Vyspělost ISO 31000 · Řízení rizik podniku
Vaše řízení rizik zařazené podle ISO 31000, převedené do vyčísleného akčního plánu.
10 tematických oblastí, 159 otázek, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost ISO 31000 · Řízení rizik podniku
10 tematických oblastí, 159 otázek, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Norma ISO 31000:2018 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je propojuje) mění zjištění v trajektorii.
Je apetit k riziku definován a používán při rozhodování organizace?
- N1
Žádný formalizovaný apetit k riziku. Rozhodnutí se přijímají na základě úsudku, bez společného referenčního bodu.
- N2
Apetit je uveden v politice řízení rizik, ale zůstává obecný a není propojen s použitelnými prahovými hodnotami.
- N3
Apetit je rozpracován do prahových hodnot podle kategorie rizika, předán nositelům a uváděn při investičních rozhodnutích.
- N4
Překročení prahové hodnoty spouští dohledatelnou eskalaci na příslušnou hierarchickou úroveň, s rozhodnutím zaznamenaným písemně.
- N5
Apetit je pravidelně přehodnocován s ohledem na incidenty, vývoj kontextu a strategii, s zdokumentovanou historií revizí.
Akce pro přechod z úrovně 2 na úroveň 3
Převést vyjádření apetitu do vyčíslených prahových hodnot podle kategorie rizika, nechat je schválit komisí pro rizika v příštím čtvrtletí, poté je zapracovat do šablony karty rizika a do podkladu pro investiční rozhodnutí.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ISO 31000.
O čem tento referenční rámec je
ISO 31000 je referenční norma pro řízení rizik. Člení se na tři celky: zásady (riziko se řídí integrovaně, strukturovaně, podle kontextu, inkluzivně a dynamicky), organizační rámec (vedení a angažovanost, integrace, návrh, zavedení, hodnocení, zlepšování) a proces (stanovení kontextu, posouzení ve třech krocích s identifikací, analýzou a hodnocením, poté zpracování, zaznamenání, komunikace a přezkoumání). Verze z roku 2018 text zpřehlednila a postavila vedení vrcholového managementu do středu rámce. ISO 31000 poskytuje směrnice, nestanovuje certifikovatelné požadavky.
Z toho pramení obtížnost jejího řízení. Téměř všechny organizace deklarují, že se jí inspirují, málokterá dokáže říci, na jaké úrovni zvládnutí se nachází. Slouží mapa rizik skutečně rozhodování o investicích, nebo žije svým vlastním životem mimo strategický plán? Kdo rozhoduje o apetitu k riziku, a je toto rozhodnutí někde zaznamenáno? Postupují rizika nesená dceřinými společnostmi a obchodními jednotkami nahoru podle srovnatelné škály, nebo si každá uplatňuje vlastní hodnocení? Bez odpovědi se komise pro rizika baví o seznamu, ne o trajektorii.
Často se opakuje jedno nedorozumění: ISO 31000 není ani ISO 31010, ani systém managementu. ISO 31010 je katalog technik posuzování, ISO 31000 je rámec, který říká, jak je uplatnit. A na rozdíl od ISO 9001 nebo ISO 27001 ISO 31000 žádná organizace necertifikuje. Další souvislost: množení odvětvových povinností, nařízení DORA pro finance, směrnice NIS 2 pro kybernetickou bezpečnost, povinnost náležité péče a CSRD pro mimofinanční rizika, nutí sjednotit dosud oddělené systémy. ISO 31000 poskytuje právě společnou gramatiku, pokud je uplatňována nad rámec pouhé terminologie.
Diagnostika vyspělosti klade jinou otázku než audit souladu. Audit se ptá, zda je požadavek splněn, ano nebo ne. Diagnostika zařazuje každou praxi na postupnou škálu, od neformálního gesta po systém revidovaný na základě zkušeností, a pojmenovává akci, která posune na vyšší úroveň. U normy směrnic, jako je ISO 31000, je to jediný přístup, který vede k použitelné trajektorii pro jednání výboru.
V platformě Datamensio je referenční rámec připravený k použití a zůstáváte jeho pány. Umělá inteligence upravuje tematické oblasti, otázky a formulace úrovní podle vašeho odvětví a velikosti, nebo vytvoří variantu na základě vaší politiky řízení rizik a stávajících map rizik. Použité modely lze vybírat, včetně evropských nabídek.
Referenční norma: Norma ISO 31000:2018
Hodnocené tematické oblasti
Zásady a politika řízení rizik
Existence schválené politiky, soulad se zásadami normy, pokrytý rozsah, definice apetitu a tolerance k riziku, aktualizace.
Vedení a angažovanost vedení organizace
Podpora ze strany vrcholového vedení, mandát udělený funkci rizik, přidělené zdroje, rozhodnutí přijímaná na správné úrovni, role představenstva a komise pro rizika.
Integrace do řízení a strategie
Propojení se strategickým plánem, zohlednění rizika v investičních rozhodnutích a projektech, zařazení do rozpočtového cyklu a hodnocení výkonnosti.
Návrh organizačního rámce
Pochopení vnitřního a vnějšího kontextu, přidělené role a odpovědnosti, linie obrany, propojení s interním auditem, compliance a bezpečností.
Identifikace rizik
Zdroje a metody identifikace, pokrytí strategických, provozních, finančních, mimofinančních a vznikajících rizik, četnost přezkoumání, zapojení útvarů.
Analýza a hodnocení
Společná škála hodnocení, posouzení pravděpodobnosti a dopadu, rozlišení hrubého a čistého rizika, stanovení priorit, kritéria pro překročení prahové hodnoty.
Zpracování rizik
Volba způsobů ošetření, určení nositelů, datované akční plány, sledování až do uzavření, formální přijetí zbytkových rizik.
Komunikace a konzultace
Prezentace výsledků komisi pro rizika a představenstvu, formát a periodicita reportingu, dialog s vnitřními a vnějšími zainteresovanými stranami, zvyšování povědomí útvarů.
Monitorování a přezkoumání systému
Sledovací ukazatele, varovné prahové hodnoty, spouštění přehodnocení, zahrnutí vzniklých incidentů a výsledků auditu.
Neustálé zlepšování
Formalizované zkušenosti, revize metody a škál, porovnání hodnocení v čase a mezi jednotkami, vyspělost samotného systému.
Zkrácená verze referenčního rámce, s 34 otázkami, je k dispozici pro online sebehodnocení. Úplná verze obsahuje 10 tematických oblastí a 159 otázek.
Často kladené otázky
Je ISO 31000 certifikovatelná?
Ne. Norma poskytuje směrnice, nikoli požadavky auditovatelné certifikačním orgánem. Diagnostika měří vaši úroveň vyspělosti a připravuje audity systémů managementu, které zkoumají přístup k rizikům, jako ISO 9001, ISO 22301 nebo ISO 27001.
Jaký je rozdíl mezi diagnostikou vyspělosti a auditem souladu?
Audit uzavírá zjištěním mezery nebo souladu s daným požadavkem. Diagnostika zařazuje každou praxi na postupnou škálu a pojmenovává akci, která posune o úroveň výš. U normy směrnic je tento druhý přístup jediný, který vede k použitelné roadmapě.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní během jednoho pracovního setkání. Úplná verze, v kolaborativním režimu s více přispěvateli, se obvykle rozloží na jeden až dva týdny, přičemž většinu času zabere sběr podkladů od příslušných útvarů.
Lze referenční rámec přizpůsobit naší organizaci?
Ano. Upravujete otázky, formulace úrovní, přidáváte vlastní tematické oblasti nebo vycházíte z čistého základu. Umělá inteligence může také vygenerovat variantu na základě vaší politiky řízení rizik a vašich map rizik. Referenční rámec patří vám.
Jak porovnat více dceřiných společností nebo obchodních jednotek?
Stejný referenční rámec se rozešle každé jednotce, díky čemuž jsou skóre porovnatelná podle tematické oblasti. Benchmark zařazuje každou jednotku vůči ostatním i vůči jejím vlastním předchozím hodnocením. Průřezová roadmapa konsoliduje akční plány, aniž by je duplikovala.
Jak tato diagnostika navazuje na DORA, NIS 2 nebo ISO 22301?
Tyto předpisy vyžadují systémy řízení rizik založené na stejných zásadách. Pevná diagnostika ISO 31000 tvoří společný základ, přičemž odvětvové referenční rámce následně pokrývají své vlastní požadavky. Akční plány se protínají v jedné jednotné roadmapě.
Je k vyplnění potřeba technická odbornost?
Otázky se týkají praxe řízení a správy, nikoli kvantitativních metod. Odpoví na ně risk manažer, interní auditor nebo pracovník vnitřní kontroly. Kolaborativní režim umožňuje přiřadit specifické otázky správnému kontaktu.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských nabídek.