Vyhodnocení rizik: prioritizace rizik

Klasifikace rizik podle jejich závažnosti je nedílnou součástí každého systému řízení rizik. Počet a definice jednotlivých úrovní ovlivňuje, jak budou rizika interpretována a jak budou alokovány zdroje na jejich zvládání.

Přestože se zdá, že čím více úrovní, tím detailnější pohled, v praxi platí, že ani extrémní zjednodušení, ani přílišná složitost nevedou k efektivnímu řízení.

Pouhé dvě úrovně rizik

Na první pohled by se mohlo zdát, že nejjednodušší je rozdělit rizika do dvou skupin:

• rizika, která se budou řešit,
• rizika, která se řešit nebudou.

Tento přístup však problém neřeší. I u rizik, která jsme zařadili do skupiny „řešit“, totiž zůstává otázka prioritizace: které z nich mají být řešena jako první?

Tři úrovně rizik

Praktičtějším kompromisem je rozdělení do tří skupin:

• nízká rizika – není nutná žádná akce,
• střední rizika – řeší se po zvládnutí rizik vysokých,
• vysoká rizika – řeší se co nejdříve.

Tento model je v praxi rozšířený a poskytuje určitou hierarchii bez nadměrné složitosti. Nejde však o jediné možné řešení.

Čtyři úrovně rizik

Rozdělení lze postavit také na úrovních managementu, který je za zvládání rizik odpovědný. Obvykle rozlišujeme tři stupně řízení:

• operativní (nižší management),
• taktické (střední management),
• strategické (vyšší management).

Protože však vždy existují i rizika natolik nevýznamná, že se jimi nebude zabývat žádná úroveň, dostáváme celkem čtyři kategorie: nízká, střední, vysoká a kritická rizika.

Více úrovní rizik

Při ještě větším počtu úrovní narážíme na opačný problém: složitost. S rostoucím počtem kategorií je stále obtížnější přiřadit jednotlivým úrovním srozumitelný a jednoznačný slovní popis. Výsledkem je zmatek a neefektivní správa rizik.

Závěr: Dvouúrovňový model je příliš zjednodušující a neposkytuje dostatečnou oporu pro rozhodování. Model se třemi či čtyřmi úrovněmi je v praxi použitelný a nabízí přehlednou hierarchii. Příliš velký počet úrovní naopak vede k nepřehlednosti a ztrátě praktické využitelnosti. Klíčové je proto najít rovnováhu mezi jednoduchostí a vypovídací schopností – a zajistit, aby slovní vyjádření jednotlivých kategorií bylo pro všechny zainteresované jednoznačné a srozumitelné. V praxi je však potřeba rizika nejprve kvantifikovat a seřadit, abychom je vůbec mohli takto rozdělit, ale na to se podíváme zase někdy příště.

Pokud se vám líbí naše články, tak zvažte podporu naši práce – Naskenujte QR kód a přispějte libovolnou částkou.

Děkujeme!

Štítky: řízení informačních rizik