Wyobraźmy sobie, że realizacja ważnego zlecenia zależy od jednego dostawcy. Drobne opóźnienia początkowo nie budzą obaw. Dopiero brak kluczowego materiału zatrzymuje pracę. Analiza ryzyka pozwala wcześniej przyjrzeć się takim zależnościom i przygotować reakcję. Nie daje pewności co do przyszłości, lecz pomaga podejmować decyzje mimo niepełnych informacji.

Zacznij od celu i scenariusza

Najpierw ustal, jaki rezultat chcesz osiągnąć i w jakim terminie. Następnie zapytaj, co może utrudnić jego uzyskanie. Ogólne hasło „problemy kadrowe” niewiele wyjaśnia. Bardziej użyteczny jest opis: brak zastępstwa za osobę rozliczającą projekt może opóźnić przygotowanie dokumentów. Tak sformułowane ryzyko łączy przyczynę, możliwe zdarzenie oraz jego wpływ na cel.

W rozpoznawaniu zagrożeń warto korzystać z doświadczeń pracowników, historii błędów, reklamacji i informacji od partnerów. Uczestnicy procesu mogą dostrzec zależności, których nie widać w zbiorczym raporcie.

Oceń prawdopodobieństwo i skutki

Kolejny krok to ustalenie, jak prawdopodobne jest zdarzenie i jakie straty może spowodować. Skutki obejmują nie tylko pieniądze, ale też czas, jakość usług czy reputację. Pomocna bywa macierz ryzyka, która zestawia prawdopodobieństwo z dotkliwością konsekwencji. Jej skale powinny mieć opisane kryteria, aby różne osoby podobnie rozumiały ocenę.

Uwzględnij zabezpieczenia, które już działają. Odróżnij ryzyko przed ich zastosowaniem od tego, które pozostaje mimo ochrony. Brak wcześniejszych incydentów nie wystarcza, by uznać zagrożenie za nieistotne.

Przełóż ocenę na decyzję

Dla istotnych ryzyk trzeba wybrać sposób postępowania. Można ograniczyć prawdopodobieństwo lub skutki, zrezygnować z ryzykownego działania, podzielić ryzyko z innym podmiotem albo świadomie je zaakceptować. Decyzja powinna uwzględniać koszt zabezpieczeń, możliwe korzyści i obowiązki organizacji.

W przykładzie z dostawcą warto sprawdzić możliwość korzystania z drugiego źródła zaopatrzenia. Należy wskazać osobę odpowiedzialną za przygotowanie rozwiązania, termin oraz warunki jego uruchomienia.

Obserwuj sygnały ostrzegawcze

Rosnąca liczba reklamacji lub coraz dłuższy czas dostaw mogą uzasadniać ponowną ocenę sytuacji. Ustal, jakie zmiany wymagają reakcji i komu należy je zgłosić. Przegląd ryzyka warto powtarzać po zmianie dostawcy, wdrożeniu systemu czy istotnej reorganizacji. Analiza ma wartość wtedy, gdy jej wyniki wpływają na decyzje, zanim zabraknie czasu na spokojne działanie.

 Monika Zygmunt-Jakuć (Inspektor ochrony danych)