Můžete dál zlepšovat proces řízení rizik, ale
ve skutečnosti budete pořád tam, kde jste

I kdybyste měli řízení rizik hodnocené podle CMM na stupni 5, pominu, že většina firem je maximálně na 3, a  měli tak všechno dokumentované, měřené, auditovatelné a pravidelně zlepšované, budete se stejně potácet nad propastí.

Ono totiž, když je samotná metoda hodnocení rizik postavená na úrovni středověké medicíny jako je zaříkávání a pouštění žilou, tak rizika reálně neřídíte a dostáváte se na úroveň středověkého ranhojiče.

Jinými slovy ať už proces práce s pijavicemi, rozuměj risk maticemi, vylepšíme sebevíc, tak budeme jen dál systematicky produkovat nesmyslné „risk score“, protože jsme jej postavili na chybném modelu.

Medicine 1.0 vs 2.0 vs 3.0

• Medicine 1.0 – předvědecká medicína jako soubor tradic a autorit. Dělá se to, co se „vždy dělalo“: pouštění žilou, bylinky, šarlatánství. Prakticky žádná evidence, žádné systematické ověřování účinnosti, jen kombinace zvyků a víry.
• Medicine 2.0 – moderní, ale převážně reaktivní moderní věda: klinické studie, diagnostika, standardizované protokoly. Medicína je výrazně účinnější, ale stále je z velké části reaktivní. Léčíme až ve chvíli, kdy je problém zjevný, a často především na úrovni symptomů: „něco ho bolí, tak tu bolest zkusíme potlačit“.
• Medicine 3.0 – preventivní a mechanistická: Další posun spočívá v důrazu na mechanismus a prevenci. Nejde jen o to, aby pacient přestal mít příznaky, ale abychom pochopili, proč vznikají, jaké jsou kořenové příčiny a jak jim předcházet. Medicína 3.0 pracuje s personalizací a včasným zásahem, ještě než dojde k nevratným škodám.

Stejný vývoj lze dobře ilustrovat i u řízení rizik.

Risk Management 1.0 vs 2.0 vs 3.0

• Risk Management 1.0 – rituály místo modelu: vyplníme rizikovou matici, obarvíme buňky a máme „splněno“; nepracujeme s kalibrovaným odhadem ani s explicitním modelem „příčina → ztráta“; výsledkem je pocitový verdikt typu „tohle je červené“, ale bez jasné vazby na reálné peníze.  Formálně máme „risk register“ a „heatmapu“, fakticky jen sofistikovanější verzi zaříkávání.
• Risk Management 2.0 – procesy, governance, dashboardy: organizace zavádějí frameworky, procesní modely, CMM, governance struktury, komise; vznikají reporty, metriky, dashboardy, interní normy a politiky; ale v jádru se často stále používá stejný magický mišmaš: ordinalní škály 1–4, které se násobí dohromady a tváří se jako číslo rizika, aniž by to mělo matematický smysl. Výsledek: máme kultivované řízení toho, co je od začátku špatně změřené. Maturity modely odměňují disciplinovanost, ale nijak neověřují, zda metoda samotná odpovídá realitě ztrát.
• Risk Management 3.0 – kvantitativní model ztráty: důraz na mechanismus ztráty: hrozba → událost → frekvence → dopad; využití kvantitativních modelů, které rozkládají riziko na parametry jako loss event frequency a loss magnitude a typicky používají Monte Carlo přístup; výstupem je ztráta v penězích (rozsah možných škod, distribuce, percentily), nikoli barvička v tabulce. Takový přístup umožňuje srovnávat opatření podle očekávané návratnosti, pracovat s nejistotou explicitně a vysvětlit managementu rozhodnutí v řeči, které rozumí, tj. v penězích.

A tady se vracíme k větě na začátku tohoto článku: „Můžeme být dle CMM na stupni 5, ale pokud budeme zaříkávat a pouštět žilou, tak nám sebelepší proces nepomůže, protože to prostě děláme blbě.“ To vystihuje tři klíčové body:

• CMM měří zralost procesu, ne správnost metody: Maturity model ti řekne, jak konzistentně, opakovatelně a řízeně danou věc děláš. Neříká nic o tom, zda je sama metoda logicky a empiricky správná. Můžeš mít extrémně stabilní, zdokumentovaný a auditovatelný mechanismus, jak systematicky produkovat nesmyslné risk score.
• Maturity ≠ validity: Zralost procesu není totéž jako validita modelu. „Maturity model“ odpovídá na otázku: jak dobře jsme zorganizovali náš způsob práce? „Medicine/Risk 3.0“ odpovídá na otázku: dává ten způsob práce smysl z hlediska reality, vědy a rozhodnutí? Můžeme být procesně ve špičkové formě a přitom stále jen kultivovaně udržovat špatný model světa.
• Optimalizace špatného modelu = lepší iluze, ne lepší rozhodnutí. Pokud je základní model rizika chybný (například se opírá o ordinalní stupnice násobené dohromady bez spojitosti s reálnými škodami), pak jeho „optimalizace“ pouze vylepší pocit kontroly. Začneme rychleji a disciplinovaněji generovat čísla, která nemají pevný vztah k finančním ztrátám ani k pravděpodobnostem, jež skutečně pozorujeme.

Závěr

Skutečný posun přichází až ve chvíli, kdy přejdeme z pouhého zvyšování maturity procesu k revizi samotného modelu. Tedy k přechodu od Risk Management u 1.0/2.0 k Risk Managementu 3.0, kde riziko měříme v penězích, pracujeme s nejistotou explicitně a rozhodujeme se na základě očekávané ztráty, nikoliv podle barvy políčka v matici.

LITERATURA

ATTIA, Peter a GIFFORD, Bill. Outlive: the science & art of longevity. London: Vermilion, 2023. ISBN 978-1-78504-454-0.

FORWARD OMAHA PHYSICAL THERAPY. Understanding Medicine 1.0, 2.0, and 3.0. Forward Omaha Physical Therapy, 11. 9. 2024. Online. Dostupné z: https://forwardomaha.com/resources/understanding-medicine-1-0-2-0-and-3-0/. [cit. 2026-01-14].

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: řízení informačních rizik