Zarządzanie ryzykiem to systematyczny proces identyfikowania, oceniania i ograniczania niepewności, która może utrudnić organizacji realizację jej celów. Składa się z pięciu kroków – identyfikacji, analizy, oceny, postępowania z ryzykiem i monitorowania – a jego wyniki zapisuje się w rejestrze ryzyka, ocenia na macierzy ryzyka i nadzoruje przez właścicieli ryzyk oraz wskaźniki KRI. Międzynarodowym punktem odniesienia jest norma ISO 31000, która definiuje ryzyko jako wpływ niepewności na cele.
W tym przewodniku wyjaśniamy, czym jest zarządzanie ryzykiem w firmie, jak wygląda proces zarządzania ryzykiem krok po kroku, do czego służą rejestr i macierz ryzyka, kim jest właściciel ryzyka, jak działają KRI oraz kiedy organizacja potrzebuje systemu zarządzania ryzykiem klasy GRC. Jeśli dopiero porządkujesz ten obszar, zajrzyj też do artykułu GRC – czym jest Governance, Risk & Compliance.
Czym jest zarządzanie ryzykiem?
Zarządzanie ryzykiem (ang. risk management) to skoordynowane działania, dzięki którym organizacja świadomie podejmuje decyzje w warunkach niepewności. Zamiast reagować na zdarzenia po fakcie, identyfikuje możliwe zagrożenia z wyprzedzeniem, ocenia ich wagę i decyduje, co z nimi zrobić.
Norma ISO 31000 (aktualna wersja z 2018 roku) definiuje ryzyko jako wpływ niepewności na cele. Wpływ ten może być negatywny, pozytywny lub jedno i drugie – w praktyce organizacje koncentrują się głównie na zagrożeniach. ISO 31000 składa się z trzech elementów: zasad, ram organizacyjnych (framework) oraz procesu zarządzania ryzykiem. To wytyczne, a nie norma certyfikowalna – nie przechodzi się audytu certyfikującego, ale można się do niej odwoływać w politykach i procedurach. Uzupełniają ją m.in. norma IEC 31010 (techniki oceny ryzyka) i ISO 31073 (słownik pojęć).
Warto odróżnić trzy pojęcia, które często się mieszają. Ryzyko to możliwość, że coś się wydarzy. Zagrożenie lub źródło ryzyka to to, co może to wywołać. Incydent to zdarzenie, które już nastąpiło – czyli ryzyko, które się zmaterializowało.
Kluczowe pojęcia w zarządzaniu ryzykiem
Dlaczego organizacje zarządzają ryzykiem?
Powody są dwa: biznesowy i regulacyjny.
Od strony biznesowej zarządzanie ryzykiem pozwala przeznaczać ograniczone zasoby tam, gdzie realnie zmniejszają ekspozycję – zamiast gasić pożary lub zabezpieczać wszystko po równo. Daje też zarządowi wspólny język do rozmowy o niepewności: zamiast „czujemy, że to jest groźne” – poziom ryzyka, właściciel i plan.
Od strony regulacyjnej analiza ryzyka jest składnikiem wielu wymogów, z którymi mierzą się dziś firmy. Norma ISO/IEC 27001 wymaga zdefiniowania procesu oceny ryzyka i postępowania z ryzykiem dla bezpieczeństwa informacji. Dyrektywa NIS2 w Art. 21 wymienia analizę ryzyka i politykę bezpieczeństwa systemów informatycznych jako pierwszy z dziesięciu wymaganych obszarów – szczegóły opisaliśmy w artykule o wymaganiach NIS2 i polskiej ustawie o KSC. W sektorze finansowym rozporządzenie DORA wymaga ram zarządzania ryzykiem ICT. W każdym z tych przypadków organizacja musi umieć pokazać nie tylko, że ryzyko oceniła, ale że robi to cyklicznie i potrafi to udokumentować.
Jak wygląda proces zarządzania ryzykiem?
Proces zarządzania ryzykiem według ISO 31000 obejmuje ustalenie zakresu, kontekstu i kryteriów ryzyka, ocenę ryzyka (identyfikację, analizę i ewaluację), postępowanie z ryzykiem oraz monitorowanie i przegląd. Przez cały czas towarzyszą mu komunikacja i konsultacje oraz dokumentowanie i raportowanie. W praktyce można go przedstawić jako pięć kroków:
Żeby pokazać, jak te kroki łączą się w całość, przez cały artykuł posługujemy się jednym przykładem ilustracyjnym: firma usługowa, proces obsługi zamówień online, platforma hostowana u jednego dostawcy chmurowego. Liczby i progi w przykładach dobraliśmy na potrzeby artykułu – każda organizacja ustala własne.
1. Identyfikacja ryzyka
Identyfikacja polega na znalezieniu i opisaniu ryzyk, zanim się zmaterializują. Punktem wyjścia są procesy biznesowe i aktywa, od których zależą cele organizacji, a źródłami informacji: warsztaty z właścicielami procesów, analiza wpływu na biznes (BIA), wyniki audytów, historia incydentów, lista dostawców krytycznych i zmiany regulacyjne.
Dobrze opisane ryzyko ma trzy części: zdarzenie, przyczynę i skutek. W naszym przykładzie: „Niedostępność platformy zamówień dłużej niż 4 godziny (zdarzenie) z powodu awarii jedynego dostawcy chmury (przyczyna) skutkuje utratą zamówień i karami umownymi (skutek)”.
Komentarz ekspercki BCMLogic: najczęstszy błąd na tym etapie to wpisywanie do rejestru braków zamiast ryzyk, np. „brak środowiska zapasowego”. To jest luka w kontroli, a nie zdarzenie, które może się wydarzyć. Z takiego zapisu nie da się oszacować ani prawdopodobieństwa, ani wpływu.
2. Analiza ryzyka
Analiza ustala, jak bardzo prawdopodobne jest zdarzenie i jak poważne byłyby jego skutki. Najczęściej stosuje się skalę jakościową 1-5 dla prawdopodobieństwa i dla wpływu, z opisanymi poziomami – np. „3 – możliwe: raz na kilka lat”, „4 – duży wpływ: przestój kluczowego procesu powyżej 4 godzin”. Dokładniejsze są metody ilościowe (np. szacowana strata finansowa), ale wymagają danych, których wiele organizacji jeszcze nie ma.
Wpływ warto oceniać w kilku wymiarach jednocześnie: finansowym, operacyjnym, regulacyjnym i reputacyjnym. Tam, gdzie to możliwe, prawdopodobieństwo warto opierać na danych – np. na liczbie dotychczasowych incydentów dotyczących danego procesu lub aktywa – a nie wyłącznie na intuicji.
W praktyce rozróżnia się ryzyko inherentne (bez uwzględnienia kontroli) i rezydualne (po uwzględnieniu istniejących zabezpieczeń). W naszym przykładzie: prawdopodobieństwo 3 (możliwe), wpływ 4 (duży), czyli ocena 12.
3. Ocena ryzyka
Ocena (ewaluacja) porównuje wynik analizy z kryteriami ryzyka, czyli z poziomem, który organizacja jest gotowa zaakceptować – jej apetytem na ryzyko. Na tym etapie zapada decyzja: ryzyko akceptujemy, postępujemy z nim, czy potrzebujemy dokładniejszej analizy. To tu powstaje lista priorytetów – nie da się zająć wszystkimi ryzykami naraz.
W przykładzie ocena 12 mieści się w przedziale „wysokie”. Zgodnie z przyjętymi w firmie kryteriami ryzyka wysokie nie mogą być zaakceptowane bez decyzji zarządu, więc przechodzimy do postępowania.
4. Postępowanie z ryzykiem
Postępowanie z ryzykiem (risk treatment) to wybór sposobu reakcji i wdrożenie go. W praktyce stosuje się cztery podstawowe strategie (ISO 31000 wymienia szerszy zestaw opcji, ale te cztery pokrywają większość przypadków):
Wybrana strategia trafia do planu postępowania z ryzykiem: konkretne działania, osoba odpowiedzialna, termin i zasoby. Po wdrożeniu ryzyko ocenia się ponownie – powstaje ryzyko rezydualne, które właściciel ryzyka albo osoba uprawniona akceptuje lub kieruje do dalszych działań. Transfer nie zdejmuje odpowiedzialności: ubezpieczenie pokryje część straty finansowej, ale nie przywróci zaufania klientów.
W przykładzie wybieramy ograniczanie: uruchomienie środowiska zapasowego w drugim regionie z kwartalnym testem przełączenia. Właścicielem planu jest dyrektor IT, termin – koniec kwartału. Ryzyko rezydualne po wdrożeniu zostanie ocenione na nowo.
5. Monitorowanie ryzyka
Ryzyko nie jest stałe: zmieniają się zagrożenia, dostawcy, systemy i regulacje. Monitorowanie obejmuje cykliczne przeglądy rejestru, śledzenie wskaźników KRI, weryfikację, czy kontrole faktycznie działają, oraz ponowną ocenę ryzyka po każdym istotnym incydencie lub zmianie. Wyniki trafiają do raportów dla zarządu.
Ten krok bywa pomijany, a to on odróżnia zarządzanie ryzykiem od jednorazowej oceny na potrzeby audytu. Wymogi takie jak NIS2 wprost oczekują regularnej weryfikacji skuteczności wdrożonych środków.
Czym jest rejestr ryzyka?
Rejestr ryzyka to centralny zapis wszystkich zidentyfikowanych ryzyk wraz z ich oceną, istniejącymi kontrolami, właścicielem i planami postępowania. Jest głównym narzędziem pracy i podstawą raportowania: z niego powstają listy priorytetów, macierz ryzyka i raporty dla zarządu.
Dobry rejestr zawiera co najmniej: identyfikator, opis ryzyka (zdarzenie – przyczyna – skutek), powiązany proces lub aktywo, kategorię, właściciela, prawdopodobieństwo i wpływ, poziom ryzyka, istniejące kontrole, wybraną strategię wraz z planem i terminem, ryzyko rezydualne, powiązane KRI oraz datę ostatniego przeglądu. Fragment przykładowego rejestru (dane ilustracyjne):
Rejestr można prowadzić w arkuszu kalkulacyjnym, dopóki ryzyk jest kilkanaście, a za nie odpowiada kilka osób. Gdy rośnie liczba ryzyk, dostawców i wymogów regulacyjnych, arkusz przestaje wystarczać – o tym w sekcji o systemie GRC.
Jak wykorzystuje się macierz ryzyka?
Macierz ryzyka to tabela, która łączy prawdopodobieństwo i wpływ w jeden poziom ryzyka. W skali 5×5 poziom to iloczyn obu wartości (1-25), a pola kolorowane są według progów ustalonych przez organizację. Macierz służy do priorytetyzacji – pokazuje, którymi ryzykami zająć się najpierw – oraz do komunikacji: jeden obraz zrozumiały dla zarządu.
Przykładowa macierz z zaznaczonym ryzykiem R-014 (prawdopodobieństwo 3, wpływ 4):
Przykładowe progi: 1-4 niski (zielony), 5-9 średni (żółty), 10-16 wysoki (pomarańczowy), 17-25 krytyczny (czerwony). Progi ustala organizacja zgodnie ze swoim apetytem na ryzyko.
Komentarz ekspercki BCMLogic: macierz jest narzędziem do rozmowy i priorytetyzacji, a nie precyzyjnym pomiarem. Skale są porządkowe, więc różne kombinacje mogą dawać ten sam wynik (2 × 6 i 3 × 4 nie muszą oznaczać tego samego), a ocena zależy od tego, kto ją wypełnia. Dlatego każdy poziom skali powinien mieć pisemną definicję, a oceny – uzasadnienie.
Kim jest właściciel ryzyka?
Właściciel ryzyka to osoba, która odpowiada za dane ryzyko i ma uprawnienia, by podejmować decyzje o postępowaniu z nim. To musi być ktoś, kto realnie wpływa na proces lub aktywo, którego ryzyko dotyczy – zwykle kierownik lub dyrektor danego obszaru, a nie automatycznie dział bezpieczeństwa czy dział ryzyka. Dział ryzyka dostarcza metodykę i narzędzia, ale ryzyka nie „posiada”.
Właściciel ryzyka ocenia je, wybiera strategię, odpowiada za realizację planu postępowania i akceptuje ryzyko rezydualne w granicach swoich uprawnień. Przypisanie właścicieli najłatwiej utrzymać, gdy korzysta się ze struktury organizacyjnej, w której każdy proces, ryzyko i kontrola mają wskazaną osobę – tak działa m.in. moduł Organizacja.
W mniejszych organizacjach role się łączą, ale zasada pozostaje ta sama: każde ryzyko ma jedną, nazwaną osobę, która odpowiada za decyzje.
Czym są KRI?
KRI (Key Risk Indicator, kluczowy wskaźnik ryzyka) to mierzalny wskaźnik, który sygnalizuje, że poziom ryzyka rośnie – zanim ryzyko się zmaterializuje. Działa jak lampka ostrzegawcza: nie mówi, że doszło do incydentu, tylko że warunki zaczynają sprzyjać jego wystąpieniu. Dzięki temu można zareagować wcześniej.
KRI różni się od KPI. KPI mierzy, jak dobrze organizacja realizuje cel (np. sprzedaż, czas obsługi zgłoszeń). KRI mierzy, jak blisko jest zdarzenie, które mogłoby ten cel zagrozić. Dobry KRI jest powiązany z konkretnym ryzykiem, mierzalny na podstawie dostępnych danych, ma ustalone progi (ostrzegawczy i alarmowy), właściciela i częstotliwość pomiaru. Przykłady ilustracyjne:
Wartości progowe są przykładowe – organizacja ustala je zgodnie z własnym apetytem na ryzyko. Przekroczenie progu powinno uruchamiać konkretną reakcję: przegląd ryzyka, eskalację do właściciela lub dodatkowe działania.
Jak system GRC wspiera zarządzanie ryzykiem?
System zarządzania ryzykiem klasy GRC trzyma ryzyka, kontrole, procesy, aktywa, dostawców i wymogi regulacyjne w jednym miejscu i łączy je ze sobą, zamiast rozpraszać po arkuszach różnych działów. Dzięki temu zmiana w jednym elemencie – nowy incydent, nowy dostawca, zmiana przepisów – jest widoczna tam, gdzie wpływa na ocenę ryzyka. Szersze tło opisaliśmy w artykule o GRC.
Typowe sygnały, że arkusz przestaje wystarczać:
- ryzyka prowadzone są w kilku plikach i nikt nie wie, który jest aktualny,
- trudno ustalić, kto jest właścicielem ryzyka i kiedy ostatnio je przeglądano,
- zatwierdzanie ryzyk i planów odbywa się mailowo, bez śladu audytowego,
- oceny nie uwzględniają danych o incydentach i dostawcach, bo żyją w innych miejscach,
- przygotowanie raportu dla zarządu lub audytora zajmuje dni.
Na przykładzie platformy BCMLogic, według opisu modułu zarządzania ryzykiem, takie wsparcie obejmuje m.in.:
- rejestr ryzyk powiązany z procesami, aktywami (systemy IT, infrastruktura, dostawcy), istniejącymi zabezpieczeniami, strategią i planami postępowania,
- integrację z danymi o incydentach, analizą BIA i planami ciągłości działania – poziom prawdopodobieństwa może wynikać z liczby incydentów dotyczących procesu lub aktywa (zob. też zarządzanie ciągłością działania),
- poziom ryzyka z macierzy uwzględniającej prawdopodobieństwo i wiele typów wpływu,
- workflow z dynamicznie przydzielanymi uprawnieniami – użytkownicy widzą ryzyka zgodnie ze swoją rolą,
- bibliotekę KRI łączącą wskaźniki z danymi zbieranymi przez platformę (incydenty, awarie) oraz innymi systemami,
- dashboardy dla ról (zarząd, rada nadzorcza, dyrektorzy obszarów) i eksport do MS Excel,
- rozróżnienie zabezpieczeń istniejących i planowanych – zakończony plan postępowania staje się aktywnym zabezpieczeniem,
- powiązanie z ryzykiem dostawców.
System nie zastępuje decyzji – nadal to właściciel ryzyka wybiera strategię – ale porządkuje dane i proces tak, żeby decyzje zapadały szybciej i na pełniejszej informacji. Jest też naturalnym zapleczem dla wymogów takich jak NIS2/KSC czy DORA, które oczekują udokumentowanego, cyklicznego zarządzania ryzykiem.
Najczęstsze błędy w zarządzaniu ryzykiem
- Ryzyka opisane jako braki – „brak backupu” zamiast zdarzenia, przyczyny i skutku.
- Skale bez definicji – każdy rozumie „średni wpływ” inaczej, więc oceny nie są porównywalne.
- Rejestr bez właścicieli – ryzyko, za które nikt nie odpowiada, nie jest zarządzane.
- Jednorazowa ocena „na audyt” – rejestr powstaje raz w roku i nie żyje między przeglądami.
- Zakładanie, że kontrola działa – ocena rezydualna bez sprawdzenia, czy zabezpieczenie rzeczywiście jest skuteczne.
- Plany bez terminów i odpowiedzialnych – „wdrożyć zabezpieczenie” bez daty i osoby.
- Brak powiązania z incydentami – incydent się zdarza, a ocena ryzyka się nie zmienia.
FAQ
Czym różni się ryzyko od incydentu?
Ryzyko to możliwe zdarzenie, które jeszcze nie nastąpiło. Incydent to zdarzenie, które już się wydarzyło – ryzyko, które się zmaterializowało. Incydenty są cennym źródłem danych do oceny prawdopodobieństwa ryzyk.
Czy ISO 31000 jest obowiązkowa i można ją certyfikować?
Nie. ISO 31000 to wytyczne, a nie norma certyfikowalna. Można się do niej odwoływać w polityce zarządzania ryzykiem, ale nie przechodzi się certyfikacji. Obowiązki prawne wynikają z przepisów, takich jak NIS2 czy DORA, a nie z samej normy.
Jak często przeglądać rejestr ryzyka?
ISO 31000 nie narzuca częstotliwości – mówi o monitorowaniu i przeglądzie w całym procesie. W praktyce wiele organizacji robi pełny przegląd kwartalnie lub raz do roku, a dodatkowo ocenia ryzyka ad hoc po istotnym incydencie, zmianie procesu, nowym dostawcy lub zmianie przepisów. Najważniejsze, by częstotliwość była zapisana w polityce i przestrzegana.
Czy zarządzanie ryzykiem można prowadzić w Excelu?
Na początku tak – przy kilkunastu ryzykach i kilku właścicielach arkusz wystarcza. Wraz ze wzrostem liczby ryzyk, dostawców i wymogów trudno w nim utrzymać aktualność danych, historię zmian, zatwierdzenia i powiązania z incydentami.
Czym różni się zarządzanie ryzykiem od ERM?
ERM (Enterprise Risk Management) to zarządzanie ryzykiem w skali całej organizacji, zintegrowane ze strategią i raportowane na poziomie zarządu. To to samo podejście, ale stosowane spójnie we wszystkich obszarach, a nie osobno w każdym dziale.
Czym różni się KRI od KPI?
KPI mierzy, jak dobrze organizacja realizuje swoje cele. KRI mierzy, jak blisko jest zdarzenie, które mogłoby te cele zagrozić – jest wskaźnikiem wczesnego ostrzegania.
Podsumowanie
Zarządzanie ryzykiem to powtarzalny proces, a nie dokument: identyfikacja, analiza, ocena, postępowanie i monitorowanie, wsparte rejestrem, macierzą, właścicielami ryzyk i wskaźnikami KRI. Najwięcej wartości dają trzy rzeczy, które organizacje najczęściej pomijają: dobrze opisane ryzyka (zdarzenie, przyczyna, skutek), jednoznaczni właściciele oraz regularne przeglądy napędzane danymi, a nie kalendarzem audytów.
Przeczytaj też
- GRC – czym jest Governance, Risk & Compliance i jak działa w praktyce?
- NIS2 – wymagania i obowiązki organizacji. Co trzeba wdrożyć?
- KSC/NIS2 2026 – kogo dotyczą nowe przepisy i jakie obowiązki nakładają?
Sprawdź, jak może to wyglądać w Twojej organizacji
Jeśli Twoja organizacja prowadzi ryzyka w arkuszach i szuka sposobu na jeden, spójny rejestr z właścicielami, KRI i raportami dla zarządu, warto zobaczyć, jak wygląda to na platformie GRC. BCMLogic Solutions wspiera firmy z sektora finansowego i technologicznego w zarządzaniu ryzykiem operacyjnym, ciągłością działania i zgodnością regulacyjną – zgodnie z ISO 22301, ISO 27001 oraz wymogami takimi jak DORA i NIS2/KSC.
