Kultura zarządzania ryzykiem w organizacji a budowanie świadomości

Skuteczne zarządzanie ryzykiem wymaga wielu różnorodnych, ale silnie powiązanych działań. Szczególną uwagę warto zwrócić na dążenie do osiągnięcia jak najwyższego poziomu świadomości i zaangażowania w organizacji. Bez tego bowiem nawet najlepiej zaprojektowany system zarządzania ryzykiem (ERM) może okazać się nieefektywny. Jak budować taką świadomość? Wyjaśnia Lider ERM, Justyna Mizera.

ERM powinien być źródłem informacji do podejmowania decyzji. Powinien służyć usprawnianiu i poprawie efektywności realizowanych procesów i zadań. Umożliwiać skuteczniejsze osiąganie celów oraz szybką reakcję na różnego rodzaju zdarzenia. Dlatego tak ważne jest zrozumienie przez pracowników znaczenia zarządzania ryzykiem. Jest to jedna z kluczowych kwestii dla prawidłowego wdrożenia i funkcjonowania ERM.

Jakie kroki należy podjąć, aby zbudować w organizacji świadomość zarządzania ryzykiem?
Na to pytanie postaram się odpowiedzieć w tym artykule. Skorzystam przy tym z własnych doświadczeń i obserwacji z prac nad wdrażaniem, utrzymaniem i rozwojem systemu zarządzania ryzykiem w PFRON.

Punktem wyjścia do planowania działań w zakresie budowy świadomości zarządzania ryzykiem będzie wiedza na temat organizacji. Niezależnie od etapu prac nad ERM należy zbadać aktualny poziom znajomości i zrozumienia zagadnienia. To pozwoli dopasować działania do aktualnych potrzeb.

Katalog potrzeb i niezbędnych działań będzie się różnił w zależności od:

• stopnia świadomości i kultury zarządzania ryzykiem w organizacji,
• stopnia wdrożenia ERM (decyzja, projektowanie, wdrożenie/uruchomienie, doskonalenie),
• grupy odbiorców (kadra różnego szczebla, osoby pełniące określone role w ramach ERM).

Omówię teraz po kolei każdy z etapów wdrożenia ERM.

Ustalenie poziomu świadomości organizacji na temat zarządzania ryzykiem jest niezwykle ważne. Dzięki temu nawet na etapie podejmowania decyzji o wdrożeniu ERM uzyskamy wiele cennych informacji. Badanie może dowieść, że już mamy pewną wiedzę i specjalistów z tego zakresu. To z kolei pomoże nam wytypować osoby, które będą uczestniczyły w projekcie wdrażania ERM lub osoby, którym będziemy mogli powierzyć określone role w ramach systemu.

Co więcej, może w jakimś zakresie dokonujemy już identyfikacji i szacowania ryzyk (np. w obszarach ochrony danych osobowych, bezpieczeństwa teleinformatycznego, zarządzania finansami lub zarządzania projektami). Stosujemy do tego pewne wytyczne (np. przepisy zewnętrzne, procedury wewnętrzne) i/lub szablony (np. pliki Excel).

Decyzja o wdrażaniu ERM w całej organizacji wiąże się zwykle z potrzebą wsparcia ze strony partnera zewnętrznego, dla którego wszystkie te informacje będą kluczowe przy planowaniu i realizacji poszczególnych kroków całego przedsięwzięcia. Zakres wsparcia w początkowej fazie będzie dotyczył przede wszystkim przeprowadzenia szkoleń dla wybranych pracowników (którzy zdobytą wiedzę będą przekazywać dalej) lub dla całej organizacji. Mogą to być szkolenia ogólne bądź dedykowane.

Na tym etapie nie zapominajmy o komunikacji. Podjęcie decyzji przez najwyższe kierownictwo o wdrażaniu ERM musi być odpowiednio przekazane organizacji. Jest to niezbędny element budowania świadomości. W zależności od wielkości, struktury i sposobu zarządzania, komunikat skierujemy do całej organizacji lub do wybranych osób. Pracownicy powinni otrzymać informację o znaczeniu i celu całego projektu. Należy wyjaśnić, dlaczego zamierzamy realizować projekt i co oznaczać będzie dla nich wdrożenie ERM. Zrozumienie tych przesłanek zminimalizuje strach i opór przed nowym wyzwaniem i zmianą.

Etap decyzji to także formowanie i formalne powołanie zespołu projektowego. Składać się on powinien z osób, które mają odpowiednią wiedzę i wykazują się zaangażowaniem. Ich praca przekładać się będzie na efektywność realizacji projektu. Do zadań zespołu projektowego będzie należała m.in. ścisła współpraca z firmą zewnętrzną oraz dbanie o zbudowanie i pogłębianie wiedzy i świadomości na temat zarządzania ryzykiem wśród pozostałych pracowników. Część z osób wchodzących w skład zespołu projektowego może docelowo odgrywać ważne role w ramach ERM (np. menedżer ryzyka, zespół ds. ryzyka, właściciel ryzyka).

Najważniejsze elementy budowania świadomości na etapie decyzji to:

• Badanie poziomu świadomości na temat zarządzania ryzykiem: czy mamy wiedzę w organizacji, czy mamy specjalistów z odpowiednią wiedzą, czy i jak zarządzamy ryzykiem w organizacji.
• Określenie potrzeb: czy i w jakim zakresie potrzebujemy szkoleń i wsparcia firmy zewnętrznej.
• Działania: komunikacja, przywództwo i zaangażowanie najwyższego kierownictwa, realizacja szkoleń, podjęcie współpracy z firmą zewnętrzną, powołanie odpowiednich osób do zespołu projektowego.

Na etapie projektowania ERM badanie świadomości na temat zarządzania ryzykiem będzie polegało na sprawdzeniu, w jakim stopniu zrealizowane szkolenia pogłębiły wiedzę w organizacji. Odpowiemy na pytanie, czy zaprezentowany materiał został zrozumiany i przyswojony, czy uczestnicy nie potrzebują dodatkowych szkoleń, spotkań lub wyjaśnień. Ma to znaczenie dla sprawnej realizacji dalszych prac, polegających na zaprojektowaniu spójnej metodyki zarządzania ryzykiem oraz przygotowaniu do niej formalnej dokumentacji wewnętrznej (regulacji wewnętrznych, np. polityki zarządzania ryzykiem, procedur wykonawczych, instrukcji). Oczywiście ich realizację możemy powierzyć partnerowi zewnętrznemu.

Czy warto skorzystać ze wsparcia firmy zewnętrznej? Tak. Ma ona doświadczenie w opracowywaniu różnych metodyk zarządzania ryzykiem i oferuje narzędzie informatyczne do ich obsługi. Jednak nawet wówczas sami również musimy mieć wiedzę i świadomość na temat zarządzania ryzykiem na poziomie, który umożliwi formułowanie i przekazywanie niezbędnych informacji.

Warto zapamiętać: Jedynie my znamy naszą organizację (jej strukturę, sposób zarządzania, otoczenie zewnętrzne i wewnętrzne) i posiadamy wiedzę na temat potrzeb, jakie mają zaspokajać, oraz warunków i oczekiwań, jakie mają spełniać projektowane elementy. Im wyższy poziom wiedzy i świadomości, tym precyzyjniej określone kryteria. Znajduje to odzwierciedlenie w sprawniejszym przebiegu realizacji prac oraz w produktach końcowych bardziej dopasowanych do organizacji.

Na tym etapie współpraca z firmą zewnętrzną może obejmować takie elementy, jak:

• realizacja spotkań doszkalających i dedykowanych warsztatów,
• zaprojektowanie metodyki zarządzania ryzykiem,
• opracowanie projektów dokumentacji regulacji wewnętrznych,
• dostarczenie narzędzia informatycznego.

Ważna jest przy tym wymiana wiedzy i doświadczeń oraz pozyskiwanie niezbędnych informacji z wewnątrz organizacji poprzez np. warsztaty i wywiady. Będzie to podstawą do definiowania szczegółów metodyki tak, aby była ona adekwatna i jak najmocniej pasowała do naszej organizacji. Mamy tu na myśli takie elementy metodyki, jak np. perspektywa, z jakiej będziemy identyfikować ryzyka; kryteria i terminy oceny ryzyka (i innych obiektów z nimi związanych, tj. środki kontroli i plany postępowania z ryzykiem), sposób wyznaczania ryzyk nieakceptowalnych czy scenariusze postępowania w zależności od wartości ryzyka.

Formułując zasady ERM, określimy role, zakres uprawnień, zadań i odpowiedzialności. Musimy zadbać o odpowiedni poziom wiedzy i świadomości w szczególności wśród osób, które będą miały wyznaczone role i/lub będą podejmowały decyzje w ramach systemu. Przyjęte zasady ERM powinny być dla nich jasne, a cel i sposób stosowania – zrozumiałe. Dotyczy to samej metodyki, ale też wyboru narzędzia informatycznego, które nie tylko powinno spełniać wszystkie nasze wymogi, ale być jednocześnie łatwe i intuicyjne w obsłudze. Zbyt skomplikowane narzędzie informatyczne spowoduje niechęć i spadek zaangażowania!

Budowa i pogłębianie świadomości w organizacji na temat zarządzania ryzykiem będą wymagały zapewnienia sprawnej komunikacji, gwarantującej przepływ informacji w różnych kierunkach i na różnych płaszczyznach. Niezwykle ważną rolę odgrywa w niej zespół projektowy.

W ramach projektu zespół koordynuje i rozdziela zadania, zbiera niezbędne dane. Zapewnia wymianę informacji pomiędzy firmą zewnętrzną a organizacją, jednocześnie sam komunikuje o postępach prac do najwyższego kierownictwa i wszystkich pracowników. Zatem z punktu widzenia budowy świadomości kluczowe będą: rozpoznawalność członków zespołu wśród pracowników, stały i łatwy z nimi kontakt, zaangażowanie i podejmowane przez zespół projektowy działania.

Pamiętajmy także o wzmacnianiu siły oddziaływania poprzez autorytet i właściwą postawę najwyższego kierownictwa. Obejmuje to m.in. wspieranie wysiłków zespołu projektowego, uznanie dla efektów, komunikaty do całej organizacji o swoim wsparciu dla projektu i działań zespołu projektowego.

Najważniejsze elementy budowania świadomości na etapie projektowania to:

• Badanie poziomu świadomości na temat zarządzania ryzykiem: czy i w jakim stopniu zdobyliśmy, pogłębiliśmy wiedzę, czy i w jakim stopniu rozumiemy zagadnienie.
• Określenie potrzeb: czy i w jakim zakresie potrzebujemy szkoleń i wsparcia firmy zewnętrznej.
• Działania: komunikacja, przywództwo i zaangażowanie najwyższego kierownictwa, realizacja dodatkowych szkoleń, współpraca z firmą zewnętrzną, działania zespołu projektowego.

Podczas etapu wdrożenia następuje formalne przyjęcie opracowanej dokumentacji wewnętrznej, która opisuje metodykę ERM. Forma dokumentacji oraz sposób jej zatwierdzenia muszą być zgodne z obowiązującymi standardami. Czynności w zakresie opiniowania opracowanej dokumentacji mogą pokazać, jak bardzo jest ona przejrzysta i zrozumiała, a także, czy osoby, które są przewidziane do posiadania określonych ról, z pełną świadomością przyjmują do stosowania wszystkie określone w niej zasady. Dotyczy to w szczególności ról definiowanych często jako: menedżer ryzyka, zespół ds. ryzyka (osoby, które będą czuwały nad prawidłową realizacją i przebiegiem całego procesu zarządzania ryzykiem, agregowały i analizowały dane, przygotowywały informacje dla kierownictwa),

• właściciel ryzyka (osoba odpowiedzialna za zarządzanie ryzykiem w określonym obszarze zadaniowym), opiekun ryzyka (osoba wspierająca właściciela ryzyka w realizacji jego zadań).

Decyzja o zatwierdzeniu dokumentacji wewnętrznej ERM musi być odpowiednio zakomunikowana w organizacji. Sama dokumentacja powinna być udostępniona w szerokim zakresie tak, aby każdy z pracowników mógł łatwo ją odnaleźć i zapoznać się z jej treścią. Nawet jeśli konkretny pracownik aktualnie nie pełni żadnej z kluczowych funkcji w ramach ERM, może identyfikować ryzyka podczas realizacji swoich zadań i bierze udział w całym procesie zarządzania ryzykiem w organizacji. Powinien zatem zapoznać się z przyjętymi procedurami wewnętrznymi.

Dedykowane warsztaty z identyfikacji ryzyk na podstawie opracowanej metodyki dla właścicieli i opiekunów ryzyk pozwolą na zdobycie przez nich umiejętności praktycznych. Warsztaty możemy przeprowadzić we własnym zakresie lub przy wsparciu partnera zewnętrznego. Najlepsze rezultaty osiąga się podczas spotkań w formie stacjonarnej, stosując odpowiednie techniki (listy potencjalnych zdarzeń, moderowane warsztaty i wywiady, analiza procesów, burza mózgów).

Wypracowany podczas warsztatów materiał musi być spójny z przyjętą metodyką. Oznacza to zidentyfikowanie ryzyk z określonej perspektywy oraz opisanie każdego z ryzyk, z uwzględnieniem wszystkich niezbędnych elementów, takich jak przyczyny, skutki, środki kontroli wraz z oceną ich skuteczności, wartość prawdopodobieństwa wystąpienia ryzyka, stopień wpływu wystąpienia ryzyka.

Dodatkowo realizowane warsztaty będą okazją do zaprezentowania narzędzia informatycznego, wspierającego funkcjonowanie ERM, do którego została zaimplementowana metodyka.

Jak widać, ten etap prac wymaga ogromnego zaangażowania i wysiłku, popartych odpowiednim poziomem wiedzy i świadomości na temat zarządzania ryzykiem. Daje też szansę na zdobycie nowych umiejętności i jeszcze lepsze zrozumienie tematu. Współpraca z doświadczoną firmą zewnętrzną umożliwi sprawne przeprowadzenie wszystkich prac, począwszy od implementacji metodyki do narzędzia informatycznego, poprzez przeprowadzenie dedykowanych warsztatów, zebranie i wprowadzenie do narzędzia danych o ryzykach, po uruchomienie całego systemu. Przy czym warto zaznaczyć, że w dalszym ciągu niezwykle ważne dla budowy świadomości pozostają: koordynacja wszystkich działań przez zespół projektowy, zapewnienie sprawnej komunikacji i informowanie o postępach oraz aktywna postawa najwyższego kierownictwa (wspieranie wysiłków, utrzymanie zaangażowania uczestników projektu, uznanie dla efektów, komunikaty do pracowników).

Najważniejsze elementy budowania świadomości na etapie wdrożenia to:

• Badanie poziomu świadomości na temat zarządzania ryzykiem: czy osoby, które będą miały określone role mają odpowiednią wiedzę i świadomość.
• Określenie potrzeb: czy i w jakim zakresie potrzebujemy wsparcia firmy zewnętrznej.
• Działania: komunikacja, realizacja warsztatów praktycznych, współpraca z firmą zewnętrzną, działania zespołu projektowego, postawa najwyższego kierownictwa.

Każdy z omawianych etapów ma swoje wyzwania. Etap, który następuje po uruchomieniu ERM, jest o tyle trudny, że po wzmożonych wysiłkach nad projektowaniem i wdrożeniem metodyki organizacja nie może spocząć na laurach. Konieczne jest badanie poziomu świadomości oraz utrzymanie zaangażowania, dzięki czemu możliwe będzie poszukiwanie i wyznaczanie obszarów do doskonalenia ERM.

Organizacja może błędnie odbierać wdrożenie i uruchomienie jako etap końcowy. Owszem, kończy to zakres głównych prac z punktu widzenia realizacji projektu. Najczęściej nastąpi już nawet rozwiązanie zespołu projektowego. Niemniej jednak wdrażanie ERM należy traktować jako proces ciągły. Trzeba stale analizować zmiany otoczenia zewnętrznego i wewnętrznego, sprawdzać dopasowanie zarówno całego ERM, jak i katalogu zidentyfikowanych ryzyk.

Powinniśmy umieć szybko i odpowiednio reagować, jeśli zajdzie potrzeba wprowadzenia modyfikacji. Będzie to możliwe tylko, jeśli system będzie stale używany, stosowany i wykorzystywany do pozyskiwania informacji, niezbędnych dla podejmowania różnego rodzaju decyzji czy działań. Im wyższy poziom wiedzy i świadomości na etapie doskonalenia ERM, tym pełniej będziemy zarządzać ryzykiem. To z kolei zapewni efektywniejszą realizację zadań i procesów oraz lepsze funkcjonowanie całej organizacji.

Pamiętajmy, że wysoka świadomość i zrozumienie nie rodzą się od razu. Potrzeba czasu, aby uczestnicy ERM oswoili się z przyjętymi zasadami metodyki i obowiązkami, jakie zostały na nich nałożone. Muszą nauczyć się korzystania z narzędzia informatycznego, pozyskiwania z niego danych; muszą też wiedzieć, jak je wykorzystać. Przede wszystkim jednak muszą wyzbyć się obaw przed ocenianiem ryzyk na najwyższym (nieakceptowalnym) poziomie, zamiast próbować zaniżać ich oceny. Takie sytuacje są niestety dosyć częste i wynikają z obawy przed koniecznością tłumaczenia się i dodatkowymi obowiązkami związanymi z zarządzaniem nimi (częstsze oceny, obowiązek przygotowania planu postępowania itd.).

Budowanie głębokiej świadomości w zarządzaniu ryzykiem jest procesem dość długim i żmudnym. Wymaga stałego zaangażowania odpowiednich osób, najczęściej menedżera ryzyka i całego zespołu ds. ryzyka. Realizując swoje zadania, nieustanie badają oni poziom świadomości i zrozumienia zagadnienia w organizacji. Wspierają innych pracowników, podpowiadają możliwe rozwiązania i dają rekomendacje. Tłumaczą zasady funkcjonowania ERM i pomagają w przypadku problemów ze stosowaniem narzędzia informatycznego.

Warto zapamiętać: Menedżer i zespół ds. ryzyka nigdy nie powinni wyręczać właścicieli i opiekunów ryzyk w ich własnych obowiązkach. Takie działanie nie służy ani budowaniu, ani utrwalaniu wiedzy i umiejętności.

Na tym etapie główny ciężar wzmacniania świadomości na temat zarządzania ryzykiem w organizacji spoczywa na menedżerze ryzyka i zespole ds. ryzyka. Warto, żeby były to osoby rozpoznawalne, które oprócz posiadanej wiedzy i doświadczenia są otwarte i zaangażowane. Ważne jest zapewnienie łatwego kontaktu z nimi dla wszystkich pracowników.

Do zadań menedżera ryzyka i zespołu ds. ryzyka zaliczymy organizowanie różnego rodzaju spotkań, warsztatów i szkoleń wewnętrznych. Takie spotkania i szkolenia powinny być prowadzone w trybie ciągłym w miarę identyfikowanych potrzeb. Przyczyni się to do stałego pogłębiania i utrwalania wiedzy. Będzie również ważnym elementem budowania świadomości w przypadku nowo zatrudnianych pracowników, czy w sytuacji zmian osoby właściciela lub opiekuna ryzyka.

Równolegle warto kontynuować współpracę z firmą zewnętrzną w zakresie potrzeb szkoleniowych, ale przede wszystkim w kwestiach dotyczących wprowadzania udoskonaleń w ERM lub w niezbędnych modyfikacji w samym narzędziu informatycznym. W miarę użytkowania oprogramowania użytkownicy będą nabywali coraz większą wprawę w jego stosowaniu, ale jednocześnie mogą sprecyzować swoje oczekiwania co do dodatkowych funkcjonalności lub np. dedykowanych raportów.

Rola menedżera ryzyka i zespołu ds. ryzyka wymaga podejmowania czynności, które będą stymulowały aktywność pozostałych uczestników ERM. Menedżer ryzyka i zespół ds. ryzyka nie tylko czuwają nad funkcjonowaniem procesu zarządzania ryzykiem, analizują dane umieszczane przez właścicieli i opiekunów ryzyk, ale też kierują do nich dodatkowe zapytania w przypadku niepełnych lub niejasnych informacji. Przygotowują również różnego rodzaju sprawozdania i zestawienia dla najwyższego kierownictwa, formułują rekomendacje wspierające procesy decyzyjne. Taka operatywność uświadamia uczestnikom ERM znaczenie zarządzania ryzykiem i wagę informacji gromadzonych na temat zidentyfikowanych ryzyk.

Warto zapamiętać: Praca i wysiłki menedżera ryzyka i zespołu ds. ryzyka są tym efektywniejsze, im bardziej są poparte aktywną postawą najwyższego kierownictwa. Na etapie stosowania ERM najwyższe kierownictwo oczekuje rzetelnej, kompleksowej i terminowej informacji o ryzykach, właściwego zarządzania nimi przez właścicieli ryzyk i wyciągania odpowiednich wniosków. Postawa najwyższego kierownictwa i komunikaty przekazywane do właścicieli ryzyk i do całej organizacji powinny dobitnie tego dowodzić.

Najważniejsze elementy budowania świadomości na etapie doskonalenia to:

• Badanie poziomu świadomości na temat zarządzania ryzykiem: w jakim stopniu świadomie zarządzamy ryzykiem.
• Określenie potrzeb: czy i w jakim zakresie potrzebujemy szkoleń, warsztatów praktycznych, wsparcia firmy zewnętrznej.
• Działania: komunikacja, realizacja szkoleń, współpraca z firmą zewnętrzną, aktywność najwyższego kierownictwa, działania menedżera ryzyka, zespołu ds. ryzyka.

Niezależnie od analizowanego etapu wdrażania ERM wśród kluczowych elementów budowania świadomości w organizacji zawsze wymienimy: realizację szkoleń, skuteczną komunikację oraz aktywność (w działaniach i postawach).

Wraz z postępem prac wdrożeniowych ERM powinien rosnąć poziom wiedzy i świadomości na temat skutecznego zarządzania ryzykiem. To z kolei powinno posłużyć do osiągnięcia wyższego poziomu kultury organizacji w zarządzaniu ryzykiem, czyli głębszemu wykorzystaniu zdobytej wiedzy w praktyce.

Jeśli zależy nam na budowaniu i pogłębianiu świadomości na temat zarządzania ryzykiem, pamiętajmy o:

• Planowaniu działań na bazie wiedzy o organizacji.
• Budowaniu świadomości na każdym etapie (decyzja, projektowanie, wdrożenie/uruchomienie, stosowanie ERM).
• Utrzymywaniu zaangażowania na każdym etapie i na wszystkich szczeblach od najwyższego kierownictwa.
• Komunikowaniu o podjętych decyzjach dot. wdrażania ERM.
• Wytypowaniu odpowiednich osób do projektu wdrażania ERM oraz pełnienia określonych ról w ramach ERM.
• Zapewnieniu informacji dot. osób uczestniczących w pracach nad ERM i umożliwieniu sprawnego kontaktu (dobór odpowiednich osób, kanały komunikacji).
• Przekazywaniu informacji o postępach w pracach nad ERM.
• Opracowaniu i wdrożeniu metodyki i procedur (ustaleniu zasad metodyki i opracowanie opisowej dokumentacji spójnej ze stosowaną w organizacji, np. polityka zarządzania ryzykiem, procedury wykonawcze, instrukcje).
• Informowaniu o przyjętych zasadach i konieczności ich stosowania, włącznie z przekazywaniem wiedzy poprzez regularne spotkania, warsztaty, szkolenia oraz stałą komunikację.

PFRON przy współpracy z firmą SDPK Sp. z o.o. z Poznania opracował i wdrożył metodykę ERM na przełomie 2018 i 2019 r. Do zarządzania ryzykiem wykorzystujemy narzędzie erisk. Realizując swoje obowiązki na stanowisku ds. zarządzania ryzykiem i zarządzania procesowego, staram się dbać o pogłębianie wiedzy wśród pracowników oraz o rozwój ERM.