Řízení rizik: identifikace rizik

Žádný standard exaktně nedefinuje, jak by se mělo k identifikaci rizik přistoupit a jaké metody použít.

Jistě, nejprve je nutné stanovit kontext a definovat hranice analýzy, a potom přistoupit k identifikaci samotných rizik, ale jak?

K identifikaci rizik můžeme přistoupit způsobem top-down nebo bottom-up, případně pak můžeme oba tyto přístupy kombinovat za použití metod uvedených dále. Při identifikaci rizik je vůbec vhodné na systém, projekt, proces, který je analyzován, nahlížet jednak jako na celek, ale rovněž provést i jeho dekompozici na dílčí části a ty pak analyzovat per partes.

Nejčastěji používanou, ale zároveň nejméně spolehlivou kreativní metodou identifikace rizik je bezesporu brainstorming, další metodou je analýza existujících registrů rizik a incidentů, a v neposlední řadě pak interview s respondenty, které můžeme zařadit mezi metody systematické.

Brainstorming

Při brainstormingu se účastníci facilitovaného workshopu požádají, aby na post-it lístečky napsali rizika, která je napadají. Ty se pak následně lepí na tabuli a sdružují do skupin. Nemalou pozornost je třeba věnovat i samotnému popisu rizik.

Výhodou této metody je, že se tímto způsobem dají velice rychle identifikovat rizika. Nevýhodou však je, že nemusí být vždy identifikována všechna rizika, protože k jejich identifikaci nebylo přistoupeno systematicky, a některá rizika mohla být zcela opomenuta.

Analýza registru rizik a incidentů

Analýza dokumentů typu lessons learned, registrů rizik a incidentů předpokládá, že organizace již nějaký vlastní registr rizik nebo incidentů má, anebo se jí jej podařilo získat od organizace podobné velikosti a předmětu podnikání. Takový registr, obzvláště pokud je za delší časové období, je velice cenný, neboť zpravidla obsahuje spoustu rizik, která pak stačí jen zrevidovat a doplnit o další.

Je třeba si uvědomit, že risk checklist nebo také documentation reviews, jak se tato metoda někdy též nazývá, slouží především k tomu, aby nebyla opomenuta nejběžnější rizika, se kterými se můžeme setkat. Některá rizika nemusela být zaznamenána anebo k nim nemuselo v minulosti vůbec dojít, ale nyní může být pravděpodobnost jejich vzniku více než pravděpodobná.

Interview s respondenty

Interview s respondenty a hledání slabin spočívá v tom, že expertní tým vychází z nějaké své vlastní zkušenosti a analyzuje příčiny incidentů a problémů, jednotlivé procesy s jejich vlastníky, a hledá možná slabá místa, která by mohla být zneužita hrozbou.

Oslovení expertů

Metodou Delphi dojde k oslovení několika expertů s požadavkem, aby identifikovali příslušná rizika. A jejich stanoviska se pak anonymizují a sdílejí s ostatními experty, kteří tak mají možnost se k nim vyjádřit a případně svůj seznam upravit.

Nevýhodou tohoto postupu je, že je poměrně časově náročný, neboť expert se musí seznámit s vizí a misí organizace, identifikovat klíčové business procesy a detailně je pak prozkoumat, tedy jaké jsou jejich vstupy, výstupy, kdo je za co odpovědný, jaká jsou do tohoto procesu zapojena aktiva, implementována opatření apod.

Závěr: Použití každé metody má své pro a proti, a pokud nejsou jednotlivé metody kombinovány, tak nemusí být identifikována všechna rizika. Je třeba si uvědomit, že každá organizace je specifická, objevují se nové hrozby a zranitelnosti a tudíž i rizika se mění v čase. Z tohoto důvodu je více než vhodné kombinovat za účelem identifikace rizik metody kreativní i systematické. Ovšem pozor, pokud mluvím o použití kreativních metod tak je třeba se důsledně vymezit vůči kreativnímu řízení rizik, což je něco zcela jiného.

Štítky: identifikace rizik

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.