Czym jest ryzyko: pojęcia według ISO 31000

Po tej lekcji będziesz posługiwać się podstawowymi pojęciami zarządzania ryzykiem tak, jak definiuje je norma ISO 31000, i odróżnisz ryzyko od problemu, który już wystąpił.

Ryzyko to wpływ niepewności na cele

W codziennej mowie „ryzyko” oznacza coś złego, co może się stać. Norma ISO 31000:2018, najczęściej stosowany na świecie zbiór wytycznych o zarządzaniu ryzykiem, definiuje je szerzej: ryzyko to wpływ niepewności na cele. Z tej krótkiej definicji wynikają trzy ważne rzeczy.

Po pierwsze, ryzyko zawsze dotyczy jakiegoś celu. Nie da się sensownie mówić o ryzyku „w ogóle”. Pytasz: co może przeszkodzić albo pomóc w dowiezieniu zamówienia na czas, w utrzymaniu marży, w otwarciu nowego sklepu. Jeśli cel jest niejasny, lista ryzyk też będzie niejasna.

Po drugie, wpływ może być negatywny albo pozytywny. Zdarzenie, które może zaszkodzić celowi, nazywamy zagrożeniem. Zdarzenie, które może pomóc, nazywamy szansą. Duży klient, który rozważa zwiększenie zamówień, to szansa, którą też trzeba umieć obsłużyć.

Po trzecie, chodzi o niepewność. Jeśli coś już się stało, to nie jest ryzyko, tylko problem albo incydent. Awaria maszyny, która stoi od wczoraj, wymaga reakcji, a nie oceny prawdopodobieństwa. Ryzykiem jest natomiast to, że ta sama maszyna może stanąć znowu w szczycie sezonu.

Słownik, którym posługuje się cały zespół

Przez cały kurs będziemy pracować na przykładzie firmy Kartonik sp. z o.o. (firma fikcyjna), producenta opakowań kartonowych z Krakowa. Firma zatrudnia 85 osób, sprzedaje głównie producentom żywności w Polsce i zaczyna eksport do Niemiec. Marta, kierowniczka operacyjna, dostała od zarządu zadanie: uporządkować podejście do ryzyka.

Pierwsze spotkanie pokazało problem. Dla działu sprzedaży „ryzyko” oznaczało utratę klienta, dla produkcji awarię, dla księgowości zatory płatnicze. Każdy mówił o czym innym, więc Marta zaczęła od wspólnego słownika:

• źródło ryzyka: coś, co samo lub w połączeniu z czymś innym może wywołać ryzyko, na przykład jeden dostawca tektury falistej;
• zdarzenie: wystąpienie lub zmiana zestawu okoliczności, na przykład dostawca wstrzymuje dostawy na dwa tygodnie;
• skutek: wynik zdarzenia wpływający na cele, na przykład przestój linii i kary za opóźnione dostawy;
• prawdopodobieństwo: szansa, że coś się wydarzy, opisana słowami albo liczbą;
• mechanizm kontrolny: działanie, które utrzymuje lub zmienia ryzyko, na przykład drugi zatwierdzony dostawca.

Pojęcia według ISO 31000:2018. Firma Kartonik jest fikcyjna.

Ryzyko, problem i niepewność: jak je rozróżnić

Rozróżnienie ryzyka od problemu brzmi prosto, ale w praktyce rejestry ryzyk w wielu firmach zawierają głównie bieżące kłopoty. Dzieje się tak, bo problemy są widoczne i bolą, a ryzyka trzeba sobie wyobrazić. Marta zastosowała prosty test trzech pytań:

1. Czy to już się wydarzyło? Jeśli tak, to problem. Trafia do listy działań, nie do rejestru ryzyk.
2. Czy wiem, na który cel to wpływa? Jeśli nie, trzeba doprecyzować cel albo opis.
3. Czy mogę wskazać przyczynę i skutek? Jeśli nie, to raczej ogólny niepokój („rynek jest niepewny”) niż ryzyko, z którym da się pracować.

Problem i ryzyko są jednak powiązane. Każdy problem warto zapytać: czy może się powtórzyć? Jeśli tak, z problemu rodzi się ryzyko na przyszłość. Awaria sklejarki w marcu jest problemem, a ryzykiem jest kolejna awaria w październiku, gdy Kartonik ma najwięcej zamówień na opakowania świąteczne.

Dwa wymiary ryzyka i pułapka „iloczynu”

Ryzyko opisujemy zwykle dwoma wymiarami: prawdopodobieństwem i skutkiem. W wielu firmach mnoży się je przez siebie na skali od 1 do 5. Taki wynik jest wygodny, ale to tylko uproszczenie do ustalania kolejności. Ryzyko bardzo mało prawdopodobne, ale z katastrofalnym skutkiem (pożar hali), może mieć niski iloczyn, a mimo to wymagać uwagi zarządu. Dlatego w kolejnych lekcjach zobaczysz, że skala i kryteria muszą być ustalone przed oceną, a nie po niej.

Warto też pamiętać, że ISO 31000 to wytyczne, a nie norma do certyfikacji. Nie musisz jej kupować, żeby korzystać z opisanego tu podejścia. Polskie wydanie ma oznaczenie PN-ISO 31000 i jest dostępne w Polskim Komitecie Normalizacyjnym.

Najważniejsze w 3 punktach

1. Ryzyko to wpływ niepewności na cele, więc zawsze zaczynasz od celu, a wpływ może być negatywny (zagrożenie) lub pozytywny (szansa).
2. Problem już wystąpił, ryzyko dopiero może wystąpić; każdy powtarzalny problem warto zapisać jako ryzyko na przyszłość.
3. Wspólny słownik (źródło, zdarzenie, skutek, prawdopodobieństwo, mechanizm kontrolny) to warunek, żeby zespół w ogóle mógł rozmawiać o ryzyku.

Źródła

• ISO 31000:2018 Risk management. Guidelines, wydanie 2, luty 2018: https://www.iso.org/standard/65694.html
• Karta normy ISO 31000:2018 (status i wydanie): https://online.standard.no/en/iso-31000-2018
• Polski Komitet Normalizacyjny, katalog norm: https://www.pkn.pl