Dojrzałość ISO 31000 · Zarządzanie ryzykiem przedsiębiorstwa
Państwa zarządzanie ryzykiem ulokowane na tle ISO 31000, przełożone na wyceniony plan działania.
10 obszarów tematycznych, 159 pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 31000 · Zarządzanie ryzykiem przedsiębiorstwa
10 obszarów tematycznych, 159 pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO 31000:2018 uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy i działanie łączące oba, zamienia stwierdzenie w trajektorię.
Czy apetyt na ryzyko jest określony i wykorzystywany w decyzjach organizacji?
- N1
Brak sformalizowanego apetytu na ryzyko. Decyzje podejmowane są na podstawie oceny, bez wspólnego punktu odniesienia.
- N2
Apetyt na ryzyko figuruje w polityce zarządzania ryzykiem, ale pozostaje ogólny i nie jest powiązany z wykorzystywalnymi progami.
- N3
Apetyt jest rozpisany na progi dla poszczególnych kategorii ryzyka, przekazany właścicielom ryzyka i przywoływany przy decyzjach inwestycyjnych.
- N4
Przekroczenia progów uruchamiają identyfikowalną eskalację do właściwego szczebla hierarchicznego, z odnotowaną decyzją.
- N5
Apetyt na ryzyko jest okresowo weryfikowany w świetle incydentów, zmian kontekstu i strategii, z udokumentowaną historią rewizji.
Działanie dla przejścia z poziomu 2 do poziomu 3
Przełożyć sformułowanie apetytu na ryzyko na progi liczbowe dla poszczególnych kategorii ryzyka, zatwierdzić je na najbliższym kwartalnym komitecie ds. ryzyka, a następnie włączyć je do wzoru karty ryzyka i dokumentacji decyzji inwestycyjnej.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 31000.
O czym jest ten model referencyjny
ISO 31000 to norma referencyjna zarządzania ryzykiem. Składa się z trzech elementów: zasad (ryzykiem zarządza się w sposób zintegrowany, ustrukturyzowany, dostosowany do kontekstu, włączający i dynamiczny), ram organizacyjnych (przywództwo i zaangażowanie, integracja, projektowanie, wdrożenie, ocena, doskonalenie) oraz procesu (ustalenie kontekstu, szacowanie ryzyka obejmujące identyfikację, analizę i ocenę, a następnie postępowanie z ryzykiem, rejestrowanie, komunikację i przegląd). Wersja z 2018 roku uściśliła tekst i umieściła przywództwo kierownictwa w centrum ram. ISO 31000 dostarcza wytycznych, nie ustanawia wymagań podlegających certyfikacji.
Stąd trudność w sterowaniu tym obszarem. Niemal każda organizacja deklaruje, że się nią inspiruje, niewiele potrafi powiedzieć, na jakim poziomie opanowania się znajduje. Czy mapa ryzyk rzeczywiście służy decyzjom inwestycyjnym, czy też funkcjonuje obok planu strategicznego? Kto decyduje o apetycie na ryzyko i czy ta decyzja jest gdziekolwiek spisana? Czy ryzyka zgłaszane przez spółki zależne i jednostki biznesowe są agregowane według porównywalnej skali, czy każda stosuje własną punktację? Bez odpowiedzi komitet ds. ryzyka dyskutuje nad listą, a nie nad trajektorią.
Często pojawia się nieporozumienie: ISO 31000 to nie ISO 31010 ani system zarządzania. ISO 31010 to katalog technik szacowania ryzyka, ISO 31000 to ramy określające sposób ich wykorzystania. W odróżnieniu od ISO 9001 czy ISO 27001 żadna jednostka nie certyfikuje ISO 31000. Innym elementem kontekstu jest mnożenie obowiązków sektorowych, Rozporządzenie DORA dla sektora finansowego, Dyrektywa (UE) 2022/2555 (NIS 2) dla cyberbezpieczeństwa, obowiązek czujności oraz CSRD dla ryzyk pozafinansowych, co skłania do ujednolicenia dotąd odrębnych systemów. ISO 31000 dostarcza właśnie wspólnej gramatyki, pod warunkiem że jest stosowana poza samym słownictwem.
Diagnoza dojrzałości stawia inne pytanie niż audyt zgodności. Audyt pyta, czy wymaganie jest spełnione, tak albo nie. Diagnoza umiejscawia każdą praktykę na skali progresywnej, od działania nieformalnego po system regularnie weryfikowany na podstawie wniosków z doświadczeń, i wskazuje działanie prowadzące do kolejnego poziomu. W przypadku normy zawierającej wytyczne, jaką jest ISO 31000, to jedyne podejście, które daje trajektorię możliwą do wykorzystania na komitecie.
W Datamensio model referencyjny jest gotowy do użycia, a Państwo zachowują nad nim pełną kontrolę. Sztuczna inteligencja dostosowuje obszary tematyczne, pytania i sformułowania poziomów do Państwa sektora i wielkości organizacji, lub buduje wersję na podstawie Państwa polityki zarządzania ryzykiem i istniejących map ryzyk. Wykorzystywane modele można wybierać, również spośród ofert europejskich.
Norma referencyjna: ISO 31000:2018
Oceniane obszary tematyczne
Zasady i polityka zarządzania ryzykiem
Istnienie zatwierdzonej polityki, spójność z zasadami normy, objęty zakres, określenie apetytu i tolerancji na ryzyko, aktualizacja.
Przywództwo i zaangażowanie kierownictwa
Zaangażowanie zarządu, mandat przyznany funkcji ds. ryzyka, przydzielone zasoby, decyzje podejmowane na właściwym szczeblu, rola rady i komitetu ds. ryzyka.
Integracja z ładem organizacyjnym i strategią
Powiązanie z planem strategicznym, uwzględnianie ryzyka w decyzjach inwestycyjnych i projektach, wpisanie w cykl budżetowy i przeglądy wyników.
Projektowanie ram organizacyjnych
Zrozumienie kontekstu wewnętrznego i zewnętrznego, przypisane role i odpowiedzialności, linie obrony, powiązanie z audytem wewnętrznym, zgodnością i bezpieczeństwem.
Identyfikacja ryzyk
Źródła i metody identyfikacji, objęcie ryzyk strategicznych, operacyjnych, finansowych, pozafinansowych i wyłaniających się, częstotliwość przeglądów, udział jednostek biznesowych.
Analiza i ocena
Wspólna skala punktacji, ocena prawdopodobieństwa i skutków, rozróżnienie ryzyka brutto i netto, hierarchizacja, kryteria przekroczenia progu.
Postępowanie z ryzykiem
Wybór opcji postępowania, wyznaczenie właścicieli ryzyka, datowane plany działania, monitorowanie aż do zamknięcia, formalna akceptacja ryzyk rezydualnych.
Komunikacja i konsultacje
Prezentacja wyników komitetowi ds. ryzyka i radzie, format i częstotliwość raportowania, dialog z wewnętrznymi i zewnętrznymi interesariuszami, uświadamianie jednostek biznesowych.
Monitorowanie i przegląd systemu
Wskaźniki monitorowania, progi alarmowe, uruchamianie ponownych ocen, uwzględnianie zaistniałych incydentów i wniosków z audytów.
Ciągłe doskonalenie
Sformalizowane wnioski z doświadczeń, rewizja metody i skal, porównanie ocen w czasie i między jednostkami, dojrzałość samego systemu.
Krótsza wersja modelu referencyjnego, licząca 34 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i 159 pytań.
Najczęściej zadawane pytania
Czy ISO 31000 podlega certyfikacji
Nie. Norma dostarcza wytycznych, a nie wymagań podlegających audytowi przez jednostkę certyfikującą. Diagnoza mierzy Państwa poziom dojrzałości i przygotowuje do audytów systemów zarządzania badających podejście oparte na ryzyku, takich jak ISO 9001, ISO 22301 czy ISO 27001.
Jaka jest różnica między diagnozą dojrzałości a audytem zgodności
Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymagania. Diagnoza umiejscawia każdą praktykę na skali progresywnej i wskazuje działanie, które pozwala przejść na wyższy poziom. W przypadku normy zawierającej wytyczne to drugie podejście jest jedynym, które daje mapę drogową.
Ile czasu zajmuje ocena
Wersja skrócona wypełniana jest w trakcie jednej sesji roboczej. Wersja pełna, w trybie zespołowym z udziałem kilku osób, rozciąga się zazwyczaj na jeden do dwóch tygodni, przy czym większość czasu zajmuje zebranie informacji od właściwych działów.
Czy model referencyjny można dostosować do naszej organizacji
Tak. Mogą Państwo zmieniać pytania, sformułowania poziomów, dodawać własne obszary tematyczne lub zacząć od pustego wzorca. Sztuczna inteligencja może również wygenerować wersję na podstawie Państwa polityki zarządzania ryzykiem i istniejących map ryzyk. Model referencyjny należy do Państwa.
Jak porównać kilka spółek zależnych lub jednostek biznesowych
Ten sam model referencyjny jest przekazywany każdej jednostce, co czyni wyniki porównywalnymi dla poszczególnych obszarów tematycznych. Benchmark pokazuje pozycję każdej jednostki względem pozostałych oraz względem jej własnych wcześniejszych ocen. Przekrojowa mapa drogowa konsoliduje plany działania bez ich powielania.
Jak ta diagnoza łączy się z DORA, NIS 2 czy ISO 22301
Te przepisy nakładają obowiązek wdrożenia systemów zarządzania ryzykiem opartych na tych samych zasadach. Solidna diagnoza ISO 31000 stanowi wspólny fundament, a modele sektorowe następnie pokrywają właściwe im wymagania. Plany działania krzyżują się w jednej wspólnej mapie drogowej.
Czy odpowiadanie wymaga wiedzy technicznej
Pytania dotyczą praktyk ładu organizacyjnego i zarządzania, nie metod ilościowych. Odpowiedzieć może risk manager, audytor wewnętrzny lub kontroler wewnętrzny. Tryb zespołowy pozwala przypisać konkretne pytania właściwej osobie.
Gdzie przechowywane są dane
We Francji, u OVH, z kopią zapasową u Scaleway. Żaden transfer poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji można wybierać, również spośród ofert europejskich.