Buďte připraveni – to je motto skautů, mezinárodního mládežnického sociálního hnutí založeného na počátku 20. století. A to z dobrého důvodu. Abyste byli užiteční a nápomocní, musíte být připraveni na potenciální rizika a hrozby.
To platí i v podnikání, a proto se oblast řízení rizik neustále rozvíjí. Ať už se jedná o distribuovaný útok typu denial of service [DDoS] na vaše servery, politický konflikt ovlivňující váš dodavatelský řetězec, přírodní katastrofu ničící váš majetek nebo startup uvádějící na trh konkurenční produkt, každá firma je vystavena nesčetným rizikům.
V tomto blogovém příspěvku se zabýváme ranou a kritickou částí vaší strategie řízení rizik: hodnocením rizik. Ukážeme vám, proč potřebujete hodnocení rizik, jak je můžete provádět a jaké nástroje vám při tom pomohou.
Porozumění hodnocení rizik
Začněme od základů: Co je to hodnocení rizik?
Hodnocení rizik je strategická a periodická studie zaměřená na identifikaci potenciálních rizik pro podnikání.
Dobré posouzení rizik zahrnuje:
Povaha: Tato část zprávy o hodnocení rizik definuje riziko. Riziko můžete například definovat jako „nedodržení obecného nařízení o ochraně osobních údajů [GDPR] bude mít za následek sankce při uvedení produktu na trh v regionu EU“.
Důvody: Toto je trochu složitější. Nedodržování GDPR může být důsledkem toho, že jste mu nevěnovali dostatek času nebo mu nepřikládali dostatečnou prioritu. Pokud však uvažujete o riziku, jako je přírodní katastrofa, důvodů je mnoho a často jsou mimo vaši kontrolu. Tuto část proto používejte s rozvahou.
Pravděpodobnost: Jaká je pravděpodobnost, že se riziko naplní a dojde k nepříznivým událostem? Pokud nedodržujete nařízení GDPR, nehrozí vám žádné riziko, dokud neinteragujete s „subjektem údajů“ v EU, kterým může být osoba, společnost nebo dokonce návštěvník. To znamená, že pokud váš zákazník se sídlem v USA používá váš produkt při cestě do Francie, riskujete nedodržení předpisů.
Potenciální dopad: V této části studie měříte, co by pro vás znamenalo podstoupit dané riziko. Například nedodržení GDPR může vést k pokutám až do výše 4 % globálních příjmů nebo 20 milionů eur.
Riziko vs. nebezpečí
Slova „riziko“ a „nebezpečí“ se často používají zaměnitelně, ale mají odlišný význam, zejména v kontextu bezpečnosti a řízení rizik.
Nebezpečí je cokoli, co má potenciál způsobit újmu, zranění nebo škodu. Patří sem fyzické předměty, látky nebo podmínky ohrožující zdraví a bezpečnost. Nebezpečí nelze měřit.
Riziko se vztahuje k pravděpodobnosti, že nebezpečí skutečně způsobí škodu nebo nepříznivé účinky. Zahrnuje jak výskyt, tak závažnost potenciální škody. Rizika lze kvantifikovat jako vysoká, střední nebo nízká na základě pravděpodobnosti a závažnosti.
Pojďme si na několika příkladech vysvětlit rozdíl mezi těmito dvěma pojmy. Při provádění hodnocení environmentálních rizik se můžete setkat s následujícími nebezpečími.
- Přírodní katastrofy, jako jsou zemětřesení, povodně, hurikány, sesuvy půdy
- Biologická rizika, včetně invazivních druhů, epidemií a pandemií, toxických květů řas
- Chemická rizika, jako jsou úniky ropy, znečištění těžkými kovy, pesticidy
Odpovídající rizika budou:
- Rizika pro majetek a život
- Rizika pro ekosystém vedoucí ke ztrátě biologické rozmanitosti
- Rizika pro bezpečnost potravin, zdraví a ekonomický dopad sucha, znečištěných měst a zvýšeného environmentálního stresu
Na pracovišti se běžně vyskytují následující rizika:
- Bezpečnostní rizika, jako jsou mokré podlahy, odkryté elektrické rozvody nebo nechráněné stroje
- Nebezpečí v pracovních podmínkách, jako je hluk, světlo a teplota
- Ergonomická rizika, jako jsou nevhodná pracovní stanoviště
Odpovídající rizika mohou být:
- Zranění
- Nemoc
- Špatná zkušenost zaměstnanců
- Odebrání
- Ztráta reputace podniku
Výše uvedené příklady ukazují, že existují různé typy rizik. Nejprve si vysvětlíme ty nejběžnější.
Typy hodnocení rizik
Hodnocení rizik můžete provádět v několika dimenzích. Například na základě typů nebezpečí můžete provádět hodnocení environmentálních rizik, technologických rizik, finančních rizik, rizik souvisejících s dodržováním předpisů atd. Můžete také provádět obecná nebo specifická hodnocení – například můžete hodnotit rizika pro zdraví a bezpečnost v celé organizaci nebo na konkrétních místech.
V těchto dimenzích existuje několik běžných typů hodnocení rizik, například:
Kvantitativní hodnocení rizik: Měření rizik a potenciálního dopadu pomocí numerických údajů.
Můžete například zjistit, že máte 30% pravděpodobnost narušení bezpečnosti dat, které by mohlo způsobit ztrátu 1 milionu dolarů.
Kvalitativní hodnocení rizik: Použití subjektivního úsudku a pozorování k zařazení rizik do kategorií nízké, střední nebo vysoké podle závažnosti a pravděpodobnosti.
Například datové centrum může být „vysoce rizikové“ kvůli své poloze v seizmicky aktivní oblasti.
Hodnocení rizik specifických pro dané místo: Hodnocení podmínek konkrétního místa, jako je staveniště nebo ropná plošina. Může se také jednat o virtuální místa, jako je datové centrum nebo vaše cloudová infrastruktura.
Hodnocení rizik na základě aktiv: Identifikace rizik spojených s konkrétními aktivy, jako jsou IT systémy, vybavení, vozidla atd. Některé servisní podniky zahrnují do hodnocení rizik na základě aktiv také lidi.
Hodnocení rizik na základě zranitelnosti: Identifikace slabých míst v systémech a prostředích. Toto hodnocení je zaměřeno dovnitř. Například v technologickém světě je běžnou praxí hodnocení zranitelnosti a testování penetrace [VAPT].
Hodnocení rizik na základě hrozeb: Hodnocení rizik na základě zkoumání podmínek, které je vyvolávají. Jedná se o vnější pohled. Například finanční instituce může hodnotit rizika související s podvody.
Dynamické hodnocení rizik: Průběžné hodnocení v reálném čase reagující na okamžité nebo měnící se situace.
Například záchranáři provádějí během požáru dynamické hodnocení rizik, aby pochopili potenciál strukturálního kolapsu.
Jedná se sice o běžné typy, ale vzájemně se nevylučují. Můžete například provést kvantitativní hodnocení konkrétních aktiv nebo dynamické hodnocení založené na hrozbách atd. To, který typ použijete, závisí na tom, kdy hodnocení provádíte.
Časové osy hodnocení rizik
Organizace obvykle provádějí hodnocení ve dvou časových bodech: v pravidelných intervalech nebo na základě spouštěcích událostí.
Pravidelné intervaly
Identifikace finančních rizik se obvykle provádí každý rok. Hodnocení informační bezpečnosti se může provádět každé čtvrtletí. V závislosti na typu podnikání a typu hodnocení rozhodují organizace o harmonogramu.
Spouštěče
Někdy vyvolávají potřebu hodnocení nově vznikající nebezpečí, rizika nebo obchodní situace. Může se jednat o:
- Před provedením hodnocení projektu, uvedením produktu na trh nebo otevřením nové vertikály
- Před změnami v oblasti vybavení, materiálu, softwaru nebo vedení
- Po závažném incidentu, který odhalil zranitelnost
- V reakci na regulační nebo legislativní změny
Na tomto základě se podívejme, jak provádět hodnocení rizik.
Klíčové kroky při provádění hodnocení rizik
Hodnocení rizik je jedním z nejdůležitějších aspektů jakéhokoli podnikání. Pomáhá předcházet nepříznivým výsledkům. Dobré hodnocení rizik může ušetřit peníze, reputaci a dokonce i lidské životy.
Je tedy důležité provádět důkladné a efektivní hodnocení rizik. Zde je návod, jak na to.
1. Nastavte systémy pro hodnocení rizik
Než začnete cokoli hodnotit, vytvořte si rámec pro řízení projektů v oblasti hodnocení rizik.
Definujte rozsah
Jaké funkce, lokality, aktiva a procesy budete hodnotit? Jaké jsou cíle vašeho hodnocení? Potřebujete prozkoumat rizika spojená s náklady na projekt? Co se snažíte identifikovat/zjistit?
Identifikujte požadavky
Kolik času, personálu, rozpočtu a prostředků budete potřebovat pro posouzení rizik? Pokud například provádíte posouzení rizik podvodných žádostí o úvěr, možná budete potřebovat datové analytiky, které vaše společnost dosud nemá. Tyto požadavky jasně definujte.
Zaregistrujte zúčastněné strany
Kdo se bude podílet a v jaké míře? Určete role a odpovědnosti jednotlivých osob. V ideálním případě budete potřebovat manažera rizik, vedoucího týmu pro hodnocení, odborníky na danou problematiku a obchodního partnera.
Prostudujte si pravidla a předpisy
V jakém regulačním rámci musíte pracovat? Existují konkrétní pravidla, která musíte dodržovat? Musí být zpráva vytvořena a předložena regulačnímu orgánu konkrétním způsobem?
Nastavte si své nástroje
Důkladný proces vyžaduje řadu kontrolních seznamů milníků, šablon pro hodnocení rizik atd. Dobrý software pro správu, rizika a dodržování předpisů, tj. software GRC, může výrazně zjednodušit proces hodnocení a zároveň zlepšit přesnost a účinnost výsledků.
Vyberte si nástroj pro řízení projektů v oblasti hodnocení rizik, jako je ClickUp, který vás bude na této cestě podporovat.
2. Identifikujte nebezpečí
Jakmile budete připraveni, je čas vyhodnotit první aspekt vašeho rizika, tj. nebezpečí. V závislosti na typu hodnocení rizik se můžete setkat s různými nebezpečími.
Pokud například provádíte hodnocení environmentálních rizik, můžete zvážit biologická rizika a přírodní katastrofy. Pokud hodnotíte riziko fluktuace zaměstnanců, můžete prozkoumat rizika pro zdraví a bezpečnost, jako jsou pracovní úrazy, stávky nebo psychosociální rizika, jako je šikana/stres atd.
Pro identifikaci nebezpečí můžete shromažďovat data z:
Pozorování
Proveďte prohlídky místa/majetku/procesu, které jsou předmětem hodnocení. Pečlivě sledujte každý aspekt a jeho interakci s ostatními.
Konverzace
Promluvte si s týmem, který pracuje v terénu. Pochopte jejich obavy a to, co považují za rizika. [Možná s nimi nebudete souhlasit, ale vždy je dobré je vyslechnout].
Historické zprávy
Projděte si zprávy o incidentech, stížnosti, analýzy, doporučení atd. z minulosti. Prostudujte historická data o nehodách nebo incidentech, abyste identifikovali rizika, která k nim vedla.
Benchmarky
Prostudujte bezpečnostní listy a návody k zařízením, abyste získali podrobné informace o potenciálních rizicích.
Nejjednodušší způsob, jak si poznamenat vše, co během této fáze hodnocení zjistíte, je použít nástroj jako ClickUp Docs. Díky spolupráci v reálném čase mohou velké týmy konsolidovat všechny své poznámky na jednom místě pro pozdější kontrolu a analýzu.
K zefektivnění tohoto procesu můžete také použít některou z dostupných šablon registru rizik.
3. Vyhodnoťte rizika
Ne každé nebezpečí představuje riziko. Můžete pracovat s toxickými chemikáliemi, ale při dodržení odpovídajících bezpečnostních opatření nemusí hrozit riziko nehody. Dalším krokem je tedy hodnocení rizik – zjištění, zda z identifikovaných nebezpečí vyplývá nějaké riziko.
Šablona ClickUp Risk Assessment Whiteboard Template je k tomu ideální. Tato šablona je vhodná pro začátečníky a umožňuje vám metodicky identifikovat a posoudit rizika. Ve spolupráci s týmem na dálku můžete tuto šablonu ClickUp Whiteboards použít také k brainstormingu a vymýšlení nápadů ohledně vašich rizik.
4. Změřte pravděpodobnost a dopad
Důležitou součástí procesu hodnocení je posouzení pravděpodobnosti a dopadu identifikovaných rizik.
- Pravděpodobnost: Pravděpodobnost výskytu rizika [vysoká, střední, nízká]
- Dopad: Kde, na koho a na co bude mít riziko dopad?
Toto je také krok, ve kterém většina organizací selhává. Profesorové a odborníci na rizika píší, že „máme tendenci být příliš sebejistí ohledně přesnosti našich předpovědí a hodnocení rizik a příliš úzce posuzujeme škálu možných výsledků.“
Abyste se vyhnuli této pasti:
- Raději buďte opatrní: Pokud jde o rizika, je lepší se obávat příliš než příliš málo.
- Buďte expanzivní: Analyzujte rizika, abyste pochopili, jak budou různé skupiny vystaveny rizikům a jak
- Předvídejte překvapení: V oblasti řízení rizik neexistuje nic jako příjemné překvapení. Vždy hledejte, kde a kdy může dojít k překvapení.
Pokud máte například v maloobchodě nefunkční ledničku, zamyslete se nad tím, jaký to má dopad na plýtvání produkty nebo náklady na opravu. Zvažte, jak by mohli onemocnět zákazníci, kteří kupují produkty uložené v této ledničce.
Rámec, jako je šablona registru rizik ClickUp, pomáhá všechny tyto informace efektivně organizovat.
S touto šablonou můžete na jednom místě dokumentovat svá rizika, pravděpodobnost jejich výskytu, plány na jejich zmírnění a kontrolní opatření. Můžete také sledovat stav, přiřazovat vlastnictví a konsolidovat data pro pozdější kontrolu.
5. Dokumentujte současné procesy
Pokud se nejedná o nově vznikající riziko, většina z nich již má zavedený nějaký mechanismus reakce. Pečlivě je zdokumentujte, aby je bylo možné optimalizovat při každém dalším posuzování.
Zahrňte následující.
- Vlastnictví: Definujte, kdo je zodpovědný za riziko a reakci na něj.
- Proces: Nastíňte pracovní postup po identifikaci rizika, včetně akcí, zdrojů, termínů, milníků, KPI a dalších odpovědností.
- Závislosti: Jaké jsou vzájemné závislosti mezi úkoly nebo týmy?
- Kontrola: Jaký je aktuální plán zmírnění rizik nebo plán pro případ nouze?
6. Naplánujte další hodnocení
Vaše pracoviště je dynamické. Váš proces a dokument pro hodnocení rizik to musí odrážet.
Naplánujte pravidelné kontroly
Provádějte jej pololetně, ročně nebo i častěji, v závislosti na typu organizace. Pokud pracujete v rychle se vyvíjejícím prostředí, jako je kybernetická bezpečnost, můžete dokonce zvážit průběžné automatizované hodnocení rizik a výstrahy.
Bonusové čtení 📖: Úvod do rámce řízení rizik v oblasti kybernetické bezpečnosti
Zapojte zaměstnance
Ti, kteří jsou nejblíže k realitě, rozumí rizikům nejlépe. Pravidelně s nimi komunikujte a sbírejte poznatky a zpětnou vazbu. V projektovém řízení to může být obzvláště důležité, protože odborníci na danou problematiku a manažeři rizik nemusí vidět složitost každodenních činností.
Použijte šablonu pro analýzu rizik v rámci projektového řízení ClickUp k dokumentaci zjištění realizačního týmu.
Zůstaňte informováni
Rizika vyplývající z vnějších nebezpečí se neustále vyvíjejí. Kybernetické hrozby jsou stále sofistikovanější. V reakci na to se vyvíjí i právní předpisy. Buďte těmto změnám vždy o krok napřed a aktivně vyhledávejte informace.
Dobře zavedený proces hodnocení rizik vám a vašemu týmu pomůže plánovat všechny potenciální nejistoty, včetně černých labutí. Bez ohledu na oblast dopadu může být užitečný robustní software pro řízení rizik.
Nástroje pro implementaci procesu hodnocení rizik
Hodnocení rizik je činnost založená na výzkumu. Tým, který provádí hodnocení rizik, obvykle potřebuje následující.
- Dokumentace: Možnost zaznamenávat pozorování, mezery a další důležité body.
- Šablony: Rámce, kontrolní seznamy a šablony pro hodnocení rizik, jako je matice rizik pro analýzu zjištění.
- Vizuální nástroje: Funkce pro brainstorming nebo spolupráci se vzdálenými týmy s cílem dosáhnout společného porozumění.
- Sdílení a zaznamenávání: Možnost sdílení hodnotící zprávy se všemi relevantními zúčastněnými stranami s příslušnou kontrolou přístupu.
Většina týmů dnes k tomuto účelu používá více nástrojů. Mohou používat Google Docs pro pořizování poznámek, tabulky pro kontrolní seznamy, soubory PDF pro sdílení atd. I když je to populární, je to také neefektivní.
All-in-one nástroj jako ClickUp může být pro týmy zabývající se hodnocením rizik zásadním zlomem. S ClickUpem můžete provádět hodnocení, dokumentovat zjištění, provádět analýzy a bezpečně sdílet své zprávy, a to vše na jednom místě.
Zvažte použití šablony ClickUp Risk Analysis Whiteboard Template. Zde přidejte svá rizika a roztřiďte je podle pravděpodobnosti a závažnosti. Přidejte poznámky s jakýmikoli referenčními body.
Připojte odkazy na dokumenty, obrázky a další soubory přímo z šablony tabule. Odtud přiřaďte vlastníky a nastavte úkoly pro implementaci vaší strategie zmírňování rizik.
Minimalizujte svá rizika s ClickUp
Když jsou rizika nevyhnutelná, jediným možným řešením je být připraven. Právě v tom pomáhá hodnocení rizik.
Pomohou vám zvážit možnost, že se něco pokazí, a zajistí, že nepřehlédnete nebezpečí. Osvětlují všechny možnosti, od karpálního tunelu a bolesti zad až po radiaci a úniky ropy.
Hodnocení rizik vám zajistí stanovení priorit a vytvoření bezpečnějšího pracovního prostředí pro vás i vaše zaměstnance. Nabízí vám také možnost činit rozhodnutí založená na datech ohledně přidělování zdrojů, rozpočtů a investic do bezpečnostních opatření.
Nešetřete na tak důležité činnosti, jako je hodnocení rizik. Vyberte si robustní, komplexní a kolaborativní nástroj, jako je ClickUp, abyste mohli provádět pravidelné audity, zlepšovat interní procesy, vytvářet plán řízení rizik a posilovat svou odolnost.
ClickUp usnadňuje udržování aktuálních a relevantních hodnocení rizik. Čestné skautské!
Zaregistrujte se zdarma a začněte s hodnocením rizik ještě dnes!