V anglosaské literatuře se fáze zvládání rizik označuje jako risk treatment, risk response anebo také risk control.

Buď jak buď, v této fázi je nutné učinit několik kroků, které v konečném důsledku rozhodnou o tom, jak efektivní ono zvládání rizik ve vaší organizaci nakonec bude. Na některé z nich se však bohužel velice často zapomíná.

Akceptace rizik patří mezi manažery k nejoblíbenější metodě zvládání rizik. Jak by také ne, když je stačí jen formálně odsouhlasit.

Problém nastává v okamžiku, kdy management není ochoten udělat ani to a bez ohledu na výši rizika se rozhodnutí ohledně volby vhodné metody zvládání rizika vyhýbá a vyhýbá se dokonce i diskusi o tomto riziku.

Zvyšování rizika je ne moc známá metoda zvládání rizik, která spočívá ve zvýšení reziduálního rizika.

Jde o to, že organizace se rozhodne snížit inherentní riziko zavedením vhodných bezpečnostních opatření organizační a technické povahy, ovšem po určité době dospěje k závěru, že je dál podporovat nebude, a že je zruší.

Tento příspěvek se zabývá vztahem mezi řízením rizik a řízením kontinuity podnikání.

V prvé řadě je třeba uvést, že rizika řídíme proto, abychom zajistili kontinuitu podnikání a tedy i naplnění mise a vize organizace a úspěšně překonali nejrůznější havárie, ke kterým může dojít v důsledku selhání jednotlivce, působení vyšší moci anebo kybernetického útoku.

Metodika Open Factor Analysis of Information Risk, zkr. Open FAIR poskytuje návod, jak provést analýzu informačních rizik, nic víc od ní ale nečekejte.

Na řízení rizik v celém jejich životním cyklu jsou tady jiné, vhodnější metodiky, např. M_o_R, takže jestliže proces řízení rizik ve vaší organizaci zavedený ještě nemáte, začněte nejdříve s ním, než vám začne management řídit rizika kreativně.

Akceptace rizika je formální proces, při kterém management vyjadřuje svůj záměr dané riziko vědomě podstoupit.

Management zpravidla ochotně akceptuje nízká rizika, tj. rizika s nízkým dopadem a nízkou pravděpodobností hrozby. Ovšem nemusí tomu tak být vždy.

V minulém příspěvku jsem zmínil top-down a bottom-up přístup, a na ten se nyní zaměříme.

Top-down přístup začíná tím, že si expertní tým klade otázku, co by organizaci mohlo zabránit v dosahování mise a vize. Bottom-up přístup zase vychází z identifikace aktiv, hrozeb, zranitelností a opatření, kdy si expertní tým klade otázku, jaká hrozba by mohla zneužít určité zranitelnosti a narušit důvěrnost, integritu anebo dostupnost aktiv.

Žádný standard exaktně nedefinuje, jak by se mělo k identifikaci rizik přistoupit a jaké metody použít.

Jistě, nejprve je nutné stanovit kontext a definovat hranice analýzy, a potom přistoupit k identifikaci samotných rizik, ale jak?

Pokud jde o popis rizika, tak se zpravidla nikde nedočtete, jak by mělo být takové riziko vlastně popsáno.

Když nahlédneme do registrů rizik, které mnohé organizace vytváří, tak v nich najdeme rizika zapsaná mnoha různými způsoby a to často i v rámci jedné organizace.

V tomto dílu se podíváme na to, zda máme vůbec nějaké možnosti, jak s kreativním řízení rizik bojovat.

Nebude to vůbec jednoduché. V prvé řadě musíte získat jasnou podporu ze strany vrcholového managementu a ten musí usilovat o to, aby se řízení rizik stalo nedílnou součástí všech podnikových procesů a všechna rizika se objevila v registru rizik.