ryzyka jako krok fundamentalny. To właśnie ta ocena decyduje, które z zabezpieczeń wymienionych w Załączniku A normy są rzeczywiście istotne i wymagają zastosowania. Nie wdraża się z automatu wszystkich zabezpieczeń – wdraża się te, których potrzebę wykazała ocena ryzyka. Proces oceny ryzyka wymagany przez ISO 27001 pokrywa się bezpośrednio z ogólnym procesem ISO 31000 opisanym powyżej, więc organizacja obeznana już z 31000 nie zaczyna od zera, gdy przechodzi konkretnie do bezpieczeństwa informacji.

ISO 22301 stosuje tę samą logikę do innego problemu: ciągłości działania. To norma systemów zarządzania ciągłością działania i również tutaj ocena ryzyka wykonuje pracę u podstaw. To dzięki niej organizacja ustala, które scenariusze zakłóceń (cyberatak, awaria dostawcy, klęska żywiołowa, pandemia) są na tyle prawdopodobne i poważne, by uzasadniały powstanie planu ciągłości działania.

We wszystkich tych trzech normach przewija się ta sama myśl przewodnia: ocena ryzyka nie jest tylko jednorazowym ćwiczeniem z zakresu zgodności doczepionym do certyfikacji. To ona dyktuje, co organizacja faktycznie musi zrobić, niezależnie od tego, czy celem jest ogólne zarządzanie ryzykiem, bezpieczeństwo informacji, czy utrzymanie ciągłości działania, gdy coś pójdzie nie tak.

Sedno sprawy: podsumowanie i najważniejsze wnioski

• Ocena ryzyka to proces ciągły i uporządkowany, a nie jednorazowe zadanie.
• Ryzyko nieodłączne (przed postępowaniem) a ryzyko szczątkowe (po postępowaniu): śledź oba, bo inaczej źle ocenisz swoją rzeczywistą ekspozycję.
• Apetyt na ryzyko (ile ryzyka jesteś zwykle skłonny podjąć) i tolerancja ryzyka (o ile więcej ryzyka jesteś okazjonalnie skłonny podjąć) wyznaczają granicę tego, co akceptowalne.
• Metody oceny skalują się wraz z dojrzałością danych – od jakościowych, przez półilościowe, po ilościowe.
• Macierz ryzyka jest użyteczna tylko przy spójnej, uzgodnionej punktacji stosowanej w całej organizacji.
• Cztery sposoby postępowania z ryzykiem