Risk matice jako vizualizační nástroj s omezeným použitím a datem spotřeby

Matice rizik patří k nejrozšířenějším nástrojům v oblasti řízení rizik. Nabízejí jednoduchou formu vizualizace rizik podle dvou dimenzí – dopadu a pravděpodobnosti.

Právě tato srozumitelnost stojí za jejich popularitou u managementu i auditorů. Jak je ale ukázáno v článku o hanojském masakru krys, popularita je někdy důsledkem iluze efektivity, nikoli reálné užitečnosti.

Cílem tohoto textu je ukázat, za jakých podmínek lze matice rizik použít bez toho, aby vedly k chybným rozhodnutím. A především poukázat na to, že jejich nesprávné použití je nejen velmi pravděpodobné, ale v praxi bohužel i časté, a důsledky mohou být katastrofální.

Kognitivní limity expertního odhadu

Bezpečnostní analytici dokážou intuitivně rozlišit extrémní případy a snadno tak poukážou na zanedbatelné nebo fatální riziko. Tato schopnost však není zárukou spolehlivého rozlišení mezi jemnými odstíny rizika, neboť trpíme spoustou kognitivních zkreslení. Spolehlivě rozlišit tři až čtyři úrovně rizika už je pro většinu z nich problém a často to vede k chybnému zařazení rizika, zejména pokud spolu sousedí v matici. Tato chyba je systematická, nikoli náhodná, a proto má zásadní důsledky: špatné priority, špatně alokované zdroje a špatně zvládáná rizika.

Nejčastější obrany použití risk matic

Často zaznívá námitka, že řada firem používá matice rizik jen jako jeden z nástrojů, aniž by to nutně vedlo ke katastrofě. To je pravda, ale není to důkaz jejich spolehlivosti. Ne každé rozhodnutí končí špatně a ne každá chyba je okamžitě vidět. V mnoha případech firmy rozhodují správně spíše navzdory matici než díky ní. Právě to je zrádné, matice nedokáže upozornit na chybu, a tak chybné rozhodnutí může být považováno za správné, dokud nenastane selhání. Jinými slovy, absence katastrofy není důkazem správného přístupu.

V praxi se setkáváme s řadou argumentů, proč je nutné risk matice používat. Většina z nich je buď mylná, nebo zásadně nepřesná:

• Vyžaduje to regulatorní rámec – Ve většině případů normy a standardy neříkají, že musí být použita matice. Vyžadují strukturované hodnocení rizik, nikoli jeho formu.
• Slouží pro evidenci v čase – Vizualizace rizik v čase je užitečná, ale dříve než je zakreslíme do matice, bychom je měli kvantifikovat.
• Stakeholdeři nerozumí číslům, potřebují barvy – V praxi naopak většina stakeholderů rozumí velice dobře penězům a očekává odhad dopadů v korunách. Matice pro ně nejsou intuitivnější, ale když nikdy nic jiného neviděli, tak těžko mohou něco jiného chtít.
• Pomáhá s reakcemi na riziko – To by platilo, pokud by zařazení rizika bylo spolehlivé, ale právě v tom selháváme nejčastěji.
• Pomáhá s prioritizací – To by platilo, pouze v případě, že by v každé kategorii bylo jen jedno riziko. A vy máte nejspíš většinu rizik ve středních, takže nezprioritizujete nic.
• Závažnost rizik je zjevná a opatření levná – Mnoho opatření skutečně spadá do tzv. hygienického minima, jejich nákladová efektivita byla prokázána a jejich absence může být považována za nedbalost. Problém však je, že i v těchto případech často pouze odhadujeme a nepočítáme. Bez čísel si můžeme být jistí pouze zdánlivě.
• Některá opatření jsou natolik levná, že kvantifikace nemá smysl – To může být pravda, ale pokud opakujeme tento argument příliš často, unikají nám příležitosti rozpoznat opatření s vysokou ROI.
• Kvantifikace je zbytečná, když je rozhodnutí jasné – Například: „Za pár tisíc odstraníme riziko v hodnotě milionů.“ Tento argument bývá použit jako ospravedlnění vynechání kvantitativní analýzy. Jenže bez výpočtu ROI (i přibližného) nevíme, zda je návratnost 300 % nebo 500 %. V obou případech se sice opatření může vyplatit, ale právě rozdíl mezi těmito variantami může být rozhodující při prioritizaci více opatření. Trvalé odmítání kvantitativního přístupu i v jasných případech pak nevede k efektivnímu řízení, ale k povrchním rozhodnutím.

Proč matice selhávají v kritických situacích

Existuje celá řada reálných situací, kde matice nedokáže poskytnout dostatečnou jemnost ani odůvodnitelnost rozhodnutí:

• Rozpočet a čas není neomezený. Nemůžeme zavést najedou všechna opatření. Musíme prioritizovat mezi opatřeními různé ceny a účinnosti.
• Rizika se opakovaně vracejí do diskuzí. To značí, že je nelze intuitivně rozhodnout.
• Potřebujeme obhájit rozhodnutí před vedením nebo regulátorem a tady má kvant jasně navrch.
• Řada rizik spadá do střední kategorie, kde je matice nejméně přesná a rozhodnutí nejrizikovější.

Právě v těchto situacích má kvantitativní model nepopiratelnou výhodu, neboť jasně odhalí rozdíly, které jsou v matici nerozeznatelné.

Závěr: Matice rizik mohou mít místo ve vaší dokumentaci. Mohou sloužit jako vizualizační nástroj, pokud je jejich výsledek podložen kvantitativním základem a pokud chápeme jejich omezení. Pokud se však podle matice rozhoduje o prioritách, rozpočtech nebo o pořadí opatření, může jít o chybnou praxi s reálnými důsledky. Právě zde nastupuje kvantitativní přístup jako nezbytný prvek profesionálního rozhodování.

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: matice rizik