Často se setkáváme s otázkou, zda je lepší provádět analýzu rizik kvantitativní nebo kvalitativní.

Ve skutečnosti je tato otázka zavádějící. Praktická volba nestojí mezi kvalitativní a kvantitativní metodou, ale spíše mezi semikvantitativním a kvantitativním přístupem.

V rámci integrovaného řízení podnikových rizik potřebujeme vrcholovému managementu zobrazit nějaký ten dashboard, aby viděl, jak na tom je.

A zobrazovat bychom měli jak aktuální stav, tedy jaká je celková expozice rizika, tak i trend, tedy jak se riziko vyvíjí.

Analýza rizik bývá tradičně rozdělena na přístupy kvalitativní a kvantitativní. Vedle nich se v praxi uplatňuje i varianta semikvalitativní, respektive semikvantitativní, která kombinuje slovní hodnocení s možností číselného zpracování.

Typickým nástrojem je matice rizik, v níž se pravděpodobnost hrozeb a velikost dopadů převádějí na číselné hodnoty a jejich kombinací vzniká výsledné hodnocení rizika.

Je určitý rozdíl, když provádíte analýzu rizik již existujícího nebo nově vyvíjeného systému.

V obou případech byste měli začít stanovením kontextu, tedy ujasněním, kdo daný systém provozuje nebo bude provozovat, k čemu daný systém slouží nebo bude sloužit, a konečně jaké služby a informace poskytuje anebo bude poskytovat a komu.

Když přijde řeč na řízení rizik, tak nemůžeme opomenout ani indikátory klíčových rizik, někdy též klíčové indikátory rizika, v originále Key Risk Indicators, zkr. KRI.

Co je to KRI, k čemu slouží, kdo a jak jej stanovuje, o tom všem je tento příspěvek.

Vzhledem k turbulentním změnám, ke kterým v posledních letech dochází, se ukazuje, že posuzovat rizika již nestačí jen jednou ročně, ale že je nutné rizika posuzovat prakticky neustále a okamžitě na ně reagovat.

Jedině tak organizace může na trhu dlouhodobě uspět a naplnit svou misi a vizi.

O integrovaném řízení podnikových rizik se hodně mluví, ovšem málokdo jej dělá, a jen pár expertů jej skutečně ovládá.

Řízení podnikových rizik (Enterprise risk management, zkr. ERM) by mělo přinést komplexní a konsolidovaný pohled na všechna rizika napříč organizací. Někdy se proto též hovoří o integrovaném řízení rizik (Integrated Risk Management, zkr. IRM), kdy je na rizika nahlíženo z pohledu celé organizace.

Ohledně těchto přístupů k řízení rizik není úplně jasno, a nepíše se o nich dokonce ani v žádném mezinárodním standardu.

Nicméně my si tyto přístupy k posuzování rizik můžeme definovat přibližně nějak takto:

Expertní tým hraje v procesu posuzování rizik, a nejen v něm, hlavní roli.

V praxi se však bohužel často setkáváme se snahou ušetřit na mzdových nákladech a nahradit expertní tým jedním expertem, na kterého je přenesena veškerá odpovědnost za identifikaci, analýzu i hodnocení rizik. Což je samozřejmě špatně.

V anglosaské literatuře se fáze zvládání rizik označuje jako risk treatment, risk response anebo také risk control.

Buď jak buď, v této fázi je nutné učinit několik kroků, které v konečném důsledku rozhodnou o tom, jak efektivní ono zvládání rizik ve vaší organizaci nakonec bude. Na některé z nich se však bohužel velice často zapomíná.