Obserwuję, że polskie firmy – antycypując pogorszenie koniunktury – zaciskają pasa, tną wydatki, pozbywają się kosztotwórczych zasobów. Mam wrażenie, że niektóre zarządy dały się ponieść i rezygnując z niektórych przedsięwzięć ocierają się o funkcje krytyczne dla długofalowego funkcjonowania przedsiębiorstw. Jedną z takich funkcji jest oczywiście zarządzanie ryzykiem. Można ciąć, ale trzeba uważać żeby nie przeciąć rdzenia kręgowego …

Większość managerów już nauczyła się, że podczas „kryzysu” najłatwiej jest pozbyć się wydatków na marketing. Z łatwością można je obciąć nawet do zera, ale to równoznaczne z oddaniem pola nieco silniejszym konkurentom bez walki, oddanie im swojej części rynku. Ci, którzy mają twarde cojones i nie ograniczyli bez opamiętania kosztów marketingu stają się wtedy zdobywcami i wykupują rynek za pół darmo.

Kilka miesięcy temu pisałem o tym, jak budowlańcy zademonstrowali wzorcowy sposób popełniania harakiri poprzez ignorowanie fundamentalnych zasad zarządzania ryzykiem. Byłoby niedobrze, gdyby do budowlańców dołączyły teraz pozostałe sektory polskiej gospodarki. Ci, którzy dziś zaoszczędzą te kilka tysięcy złotych na zarządzanie ryzykiem, jutro pozbawią się kilku milionów.

Akurat tak się składa, że nadarza się doskonała okazja aby zaczerpnąć ze świeżych doświadczeń najwyższej próby risk managerów – strategów i praktyków biznesu. Forum Pionierów Zarządzania Ryzykiem – czyli tych, od których zarządzanie ryzykiem w Polsce się zaczęło, którzy są „starymi wyjadaczami”. Kolejna taka okazja najwcześniej za kilka lat, jeśli w ogóle będzie. Na początku kwietnia w Serocku pod Warszawą będziemy gościć ekspertów zarządzania ryzykiem działających na kilku kontynentach i w sposób doskonały łączących umiejętność optymalizacji procesów i produkcji na poziomie operacyjnym ze strategiczną wizją podejmowania ryzyka przez ich firmy. 

Nie wydasz dwóch tysięcy złotych, żeby sprawdzić co dzieje się u innych z Twojej branży ? Żeby krytycznie ocenić, jak z równie trudnymi sytuacjami radzą sobie koledzy z Australii, Anglii czy Ameryki Południowej ? Pozwolisz na to, żeby wszyscy Twoi konkurenci widzieli, że Cię tam nie ma ? Walkower nie wchodzi w grę.

Wasz w ryzyku,
R 

Dzisiaj – prawdopodobnie tak jak każdy inny członek Polrisk – otrzymałem od nowego składu zarządu draft strategii Stowarzyszenia na lata 2013 – 2015. Sławek, aktualny prezes, zauważył we wstępie, że to pierwsza zmiana strategii od momentu założenia Stowarzyszenia, kiedy jako pierwszy prezes miałem zaszczyt koordynować formułowanie pierwszego dokumentu tej rangi.

Dobrze, że coś „drgnęło” – lepiej późno niż wcale – i że nowy zarząd chętnie sięga po wzorce i źródła do których od lat próbowałem przekonywać – do rynku brytyjskiego. Obyśmy tylko zbyt wielkimi skokami nie próbowali dogonić tego, co Anglicy osiągnęli w 50 lat … Nie będę odnosił się bezpośrednio do całego dokumentu, skoro to draft i zaczyn do dyskusji. Mam jednak kilka refleksji bardziej natury ogólnej i filozoficznej …

Na wstępie Sławek przekonuje, że mimo, iż stowarzyszenia zagraniczne zrzeszają osoby pracujące jako „kupujący ubezpieczenia”, zorientowane na optymalizację programów ubezpieczeniowych, to w Polsce możemy tę równowagę zawodu menedżera ryzyka ubezpieczalnego i pozostałych ryzyk odpowiednio ukształtować. Osobiście jestem przekonany, że ani Polrisk, ani żadna inna organizacja nie będzie w stanie tej równowagi kształtować, tylko sam rynek – mechanizmy popytu na funkcje ubezpieczeniową i „korporacyjną” risk managementu, oraz wartość jaką zarządy będą w nich upatrywać.

W proponowanym nowym brzmieniu Misji pojawia się stwierdzenie „Ustalanie i upowszechnianie dobrych praktyk” ZR – moim zdaniem „ustalanie” jest na wyrost, bo to się dzieje cały czas w setkach firm, środowiskach biznesowych na świecie, na konferencjach, podczas kryzysów i zmian zarządów. Polrisk może – podobnie jak IRM, AIRMIC i wiele innych – wybierać jedynie najlepsze z tych doświadczeń i je promować. W tejże Misji boleśnie brakuje mi zapisu, który powinien znaleźć się jako pierwszy a nie ma go wcale: działania na rzecz samych członków, jako grupy zawodowej risk managerów lub osób odpowiedzialnych w firmach za funkcje / dziedzinę RM. W takiej formule jak proponowana, wszystkie cztery składowe misji są działaniami na rzecz rynku – firm, organizacji, a nie risk managerów.

W proponowanej definicji Wizji zastanawia mnie zawężenie do reprezentacji interesów osób wykonujących formalny zawód „menedżer ryzyka” w przedsiębiorstwach. Powszechnie wiadomo, że w ponad połowie firm funkcję ZR (niekiedy pod inna nazwą) powierzono komuś, kto jest audytorem, kontrolerem, księgowym, controllerem, ubezpieczeniowcem, compliance managerem i nigdy nie posiądzie „zawodu menedżera ryzyka”. Czy chcemy ich wykluczyć ? To strzał w kolano … Widziałbym w tym sformułowaniu raczej „osoby odpowiadające w przedsiębiorstwach i innych organizacjach za stworzenie i wdrożenie zasad oraz dobrych praktyk zarządzania ryzykiem gospodarczym”

Cele takie jak zaproponowano nie są „SMART”, ale zakładam, że to pierwsza przymiarka i czeka je jeszcze wiele zmian redakcyjnych oraz uzbrojenie w rasowe KPI. Wśród celów i zadań z nich wynikających bardzo brakuje mi inicjatyw ukierunkowanych bezpośrednio dla / na członków zarządów, a mających na celu uświadomienie im przesłanek, korzyści i potrzeby zarządzania ryzykiem oraz zatrudnienia fachowca w tej dziedzinie. Popyt na menedżerów ryzyka nie zależy od innych stowarzyszeń, mediów itp ale wyłącznie od członków zarządu, przyszłych pracodawców. 

Padła propozycja ustanowienia kodeksu etycznego risk managera. Być może jest w tym coś głębszego, czego nie widzę, ale zastanawiam się – po co ? Nie jesteśmy lekarzami, prawnikami, audytorami czy rewidentami. Czy risk manager to funkcja szczególnego zaufania w firmie lub społeczeństwie ? Moim zdaniem nie. To, czy risk manager będzie uczciwy wobec swojej firmy, czy zdobędzie się na odwagę żeby uświadamiać zarządowi nie tylko różowe ale i czarne scenariusze, czy będzie rzetelnym fachowcem – zależy od tego jakim jest człowiekiem, nie od spisanego kodeksu.

Zarząd chce aby rola POLRISK sprowadziła się do określania programu doskonalenia zawodowego i zakresu wiedzy na egzamin menedżera ryzyka, opracowania podręcznika, oraz wydawania akredytacji trenerom i programom szkoleniowym. Trzeba przyznać, że program i deklaracje są chwalebne i ambitne, ale jestem sceptyczny – kto konkretnie będzie to robił ? Będą potrzebne osoby stanowiące (stałe) ciało akredytujące, które muszą mieć wyższe kompetencje niż osoby i instytucje akredytowane. Może być kłopot ze znalezieniem i zwerbowaniem takich osób oraz ich dostępnością, kosztami itp. To bardzo dużo pracy, a zatem pieniędzy, kilka etatów …

Wracając do mojego wpisu na temat tłoku, jaki robi się w Europie wokół zagadnienia akredytacji i certyfikacji risk managerów, chyba nie jest rozsądnie wybiegać przed tych, którzy „rozdają karty” w Europie – tj przed trójcę AIRMIC / IRM / FERMA. Może się okazać, że my tu w Polsce odwalimy kawał dobrej ale nikomu nieprzydatnej (przedwczesnej) roboty … Ale mówią, że do odważnych świat należy i ostatecznie lepiej próbować „ujeżdżać” ten żywioł, być na fali, niż czekać dokąd nas zdryfuje.

I na koniec wielka radość z powodu proponowanego zapisu (i tu wyjątkowo go zacytuję): „Ukierunkowanie działań Stowarzyszenia na korzyści dla członków POLRISK.”

I tym optymistycznym akcentem …

Wasz w ryzyku,
R

Dziś zastanawiałem się ze wspólnikiem jak trafić z zarządzaniem ryzykiem pod strzechy średnich przedsiębiorstw – nie tylko tych dużych i gigantów.

Osobiście jestem orędownikiem prostych i stosunkowo niedrogich rozwiązań, w których da się wykazać za co konkretnie klient płaci oraz co konkretnie zyska. Trochę jak z kupowaniem telewizora: zapłacę o 990 zł więcej ale mam 46 zamiast 40 cali (mniej męczą sie oczy – dłużej wytrzymam przy 467-tym odcinku ulubionego serialu), zintegrowany dekoder cyfrowej telewizji naziemnej (200 PLN mniej bo nie potrzebuję dekodera), obsługę VOIP (odpadają wizyty w wypożyczalni filmów DVD – czas i paliwo) … itd.

Ale partner uświadomił mi, że nie zawsze przedsiębiorcy myślą tak racjonalnie. I rzeczywiście – sam pisałem o tym w kontekście samobójczych działań firm budowlanych, lub relacjonując książkę Nassima Taleba. Problemem – i największym wrogiem zarządzania ryzykiem – jest myślenie typu „Po co nam to zarządzanie ryzykiem, przecież u nas to się jeszcze nigdy nie zdarzyło„. „To” – czyli np. poważna awaria linii produkcyjnej, defraudacja pracownicza, pożar i ofiary w ludziach …

Mój partner odpowiada wtedy takim rozmówcom, że „on też jeszcze nigdy nie umarł”, ale to wcale nie znaczy, że nigdy nie umrze. Rudnicki – znany ze swojej przewrotności – powiedziałby nawet, że idąc śladem tej filozofii („ale u nas to się jeszcze nigdy nie zdarzyło”) można śmiało powiedzieć, że 60-latek ma znacznie większe szanse na nieśmiertelność niż 20-latek, bo ten ostatni może tylko powiedzieć „przez ostatnie 20 lat nie umarłem” podczas gdy pierwszy „ja już przez 60 lat nie umarłem”. Czym jesteśmy starsi tym więc wzrasta pewność, że nie umrzemy – jak wam się podoba taki rachunek prawdopodobieństwa ?

Teraz bardziej zrozumiałe staje się pojęcie „zarządzania niepewnością” promowane przez brytyjczyków jako zamiennik zarządzania ryzykiem …

Wasz w ryzyku,
R

Wczoraj uczestniczyłem w Walnym Zebraniu Stowarzyszenia Polrisk, z którym – jako jego współzałożyciel i pierwszy prezes – jestem związany nie tylko merytorycznie ale i nieco emocjonalnie. Dlatego pozwolę sobie na może trochę emocjonalny komentarz wczorajszego dnia.

Po rezygnacji Tomka z prezesury zastanawiałem się, czy nie zaproponować swojej osoby i oddania energii w zarządzie towarzyszenia, aby je wzmocnić. Myślałem nad tym dwie doby i decyzję o kandydowaniu właściwie podjąłem w pociągu do Warszawy, kilkadziesiąt minut przed Walnym. Ostatecznie nie zostałem wybrany (na czym Stowarzyszenie nie straci, bo moja oponentka Ewa jest doskonałym wyborem). Jednak nie w tym rzecz kto został wybrany, rzecz raczej w dyskusji jaką wywołała moja kandydatura i jaki był jej ton i przebieg. Spodziewałem się, że wysunięcie mojej kandydatury przez Mirka (za co dziekuję) wywoła spolaryzowanie członków za i przeciw. Dlatego przygotowałem pisemne informacje o mnie później rozdane członkom (kopia poniżej) i postanowiłem nie odpowiadać aktywnie na ewentualne ataki, gdyż Walne to nie miejsce do uprawiania swojej prywatnej polityki i dyskusji „jeden – na – jednego”.

Walne mamy za sobą, mogę więc się odnieść do zarzutów.

Potrafię zrozumieć, że jeden z członków zarządu mógł widzieć we mnie konkurenta do fotela prezesa, który odbierze mu przyjemność otwierania konferencji, wypowiadania sie w imieniu Polrisk i brylowania. Nie potrafię jednak zrozumieć zniżania się członka zarządu do proponowania niestatutowych posunięć aby tylko uniemozliwić wybór mojej osoby (jak odroczenie trwającyh właśnie wyborów uzpełniających aby dokonać „dalszych konsultacji w Stowarzyszeniu”, tym samym podważając najwyższą władzę Walnego). Poza tym obawy były trochę na wyrost – uważam, że prezes powinien być z Warszawy, z bardzo praktycznyh powodów.

Byłem również zniesmaczony posługiwaniem się nieprawdą i manipulacją przez menedżera projektu, broniącego w ten sposób swoich interesów a może rozgrywającego swoje prywatne animozje w stosunku do mojej osoby. Nieprawdą jest, że zarabiam na kursie, że wykorzystuję go komercyjnie i ciągnę z niego pieniądze. Od kiedy działam w formule spółki szkolę uczestników kursu Polrisk za darmo, hobbystycznie, oddając swój czas dla idei i z sentymentu dla Stowarzyszenia. Kurs nie jest dla mnie metodą sprzedaży i źródłem klientów – proszę wymień choć jednego klienta, którego zyskałem za pośrednictwem kursu … Natomiast faktem jest, że na każdej edycji kursu widzę sporo moich byłych lub aktualnych klientów – a to, że są oni na kursie wynika w pewnym stopniu właśnie z ich wcześniejszego kontaktu ze mną. Co więcej, jako jedynemu instytucjonalnemu trenerowi (tzn reprezentujacemu firmę, dostawcę usług) – z niewyjaśnionych dotąd powodów – odmówiono prawa umieszczenia swojego logo na materiałach kursu i witrynie Polrisk. Chyba czas to zmienić.

Wszyscy moi szanowni oponenci wydali się zapomnieć, że walne dotyczy interesów Stowarzyszenia, a nie interesów członka zarządu X czy koordynatora projektu Y. Stowarzyszenie nie jest prywatnym księstewkiem, folwarkiem. Nie jest dla zarządu i osób „funkcyjnych” lecz dla członków. Ci pierwsi bowiem pełnią rolę służebną w stosunku do członków i społeczności risk managerów. Wysiłek oponentów skierowany przeciwko mnie osobiście, odczytuję jako skutek ich niewiary w zdolność zarządu do wykazania otoczeniu biznesowemu w jakim działa Polrisk, że zarząd potrafi działać niezależnie od indywidualnych interesów. Być może ta reakcja została wywołana zaskoczeniem, że kandyduję. Strachem przed moimi tezami i deklaracjami o wprowadzeniu przejrzystych zasad dla wszystkich – również członków zarządu – oraz o poddaniu się zarządu otwartej ocenie społeczności risk managerów. Przyczyna chyba nie jest teraz ważna – ważne jest, że ciągle brakuje nam w tym środowisku dojrzałości.

Marzę o takim Stowarzyszeniu, w którym członkowie korzystają z imprez i benefitów za darmo lub prawie za darmo (np konferencje dla osób z zewnątrz za 2’000 PLN a dla członków za 200 PLN), w którym mamy członków z obszarów ubezpieczeń, audytu i kontroli wewnętrznej a tym samym mamy o czym ze sobą dyskutować, w którym członkowie zarządu lub nieliczni wybrani nie są tymi którzy zbierają śmietankę lecz ją rozdają członkom. Tak jestem idealistą, ale bez nich zmiany są niemożliwe.

Na koniec akcent bardzo optymistyczny: Polrisk zyskał moim zdaniem bardzo cennego członka zarządu w osobie Ewy. Świeża krew, doświadczenie z własnej sporej organizacji, aktywność naukowa, chęć eksperymentowania i podejmowania nowych inicjatyw. Całe szczęście Ewa, że jesteś kobietą i do tego zmienną 🙂 Życzę sukcesów.

Wasz w ryzyku,

R

——————–

WYBORY UZUPEŁNIAJĄCE SKŁAD ZARZĄDU – INFORMACJE O KANDYDACIE
RAFAŁ RUDNICKI

1. Kim byłem / jestem

1.1. Jestem jednym z pierwszych risk managerów w Polsce, zacząłem prawie 10 lat temu. Działania zmierzające do założenia Stowarzyszenia rozpocząłem na dwa lata przed faktycznym zawiązaniem naszej organizacji. Jestem współzałożycielem Polrisk i byłem przez kilka lat pierwszym prezesem zarządu Stowarzyszenia. Wchodząc do zarządu Polrisk przekazałem Stowarzyszeniu cała wiedzę i kontakty międzynarodowe, jakimi wtedy dysponowałem. Doprowadziłem do przekroczenia krytycznej liczby 50 członków Stowarzyszenia, gwarantującej przetrwanie tej społeczności.
1.2. Zawodowo przez pięć lat z ostatnich dziesięciu byłem risk managerem międzynarodowej grupy logistycznej a wprowadzony tam przeze mnie program zarządzania ryzykiem uzyskał tytuł najlepszego w Europie w roku 2008 (Strategic Risk Awards). Przez kolejne pięć lat doradzałem polskim przedsiębiorstwo w zarządzaniu ryzykiem lub częściowo przejmowałem od nich tę funkcję i zadania. Od roku, formułę risk managera „wolnego strzelca” przeobraziłem w spółkę zoo.
1.3. Jestem członkiem AIRMIC (brytyjskie stowarzyszenie risk managerów), byłem członkiem zarządu FERMA (federacja europejskich stowarzyszeń zarządzania ryzykiem) oraz jestem członkiem IRM (Institute of Risk Management w Londynie)

2. Co zamierzam zdziałać w zarządzie Polrisk

2.1. Mam zamiar doprowadzić do zmiany akcentów w działalności zarządu tak aby Stowarzyszenie w mniejszym stopniu było organizacją komercyjną, nastawioną na otoczenie, a w większym niż dotąd organizacją członków i dla członków, nastawioną na maksymalizację benefitów merytorycznych ale i materialnych dla członków.
2.2. Mam zamiar zaktywizować środowiska sąsiadujące z dziedzina zarządzania ryzykiem pod kątem szukania potencjalnych nowych członków Stowarzyszenia – mam na myśli środowisko menedżerów ubezpieczeń w przedsiębiorstwach, audytorów wewnętrznych (z których część odpowiada w firmach za wdrożenie systemu zarządzania ryzykiem) oraz pracowników działów kontroli wewnętrznej.
2.3. Mam zamiar postawić na transparentność oraz zbudowanie minimum zasad corporate governance w Stowarzyszeniu:- zasady funkcjonowania zarządu i ich członków- w tym zasady niełączenia działalności w Polrisk z inną działalnością zawodową- zasady prowadzenia projektów i wynagradzania członków stowarzyszenia- zasady rekrutacji pracowników i współpracowników oraz podwykonawców.
2.4. Mam zamiar przyjrzeć się możliwości zwiększenia efektywności działania Stowarzyszenia np. przez optymalizację form zatrudnienia, angażowania podwykonawców itp. 

3. Łączenie funkcji

Promowanie i stosowanie zasad transparentności ma zamiar rozpocząć od siebie samego. Deklaruję rozdzielenie funkcji współzarządzającego Stowarzyszeniem od funkcji współzarządzającego spółką Risk Logic, świadczącą usługi m.in. dla risk managerów. Podczas sprawowania funkcji w zarządzie Stowarzyszenia i decydowania w sprawach Stowarzyszenia mam zamiar kierować się wyłącznie interesem członków Stowarzyszenia. Dobrowolnie wstrzymam się od oddania głosu podczas głosowania uchwał zarządu dotyczących decyzji, które w najmniejszym stopniu dotyczą moich interesów lub interesów Risk Logic. Podobnej postawy będę oczekiwał od pozostałych członków zarządu. Ponadto, w sytuacji rodzących się wątpliwości dotyczących łączenia tych dwóch funkcji poddam spółkę Risk Logic kontroli lub audytowi przedstawiciela wytypowanego przez Polrisk w zakresie niezbędnym aby wykluczyć lub potwierdzić wątpliwości.

Od dłuższego czasu firmy z branży budowlanej, nawet te duże, padają jak kawki. Z satysfakcją ale i smutkiem odnotowuję, że mają za swoje – jeśli ich zarządy przez długi czas eksponowały je na ryzyko powyżej ich tzw Risk Capacity (pojemności na ryzyko) to nie można się było spodziewać niczego innego. W myśl zasady: „Jak przyjdzie czas, ryzyko jakie wyhodowałeś się o ciebie upomni„

Deweloperzy odczuwają oddziaływanie czynników ryzyka związanych z zewnętrznym otoczeniem biznesowym, np.:

• ostrą konkurencję, która wymusza niską marżę na prowadzonych pracach,
• niespodziewane wzrosty cen asfaltu, cementu, paliwa i stali,
• szybkie kurczenie się rynku przetargów w infrastrukturze.

Przykre, bo w większości były to ryzyka przewidywalne i zarządzalne. W efekcie swoich zaniedbań firmy budowlane odnotowują:

• niższą dynamikę sprzedaży i mniejsze zyski,
• zatory płatnicze i zwiększenie liczby tzw. trudnych długów,
• niechęć instytucji finansujących, które bardzo sceptycznie podchodzą do firm z branży budowlanej.

Wiem z wiarygodnego źródła, że mimo tak alarmującej sytuacji rynku budowlanego, 45% przedsiębiorstw budowlanych nadal nie jest zainteresowanych zarządzaniem ryzykiem ! Gdybym był ich właścicielem zastanowiłbym się, czy zarządom ignorującym zasady zarządzania ryzykiem nie należy już postawić zarzutu działania na szkodę spółki.

Jedną z cech specyficznych spółek budowlanych w aspekcie ich modeli biznesowych, jest ścisły związek pomiędzy ryzykami taktycznymi realizującymi się w obrębie jednego projektu budowlanego a ryzykiem strategicznym dotykającym całej firmy, w obszarze finansów, reputacji i zagrożeń prawnych. Zatem nie tylko powinno się aktywnie zarządzać obiema grupami ryzyk, ale śpiewająco odczytywać i integrować ich wzajemne oddziaływanie na siebie – to już wyższa szkoła jazdy. Wchodzenie za wszelką cenę w kontrakty na granicy opłacalności wymaga doskonałego rozpoznania i opanowania ryzyk nowych przedsięwzięć. Umiejętne zarządzanie ryzykiem będzie również niezbędne, aby skorzystać z nowej fali inwestycji modernizacyjnych w energetykę  w Polsce. Na dzień dzisiejszy to poziom kompetencji chyba przekraczający możliwości rodzimych budowlańców.

Ewidentnie, na tym wymagającym rynku przetrwają niekoniecznie najwięksi, ale najlepiej przystosowani i najlepiej zarządzający ryzykiem. Obserwujmy ring …

Wasz w ryzyku,

R

Egzamin o jakim pisałem zdany, z niezlym wynikiem. Gratulacje dla drugiego risk managera z Polski, który w tym samym czasie rownież zakończył z sukcesem egzaminy.

Wakacyjne pobyty w krajach obcych nam kulturowo również uczą – pokory, innego pojmowania ryzyka i poszerzają horyzonty.

Jednak wakacje się kończą – czas wykorzystać wiedzę w pracy. I czas przyciągnąć wiedzę IRM do Polski – niebawem.

Wasz w ryzyku,

R

Kilka dni temu otrzymałem wstepną wersję normy ISO 31004, która jest pomyślana jako przewodnik do normy 31000, mający pomóc w jej implementacji w spółkach, gdzie zarządzanie ryzykiem się jeszcze nie dzieje, lub w ujednoliceniu dotychczasowego „wyspowego” podejścia do zarządzania ryzykiem lub do przejścia np. z mocno już leciwego COSO II na nowy i lśniący ISO 31000.

Dokument jest jednym z najobszerniejszych w swojej klasie, jakie są dostępne na rynku – ma 120 stron. Ale też jest to bardziej książka i przewodnik niż sucha norma, można się z tego dokumentu sporo nauczyć. U dołu tego wpisu podaję spis treści, gdyż na tym etapie obawiam się, że restrykcje związane z prawami autorskimi i regulacjami ISO nie pozwalają na więcej. 

Pokrzepiające jest to, że już w takiej formie (która pewnie będzie jeszcze ewoluować) jest to dokument satysfakcjonujący i rzetelnie przygotowany. Składa się z części głównej, ogólnej i kilkunastu technicznych załączników poświęconych konkretnym aspektom dyscypliny zarządzania ryzykiem. Oprócz „oklepanych” już narzędzi jak HAZOP lub FMEA wspomina się tam równiez o metodzie BowTie. Miałem oczywiście kilkanaście uwag, ale najistotniejsza z nich dotyczy braku konkretnej, jednoznacznej propozycji jak pogodzić rózne definicje ryzyka jakimi posługuje się np. bezpieczeństwo informacji, BHP i zarządzanie ryzykiem korporacyjnym.

Ostatni aneks (K) adresowany jest do regulatorów – przydałoby się, aby twórcy regulacji dotyczących kontroli zarządczej i zarządzania ryzykiem w sektorze finansów publicznych pochylili się nad ISO 31004 …

Jeszcze przez 5 dni (do 6 sierpnia) można komentować projekt, a swoje uwagi przesyłać bezpośrednio do Julii Graham, wiceprezydenta FERMA i członka Risk Management Steering Group w AIRMIC ./julia.graham@dlapiper.com/

Wasz w ryzyku,
R

Contents

0.1 Purpose of this International Standard 
0.2 Underlying concepts 
0.3 Audiences 
1 Scope 
2 Normative references
3 Implementing ISO 31000
3.1 General 
3.2 Detailed advice on aspects of ISO 31000
3.3 How to change to ISO 31000
3.4 Transition process
3.4.1 General 
3.4.2 Step 1: Establish clear intent for the change
3.4.3 Step 2: Appreciate the characteristics of the organization to be taken into account in making changes to its existing risk management framework
3.4.4 Step 3: Evaluate existing approaches for managing risk 
3.4.5 Step 4: Develop or amend internal standards
3.4.6 Step 5: Prepare the plan 
3.4.7 Step 6: Implement the plan
3.4.8 Step 7: Periodic review of progress, suitability and effectiveness
3.5 Continual Improvement4 Relationship between this International Standard and ISO 31000:2009

Annex A (informative) How to give effect to the principles
A.1 General 
A.2 The principles 
A.2.1 (a) Risk management creates and protects value
A.2.2 (b) Risk management is an integral part of all organizational processes
A.2.3 (c) Risk management is part of decision making
A.2.4 (d) Risk management explicitly addresses uncertainty
A.2.5 (e) Risk management is systematic, structured and timely
A.2.6 (f) Risk management is based on the best available information
A.2.7 (g) Risk management is tailored
A.2.8 (h) Risk management takes human and cultural factors into account
A.2.9 (i) Risk management is transparent and inclusive
A.2.10 (j) Risk management is dynamic, iterative and responsive to change
A.2.11 (k) Risk management facilitates continual improvement of the organization

Annex B (informative) How to express mandate and commitment (including defining risk management policy)
B.1 General 
B.2 Methods for expressing mandate and commitment
B.2.1 Required characteristics
B.2.2 Useful methods
B.2.3 Framework considerations
B.3 Tips and Examples
B.3.1 Example of risk management policy announcement — small organization
B.3.2 Example of policy statement — large organization — set by directors
B.3.3 Example of policy statement — large organization — set by the CEO
B.3.4 Example of policy for managing risk – Government department – set by chief executive
B.3.5 Tips

Annex C (informative) How to ensure that the framework remains current
C.1 General
C.2 Methods
C.2.1 Assess implementation
C.2.2 Assess if the characteristics and context of the organization have changed
C.2.3 Monitoring of implementation
C.2.4 Monitoring against performance indicators
C.2.5 Acting to improve the framework
C.3 Examples of how internal or external changes can require adjustment of the framework

Annex D (informative) How to establish the context (including defining risk criteria)
D.1 General
D.2 Methods for establishing the context 
D.2.1 How to articulate objectives 
D.2.2 How to articulate the external and internal environment 
D.2.3 How to identify stakeholders and their objectives
D.2.4 Articulating the context of the risk management process 
D.2.5 Defining risk criteria 
D.2.6 The statement of context
D.3 Illustrative examples

Annex E (informative) How to make risk assessment effective
E.1 Risk assessment
E.1.1 General
E.1.2 Method 
E.1.3 Implementation considerations
E.2 Risk identification 
E.2.1 General
E.2.2 Method 
E.2.3 Implementation considerations
E.3 Risk analysis 
E.3.1 General
E.3.2 Method 
E.3.3 Implementation considerations
E.4 Control effectiveness
E.5 Consequence analysis
E.6 Likelihood analysis
E.7 Risk evaluation
E.7.1 General
E.7.2 Method
E.7.3 Implementation considerations

Annex F (informative) How to consider uncertainties around risk treatments and controls
F.1 General
F.2 Methods for considering uncertainty
F.2.1 Recognising how uncertainty arises 
F.2.2 Taking uncertainty into account 
F.3 Framework considerations 
F.4 Tools to assist consideration of uncertainty

Annex G (informative) How to monitor and review the risk management framework and process
G.1 General
G.2 Method
G.2.1 Monitoring and reviewing the framework 
G.2.2 Monitoring and reviewing the process
G.3 Framework considerations
G.3.1 General
G.3.2 Independent audit
G.4 Process considerations

Annex H (informative) Effectively communicating and consulting with stakeholders
H.1 General
H.2 Method
H.3 Framework and implementation considerations
H.4 Examples and applications

Annex I (informative) How to use ISO 31000:2009, Annex A, to maintain and improve risk management effectiveness
I.1 General 
I.2 Methods for using Annex A to maintain and improve performance 
I.2.1 General 
I.2.2 Outcome tests
I.2.3 Attributes tests 
I.3 Framework considerations

Annex J (informative) How to harmonize risk management processes in other standards with ISO 31000:2009 
J.1 Background
J.1.1 General 
J.1.2 Benefits of harmonization
J.1.3 Types of standards that include risk management processes
J.2 Method for achieving the harmonization role of ISO 31000
J.2.1 General
J.2.2 Specific challenges
J.2.3 Guidance 
J.3 Framework considerations
J.4 Particular tools 
J.4.1 Useful “filtering” tools

Annex K (informative) How to apply ISO 31000 to legislating and to regulatory activity
K.1 General 
K.1.1 Purpose 
K.1.2 Expected benefits
K.2 Method 
K.2.1 Giving effect to ISO 31000 principles 
K.2.2 Enhancing the risk management framework
K.2.3 Applying the risk management process
K.2.3.1 General guidance on aspects of applying the risk management process 
K.3 Implications for framework 
K.4 Other information 
K.4.1 Advisory organizations 
K.4.2 Proportionality 

Annex L (informative) Frequently asked questions

Właśnie zauważyłem w nagłówku MOJEGO bloga CZYJEŚ reklamy. To tak, jakby do domu weszły mi szczury. Wypada mi jedynie przeprosić wszystkich gości tego bloga, czytelników, za tę nieprzyjemność i obiecać, że postaram się je wytępić. Już w tej sprawie zresztą wystosowałem list do redakcji tego portalu, która jakby nie było powinna mieć nad nim kontrolę.

Mam dośc radykalny stosunek do reklam – lubię czasem, sporadycznie obejrzeć reklamy ładnych samochodów lub scenki w reklamach Plusa, ale to wyjątki. Osobiście, uważam, że reklamy pojawiające się w radio, telewizji i internecie powinny być ustawowo zabrononione, ponieważ stanowią pogwałcenie podstawowej wolności obywatelskiej. Nie tylko dlatego, że ktoś próbuje mnie zmanipulować, spowodować że kupię produkt nie taki jakiego potrzebuję tylko produkt najbardziej sprytnego i zachłannego producenta, który w ten sposób okrada mnie z moich pieniędzy.

Ale przede wszystkim dlatego, że muszę na nie patrzeć i ich słuchać mimo, że tego nie chcę. To trochę tak, jakbym przyszedł do restauracji, zamówił pstrąga z grila i będąc w połowie konsumpcji został fizycznie zmuszony, żeby zjeść porcję kaszanki, której być może nienawidzę, zanim mogę powrócić do konsumpcji pstrąga. Podobnie – podczas konsumpcji deseru muszę przerwać i zjeść znienawidzone grzybki w occie.

Przy okazji – serdecznie polecam wszystkim blok reklamowy z „Dnia świra”.

Uważam, że reklamodawcy powinni płacić nam, widzom i słuchaczom za oglądanie ich reklam i powinniśmy je ogladać tylko jeśli tego sobie wyraźnie zażyczymy.

Wasz w ryzyku,

R

Szanowna redakcji tego portalu,

Podczas czterech lat trwania tego portalu miałem 53 tysiące gości, co przekłada się na 36 gości dziennie. Jeśli każdy z nich musiałby oglądać niechciane reklamy, czułbym się lepiej gdyby otrzymał z tego tytułu rekompensatę w wysokości powiedzmy 50 słotych. Jeśli gazeta.pl jest skłonna ponieść z tego tytułu miesięczny koszt około 54 tys PLN i rozdystrybuować taką kwotę pomiędzy odwiedzających ten blog, byłoby to rozwiązanie fair. W innym razie to poprostu chamstwo, którego nienawidzę i z którym będę musiał cos zrobić.

Rafał Rudnicki

——————————-

30.07.2012

Sytuacja się wyjaśniła:

„Witam,

uprzejmie informuję, iż reklamy na blogu mogą być wyświetlane po 30 dniach 
nieaktywności (brak nowych wpisów). Po opublikowaniu nowego wpisu reklamy
przestają być wyświetlane. 

Pozdrawiam, Łukasz S.
Specjalista ds. Obsługi Klienta" 

Czyli jeśli lokator – na przykład taki Rudnicki, przez 30 dni nie pojawia się w wynajmowanym
lokalu (niniejszy portal), to właściciel lokalu (gazeta.pl) może go lekko poszczuć szczurami,
spowodować, żeby zainteresował się lokalem i go odświeżył …

Bardzo pomysłowe i przyznam się, że na mnie działa jak prąd elektryczny.
 

Dzisiaj wróciłem z jubileuszowej konferencji IIA obchodzącego 10-cio lecie. Czego szukałem wśród audytorów ? Otóż rynek polski różni się od brytyjskiego tym, że w Anglii zarządzanie ryzykiem wyrosło z ubezpieczeń, a w Polsce wygląda na to, że najsilniejszym środowiskiem w przedsiębiorstwach, orędującym na rzecz zarządzania ryzykiem – są właśnie działy audytu wewnętrznego, które jako jedyne mają przynajmniej pojęcie na temat ERM oraz czują, że potrzebują zarządzania ryzykiem aby sprawnie funkcjonować. Dlatego bądźmy im wdzięczni, menedżerowie ryzyka …

Pozazdrościć można rozmachu, wodotrysków, ilości członków i wartości merytorycznej konferencji. Jednak mimo, że organizacja jest doświadczona, ciągle jest przesiąknięta duchem spontaniczności, który czasem powoduje, że outsider może czuć się zagubiony – np. brak harmonogramu wykładów, początkowo nieoznakowane sale wykładowe, dość swobodne przesunięcia czasowe paneli i półanonimowy charakter uczestnictwa, do którego nie potrafiłem się przyzwyczaić (delegaci otrzymali jedynie plakietki z nazwiskiem ale już bez nazwy swojej firmy bądź instytucji).

Zostałem zaproszony do udziału w jednym z paneli dyskusyjnych, który okazał się dość ciekawy i bardzo znamienny dla nas, risk managerów. Podczas panelu miałem przyjemność nie zgodzić się z Konradem Krajewskim, Dyrektorem Biura Audytu i Zarządzania Ryzykiem Korporacyjnym PKN Orlen. Okazuje się, że dział audytu wewnętrznego w Orlen „wchłonął” funkcję zarządzania ryzykiem i zrobił to z przekonaniem, że czyniąc to jest w awangardzie najnowszych dobrych praktyk. Ja z kolei przedstawiłem pogląd, że jest to krok wstecz, oraz że zarządzanie ryzykiem jest formułą, zbiorem reguł służących podejmowaniu decyzji biznesowych w przedsiębiorstwie podczas gdy audyt wewnętrzny powinien trzymać swoje ręce jak najdalej od podejmowania decyzji.

Trochę rozszerzę ten wątek ponad to, co powiedziałem podczas panelu. Ryzykiem zasadniczo nie zarządza menedżer ryzyka (który sprawuje funkcję koordynatora) lecz management liniowy, operacyjny, o czym juz pisałem. W tym sensie zgadzadzałem się z Panią Dorotą z TVN (niestety nie przytoczę nazwiska, gdyż prowadzący panel nie przedstawił żadnego z panelistów, stad rozmawialiśmy ze sobą trochę incognito). Skoro struktura ramowa i jej uczestnicy mają podejmować ryzyko, podejmować decyzje na temat ryzyka to struktura ta musi od samego dołu do góry składać się z funkcji wykonawczych (kierownicy, dyrektorzy, ew komitet ds ryzyk a na końcu zarząd). Przeciwwagę stanowi cała infrastruktura audytu wewnętrznego, począwszy od komórki audytu wewnętrznego aż po komitet ds audytu (będący organem, funkcją rady nadzorczej). Ilustruje to powyższy diagram.

Pan Konrad następnie nieco złagodził wymowę swojej wypowiedzi i powołując się na wszystkim dobrze znany „wachlarz” promowany przez IIA Global, uściślił, że audyt wewnętrzny przejął w Orlen jedynie jego środkową część, która warunkowo może być koordynowana przez audyt wewnętrzny.

Proszę zwrócić uwagę, że środkowa część wachlarza mówi o typowych funkcjach risk managera, w tym o stworzeniu Strategii ZR. O co jeśli strategia okaże się wpadką ? Czy audyt wewnętrzny sam się po roku krytycznie oceni i zaproponuje zwolnienie autorów strategii ZR ? A jak ma powstać strategia bez zarysowania procesu ZR i wyznaczenia apetytu na ryzyko (a to już prawa część wachlarza, teoretycznie niedozwolona dla audytorów) ?

Na panelu byłem gotowy przyjąć kompromis, który zresztą zakomunikowałem, że w organizacjach dojrzałych, gdzie nie ma problemu projektowania systemu ZR, wyznaczania i decydowania na temat jego elementów, audyt wewnętrzny od biedy może przejąć funkcje „facilitatora” jak to był uprzejmy nazwać Pan Konrad. Jednak w organizacjach młodych w aspekcie ZR, to moim zdaniem dla działu audytu wewnętrznego strzał we własne kolano. A miałem już możliwośc oglądać takie rany postrzałowe – wyglądają niedobrze i bolą paskudnie.

Wasz w ryzyku,

R

Ostatnio zetknąłem się z kilkoma próbami wdrożenia w polskich spółkach zarządzania ryzykiem w oparciu o koncepcje kontroli wewnętrznej, gdzie ZR miało być traktowane jako rozszerzenie czy funkcja wsparcia dla KW. To moim zdaniem zabójcza dla ZR tendencja wynikająca z jednej strony z wygodnictwa dużych firm konsultingowych uczestniczących we wdrożenia a z drugiej z małej wiedzy i doświadczenia osób, którym w przedsiębiorstwach powierza się zadanie zbudowania systemu ZR, a zwykle są to osoby naturalnie związane ze służbami kontroli wewnętrznej.

Zarządzanie ryzykiem – to wciąż raczkujący organizm w warunkach polskiej gospodarki wolnorynkowej, która istnieje od zaledwie 20 lat. Tym bardziej dużo wolniej postępuje wdrażanie owego „zjawiska” – jakim nazywany bywa proces zarządzania ryzykiem – w sektorze finansów publicznych, gdzie pojęcie to zostało wprowadzone formalnie w 2009 roku (nowelizacja ustawy o finansach publicznych). Traktowanie ZR jako rozszerzenia kontroli wewnętrznej czy ZR jako funkcja KW, wynika więc z naturalnej kolejności dochodzenia do sprawności przedsiębiorstwa (lub jednostki finansów publicznych) w obszarze ZR. Nie widzę więc błędu w takim podejściu, zakładając, że przedsiębiorstwo z czasem zdecydowanie rozdzieli zadania kontroli wewnętrznej od zadań zarządzania ryzykiem. 

Jestem zdania, że to stawianie sprawy na głowie – środowisko kontrolne i podejście urzędnicze, jakie przyjmuje się jedynie w bardzo sformalizowanych korporacjach, nie sprzyja świadomemu zarządzaniu ryzykiem oraz podejmowaniu inicjatywy i odpowiedzialności przez kadrę kierowniczą.

Posługując sie swego rodzaju synonimem, w moim przekonaniu – to właśnie stawianie sprawy na nogach, a dokładniej na podstawie – podstawie piramidy potrzeb Maslowa. Zarządzanie ryzykiem dla wielu polskich przedsiębiorstw stanowi szczyt tej piramidy. Podstawą, punktem wyjścia, od dawna znaną sprawnością, a przede wszystkim powszechnie stosowaną praktyką jest więc funkcja kontroli wewnętrznej. Naturalnym stanem wydaje się dojrzewanie zarządzania ryzykiem w środowisku kontroli wewnętrznej. Kontroli wewnętrznej, która w swych założeniach, ma za zadanie sprawdzić jak jest – z tym jak powinno być. Można założyć, że decyzja o powierzeniu zadania budowania systemu ZR kontrolerom, w naturalny sposób wynika z prostej logiki:  jest źle, ma być dobrze. W takim momencie myśli kierujących przedsiębiorstwem biegną właśnie w stronę kontroli wewnętrznej która, przynajmniej w założeniach, ma poprawiać rzeczywistość. Podejście urzędnicze ma swoje dobre strony, które mogą stanowić o sile sprawnego i świadomego zarzadzania ryzykiem. Moim zdaniem, urzędnicze podejście to nie tylko negatywnie odbierane niewychylanie się ze sztywnych ram. To też taka umiejętność formalnego podejścia, które na etapie raportowania i monitorowania staje się kluczową wartością. 

W projektowanych systemach ZR opartych o KW, którym miałem możliwość się przyjrzeć, najczęściej brakuje następujących, istotnych elementów lub ich wystarczającego rozwinięcia:

• przede wszystkim etapu/elementu menedżerskiego decydowania o ryzykach – tym samym zmieniania firmy i brania odpowiedzialności za decyzje (rozliczania za nie)
• dopracowanej koncepcji, w jaki sposób będzie mierzona skuteczność właścicieli ryzyk w ZR
• często również konkretnych (nazwanych) i przemyślanych metod, technik i narzędzi jakich będzie się używać podczas analizowania, kwantyfikowania i reagowania na ryzyko.

Taki najbardziej charakterystyczny przypadek z jednej ze znanych polskich firm, cechował się następującymi słabościami:

• próba opomiarowania ryzyk do granicy absurdu – mimo, że ryzyka nie zmieniają się na tyle szybko aby wszystkie mierzyć „real-time”
• struktura zarządcza skonstruowana tak, że wszystkie decyzje dotyczące istotnych ryzyk ogniskują się na poziomie zarządu (bardzo łatwo doprowadzić wtedy do  sytuacji, w której Zarząd staje się wąskim gardłem SZR i zamiast wpływać na jego  sprawność, spowalnia jego działanie)
• w procedurach (procesie) ZR brakuje decyzji o nominowaniu konkretnego właściciela ryzyka za nie odpowiedzialnego – zarówno na etapie oceny ryzyk, jak i na dalszych etapach (reakcja na ryzyko)
• dyrektorzy nie mają przez to inicjatywy, nie podejmą działań bez wcześniej przeprowadzonej kontroli lub audytu i otrzymania wniosków pokontrolnych; są tym samym zwolnieni z obowiązku zarządzania ryzykiem
• ZR jest traktowane jako funkcja służebna w stosunku do KW – a powinno być odwrotnie
• w procesie ZR (wzorowanym na COSO II) nie został zaakcentowany etap reagowania na ryzyko (risk response) a pojawia się od razu etap kontrolowania (control activities). Etap odpowiedzi na ryzyko (świadomej decyzji menedżerskiej) jest bezwzględnie konieczny i musi być mocno wzaakcentowany jako funkcja/odpowiedzialność menedżerska
• środki kontroli ryzyka funkcjonują jako procedury oderwane od ryzyk, ewentualnie są analizowane jedynie jako część planu kontroli wewnętrznej
• inicjatywy związane z reagowaniem na ryzyko są ograniczane do „działań kontrolnych” w rozumieniu np. COSO a nie do pełnego spektrum reakcji menedżerskich na ryzyko (tak jakby istniały tylko tzw „control risks”)

• Komitetowi ds Ryzyka nadaje się  kompetencje merytoryczne Właścicieli ryzyk, których Komitet nie ma. 

Nawiasem mówiąc, jeśli do obowiązków Komitetu miałoby należeć na przykład formułowanie propozycji dotyczących sposobu postępowania z ryzykiem korporacyjnym oraz zatwierdzanie opracowanych odpowiedzi na ryzyko, to Komitet powinien dysponować większymi kompetencjami merytorycznymi w obszarze poszczególnych ryzyk niż ich właściciele – a tak nigdy nie będzie. W jego skład wchodzą bowiem zwykle te same osoby, które są właścicielami ryzyk a ponadto kierownictwo z obszarów wsparcia (finanse, administracja, audyt, inwestycje, sprzedaż), które nie mają niezbędnej wiedzy merytorycznej. 

Dlaczego słychać tu bardzo wyraźny zgrzyt – piasku po szkle ? ZR z założenia zajmuje się obszarem niepewności a KW obszarem już rozpoznanych (wystandaryzowanych) zjawisk i zdarzeń. KW z założenia jest pasywna – ma za zadanie weryfikować  (kontrolować) zgodność postępowania i rozwiązań z pewnymi wzorcami, procedurami a ZR z założenia jest aktywne – służy zmienianiu lub tworzeniu nowych rozwiązań, procedur lub wzorców postępowania. Są to zadania i cele rozłączne.

Podejście kontrolne do zarządzania ryzykiem – bazujące na procedurach, monitorowaniu, czynnościach kontrolnych – osłabia właściwą kulturę organizacyjną, sprzyjającą ZR. Podejście menedżerskie – bazujące na obowiązku podejmowania czytelnej postawy wobec ryzyk, decyzji i brania za nie odpowiedzialności –  buduje ją. Monitorowanie i kontrolowanie to działanie reaktywne, bierne a nie proaktywne, jakie są pożądane przy zarządzaniu ryzykiem.

Podejście kontrolne do zarządzania ryzykiem – bazujące na procedurach, monitorowaniu, czynnościach kontrolnych – daje faktyczną, realną podstawę do menadżerskiego podejścia. Dostateczna ilość a przede wszystkim jakość i rzetelność informacji, daje podstawę do podejmowania właściwych decyzji. Takie podejście, daje pozytywne efekty w początkach wdrażania zarządzania ryzykiem w jednostkach sektora finansów publicznych, gdzie kultura organizacji jest mocno sformalizowana, sztywna i z trudem przyjmująca zmiany. Opisanie nowych zadań związanych z procesem zarządzania ryzykiem nie tylko w formie ustawy, ale też standardów, wytycznych, komunikatów a w kolejności skrupulatną kontrolę realizacji tych zapisów – daje wyraźny sygnał o ważności zjawiska. 

Zarządzanie ryzykiem bazuje na decyzjach i odpowiedzialności menedżerów a nie na funkcjach kontrolnych lub wsparcia. Aby tak się stało, należy zbudować bezpośrednią relację pomiędzy jakością ryzyk określonego właściciela, efektywnością środków kontroli za które odpowiada, oceną „performance” tego menedżera i jego systemem motywacyjnym. Już „wiekowy” Turnbull Guidance o tym wspomina. Innymi słowy – konieczne jest przejście od fazy „conform” do „perform”.

Zgodnie z z COSO II, kontrola wewnętrzna jest integralną częścią (służebną w stosunku do) zarządzania ryzykiem – do tego momentu jestem zwolennikiem COSO II. Jednak dokument ten ma zasadniczo kontrolny i urzędniczy charakter – kładąc nieproporcjonalnie duży akcent na kontrolę wewnętrzną. Powszechna krytyka COSO II wskazuje, że jedną ze słabości tego dokumentu – oprócz nierozróżniania pomiędzy „procesem” a „strukturą” ZR, jest wprowadzenie zamieszania interpretacyjnego jeśli chodzi o czynności „risk response”, „control activities” oraz „monitoring”.

Docelowa relacja obu funkcji (ZR i KW) powinna uwzględniać następujący uproszczony proces:

• analiza strategiczna (kontekst dla ZR)
• identyfikacja i analiza ryzyk (wyznaczenie właścicieli ryzyk – dyrektorzy i kierownicy)
• decyzja i implementacja pełnej reakcji na ryzyko (działanie menedżerskie właścicieli ryzyk, nie kontrolne)
• dopiero na tym etapie wkracza funkcja kontroli wewnętrznej, żeby kontrolować i raportować, czy plany zaradcze (środki kontrolne) są właściwie wdrażane i wykonywane (rola służebna kontroli wewnętrznej w stosunku do ZR)
• niezależnie od powyższych, funkcja audytu wewnętrznego powinna monitorować funkcjonowanie samego systemu ZR (nie tylko ryzyka).

Monitorowanie ryzyk przez audyt wewnętrzny można odbierać na dwóch płaszczyznach. Stwierdzenie powyższe, sugeruje pojmowanie funkcji audyt wewnętrznego jako tej części przedsiębiorstwa, która jest najlepiej zorientowana w obszarze wszelkich ryzyk. Nie należy jednak mylić ryzyka identyfikowanego, analizowanego i monitorowanego przez audyt wewnętrzny w odniesieniu do badanych procesów z mnogością ryzyk występujących w jednostce i będących w obszarze zainteresowania ZR. Ryzyko w audycie wewnętrznym jest silnie powiązane z przyjętym planem audytu, odnosi się do celów poddanych badaniu audytowemu. Audyt wewnętrzny powinien zatem monitorować (i najczęściej monitoruje) funkcjonowanie procesu zarządzania ryzykiem – procesu będącego jedynie narzędziem do osiągnięcia celów do których dąży przedsiębiorstwo. 

głos pierwszy: wasz w Ryzyku – R

oraz głos drugi: Agnieszka Mrozik