Většina společností přemýšlí o riziku nejprve v dramatických kategoriích: ztráta výnosů, právní potíže, pokles trhu, silný konkurent nebo neúspěšné získávání financování. Provozní riziko je méně okázalé, a právě proto je tak nebezpečné. Nachází se uvnitř každodenní práce: v tom, jak lidé dodržují postupy, jak selhávají systémy, jak se chovají dodavatelé, jak se obcházejí kontroly a jak se malé slabiny hromadí, dokud se jedno obyčejné úterý nezmění ve velmi drahou lekci.
Ve formálních rámcích řízení rizik se provozní riziko obvykle vymezuje jako riziko ztráty způsobené selháním nebo nedostatečností procesů, lidí, systémů nebo vnějších událostí. Basel používá tuto definici v bankovním rámci a OCC používá velmi podobné vymezení, ke kterému přidává lidskou chybu, protiprávní nebo nevhodné jednání a nepříznivé vnější události. Jinými slovy, provozní riziko není žádné exotické okrajové téma. Je to neuspořádaný každodenní mechanismus toho, jak podnik ve skutečnosti funguje.
Co provozní riziko skutečně znamená
Provozní riziko nastává tehdy, když se podnik nerozbije proto, že byla špatná strategie, ale proto, že provedení bylo slabší, než si všichni mysleli.
Platba je odeslána na nesprávný účet.
Klíčový schvalovací krok je přeskočen.
Důležitý zaměstnanec drží celý postup pouze ve své hlavě.
Přechod na nový systém je spuštěn bez řádného testování.
Výpadek dodavatele zastaví přijímání zákazníků.
Upozornění na podvod je ignorováno, protože fronta úkolů je už příliš přeplněná.
Výkaz je podán pozdě, protože tři týmy si myslely, že odpovědnost nese někdo jiný.
Žádné z těchto selhání obvykle nezačíná jako velká katastrofa. V tom je ten trik. Provozní riziko nepřichází vždy s pláštěm padoucha. Často přichází jako drobné obejití pravidel, uspěchaná zkratka nebo postup, na jehož opravu nikdo neměl čas.
Proč společnosti ignorují provozní riziko, dokud něco nevybuchne
První důvod je jednoduchý: provozní riziko je jen zřídka soustředěno na jednom viditelném místě. Rozprostírá se napříč odděleními, nástroji, rutinami, předáváním práce, schvalováním, přístupovými právy, tabulkami, dodavateli a lidskými návyky. Basel výslovně uvádí, že provozní riziko je vlastní všem produktům, činnostem, procesům a systémům. To z něj dělá problém všech, což se ve špatně řízených společnostech rychle mění v problém nikoho.
Druhý důvod je psychologický. Výnosy jsou viditelné. Prodejní cíle jsou viditelné. Marketingové kampaně jsou viditelné. Riziko ukryté v odsouhlasování, oprávněních, záznamech výjimek, náhradních postupech a řízení změn není příliš přitažlivé. Na poradách nepůsobí efektně. Nikdo nevstane a neřekne: „Pohleďte na náš velkolepý proces přezkumu přístupových oprávnění.“ Podnik proto dál odměňuje růst a rychlost, zatímco kontrolní práci považuje za byrokracii, nikoli za infrastrukturu.
Třetí důvod spočívá v tom, že mnoho provozních slabin nebolí okamžitě. Přežívají měsíce nebo roky v polorozbitém stavu. Týmy se přizpůsobí. Lidé improvizují. Manažeři tomu říkají pružnost. Potom přijde první vážná mimořádná událost a ukáže se, že podnik držel pohromadě díky zvyku, dobré vůli a kofeinové pověrčivosti.
Čtyři hlavní zdroje provozního rizika
Užitečný způsob, jak pochopit provozní riziko, je podívat se na čtyři klasické zdroje obsažené přímo v jeho definici.
1. Lidé
Lidé vytvářejí hodnotu a lidé také vytvářejí úžasně vynalézavé způsoby selhání. Lidská chyba, slabé školení, nejasná odpovědnost, nevhodné nebo protiprávní jednání, špatný dohled a závislost na klíčových jednotlivcích — to vše patří do provozního rizika. Definice OCC výslovně zahrnuje lidské chyby a nevhodné jednání.
Proto podniky netrpí jen kvůli „špatným zaměstnancům“, ale také kvůli přetíženým zaměstnancům, nedostatečně proškoleným zaměstnancům a zaměstnancům nuceným pracovat ve špatně nastavených systémech. Společnost, která spoléhá na hrdinské jednotlivce místo opakovatelných postupů, je často jednu výpověď od chaosu.
2. Procesy
Slabý proces je továrna na riziko převlečená za rutinu. Pokud jsou schválení nejasná, kontroly ruční, eskalační cesty mlhavé, odsouhlasování opožděné nebo reakce na mimořádné události improvizovaná, společnost si už sama vytváří podmínky pro selhání.
Procesní riziko je nudné přesně do okamžiku, kdy začne být drahé. To je jeho dávná kletba.
3. Systémy
Technologické problémy stojí ve středu moderního provozního rizika. Výpadky, špatná propojení systémů, selhání řízení přístupů, nekvalitní tok dat, slabé záznamy činností, rozbité řízení změn a kybernetické události zasahují provoz přímo. Ve finančním sektoru Evropské unie tento přístup formalizuje DORA, která vyžaduje, aby společnosti zjišťovaly, řídily, zaznamenávaly, klasifikovaly a hlásily mimořádné události související s informačními a komunikačními technologiemi. To je regulatorní způsob, jak říci: systémové riziko už není vedlejší úkol.
4. Vnější události
Provozní riziko se neomezuje na vnitřní chyby. Definice podle Basel zahrnuje vnější události a OCC také poukazuje na nepříznivé vnější události. Může jít o selhání dodavatele, kybernetické útoky, pokusy o podvod, přírodní katastrofy, občanské nepokoje nebo jiné narušení, které zasáhne podnik zvenčí, ale zároveň odhalí slabou vnitřní odolnost.
Proč první mimořádná událost všechno změní
Před první velkou mimořádnou událostí působí provozní riziko často teoreticky. Po ní se stává bolestivě konkrétním.
Společnost najednou chce vědět:
Kdo za proces odpovídal?
Proč neexistovala záloha?
Proč upozornění zůstalo bez reakce?
Proč nebyla nikdy přezkoumána přístupová práva?
Proč nebyl dodavatel řádně posouzen?
Proč nikdo nezdokumentoval obcházený postup, na kterém všichni záviseli?
Proč se mimořádná událost řešila panikou ve Slacku místo skutečného plánu reakce?
Proto je řízení mimořádných událostí tak krutým učitelem. Proměňuje domněnky v důkazy. Podnik si může myslet, že má kontroly, ale skutečná mimořádná událost ukáže, zda jsou tyto kontroly aktuální, otestované, pochopené a skutečně používané.
V regulovaných odvětvích se to bere velmi vážně. Pravidla Evropské unie podle DORA vyžadují, aby společnosti klasifikovaly mimořádné události v oblasti informačních a komunikačních technologií podle jejich dopadu a oznamovaly závažné události příslušným orgánům. To odráží širší pravdu užitečnou i daleko za hranicemi financí: vyspělé organizace nečekají na chaos, aby potom improvizovaly filozofii. Budují mechanismy zjištění, eskalace a reakce dříve, než špatný den nastane.
Časté známky toho, že je provozní riziko podceňováno
Obvykle nepotřebujete dramatické selhání, abyste poznali, že je něco špatně. Varovné signály se objevují dříve.
Stejné chyby se opakují, ale jsou považovány za izolované omyly.
Příliš mnoho klíčových činností závisí na jedné osobě.
Neexistuje skutečný záznam mimořádných událostí ani analýza hlavních příčin.
Dodavatelé jsou kriticky důležití, ale dohled nad nimi je povrchní.
Přístupová práva se hromadí a nikdo je řádně nepřezkoumává.
Pravidla existují, ale skutečná praxe funguje na zkratkách.
Kontroly jsou ruční, nekonzistentní a snadno obejitelné.
Týmy postupují rychle, ale nikdo nedokáže jasně vysvětlit, jak se riziko sleduje.
Společnost v takovém stavu může navenek stále působit produktivně. To je součást vtipu. Někdy „všechno funguje“ ve skutečnosti znamená „zatím nic neselhalo dostatečně tvrdě“.
Jak snížit provozní riziko před mimořádnou událostí
Odpovědí není vybudovat říši papírování. Odpovědí je udělat provoz čitelnější, kontrolovanější a odolnější.
Začněte tím, že určíte nejdůležitější podnikové procesy: platby, přijímání zákazníků, zákaznickou podporu, správu bezpečnostních oprávnění, výkaznictví, řízení změn, odsouhlasování, závislosti na dodavatelích a reakci na mimořádné události. Potom položte několik nemódně užitečných otázek.
Kde to může selhat?
Kdo za to odpovídá?
Jaká kontrola existuje?
Jak poznáme, že je něco špatně?
Co se stane, když klíčová osoba chybí?
Co se stane, když selže systém?
Co se stane, když selže dodavatel?
Jak rychle dokážeme eskalovat a obnovit provoz?
Zásady řádného řízení podle Basel zdůrazňují, že provozní riziko má být zjišťováno, posuzováno, sledováno a řízeno nebo zmírňováno prostřednictvím celopodnikového rámce schváleného a přezkoumávaného vedením a správním orgánem. Zní to formálně, ale základní logika je praktická pro společnosti jakékoli velikosti: pokud nedokážete zmapovat proces, přiřadit odpovědnost, zjistit selhání a konzistentně reagovat, riziko neřídíte vy. Riziko řídí vás.
Provozní riziko není jen „bankovní“ pojem
Formální definice často pocházejí od bankovních regulátorů, protože finanční společnosti jsou nuceny popisovat rizika přesněji než průměrný začínající podnik fungující na dojmech a přehledových panelech. Myšlenka se však uplatňuje mnohem šířeji.
Společnost poskytující software jako službu má provozní riziko v dostupnosti služby, nasazování změn, řízení přístupů, zákaznické podpoře a závislostech na dodavatelích.
Internetový obchod ho má v platbách, aktualizaci zásob, kontrolách proti podvodům, vracení plateb a předávání v logistice.
Poradenská společnost ho má v kvalitě dodání, nakládání s dokumenty, přístupu k údajům, termínech a závislosti na klíčových pracovnících.
Malý podnik ho má všude tam, kde společnost spoléhá na paměť, rychlost a dobré úmysly místo opakovatelných kontrol.
Provozní riziko je jednoduše riziko, že podnik nedokáže své každodenní funkce plnit dostatečně spolehlivě na to, aby chránil zákazníky, peníze, údaje, provoz i sám sebe.
Závěr
Provozní riziko se snadno ignoruje, protože se jen zřídka ozývá strategickým jazykem. Žije uvnitř rutinního provádění: v lidech, procesech, systémech a vnějších závislostech. Formální rámce ho definují jasně, ale mnoho podniků ho stále považuje za šum v pozadí, dokud první skutečná mimořádná událost neodhalí, jak křehký jejich provozní model ve skutečnosti je.
Proto chytré společnosti nečekají, až se katastrofa stane jejich poradcem. Mapují kritické procesy, přiřazují odpovědnost, budují kontroly, testují eskalační cesty a přezkoumávají mimořádné události dříve, než se stanou existenční hrozbou. Jakmile totiž první vážná mimořádná událost nastane, provozní riziko přestane znít jako teorie a začne znít jako faktury, stížnosti zákazníků, právní ohrožení a hluboce politováníhodná celofiremní porada.
FAQ
Co je provozní riziko?
Provozní riziko je riziko ztráty vyplývající z nedostatečných nebo selhávajících procesů, lidí, systémů nebo vnějších událostí. Basel a OCC používají velmi podobné definice, přičemž OCC zdůrazňuje také lidskou chybu a nevhodné nebo protiprávní jednání.
Proč je provozní riziko často ignorováno?
Protože je rozptýlené napříč každodenním provozem, jen zřídka má jednoho zřejmého vlastníka a často zůstává skryté, dokud skutečná mimořádná událost neodhalí slabinu. Basel uvádí, že provozní riziko je vlastní produktům, činnostem, procesům a systémům.
Jaké jsou příklady provozního rizika?
Příklady zahrnují chyby v platbách, výpadky systémů, podvody, selhání schvalování, chyby v přístupu k údajům, slabý výkon dodavatelů, špatné řízení změn a selhání eskalace mimořádných událostí. Tyto příklady odpovídají standardní struktuře lidé–procesy–systémy–vnější události v oficiálních definicích.
Je provozní riziko relevantní pouze pro banky?
Ne. Formální definice se silně používají v bankovní regulaci, ale tento pojem se vztahuje na každý podnik, který závisí na lidech, systémech, procesech a třetích stranách, aby mohl spolehlivě fungovat.
Jak může společnost snížit provozní riziko?
Tím, že určí kritické procesy, přiřadí odpovědnost, zavede kontroly, zlepší sledování, zdokumentuje eskalační cesty a vybuduje schopnost reagovat na mimořádné události. V regulovaných odvětvích rámce jako DORA tato očekávání výslovně stanoví pro rizika související s informačními a komunikačními technologiemi a pro hlášení mimořádných událostí.
Máte své operační riziko pod kontrolou?
