Zrelost ISO 31000 · Obvladovanje tveganj podjetja
Vaše obvladovanje tveganj, umeščeno glede na ISO 31000, preneseno v ovrednoten akcijski načrt.
10 tematskih področij, 159 vprašanj, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost ISO 31000 · Obvladovanje tveganj podjetja
10 tematskih področij, 159 vprašanj, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika ISO 31000:2018 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in ukrep, ki ju povezuje) spremeni ugotovitev v trajektorijo.
Ali je apetit po tveganju opredeljen in uporabljen pri odločitvah organizacije?
- N1
Apetit po tveganju ni formaliziran. Odločitve se sprejemajo po presoji, brez skupnega referenčnega okvira.
- N2
Apetit je naveden v politiki obvladovanja tveganj, vendar ostaja splošen in ni povezan z uporabnimi pragovi.
- N3
Apetit je razdelan v pragove po kategoriji tveganja, posredovan nosilcem in naveden pri naložbenih odločitvah.
- N4
Prekoračitve pragov sprožijo sledljivo eskalacijo do pristojne hierarhične ravni, odločitev pa je zabeležena.
- N5
Apetit se redno pregleduje glede na incidente, spremembe konteksta in strategijo, z dokumentirano zgodovino sprememb.
Ukrep za prehod iz N2 v N3
Izjavo o apetitu po tveganju prevesti v številčne pragove po kategoriji tveganja, jih potrditi na naslednji četrtletni seji odbora za tveganja, nato pa jih vključiti v predlogo kartice tveganja in v dokumentacijo za naložbene odločitve.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ISO 31000.
O čem govori ta referenčni okvir
ISO 31000 je temeljni standard za obvladovanje tveganj. Sestavljen je iz treh sklopov: načel (tveganje se obvladuje celovito, strukturirano, prilagojeno kontekstu, vključujoče in dinamično), organizacijskega okvira (vodenje in zavezanost, vključevanje, zasnova, izvajanje, ocenjevanje, izboljševanje) in procesa (vzpostavitev konteksta, ocena tveganja v treh korakih z identifikacijo, analizo in vrednotenjem, nato obravnava, evidentiranje, komunikacija in pregled). Različica iz leta 2018 je besedilo poenostavila in vodenje s strani najvišjega vodstva postavila v središče okvira. ISO 31000 podaja smernice, ne pa certificirljivih zahtev.
Od tod izhaja tudi težava pri njenem vodenju. Skoraj vse organizacije trdijo, da se zgledujejo po njej, redke pa znajo povedati, na kateri stopnji obvladovanja dejansko so. Ali karta tveganj resnično služi odločitvam o naložbah ali pa živi svoje življenje ob strani strateškega načrta? Kdo odloča o apetitu po tveganju in je ta odločitev kje zapisana? Ali tveganja hčerinskih družb in poslovnih enot prihajajo na vrh po primerljivi lestvici ali pa vsaka uporablja svoje ocenjevanje? Brez odgovora odbor za tveganja razpravlja o seznamu, ne o trajektoriji.
Pogosto prihaja do zmede: ISO 31000 ni niti ISO 31010 niti sistem vodenja. ISO 31010 je katalog tehnik ocenjevanja, ISO 31000 pa okvir, ki pove, kako jih uporabiti. In za razliko od ISO 9001 ali ISO 27001 ISO 31000 ne certificira noben organ. Še en kontekstualni podatek: naraščanje sektorskih obveznosti, uredba DORA za finance, direktiva NIS 2 za kibernetsko varnost, dolžnost skrbnega pregleda in CSRD za nefinančna tveganja, sili k združevanju doslej ločenih sistemov. ISO 31000 prav zato ponuja skupno izrazoslovje, pod pogojem, da se uporablja onkraj terminologije.
Diagnostika zrelosti postavlja drugačno vprašanje kot presoja skladnosti. Presoja sprašuje, ali je zahteva izpolnjena, da ali ne. Diagnostika umesti vsako prakso na postopno lestvico, od neformalnega dejanja do sistema, ki se revidira na podlagi pridobljenih izkušenj, in poimenuje ukrep, ki omogoči prehod na naslednjo raven. Pri standardu smernic, kot je ISO 31000, je to edini pristop, ki prinese trajektorijo, uporabno na seji odbora.
V Datamensio je referenčni okvir pripravljen za takojšnjo uporabo, njegov nadzor pa ostane v vaših rokah. UI prilagodi tematska področja, vprašanja in besedilo ravni glede na vaš sektor in velikost, ali pa izdela različico na podlagi vaše politike obvladovanja tveganj in obstoječih kart tveganj. Uporabljeni modeli so izbirni, tudi med evropskimi ponudbami.
Referenčni standard: ISO 31000:2018
Ocenjevana tematska področja
Načela in politika obvladovanja tveganj
Obstoj potrjene politike, skladnost z načeli standarda, zajeto področje, opredelitev apetita in toleranc do tveganja, posodabljanje.
Vodenje in zavezanost vodstva
Podpora najvišjega vodstva, mandat funkciji tveganj, dodeljeni viri, odločitve, sprejete na ustrezni ravni, vloga upravnega odbora in odbora za tveganja.
Vključitev v upravljanje in strategijo
Povezanost s strateškim načrtom, upoštevanje tveganja pri naložbenih odločitvah in projektih, vključitev v proračunski cikel in pregled uspešnosti.
Zasnova organizacijskega okvira
Razumevanje notranjega in zunanjega konteksta, dodeljene vloge in odgovornosti, linije obvladovanja, povezanost z notranjo presojo, skladnostjo in varnostjo.
Identifikacija tveganj
Viri in metode identifikacije, zajetost strateških, operativnih, finančnih, nefinančnih in nastajajočih tveganj, pogostost pregledov, prispevek poslovnih enot.
Analiza in vrednotenje
Skupna lestvica ocenjevanja, vrednotenje verjetnosti in posledic, razlikovanje med bruto in neto tveganjem, razvrščanje po pomembnosti, merila za prekoračitev pragov.
Obravnava tveganj
Izbira možnosti obravnave, imenovanje nosilcev, datirani akcijski načrti, spremljanje do zaključka, formalno sprejetje preostalih tveganj.
Komunikacija in posvetovanje
Poročanje odboru za tveganja in upravnemu odboru, oblika in pogostost poročanja, dialog z notranjimi in zunanjimi deležniki, osveščanje poslovnih enot.
Spremljanje in pregled sistema
Kazalniki spremljanja, opozorilni pragovi, sprožitev ponovnih ocen, vključevanje nastalih incidentov in ugotovitev presoj.
Nenehno izboljševanje
Formalizirane pridobljene izkušnje, pregled metode in lestvic, primerjava ocen skozi čas in med enotami, zrelost samega sistema.
Krajša različica referenčnega okvira obsega 34 vprašanj in je na voljo za spletno samoocenjevanje. Celotna različica obsega 10 tematskih področij in 159 vprašanj.
Pogosta vprašanja
Ali je ISO 31000 certificirljiva?
Ne. Standard podaja smernice, ne pa zahtev, ki bi jih lahko presojal certifikacijski organ. Diagnostika izmeri vašo raven zrelosti in pripravi podlago za presoje sistemov vodenja, kjer se pristop k tveganjem preverja, na primer ISO 9001, ISO 22301 ali ISO 27001.
Kakšna je razlika med diagnostiko zrelosti in presojo skladnosti?
Presoja se zaključi z ugotovitvijo vrzeli ali skladnosti glede na določeno zahtevo. Diagnostika umesti vsako prakso na postopno lestvico in poimenuje ukrep, ki omogoči prehod na višjo raven. Pri standardu smernic je ta drugi pristop edini, ki prinese uporaben načrt poti.
Koliko časa traje ocenjevanje?
Kratka različica se izpolni v eni delovni seji. Polna različica, v sodelovalnem načinu z več sodelujočimi, običajno traja od enega do dveh tednov, pri čemer večino časa vzame zbiranje podatkov od zadevnih direkcij.
Ali je referenčni okvir mogoče prilagoditi naši organizaciji?
Da. Vprašanja in besedilo ravni lahko spremenite, dodate lastna tematska področja ali začnete iz prazne osnove. UI lahko tudi pripravi različico na podlagi vaše politike obvladovanja tveganj in obstoječih kart tveganj. Referenčni okvir ostane vaš.
Kako primerjati več hčerinskih družb ali poslovnih enot?
Isti referenčni okvir se posreduje vsaki enoti, zato so ocene po tematskih področjih primerljive. Primerjalna analiza umesti vsako enoto glede na druge in glede na njene lastne pretekle ocene. Skupni načrt poti združuje akcijske načrte, ne da bi jih podvajal.
Kako se ta diagnostika povezuje z DORA, NIS 2 ali ISO 22301?
Ta besedila zahtevajo sisteme obvladovanja tveganj, ki temeljijo na istih načelih. Trdna diagnostika ISO 31000 predstavlja skupno osnovo, sektorski referenčni okviri pa nato pokrijejo svoje specifične zahteve. Akcijski načrti se združijo v enoten načrt poti.
Ali je za odgovarjanje potrebno tehnično znanje?
Vprašanja se nanašajo na prakse upravljanja in vodenja, ne na kvantitativne metode. Nanje lahko odgovori risk manager, notranji presojevalec ali kontrolor notranje kontrole. Sodelovalni način omogoča dodelitev posameznih vprašanj ustreznemu sogovorniku.
Kje so shranjeni podatki?
V Franciji, pri OVH, z varnostno kopijo pri Scaleway. Brez prenosa podatkov izven Evropske unije. Uporabljeni modeli UI so izbirni, tudi med evropskimi ponudbami.