Řízení rizik podle nové normy ČSN ISO 31000:2018

1. Úvod

Žijeme ve stále se měnícím světě, ve kterém jsme každý den nuceni si umět poradit s nejistotou. Organizace všech typů a velikostí tak čelí různým externím a interním faktorům a vlivům, jejichž vlivem si organizace nejsou jisty, zda dosáhnou svých cílů. Jak organizace řeší a zvládá tuto nejistotu, může být klíčovým prediktorem jejího úspěchu. Rizika mají negativní dopady na ekonomickou výkonnost organizace, životní prostředí a bezpečnost.

2. Implementace systému řízení rizik podle normy ČSN ISO 31000:2018

Řízení rizik je soustavně se opakující činnost a pomáhá organizacím při stanovování strategie, dosahování cílů a přijímání rozhodnutí. Norma ČSN ISO 31000:2018 je určena pro použití osobami, které vytváří a chrání hodnoty v organizacích pomocí řízení rizik, rozhodováním, nastavováním a dosahováním cílů a zlepšováním výkonnosti.

Řízení rizik je součástí správy a vedení organizace a je nezbytné pro její řízení na všech úrovních. Přispívá ke zlepšování systémů managementu.

Norma ČSN ISO 31000:2018 poskytuje směrnice pro řízení rizik, které jsou organizace vystaveny a může být přizpůsobena pro jakoukoli organizaci a její kontext. Norma poskytuje společný přístup pro řízení jakéhokoliv typu rizika a není specifická ani pro průmysl, ani pro sektory. Normu je možné použít na jakoukoliv činnost, včetně rozhodování na všech úrovních.

Management rizik je oblast řízení, která se zaměřuje na analýzu a snížení rizika. Používá se různých metod a technik, které eliminují existující nebo odhalují budoucí faktory zvyšující riziko. Riziko je všudy přítomné a je charakteristickým průvodním jevem fungování organizací v současném dynamickém prostředí.

Norma ČSN ISO 31000:2018 uvádí, že management rizik jsou koordinované činnosti pro vedení a řízení organizace s ohledem na rizika, přičemž riziko je účinek nejistoty na cíle. Účinek je odchylka od očekávaného a může být pozitivní, negativní nebo obojí a může řešit, vytvářet nebo vyústit v příležitosti a hrozby. Riziko bývá obvykle vyjadřováno jako zdroje rizika, potencionální události, jejich následky a jejich pravděpodobnost výskytu.

Zdroj rizika je prvek, který sám nebo v kombinaci s jinými prvky má potencionální schopnost způsobit riziko. Událost je výskyt nebo změna určité množiny okolností a může se vyskytnout jednou nebo vícekrát a může mít několik příčin a několik následků. Událost může být také něco, co není očekáváno a stane se. Událost může být zdrojem rizika. Následek je výsledek události působící na cíle. Následek může být jistý nebo nejistý a může mít pozitivní nebo negativní, přímé nebo nepřímé účinky na cíle. Následky mohou být vyjádřeny kvalitativně nebo kvantitativně. Pravděpodobnost výskytu je možnost, že něco nastane.

ČSN ISO 31000:2018 Management rizik - Směrnice, poskytuje principy, rámec a proces k řízení rizik. Účinné řízení rizik umožní organizacím přežít v dnešním prostředí plné nejistot. Může být využita jakoukoliv organizací nehledě její velikosti, činnosti nebo sektoru. Používání ČSN ISO 31000:2018 může pomoci organizacím zvýšit pravděpodobnost dosažení jejich cílů, zlepšit identifikování příležitostí a hrozeb a efektivně přidělit a použít zdroje k řešení rizik.

Norma nemůže být využita pro certifikační účely. Organizace, která ji využívá, může srovnat její praktiky v řízení rizik s mezinárodně uznávaným „standardem“, poskytující zdravé principy pro efektivní řízení.

Ačkoli norma není zdaleka jediným dokumentem, který by se zabýval řízením podnikových rizik, bylo by těžké najít stručnější soubor zásad pro implementaci a hodnocení procesu řízení rizik.

8 důležitých oblastí normy ČSN ISO 31000:2018:

• Silné vedení a závazek je zásadní

Norma obsahuje jasný vzkaz o důležitosti silného vedení a závazku k programu řízení rizik. Vedoucí pracovníci by měli zajistit, aby byl proces řízení rizik plně integrován do všech úrovní organizace a aby byl silně sladěn s jeho cíli, strategií a kulturou.

• Zvažování rizik při obchodních rozhodnutích

Vrcholové vedení je zodpovědné za zajištění toho, aby byla při rozhodování věnována náležitá pozornost rizikům, protože tato rizika mohou ovlivnit schopnost organizace dosáhnout úspěchu.

• Důraz na řádné provádění

Vrcholové vedení musí zajistit, aby byl proces řízení rizik řádně prováděn a aby kontroly měly zamýšlený účinek.

• Řízení rizik není univerzální

Norma jasně vyjadřuje řízení rizik jako cyklický proces s dostatečným prostorem pro přizpůsobení a zlepšení. Norma však spíše než univerzální přístup, doporučuje vrcholovému vedení přizpůsobit v normě uvedená doporučení tak, aby vyhovovala organizaci.

• Proaktivní postoj

Přestože se norma konkrétně nezabývá konkrétními typy rizik, poskytuje silné pokyny, které pomáhají manažerům zaujmout proaktivní postoj k riziku a zajistit, aby řízení rizik bylo integrováno do všech aspektů rozhodování na všech úrovních organizace.

• Standardizace slovníku

Norma poskytuje společný jazyk s jednoduchými a nekomplikovanými definicemi rizik, událostí, následků a pravděpodobnosti. Manažeři by měli přijmout používání tohoto „slovníku“, aby zajistili, že komunikace bude probíhat bez překážek.

• Používání nejlepších dostupných informací

Zaměření se na nejlepší dostupné informace se všemi nejednoznačnostmi a nedokonalostmi, které tento pojem vyjadřuje. Namísto snahy o sdílení informací o absolutním riziku by manažeři měli přijmout toto mlhavé porozumění a uvažovat o údajích, které poskytují.

• Posouzení úspěchu

Norma zdůrazňuje důležitost měření, hodnocení a zlepšování systému řízení rizik. Myšlenkou je zlepšit se pokaždé, když je cyklus dokončen. Užitečné mohou být i nedokonalé údaje o rizicích, pokud jsou prezentovány společně s časovou osou vykazující trend. V konečném důsledku by zprávy o rizicích měly poskytovat kvalitní informace vedoucím pracovníkům.

ČSN ISO 31000:2018 Management rizik - Směrnice, poskytuje principy, rámec a proces k řízení rizik. Účinné řízení rizik umožní organizacím přežít v dnešním prostředí plné nejistot. Norma může být využita jakoukoliv organizací nehledě její velikosti, činnosti nebo sektoru.

Používání normy může pomoci organizacím zvýšit pravděpodobnost dosažení jejich cílů, zlepšit identifikování příležitostí a hrozeb a efektivně přidělit a použít zdroje k řešení rizik.

Riziko je nezbytnou součástí podnikání a ve světě, kde se zpracovává obrovské množství dat ve stále rychlejším tempu. Identifikace a zmírnění rizik je výzvou pro každou společnost.

Norma poskytuje návod, jak mohou společnosti integrovat rozhodování na základě rizik do řízení, plánování, politik, hodnot a kultury organizace. Je to otevřený systém založený na principech, což umožňuje organizacím aplikovat principy standardu na její organizační kontext.

Pro koho je ČSN ISO 31000?

ČSN ISO 31000:2018 pomáhá organizacím vytvořit strategii řízení rizik s cílem efektivně identifikovat a zmírnit rizika, a tím zvýšit pravděpodobnost dosažení jejich cílů a zvýšit ochranu jejich majetku. Jejím hlavním cílem je vytvořit kulturu řízení rizik, kde si pracovníci a zainteresované strany uvědomují důležitost monitorování a řízení rizik. Implementace normy také pomáhá organizacím vidět jak pozitivní příležitosti, tak negativní důsledky spojené s rizikem a umožňuje rozhodování, a tím i efektivnější rozhodování, a to při přidělování zdrojů. Navíc může být aktivní složkou při zlepšování řízení organizace a v konečném důsledku i její výkonnosti.

Proč byla revidována?

Všechny normy ISO jsou revidovány každých pět let. To pomáhá zajistit, že zůstanou relevantními, užitečnými nástroji pro trh. Revidovaná verze ISO 31000 byla zveřejněna v roce 2018 s cílem zohlednit vývoj trhu a nové výzvy, kterým čelí podniky a organizace od doby, kdy byl standard poprvé vydán v roce 2009. Jedním z příkladů je zvýšená složitost ekonomických systémů a vznikajících rizik.

Jaké jsou hlavní rozdíly?

ISO 31000:2018 poskytuje strategičtější vedení než ISO 31000:2009 a klade větší důraz jak na zapojení vrcholového managementu, tak na integraci řízení rizik do organizace. To zahrnuje doporučení vypracovat prohlášení nebo politiku, která potvrdí závazek k řízení rizik, přidělování pravomocí a odpovědnosti na příslušných úrovních v rámci organizace a zajištění toho, aby byly na řízení rizik vyčleněny nezbytné zdroje.

Revidovaná norma nyní také doporučuje, aby řízení rizik bylo součástí struktury, procesů, cílů, strategie a činností organizace. Větší důraz se klade na vytváření hodnoty jako klíčového faktoru řízení rizik a obsahuje další související principy, jako je neustálé zlepšování, začlenění zainteresovaných stran, přizpůsobených organizaci a zohlednění lidských a kulturních faktorů. Obsah byl zefektivněn tak, aby odrážel model otevřených systémů, který pravidelně vyměňuje zpětnou vazbu s vnějším prostředím, aby vyhovoval širšímu spektru potřeb a souvislostí. Klíčovým cílem je učinit věci jasnějšími a snazšími, používat prostý jazyk k definování základů řízení rizik způsobem, který čtenář snáze pochopí.

Norma platí pro všechny organizace bez ohledu na typ, velikost, aktivity a umístění a zahrnuje všechny typy rizik. Byla vyvinuta celou řadou zúčastněných stran a je určena všem, kdo řídí rizika.

Jaké jsou výhody pro podnikání?

Norma pomáhá organizacím vytvořit strategii řízení rizik s cílem efektivně identifikovat a zmírnit rizika, a tím zvýšit pravděpodobnost dosažení jejich cílů a zvýšit ochranu jejich majetku. Jejím hlavním cílem je vytvořit kulturu řízení rizik, kde si zaměstnanci a zainteresované strany uvědomují důležitost monitorování a řízení rizik.

Řízení rizik je soustavná, opakující se sada navzájem provázaných činností, jejichž cílem je řídit potenciální rizika, tedy omezit pravděpodobnost jejich výskytu nebo snížit jejich dopad na organizaci a její cíle. Účelem řízení rizik je předejít problémům nebo negativním jevům, vyhnout se krizovému řízení a zamezit vzniku problémů. Řízení rizik se skládá se z několika vzájemně provázaných fází.

Nejčastěji se využívá 6 základních fází:

• identifikace rizik (risk identification),
• analýza rizik (risk analysis),
• zhodnocení rizik (risk evaluation),
• ošetření rizik (risk mitigation),
• zvládnutí rizik či jejich zmírnění,
• monitoring rizik (risk monitoring and review).

Management rizik je součástí všech činností souvisejících s organizací a zahrnuje vzájemné působení se zainteresovanými stranami, přičemž zainteresovaná strana je osoba nebo organizace, která může mít vliv na rozhodnutí nebo činnost, může být jimi ovlivňována nebo se může domnívat, že je rozhodnutím nebo činností ovlivňována.

Řízení rizik zohledňuje externí a interní kontext organizace včetně lidského chování a kulturních faktorů.

Řízení rizik vychází ze zásad, rámce (struktury) a procesů. Řízení rizik musí být účinné, efektivní a konzistentní.

Prvky normy ČSN ISO 31000:2018:

• Zásady
• Rámec (struktura)
• Proces

1. Zásady

Účelem managementu rizik je tvorba a ochrana hodnoty. Zlepšuje výkonnost, podporuje inovace a podporuje dosažení cílů.

Efektivní management rizik:

• Integrovaný

Integrální součást všech činností organizace.

• Strukturovaný a vyčerpávající

Přispívá ke konzistentním a porovnatelným výsledkům.

• Přizpůsobený potřebám

Rámec a procesy managementu rizik jsou přizpůsobeny potřebám a přiměřené internímu a externímu kontextu organizace, který se týká jejich cílů.

• Kompletní

Vhodné a včasné zapojení zainteresovaných stran umožňuje, že jsou zohledněny jejich znalosti, pohledy a vnímání.

• Dynamický

Rizika se mohou objevit, změnit nebo zmizet tak, jak se mění externí a interní kontext organizace. Management rizik předvídá, odhaluje, uznává a reaguje na tyto události vhodným a včasným způsobem.

2. Rámec (struktura)

Účelem rámce managementu rizik je napomáhat s integrací managementu rizik do významných činností a funkcí. Efektivnost managementu rizik je značně závislá na podpoře vrcholového vedení.

Vedení a závazek

Vrcholové vedení, pokud je to vhodné, zajistí, aby management rizik byl integrovaný do všech činností organizace.

Vývoj rámce zahrnuje integrování, navrhování, implementování, vyhodnocování a zlepšování managementu rizik v celé organizaci.

• Integrace

Rizika jsou řízena v každé části organizační struktury a každý v organizaci má odpovědnost za řízení rizik. Integrování managementu rizik do organizace je dynamický a soustavně se opakující proces.

• Návrh rámce pro řízení rizik:
  • Porozumění organizaci a jejímu kontextu (organizace by měla posoudit a pochopit svůj externí a interní kontext)
  • Formulování závazků k managementu rizik (demonstrování a formulování kontinuálních závazků k ma­nagementu rizik prostřednictvím politiky, prohlášením nebo jinými formami, které jasně vyjadřují cíle organizace a závazek k managementu rizik)
  • Přidělování organizačních rolí, pravomocí, povinností a odpovědností (zajistit, kde je to vhodné, že pravomoci, povinnosti a odpovědnosti pro příslušné role jsou přidělovány a komunikovány na všech úrovních organizace)
  • Přidělení zdrojů (tam, kde je to vhodné, zajistit přidělení přiměřených zdrojů, například do lidí, jejich dovedností, zkušeností a kompetencí)
  • Ustanovení komunikace a konzultací - komunikace zahrnuje sdílení informací s cílovými posluchači; kon­zul­tace zahrnuje i poskytování zpětné vazby účastníky s očekáváním, že to přispěje k formování rozhodnutí (konzultace a komunikace mají být vždy včasné)
• Implementace

Vypracování vhodného plánu, zahrnujícího čas a zdroje. Identifikování kde, kdy, jak a kým jsou činěny různé typy rozhodnutí. Modifikování vhodných rozhodovacích procesů tam, kde je to potřebné. Zajištění, že opatření pro řízení rizik jsou jednoznačně pochopena a uplatňována v praxi.

• Hodnocení

Vyhodnocení efektivity rámce managementu rizik (periodické měření výkonnosti rámce managementu rizik a určení, zda zůstává vhodný pro podporu dosahování cílů organizace)

• Zlepšování
  • Přizpůsobování (neustálé sledování a přizpůsobování rámce managementu rizik, tak, aby s zabýval externími a interními změnami)
  • Trvalé zlepšování (trvale zlepšovat vhodnost, přiměřenost a efektivnost rámce managementu rizika a způsob, jakým je proces managementu rizik integrovaný do jejího řízení)

3. Proces

Zahrnuje systematické uplatňování politik, postupů a praktik v oblasti komunikace a konzultací, vymezení kontextu a hodnocení, zpracování, monitorování, přezkoumávání, zaznamenávání a ohlašování rizik.

• Komunikace a konzultace (pomáhá příslušným zainteresovaným stranám při porozumění rizikům, na základě kterých jsou přijímána rozhodnutí, a důvodům proč jsou požadována určitá opatření)
• Rozsah, kontext a kritéria (přizpůsobení procesu managementu rizik tak, aby umožnil efektivní posouzení rizik a vhodné ošetřování rizik)
  • Stanovení rozsahu (stanovení rozsahu činností v oblasti managementu rizik)
  • Externí a interní kontext - prostředí, ve kterém organizace usiluje o stanovení a dosažení svých cílů (stanoven na základě porozumění externímu a internímu prostředí, ve kterém organizace provozuje své činnosti, pro které je management rizik aplikován)
  • Stanovení kritérií rizika, rizik (stanovení množství a typů rizik, které mohou a nemusí nastat, ve vztahu k cílům a stanovení kritérií pro hodnocení významnosti rizik)
• Posuzování rizika, rizik (posuzování rizik je celkový proces identifikace rizik, analýzy rizik a hodnocení rizik)
  • Identifikace rizika, rizik (nalezení, rozpoznání a popsání rizika)
  • Analýza rizika, rizik - podrobné posouzení nejistot, zdrojů rizik, následků, pravděpodobnosti jejich výskytu, událostí, scénářů, opatření a jejich efektivnosti (poskytuje vstup pro hodnocení rizika/rizik a pro rozhodování o tom, zda je potřeba riziko/rizika ošetřovat a jak)
  • Hodnocení rizika, rizik - účelem je podpořit rozhodnutí (porovnání výsledků analýzy rizika/rizik se stanovenými kritérii rizika, aby bylo možné určit, kde je zapotřebí další opatření)
• Ošetřování rizika, rizik - soustavně opakující se proces (vybrání a implementování možnosti pro jeho řešení)
  • Volba možností pro ošetřování rizika, rizik (volba nejvhodnější možnosti/možností k ošetřování rizika/rizik - vyvažování potencionálních přínosů proti nákladům, úsilí nebo nevýhodám implementace)
  • Příprava a implementování plánů ošetřování rizik (stanovení, jakým způsobem budou zvolené možnosti ošetřování implementovány, aby zúčastněné strany opatřením porozuměly a aby bylo možné monitorovat pokrok proti plánu)
• Monitorování a přezkoumávání - zajištění a zlepšení kvality a efektivnosti návrhu, implementace a výstupů procesů (průběžné monitorování a pravidelné pře­zkou­mávání procesu managementu rizik a jeho výsledků)
• Zaznamenávání a podávání hlášení (proces řízení rizik a jeho výsledky mají být dokumentovány a hlášeny prostřednictvím vhodných mechanismů)

[1], [2], [3]

3. Využití „benchmarkingu“ pro hodnocení výkonnosti

Měření a monitorování výkonnosti BOZP je klíčový krok v řízení procesů. Je základem pro neustálé zlepšování. Není-li měření a monitorování prováděno správně, účinnost systému řízení BOZP je ohrožena. Vedení organizace pak nemá žádné relevantní údaje o kvalitě řízení BOZP.

Organizace můžou považovat měření a monitorování výkonnosti BOZP za příliš složitou oblast. Některé organizace se snaží, aby jejich měření výkonnosti BOZP nebylo založeno pouze na statistikách o úrazech a poškozeních zdraví, jelikož nízká úrazovost, dokonce i po dlouhou dobu, nezaručuje, že rizika jsou řízena správným způsobem. Toto je obzvlášť pravdivé konstatování v případě organizací, u kterých je nízká pravděpodobnost úrazů, ale je zde riziko výskytu závažných nebezpečí a rizik s fatálními následky. Zde je zapotřebí si uvědomit, že neexistuje pouze jedno jednoduché spolehlivé měření, ale vždy se musí jednat o soubor měření.

Benchmarking je neustálý a systematický proces porovnání a měření výrobků, služeb, procesů, postupů, metod, vlastní organizace s ostatními, a to za účelem definování cílů pro zlepšování vlastních aktivit. Benchmarking tak napomáhá organizaci k odhalení jejich silných a slabých stránek ve srovnání s ostatními a k lepšímu pochopení vlastních činností a činností ostatních.

Benchmarking může organizace rovněž využít i jako prostředek pro motivaci vlastních zaměstnanců k ne­ustálému zlepšování v oblasti BOZP. Je to plánovaný proces, kdy organizace srovnává její stav a výkonnost v bezpečnosti a ochraně zdraví zaměstnanců s jinými organizacemi, a to za účelem:

• snížení počtu úrazů a poškození zdraví,
• zlepšení souladu s požadavky právních předpisů,
• snížení nákladů spojených s vypořádáním mimořádných událostí.

Benchmarking ovšem není jen o srovnávání dat nebo kopírování vašich konkurentů. Nesnažte se pouze kopírovat vaše konkurenty, ale věnujte pozornost zajímavým myšlenkám, námětům a principům, které jsou uplatnitelné a realizovatelné ve vaší organizaci. Benchmarking je rovněž o neustálém učení se od druhých, nalezení silných a slabých stránek u jednotlivých procesů a v neposlední řadě i poučení se od ostatních, což ve své podstatě vede k reálnému zlepšení systému řízení BOZP v organizaci. Klíčovým prvkem v dosažení úspěchu je závazek vrcholového managementu a uvědomění si, že bezpečnost a ochrana zdraví zaměstnanců je stejně tak důležitá jako výroba a spokojenost zákazníka.

Přínosy benchmarkingu:

• zlepší vaši image na trhu, což je důležité z důvodu získání a udržení zakázek,
• poučíte se a využijete dobré myšlenky ostatních („nekopírujte“ bezmyšlenkovitě, ale přizpůsobte vašim konkrétním podmínkám),
• docílíte vývoje pozitivního vztahu s dodavateli a zákazníky,
• pomůže vám zjistit, kde jste (někdy si chybně můžete myslet, že jste lepší než průměr, ale realita může být jiná),
• ušetří vám finanční prostředky (náklady na pojištění, zvýšená produktivita a snížená fluktuace),
• zlepší celkový systém řízení BOZP v organizaci a sníží rizika, která by mohla mít negativní vliv na bezpečnost a zdraví vašich zaměstnanců.

4. Závěr

Struktura normy ČSN ISO 31000:2018 je velmi podobná společné struktuře pro systémy řízení Annex SL. Normu je tak možné rovněž využít při přechodu na ČSN EN ISO 9001:2016, ČSN EN ISO 14001:2016 a ČSN ISO 45001:2018. Správně prováděný management rizik v organizacích patří mezi základní preventivní nástroje v ochraně zdraví a životů zaměstnanců.

POUŽITÁ LITERATURA

[1] ČSN ISO 31000:2018 Management rizik - Směrnice

[2] ISO 31000, Risk management, International Organization for Standardization, 2018

[3] A Risk Practitioners Guide to ISO 31000:2018, Institute of Risk Management, 2018

[4] Health and safety benchmarking, Improving together, Guidance for those interested in applying benchmarking to health and safety, INDG301, published by the Health and Safety Executive 9/99

[5] A guide to measuring health and safety performance, published by the Health and Safety Executive, 2001