Evaluarea riscurilor începe cu obiectivele, nu cu amenințările
Mulți antreprenori asociază analiza de risc cu liste interminabile de amenințări, atacuri cibernetice, incendii, amenzi sau incidente operaționale. În realitate, o evaluare eficientă a riscurilor începe dintr-un loc mult mai simplu: obiectivele organizației. Dacă nu știm ce încearcă firma să realizeze, nu putem determina ce anume ar putea împiedica atingerea acelui rezultat.
Standardul ISO 31000 definește riscul drept „efectul incertitudinii asupra obiectivelor”. Această definiție schimbă fundamental perspectiva asupra managementului riscurilor. Riscul nu este doar posibilitatea producerii unui eveniment negativ, ci orice factor incert care poate afecta capacitatea organizației de a-și atinge obiectivele strategice, operaționale, financiare sau de conformitate.
Primul pas: definirea obiectivelor de business
Orice evaluare de risc serioasă trebuie să înceapă prin identificarea obiectivelor companiei.
De exemplu, obiectivele unei firme pot fi:
- creșterea cifrei de afaceri cu 20% într-un an;
- lansarea unui nou serviciu pe piață;
- menținerea conformității cu cerințele GDPR;
- reducerea costurilor operaționale;
- menținerea unei disponibilități de 99,9% a sistemelor IT;
- păstrarea certificărilor ISO existente.
Fiecare dintre aceste obiective poate fi afectat de factori diferiți. În lipsa unei legături clare între risc și obiectiv, organizația riscă să investească resurse în controlul unor probleme care au impact redus asupra activității reale.
O întrebare simplă poate ghida întregul proces: „Ce ne poate împiedica să ne atingem obiectivele?”
Răspunsurile la această întrebare reprezintă punctul de plecare al evaluării riscurilor.
Activele organizației sunt cele care susțin atingerea obiectivelor
După definirea obiectivelor, următorul pas este identificarea activelor de care depinde organizația pentru a le atinge.
Multe companii reduc noțiunea de activ la calculatoare, servere sau echipamente. În realitate, activele sunt mult mai numeroase și mai diverse.
Printre acestea se pot regăsi:
- personalul și competențele acestuia;
- informațiile și bazele de date;
- software-ul utilizat;
- infrastructura IT;
- echipamentele de producție;
- spațiile și clădirile;
- relațiile cu clienții;
- reputația companiei;
- proprietatea intelectuală;
- documentația și procedurile interne.
Practic, orice element care contribuie la realizarea obiectivelor organizației poate fi considerat un activ și trebuie inclus în procesul de analiză.
Oamenii sunt adesea cel mai important activ
În foarte multe organizații, cea mai mare vulnerabilitate nu este tehnologia, ci dependența de anumite persoane.
De exemplu, un contabil care deține singur cunoștințele privind procesele fiscale ale companiei, un administrator IT care gestionează infrastructura fără documentație adecvată sau un manager de vânzări care controlează relațiile cu principalii clienți pot deveni puncte critice de risc.
Plecarea unei persoane-cheie, indisponibilitatea temporară, lipsa instruirii sau erorile umane pot afecta direct capacitatea organizației de a funcționa.
Din acest motiv, evaluarea riscurilor trebuie să includă:
- nivelul de competență al personalului;
- gradul de dependență față de persoane-cheie;
- existența înlocuitorilor;
- procesele de transfer de cunoștințe;
- instruirea și conștientizarea angajaților.
În multe cazuri, riscurile legate de resursele umane au un impact mai mare decât cele generate de infrastructura tehnică.
Vulnerabilitățile nu sunt doar probleme tehnice
O vulnerabilitate reprezintă orice slăbiciune care poate fi exploatată de o amenințare sau care poate transforma un incident minor într-o problemă majoră.
Exemple de vulnerabilități includ:
- lipsa procedurilor documentate;
- parole slabe;
- absența copiilor de siguranță;
- lipsa separării atribuțiilor;
- instruirea insuficientă a personalului;
- dependența de un singur furnizor;
- lipsa controalelor interne;
- contracte incomplete sau neactualizate;
- monitorizare insuficientă a proceselor critice.
O vulnerabilitate nu produce singură un incident, însă crește probabilitatea ca o amenințare să aibă succes și amplifică impactul acesteia.
Terții reprezintă una dintre cele mai importante surse de risc
În economia modernă, puține organizații funcționează independent. Furnizorii, subcontractorii, prestatorii de servicii IT, firmele de contabilitate, procesatorii de plăți, operatorii de cloud și consultanții externi fac parte din ecosistemul de business.
Fiecare relație de acest tip introduce riscuri suplimentare.
De exemplu:
- indisponibilitatea unui furnizor critic poate bloca producția;
- o breșă de securitate la un furnizor IT poate afecta datele companiei;
- erorile unui prestator de servicii salarizare pot genera probleme fiscale;
- neconformitatea unui subcontractor poate produce sancțiuni contractuale sau legale.
De aceea, evaluarea riscurilor trebuie să includă analiza lanțului de aprovizionare și a terților de care depinde organizația.
Întrebări utile sunt:
- Ce procese depind de furnizori externi?
- Există furnizori alternativi?
- Ce s-ar întâmpla dacă furnizorul principal și-ar întrerupe activitatea mâine?
- Ce acces au terții la datele și sistemele organizației?
- Sunt obligațiile privind securitatea și conformitatea stabilite contractual?
Analiza riscului înseamnă evaluarea probabilității și a impactului
După identificarea activelor, vulnerabilităților și amenințărilor, organizația trebuie să evalueze fiecare risc.
În general sunt analizate două elemente:
Probabilitatea
Cât de probabil este să se producă evenimentul?
Factori de luat în calcul:
- istoricul incidentelor;
- expunerea la amenințări;
- eficiența controalelor existente;
- frecvența activităților respective.
Impactul
Care vor fi consecințele dacă riscul se materializează?
Impactul poate fi:
- financiar;
- operațional;
- legal;
- reputațional;
- asupra sănătății și securității;
- asupra continuității activității.
Un risc rar, dar cu impact catastrofal, poate necesita măsuri mai importante decât un risc frecvent cu efecte minore.
Tratamentul riscului nu înseamnă eliminarea lui
Una dintre cele mai frecvente greșeli este presupunerea că toate riscurile trebuie eliminate. În practică, acest lucru este imposibil și, de multe ori, neeconomic.
Organizațiile au la dispoziție mai multe opțiuni:
Reducerea riscului
Implementarea de controale și măsuri de protecție.
Exemple:
- politici și proceduri;
- instruirea personalului;
- backup-uri;
- controale de acces;
- monitorizare și audit.
Transferul riscului
Transferarea unei părți a impactului către o altă entitate.
Exemple:
- asigurări;
- externalizare contractuală;
- garanții și clauze contractuale.
Evitarea riscului
Renunțarea la activitatea care generează riscul.
Acceptarea riscului
Atunci când costul tratamentului depășește beneficiile obținute.
Evaluarea riscurilor trebuie să fie un proces continuu
O analiză realizată o singură dată și abandonată într-un dosar nu aduce valoare organizației. Obiectivele se schimbă, apar tehnologii noi, pleacă angajați, se modifică legislația și sunt încheiate noi parteneriate.
Din acest motiv, evaluarea riscurilor trebuie revizuită periodic și actualizată ori de câte ori apar schimbări semnificative în activitatea companiei.
Managementul riscurilor nu este un exercițiu birocratic și nici o cerință formală pentru certificări. Este un instrument de management care ajută organizația să înțeleagă ce îi poate afecta succesul și să aloce resursele acolo unde contează cu adevărat. Atunci când este realizată corect, analiza riscurilor nu începe cu amenințările și vulnerabilitățile, ci cu obiectivele de business, continuă cu activele care susțin aceste obiective și ia în considerare inclusiv oamenii și terții de care depinde organizația. Numai astfel riscurile evaluate vor reflecta realitatea și prioritățile companiei.