{"id":10020,"date":"2026-06-19T14:08:46","date_gmt":"2026-06-19T12:08:46","guid":{"rendered":"https:\/\/adaptivegrc.com\/?post_type=articles&p=10020"},"modified":"2026-06-19T14:20:19","modified_gmt":"2026-06-19T12:20:19","slug":"apetyt-na-ryzyko-a-tolerancja-ryzyka","status":"publish","type":"articles","link":"https:\/\/adaptivegrc.com\/pl\/materialy\/artykuly\/apetyt-na-ryzyko-a-tolerancja-ryzyka\/","title":{"rendered":"Apetyt na ryzyko a tolerancja ryzyka: czym s\u0105 i jak je stosowa\u0107 w praktyce\u00a0"},"content":{"rendered":"\n

Apetyt na ryzyko i tolerancja ryzyka to dwa poj\u0119cia kluczowe dla zarz\u0105dzania ryzykiem.<\/a> Pojawiaj\u0105 si\u0119 w standardach, politykach i rozmowach z regulatorami. S\u0105 te\u017c cz\u0119sto mylone, upraszczane lub traktowane jak synonimy, co przek\u0142ada si\u0119 na realne konsekwencje operacyjne.<\/p>\n\n\n\n

Organizacje, kt\u00f3re te poj\u0119cia rozr\u00f3\u017cniaj\u0105 i stosuj\u0105 sp\u00f3jnie, podejmuj\u0105 decyzje w oparciu o konkretne granice. Maj\u0105 kontrol\u0119 nad poziomem ryzyka, kt\u00f3r\u0105 mo\u017cna zademonstrowa\u0107, a nie tylko zadeklarowa\u0107. Te, kt\u00f3re ich nie rozr\u00f3\u017cniaj\u0105, tworz\u0105 ramy zarz\u0105dzania, kt\u00f3re wygl\u0105daj\u0105 dobrze na papierze, ale s\u0105 ma\u0142o pomocne w codziennym podejmowaniu decyzji.<\/p>\n\n\n\n

R\u00f3\u017cnica jest prosta do opisania: apetyt na ryzyko dzia\u0142a na poziomie strategicznym, tolerancja ryzyka na poziomie operacyjnym. Trudno\u015b\u0107 le\u017cy nie w zrozumieniu tej definicji, lecz w prze\u0142o\u017ceniu jej na konkretne progi, w\u0142a\u015bcicieli i systemy monitoringowe. To w\u0142a\u015bnie ten krok, od deklaracji do mechanizmu, wi\u0119kszo\u015b\u0107 organizacji wykonuje tylko cz\u0119\u015bciowo.<\/p>\n\n\n\n

Czym jest apetyt na ryzyko?<\/strong><\/h2>\n\n\n\n

Apetyt na ryzyko (risk appetite) wyra\u017ca og\u00f3ln\u0105 gotowo\u015b\u0107 organizacji do akceptowania ryzyka w d\u0105\u017ceniu do realizacji cel\u00f3w strategicznych. To zestaw stanowisk wobec r\u00f3\u017cnych kategorii ryzyka: finansowego, operacyjnego, zgodno\u015bci, reputacyjnego i innych istotnych dla danego kontekstu.<\/p>\n\n\n\n

Framework COSO ERM<\/a> traktuje apetyt na ryzyko jako warunek wst\u0119pny strategii: zanim zostan\u0105 wyznaczone cele, organizacja okre\u015bla, ile ryzyka jest gotowa zaabsorbowa\u0107 w ich realizacji. ISO 31000 osadza apetyt w kontek\u015bcie zarz\u0105dzania ryzykiem, w fundamencie, kt\u00f3ry nadaje wszystkim kolejnym decyzjom wsp\u00f3lny punkt odniesienia.<\/p>\n\n\n\n

Stwierdzenie „zachowujemy ostro\u017cne podej\u015bcie do ryzyka finansowego” daje mened\u017cerowi niewiele informacji, gdy ocenia konkretn\u0105 transakcj\u0119. Apetyt staje si\u0119 narz\u0119dziem dopiero wtedy, gdy jest precyzyjny na tyle, \u017ceby odr\u00f3\u017cni\u0107 pozycje akceptowalne od nieakceptowalnych i gdy jest formalnie powi\u0105zany z progami tolerancji, kt\u00f3re z niego wynikaj\u0105. Dop\u00f3ki tego powi\u0105zania nie ma, deklaracja apetytu spe\u0142nia wym\u00f3g formalny, ale nie wp\u0142ywa na to, jak organizacja faktycznie podejmuje decyzje o ryzyku.<\/p>\n\n\n\n

Apetyt na ryzyko jest odpowiedzialno\u015bci\u0105 zarz\u0105du. Powinien odzwierciedla\u0107 ambicje strategiczne organizacji, jej zdolno\u015b\u0107 do absorbowania strat oraz oczekiwania regulator\u00f3w i inwestor\u00f3w.<\/p>\n\n\n\n

Czym jest tolerancja ryzyka?<\/strong><\/h2>\n\n\n\n

Tolerancja ryzyka (risk tolerance) definiuje dopuszczalny poziom odchylenia od zadeklarowanego apetytu w konkretnym obszarze operacyjnym lub procesie. O ile apetyt wskazuje kierunek, tolerancja wyznacza realn\u0105 granic\u0119, po kt\u00f3rej przekroczeniu ryzyko staje si\u0119 w praktyce nieakceptowalne.<\/p>\n\n\n\n

W praktyce jest wyra\u017cana jako mierzalne progi: maksymalny poziom b\u0142\u0119d\u00f3w, limit strat, procentowe odchylenie od benchmarku zgodno\u015bci, dopuszczalna liczba wyj\u0105tk\u00f3w w danym okresie. S\u0105 to w\u0142a\u015bnie te warto\u015bci, kt\u00f3re pojawiaj\u0105 si\u0119 w panelach kontrolnych KPI, kryteriach audytowych i raportach monitoringowych. To one m\u00f3wi\u0105 w\u0142a\u015bcicielowi procesu, czy bie\u017c\u0105ce wyniki wymagaj\u0105 dzia\u0142ania.<\/p>\n\n\n\n

Tolerancja ryzyka wynika z apetytu, nie powinna by\u0107 definiowana niezale\u017cnie. Je\u015bli apetyt m\u00f3wi: „niskie ryzyko operacyjne”, ka\u017cdy istotny proces potrzebuje progu, kt\u00f3ry operacjonalizuje s\u0142owo „niskie” w swoim konkretnym kontek\u015bcie. Bez tego prze\u0142o\u017cenia apetyt i tolerancja to dwa oddzielne dokumenty bez operacyjnego po\u0142\u0105czenia mi\u0119dzy sob\u0105.<\/p>\n\n\n\n

Tolerancja ryzyka jest ustalana i utrzymywana przez w\u0142a\u015bcicieli proces\u00f3w oraz mened\u017cer\u00f3w ryzyka, przy nadzorze funkcji ryzyka, zapewniaj\u0105cej sp\u00f3jno\u015b\u0107 w ca\u0142ej organizacji. Standardy Instytutu Audytor\u00f3w Wewn\u0119trznych (IIA)<\/a> jasno wskazuj\u0105, \u017ce audyt wewn\u0119trzny powinien ocenia\u0107, czy kontrole s\u0105 skalibrowane do prog\u00f3w tolerancji, a nie tylko do og\u00f3lnych kategorii ryzyka.<\/p>\n\n\n\n

Apetyt na ryzyko a tolerancja ryzyka: kluczowe r\u00f3\u017cnice<\/strong><\/h2>\n\n\n\n

Poni\u017csza tabela zestawia oba poj\u0119cia w wymiarach najistotniejszych dla praktyki zarz\u0105dczej.<\/p>\n\n\n\n

Wymiar<\/th>Apetyt na ryzyko<\/th>Tolerancja ryzyka<\/th><\/tr><\/thead>
Poziom:<\/td>Strategiczny<\/td>Operacyjny<\/td><\/tr>
Wyra\u017cony jako:<\/td>Jako\u015bciowy lub p\u00f3\u0142jako\u015bciowy<\/td>Ilo\u015bciowy (KPI, limity, progi)<\/td><\/tr>
Definiowany przez:<\/td>Zarz\u0105d \/ kierownictwo wy\u017csze<\/td>W\u0142a\u015bcicieli ryzyk i proces\u00f3w<\/td><\/tr>
Stosowany w:<\/td>Strategii i planowaniu<\/td>Monitoringu, kontrolach, raportowaniu<\/td><\/tr>
Zakres:<\/td>Ca\u0142a organizacja lub g\u0142\u00f3wne kategorie<\/td>Konkretne procesy lub obszary ryzyka<\/td><\/tr>
Weryfikowany gdy:<\/td>Zmienia si\u0119 strategia<\/td>Zmieniaj\u0105 si\u0119 warunki lub procesy<\/td><\/tr>
Widoczny w:<\/td>Deklaracji apetytu, dokumentacji frameworku<\/td>Dashboardach KPI, kryteriach audytowych, protoko\u0142ach eskalacji<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Ostatni wiersz jest najbardziej wymowny: progi tolerancji ryzyka, kt\u00f3re nie pojawiaj\u0105 si\u0119 w dashboardach, planach audytu ani protoko\u0142ach eskalacji, nie s\u0105 mechanizmem kontrolnym \u2013 s\u0105 zapisem intencji.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Jak apetyt na ryzyko przek\u0142ada si\u0119 na tolerancj\u0119 ryzyka?<\/strong><\/h2>\n\n\n\n

Deklaracja apetytu dla danej kategorii ryzyka powinna generowa\u0107 progi tolerancji dla wszystkich proces\u00f3w i decyzji w jej zakresie. Dwie rzeczy regularnie przerywaj\u0105 t\u0119 zale\u017cno\u015b\u0107.<\/p>\n\n\n\n

Pierwsza to abstrakcja, kt\u00f3ra nie schodzi do poziomu konkret\u00f3w. Deklaracja m\u00f3wi\u0105ca „umiarkowane ryzyko w operacjach technologicznych” nie informuje w\u0142a\u015bciciela systemu, co stanowi naruszenie. Wymaga dekompozycji: \u201cumiarkowane\u201d – czyli jaki wska\u017anik, jak mierzony, z jakim progiem? Dop\u00f3ki to pytanie pozostaje bez odpowiedzi, apetyt nie ma \u017cadnego efektu operacyjnego.<\/p>\n\n\n\n

Druga to brak odpowiedzialno\u015bci. Pr\u00f3g tolerancji bez nazwanego w\u0142a\u015bciciela to informacja, a nie mechanizm kontrolny. Kto\u015b musi by\u0107 odpowiedzialny za jego monitorowanie, raportowanie i uruchamianie eskalacji przy przekroczeniu. Bez tego przypisania progi s\u0105 u\u017cywane podczas audyt\u00f3w i zapomniane mi\u0119dzy nimi.<\/p>\n\n\n\n

Praktyczna sekwencja wygl\u0105da nast\u0119puj\u0105co. Dla ka\u017cdej kategorii ryzyka deklaracja apetytu stanowi punkt wyj\u015bcia do identyfikacji proces\u00f3w mieszcz\u0105cych si\u0119 w jej zakresie. Dla ka\u017cdego z tych proces\u00f3w okre\u015blane s\u0105 wska\u017aniki mierz\u0105ce ekspozycj\u0119 na ryzyko. Na ich podstawie wyznaczane s\u0105 progi ilo\u015bciowe odzwierciedlaj\u0105ce przyj\u0119ty poziom apetytu, kt\u00f3re mo\u017cna regularnie monitorowa\u0107. Ka\u017cdy pr\u00f3g przypisywany jest w\u0142a\u015bcicielowi procesu i wbudowywany w odpowiedni mechanizm monitorowania.<\/p>\n\n\n\n

Ten ostatni krok bywa niedoceniany, cho\u0107 to on decyduje o skutecznoci danego podej\u015bcia. Progi \u017cyj\u0105ce wy\u0142\u0105cznie w rejestrze ryzyka nie s\u0105 osadzone w operacjach – musz\u0105 by\u0107 widoczne tam, gdzie faktycznie zapadaj\u0105 decyzje.<\/p>\n\n\n\n

Praktyczne przyk\u0142ady tolerancji i apetytu na ryzyko w organizacji<\/strong><\/h2>\n\n\n\n

Sektor finansowy<\/strong><\/h3>\n\n\n\n

Bank definiuje apetyt na ryzyko kredytowe jako „umiarkowany”: gotowy absorbowa\u0107 straty w granicach nienaruszaj\u0105cych wymog\u00f3w kapita\u0142owych. Z tego apetytu dzia\u0142 ryzyka wyprowadza progi tolerancji ryzyka dla poszczeg\u00f3lnych portfeli: maksymalny wska\u017anik kredyt\u00f3w niepracuj\u0105cych na poziomie 3,5% w segmencie detalicznym, 2% w kredytach komercyjnych. Ka\u017cdy zarz\u0105dzaj\u0105cy portfelem otrzymuje pr\u00f3g i obowi\u0105zek raportowania. Gdy wska\u017anik NPL zbli\u017ca si\u0119 do limitu, uruchamia si\u0119 protok\u00f3\u0142 eskalacji. Nie czeka na przegl\u0105d kwartalny.<\/p>\n\n\n\n

IT i bezpiecze\u0144stwo<\/strong><\/h3>\n\n\n\n

Firma technologiczna definiuje apetyt na ryzyko operacyjne jako „niski” w obszarze dost\u0119pno\u015bci system\u00f3w. Odpowiadaj\u0105cy mu pr\u00f3g tolerancji to maksymalnie 99,5% czasu dzia\u0142ania system\u00f3w produkcyjnych w kwartale, z maksymalnym czasem odtworzenia czterech godzin dla incydent\u00f3w krytycznych. Liczby te wchodz\u0105 bezpo\u015brednio do definicji SLA, um\u00f3w z dostawcami i programu audytu wewn\u0119trznego. Naruszenie uruchamia formalne post\u0119powanie wyja\u015bniaj\u0105ce, a nie tylko adnotacj\u0119 w rejestrze ryzyka.<\/p>\n\n\n\n

Rola compliance<\/strong><\/h3>\n\n\n\n

Organizacja obj\u0119ta wymogami NIS2 definiuje apetyt na ryzyko zgodno\u015bci jako „bardzo niski.” Pr\u00f3g tolerancji dla przeterminowanych wyj\u0105tk\u00f3w od polityk bezpiecze\u0144stwa wynosi zero dla kontroli krytycznych. Ka\u017cdy wyj\u0105tek generuje natychmiastow\u0105 eskalacj\u0119 do CISO. Kwartalne raporty dla zarz\u0105du zawieraj\u0105 liczb\u0119 zg\u0142oszonych i zamkni\u0119tych wyj\u0105tk\u00f3w, odniesion\u0105 do progu.<\/p>\n\n\n\n

We wszystkich trzech przypadkach pr\u00f3g tolerancji ryzyka nie jest liczb\u0105 w dokumencie, tylko wyzwalaczem w systemie operacyjnym.<\/p>\n\n\n\n

Jak definiowa\u0107 apetyt i ustala\u0107 limity tolerancji na ryzyko?<\/strong><\/h2>\n\n\n\n

 Apetyt na ryzyko jest odpowiedzialno\u015bci\u0105 zarz\u0105du. Zarz\u0105d wyznacza poziom ryzyka, kt\u00f3ry organizacja jest gotowa zaabsorbowa\u0107 w poszczeg\u00f3lnych kategoriach, uwzgl\u0119dniaj\u0105c strategi\u0119, zdolno\u015b\u0107 finansow\u0105, wymogi regulacyjne i oczekiwania interesariuszy. Funkcja zarz\u0105dzania ryzykiem korporacyjnym – druga linia obrony – wspiera ten proces analizami i weryfikacj\u0105, czy deklaracja apetytu jest wystarczaj\u0105co precyzyjna, \u017ceby z niej wyprowadzi\u0107 progi tolerancji.<\/p>\n\n\n\n

Tolerancja ryzyka nale\u017cy do w\u0142a\u015bcicieli proces\u00f3w. Ustalaj\u0105 oni progi dla swoich obszar\u00f3w, korzystaj\u0105c z wiedzy o procesach, kt\u00f3rej funkcja zarz\u0105dzania ryzykiem po prostu nie ma. Jej rola to zapewnienie struktury, weryfikacja sp\u00f3jno\u015bci mi\u0119dzy jednostkami biznesowymi i walidacja prog\u00f3w wzgl\u0119dem apetytu. Definiowanie limit\u00f3w operacyjnych zamiast w\u0142a\u015bcicieli proces\u00f3w to droga do prog\u00f3w, w kt\u00f3re nikt nie wierzy.<\/p>\n\n\n\n

Tam, gdzie ten podzia\u0142 si\u0119 zaciera (gdy funkcja ryzyka narzuca tolerancje bez udzia\u0142u w\u0142a\u015bcicieli proces\u00f3w albo gdy w\u0142a\u015bciciele ustawiaj\u0105 progi bez odniesienia do apetytu) efektem s\u0105 liczby, kt\u00f3re nie maj\u0105 uzasadnienia i nie s\u0105 stosowane.<\/p>\n\n\n\n

Dobry pr\u00f3g tolerancji na ryzyko powinien przej\u015b\u0107 prosty test: czy operator, kt\u00f3ry widzi ten wska\u017anik, wie, co zrobi\u0107, gdy zbli\u017ca si\u0119 do limitu? Je\u015bli odpowied\u017a brzmi „nie”, pr\u00f3g nie jest gotowy do wdro\u017cenia.<\/p>\n\n\n\n

Rola<\/th>Odpowiedzialno\u015b\u0107<\/th>Obszar<\/th><\/tr><\/thead>
Zarz\u0105d<\/td>Wyznacza strategiczne stanowisko organizacji wobec ryzyka w g\u0142\u00f3wnych kategoriach<\/td>Apetyt na ryzyko<\/td><\/tr>
Funkcja ryzyka<\/td>Przek\u0142ada apetyt na framework i weryfikuje sp\u00f3jno\u015b\u0107 prog\u00f3w w ca\u0142ej organizacji<\/td>Framework i walidacja<\/td><\/tr>
W\u0142a\u015bciciele proces\u00f3w<\/td>Ustalaj\u0105 ilo\u015bciowe progi dla swoich obszar\u00f3w i monitoruj\u0105 je wzgl\u0119dem przyj\u0119tych limit\u00f3w<\/td>Tolerancja ryzyka<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

KRI i monitoring ryzyka<\/strong><\/h2>\n\n\n\n

Progi tolerancji ryzyka\u00a0staj\u0105 si\u0119 mechanizmem kontrolnym dopiero wtedy, gdy s\u0105 po\u0142\u0105czone z systemami zarz\u0105dzania ryzykiem zdolnymi wykry\u0107 naruszenie w czasie, kt\u00f3ry pozwala na reakcj\u0119.<\/p>\n\n\n\n

Kluczowe wska\u017aniki ryzyka (KRI) powinny by\u0107 skalibrowane do ustalonych prog\u00f3w tolerancji. Wska\u017anik \u015bledz\u0105cy „liczb\u0119 zdarze\u0144 ryzyka zarejestrowanych w systemie” m\u00f3wi o aktywno\u015bci raportowania. Wska\u017anik \u015bledz\u0105cy „odsetek transakcji przekraczaj\u0105cych zdefiniowany limit strat” m\u00f3wi o faktycznej ekspozycji na ryzyko. R\u00f3\u017cnica jest istotna, gdy prezentuje si\u0119 wyniki zarz\u0105dowi lub regulatorowi.<\/p>\n\n\n\n

Cykl raportowania powinien ujawnia\u0107 przekroczenia zanim si\u0119 skumuluj\u0105. W obszarach ryzyka o wysokiej wadze oznacza to alerty generowane w czasie zbli\u017conym do rzeczywistego, a nie zbiorcze podsumowania na koniec okresu. Kwartalny raport o miesi\u0119cznym przekroczeniu progu tolerancji to informacja dostarczona trzy miesi\u0105ce za p\u00f3\u017ano.<\/p>\n\n\n\n

Platformy GRC integruj\u0105ce apetyt na ryzyko, progi tolerancji ryzyka, monitoring KRI i przep\u0142ywy eskalacji znacz\u0105co redukuj\u0105 r\u0119czn\u0105 koordynacj\u0119, szczeg\u00f3lnie dla organizacji zarz\u0105dzaj\u0105cych wieloma kategoriami ryzyka w r\u00f3\u017cnych jednostkach. W \u015brodowiskach regulowanych, gdzie zarz\u0105dzanie zgodno\u015bci\u0105 (compliance)<\/a> i monitoring ryzyka musz\u0105 dzia\u0142a\u0107 sp\u00f3jnie, integracja tworzy te\u017c \u015bcie\u017ck\u0119 audytu, kt\u00f3r\u0105 regulator mo\u017ce sprawdzi\u0107: dow\u00f3d, \u017ce organizacja zna\u0142a swoje granice ryzyka i dzia\u0142a\u0142a w ich ramach.<\/p>\n\n\n\n

Najcz\u0119stsze b\u0142\u0119dy i pu\u0142apki<\/strong><\/h2>\n\n\n\n

Najbardziej utrwalony b\u0142\u0105d w zarz\u0105dzaniu ryzykiem to traktowanie apetytu i tolerancji jako sta\u0142ych. Apetyt powinien by\u0107 weryfikowany przy zmianach strategii. Progi tolerancji ryzyka powinny by\u0107 przegl\u0105dane przy zmianach proces\u00f3w, system\u00f3w lub warunk\u00f3w zewn\u0119trznych. Pr\u00f3g skalibrowany pod r\u0119czny proces mo\u017ce nie mie\u0107 sensu po automatyzacji. Kwartalny cykl przegl\u0105d\u00f3w dla dynamicznie zmieniaj\u0105cych si\u0119 obszar\u00f3w ryzyka rzadko jest wystarczaj\u0105cy.<\/p>\n\n\n\n

Definiowanie tolerancji na ryzyko bez udzia\u0142u w\u0142a\u015bcicieli proces\u00f3w jest r\u00f3wnie kosztowne. Tolerancje narzucone przez funkcj\u0119 ryzyka bez znajomo\u015bci procesu maj\u0105 tendencj\u0119 do ustawiania si\u0119 zbyt nisko, generuj\u0105c sta\u0142e fa\u0142szywe alarmy, lub zbyt wysoko, przegapiaj\u0105c realne problemy. W obu przypadkach trac\u0105 wiarygodno\u015b\u0107 i przestaj\u0105 by\u0107 stosowane.<\/p>\n\n\n\n

Wyra\u017canie tolerancji jako\u015bciowo to odr\u0119bna, pokrewna pu\u0142apka. „Niski”, „\u015bredni” i „wysoki” nie s\u0105 progami tolerancji. Nie mo\u017cna ich monitorowa\u0107, nie generuj\u0105 eskalacji i nie stanowi\u0105 podstawy do precyzyjnego raportowania. Dla obszar\u00f3w, w kt\u00f3rych bezpo\u015brednia kwantyfikacja jest trudna, niemal zawsze dost\u0119pny jest przynajmniej jeden wska\u017anik zast\u0119pczy.<\/p>\n\n\n\n

Przechowywanie okre\u015blonego apetytu i tolerancji wy\u0142\u0105cznie w dokumentacji frameworku, poza dokumentacj\u0105 procesow\u0105, konfiguracj\u0105 system\u00f3w i kryteriami audytowymi, przekszta\u0142ca je w artefakty audytowe zamiast w narz\u0119dzia zarz\u0105dcze.<\/p>\n\n\n\n

Analogiczny problem pojawia si\u0119, gdy r\u00f3\u017cne jednostki ustalaj\u0105 w\u0142asne progi tolerancji ryzyka bez odniesienia do wsp\u00f3lnego apetytu. Liczby si\u0119 rozmijaj\u0105, agregacja ekspozycji na ryzyko traci wiarygodno\u015b\u0107, a por\u00f3wnywanie efektywno\u015bci mi\u0119dzy jednostkami staje si\u0119 zawodne. Zapewnienie sp\u00f3jno\u015bci jest odpowiedzialno\u015bci\u0105 funkcji ryzyka.<\/p>\n\n\n\n

Podsumowanie: od strategii do operacji<\/strong><\/h2>\n\n\n\n

Apetyt na ryzyko i tolerancja ryzyka nie s\u0105 synonimami. Apetyt wyznacza kierunek strategiczny; tolerancja operacjonalizuje go w konkretnych procesach przez konkretne, mierzalne progi.<\/p>\n\n\n\n

Organizacje, kt\u00f3re faktycznie stosuj\u0105 te poj\u0119cia, \u0142\u0105czy jedno: traktuj\u0105 apetyt i tolerancj\u0119 jako \u017cywe parametry, a nie dokumenty za\u0142o\u017cycielskie. Progi tolerancji ryzyka s\u0105 konkretne, ilo\u015bciowe i maj\u0105 w\u0142a\u015bciciela, s\u0105 wbudowane w systemy, gdzie podejmowane s\u0105 decyzje. S\u0105 r\u00f3wnie\u017c weryfikowane przy zmianach warunk\u00f3w, bez oczekiwania na impuls ze strony regulatora.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

FAQ<\/strong><\/h2>\n\n\n
\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tCzym r\u00f3\u017cni si\u0119 apetyt na ryzyko od tolerancji ryzyka?<\/span><\/div>

Apetyt na ryzyko wyra\u017ca og\u00f3lny poziom ryzyka, kt\u00f3ry organizacja jest gotowa zaakceptowa\u0107 w realizacji cel\u00f3w strategicznych. Jest wyznaczany przez zarz\u0105d i dotyczy g\u0142\u00f3wnych kategorii ryzyka. Tolerancja ryzyka definiuje dopuszczalne odchylenie od tego apetytu w konkretnym obszarze operacyjnym: ilo\u015bciow\u0105 granic\u0119, po kt\u00f3rej przekroczeniu ryzyko staje si\u0119 w praktyce nieakceptowalne. Apetyt wyznacza kierunek; tolerancja wyznacza operacyjn\u0105 granic\u0119.<\/p><\/div><\/div>

\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tJak zdefiniowa\u0107 apetyt na ryzyko w organizacji?<\/span><\/div>

Czysto jako\u015bciowa deklaracja rzadko wystarczy – u\u017cyteczny apetyt r\u00f3\u017cnicuje stanowisko organizacji wed\u0142ug kategorii ryzyka i jest precyzyjny na tyle, \u017ceby z niego wyprowadzi\u0107 progi tolerancji ryzyka. Warto przeprowadzi\u0107 prosty test: czy dwie osoby czytaj\u0105ce t\u0119 deklaracj\u0119 niezale\u017cnie wyprowadzi\u0142yby z niej sp\u00f3jne progi? Je\u015bli nie, deklaracja jest zbyt og\u00f3lna, \u017ceby by\u0107 narz\u0119dziem zarz\u0105dczym.<\/p><\/div><\/div>

\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tJak ustali\u0107 poziom tolerancji ryzyka w praktyce?<\/span><\/div>

Punktem wyj\u015bcia jest deklaracja apetytu dla danej kategorii ryzyka. Na jej podstawie identyfikowane s\u0105 procesy i decyzje w jej zakresie, a nast\u0119pnie wska\u017aniki mierz\u0105ce ekspozycj\u0119 na ryzyko. Wyznaczane s\u0105 progi ilo\u015bciowe odzwierciedlaj\u0105ce przyj\u0119ty apetyt, ka\u017cdy z przypisanym w\u0142a\u015bcicielem i wbudowany w systemy monitoringowe. Tolerancja bez w\u0142a\u015bciciela i bez wska\u017anika, kt\u00f3ry j\u0105 mierzy, nie spe\u0142nia swojej funkcji.<\/p><\/div><\/div>

\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tCzy apetyt na ryzyko mo\u017ce si\u0119 zmienia\u0107 w czasie?<\/span><\/div>

Tak i powinien by\u0107 on przekszta\u0142cany, gdy zmieniaj\u0105 si\u0119 okoliczno\u015bci. Przej\u0119cia, wej\u015bcie na nowe rynki, zmiany modelu operacyjnego, istotne zmiany regulacyjne – ka\u017cda z tych sytuacji mo\u017ce uzasadnia\u0107 przegl\u0105d apetytu. Organizacje, kt\u00f3re traktuj\u0105 apetyt jak dokument za\u0142o\u017cycielski, zmieniany tylko pod przymusem, zazwyczaj odkrywaj\u0105 z czasem, \u017ce coraz bardziej mija si\u0119 on z tym, jak faktycznie dzia\u0142aj\u0105.<\/p><\/div><\/div>

\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tDlaczego powi\u0105zanie apetytu i tolerancji z KRI jest wa\u017cne?<\/span><\/div>

Bez prze\u0142o\u017cenia na KRI apetyt i tolerancje pozostaj\u0105 deklaracjami. Wska\u017aniki ryzyka skalibrowane do prog\u00f3w tolerancji umo\u017cliwiaj\u0105 bie\u017c\u0105cy monitoring ekspozycji, generowanie alert\u00f3w przy przekroczeniach i raportowanie do regulatora w spos\u00f3b poparty danymi. W \u015brodowiskach regulowanych, takich jak sektor finansowy obj\u0119ty wymogami DORA lub organizacje podlegaj\u0105ce NIS2, ta konkretno\u015b\u0107 jest wymogiem, a nie wyborem.<\/p><\/div><\/div>

\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\t\t\t\t\n\t\t\t\t\t\t\t\t<\/path><\/svg>\n\t\t\t\t\t\t\t<\/span>\n\t\t\tJak po\u0142\u0105czy\u0107 apetyt na ryzyko ze strategi\u0105 organizacji?<\/span><\/div>

Apetyt powinien wynika\u0107 bezpo\u015brednio ze strategii: z poziomu ambicji wzrostowych, zdolno\u015bci do absorpcji strat i ogranicze\u0144 regulacyjnych. Praktycznym punktem wyj\u015bcia jest przejrzenie cel\u00f3w strategicznych w ka\u017cdej kategorii ryzyka z pytaniem: ile ryzyka jeste\u015bmy gotowi podj\u0105\u0107, \u017ceby te cele osi\u0105gn\u0105\u0107? Odpowied\u017a musi by\u0107 konkretna na tyle, \u017ceby mo\u017cna by\u0142o z niej wyprowadzi\u0107 operacyjne progi tolerancji ryzyka. Je\u015bli tego nie mo\u017cna zrobi\u0107, deklaracja apetytu jest zbyt og\u00f3lna.<\/p><\/div><\/div><\/div>","protected":false},"excerpt":{"rendered":"

Apetyt na ryzyko i tolerancja ryzyka to dwa poj\u0119cia kluczowe dla zarz\u0105dzania ryzykiem. Pojawiaj\u0105 si\u0119 w standardach, politykach i rozmowach z regulatorami. S\u0105 te\u017c cz\u0119sto mylone, upraszczane lub…<\/p>\n","protected":false},"author":12,"featured_media":10024,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","format":"standard","meta":{"_acf_changed":false,"_eb_attr":"","inline_featured_image":false,"_uag_custom_page_level_css":"","footnotes":""},"tags":[],"class_list":["post-10020","articles","type-articles","status-publish","format-standard","has-post-thumbnail","hentry"],"acf":[],"uagb_featured_image_src":{"full":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-scaled.png",2560,1920,false],"thumbnail":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-150x150.png",150,150,true],"medium":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-300x225.png",300,225,true],"medium_large":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-768x576.png",640,480,true],"large":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-1024x768.png",640,480,true],"1536x1536":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-1536x1152.png",1536,1152,true],"2048x2048":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-2048x1536.png",2048,1536,true],"logo":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/06\/Apetyt-na-ryzyko-a-tolerancja-ryzyka-133x100.png",133,100,true]},"uagb_author_info":{"display_name":"\u0141ukasz Krzewicki","author_link":"https:\/\/adaptivegrc.com\/pl\/author\/lukasz-krzewicki\/"},"uagb_comment_info":0,"uagb_excerpt":"Apetyt na ryzyko i tolerancja ryzyka to dwa poj\u0119cia kluczowe dla zarz\u0105dzania ryzykiem. Pojawiaj\u0105 si\u0119 w standardach, politykach i rozmowach z regulatorami. S\u0105 te\u017c cz\u0119sto mylone, upraszczane lub...","_links":{"self":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10020","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles"}],"about":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/types\/articles"}],"author":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/comments?post=10020"}],"version-history":[{"count":2,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10020\/revisions"}],"predecessor-version":[{"id":10034,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10020\/revisions\/10034"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/media\/10024"}],"wp:attachment":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/media?parent=10020"}],"wp:term":[{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/tags?post=10020"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}