Prawie cztery lata temu wyciągnąłem na światło dzienne zasady ZR obowiązujące w kolejnictwie, dziś spoglądam w przestworza – chodzi o przyjętą dwa lata temu przez Ministerstwo Obrony Narodowej „Metodykę Zarządzania Ryzykiem w Lotnictwie Sił Zbrojnych RP” (MZR-2010).

Zgodnie z informacjami przekazanymi przez gen broni, Dowódcę Sił Powietrznych, Lecha Majewskiego podczas wywiadu udzielonego portalowi dlapilota.pl, powstanie tych zasad było konsekwencją refleksji nad przyczynami katastrofy lotniczej pod Smoleńskiem. Metodyka obejmuje wszystkie aspekty funkcjonowania lotnictwa sil zbrojnych, gdyż jak zapisano „ma zastosowanie w całym zakresie działań na ziemi i w powietrzu” i jest  dokumentem przeznaczonym dla „personelu latającego, technicznego i zabezpieczającego oraz biorącego udział w planowaniu i realizacji działań lotniczych” – integrującym praktykę ZR ze wszystkimi procesami decyzyjnymi dotyczącymi operacji lotniczych. Innymi słowy, zasady ZR mają być procesem wspierającym podejmowanie decyzji w lotnictwie wojskowym, zupełnie jak w biznesie.

Tak jak ISO 31000 wspomina o 11 zasadach ZR, a IRM w swoich materiałach szkoleniowych sprowadza je do 5 zasad (zwanych PACED), to lotnictwo przyjmuje 4 podstawowe zasady ZR:

• celem jest efektywne wykonanie zadania lotniczego przy możliwie najmniejszych stratach własnych sił i środków
• nie akceptowanie zbędnego ryzyka
• akceptowanie ryzyka w sytuacji gdy korzyści są większe od ewentualnych strat
• zgodny z najlepszymi praktykami sposób rozproszenia właścicielstwa na poszczególnych szczeblach zarządczych: „podejmowanie decyzji związanych z danym poziomem ryzyka na odpowiednich szczeblach”.

Proces ZR i jego etapy nie odbiegają od ogólnie przyjętej metodyki, choć pojawiają się pierwsze ślady specyfiki wojskowej: identyfikacja zagrożeń, ocena ryzyka, minimalizowanie ryzyka, podejmowanie decyzji, wprowadzanie decyzji, nadzorowanie i kontrola zmian.

Trochę nielogiczne wydaje się najpierw „minimalizowanie ryzyka” a potem „podejmowanie decyzji”, ale to pierwsze oznacza w praktyce rozważanie jak ryzyko zminimalizować, jakie działania podjąć, a drugie podjęcie faktycznej decyzji o działaniu. Przy definicji minimalizacji ryzyka po raz pierwszy pojawia się odniesienie do trzech, a nie dwóch parametrów oceny ryzyka: prawdopodobieństwa, dotkliwości i ekspozycji – czyli identycznie jak to zaproponowano w metodykach wykorzystywanych w realizacji normy „BHP”: ISO 18000. Ekspozycja – nieco odmiennie niż w ISO 18000 – została tu zdefiniowana jako „wartość określająca, jaka liczba osób lub sprzętu jest narażona na straty w czasie występowania zagrożenia”. Decyzja nt postępowania z ryzykiem zostaje podjęta w oparciu o kompleksową analizę kosztów i efektów – czyli zgodnie z dobrymi praktykami.

W szczegółowym opisie etapu identyfikacji zagrożeń widać, że lotnicy przyjęli swoją własną, charakterystyczną filozofię ZR: punktem odniesienia są nie tyle cele biznesowe czy procesy, ale zadania. Zagrożeniem jest to, co w kontekście konkretnego zadania może sprowadzić: częściowe lub całkowite niewykonanie zadania, uszkodzenia ciała lub śmierć personelu bądź straty materialne.

Z zasad zapisanych w „Metodzie” można wyłuskać ślady znanych metod, jakie bez wątpienia tutaj wykorzystano:

• elementy FMEA w przyjętym toku rozumowania: od zadań, do listy zagrożeń i dalej do listy ich przyczyn, gdzie po przeprowadzeniu analizy zadania należy stworzyć listę jego podstawowych faz (tak jak w modelu FMEA dzielimy produkcję na podprocesy, segmenty)
• elementy diagramu Ishikawa, a przynajmniej wzorca 5M: „Man – człowiek; Media – środowisko; Machine – sprzęt; Mission – zadanie; Management – zarządzanie”

Przyjęty rejestr ryzyka (zwany tutaj Arkuszem Zarządzania Ryzykiem – AZR) zawiera klasyczne składowe: Etapy realizacji zadania -> Zagrożenia -> Przyczyny -> Prawdopodobieństwo -> Dotkliwość -> Indeks ryzyka, ale z kolei nie widać składowej „ekspozycja” o jakiej była mowa na początku dokumentu. Brak konsekwencji w wojsku ?
Pokazując jak szacować prawdopodobieństwo, Metoda MZR-2010 dość sprytnie uciekła od problemu trzeciego składnik (ekspozycji), który pojawia się w metodyce bezpieczeństwa pracy i nijak nie pasuje do klasycznej, dwuskładnikowej metody wyliczania ryzyka promowanej w nadrzędnym ISO 31000. Założono bowiem uwzględnienie ekspozycji już w kalkulacji prawdopodobieństwa, a następnie wykorzystanie wyniku tych obliczeń jako końcowej wartości „prawdopodobieństwa”.

Wymiar mapy ryzyka jest nietypowy – przyjęto 5-cio stopniową skalę prawdopodobieństwa i 4-stopniową skale skutku. Kryteria oceny skutku bazują na kategoriach: brak możliwości wykonania zadania, śmierć lub strata systemu (sprzętu).

Efektem oceny ryzyka jest znana nam matryca ryzyka (tutaj nazwana tabelą indeksów). Proszę zwrócić uwagę, że wielkość indeksu nie jest wynikiem przemnożenia lecz „numerem” pola tabeli, nie wynikającym wprost z jego położenia. Może intuicyjnie ma to sens, ale jeśli Lotnictwo Sił Zbrojnych RP będzie się przymierzać do systemu informatycznego wspierającego zarządzanie ryzykiem, ta jedna „fanaberia” będzie je kosztować dodatkowe kilkanaście lub kilkadziesiąt tysięcy EURo, jakie będzie warte przystosowanie oprogramowania do tej specyfiki.

Dzięki temu, że zadania wykonywane przez Lotnictwo są stosunkowo jednorodne, można było stworzyć tzw Kartę Szacowania Ryzyka, czyli pewnego rodzaju gotowy „taryfikator” pozwalający dość precyzyjnie ocenić ryzyko w różnych konfiguracjach, wg wspomnianego wzorca 5M: „Man – Media – Machine – Mission – Management”.

Minimalizowanie ryzyka – czyli zastanawianie się, co można z nim zrobić, jest w dokumencie etapem bardzo drobiazgowo i z głową rozpisanym. Wachlarz możliwych postępowań jest szerszy niż w klasycznym „4T”:

• odrzucenie wykonania zadania, jeśli jest obarczone ryzykiem niewspółmiernie wysokim
• uniknięcie ryzyka poprzez zmianę warunków wykonania zadania
• opóźnienie, przeniesienie lub podział zadania
• kompensacja (zdublowanie zasobów)
• oraz lista 10 sposobów redukcji ryzyka.

Elementem planowania możliwych akcji jest „określenie skutków nowych rozwiązań” – czyli analiza kosztów i korzyści połączona z określeniem wielkości ryzyka rezydualnego. Rozwiązanie doskonale, oby tylko było stosowane w codziennych realiach, konsekwentnie za każdym razem.

Definiując właścicielstwo ryzyka (choć w dokumencie nie zostało to tak nazwane), a tym samym przesądzając, kto ma podjąć decyzje nt postępowania z ryzykiem, posłużono się zasadą: ma to być „osoba funkcyjna, która ma największy wpływ i odpowiednie możliwości na zmniejszenie ryzyka”. Jest to zasada dość zbliżona do promowanej przeze mnie zasady którą „kupiłem” od Anglików: osoba, która ma kompetencje, władzę menedżerską i budżet. Szczebel dowódczy na jakim powinna zostać podjęta decyzja jest zdeterminowany przez indeks ryzyka (jego wielkość) – czyli zasada proporcjonalności w ZR zastosowana w praktyce.

Autorzy wiele uwagi poświęcili – nie tylko na etapie wdrażania decyzji – konsultacjom i komunikacji z „interesaiuszami”, tj z wykonawcami zadania, działań zaradczych i wszystkimi zainteresowanymi a także zapewnieniu wsparcia przełożonych. Jest to znamienne, gdyż komunikacja to jeden z obszarów, który stwarzał warunki do katastrofy Smoleńskiej. Nowatorskie, precyzyjne zdefiniowanie możliwych poziomów zaangażowania i wsparcia przełożonych zasługuje na naśladowanie w biznesie:

Na etapie nadzorowania i kontrolowania zmian, wojsko zastosowało coś co nazwałbym „skróconą pętlą Deminga”: zamiast „Planuj – Wykonaj – Sprawdź – Skoryguj” przyjęto „monitoruj – oceń  – skoryguj”. Dokument podkreśla konieczność oceny, czy poniesione nakłady odpowiadają zaplanowanym a także jaka jest efektywność przyjętych rozwiązań (środków kontroli ryzyka) w aspekcie skuteczności. Ewidentnie w tworzeniu dokumentu uczestniczyły osoby mające praktyczne doświadczenia we wdrażaniu zarządzania ryzykiem, gdyż zwrócono uwagę na spodziewaną niedoskonałość pierwszych szacunków ryzyka i konieczność rejestrowania przesłanek oceny ryzyka a także incydentów, dzięki czemu organizacja będzie doskonalić wiarygodność dokonywanej kolejnej oceny ryzyka.

Dokumentacji działań związanych z ZR poświęcono sporo miejsca – powinno się je rejestrować na każdym etapie i na wszystkich poziomach dowodzenia oraz archiwizować. Wygląda na to, że bez systemu informatycznego lotnicy się pogubią. W dokumencie brakuje mi jasnego zarysowania struktury organizacyjnej służącej zarządzaniu ryzykiem i obowiązków poszczególnych jej uczestników. W szczególności – kto pełni rolę „menedżera ryzyka” (osoby odpowiedzialnej za codzienne funkcjonowanie Metody ZR) ? Metoda Zarządzania Ryzykiem mówi jedynie, że dokumenty są przechowywane przez Inspektora Bezpieczeństwa Lotów, ale to stanowczo za mało. Zbyt dużo tutaj czasowników w formie bezosobowej: wypełnia się, zabrania się, należy sprawdzać, wymagane jest uzyskanie akceptacji  …

Konkluzje ?

Obawiam się, jak będzie wyglądać w praktyce implementacja systemu – obszernego, niezwykle drobiazgowo opisującego wszystkie kroki, bazującego na dużej ilości informacji i dokumentów, nie dość ostro zakreślającego obowiązki związane z konkretnymi funkcjami i zadaniami w tym systemie. Ale być może jako cywil nie widzę w jaki sposób istniejąca hierarchia wojskowa mogłaby porządkować zakres kompetencji, obowiązków i odpowiedzialności w zarządzaniu ryzykiem.

Z pewnością widać praktyczne doświadczenie i pracę, przemyślenia towarzyszące powstawaniu dokumentu. Nie jest on ani kopią ISO 31000, ani ISO 18000, ani FMEA, ani Ishikawy, ani formuł promowanych przez IRM – natomiast widać w nim wszystkie te elementy i sporo specjalistycznego, wojskowo-lotniczego „kolorytu”. Pod względem filozofii tworzenia systemu ZR jest to praca wzorcowa, gdyż system stworzono na miarę i potrzeby odbiorcy – z jego własnymi rozwiązaniami i narzędziami.

Wasz w ryzyku,
R 

Tsambika, Steve, Marc i John. Branże finansowa, energetyczna, FMCG i kopalnia. Europa i Australia. Na konferencji w Serocku zademonstrowali jak ZR wygląda w ich firmach, jak się za to zabrali, z czym mieli problemy, gdzie odnieśli sukcesy i dlaczego. Reprezentowali trochę różne poglądy, zdecydowanie różne techniki i narzędzia menedżerskie ale wszyscy wierzyli w trzy dogmaty zarządzania ryzykiem: w prostotę, komunikację i konsekwencję. Mimo, że dyskutowali ze sobą po raz pierwszy – rozumieli się w lot, nawzajem się uzupełniali i wspierali – przy całej swojej różnorodności. Profesjonaliści ryzyka.

Kilka spostrzeżeń, prawd schowanych pod tym głównym przesłaniem każdego z prelegentów:

• Tsambika: wykorzystuje podział ryzyk na kategorie po to, aby dla każdej z nich przyjąć apetyt na ryzyko wg formuły właściwej dla danego typu ryzyka (dokładnie 4 lata temu kwestionowałem sens podziału ryzyka na kategorie – przykład Tsambiki jest jednym z niewielu, który ma głęboki sens)
• John, Marc: działy zarządzania ryzykiem nawet w ogromnych firmach mogą być niewielkie; zarządzanie ryzykiem jest częścią wszystkich spotkań i inicjatyw biznesowych (czy uczysz dziecko przechodzić przez jezdnię zawsze 3go dnia miesiąca w godzinach od 14:00 do 14:30 ? nie – robisz to cały czas, przy każdej okazji, która tego wymaga)
• Steve: zarządzanie ryzykiem nie powinno „zaraportować managementu na śmierć” (report to death)
• Marc – o niespełnialnym marzeniu polskich spółek giełdowych: decyzje nt zarządzania ryzykiem zostają podjęte, zarządy się zmieniają, a kwestia zarządzania ryzykiem biegnie swoim torem
• Marc: różnica między ryzykiem inherentnym a rezydualnym mówi o tym, jak bardzo warto wdrażać środki zaradcze, ile jest do osiągnięcia
• John: czynnikiem, który powinien ważyć wiarygodność oceny ryzyka dokonanej przez członków zespołu, powinno być nie tylko stanowisko, ale ilość lat doświadczenia w firmie
• John, Marc: monitorowanie stanu ryzyk oraz incydentów powinno bazować na zmianie, trendach, a nie na śledzeniu bezwzględnych wartości, cyferek
• Steve: pokazał, jak silne jest powiązanie pomiędzy zarządzaniem ciągłością biznesu a odpornością łańcucha dostaw.

Ciekawostki: w Australii odpowiadasz za śmierć lub wypadek człowieka na twoim terenie tylko dlatego, że jesteś właścicielem tego terenu. Niezależnie jak nieostrożnym idiotą był ten człowiek. Nestle przez 150 lat swojej historii tylko w jednym roku poniosło stratę – w roku wojny.

Próbowałem – jak zawsze przy takich okazjach – nauczyć się do lepszych, wyłapać coś dla mnie nowego, zaskakującego. Z roku na rok jest tych nowości coraz mniej, to co słyszę coraz bardziej przypomina moje własne przekonania, narzędzia i wnioski.

Przy tym odnoszę wrażenie, że nasz mały i płytki rynek jest zbyt mało wymagający, nie dość różnorodny i odważny żeby mógł stać się poligonem na którym będzie powstawać nowa jakość – nie ma od kogo i na kim się uczyć.

Wasz w ryzyku,

R

Jakiś czas temu z entuzjazmem zapowiadałem książkę „Practical Enterprise Risk Management” Gregorego Duckerta i obiecałem, że podzielę się refleksjami po jej przeczytaniu. Ten wpis ukazuje się wiele tygodni później niż chciałem, gdyż wraz z czytaniem „grzęzłem” w tekście. Książka zapowiadała się znakomicie, jednak w trakcie jej czytania coraz bardziej czułem rozczarowanie.

Zastanawiam się, czy bardziej mówi ona o zarządzaniu ryzykiem, rzemiośle rzetelnego zarządzania firmą, czy o utopijnej koncepcji opomiarowania wszystkiego terabajtami wskaźników o jakiej wspominał kiedyś Pan Jerzy na jednej z konferencji Polrisk. Poniżej kilka spostrzeżeń, na temat dość charakterystycznych dla Duckerta koncepcji.

Duckert uważa, że jednym z przedsięwzięć, które najbardziej zaszkodziło ERM jest wprowadzenie SOX (Sorbannes Oxley Act), z czym się całym sercem zgadzam. Problemy ryzyka bowiem ani nie rodzą się ani nie kończą w obszarze finansów, lecz poza nim. Lakarstwem na tę chorobę miało być COSO II, któremu autor poświęca sporo miejsca. Podkreśla różnice pomiędzy COSO I i COSO II, np. pojawienie się strategii jako bazy nowego procesu oraz wskazuje na absurdy COSO I, które np. najpierw mówi o działaniach kontrolnych (pozbawionych kontekstu ryzyka) a dopiero później o oszacowaniu ryzyka. 

Duckert obnaża próby porównywania ERM do kontroli finansowej argmentując, że w sprawozdaniach finansowych widać jedynie to co już się stało faktem, a nie ryzyka – które należą do przyszłości, obszaru niepewności – i nie można na ich podstawie kontrolować ryzyka. Ale podobnie nie oszczędza pewnych powszechnych w ERM praktyk – na przykład stosowanie miar skutku lub ryzyka: „mały”, „średni”, „duży” – bez żadnego umocowania do twardych wartości. Równie bezlitośnie obszedł się z tzw. Wielkim Konsultingiem zauważając, że ich przekonanie o generowaniu wartości dodanej przez wdrażane skomplikowane systemy zarządczej de facto dotyczy jedynie wartości (pieniężnej) generowanej przez projekty wzdrożeniowe dla samych doradców …  

Wg Duckerta ryzyko to łańcuch zdarzeń, a zdarzenie inicjujące (prekursor) zwykle pociąga za sobą wiele ryzyk następczych potęgujących intensywność ekspozycji. Ryzyko pierwotne (trigger) ujawnia się w postaci ryzyk następczych w innych, niekiedy odległych funkcjach czy obszarach firmy. Stąd ryzykiem należy zarządzać – mitygować je – u źródła. Na potrzeby tego stosunkowo prostego stwierdzenia Duckert tworzy dwa nowe pojęcia: TREC (The Risk Evolution Chain) i MORE (Multiple Organizational Risk Effect). To jeden z problemów tej książki i autora – dziesiątki skrótów tworzonych na potrzeby tekstu zajmującego kilka stron. Jak można w sposób bardziej skomplikowany nazwać koncepcję właścicielstwa ryzyka ? Na przykład DRAM (Distributed Risk Assesment and Management). 

Autor proponuje zupełnie nowe znaczenie terminu ekspozycja (exposure), z którym się zupełnie nie zgadzam – próbuje jego znaczenie przyrównywać do terminu „skutek” – oba wg Duckerta są następstwem wystąpienia ryzyka jako zdarzenia. Być może tak jest w Stanach Zjednoczonych, ale w Europie nie mamy wątpliwości, że
złożenie ekspozycji i hazardu daje ryzyko, które ma swoje następstwa (skutki)

Również trudno się zgodzić z tezą, że ryzyko to odwrotność rezultatu, efektu procesu (jeśli np. rezultatem procesu ma być minimalizacja kosztów wydobycia jednej tony to ryzykiem byłaby maksymalizacja kosztów wydobycie …)

Myślą przewodnią, mantrą całej książki jest zarządzanie ryzykiem oparte na danych (data driven risk management). Duckert wyobraża sobie zarządzanie ryzykiem jako bibliotekę wskaźników opisujących wszystkie procesy i każdy jego element, za pomocą których – dzięki wszechogarniającego firmę systemu informatycznego – zarządzający mają wyprzedzającą informację o zagrożeniach dostępną w czasie rzeczywistym i w czasie rzeczywistym zapobiegają ryzykom w sposób najbardziej optymalny. Jeśli już cokolwiek realnego to przypomina – to po prostu zarządzanie procesem, nie ryzykiem. Trzeba autorowi przyznać, że rzeczywiście przyłożył się do skatalogowania pokaźnej listy przykładowych KRI dla różnych dziedzin i funkcji typowej firmy, chociażby:

• finanse, skarb, podatki, prawo
• HR, IT, zakupy, marketing
• planowanie biznesowe, planowanie produkcji, 
• logistyka, kontrola stanów magazynowych
• zapewnienie jakości.

Jednak wspomniana lista KRI zajmująca kilkanaście stron wydaje się potwierdzać, że Duckert nie pisze o zarządzaniu ryzykami lecz o optymalizacji biznesu, procesów i funkcji.

Czym głębiej w las, tym więcej muchomorów – kolejne strony poświęcone jakoby metodom analizy ryzyka opisują mniej czy badziej znane metody analizy statystycznej ogólnie: analiza trendu, punkt kluczowej zmiany (Pivotal Point of Change), analiza średniej dyspersji, analiza porównawcza okresów … Niestety wszystkie dotyczą analizy historii, żadne nie pomaga zrozumieć ryzyka rozumianego jako niepewność przyszłości.

Na koniec – bardzo zabawna jest maniakalna poprawność polityczna autora: wszędzie gdzie normalnie napisano by „on, jemu” itp Duckert pisze „ona, jej„, np. „taki właśnie model raportowania powinna budować każda CRO w jej organizacji”.

stąd – Wasza w ryzyku,
R