Potřeba systémového pohledu na riziko aneb jak vytvořit rizikový model mého procesu, produktu, projektu

Obtížným problémem v podnikatelské praxi je to, jak na jakýkoli konkrétní firemní objekt (proces, produkt, projekt, firmu) aplikovat risk management.

Aby to bylo možné, je nutné na reálném zkoumaném objektu vytvořit model a definovat systém. Systém definuje souhrn objektů (aktiva, hrozby, subjekty a jejich vazby, hranice, cíle).

Důležité je namodelovat rizikové chování systému (hrozby, chybové módy, důsledky…). Důvodem, proč je potřebný rizikový model konkrétního objektu, je potřeba vykonat rizikovou analýzu a následně syntézu, tj. změny, které sníží identifikovaná rizika na akceptovanou míru. Ve firemní praxi jsou tyto modely buď neúplné, nebo jsou zbytečně detailní. Zároveň bývají příliš abstraktní.

Jak postavit správný rizikový model a jak to dělat správně? Jak nabýt jistoty, že když postavíme správný model, budeme řešit správná rizika správně na konkrétním procesu, produktu, projektu, firmě?

Obrázek: Vytvoření rizikového modelu

Posun – od subjektivního přístupu k systémovému přístupu

Když jde o předvídatelná rizika, založená na důkazech a zkušenostech z minulosti, často stačí subjektivní přístup k řízení rizik. Ten však nestačí v případech, kdy jde o aktiva s vysokou hodnotou, situace s vysokou nejistotou, když se jedná o hrozby s mnohonásobným nebo dokonce multiplikačním efektem:

• Hrozba využije zranitelnosti, překoná protiopatření a působí na aktivum, kde způsobí škodu (dopad).
• Hrozba působí na aktivum nebo na protiopatření s cílem získat přístup k aktivu.
• Aktivum je podnikatelský objekt (proces, produkt, projekt, firma), který má pro zainteresované strany hodnotu.
• Aktivum (svou hodnotou) motivuje útočníka k aktivaci hrozby. Vůči působení hrozby se aktivum vyznačuje určitou zranitelností.
• Riziko vzniká působením hrozby na aktivum. Úroveň rizika je určena hodnotou aktiva, resp. následkem pro jeho vlastníka, zranitelností aktiva a úrovní hrozby.
• Protiopatření chrání aktiva, detekuje hrozby a zmírňuje nebo zcela zabraňuje jejich působení na aktiva.

V takovýchto situacích, je potřeba systémového, strukturovaného a komplexního přístupu k řízení rizik.

Posuny ve smýšlení o riziku a jeho řízení jsme aplikovali v projektech, kde se nám podařilo dostat riziko pod kontrolu, ať to bylo produktové riziko, procesní riziko, projektové riziko nebo firemní riziko. Tyto zkušenosti jsme zapracovali do našeho modelu Řízení rizik a vypracovali jsme program Risk management academy.