Poznaj ryzyko, zanim uderzy: dlaczego ocena ryzyka ma znaczenie?<\/h2>\n\n\n\n
Podobnie jak jazda we mgle \u201ena wyczucie”, tak i zarz\u0105dzanie ryzykiem \u201ena wyczucie” nie jest bezpieczne. Intuicji do\u015bwiadczonego mened\u017cera nie nale\u017cy oczywi\u015bcie lekcewa\u017cy\u0107, ale lepiej podeprze\u0107 j\u0105 twardymi danymi i analiz\u0105. Ocena ryzyka dostarcza decydentom informacji potrzebnych do rozdzielania zasob\u00f3w i doboru zabezpiecze\u0144. Wspiera \u015bwiadome, oparte na danych decyzje i zapobieganie problemom, zamiast \u015blepego reagowania na nie ju\u017c po ich wyst\u0105pieniu. Bez niej wydatki na bezpiecze\u0144stwo to niewiele wi\u0119cej ni\u017c zgadywanka.<\/p>\n\n\n\n
W d\u0142u\u017cszej perspektywie dobra ocena ryzyka buduje odporno\u015b\u0107 organizacji. Stanowi podstaw\u0119 zgodno\u015bci z przepisami, a wiele regulacji wr\u0119cz wymaga udokumentowanej oceny ryzyka. W kr\u00f3tszej i \u015bredniej perspektywie pomaga organizacji ustala\u0107 priorytety \u2013 nie na ka\u017cde ryzyko da si\u0119 i trzeba odpowiada\u0107 w tym samym czasie, a dobre dane z oceny ryzyka pozwalaj\u0105 zdecydowa\u0107, kt\u00f3rymi problemami zaj\u0105\u0107 si\u0119 w pierwszej kolejno\u015bci i jak zagospodarowa\u0107 dost\u0119pne \u015brodki.<\/p>\n\n\n\n
Ocena ryzyka, rozumiana jako ci\u0105g\u0142a p\u0119tla identyfikacja\u2013analiza\u2013ocena, jest potrzebna r\u00f3wnie\u017c dlatego, \u017ce ryzyko jest dynamiczne \u2013 zmieniaj\u0105 si\u0119 zar\u00f3wno krajobraz zagro\u017ce\u0144, jak i sama organizacja.<\/p>\n\n\n\n
Wreszcie, ma to sens biznesowy. Ocena ryzyka nie tylko pozwala unikn\u0105\u0107 potencjalnie kosztownych problem\u00f3w, ale te\u017c wyra\u017anie \u0142\u0105czy ryzyko ze strategi\u0105 i celami. Czyni ryzyko widocznym i zrozumia\u0142ym dla kierownictwa, inwestor\u00f3w i innych interesariuszy. Dzi\u0119ki temu \u0142atwiej pozyska\u0107 i uzasadni\u0107 wydatki na bezpiecze\u0144stwo i odporno\u015b\u0107.<\/p>\n\n\n\n
P\u0119tla w czterech krokach: jakie s\u0105 g\u0142\u00f3wne etapy procesu oceny ryzyka?<\/h2>\n\n\n\n
Naszkicowali\u015bmy ju\u017c proces oceny ryzyka w og\u00f3lnych zarysach; teraz om\u00f3wimy go bardziej szczeg\u00f3\u0142owo.<\/p>\n\n\n\n
- \n
- Identyfikacja.<\/strong> Na tym etapie celem jest zidentyfikowanie wszystkich potencjalnych ryzyk. Pami\u0119taj\u0105c o definicji ryzyka z ISO 31000, chodzi o wydobycie na wierzch wszystkiego, co niepewne i mo\u017ce wp\u0142yn\u0105\u0107 na cele organizacji.<\/li>\n\n\n\n
- Analiza.<\/strong> Tu nast\u0119puje oszacowanie prawdopodobie\u0144stwa i skutk\u00f3w ka\u017cdego ryzyka. Uwaga: \u201eoszacowanie\u201d nie znaczy \u201ezgadywanie\u201d. Nawet w przypadku ryzyk, kt\u00f3re wydaj\u0105 si\u0119 oczywiste, lepiej zebra\u0107 konkretne dane, przydatne na dalszych etapach procesu.<\/li>\n\n\n\n
- Ewaluacja.<\/strong> Skoro znane jest ju\u017c prawdopodobie\u0144stwo ka\u017cdego ryzyka, mo\u017cna je por\u00f3wna\u0107 z przyj\u0119tymi przez organizacj\u0119 kryteriami akceptacji ryzyka. Kryteria te \u2013 a konkretnie apetyt na ryzyko i tolerancj\u0119 ryzyka \u2013 om\u00f3wimy szczeg\u00f3\u0142owo p\u00f3\u017aniej. Teraz wa\u017cne, by pami\u0119ta\u0107, \u017ce te granice powinny by\u0107 wyznaczone wcze\u015bniej i zale\u017c\u0105 od charakteru organizacji (np. gie\u0142da kryptowalut akceptuje znacznie wy\u017csze ryzyko ni\u017c fundusz emerytalny).<\/li>\n\n\n\n
- Priorytetyzacja.<\/strong> Wiedz\u0105c, jak prawdopodobne i jak powa\u017cne jest ryzyko oraz jak wypada na tle kryteri\u00f3w akceptacji organizacji, mo\u017cna zdecydowa\u0107, kt\u00f3rymi ryzykami zaj\u0105\u0107 si\u0119 najpierw i ile zasob\u00f3w na nie przeznaczy\u0107.<\/li>\n<\/ol>\n\n\n\n
Proces opisany przez ISO 31000 obejmuje te\u017c dwa dzia\u0142ania prowadzone r\u00f3wnolegle: komunikacj\u0119 i konsultacje oraz ustalanie kontekstu (zakresu, cel\u00f3w, kryteri\u00f3w).<\/p>\n\n\n\n
Efektem powy\u017cszego procesu jest rejestr ryzyk, kt\u00f3ry nie tylko wymienia ryzyka wraz z ich opisami, prawdopodobie\u0144stwami, ocenami i decyzjami o post\u0119powaniu, ale te\u017c przypisuje im w\u0142a\u015bcicieli, aby zapewni\u0107 odpowiedzialno\u015b\u0107 za obs\u0142ug\u0119 ryzyka.<\/p>\n\n\n\n
![\"\"](\"https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Proces-oceny-ryzyka-w-czterech-krokach-1024x727.png\")
<\/figure>\n\n\n\nNie obronisz si\u0119 przed tym, czego nie widzisz: jak identyfikowa\u0107 ryzyko?<\/h2>\n\n\n\n
Identyfikacja to pierwszy etap procesu oceny ryzyka, na kt\u00f3rym opiera si\u0119 ca\u0142a reszta. Sama w sobie niewiele rozwi\u0105zuje (jedynie nieformalnie \u2013 daj\u0105c ludziom wiedz\u0119, na co uwa\u017ca\u0107), ale je\u015bli nie b\u0119dzie kompletna, na wszystkich kolejnych etapach pozostan\u0105 luki w strategii zarz\u0105dzania ryzykiem. Dlatego jest to zarazem etap najtrudniejszy do poprawienia bez naruszania ca\u0142ej struktury.<\/p>\n\n\n\n
Jak wi\u0119c identyfikowa\u0107 ryzyka? Niekt\u00f3re bywaj\u0105 oczywiste, ale sensem ca\u0142ego procesu jest wychwycenie tych mniej oczywistych. Mo\u017cna tu zastosowa\u0107 kilka ciekawych metod. Norma ISO\/IEC 31010 kataloguje ponad 30 formalnych technik identyfikacji i oceny (FMEA, bow-tie, drzewo b\u0142\u0119d\u00f3w itd.). Om\u00f3wmy og\u00f3lnie kilka z nich.<\/p>\n\n\n\n
- \n
- Mi\u0119dzyoddzia\u0142owe burze m\u00f3zg\u00f3w z udzia\u0142em r\u00f3\u017cnych os\u00f3b ze wszystkich istotnych dzia\u0142\u00f3w \u2013 IT, operacji, finans\u00f3w, dzia\u0142u prawnego, HR, pracownik\u00f3w pierwszej linii, ka\u017cdego, kto ma styczno\u015b\u0107 z ocenianym procesem lub systemem. Im wi\u0119cej r\u00f3\u017cnych perspektyw, tym lepiej.<\/li>\n\n\n\n
- Ustrukturyzowane wywiady z interesariuszami. Zn\u00f3w \u2013 stawiaj na r\u00f3\u017cnorodno\u015b\u0107. Wa\u017cna jest te\u017c ich ustrukturyzowana forma: przygotuj kwestionariusz, aby odpowiedzi by\u0142y por\u00f3wnywalne i nic istotnego nie umkn\u0119\u0142o.<\/li>\n\n\n\n
- Ankiety w\u015br\u00f3d cz\u0142onk\u00f3w zespo\u0142u. Kwestionariusze s\u0105 mniej otwarte ni\u017c wywiady, ale pozwalaj\u0105 zebra\u0107 dane od wi\u0119kszej liczby os\u00f3b. Jak zawsze obowi\u0105zuje zasada r\u00f3\u017cnorodno\u015bci.<\/li>\n\n\n\n
- Przegl\u0105d wcze\u015bniejszych incydent\u00f3w i danych historycznych. To bardzo cenne w przypadku proces\u00f3w o d\u0142ugiej historii i nie musi ogranicza\u0107 si\u0119 do historii w\u0142asnej organizacji. Uczenie si\u0119 na cudzych b\u0142\u0119dach to \u015bwietny pomys\u0142. I nie przejmuj si\u0119, je\u015bli dany problem ju\u017c rozwi\u0105zano \u2013 i tak powinien znale\u017a\u0107 si\u0119 w raporcie, bo by\u0107 mo\u017ce pojawi\u0142y si\u0119 nowe rozwi\u0105zania.<\/li>\n\n\n\n
- Listy kontrolne i standardowe taksonomie ryzyk. Skorzystaj z gotowej listy znanych kategorii ryzyka (np. z jakiej\u015b normy lub wcze\u015bniejszych projekt\u00f3w), aby systematycznie sprawdzi\u0107, kt\u00f3re z nich dotycz\u0105 twojej organizacji (zamiast polega\u0107 wy\u0142\u0105cznie na pami\u0119ci czy wyobra\u017ani).<\/li>\n\n\n\n
- Mapowanie proces\u00f3w. Rozrysuj kolejno ka\u017cdy krok procesu i przy ka\u017cdym z nich spytaj, co mo\u017ce p\u00f3j\u015b\u0107 nie tak. FMEA (analiza rodzaj\u00f3w i skutk\u00f3w mo\u017cliwych b\u0142\u0119d\u00f3w) to przyk\u0142ad sformalizowanego mapowania proces\u00f3w. Polega na przej\u015bciu przez system element po elemencie i pytaniu: \u201eJak ta cz\u0119\u015b\u0107 mo\u017ce zawie\u015b\u0107 i jak bardzo by\u0142oby to gro\u017ane?\u201d<\/li>\n\n\n\n
- Analiza scenariuszy. Buduj szczeg\u00f3\u0142owe, wiarygodne narracje o konkretnych sposobach, w jakie ryzyko mo\u017ce si\u0119 zmaterializowa\u0107, aby ujawni\u0107 ryzyka i skutki, kt\u00f3rych prosta lista kategorii by nie pokaza\u0142a.<\/li>\n\n\n\n
- Analiza por\u00f3wnawcza (benchmarking<\/em>) wzgl\u0119dem standard\u00f3w bran\u017cowych i\/lub innych firm. Sprawd\u017a, jakie ryzyka i incydenty dotkn\u0119\u0142y podobne organizacje albo co dana norma wskazuje jako typowe dla twojej bran\u017cy. Ryzyka dotycz\u0105ce podobnych organizacji prawdopodobnie dotycz\u0105 te\u017c ciebie.<\/li>\n\n\n\n
- Analiza drzewa b\u0142\u0119d\u00f3w (FTA<\/em>). Zacznij od jednego z\u0142ego skutku i cofaj si\u0119, mapuj\u0105c ka\u017cd\u0105 kombinacj\u0119 awarii, kt\u00f3ra mog\u0142aby go wywo\u0142a\u0107.<\/li>\n\n\n\n
- Analiza \u201emuszki\u201d (bow-tie). Umie\u015b\u0107 jedno ryzyko na \u015brodku diagramu, po jednej stronie jego przyczyny i zabezpieczenia prewencyjne, a po drugiej \u2013 skutki i \u015brodki ograniczaj\u0105ce.<\/li>\n<\/ul>\n\n\n\n
Prawdopodobie\u0144stwo spotyka skutek: jak analizowa\u0107 i ocenia\u0107 ryzyko?<\/h2>\n\n\n\n
Na etapie analizy dla ka\u017cdego ryzyka ocenia si\u0119 dwa parametry: prawdopodobie\u0144stwo (jak mo\u017cliwe jest, \u017ce to si\u0119 wydarzy?) oraz wp\u0142yw\/skutek (jak dotkliwe by to by\u0142o?). Analiza obejmuje tak\u017ce badanie \u017ar\u00f3de\u0142 lub przyczyn ka\u017cdego ryzyka oraz wp\u0142ywu, jaki maj\u0105 na nie istniej\u0105ce \u015brodki kontroli.<\/p>\n\n\n\n
Ewaluacja z kolei polega na por\u00f3wnaniu wynik\u00f3w analizy z kryteriami ryzyka (om\u00f3wionymi ni\u017cej), aby rozstrzygn\u0105\u0107, czy ryzyko jest akceptowalne. Odpowiada na pytanie, czy organizacja mo\u017ce dane ryzyko przyj\u0105\u0107 i czy mie\u015bci si\u0119 ono w akceptowalnych granicach. Walczy\u0107 z nim czy je zaakceptowa\u0107? Efektem etapu ewaluacji jest uszeregowana lista ryzyk wraz z rekomendacj\u0105 post\u0119powania dla ka\u017cdego z nich.<\/p>\n\n\n\n
Ryzyko, kt\u00f3re wida\u0107: czym r\u00f3\u017cni si\u0119 ryzyko inherentne od szcz\u0105tkowego?<\/h2>\n\n\n\n
Te dwie kategorie ryzyka maj\u0105 znaczenie na etapie analizy i ewaluacji. Ryzyko wbudowane (inherentne) to poziom ryzyka przed zastosowaniem jakichkolwiek \u015brodk\u00f3w kontroli czy ograniczaj\u0105cych. Odzwierciedla bazow\u0105 ekspozycj\u0119 na niepewno\u015b\u0107, jak\u0105 tworzy samo prowadzenie dzia\u0142alno\u015bci. Na przyk\u0142ad firma obs\u0142uguj\u0105ca p\u0142atno\u015bci online ma wysokie inherentne ryzyko naruszenia danych po prostu dlatego, \u017ce przechowuje dane finansowe, kt\u00f3re s\u0105 \u0142akomym k\u0105skiem dla cyberprzest\u0119pc\u00f3w.<\/p>\n\n\n\n
Ryzyko szcz\u0105tkowe (rezydualne)<\/a> to z kolei ryzyko, kt\u00f3re pozostaje po zastosowaniu \u015brodk\u00f3w kontroli i post\u0119powania z ryzykiem. Innymi s\u0142owy, to rzeczywista ekspozycja organizacji w danych warunkach. \u015arodki kontroli mog\u0105 zmniejszy\u0107 prawdopodobie\u0144stwo i\/lub skutki ryzyka, ale \u017caden z nich nie eliminuje ich ca\u0142kowicie. Ryzyko szcz\u0105tkowe nadal trzeba dokumentowa\u0107, monitorowa\u0107 i przegl\u0105da\u0107, bo czasem potrzebne jest dalsze post\u0119powanie albo pojawiaj\u0105 si\u0119 nowe mo\u017cliwo\u015bci.<\/p>\n\n\n\n
Je\u015bli \u015bledzisz tylko jedn\u0105 z tych dw\u00f3ch kategorii, nieuchronnie albo zani\u017cysz ekspozycj\u0119, albo przecenisz si\u0142\u0119 zabezpiecze\u0144. \u015aledzenie samego ryzyka inherentnego ignoruje warto\u015b\u0107 \u015brodk\u00f3w kontroli, a \u015bledzenie samego ryzyka szcz\u0105tkowego ukrywa, jak skuteczne s\u0105 te \u015brodki.<\/p>\n\n\n\n
Ile to za du\u017co? Apetyt na ryzyko a tolerancja ryzyka<\/h2>\n\n\n\n
To dwa \u0142atwe do pomylenia poj\u0119cia. Apetyt na ryzyko okre\u015bla poziom ryzyka, jaki organizacja \u015bwiadomie akceptuje w d\u0105\u017ceniu do swoich cel\u00f3w. Organizacje mog\u0105 akceptowa\u0107 r\u00f3\u017cne poziomy ryzyka na r\u00f3\u017cnych etapach rozwoju \u2013 start-up ch\u0119tniej podejmie ryzyko ni\u017c ugruntowana firma. Bywa on te\u017c r\u00f3\u017cny dla r\u00f3\u017cnych dzia\u0142a\u0144 nawet w obr\u0119bie tej samej firmy: bank mo\u017ce mie\u0107 wysoki apetyt na ryzyko przy inwestycjach kapita\u0142owych, a jednocze\u015bnie niemal zerowy w obszarze zgodno\u015bci z przepisami czy bezpiecze\u0144stwa danych. Apetyt na ryzyko to czynnik strategiczny: ustalany na poziomie zarz\u0105du i wzgl\u0119dnie stabilny.<\/p>\n\n\n\n
Tolerancja ryzyka to natomiast dopuszczalne odchylenie od przyj\u0119tego poziomu dla konkretnego ryzyka lub procesu. W odr\u00f3\u017cnieniu od poprzedniej kategorii jest to czynnik operacyjny, kt\u00f3ry mo\u017ce si\u0119 zmienia\u0107 w zale\u017cno\u015bci od konkretnego procesu czy okoliczno\u015bci. Je\u015bli firma og\u00f3lnie toleruje ryzyko rz\u0119du ~1%, to jakie zaakceptuje dla dzia\u0142ania o wysokim potencjalnym zysku? 2%? 10%? Na to pytanie odpowiada tolerancja ryzyka.<\/p>\n\n\n\n
Oba te czynniki bezpo\u015brednio kszta\u0142tuj\u0105 decyzje o reagowaniu na ryzyko. Organizacja zwykle ostro\u017cna mo\u017ce przyj\u0105\u0107 wi\u0119ksze ni\u017c zwykle ryzyko, je\u015bli uzasadnia to potencjalny zysk. Na przyk\u0142ad zachowawcza z natury firma farmaceutyczna mo\u017ce postawi\u0107 na now\u0105 szczepionk\u0119 w czasie pandemii (ze wzgl\u0119du na potencjalny popyt i wy\u017csz\u0105 konieczno\u015b\u0107).<\/p>\n\n\n\n
Bez zdefiniowania apetytu na ryzyko i tolerancji ryzyka priorytetyzacja staje si\u0119 zgadywank\u0105, a wydatki trudno uzasadni\u0107. To w\u0142a\u015bnie z tymi czynnikami nale\u017cy por\u00f3wnywa\u0107 ryzyko szcz\u0105tkowe, aby oceni\u0107, czy jest akceptowalne.<\/p>\n\n\n\n
Wi\u0119cej ni\u017c przeczucie: ocena jako\u015bciowa czy ilo\u015bciowa?<\/h2>\n\n\n\n
To dwie r\u00f3\u017cne metody oceny ryzyka, z kt\u00f3rych ka\u017cda ma swoje wady i zalety.<\/p>\n\n\n\n
Jako\u015bciowa ocena ryzyka szacuje prawdopodobie\u0144stwo i skutki niekorzystnego zdarzenia za pomoc\u0105 opisowych etykiet, takich jak niskie, \u015brednie i wysokie, i opiera si\u0119 na percepcji oraz do\u015bwiadczeniu oceniaj\u0105cych. Jej zalety to szybko\u015b\u0107 i niski koszt \u2013 wymaga minimum danych i oblicze\u0144, a wykorzystuje wiedz\u0119 eksperck\u0105. Wad\u0105 jest subiektywno\u015b\u0107 i trudno\u015b\u0107 w por\u00f3wnywaniu r\u00f3\u017cnych ryzyk. Typowym produktem jako\u015bciowej analizy ryzyka jest kolorowa macierz ryzyka (patrz ni\u017cej).<\/p>\n\n\n\n
Ilo\u015bciowa ocena ryzyka z kolei przypisuje warto\u015bci liczbowe szacunkom prawdopodobie\u0144stwa i skutk\u00f3w. O ile to pierwsze wci\u0105\u017c jest po cz\u0119\u015bci arbitralne, o tyle drugie mo\u017cna wyrazi\u0107 w kwotach jako potencjaln\u0105 strat\u0119 finansow\u0105 wynikaj\u0105c\u0105 z niekorzystnego zdarzenia. To czyni j\u0105 zarazem zrozumia\u0142\u0105 i przekonuj\u0105c\u0105. Jest to podej\u015bcie obiektywne i oparte na danych, korzystaj\u0105ce z analizy statystycznej i modeli matematycznych. Plusy oceny ilo\u015bciowej to precyzja i por\u00f3wnywalno\u015b\u0107, wsparcie decyzji na podstawie analizy koszt\u00f3w i korzy\u015bci. Jest przekonuj\u0105ca dla wsp\u00f3\u0142czesnych mened\u017cer\u00f3w i inwestor\u00f3w, kt\u00f3rzy s\u0105 sk\u0142onni widzie\u0107 firm\u0119 jako arkusz kalkulacyjny. Minusem jest jednak to, \u017ce ocena ilo\u015bciowa zale\u017cy od dobrych danych historycznych, kt\u00f3rych wi\u0119kszo\u015bci organizacji brakuje, i zwykle wymaga wi\u0119cej czasu oraz wiedzy, by zrobi\u0107 j\u0105 porz\u0105dnie. Dlatego jest u\u017cywana najcz\u0119\u015bciej w dojrza\u0142ych, bogatych w dane sektorach, takich jak ubezpieczenia, finanse, energetyka j\u0105drowa czy lotnictwo.<\/p>\n\n\n\n
Z\u0142otym \u015brodkiem jest ocena p\u00f3\u0142ilo\u015bciowa, w kt\u00f3rej do kategorii jako\u015bciowych przypisuje si\u0119 skale liczbowe. Pozwala to sumowa\u0107 i por\u00f3wnywa\u0107 oceny mi\u0119dzy r\u00f3\u017cnymi typami ryzyka. Macierz ryzyka to najpopularniejsze narz\u0119dzie p\u00f3\u0142ilo\u015bciowe. W praktyce najlepiej zacz\u0105\u0107 od oceny jako\u015bciowej i przechodzi\u0107 ku ilo\u015bciowej w miar\u0119 dojrzewania danych. Pami\u0119tajmy, \u017ce ocena ryzyka to proces ci\u0105g\u0142y.<\/p>\n\n\n\n
Nanie\u015b\u0107 nieprzewidywalne: jak dzia\u0142a macierz ryzyka?<\/h2>\n\n\n\n
Termin \u201emacierz ryzyka\u201d pad\u0142 ju\u017c dwukrotnie, wi\u0119c pewnie czas wyja\u015bni\u0107, co to jest. Najpro\u015bciej m\u00f3wi\u0105c, jest to wykres, na kt\u00f3rym nanosi si\u0119 prawdopodobie\u0144stwo ryzyk na jednej osi, a ich skutki na drugiej. Te, kt\u00f3re najprawdopodobniej spowoduj\u0105 najwi\u0119ksze zak\u0142\u00f3cenia, trafiaj\u0105 do g\u00f3rnego prawego rogu. To czytelne wizualne przedstawienie tego, kt\u00f3re problemy s\u0105 najpilniejsze i kt\u00f3rymi nale\u017cy zaj\u0105\u0107 si\u0119 najpierw \u2013 co czyni j\u0105 zar\u00f3wno narz\u0119dziem analizy, jak i komunikacji.<\/p>\n\n\n\n
Najcz\u0119stszy format macierzy ryzyka to siatka 3\u00d73 lub 5\u00d75. Zwykle ka\u017cde pole jest oznaczone kolorem (najcz\u0119\u015bciej od zielonego do czerwonego), aby pokaza\u0107 \u0142\u0105czny poziom ryzyka, jak na przyk\u0142adowej ilustracji poni\u017cej:<\/p>\n\n\n\n
- \n
- Wysokie prawdopodobie\u0144stwo i wysoki skutek (czerwony) = dzia\u0142aj natychmiast.<\/li>\n\n\n\n
- Niskie prawdopodobie\u0144stwo i niski skutek (zielony) = zaakceptuj lub tylko monitoruj.<\/li>\n<\/ul>\n\n\n\n
![\"\"](\"https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/image.gif\")
<\/figure>\n\n\n\nIlustracja: przyk\u0142adowa macierz ryzyka.<\/em><\/p>\n\n\n\n
Cho\u0107 macierz ryzyka jest u\u017cyteczna przy analizie i (jeszcze bardziej) przy komunikowaniu wynik\u00f3w, nie jest pozbawiona wad. Po pierwsze, jest skuteczna tylko wtedy, gdy kryteria oceny s\u0105 ujednolicone i uzgodnione w ca\u0142ej organizacji. Je\u015bli nie ma wsp\u00f3lnej definicji tego, co w\u0142a\u015bciwie znacz\u0105 \u201eniskie\u201d, \u201e\u015brednie\u201d i \u201ewysokie\u201d, macierz nie ma wielkiej warto\u015bci. Tworzy te\u017c z\u0142udne poczucie precyzji, kt\u00f3re nie oddaje ogranicze\u0144 oceny jako\u015bciowej. Cz\u0119sto zdarza si\u0119 te\u017c, \u017ce ryzyka o wysokim skutku i niskim prawdopodobie\u0144stwie s\u0105 systematycznie niedoszacowywane.<\/p>\n\n\n\n
Ograniczy\u0107, przenie\u015b\u0107, unika\u0107, zaakceptowa\u0107: co po ocenie ryzyka?<\/h2>\n\n\n\n
Skoro wszystkie ryzyka zosta\u0142y ju\u017c zidentyfikowane i uszeregowane, trzeba zdecydowa\u0107, jak sobie z nimi poradzi\u0107. Cztery standardowe opcje post\u0119powania to: Ograniczenie, Przeniesienie, Unikanie i Akceptacja .<\/p>\n\n\n\n
Ograniczy\u0107<\/strong> (zmitygowa\u0107) ryzyko to znaczy doda\u0107 \u015brodki kontroli i procedury, kt\u00f3re obni\u017caj\u0105 jego prawdopodobie\u0144stwo lub \u0142agodz\u0105 skutki. Sposob\u00f3w na ograniczanie ryzyka jest tyle, ile samych ryzyk. Do popularnych nale\u017c\u0105 np. szkolenia, kt\u00f3re pomagaj\u0105 pracownikom w por\u0119 dostrzec nadchodz\u0105cy problem i mu zapobiec albo nauczy\u0107 si\u0119 reagowa\u0107, gdy ju\u017c wyst\u0105pi. W\u0142a\u015bnie dlatego przeprowadza si\u0119 pr\u00f3bne alarmy przeciwpo\u017carowe. Inne cz\u0119ste metody to ograniczanie dost\u0119pu do wra\u017cliwych obiekt\u00f3w, sprz\u0119tu czy danych. A skoro o danych mowa \u2013 dwa najprostsze sposoby na ograniczenie ca\u0142ej gamy powi\u0105zanych ryzyk to wprowadzenie uwierzytelniania dwusk\u0142adnikowego i tworzenie kopii zapasowych. Po\u017car\u00f3w, wyciek\u00f3w danych, atak\u00f3w ransomware i awarii dysk\u00f3w nigdy nie da si\u0119 ca\u0142kowicie wyeliminowa\u0107, ale przy odpowiednich narz\u0119dziach mo\u017cna je uczyni\u0107 mniej prawdopodobnymi i\/lub zminimalizowa\u0107 ich skutki.<\/p>\n\n\n\n
Przenie\u015b\u0107<\/strong> ryzyko to znaczy przerzuci\u0107 odpowiedzialno\u015b\u0107 finansow\u0105 i\/lub operacyjn\u0105 na stron\u0119 trzeci\u0105. Najbardziej oczywist\u0105 metod\u0105 jest ubezpieczenie, w kt\u00f3rym ubezpieczyciel przejmuje odpowiedzialno\u015b\u0107 finansow\u0105 za koszt niekorzystnego zdarzenia (lub jego cz\u0119\u015b\u0107). Jest to najcz\u0119stsze w przypadku ubezpiecze\u0144 od si\u0142y wy\u017cszej lub od odpowiedzialno\u015bci cywilnej. To pierwsze dotyczy ryzyka, kt\u00f3rego w niekt\u00f3rych przypadkach nie da si\u0119 wyeliminowa\u0107 ani nawet ograniczy\u0107, wi\u0119c najlepszym sposobem na jego zniwelowanie jest ubezpieczenie. To drugie ryzyko mo\u017cna ogranicza\u0107 na wiele sposob\u00f3w, ale z uwagi na koszty cz\u0119sto zwi\u0105zane z odpowiedzialno\u015bci\u0105 za szkody wyrz\u0105dzone osobom trzecim, wi\u0119kszo\u015b\u0107 organizacji ma ostatni\u0105 poduszk\u0119 bezpiecze\u0144stwa w postaci ubezpieczenia OC.<\/p>\n\n\n\n
Alternatyw\u0105 dla ubezpieczenia jest umowne przej\u0119cie odpowiedzialno\u015bci (indemnifikacja), w kt\u00f3rym jedna strona jakiej\u015b innej umowy zgadza si\u0119 pokry\u0107 koszty okre\u015blonych niekorzystnych zdarze\u0144. Mo\u017ce to dzia\u0142a\u0107 w obie strony mi\u0119dzy klientem a dostawc\u0105. Na przyk\u0142ad, w umowach najmu to zwykle klient przejmuje odpowiedzialno\u015b\u0107 za np. wszelkie szkody zwi\u0105zane z korzystaniem z wynaj\u0119tego obiektu. Z kolei np. w umowach licencyjnych (takich jak na oprogramowanie czy materia\u0142y obj\u0119te prawami autorskimi) cz\u0119sto to dostawca bierze na siebie odpowiedzialno\u015b\u0107 za problemy spowodowane przez licencjonowane oprogramowanie, naruszenia praw autorskich itp. Jeszcze innym sposobem przeniesienia ryzyka jest outsourcing, w kt\u00f3rym zewn\u0119trzny podmiot przejmuje dane zadanie wraz z powi\u0105zanym ryzykiem. Trzeba jednak zaznaczy\u0107, \u017ce outsourcing sam w sobie mo\u017ce by\u0107 \u017ar\u00f3d\u0142em ryzyka, wi\u0119c nale\u017cy go starannie rozwa\u017cy\u0107, zw\u0142aszcza gdy chodzi o bezpiecze\u0144stwo danych.<\/p>\n\n\n\n
Aby unikn\u0105\u0107<\/strong> ryzyka, po prostu przesta\u0144 robi\u0107 to, z czym si\u0119 ono wi\u0105\u017ce. Mo\u017ce to by\u0107 konkretna dzia\u0142alno\u015b\u0107, technologia czy projekt, z kt\u00f3rego rezygnuje si\u0119 ca\u0142kowicie, by usun\u0105\u0107 ryzyko \u2013 na przyk\u0142ad przez wyj\u015bcie z okre\u015blonego rynku, wycofanie linii produkt\u00f3w itd. Dobrym aktualnym przyk\u0142adem jest wdra\u017canie AI: wiele firm zainwestowa\u0142o w sztuczn\u0105 inteligencj\u0119, cz\u0119\u015b\u0107 nawet zwolni\u0142a pracownik\u00f3w, ale \u2013 jak pokazuje badanie MIT NANDA The GenAI Divide: State of AI in Business 2025<\/em><\/a> – wi\u0119kszo\u015b\u0107 z nich nie odnios\u0142o \u017cadnych korzy\u015bci, a wiele musia\u0142o wr\u0119cz wycofa\u0107 wprowadzone zmiany. Jednym ze sposob\u00f3w na ca\u0142kowite unikni\u0119cie tego ryzyka by\u0142oby w og\u00f3le nie wdra\u017ca\u0107 niesprawdzonej nowej technologii.<\/p>\n\n\n\n
Wreszcie, ryzyko mo\u017cna \u015bwiadomie zaakceptowa\u0107<\/strong> i funkcjonowa\u0107 dalej ze znanym ryzykiem. Cho\u0107 mo\u017ce si\u0119 to wydawa\u0107 nierozs\u0105dne, czasem ryzyko o niskim prawdopodobie\u0144stwie i niezbyt powa\u017cnych skutkach jest tak trudne lub kosztowne do ograniczenia, \u017ce po prostu nie warto si\u0119 nim przejmowa\u0107. Na przyk\u0142ad: w zesz\u0142ym roku P\u00f3\u0142wysep Iberyjski do\u015bwiadczy\u0142 og\u00f3lnokrajowej awarii zasilania. Firma zale\u017cna od pr\u0105du mog\u0142a to ryzyko ograniczy\u0107 \u2013 i niekt\u00f3re to zrobi\u0142y: dzia\u0142a\u0142o kilka bankomat\u00f3w, cz\u0119\u015b\u0107 maszt\u00f3w telefonii kom\u00f3rkowej, a osiedlowe sklepiki przesz\u0142y na rozliczenia got\u00f3wkowe. Dla wi\u0119kszo\u015bci firm jest to jednak zjawisko tak wyj\u0105tkowo rzadkie, \u017ce utrata jednego dnia dzia\u0142alno\u015bci nie jest warta przygotowa\u0144 na tak\u0105 ewentualno\u015b\u0107. Inny przyk\u0142ad pochodzi z Polski: w Bia\u0142ymstoku g\u0142\u00f3wna trasa rowerowa przechodzi pod mostami drogowymi wzd\u0142u\u017c rzeki, by omin\u0105\u0107 ruch. Oznacza to, \u017ce kilkadziesi\u0105t metr\u00f3w tej trasy bywa czasem zalewane. Czy da\u0142oby si\u0119 temu zapobiec? Zapewne tak, ale ograniczanie problemu, kt\u00f3ry zdarza si\u0119 \u015brednio raz w roku, najzwyczajniej si\u0119 nie op\u0142aca. Dlatego w\u0142adze miasta po prostu ustawi\u0142y znaki ostrzegawcze i pogodzi\u0142y si\u0119 z konieczno\u015bci\u0105 okazjonalnego usuwania kilkunastu centymetr\u00f3w b\u0142ota ze \u015bcie\u017cki rowerowej.<\/p>\n\n\n\n
Bardzo wa\u017cne jest dokumentowanie ka\u017cdej decyzji o post\u0119powaniu z ryzykiem, szczeg\u00f3lnie w przypadku akceptacji, kt\u00f3ra nie zostawia po sobie naturalnego \u015bladu (bo nie podejmuje si\u0119 \u017cadnych dzia\u0142a\u0144). Zarazem, z punktu widzenia interesariuszy istnieje przepa\u015b\u0107 mi\u0119dzy \u015bwiadomym, celowym podejmowaniem ryzyka a nara\u017ceniem na ryzyko przez zaniedbanie. Udokumentowanie procesu jest dowodem nale\u017cytej staranno\u015bci \u2013 zw\u0142aszcza gdy decyzjom o akceptacji towarzysz\u0105 dzia\u0142ania ograniczaj\u0105ce (strategie mitygacji) zastosowane wobec innych ryzyk.<\/p>\n\n\n\n
Po wdro\u017ceniu \u015brodki post\u0119powania z ryzykiem staj\u0105 si\u0119 \u015brodkami kontroli. ISO 31000 definiuje \u015brodek kontroli jako ka\u017cd\u0105 polityk\u0119, procedur\u0119, praktyk\u0119, proces, technologi\u0119, technik\u0119, metod\u0119 lub urz\u0105dzenie, kt\u00f3re modyfikuje ryzyko. Kluczowe jest te\u017c ponowne zmierzenie ryzyka szcz\u0105tkowego po zako\u0144czeniu post\u0119powania, aby potwierdzi\u0107, \u017ce mie\u015bci si\u0119 ono w granicach tolerancji.<\/p>\n\n\n\n
Normy, na kt\u00f3rych mo\u017cna polega\u0107: gdzie w ISO 31000, 27001 i 22301 mie\u015bci si\u0119 ocena ryzyka?<\/h2>\n\n\n\n
ISO 31000<\/strong> to og\u00f3lna norma zarz\u0105dzania ryzykiem: zbi\u00f3r zasad i wytycznych, z kt\u00f3rych ka\u017cda organizacja, w ka\u017cdym sektorze, mo\u017ce skorzysta\u0107, by uporz\u0105dkowa\u0107 spos\u00f3b zarz\u0105dzania ryzykiem. Wyznacza proces zarz\u0105dzania ryzykiem, kt\u00f3ry \u015bledzili\u015bmy w ca\u0142ym artykule: ustalenie kontekstu, identyfikacj\u0119 ryzyk, ich analiz\u0119, ewaluacj\u0119 i post\u0119powanie z nimi, a nast\u0119pnie monitorowanie, z komunikacj\u0105 i konsultacjami towarzysz\u0105cymi ca\u0142o\u015bci. Jej norma towarzysz\u0105ca, ISO\/IEC 31010, to \u017ar\u00f3d\u0142o wiedzy o tym, \u201ejak to si\u0119 robi\u201d: kataloguje ponad trzydzie\u015bci konkretnych technik identyfikacji i analizy ryzyka, od prostych narz\u0119dzi, jak macierz ryzyka, po bardziej rygorystyczne, jak FMEA czy analiza drzewa b\u0142\u0119d\u00f3w i metoda \u201emuszki\u201d. Warto jasno zaznaczy\u0107, \u017ce ISO 31000 to wytyczne, a nie norma certyfikowalna. Organizacja mo\u017ce dostosowa\u0107 do niej swoje praktyki, a nawet podda\u0107 si\u0119 nieformalnemu audytowi, ale nie ma \u017cadnego \u201ecertyfikatu ISO 31000\u201d do powieszenia na \u015bcianie.<\/p>\n\n\n\n
ISO\/IEC 27001<\/strong> to z kolei norma certyfikowalna, a ocena ryzyka le\u017cy u jej podstaw. To mi\u0119dzynarodowa norma system\u00f3w zarz\u0105dzania bezpiecze\u0144stwem informacji, a ka\u017cda wdra\u017caj\u0105ca j\u0105 organizacja jest zobowi\u0105zana przeprowadzi\u0107 formaln\u0105 ocen\u0119 ryzyka jako krok fundamentalny. To w\u0142a\u015bnie ta ocena decyduje, kt\u00f3re z zabezpiecze\u0144 wymienionych w Za\u0142\u0105czniku A normy s\u0105 rzeczywi\u015bcie istotne i wymagaj\u0105 zastosowania. Nie wdra\u017ca si\u0119 z automatu wszystkich zabezpiecze\u0144 \u2013 wdra\u017ca si\u0119 te, kt\u00f3rych potrzeb\u0119 wykaza\u0142a ocena ryzyka. Proces oceny ryzyka wymagany przez ISO 27001 pokrywa si\u0119 bezpo\u015brednio z og\u00f3lnym procesem ISO 31000 opisanym powy\u017cej, wi\u0119c organizacja obeznana ju\u017c z 31000 nie zaczyna od zera, gdy przechodzi konkretnie do bezpiecze\u0144stwa informacji.<\/p>\n\n\n\n
ISO 22301<\/strong> stosuje t\u0119 sam\u0105 logik\u0119 do innego problemu: ci\u0105g\u0142o\u015bci dzia\u0142ania. To norma system\u00f3w zarz\u0105dzania ci\u0105g\u0142o\u015bci\u0105 dzia\u0142ania i r\u00f3wnie\u017c tutaj ocena ryzyka wykonuje prac\u0119 u podstaw. To dzi\u0119ki niej organizacja ustala, kt\u00f3re scenariusze zak\u0142\u00f3ce\u0144 (cyberatak, awaria dostawcy, kl\u0119ska \u017cywio\u0142owa, pandemia) s\u0105 na tyle prawdopodobne i powa\u017cne, by uzasadnia\u0142y powstanie planu ci\u0105g\u0142o\u015bci dzia\u0142ania.<\/p>\n\n\n\n
We wszystkich tych trzech normach przewija si\u0119 ta sama my\u015bl przewodnia: ocena ryzyka nie jest tylko jednorazowym \u0107wiczeniem z zakresu zgodno\u015bci doczepionym do certyfikacji. To ona dyktuje, co organizacja faktycznie musi zrobi\u0107, niezale\u017cnie od tego, czy celem jest og\u00f3lne zarz\u0105dzanie ryzykiem, bezpiecze\u0144stwo informacji, czy utrzymanie ci\u0105g\u0142o\u015bci dzia\u0142ania, gdy co\u015b p\u00f3jdzie nie tak.<\/p>\n\n\n\n
Sedno sprawy: podsumowanie i najwa\u017cniejsze wnioski<\/h2>\n\n\n\n
- \n
- Ocena ryzyka to proces ci\u0105g\u0142y i uporz\u0105dkowany, a nie jednorazowe zadanie.<\/li>\n\n\n\n
- Ryzyko nieod\u0142\u0105czne (przed post\u0119powaniem) a ryzyko szcz\u0105tkowe (po post\u0119powaniu): \u015bled\u017a oba, bo inaczej \u017ale ocenisz swoj\u0105 rzeczywist\u0105 ekspozycj\u0119.<\/li>\n\n\n\n
- Apetyt na ryzyko (ile ryzyka jeste\u015b zwykle sk\u0142onny podj\u0105\u0107) i tolerancja ryzyka (o ile wi\u0119cej ryzyka jeste\u015b okazjonalnie sk\u0142onny podj\u0105\u0107) wyznaczaj\u0105 granic\u0119 tego, co akceptowalne.<\/li>\n\n\n\n
- Metody oceny skaluj\u0105 si\u0119 wraz z dojrza\u0142o\u015bci\u0105 danych \u2013 od jako\u015bciowych, przez p\u00f3\u0142ilo\u015bciowe, po ilo\u015bciowe.<\/li>\n\n\n\n
- Macierz ryzyka jest u\u017cyteczna tylko przy sp\u00f3jnej, uzgodnionej punktacji stosowanej w ca\u0142ej organizacji.<\/li>\n\n\n\n
- Cztery sposoby post\u0119powania z ryzykiem<\/a><\/li>\n<\/ul>\n\n\n\n
<\/p>\n","protected":false},"excerpt":{"rendered":"
Zacznijmy od podstawowej definicji. Czym w\u0142a\u015bciwie jest ocena ryzyka? Kr\u00f3tko m\u00f3wi\u0105c, to uporz\u0105dkowany proces identyfikacji i analizy ryzyk, kt\u00f3re mog\u0105 wp\u0142yn\u0105\u0107 na organizacj\u0119. Nacisk pada…<\/p>\n","protected":false},"author":12,"featured_media":10347,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","format":"standard","meta":{"_acf_changed":false,"_eb_attr":"","inline_featured_image":false,"_uag_custom_page_level_css":"","footnotes":""},"tags":[],"class_list":["post-10324","articles","type-articles","status-publish","format-standard","has-post-thumbnail","hentry"],"acf":[],"uagb_featured_image_src":{"full":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-scaled.jpg",2560,1920,false],"thumbnail":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-150x150.jpg",150,150,true],"medium":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-300x225.jpg",300,225,true],"medium_large":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-768x576.jpg",640,480,true],"large":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-1024x768.jpg",640,480,true],"1536x1536":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-1536x1152.jpg",1536,1152,true],"2048x2048":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-2048x1536.jpg",2048,1536,true],"logo":["https:\/\/adaptivegrc.com\/wp-content\/uploads\/2026\/07\/Ryzyko-na-chlodno_-czym-jest-ocena-ryzyka-i-dlaczego-ma-znaczenie_-133x100.jpg",133,100,true]},"uagb_author_info":{"display_name":"\u0141ukasz Krzewicki","author_link":"https:\/\/adaptivegrc.com\/pl\/author\/lukasz-krzewicki\/"},"uagb_comment_info":0,"uagb_excerpt":"Zacznijmy od podstawowej definicji. Czym w\u0142a\u015bciwie jest ocena ryzyka? Kr\u00f3tko m\u00f3wi\u0105c, to uporz\u0105dkowany proces identyfikacji i analizy ryzyk, kt\u00f3re mog\u0105 wp\u0142yn\u0105\u0107 na organizacj\u0119. Nacisk pada...","_links":{"self":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10324","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles"}],"about":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/types\/articles"}],"author":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/comments?post=10324"}],"version-history":[{"count":3,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10324\/revisions"}],"predecessor-version":[{"id":10360,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/articles\/10324\/revisions\/10360"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/media\/10347"}],"wp:attachment":[{"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/media?parent=10324"}],"wp:term":[{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/adaptivegrc.com\/pl\/wp-json\/wp\/v2\/tags?post=10324"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- Analiza drzewa b\u0142\u0119d\u00f3w (FTA<\/em>). Zacznij od jednego z\u0142ego skutku i cofaj si\u0119, mapuj\u0105c ka\u017cd\u0105 kombinacj\u0119 awarii, kt\u00f3ra mog\u0142aby go wywo\u0142a\u0107.<\/li>\n\n\n\n
- Analiza.<\/strong> Tu nast\u0119puje oszacowanie prawdopodobie\u0144stwa i skutk\u00f3w ka\u017cdego ryzyka. Uwaga: \u201eoszacowanie\u201d nie znaczy \u201ezgadywanie\u201d. Nawet w przypadku ryzyk, kt\u00f3re wydaj\u0105 si\u0119 oczywiste, lepiej zebra\u0107 konkretne dane, przydatne na dalszych etapach procesu.<\/li>\n\n\n\n