Ryzyko rezydualne to ryzyko inherentne (poprzedni post) pomniejszone o wpływ jaki wywierają na nie środki kontroli ryzyka.
Innymi słowy – ryzyko rezydualne to niebezpieczeństwo wystąpienia zdarzenia po uwzględnieniu wewnętrznych systemów kontroli. Aby ustalić ryzyko rezydualne należy zidentyfikować istniejące procesy kontrolne i ocenić ich skuteczność w ustalonej skali (np. od 1 do 3), gdzie najsłabszej kontroli przypisujemy najwyższą wartość a najsilniejszej najniższą. Np. słabe – 3, Wymagające poprawy – 2, Skuteczne – 1.
Na slajdzie wskazałem przykładowe narzędzia kontroli, które należy poddać ocenie.
Przy ocenie należy jednak brać pod uwagę nie tylko istnienie procesów kontroli, ale również ich realne wykonywanie, zupełność, częstotliwość, zakres, skuteczność (wykrywanie defektów) i faktyczne podejmowanie działań naprawczych.
Ustalenie w jakim zakresie procedury kontroli w konkretnym wypadku obniżają poziom ryzyka inherentnego zależy od przyjętej metodologii, ale z całą pewnością przeprowadzenie takiego procesu pomoże managerowi określić obszary wymagające uwagi oraz istotnie zmniejszyć ryzyko.