Jak řídit rizika v RiskRADARu

Když se do RiskRADARu poprvé přihlásíte, registr už není prázdný. Podle oboru, který jste zadali, je pro vás připravený základ — vzorová primární i podpůrná aktiva, hrozby, zranitelnosti a dokonce předohodnocená rizika.

Tento základ vám ušetří hodiny opisování a zbaví vás strachu z prázdné obrazovky. Připravil ho ale někdo, kdo vaši firmu nezná — je to kvalifikovaný odhad podle odvětví, ne hotová práce. U předohodnocených rizik proto najdete poznámku „nastaveno administrátorem při onboardingu“. Berte ji jako pozvánku k revizi, ne jako razítko autority.

Vaše práce je dvojí

• Zrevidovat, co je předvyplněné — projít položky, upravit je podle reality své firmy, potvrdit nebo přepsat hodnoty a co se vás netýká, deaktivovat.
• Doplnit vlastní — aktiva, zranitelnosti, rizika a opatření, která jsou vaším specifikem a která za vás nikdo nevymyslel.

Řízení rizik začíná otázkou „kdo jsme a v čem podnikáme“. Právě podle oboru vašeho podnikání vám systém připravil celý předvyplněný základ.

Sekci najdete v aplikaci mezi nastaveními. Přístup do ní má pouze role Risk Manager — pokud ji nevidíte, nemáte oprávnění a je potřeba se ozvat správci.

Co zkontrolovat

Risk appetite je hranice, podle které vám systém sám řekne, co je potřeba řešit — a co počká. Bez něj se rizika jen evidují; s ním se začnou řídit.

Vyjadřuje, kolik rizika je firma ochotna vědomě nést. Riziko, o kterém víte a rozhodli jste se ho nést, je řízené riziko. Riziko, které nesete, protože jste si ho nevšimli, je hazard — vypadají stejně, dokud se nic nestane.

Tři kategorie podle skóre

Jakmile je aktuální skóre některého rizika nad hranicí, dashboard vás na to upozorní a sám vyfiltruje, která rizika vyžadují akci. Nemusíte procházet stovku řádků — systém hlídá hranici, kterou jste nastavili vy.

Systém RiskRADAR pracuje se třemi rolemi (typy uživatelů): Risk Manager, Risk Owner a Čtenář

Role

Volbu Uživatelé najdete v aplikaci v sekci SPRÁVA. Přístup do ní má pouze role Risk Manager — pokud ji nevidíte, nemáte oprávnění a je potřeba se ozvat správci.

Primární aktiva jsou to, co má pro firmu přímou hodnotu a co chráníte. Jsou základem celého registru — každé riziko se nakonec váže k nějakému primárnímu aktivu.

RiskRADAR to schválně nekomplikuje. U každého aktiva neřešíte žádné kategorie ani typy — vyplníte jen několik polí:

Jak poznat, co v seznamu chybí

Přestože systém do kategorií netlačí, hodí se je mít v hlavě jako pomůcku pro přemýšlení — pomůžou odhalit, co vám v předvyplněném seznamu chybí. Projděte svou firmu pěti otázkami: máme něco takového, a je to v seznamu?

• Data a informace — zákaznická databáze, finanční data, smlouvy.
• Procesy — výrobní postupy, obchodní procesy, logistika.
• To, co dodáváte zákazníkovi — e-shop, výrobní linka, servisní středisko.
• Nehmotné hodnoty — know-how, metodiky, vlastní software, patenty, ochranné známky.
• Finanční aktiva — pohledávky, certifikace, licence, pojistky.

Postup

1. Projděte předvyplněná primární aktiva — u každého ověřte kritičnost a popis.
2. Přiřaďte ke každému vlastníka (předvyplněná aktiva žádného nemají).
3. Co se vaší firmy netýká, nastavte jako neaktivní.
4. Doplňte vlastní aktiva, která v seznamu chybí — hlavně ta nehmotná.

Podpůrná aktiva jsou zdroje, které vaše primární aktiva provozují nebo zpřístupňují. Zákaznická databáze leží na serveru, spravuje ji člověk, běží v nějaké budově nebo cloudu — a právě k těmto podpůrným aktivům se vážou hrozby a zranitelnosti.

Při přemýšlení o nich pomůžou čtyři okruhy: Technologie (servery, aplikace, sítě, stroje, cloud), Lidé (zaměstnanci, externí výpomoc, správci), Dodavatelé (dodavatel je důležité podpůrné aktivum, i když u vás nesedí), Prostředí (budovy, sklady, energetika, datová centra).

Proč je propojit s primárními

Útočník nenapadá data přímo — napadá server, který je drží. Riziko vzniká dole, u podpůrných aktiv, ale bolí nahoře, u těch primárních. Propojení mezi nimi vám umožní trasovat, jaký dopad má konkrétní zranitelnost na konkrétní hodnotu firmy. Bez něj máte dva nesouvisející seznamy, s ním máte mapu.

1. Projděte předvyplněná podpůrná aktiva a doplňte svá specifika (konkrétní ERP, klíčový dodavatel).
2. Každé podpůrné aktivum propojte alespoň s jedním primárním.
3. Ke každému podpůrnému aktivu přiřaďte vlstníka (odpovědnou osobu).
4. U každého podpůrného aktiva si potvďte jeho kritičnost.
5. Nepotřebné nastavte jako neaktivní.

Celé řízení rizik stojí na jednom vzorci: hrozba + zranitelnost = riziko.

Hrozba je to, co se může stát (ransomware, povodeň, odchod klíčového člověka). Existuje vždy a nemůžete ji ovlivnit. Zranitelnost je vaše slabé místo, kudy se hrozba dostane dovnitř (netestované zálohy, sklad v záplavové zóně, znalosti jen v jedné hlavě). Hrozba sama o sobě škodu nezpůsobí — potřebuje vaše slabé místo. Dobrá zpráva: hrozby neovlivníte, ale zranitelnosti ano.

Každé riziko se hodnotí ve dvou dimenzích: pravděpodobnost (P) — jak často se může stát — a dopad (I) — jak moc bolí, když nastane. Výsledné skóre je P × I, na škále 1–25.

Škála 1–5 s časovými kotvami

Aby se dva lidé shodli, drží se pravděpodobnost časových kotev: 1 = jednou za 10+ let, 2 = za 5–10 let, 3 = za 1–5 let, 4 = zhruba jednou ročně, 5 = vícekrát ročně. Dopad se stupňuje od zanedbatelného (1) po ohrožení existence firmy (5).

Tři stavy skóre

Postup úpravy kontextu rizika

1. Na kartě rizika klikněte nahoře vpravo na tlačítko Upravit
2. Nyní můžete upravit název a popis rizika
3. Dále přiřaďte, případně změňte vlastníka rizika a jeho status. Pokud se vás předvybrané riziko netýká, zadejte status Nerelevantní
4. Přiřaďte či upravte primární a podpůrná aktiva a vyberte relevantní hrozbu a zranitelnost.
5. V souladu s vaším risk appetitem (tolerancí k riziku) zvolte periodicitu přezkumu. Datum příštího přezkumu se doplní
6. Zkontrolujte změny a uložte kliknutím na tlačítko Uložit změny (nahoře vpravo)

Postup úpravy aktuálního a cílového skóre (první přezkum)

1. Na kartě rizika klikněte nahoře vpravo na tlačítko Přezkoumat
2. Proveďte předohodnocená aktuálního (současného) stavu rizika a potvrďte nebo přepište Pravděpodobnost a Dopad podle toho, co máte aktuálně zavedeno.
3. V souladu s vaším risk appetite případně proveďte předohodnocená cílového (target) stavu rizika a potvrďte nebo přepište Pravděpodobnost a Dopad.
4. Vždy zapiště Odůvodnění přezkumu - důvod změny, proč se skóre mění nebo nemění. Bude součástí auditní stopy.
5. Zkontrolujte změny a uložte kliknutím na tlačítko Uložit přezkum (nahoře vpravo)

Přidání nového rizika

1. Na stránce seznamu rizik klikněte nahoře vpravo na tlačítko Nové riziko a na čtyřech obrazovkách založíte nové riziko. Založení nového rizika má pouze uživatel s rolí Risk Manager.
2. 1. Obecné údaje: zde zadejte kontext rizika - Název, popis, vlastníka, status, primární aktivum, podpůrné aktivum, relevantní hrozbu, zranitelnost a perioicitu přezkumu
3. 2. Inheretení riziko:Nastavte pravděpodobnost výskytu rizika, pokud byste nezaváděli žádné opatření. Poté zadejte odhadovanouvelikost dopadu a to na 6 nejdůležitějších typů dopadu (na důvěrnost, integritu, dostupnost, finance, reputaci a právní povinnosti). Systém automaticky vybere typ dopadu s největší hodnotou a s tou se bude počítat dále. Na konec vyplňte komentář a zdůvodnění vaší volby (důležité).
4. 3. Aktuální riziko:Nastavte současnou pravděpodobnost výskytu rizika a odhadovanouvelikost dopadu v současném stavu po již zavedených opatřeních. Na konec vyplňte komentář a zdůvodnění vaší volby (důležité).
5. 4. Cílové riziko:Stejným způsobem nastavte cílovou (požadovanou) pravděpodobnost výskytu rizika a odhadovanou velikost dopadu. K tomuto cíli byste se měli dopracovat prostřenictvím jednotlivých opatření. Na konec vyplňte komentář a zdůvodnění vaší volby (důležité).
6. Zkontrolujte všechny vámi zadané údaje a uložte kliknutím na tlačítko Uložit riziko (nahoře vpravo)

Tip: Pokud ještě žádná opatření na snížení rizik zavedeny nemáte, je aktuální riziko stejné jako inherentní. Jinými slovy, jste na začátku.

Opatření je konkrétní akce nebo kontrola, která snižuje pravděpodobnost nebo dopad rizika. Jako jediná část registru nejsou opatření předvyplněná — navrhujete si je sami, protože je to vaše rozhodnutí, co s rizikem uděláte.

Každé opatření patří ke konkrétnímu riziku a má vlastníka, termín a typ. Pokud se tedy chceme dostat z aktuálního skóre rizika na nižší cílové skóre, děláme tak prostřednictvím jednoho, či více opatření. Test, jestli je to opatření, nebo jen přání: má jméno a datum? Když ne, je to přání.

Čtyři typy

Workflow a role

Opatření prochází stavy NAVRŽENO → PŘIJATO → V REALIZACI → DOKONČENO (případně ODMÍTNUTO). Risk Manager, případně Vlastník rizika opatření navrhuje a přiřazuje k němu odpovědou osobu (Vlastníka opatření), který tento úkol přijme, případně odmítne — pak musí v rámci společnosti dojít k rozhodnutí, kdo bude opatření plnit.

Postup přidání nového opatření

1. Na kartě konkrétního rizika klikněte nahoře vpravo na tlačítko + Opatření, nebo na kartě rizika v záložce Opatření (seznam opatření k danému riziku) klikněte na tlačítko + Přidat opatření
2. Zadejte výstižný Název opatření a jeho detailnější popis.
3. Poté vyberte ze seznamuVlastníka opatření, to znamená osobu, která bude za plnění a reportování opatření zodpovědná. Pokud v seznamu daná osoba nefiguruje, musí jí Risk manager přidat do seznamu uživatelů.
4. StanovteTermín splnění, to znamená datum, do kterého bude opatření implementováno a tím dojde k plánovanému snížení skóredaného rizika.
5. VyberteTyp opatření, to znamená jakým způsobem ke snížení skóre rizika typově dojde.
6. Nyní jedna z nejdůležitějších částí, vyberte Maximální efekt opatření v okamžiku, kdy je opatření plně implementováno. Opatření může snížit až o 4 body pravděpodobnost výskytu a/nebo až o 4 body snížit velikost dopadu.
7. Na závěr doporučujeme vyplnit Poznámku k vazbě na riziko, aby byla i v budoucnu každému jasná logika propojení rizika a opatření
8. Zkontrolujte všechny vámi zadané údaje a uložte kliknutím na tlačítko Uložit opatření (nahoře vpravo)

Nové opatření ke snížení skóre rizika zakládá Risk Manager, nebo Vlastník rizika a navrhuje k němu vlastníka opatření, který bude za opatření od této chvíle zodpovědný.

Vlastní opatření mění stavy, podle reálného skutečného stavu plnění opatření. Informace o změně stavu se ukazuje vlastníkovi nadřazeného rizika.

Možné stavy opatření

Risk Manager může editovat základní informace o opatření a jeho kontext. Tyto úpravy by se měly provádět jen vyjímečně v případě nutnosti.

Postup při úpravě základních informací a kontextu k opatření

1. Na kartě konkrétního opatření klikněte nahoře vpravo na tlačítko Edituj.
2. V případě potřeby upravte Název opatření, případně jeho detailnější Popis.
3. V případě změny na pozici vlastníka opatření vyberte ze seznamu osob novéhoVlastníka opatření, to znamená novou osobu, která převezme za plnění a reportování opatření zodpovědná. Pokud v seznamu daná osoba nefiguruje, musí jí Risk manager přidat do seznamu uživatelů.
4. Vyžaduje-li to situace, upravte Termín splnění, to znamená aktualizované datum, do kterého bude opatření implementováno a tím dojde k plánovanému snížení skóredaného rizika.
5. Typ opatření by se měnit neměl, změňte v případě chybného počátečního nastavení.
6. Pokud z průběžné revize vyplyne potřeba změny Maximálního efektu opatření v okamžiku, kdy je opatření plně implementováno. Opatření může snížit až o 4 body pravděpodobnost výskytu a/nebo až o 4 body snížit velikost dopadu.
7. Zkontrolujte všechny vámi zadané změny a uložte je kliknutím na tlačítko Uložit změny (nahoře vpravo)

Vlastník opatření jako zodpovědná osoba provádí pravidelné aktualizace stavu opatření, kde aktualizuje zejména procento plnění daného opatření včetně komentáře, co se událo za minulé období. Zároveň může v případš potřeby změnit jeho stav (PŘIJATO-V REALIZACI-DOKONČENO). Aktualizace stavu opatření by se měla provádět v předpokládaných intervalech navázaných na periodicitu přezkumu navázaného rizika i v případě, že k žádné změně stavu nedojde. V tom případě vyplňte pouze komentář s touto informací. Bude tak i v budoucnu jasné, že se opravdu nic nestalo a ne že se na aktualizaci "zapomnělo".

Postup při aktualizaci stavu opatření

1. Na kartě konkrétního opatření klikněte nahoře vpravo na tlačítko Nový stav opatření.
2. V případě změny Statusu opatřenívyberte status nový (například V REALIZACI)
3. Při každé aktualizaci stavu opatření byste měl aktualizovat přibližnou míru (procento) plnění opatření (dokončenosti prací na naplnění opatření).
4. Vždy vyplňte detailní komentář ke změně stavu a proběhlým aktivitám vázajících se k opatření.
5. Zkontrolujte všechny vámi zadané úpravy a uložte je kliknutím na tlačítko Uložit stav (nahoře vpravo)

Přezkum je krok, který z registru dělá živý systém. A první přezkum má u předvyplněného registru zvláštní roli: je to okamžik, kdy se z převzatého základu stane váš.

První přezkum — dodělávka

Detailní návod k prvnímu přezkumu je v kapitole 7 - Rizika.

Frekvence dalších přezkumů (doporučení)

Ve stanovených termínech provádějte pravidelný přezkum stavu rizika. Přezkumy můžete provést dvěmi různými způsoby

Postup při zpracování změny stavu opatření

1. V okamžiku, kdy vlastník některého opatření (navázaného na dané riziko) provede aktualizaci jeho stavu, se vlastníkovi rizika na kartě rizika v záložce Schválení objeví volba Schválit změnu stavu opatření.
2. Klikněte na tuto volbu a otevře se Vám obrazovka Zpracování stavu vybraného opatření.
3. Zde naleznete všechny informace od Vlastníka opatření k jím provedé aktualizaci stavu opatření
4. Po prostudování těchto informací se můžete rozhodnout zda ponecháte skóre rizika beze změny, nebo zda v návaznosti na pokrok v implementaci opatření upravíte Pravděpodobnost a Dopad
5. V každém případě zadejte ke schvému rozhodnutí vysvětlujícíKomentář.
6. Zkontrolujte všechny vámi zadané změny a uložte je kliknutím na tlačítko Potvrdit rozhodnutí (nahoře vpravo)

Auditní stopa a report

Každá změna skóre, každý přezkum i každé opatření se automaticky zaznamená s autorem, časem a komentářem — bez vaší práce navíc. Když přepíšete předohodnocené skóre, do historie se zapíše vaše úprava; auditor tak vidí, že jste převzatý základ neponechali být. Dokumenty se dají vyrobit večer před auditem. Historie ne.

Report pro vedení vygenerujete jedním kliknutím na tlačítko Generuj report na stránce se seznamem Rizik. Report obsahuje přehled TOP rizik, stav opatření a trend vývoje skóre. Doporučená frekvence je čtvrtletně nebo před auditem.