Residual risk

Pojem residual risk se obvykle překládá jako zbytkové riziko. V odborné literatuře i praxi se jím rozumí riziko, které přetrvává po implementaci opatření.

Přes tuto obecnou definici však existuje značná nejasnost, kdy je vhodné riziko skutečně považovat za zbytkové.

Zbytkové riziko a role managementu

Častým zjednodušením je, že zbytkovým rizikem nazveme automaticky každé riziko, které zůstalo po zavedení příslušných kontrol či opatření. Tento přístup je však problematický. Implementovaná opatření totiž nemusí vést k významnému snížení expozice a riziko může zůstat i nadále vysoké.

Za klíčový je proto třeba považovat dovětek: zbytkové riziko je takové riziko, jehož další snižování management vědomě odmítne. Jinými slovy, nestačí pouze existence opatření – nezbytná je i manažerská volba, že riziko v dané podobě je akceptováno.

Kdy nejde o zbytkové riziko

Pokud by organizace automaticky prohlašovala každé riziko po implementaci opatření za zbytkové, hrozí, že i závažná a stále vysoká rizika budou označena za akceptovaná, aniž by o tom někdo skutečně rozhodl. Takový postup může vést k falešnému pocitu bezpečí a k oslabení celého systému řízení rizik.

Doporučení

Za zbytkové riziko bychom proto měli označit až ta rizika, u nichž:

• Byla implementována adekvátní opatření – tedy opatření, která prokazatelně redukují expozici.
• Výše rizika byla vyhodnocena – a je srozumitelně prezentována managementu.
• Management jasně vyjádřil svůj postoj – tedy rozhodl, že další snižování nebude realizováno, ať už z důvodů nákladů, kapacit nebo strategických priorit.

Závěr: Zbytkové riziko není pouhý technický výsledek implementovaných opatření. Je to především manažerské rozhodnutí, že s rizikem v jeho aktuální podobě se bude žít. Teprve takto chápané zbytkové riziko má vypovídací hodnotu a může být součástí transparentního systému řízení, v němž je zřejmé, jaká rizika jsou aktivně řízena, která byla snížena na přijatelnou úroveň a která byla vědomě akceptována.

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: řízení informačních rizik