GRC - Governance Risk Compliance

Ład organizacyjny

Procesy, struktury, dokumenty, legislacja, procedury, wymagania prawne, kto może się w tym wszystkim połapać? Bardzo trudno jest zarządzać tymi obszarami nie posiadając narzędzi. Dlatego budowa właściwych struktur funkcjonalnych i procesowych stałą się domeną naszego systemu BPM.

Wspieramy naszych Klientów w projektowaniu i wdrażaniu organizacji, procesów i projektów wykorzystując BPM. Dzięki niemu automatyzujemy modelowanie procesów, zarządzanie dokumentację i wiele innych obszarów.

Zarządzanie ryzykiem

Definicji ryzyka jest bardzo wiele, ale najważniejszymi elementami tych definicji jest zawsze niepewność, destabilizacja związana z wystąpieniem jakiegoś zdarzenia. Nie ma znaczenia, czy zdarzenie jest przez nas wyczekiwane i stanowi motor naszego działania, czy przeciwnie, jest niespodziewane i hamuje, bądź burzy naszą organizację.

Wydaje się nam, że ryzyko jest czymś ulotnym, niematerialnym, a przez to dla niektórych niezrozumiałym. Często mówimy o ryzyku:

• strategicznym – związanym z trudnościami w realizacji planów strategicznych,
• procesowym – dotyczącym realizacji celu procesu,
• bezpieczeństwa informacji – odnoszącym się do utraty poufności, integralności, czy dostępności informacji,
• i wielu innych obszarach, takich jak BHP, jakość, środowisko itp.

Skąd problemy z ryzykiem?

Dopóki mówimy o ryzyku związanym z pewnym bytem abstrakcyjnym jakim jest cel, proces, czy informacja, dokładając do tego niepewność i próbując określić jak należy zarządzić ryzykiem, będziemy mieli trudności.

Jak to zrobić prosto i efektywnie

Cel posiada jakąś miarę – wskaźnik, ma określony czas i wartości oczekiwane, natomiast aby zrealizować cel musimy podjąć działania i zaangażować zasoby. Proces to pewna logika związana z realizacją działań i angażowania zasobów. Informacja związana jest z jej nośnikiem i wszystkie zagrożenia dla informacji związane są właśnie z nim. Zasób w procesie i projekcie, nośnik informacji to aktywa organizacji, a należą do nich ludzie, technologie, maszyny, urządzenia, systemy teleinformatyczne, pomieszczenia itp.

Przechodząc z analizy ryzyka na poziom aktywów, nasze życie staje się proste, a identyfikacja zdarzeń i propozycja działań dotyczących ryzyka staje się oczywista.

Dlatego nie zastanawiajmy się nad tym jakie ryzyka przypiszemy do danego celu, procesu, informacji, ale zwróćmy uwagę jakie zasoby ludzkie, systemy informatyczne, urządzenia i pomieszczenia są nam niezbędne do tego, żeby osiągnąć cel, realizować proces, przetwarzać informacje. To tam należy szukać ryzyka i rozwiązań.

Prosta ocena prawdopodobieństwa i wpływu może być dość subiektywna, obarczona przekonaniem oceniającego. Dlatego warto w obiektywizowaniu naszej oceny zejść jeden poziom niżej.

Dla oceny prawdopodobieństwa wystąpienia jakiegoś zdarzenia,  oczywiście poza analizą otoczenia, warto wykorzystać analizę podatności.

Podatności

Analiza podatności ma wskazać gdzie są słabości naszej organizacji, naszych systemów informatycznych, naszych pracowników, naszych urządzeń. Stan parku technicznego, wykorzystywane technologie informatyczne, świadomość i doświadczenie naszych pracowników, uczestnictwo w dojrzałym łańcuchu logistycznym, to wszystko ma wpływ na prawdopodobieństwo wystąpienia zdarzeń, awarii, błędów, incydentów. Dlatego ocena zasobów przez właściciela, koordynatora biznesowego jest bardzo efektywnym narzędziem stanu zasobów, a to bezpośrednio wpływa na prawdopodobieństwo. Analiza podatności realizowana w obszarze teleinformatyki, często za pomocą skanerów i narzędzi do analizy podatności, odsłania obraz tego, jak bezpieczna jest nasza infrastruktura teleinformatyczna.

Jeśli nasze systemy są właściwie zarządzane poprzez nadawanie uprawnień, aktualizacje, backup, właściwą ochronę wewnątrz sieci i na zewnątrz, to będzie to miało istotny wpływ na minimalizowanie wystąpień awarii, włamań i innych incydentów. Dodatkowo będzie to czynnik pozwalający wykorzystać pojawiające się szanse w naszym otoczeniu.

Do analizy podatności warto wykorzystać: BPM Cyber Platform

Ocena skutków

Przy ocenie skutków warto zwrócić uwagę na element zabezpieczeń. Działając nawet intuicyjnie, staramy się zabezpieczyć przed wystąpieniem zagrożeń. Budujemy płoty, zamykamy drzwi, projektujemy strefy dostępu, często korzystamy z usług ochroniarskich. Wszystko po to by czuć się bezpiecznie. Czy te zabezpieczenia eliminują zdarzenie włamania? Nie, natomiast dość mocno je ograniczają o ile są skuteczne. Bo co jeśli płot ma dziurę, drzwi są uchylone ze względu na brak klucza, strefa bezpieczeństwa jest wyłączona gdyż utrudniała poruszanie się, a ochroniarz śpi?

Przypisanie do danego czynnika ryzyka zabezpieczeń lub elementów mogących wpłynąć na wykorzystanie szansy oraz ocena skuteczności tych zabezpieczeń i mechanizmów pozwala na weryfikację faktycznego wpływu. Dodatkowo nasza organizacja buduje wiedzę o tym jakie aktywa stanowią zabezpieczenia dla innych zasobów oraz co stanie się jeśli z czegoś zrezygnujemy.

Skuteczną analizę ryzyka zapewnia BPM Risk

Niepewność jest trudna do policzenia, a tym właśnie jest ryzyko, miarą niepewności i konsekwencji z niej wynikających. Żeby skwantyfikować ryzyko warto wyszacować jak prawdopodobne jest zdarzenie (szansa, zagrożenie), które na nas wpływa. Oczywiście skale prawdopodobieństwa mogą być bardzo różne (punktowe, liczbowe, procentowe). Drugą przydatną miarą będzie ocena wpływu tego zdarzenia na naszą organizację. Oceniając wpływ możemy posłużyć się wieloma obszarami wpływu: finansowego, prawnego, wizerunkowego i wielu innych. Możemy wyliczać skutki punktowo, pieniężnie, czy analizować je w czasie.

Miara ryzyka – ocena niepewności

To co powstanie nam z iloczynu miary prawdopodobieństwa i skutku będzie wartością ryzyka, które w celu oceny warto osadzić na kostce ryzyka. W ten sposób otrzymujemy wymiar ryzyka.

Obiektywny proces analizy ryzyka, oparty o zasoby, w dużym stopniu wpływa na efektywność planowanych i realizowanych działań związanych z postępowaniem z ryzykiem. Planując na poziomie celów, procesów, informacji, znowu poruszalibyśmy się w obszarze dość abstrakcyjnym. Schodząc na poziom zasobów, dużo łatwiej jest na wskazać konkretne działania eliminujące podatności poszczególnych zasobów, poprawiające skuteczność posiadanych zabezpieczeń, lub wprowadzające nowe zabezpieczenia. Nasz plan działań powinien być konkretny, odnosić się do zasobów i przez to wpływać na prawdopodobieństwo lub skutek ryzyka. Plan powinien podlegać bieżącemu monitorowaniu, a najlepszą oceną skuteczności, poza audytem i testami, jest ponowna analiza ryzyka.

Automatyzacja zarządzania ryzykiem

Zarówno procesy obejmujące audyt wewnętrzny jak i testy, czy analizę podatności automatyzujemy. Więcej na ten temat przeczytasz:

• BPM Audyt
• BPM Bezpieczeństwo
• BPM Ciągłość

Sprawiamy, ze obszar zarządzania ryzykiem, bez względu na podmiot ryzyka: operacyjne, bezpieczeństwa, ciągłości, RODO itp. jest integralny i spójny.

Proces zarządzania ryzykiem jest przedmiotem wielu opracowań, standardów i metod. Wspomnieć należy o ISO 31000, czy ISO 27005. Standardy te opisują  przebieg procesu, my jednak zwracamy uwagę, aby proces ten był tak powszechny jak samo ryzyko. To znaczy aby uczestniczyło w nim możliwie jak najszersze grono pracowników, co pozwala na budowanie świadomości i upowszechnienie mechanizmów zarządzania ryzykiem w organizacji. Często jesteśmy świadkami, iż proces jest prowadzony przez kilku ekspertów, jednak najbardziej efektywne jest podejście partycypacyjne – „biorę udział, czuję się odpowiedzialny”.

Proces powinien obejmować określenie kontekstu organizacji, czyli pewnych założeń opisujących nasz sposób działania. Bardzo dobrze jest zrobić odniesienia do strategii, która powinna być podstawą opisu celów dla procesów i projektów. Jeżeli nie obejmujemy procesem całej organizacji warto opisać kontekst ryzyka, czyli obszaru którego analiza będzie dotyczyła.

Identyfikacja, ocena i analiza ryzyka, sposób wyliczeń i zbiór metod  dotyczący identyfikacji podatności oraz oceny skuteczności zabezpieczeń i ewentualnej agregacji ryzyk, to elementy składowe procesu. Nie należy zapominać, aby proces obejmował mechanizm planowania działań, ich monitorowania oraz oceny skuteczności.

Proces powinien również zapewniać integrację w ramach procesów budowy ładu wewnętrznego i oceny zgodności, np. audyt wewnętrzny. O integralnym podejściu do GRC przeczytasz tutaj

Ostatnią, ale nie mniej ważną częścią procesu zarządzania ryzykiem jest podproces zarządzania incydentem. Materializacja ryzyka jest naturalnym zjawiskiem, musimy być przygotowani na wystąpienie czynnika ryzyka i jego materializację, a tym samym na konsekwencje. Reakcja i podjęcie działań w przypadku wystąpienia incydentu ma istotne znaczenie z punktu widzenia zarządzania ryzykiem i budowy wiedzy na temat faktycznych skutków jego wystąpienia.

Skuteczne zarządzanie ryzykiem wymaga narzędzi. Angażowanie pracowników w identyfikację i ocenę ryzyka, rozpowszechnianie map i rejestrów ryzyka, czy monitorowanie działań wymaga skutecznego narzędzia umożliwiającego automatyzację procesu, pilnującego terminowości, agregującego wyniki i przygotowującego informację zwrotną w postaci dashboardów i raportów. Wśród wielu dostępnych na rynku warto wykorzystać takie, które pozwala na nieograniczoną licencjami współpracę i komunikację,  którego logika pozwala realizować analizę ryzyka w wielu obszarach, zgodnie z wymaganiami prawa i standardów międzynarodowych. W dużych organizacjach, grupach kapitałowych i holdingach istotne będą mechanizmy agregacji ryzyka w ramach linii biznesowej, procesu, obszaru, wymagania oraz raportowanie dostosowane do potrzeb nadzoru finansowego i wymagań prawnych.