Następnie przeszliśmy do pytania, czy istnieje konieczność angażowania najwyższego kierownictwa w proces promowania i poszerzania świadomości co do zarządzania ryzykiem w organizacji. Tutaj nasze rozmówczynie były zgodne: rola kierownictwa jest bardzo ważna. Przy czym nie powinna sprowadzać się tylko do odbioru raportów, ale do aktywnego udziału. Zgodnie z zasadą, że przykład idzie z góry, cały proces powinien być promowany i wspierany odgórnie, ponieważ to wpływa na podejście pracowników na niższych szczeblach. Postawa zarządu decyduje o skuteczności zarządzania ryzykiem w organizacji.

Osoba odpowiedzialna za ryzyko powinna stale współpracować z kierownictwem z dwóch powodów: zarząd będzie mieć wiedzę o ryzykach występujących we wszystkich obszarach, nawet w tych mniejszych, a osoby zajmujące się ryzykiem zyskają wymagane wsparcie, chociażby w kontekście zapewnienia zasobów do np. analizy ryzyka. Musimy pamiętać, że w przypadku zarządzania ryzykiem może pojawić się potrzeba zakupu oprogramowania czy skorzystania z usług zewnętrznej firmy doradczej – bez wsparcia zarządu oraz budżetu nie będzie to możliwe.

– Jeśli zarząd nie będzie zaangażowany lub próbuje zepchnąć kwestie ryzyk na bok, to powstaje ryzyko, że nasze działania nie zostaną zaimplementowane w taki sposób, w jaki chcemy; nie da zysków w postaci zmniejszenia liczby incydentów lub naruszeń. Niemówienie o ryzyku nie jest zarządzaniem ryzykiem. Wsparcie i możliwość wypowiedzenia się o ryzyku przed zarządem lub wyższym kierownictwem jest ważne. Co więcej, ich też trzeba stale szkolić z ryzyka – podsumowała Agnieszka Gębicka.

Nasze ekspertki wdrażały ERM w organizacjach, dlatego zapytaliśmy je, czy napotkały po drodze jakieś trudności i wyzwania. Szczególnie interesował nas temat pracowników i ich nastawienia co do wprowadzanych zmian. Okazuje się, że w każdym przypadku podstawowym problemem był brak świadomości, a konkretnie przekonanie i postawa, że temat „mnie nie dotyczy”. Tymczasem zarządzanie ryzykiem dotyczy każdego, nawet pracowników na najniższym szczeblu. Jednak to niejedyne trudności. Przy projektowaniu, wdrażaniu i rozwijaniu ERM można spotkać wiele barier o różnym charakterze i nasileniu. Justyna Mizera sklasyfikowała je kolejno jako bariery mentalne, bariery fizyczne i bariery techniczne.

– Jeśli chodzi o barierę mentalną, to wydaje mi się, że najsilniejsza będzie na samym początku, bo tu będzie dużo oporu i obaw, że pracownicy muszą nauczyć się czegoś nowego, znaleźć czas itd. Powracamy do tego, jak ważne są szkolenia: im większa jest świadomość, tym wyższa kultura zarządzania ryzykiem, a bariera mentalna niższa – dodała.

Na dalszym etapie mogą pojawić się obawy właścicieli ryzyk przed posiadaniem w portfelu ryzyk nieakceptowalnych. Mogą tu działać nawet na szkodę całego procesu zarządzania ryzykiem i np. obniżać wartość danego ryzyka. Powrócił tu temat roli kierownictwa, ponieważ ich zaangażowanie, otwartość i szacunek może przyczynić się do mniejszych obaw, a nawet mniejszego strachu przed posiadaniem ryzyk i przedstawieniem ich wyżej. Ważna jest też świadomość, że właściciele ryzyk (i inni pracownicy) mogą w każdej chwili uzyskać wsparcie menadżerów ryzyka, np. w sprawie analiz, ocen czy nawet organizacji warsztatów.

Barierę fizyczną i techniczną należy rozumieć w sposób dosłowny. Przykładem może być rozproszona lub rozbudowana struktura organizacyjna, co może utrudniać nie tylko wdrożenie ERM, ale całą komunikację. Tutaj dobrze korzystać z narzędzi, w tym on-line do komunikacji i zarządzania ryzykiem, które powinny być łatwe w nauce i dalszej obsłudze. Co warto podkreślić, zdaniem naszych rozmówczyń nic nie zastąpi tradycyjnych spotkań i warsztatów „twarzą w twarz”.

Na koniec naszej debaty poruszyliśmy temat, czy są jakieś obszary lub działania, na które należy zwrócić szczególną uwagę przy projektowaniu i wdrożeniu ERM.

Z poprzedniej dyskusji wynikło, że przy budowaniu świadomości nacisk należy położyć przede wszystkim na korzyści, jakie niesie ze sobą zarządzanie ryzykiem. Należy również przedstawić zarządzanie ryzykiem jako rozwiązanie, a nie problem. Równie ważne jest wskazanie, że to nie jest obszar oderwany od innych – zarządzanie ryzykiem wpływa też na inne dziedziny i sfery zarządzania w organizacji. Dlatego tak ważne jest, aby po wdrożeniu ERM dalej nad nim pracować, rozwijać, dostosowywać i dalej aktywizować pracowników. Pytanie, jak to zrobić?

Tutaj wkracza podejście i rola menadżera ryzyka i jego zespołu, który powinien cały czas czuwać i stymulować aktywność pracowników i zarządu. Powinien wskazywać problem, rozwiązanie i potrzebę decyzyjności, a także dbać o swoją aktywność, bo to ona determinuje aktywność innych. Do tego potrzebna jest silna pozycja oraz dobry kontakt z zarządem, bo tylko wtedy będzie to dobrze funkcjonowało.

Ważny jest również inny aspekt, a mianowicie podejście małymi krokami, na co zwróciła uwagę Agnieszka Gębicka:

– Nie możemy robić wszystkiego od razu i na szybko; implementować tak ogromnego systemu, który będzie mocno sformalizowany, zautomatyzowany i skomplikowany.(…) Zalecam podejście mocno praktyczne i mocno wspierające. Takie podejście, które uwzględnia wsparcie najwyższego kierownictwa i zarządu, w tym pokazanie odgórnie, że zarządzanie ryzykiem daje nam korzyści. Często też pokazuję w organizacji, do jakich skutków prowadzi brak zarządzania ryzykiem, bo to można szybko zweryfikować na podstawie przykładów z rynku – w przypadku RODO mamy tego naprawdę dużo – podsumowała.

Z przeprowadzonej dyskusji wyłonił się jeden temat przewodni, a mianowicie budowanie świadomości jest jednym z kluczowych budulców systemu zarządzania ryzykiem. Wiedza o tym, jak zarządza się ryzykiem w organizacji, czy jest metodyka i stosuje się ją w praktyce, pomaga budować sprawny i efektywny system. Należy też pamiętać, że im wyższa jest świadomość co do ryzyka, tym większa jest szansa na uniknięcie zagrożeń. Co więcej, zarządzanie ryzykiem wspiera również proces podejmowania decyzji strategicznych i biznesowych, zatem daje realne szanse nie tylko na budowanie odporności organizacji, ale też jej przewagi rynkowej.

Pracownik musi wiedzieć, jakie realne skutki przyniesie jego zaangażowanie w zarządzanie ryzykiem. Pomoże tu konsekwentna praca menadżera ryzyk, szkolenia i warsztaty, które pozwolą zaznajomić pracowników z procesem krok po kroku. Mocny nacisk należy położyć na komunikację, transparentność oraz wsparcie. W podkreśleniu ogromnej roli zarządzania ryzykiem pomogą międzynarodowe normy jak ISO 9001, 27001, 31000 oraz regulacje prawne jak RODO i NIS2.

• Kluczowa jest świadomość pracowników, co to jest ryzyko i jak nim zarządzać; jakie realne skutki przyniesie ich zaangażowanie.
• Budowanie świadomości wymaga codziennej, konsekwentnej pracy, krok po kroku.
• Budowę systemu ERM należy zacząć od zaangażowania pracowników z każdego szczebla organizacji.
• Kierownictwo powinno być zaangażowane w proces zarządzania ryzykiem od samego początku.
• Bardzo ważna jest komunikacja i wzajemny szacunek.
• Właściciele ryzyk powinni otrzymywać realne wsparcie.
• W przełamywaniu barier pomogą regularne szkolenia i warsztaty.
• W budowaniu świadomości ryzyka i zagrożeń pomogą normy ISO i inne regulacje jak RODO, NIS2.