Analiza ryzyka to etap zarządzania ryzykiem, w którym organizacja ustala, jak bardzo prawdopodobne jest dane zdarzenie i jak poważne byłyby jego skutki, z uwzględnieniem istniejących zabezpieczeń – i na tej podstawie określa poziom ryzyka. Przeprowadza się ją w kilku krokach: przygotowanie zakresu i kryteriów, identyfikacja ryzyk, określenie prawdopodobieństwa i wpływu, uwzględnienie kontroli, obliczenie poziomu ryzyka i udokumentowanie wyników. Wynik analizy trafia następnie do oceny ryzyka, która rozstrzyga, czy ten poziom jest akceptowalny.
W tym artykule pokazujemy, jak wygląda proces analizy ryzyka w praktyce: jak się do niego przygotować, jak identyfikować ryzyka, jak określać prawdopodobieństwo i wpływ, jakie metody analizy ryzyka można zastosować, jak uwzględnić istniejące zabezpieczenia i jak udokumentować wyniki. Szerszy kontekst – rejestr ryzyka, macierz, właściciele i KRI – opisujemy w osobnym przewodniku po zarządzaniu ryzykiem.
Co to jest analiza ryzyka?
Analiza ryzyka to proces zrozumienia natury ryzyka i określenia jego poziomu. Według normy ISO 31000 obejmuje ona szczegółowe rozważenie niepewności, źródeł ryzyka, skutków, prawdopodobieństwa, zdarzeń, scenariuszy oraz istniejących kontroli i ich skuteczności. W praktyce sprowadza się do pytań: co może się wydarzyć, jak często, jak bardzo by zabolało i co już mamy, żeby temu zapobiec lub złagodzić skutki.
Wynikiem analizy jest poziom ryzyka dla każdego zidentyfikowanego ryzyka – najczęściej wyrażony liczbą lub kategorią (niski, średni, wysoki, krytyczny). To na nim opiera się późniejsza decyzja, którymi ryzykami zająć się w pierwszej kolejności.
Analiza ryzyka jest wymagana lub oczekiwana przez wiele ram regulacyjnych. Dyrektywa NIS2 w Art. 21 wymienia analizę ryzyka jako pierwszy z dziesięciu obszarów środków bezpieczeństwa (szczegóły w artykule o wymaganiach NIS2), norma ISO/IEC 27001 wymaga zdefiniowanego procesu oceny ryzyka i zachowania udokumentowanych wyników, a w sektorze finansowym ryzyko ICT reguluje DORA.
Analiza ryzyka a ocena ryzyka – jaka jest różnica?
Ocena ryzyka (risk assessment) to całościowy proces składający się z trzech etapów: identyfikacji, analizy i ewaluacji ryzyka. Analiza ryzyka jest więc jednym z jego etapów – tym, który ustala poziom ryzyka. Ewaluacja natomiast porównuje ten poziom z kryteriami akceptowalności i rozstrzyga, co dalej.
W języku potocznym, a często też w dokumentach, „analiza ryzyka” bywa używana zamiennie z „oceną ryzyka”, a w polskich przepisach i opracowaniach spotyka się także określenie „szacowanie ryzyka”. Dlatego warto w polityce ryzyka wprost zapisać, co organizacja rozumie pod każdym z tych pojęć. W tym artykule trzymamy się podziału z ISO 31000: ocena ryzyka obejmuje identyfikację, analizę i ewaluację. W praktyce analiza i ocena ryzyka – czyli ustalenie poziomu ryzyka i decyzja, co z nim zrobić – prowadzi się razem, na tych samych danych.
Jak przygotować analizę ryzyka?
Najczęstszy powód słabych wyników analizy to przygotowanie na ostatnią chwilę: nikt nie ustalił zakresu, skale każdy rozumie inaczej, a dane są rozproszone. Przed pierwszym warsztatem warto uzgodnić sześć rzeczy:
- Zakres – czego dotyczy analiza: proces biznesowy, system, jednostka organizacyjna, dostawca. Węższy zakres daje dokładniejszy wynik.
- Cel i kontekst – po co robimy analizę (decyzja zarządu, wymóg KSC/NIS2, audyt, wymagania klienta) i jakie cele organizacji ryzyko może zagrozić.
- Kryteria ryzyka – skale prawdopodobieństwa i wpływu z opisanymi poziomami oraz progi: od jakiego poziomu ryzyko jest wysokie i kto je akceptuje.
- Zespół – właściciel procesu lub aktywa, osoba z IT lub bezpieczeństwa, przedstawiciel compliance, koordynator ryzyka. Analizę robi się z ludźmi, którzy znają proces, nie przy biurku.
- Dane wejściowe – analiza wpływu na biznes (BIA), rejestr aktywów i procesów, historia incydentów, wyniki audytów i testów, lista dostawców krytycznych, wymagania regulacyjne.
- Harmonogram i format – kiedy i w jakiej postaci zapisujemy wyniki, żeby później dało się je porównać i zaktualizować.
Jak identyfikować ryzyka?
Identyfikacja polega na znalezieniu ryzyk, które mogą utrudnić realizację celów w ustalonym zakresie. Punktem wyjścia jest łańcuch przyczynowy: źródło ryzyka (zagrożenie) wykorzystuje podatność, co prowadzi do zdarzenia, a to do skutku. Każde ryzyko opisujemy zdaniem: zdarzenie – przyczyna – skutek, tak aby dało się ocenić jego prawdopodobieństwo i wpływ.
Źródła informacji to m.in.: warsztaty z właścicielami procesów, przegląd aktywów i zależności (w tym dostawców), historia incydentów, wyniki audytów i testów podatności, zmiany regulacyjne. Norma IEC 31010 (techniki oceny ryzyka) opisuje kilkadziesiąt technik. Na początek wystarczy kilka:
Komentarz ekspercki BCMLogic: najczęstszy błąd na tym etapie to wpisywanie do listy braków zamiast ryzyk, np. „brak segmentacji sieci”. To podatność, a nie zdarzenie. Dopiero połączenie jej ze źródłem i skutkiem („atakujący po przejęciu jednego komputera rozprzestrzenia się po sieci i szyfruje serwery”) daje ryzyko, które da się ocenić.
Jak określić prawdopodobieństwo?
Prawdopodobieństwo to szansa, że zdarzenie wystąpi w określonym czasie. Zanim organizacja je oceni, powinna dokładnie ustalić, o jakie zdarzenie chodzi i w jakim horyzoncie czasowym – „atak ransomware, który skutecznie zaszyfruje serwer ERP w ciągu najbliższych 12 miesięcy” to coś innego niż „jakikolwiek incydent”. Norma IEC 31010 zwraca uwagę, że zdarzenie, którego prawdopodobieństwo oceniamy, powinno być zdefiniowane jasno i precyzyjnie.
Skalę najłatwiej zapisać jako częstotliwość. Przykład (skala ilustracyjna, każda organizacja dostosowuje ją do siebie):
Oceny nie powinny wynikać wyłącznie z przeczucia. Pomocne źródła to: historia incydentów w organizacji (ile razy do czegoś doszło i ile razy było blisko), dane branżowe i raporty o zagrożeniach, wyniki testów i audytów (np. ile podatności jest niezałatanych), opinie ekspertów zebrane w warsztacie. W systemach klasy GRC prawdopodobieństwo można powiązać z liczbą incydentów dotyczących danego procesu lub aktywa.
Jak określić wpływ?
Wpływ to skutek wystąpienia ryzyka. Zamiast oceniać go jednym „na oko”, warto rozbić go na kilka wymiarów, z których każdy ma opisane progi. Ocena końcowa to zwykle najwyższy z wymiarów – zachowawczo, bo jeden poważny skutek wystarczy, żeby ryzyko było istotne. Przykład skali ilustracyjnej:
Dane do oceny wpływu najlepiej brać z analizy wpływu na biznes (BIA): ile trwa maksymalny dopuszczalny przestój procesu, jakie są koszty godziny przestoju, od jakich systemów i dostawców proces zależy. Bez BIA ocena wpływu zwykle jest zaniżona dla ryzyk, które uderzają w procesy krytyczne.
Jak obliczyć poziom ryzyka?
Najczęściej poziom ryzyka oblicza się jako iloczyn prawdopodobieństwa i wpływu: poziom ryzyka = prawdopodobieństwo × wpływ. Na skali 5×5 wynik mieści się w przedziale 1-25 i przypisuje się go do kategorii według progów ustalonych przez organizację, np. 1-4 niski, 5-9 średni, 10-16 wysoki, 17-25 krytyczny. Wyniki nanosi się na macierz ryzyka.
Jakie metody analizy ryzyka można zastosować?
Dla większości organizacji dobrym punktem startu jest metoda półilościowa, a ilościową warto stosować do kilku najważniejszych ryzyk. Przykład obliczenia ilościowego: jeśli pojedyncza strata wyniesie 600 tys. zł, a zdarzenie zdarza się średnio raz na dwa lata (częstość 0,5 rocznie), oczekiwana roczna strata to 300 tys. zł.
Komentarz ekspercki BCMLogic: iloczyn dwóch skal porządkowych to konwencja do priorytetyzacji, a nie pomiar. Dwie różne pary (np. 5 × 2 i 2 × 5) dadzą ten sam wynik, choć opisują inne ryzyka. Dlatego przy ryzykach o wysokim wpływie warto patrzeć nie tylko na iloczyn, ale i na samą wartość wpływu.
Jak uwzględnić istniejące zabezpieczenia?
Poziom ryzyka zależy od tego, co organizacja już robi, by mu zapobiec lub złagodzić skutki. Dlatego analizuje się je na trzech poziomach: ryzyko inherentne – bez uwzględnienia kontroli, ryzyko rezydualne (szczątkowe) – po uwzględnieniu istniejących zabezpieczeń oraz ryzyko docelowe (ang. target risk) – poziom, który organizacja chce osiągnąć po wdrożeniu zaplanowanych działań. Inherentne pokazuje, ile ryzyka organizacja „przyjmuje” bez kontroli, rezydualne – ile realnie zostaje dziś, a docelowe – dokąd chce dojść.
Ryzyko docelowe to plan, a nie fakt: dopóki działania nie zostaną wdrożone i zweryfikowane, obowiązuje ocena rezydualna. Po wdrożeniu ryzyko ocenia się ponownie, a wynik staje się nowym ryzykiem rezydualnym.
Zgodnie z IEC 31010 warto odróżnić kontrole, które zmieniają prawdopodobieństwo, kontrole, które zmieniają skutki, i takie, które zmieniają jedno i drugie. Przykład: filtr poczty i szkolenia obniżają prawdopodobieństwo ataku, a kopie zapasowe odłączone od sieci nie zmniejszają szans na atak, ale skracają przestój po nim. Dla każdej kontroli warto odpowiedzieć na trzy pytania:
- Co dokładnie zmienia – prawdopodobieństwo, wpływ, czy jedno i drugie?
- Czy jest wdrożona i działa – czy to realny mechanizm, czy zapis w procedurze?
- Jaki mamy dowód skuteczności – test, audyt, wyniki monitoringu?
Kontrola bez dowodu skuteczności nie powinna obniżać oceny. Rozsądna zasada: skuteczna i przetestowana kontrola obniża odpowiedni parametr o jeden lub dwa poziomy, częściowo skuteczna – o jeden, nieprzetestowana lub zaprojektowana tylko na papierze – wcale. Zasadę warto zapisać w metodyce, żeby oceny były porównywalne.
Jak dokumentować wyniki analizy?
Dokumentacja jest dowodem, że analiza została przeprowadzona rzetelnie, i podstawą do jej powtórzenia. Norma ISO/IEC 27001 wymaga zachowania udokumentowanych informacji o procesie i o wynikach oceny ryzyka, a audytor lub organ nadzoru zwykle pyta nie tylko „jaki jest wynik”, ale „skąd się wziął”. W dokumentacji warto zapisać:
- zakres, cel i datę analizy oraz uczestników,
- zastosowane skale i kryteria (wraz z wersją metodyki),
- opis każdego ryzyka: zdarzenie, przyczyna, skutek, powiązany proces lub aktywo,
- prawdopodobieństwo i wpływ – inherentne, rezydualne i docelowe – wraz z uzasadnieniem i źródłem danych,
- istniejące kontrole i dowody ich skuteczności,
- przyjęte założenia i ograniczenia analizy,
- właściciela ryzyka i dalsze decyzje (przekazanie do ewaluacji i postępowania).
Wyniki trafiają do rejestru ryzyka, gdzie podlegają przeglądom i aktualizacji. W arkuszu łatwo o rozjazd wersji i brak śladu zmian; w systemie GRC każda zmiana oceny, akceptacja i komentarz zostają w historii. Kto odpowiada za dane ryzyko, najłatwiej utrzymać w strukturze organizacyjnej z przypisanymi właścicielami.
Przykład analizy ryzyka
Poniższy przykład prowadzi przez cały łańcuch: zagrożenie → ryzyko → prawdopodobieństwo → wpływ → kontrola → poziom ryzyka. Dotyczy fikcyjnej firmy usługowej (ok. 150 pracowników), procesu fakturowania i rozliczeń oraz systemu ERP z serwerem plików. Liczby i progi dobraliśmy na potrzeby artykułu, korzystając ze skal pokazanych wyżej.
Teraz uwzględniamy istniejące kontrole. Dla każdej oceniamy, co zmienia i jaki mamy dowód skuteczności:
Ocena po uwzględnieniu kontroli. Filtr, szkolenia i EDR razem obniżają prawdopodobieństwo o jeden poziom: z 4 do 3. Nie obniżamy go bardziej, bo dwie z trzech kontroli są tylko częściowo skuteczne, a segmentacji nie ma. Kopie offline z przetestowanym odtworzeniem w ok. 20 godzin skracają przestój do przedziału 4-24 h, czyli wpływ spada z 5 do 4.
Przerywana ramka: ryzyko inherentne (4 × 5 = 20). Ciągła ramka: ryzyko rezydualne (3 × 4 = 12). Kropkowana ramka: ryzyko docelowe (2 × 4 = 8). Progi: 1-4 niski, 5-9 średni, 10-16 wysoki, 17-25 krytyczny.
Wniosek z analizy. Kontrole obniżyły ryzyko z 20 do 12, ale ryzyko rezydualne nadal jest wysokie, czyli powyżej progu, który organizacja może zaakceptować bez decyzji zarządu. Analiza kończy się tu przekazaniem wyniku do ewaluacji. Naturalne kierunki postępowania, które wynikają z luk w tabeli kontroli: wdrożenie segmentacji sieci, ograniczenie uprawnień kont i ćwiczenie scenariusza odtworzenia. Segmentacja ogranicza rozprzestrzenianie się ataku, więc zaplanowane działania mają doprowadzić do ryzyka docelowego: prawdopodobieństwo 2, wpływ 4, czyli poziom 8 (średni) – w granicach, które właściciel ryzyka może zaakceptować bez decyzji zarządu. Po wdrożeniu ryzyko ocenia się ponownie, a jeśli cel został osiągnięty, ryzyko docelowe staje się nowym rezydualnym.
Najczęstsze błędy w analizie ryzyka
- Ryzyka opisane jako braki – „brak segmentacji” zamiast zdarzenia, przyczyny i skutku.
- Skale bez definicji – „średni wpływ” znaczy co innego dla każdego uczestnika, więc oceny nie są porównywalne.
- Zakładanie, że kontrola działa – obniżanie oceny z powodu zabezpieczenia, które nigdy nie było testowane.
- Brak podziału na ryzyko inherentne i rezydualne – nie widać, ile ryzyka „trzymają” kontrole i co się stanie, gdy któraś zawiedzie.
- Brak ryzyka docelowego – plan postępowania bez określenia, do jakiego poziomu ma obniżyć ryzyko, więc nie wiadomo, kiedy jest „zrobiony”.
- Ocena wpływu bez BIA – czas przestoju i koszty szacowane z głowy, zwykle za nisko.
- Analiza bez uzasadnień – sam wynik bez źródeł danych i założeń, którego nie da się obronić przed audytorem.
- Analiza jednorazowa – wykonana raz „na audyt”, bez aktualizacji po incydentach i zmianach.
FAQ
Czym różni się analiza ryzyka od oceny ryzyka?
Ocena ryzyka to cały proces: identyfikacja, analiza i ewaluacja. Analiza ryzyka jest jego środkowym etapem – ustala prawdopodobieństwo, wpływ i poziom ryzyka. Ewaluacja następnie porównuje ten poziom z kryteriami akceptowalności.
Jak często powtarzać analizę ryzyka?
ISO 31000 nie narzuca częstotliwości. W praktyce wiele organizacji aktualizuje analizę cyklicznie (kwartalnie lub raz do roku, zależnie od ryzyka) oraz każdorazowo po istotnym incydencie, zmianie procesu, nowym dostawcy lub zmianie przepisów. Częstotliwość warto zapisać w polityce i jej przestrzegać.
Jaką metodę analizy ryzyka wybrać?
Dla większości organizacji dobrym punktem startu jest metoda półilościowa (skale 1-5, poziom = prawdopodobieństwo × wpływ). Dla kilku najważniejszych ryzyk warto dodać analizę ilościową, o ile są dane. Metodę dobiera się do dostępnych danych i potrzeb decyzyjnych, a nie odwrotnie.
Kto powinien uczestniczyć w analizie ryzyka?
Właściciel procesu lub aktywa, osoba z IT lub bezpieczeństwa, przedstawiciel compliance i koordynator ryzyka, który prowadzi metodykę. Analizę robi się z ludźmi, którzy znają proces, a nie wyłącznie w dziale ryzyka.
Czy analiza ryzyka jest obowiązkowa?
Wynika z wielu wymagań: Art. 21 dyrektywy NIS2 (a w Polsce ustawy o KSC), norma ISO/IEC 27001, a w sektorze finansowym DORA oczekują udokumentowanego zarządzania ryzykiem, którego częścią jest analiza. Sama norma ISO 31000 jest wytyczną, nie obowiązkiem prawnym.
Czym różni się ryzyko inherentne, rezydualne i docelowe?
Ryzyko inherentne to poziom ryzyka bez uwzględnienia kontroli. Ryzyko rezydualne (szczątkowe) to poziom po uwzględnieniu istniejących zabezpieczeń – to ono podlega ewaluacji i decyzji o akceptacji lub dalszym postępowaniu. Ryzyko docelowe to poziom, który organizacja chce osiągnąć po wdrożeniu zaplanowanych działań; wyznacza cel planu postępowania.
Podsumowanie
Analiza ryzyka to nie jednorazowe wypełnienie tabeli, tylko powtarzalny sposób dojścia do poziomu ryzyka: jasny zakres i skale, dobrze opisane ryzyka, prawdopodobieństwo i wpływ oparte na danych, rzetelnie ocenione kontrole i dokumentacja, którą da się obronić. Największy zysk daje rozdzielenie ryzyka inherentnego, rezydualnego i docelowego oraz niezakładanie, że kontrola działa, dopóki nie ma na to dowodu.
Przeczytaj też
- Zarządzanie ryzykiem w organizacji – kompletny przewodnik
- KSC/NIS2 2026 – kogo dotyczą nowe przepisy i jakie obowiązki nakładają?
- GRC – czym jest Governance, Risk & Compliance i jak działa w praktyce?
- NIS2 – wymagania i obowiązki organizacji. Co trzeba wdrożyć?
Sprawdź, jak może to wyglądać w Twojej organizacji
Jeśli Twoja organizacja prowadzi analizę ryzyka w arkuszach i szuka sposobu na jedną, spójną metodykę z rejestrem, właścicielami i śladem audytowym, warto zobaczyć, jak wygląda to na platformie GRC. BCMLogic Solutions wspiera firmy z sektora finansowego i technologicznego w zarządzaniu ryzykiem operacyjnym, ciągłością działania i zgodnością regulacyjną – zgodnie z ISO 22301, ISO 27001 oraz wymogami takimi jak DORA i NIS2/KSC.
