Mapa ryzyka jako rezultat procesu identyfikacji, oceny i pomiaru ryzyka

Jako gwarancję takiego zabezpieczenia należy wskazać mapę ryzyka. W celu pozyskania tejże gwarancji organizacja winna wdrożyć system zarządzania ryzykiem, który ma na celu zapewnienie należytej skuteczności i efektywności całego systemu kontroli wewnętrznej w organizacji. Wdrożenie go wpływa na stabilność organizacji oraz zdolność funkcjonowania w zmiennych warunkach wewnętrznych i zewnętrznych. Zarządzanie ryzykiem winno być spójne ze strategią i opisane w dokumencie, który będzie określał zasady, narzędzia i sposób funkcjonowania poszczególnych elementów systemu zarządzania ryzykiem.

Narzędzia wykorzystywane w zarządzaniu ryzykiem to między innymi: kategorie ryzyk, macierze mierników oceny ryzyka, rejestr ryzyk, karty ryzyka i mapa ryzyka. Zarządzanie ryzykiem ma nas upewnić, że występujące ryzyka zostały zidentyfikowane, ocenione i przeanalizowane. Na tej podstawie należy przygotować reakcje na ryzyka, które umożliwią ograniczenie zagrożeń i realizację założonych celów. System zarządzania ryzykiem powinien być oparty na rozwiązaniach przyjętych w standardzie COSO II. Zarządzanie ryzykiem obejmuje całą organizację i dotyczy wszystkich pracowników.

Ryzyko i jego rodzaje

W literaturze możemy znaleźć wiele definicji ryzyka, ubrane w różne słowa zachowują jednak podstawowy trzon, z którego wynika, że ryzyko jest prawdopodobieństwem wystąpienia zdarzeń o negatywnych skutkach, wywołanym przez czynniki wewnętrzne i/lub zewnętrzne, które mogą mieć niekorzystny wpływ na osiągnięcie celów.

Ryzyko dzielimy na ryzyko inherentne i rezydualne. Ryzyko inherentne to ryzyko występujące w sytuacji braku metod zarządzania ryzykiem i mechanizmów kontrolnych, zaś ryzyko rezydualne to ryzyko skorygowane o siłę tychże metod i mechanizmów. Ocena ryzyka na dwa sposoby pozwala na zademonstrowanie skuteczności mechanizmów kontrolnych w przypadku jego zmniejszenia oraz uwypuklenia, które może być ukryte mimo funkcjonujących mechanizmów kontrolnych.

W tym miejscu należy również zdefiniować takie pojęcia jak prawdopodobieństwo i skutek, które służą do oceny wartości ryzyka. Przez prawdopodobieństwo należy rozumieć możliwość wystąpienia zdarzenia losowego. Klasyczna definicja prawdopodobieństwa jest ilorazem zdarzeń, które wystąpiły, do sumy wszystkich zdarzeń rozpatrywanych dla danego procesu. Skutek natomiast jest to pojęcie określane mianem wymiernych następstw, będących konsekwencją materializacji ryzyka. Skutek pozwala określić zasięg i oszacować skalę oddziaływania danego ryzyka na organizację.

System zarządzania ryzykiem

System zarządzania ryzykiem bardzo dobrze wpisuje się w organizacje, które są zarządzane procesowo. Mając wskazanego właściciela procesu, łatwo możemy wskazać osoby odpowiedzialne za poszczególne ryzyka. Jak wynika z definicji, właściciel procesu to właściwa merytorycznie osoba odpowiedzialna za efektywną realizację podległego procesu, osiąganie jego założonych celów oraz doskonalenie podległego procesu. Z kolei właściciel ryzyka to właściciel procesu odpowiedzialny za działania związane z zarządzaniem ryzykiem. Należy w tym miejscu wskazać, że zarządzanie ryzykiem doskonale wpisuje się również w zarządzanie projektowe. Rolę właścicieli ryzyka co do zasady pełnią właściciele procesów oraz kierownicy projektów. Na system zarządzania ryzykiem składa się nadzór, wdrożony proces zarządzania ryzykiem oraz zdefiniowany model kategorii ryzyk.