Z półtoramiesięcznym opóźnieniem spowodowanym przez Wielką Chmurę zjawił się w Polsce Kevin Knight, współautor AS/NZS 4360 oraz współtwórca ISO 31000, o którym już pisałem.
Poczytuję to za źródło mojej osobistej satysfakcji, gdyż wypalił pomysł „sprzedania” Stowarzyszeniu Polrisk mojego wieloletniego – choć dotąd niezbyt pielęgnowanego – kontaktu z Kevinem, jaki nawiązałem jeszcze na Forum FERMA w Lizbonie. Kevin spędził w Polsce trzy dni, z czego cały dzień 07 czerwca i cały dzień 09 czerwca rozmawiał z nami na temat praktycznych aspektów wdrażania ISO 31000 w firmie. Niby dla mnie już „stary” temat, ale jednak było warto przyjechać – wynotowałem kilka nowych spostrzeżeń.
Dlaczego to menedżerowie operacyjni (a nie tylko menedżer ryzyka) powinni czuć się odpowiedzialni za zarządzanie ryzykiem ? „The risk makers and the risk takers should be the risk managers„.
W kontekście znanej zasady, że identyfikacja ryzyk powinna być osadzona w strukturze celów biznesowych, zapytałem co Kevin sądzi o tezie wyprowadzonej przez Paula Hopkina w jego nowej książce. W skrócie teza mówi, że wyprowadzanie ryzyk z (ich identyfikacja na podstawie) wyłącznie celów biznesowych nie jest wystarczająco dobra. Paul argumentuje, że należy rozpocząć od celów biznesowych oraz interesów stakeholders, z których wynikają procesy biznesowe przebiegające w firmie, bazujące na zależnościach (np ze światem zewnętrznym). Stąd ryzyk należy również szukać w zależnościach i procesach. Kevin zgodził się z tą tezą, podkreślając, że identyfikując ryzyka nie należy patrzeć tylko do wewnątrz firmy (jak to np dzieje się w COSO) lecz również na zewnątrz – np przez wspomniane zalezności. Opowiadając o ISO 31000 Kevin podkreślał wagę nie tylko informowania ale i konsultowania wszystkich działań i aspektów ryzyka podczas wdrażania struktur ramowych ERM. Ten „duplexowy” aspekt komunikowania spełnia wielką rolę wyczucia interesów stakeholders oraz percepcji ryzyka przez kluczowych graczy w firmie.
Padło z sali ciekawe pytanie jak się ma w Australii wprowadzanie ISO 31000 do małych i średnich firm bez rozbudowanych struktur corporate governance. Kevin przyznał, że w gospodarkach o korzeniach anglosaskich (np USA, Anglia, Australia czy RPA) zasady corporate governance – w tym wymóg zarządzania ryzykiem – są wymuszone przez otoczenie prawne i regulatorów, a tym samym egzekwowanie ERM – nawet wśród małych firm – jest tam znacznie łatwiejsze.
Niby banał, ale ciekawa refleksja: wśród tzw „residual risks” (do dziś nie znalazłem dobrego polskiego odpowiednika), są również ryzyka dotąd niezbadane (tzw „emerging risks„) lub nawet nieuświadomione (tzw „unknown unknowns„) – stąd ta pozostałość może się w kluczowym momencie okazać znacznie większa i bardziej zabójcza, niż wyobraża sobie zarząd firmy …
Bezpośrednio po opublikowaniu ISO 31000 (a konkretnie w listopadzie zeszłego roku) opublikowano uzupełniający dokument ISO 31010 – „Risk Assessment Techniques”. Jak mówił mi Kevin, dokument jest praktycznym przewodnikiem po gąszczu metod i narzędzi, wsród których dotąd łatwo było się zgubić początkującym menedżerom ryzyka. Mimo, że w pogoni za terminem publikacji (miał on być jak najbliższy publikacji normy 31000) utracono część wartości merytorycznej jaką dokument mógł nieść, wypełnia on lukę jakiej nie wypełniała porządnie żadna z dotychczasowych praktyk ERM. Kevin zapowiedział, że podczas najbliższego przeglądu standardu 31010 (w roku 2012) nastąpi jego uzupełnienie i rozwinięcie jego pełnego potencjału.
Kolejną dla mnie nowością była informacja, że prawdziwe ERM zaczęło się w Australii nie od wielkich międzynarodowych korporacji, ale od instytucji państwowych, gdyż nie było im wolno kupować ubezpieczenia – musiały więc sobie radzić inaczej. Z kolei głos Ani Słodczyk uzupełnił tę informację o spostrzeżenie, że ISO 31000 idealnie wpisuje się w wymogi stawiane przed jednostkami finansów publicznych przez nową regulację dotyczącą kontroli zarządczej (Komunikat 23).
Znając awersję Kevina do COSO II – ERM Framework i pasję, z jaką krytykuje ten dokument, z zaciekawieniem czekałem na wielki finał (gdyby do niego nie doszło miałem sam zamiar wyciagnąć trupa z szafy i zadać pytanie nt COSO). I rozczarowałem się – Kevin wypowiedział się w niebywale polityczny sposób, że COSO nie sprawdziło się w wiekszości sektórów, gdzie zarządzanie finansami nie było krytyczne. Podczas dyskusji na Forum FERMA w Pradze atak na COSO był frontalny, miażdżący i bezkompromisowy …
W materiałach, jakie przekazał autor można znaleźć mnóstwo intersujących źródeł i „ściąg”:
– źródła ryzyk i wskazówki gdzie ich szukać
– przykład wielowymiarowego definiowania skali skutku
– checklista możliwych interesariuszy
– kilkustronnicowa lista książek i witryn internetowych z materiałami do ściagnięcia.
ryzyko jest piękne 
