Rejestr ryzyka to centralny zapis ryzyk organizacji wraz z ich oceną, właścicielami, istniejącymi kontrolami i planami działań. Powinien zawierać co najmniej: identyfikator, opis ryzyka (zdarzenie, przyczynę i skutek), właściciela, prawdopodobieństwo i wpływ, istniejące kontrole, ryzyko rezydualne, działania i termin. Prowadzi się go jako dokument żywy: tworzony na podstawie analizy ryzyka, przeglądany cyklicznie i po każdym istotnym incydencie, z jedną nazwaną osobą odpowiedzialną za każdy wpis.
W tym artykule wyjaśniamy, czym jest rejestr ryzyk (ang. risk register), jakie pola powinien zawierać, jak go tworzyć i jak często aktualizować, kto odpowiada za wpisy, kiedy wystarcza Excel i kiedy warto przejść na system GRC. Pokazujemy też przykładowy rejestr ryzyka z trzema rekordami. Szersze tło – proces, macierz i wskaźniki KRI – opisujemy w przewodniku po zarządzaniu ryzykiem.
Czym jest rejestr ryzyka?
Rejestr ryzyka (rejestr ryzyk, ang. risk register) to uporządkowany zapis wszystkich zidentyfikowanych ryzyk organizacji. Dawny słownik terminów ISO (Guide 73:2009) definiował go jako zapis informacji o zidentyfikowanych ryzykach, a ta definicja jest do dziś powszechnie stosowana. W praktyce to tabela lub baza, w której każde ryzyko ma jedno miejsce, jedną nazwaną osobę odpowiedzialną i aktualną ocenę.
Rejestr jest wynikiem analizy ryzyka i jednocześnie narzędziem codziennej pracy: z niego powstają listy priorytetów, macierz ryzyka i raporty dla zarządu. Nie jest dokumentem jednorazowym – traci wartość w chwili, gdy przestaje być aktualizowany.
Czym rejestr ryzyka nie jest?
Rejestr ryzyka bywa mylony z innymi dokumentami, które prowadzi organizacja:
Po co organizacji rejestr ryzyka?
Rejestr ryzyka daje organizacji sześć konkretnych korzyści:
- Jedno źródło informacji – zamiast ryzyk rozproszonych po arkuszach działów i w głowach pracowników.
- Priorytety – widać, którymi ryzykami zająć się najpierw i które przekraczają próg akceptacji.
- Odpowiedzialność – każde ryzyko ma właściciela, plan i termin, więc nie ginie między działami.
- Ciągłość – kolejne przeglądy porównują stan z poprzednim, więc widać, czy ryzyko rośnie, czy maleje.
- Raportowanie – zarząd dostaje spójny obraz zamiast kilku niezgodnych zestawień.
- Dowód – udokumentowany wynik analizy, który można pokazać audytorowi lub organowi nadzoru.
Normy i regulacje zwykle opisują wymaganie jako udokumentowaną analizę ryzyka i jej wyniki, a nie jako konkretny format dokumentu. Rejestr ryzyka jest najczęściej stosowaną formą takiej dokumentacji. Norma ISO/IEC 27001 wymaga zachowania udokumentowanych informacji o wynikach oceny ryzyka i postępowania z ryzykiem. Dyrektywa NIS2 w Art. 21 wymienia analizę ryzyka wśród wymaganych środków, a Art. 20 zobowiązuje zarząd do ich zatwierdzania i nadzoru – szczegóły opisaliśmy w artykule o wymaganiach NIS2. W sektorze finansowym ram zarządzania ryzykiem ICT wymaga rozporządzenie DORA.
Co powinien zawierać rejestr ryzyka?
Minimalny zestaw pól pozwala odpowiedzieć na kilka pytań: co może się wydarzyć, dlaczego, z jakim skutkiem, kto za to odpowiada, jak duże jest ryzyko, co już je ogranicza i co jeszcze zrobimy, do kiedy.
Poza tymi polami warto rozważyć dodatkowe: kategorię ryzyka, powiązany proces lub aktywo, poziom ryzyka inherentnego (przed kontrolami) obok rezydualnego, ryzyko docelowe, strategię (unikanie, ograniczanie, transfer, akceptacja), status (otwarte, w postępowaniu, zaakceptowane, zamknięte), powiązane KRI, źródło ryzyka (audyt, incydent, warsztat) oraz uzasadnienie oceny. Im więcej pól, tym trudniej utrzymać rejestr w aktualności, dlatego pola obowiązkowe powinny być wypełniane zawsze, a pozostałe tam, gdzie wnoszą wartość.
Przykładowy rejestr ryzyka – trzy rekordy
Poniżej przykładowy rejestr ryzyka fikcyjnej firmy usługowej. Dane są ilustracyjne, a skale i progi zgodne z przykładami z naszych artykułów: skale 1-5, poziom ryzyka = prawdopodobieństwo × wpływ, progi: 1-4 niski, 5-9 średni, 10-16 wysoki, 17-25 krytyczny.
Jak czytać ten rejestr. W R-021 i R-024 kontrole obniżają ryzyko do poziomu średniego, więc właściciel może je zaakceptować w granicach swoich uprawnień, a zaplanowane działania obniżą je jeszcze bardziej. R-027 po uwzględnieniu kontroli nadal ma poziom wysoki (10), czyli wymaga decyzji zarządu albo pilniejszych działań – to ono powinno być najwyżej na liście priorytetów, mimo że nie ma najwyższego poziomu inherentnego.
Jak tworzyć rejestr ryzyka?
Rejestr najlepiej budować w kilku krokach, w tej kolejności:
- Ustalić zakres i metodykę – skale prawdopodobieństwa i wpływu z opisanymi poziomami, progi poziomów ryzyka, apetyt na ryzyko oraz zasady akceptacji (kto akceptuje które ryzyka).
- Zaprojektować strukturę – pola obowiązkowe i dodatkowe, listy wyboru (kategorie, statusy, strategie) i zasady wypełniania, wspólne dla wszystkich jednostek.
- Zebrać ryzyka – warsztaty z właścicielami procesów, wyniki analizy wpływu na biznes (BIA), historia incydentów, wyniki audytów i testów, lista dostawców krytycznych, zmiany regulacyjne. Każde ryzyko opisujemy zdarzeniem, przyczyną i skutkiem.
- Ocenić ryzyka – prawdopodobieństwo i wpływ, istniejące kontrole z dowodem skuteczności, ryzyko inherentne i rezydualne.
- Przypisać właścicieli i działania – jedna nazwana osoba na ryzyko, plan postępowania z terminem, decyzja o akceptacji zgodna z progami.
- Zatwierdzić rejestr – zarząd lub komitet ryzyka zatwierdza metodykę i progi, a wskazane osoby otrzymują dostęp zgodny z rolą.
- Ustalić rytm przeglądów i raportowania – kto, kiedy i w jakiej formie aktualizuje wpisy oraz komu raportuje wyniki.
Komentarz ekspercki BCMLogic: na start wystarczy kilkanaście ryzyk dla najważniejszych procesów, opisanych dobrze, a nie kilkaset wpisanych w pośpiechu. Rejestr łatwiej rozbudować niż naprawić – słabe opisy i nieporównywalne oceny z pierwszej wersji ciągną się potem przez lata.
Jak często aktualizować rejestr ryzyka?
Aktualizacja ma cztery rytmy, które się uzupełniają:
ISO 31000 nie narzuca częstotliwości – mówi o monitorowaniu i przeglądzie w całym procesie – więc ustala ją polityka organizacji i tam powinna być zapisana. Dyrektywa NIS2 oczekuje regularnej oceny skuteczności wdrożonych środków (Art. 21 ust. 2 lit. f), więc rejestr aktualizowany tylko przed audytem nie spełnia tej roli. W każdym wpisie warto przechowywać datę ostatniego i planowanego przeglądu.
Kto powinien odpowiadać za ryzyka w rejestrze?
Za każde ryzyko odpowiada jedna nazwana osoba – właściciel ryzyka. Powinna to być osoba, która realnie wpływa na proces lub aktywo, którego ryzyko dotyczy (zwykle dyrektor lub kierownik obszaru), a nie automatycznie dział bezpieczeństwa lub ryzyka. Dział ryzyka dostarcza metodykę i narzędzia. Pełny podział ról opisaliśmy w przewodniku po zarządzaniu ryzykiem, a przypisanie właścicieli ułatwia struktura organizacyjna, w której każdy proces, ryzyko i kontrola mają wskazaną osobę. W kontekście rejestru podział czynności wygląda następująco:
Rejestr zawiera informacje wrażliwe, m.in. opisy luk w zabezpieczeniach, więc dostęp do niego powinien wynikać z roli: właściciele widzą swoje ryzyka, koordynator całość, zarząd widok zbiorczy.
Rejestr ryzyka w Excelu – kiedy wystarcza?
Excel wystarcza na początku i w małej skali. Sprawdza się, gdy:
- ryzyk jest kilkanaście lub kilkadziesiąt,
- rejestr prowadzi jedna osoba lub mały zespół,
- ryzyka dotyczą jednej jednostki lub jednego obszaru,
- nie ma wymogu szczegółowego śladu zmian i formalnych akceptacji,
- raporty dla zarządu są proste i rzadkie.
Żeby arkusz działał dłużej, warto zadbać o kilka rzeczy: listy rozwijane zamiast wpisywania z ręki, formuły poziomu ryzyka w zablokowanych kolumnach, jedną wersję pliku w repozytorium z kontrolą dostępu (a nie kopie w mailach), kolumnę z datą przeglądu oraz osobny arkusz ze skalami i progami. Granice możliwości arkusza dobrze pokazuje porównanie:
Kiedy warto przejść na system GRC?
Przejście warto rozważyć, gdy co najmniej kilka z poniższych sytuacji dotyczy organizacji:
- rejestr prowadzi kilka osób lub jednostek i pojawiają się konflikty wersji,
- potrzebne są formalne akceptacje i ślad audytowy (audyt, certyfikacja, regulator),
- ryzyka mają być powiązane z procesami, aktywami, dostawcami i incydentami, a nie tylko opisane tekstem,
- prawdopodobieństwo ma wynikać z danych, np. z historii incydentów, a nie wyłącznie z szacunku,
- zarząd oczekuje bieżącego obrazu ryzyka, a przygotowanie raportu zajmuje dni,
- organizacja podlega wymogom takim jak NIS2/KSC lub DORA i musi wykazywać, że zarządza ryzykiem cyklicznie.
Na przykładzie platformy BCMLogic, według opisu modułu zarządzania ryzykiem, rejestr w systemie obejmuje m.in.: powiązanie ryzyk z procesami i aktywami (systemy IT, infrastruktura, dostawcy), istniejącymi zabezpieczeniami, strategią i planami postępowania; poziom ryzyka z macierzy uwzględniającej prawdopodobieństwo i wiele typów wpływu; workflow z dynamicznie przydzielanymi uprawnieniami; bibliotekę KRI; dashboardy dla ról (zarząd, rada nadzorcza, dyrektorzy obszarów) z eksportem do MS Excel oraz rozróżnienie zabezpieczeń istniejących i planowanych.
System nie zastępuje decyzji – nadal to właściciel ryzyka wybiera strategię – ale porządkuje dane i proces. Samo przejście warto wykorzystać do uporządkowania opisów ryzyk i skal, zamiast przenosić do systemu stare braki.
Najczęstsze błędy w prowadzeniu rejestru ryzyka
- Ryzyka opisane jako braki – „brak backupu” zamiast zdarzenia, przyczyny i skutku.
- Rejestr bez właścicieli – albo z właścicielem „IT”, czyli nikim konkretnym.
- Działania bez terminów – „wdrożyć zabezpieczenie” bez daty i osoby.
- Oceny bez uzasadnienia – sam wynik, bez źródeł danych, którego nie da się obronić.
- Mieszanie ryzyk z incydentami i zadaniami – zdarzenia, które już zaszły, i zwykłe zadania do wykonania trafiają do rejestru ryzyk.
- Zbyt wiele pól i wpisów – rejestr, którego nikt nie jest w stanie aktualizować.
- Brak historii – nie wiadomo, jak ocena zmieniała się w czasie ani kto ją zatwierdził.
- Rejestr „na audyt” – powstaje raz w roku i nie żyje między przeglądami.
FAQ
Czym różni się rejestr ryzyka od analizy ryzyka?
Analiza ryzyka to proces, który ustala prawdopodobieństwo, wpływ i poziom ryzyka. Rejestr ryzyka to zapis wyników tej analizy oraz narzędzie bieżącej pracy: z kontrolami, właścicielami, działaniami i terminami.
Czy rejestr ryzyka jest obowiązkowy?
Normy i regulacje, takie jak ISO/IEC 27001, NIS2 czy DORA, zwykle wymagają udokumentowanej analizy ryzyka i jej wyników, a nie konkretnego formatu dokumentu. Rejestr ryzyka jest najczęściej stosowaną formą takiej dokumentacji i w praktyce trudno bez niego wykazać cykliczne zarządzanie ryzykiem.
Ile ryzyk powinien zawierać rejestr?
Liczba zależy od wielkości i złożoności organizacji. Na start wystarczy kilkanaście ryzyk dla najważniejszych procesów, dobrze opisanych i ocenionych, a rejestr rozbudowuje się z czasem. Liczy się jakość wpisów i możliwość ich aktualizowania, a nie liczba wierszy.
Czy rejestr ryzyka to to samo co rejestr informacji DORA?
Nie. Rejestr informacji DORA (Art. 28 ust. 3) dotyczy umów z dostawcami usług ICT. Rejestr ryzyka obejmuje ryzyka organizacji we wszystkich obszarach. Dane z rejestru informacji mogą jednak zasilać ocenę ryzyka dostawców.
Kto powinien mieć dostęp do rejestru ryzyka?
Dostęp powinien wynikać z roli: właściciele widzą swoje ryzyka, koordynator ryzyka cały rejestr, zarząd widok zbiorczy. Rejestr zawiera informacje wrażliwe, m.in. o lukach w zabezpieczeniach, więc nie powinien być dostępny dla wszystkich.
Czy rejestr ryzyka można prowadzić w Excelu?
Tak, na początku i w małej skali – przy kilkunastu lub kilkudziesięciu ryzykach i jednym zespole. Gdy rośnie liczba ryzyk, właścicieli i wymogów dotyczących śladu audytowego, arkusz przestaje wystarczać.
Podsumowanie
Rejestr ryzyka jest wart tyle, ile jego aktualność: dobrze opisane ryzyka (zdarzenie, przyczyna, skutek), nazwany właściciel przy każdym wpisie, kontrole z dowodem skuteczności i terminy działań. Największą różnicę robią dwie rzeczy, które organizacje najczęściej pomijają: rytm przeglądów zapisany w polityce oraz aktualizacja po każdym istotnym incydencie.
Przeczytaj też
- Zarządzanie ryzykiem w organizacji – kompletny przewodnik
- GRC – czym jest Governance, Risk & Compliance i jak działa w praktyce?
- NIS2 – wymagania i obowiązki organizacji. Co trzeba wdrożyć?
Sprawdź, jak może to wyglądać w Twojej organizacji
Jeśli Twoja organizacja prowadzi rejestr ryzyka w arkuszach i szuka sposobu na jeden, spójny rejestr z właścicielami, KRI, akceptacjami i raportami dla zarządu, warto zobaczyć, jak wygląda to na platformie GRC. BCMLogic Solutions wspiera firmy z sektora finansowego i technologicznego w zarządzaniu ryzykiem operacyjnym, ciągłością działania i zgodnością regulacyjną – zgodnie z ISO 22301, ISO 27001 oraz wymogami takimi jak DORA i NIS2/KSC.
