Należycie przygotowana matryca ryzyka stanowi realny dowód istnienia procesu decyzyjnego (zwłaszcza w odniesieniu do zaniechań) oraz dokonania oceny granic uzasadnionego ryzyka gospodarczego.

Jej sporządzenie zwiększa świadomość niebezpieczeństw oraz pozwala ustalić, którymi z nich warto zająć się intensywnie, a które można odłożyć. Umożliwia ona szybki przegląd ryzyk i ocenę ich wpływu na organizację. Wskazuje osoby odpowiedzialne oraz wdrożone działania. Może być prowadzona w dowolnej formie. Najczęściej ma postać tabelaryczną np. w arkuszu Excel. Poniżej przedstawiam zwięzły opis poszczególnych elementów matrycy ryzyka. Zachęcam do zapoznania się.

Obszar zarządzania ryzykiem – np. cała organizacja, jej poszczególne działy, operacje czy projekty. Z punktu widzenia odpowiedzialności zarządu warto sporządzić matrycę dla całej organizacji.

Cel – precyzyjnie nazwij to co chcesz osiągnąć (np. utrzymanie płynności finansowej). Nie jest to niezbędne, ale poszukiwanie ryzyk z punktu widzenia jasno wskazanych celów jest prostsze. Moim zdaniem warto wskazać cele strategiczne i taktyczne, przy czym lepiej skoncentrować się na tych ostatnich, ponieważ zwykle są one bliżej realnych problemów.

Ryzyko – nazwij ryzyko (np. pogorszenie płynności finansowej)

Zdarzenia ryzyka – opisz krótko poszczególne zdarzenia ryzyka zagrażające realizacji celu, np. brak /opóźnienia w zapłacie należności, wypowiedzenie umowy kredytu, wzrost kosztów działalności, spadek sprzedaży itd. Opisz maksymalnie wiele przyczyn ryzyka.

Właściciel ryzyka – stanowisko oraz osoba, której powierzony jest monitoring danego ryzyka (np. dyrektor finansowy).

Obszar wpływu – ustal na jakie obszary w organizacji ma wpływ dane ryzyko płynności (np. podatki, zakupy, HR, sprzedaż i marketing).

Ocena ryzyka inherentnego – ustal prawdopodobieństwo i konsekwencje poszczególnych zdarzeń ryzyka, np. nieotrzymania bądź opóźnienia w uzyskaniu należności przy założeniu, że w organizacji nie występują w tym żadne narzędzia kontrolne.

Przykładowe kryteria oceny:
prawdopodobieństwo – np. bardzo niskie (1), niskie (2), średnie (3), wysokie (4), bardzo wysokie (5)

konsekwencje – nieistotne (1), mniejszej wagi (2), umiarkowane (3) poważne (4), krytyczne (5)

Wartość ryzyka inherentnego to iloczyn prawdopodobieństwa i konsekwencji. Pamiętaj, że powyższe cyfry to tylko niedoskonałe narzędzie wartościowania. Patrz szeroko.

Ocena narzędzi kontrolnych – ustal jakie narzędzia kontrolne istnieją w organizacji w kontekście danego zdarzenia ryzyka, nazwij je i oceń ich siłę biorąc pod uwagę poziom wdrożenia, realne stosowanie, aktualność, weryfikowalność itd. (np. kontroling, compliance, audyt wewnętrzny, procedury, zakresy obowiązków, szkolenia, samokontrola itd.). Przyjmij założenie, że im narzędzie kontroli ma silniejszy wpływ na zmniejszenie ryzyka, tym mniejszą przypisujesz mu wartość (np. samokontrola – słabe (1), audyt zewnętrzny – bardzo silne (5). Wylicz średnią arytmetyczną wynikającą z punktacji dla wszystkich stosowanych narzędzi kontroli i ustal ich siłę wyliczając średnią arytmetyczną.

Właściciel kontroli – wskaż stanowisko oraz osobę, która odpowiada za dane narzędzie kontrolne (np. oficer compliance, przełożony, audytor itd.). Upewnij się, że zakres jej obowiązków odpowiada rzeczywistości.

Ocena ryzyka rezydualnego – wylicz średnią arytmetyczną dla ustalonej wartości ryzyka inherentnego oraz siły stosowanych narzędzi kontroli.

Decyzja co do postępowania z ryzykiem – zdecyduj jak dalej postępować z analizowanym ryzykiem. Zakres możliwości podano poniżej:

• podejmowanie lub zwiększanie ryzyka w celu wykorzystania nadarzającej się okazji,
• unikanie ryzyka poprzez podjęcie decyzji o niepodejmowaniu lub kontynuowaniu działania, które powoduje ryzyko,
• usunięcie źródła ryzyka,
• zmiana prawdopodobieństwa,
• zmiana konsekwencji,
• podział ryzyka (np. poprzez umowy, zakup ubezpieczenia),
• zatrzymanie ryzyka poprzez świadomą decyzję.

Plan postępowania z ryzykiem

Ustal plan postępowania z ryzykiem obejmujący:

• uzasadnienie wyboru opcji zarządzania ryzykiem,
• osoby odpowiedzialne za zatwierdzanie i realizację planu,
• proponowane działania względem ryzyka,
• wymagane zasoby, w tym nieprzewidziane wydatki,
• miary skuteczności działania,
• ograniczenia w działaniu,
• wymagana sprawozdawczość i monitoring,
• początek i zakończenie działań.