ISO 31000:2018 – Managementul riscului. Ghid pentru intelegere si aplicare practica

ISO 31000:2018, intitulat „Risk management — Guidelines”, este un standard international care ofera principii si orientari pentru managementul riscului.

Standardul propune o abordare generala care poate fi adaptata oricarei organizatii si oricarui context. Managementul riscului poate fi integrat in activitatile organizatiei, in procesul de luare a deciziilor si in procesele de guvernanta, strategie si planificare.

ISO 31000:2018 este editia a doua, publicata in februarie 2018. Standardul a fost revizuit si confirmat in 2023, iar aceasta editie ramane versiunea publicata in prezent. In acelasi timp, ISO a inceput dezvoltarea unei noi editii, ISO/CD 31000, care va inlocui ISO 31000:2018 dupa finalizarea procesului de revizuire.

Un aspect esential este faptul ca ISO 31000 este un standard de ghidare, nu un standard de certificare. ISO precizeaza in mod explicit ca ISO 31000 ofera orientari si nu este destinat certificarii.

Ce este ISO 31000

ISO 31000 ofera organizatiilor un cadru general pentru gestionarea riscurilor.

Riscul nu trebuie privit exclusiv ca posibilitatea producerii unui eveniment negativ. In managementul organizatiei, incertitudinea poate influenta atingerea obiectivelor atat in sens negativ, cat si pozitiv.

Prin urmare, managementul riscului trebuie sa ajute organizatia sa inteleaga incertitudinile relevante si sa ia decizii mai bine fundamentate.

Abordarea poate fi utilizata pentru:

• riscuri strategice;
• riscuri operationale;
• riscuri financiare;
• riscuri de proiect;
• riscuri juridice;
• riscuri de securitate;
• riscuri tehnologice;
• riscuri de mediu;
• riscuri privind furnizorii;
• riscuri reputationale;
• riscuri asociate schimbarii.

ISO 31000 nu este limitat la un anumit sector. Poate fi adaptat organizatiilor publice, private, non-profit sau altor tipuri de organizatii.

De ce este important managementul riscului

Orice organizatie functioneaza intr-un mediu caracterizat de incertitudine.

Pot aparea modificari ale:

• pietei;
• legislatiei;
• tehnologiei;
• preturilor;
• furnizorilor;
• comportamentului clientilor;
• disponibilitatii resurselor;
• conditiilor economice;
• mediului operational.

Unele evenimente pot produce pierderi, in timp ce altele pot crea oportunitati.

Un sistem structurat de management al riscului permite organizatiei sa identifice din timp situatiile relevante si sa decida cum trebuie tratate.

Diferenta dintre ISO 31000 si aplicarea practica

ISO 31000 trebuie privit ca un cadru de referinta, nu ca o procedura gata de copiat.

Standardul ofera principii si orientari.

Organizatia trebuie sa decida cum le transforma in procese proprii.

De exemplu:

ISO 31000	Aplicare practica
Riscurile trebuie gestionate	Se creeaza un proces intern de management al riscului
Riscurile trebuie identificate	Se organizeaza sesiuni de identificare a riscurilor
Riscurile trebuie analizate	Se stabileste o metoda de evaluare
Riscurile trebuie evaluate	Se stabilesc praguri de acceptare
Riscurile trebuie tratate	Se elaboreaza planuri de tratare
Riscurile trebuie monitorizate	Se creeaza un registru de riscuri
Riscurile trebuie comunicate	Se stabilesc rapoarte si canale de comunicare
Sistemul trebuie imbunatatit	Se realizeaza evaluari si revizuiri periodice

Astfel:

ISO 31000 = principii si orientari.

Metodologia interna = modul in care organizatia aplica aceste principii.

Procedura = modul concret in care se desfasoara procesul.

Registrul riscurilor = instrument de lucru.

Rapoartele = dovezi si comunicare.

Integrarea managementului riscului in organizatie

Managementul riscului nu ar trebui sa fie o activitate izolata a unui singur departament.

Pentru a fi eficient, acesta trebuie integrat in activitatile organizatiei.

Poate fi inclus in:

• strategie;
• planificare;
• bugetare;
• managementul proiectelor;
• achizitii;
• managementul furnizorilor;
• dezvoltarea produselor;
• procese operationale;
• managementul schimbarilor;
• decizii de investitii;
• guvernanta organizationala.

De exemplu, o decizie de achizitie importanta poate fi analizata nu doar prin pret, ci si prin riscurile asociate furnizorului, dependentei, calitatii, continuitatii si termenelor.

Cultura de management al riscului

Un sistem eficient nu inseamna doar existența unui registru de riscuri.

Organizatia trebuie sa dezvolte o cultura in care oamenii:

• identifica riscurile;
• comunica problemele;
• pun sub semnul intrebarii presupunerile;
• inteleg consecintele deciziilor;
• raporteaza evenimentele;
• participa la tratarea riscurilor.

Managementul trebuie sa transmita faptul ca raportarea unui risc nu reprezinta automat o greseala.

Dimpotriva, identificarea timpurie a unui risc poate permite organizatiei sa actioneze inainte ca problema sa apara.

Contextul organizatiei

Primul pas practic este intelegerea contextului.

Organizatia trebuie sa identifice factorii care pot influenta obiectivele.

Elemente interne

Pot fi analizate:

• structura organizationala;
• procesele;
• personalul;
• resursele;
• tehnologia;
• cultura organizationala;
• sistemele informatice;
• capacitatea financiara.

Elemente externe

Pot fi analizate:

• piata;
• clienti;
• furnizori;
• concurenta;
• legislatie;
• economie;
• tehnologie;
• factori sociali;
• factori geopolitici;
• mediu.

Rezultatul este o intelegere mai buna a mediului in care sunt gestionate riscurile.

Stabilirea obiectivelor

Managementul riscului trebuie conectat la obiective.

Daca obiectivele nu sunt clare, devine dificil sa stabilim ce riscuri sunt relevante.

Exemple de obiective:

• lansarea unui produs pana la o anumita data;
• mentinerea unui anumit nivel de profit;
• reducerea costurilor;
• mentinerea continuitatii operationale;
• respectarea cerintelor legale;
• cresterea satisfactiei clientilor;
• protejarea informatiilor;
• reducerea incidentelor.

Riscul trebuie analizat in raport cu obiectivele pe care le poate influenta.

Identificarea riscurilor

Identificarea riscurilor reprezinta procesul prin care organizatia stabileste ce incertitudini pot influenta obiectivele.

Intrebari utile:

• Ce se poate intampla?
• De ce s-ar putea intampla?
• Ce obiectiv ar fi afectat?
• Care ar fi consecintele?
• Ce controale exista deja?
• Ce informatii lipsesc?

Sursele de identificare pot include:

• experienta angajatilor;
• audituri;
• incidente;
• reclamatii;
• analiza proceselor;
• analiza furnizorilor;
• schimbari legislative;
• analiza pietei;
• brainstorming;
• interviuri;
• workshop-uri.

Riscuri si oportunitati

Un risc poate fi asociat cu o amenintare, dar incertitudinea poate avea si consecinte favorabile.

Exemplu:

O noua tehnologie poate reprezenta:

Amenintare: costuri suplimentare sau probleme de implementare.

Oportunitate: automatizare, reducerea costurilor si cresterea productivitatii.

Prin urmare, managementul riscului poate contribui si la identificarea oportunitatilor.

Analiza riscurilor

Dupa identificare, riscurile trebuie analizate.

Analiza poate lua in considerare:

• probabilitatea;
• consecinta;
• cauzele;
• vulnerabilitatile;
• controalele existente;
• viteza de aparitie;
• capacitatea de raspuns.

O metoda simpla poate fi:

Nivelul riscului = Probabilitate x Impact

Aceasta formula este doar un exemplu de instrument intern. Metoda concreta trebuie aleasa si definita de organizatie in functie de context.

Matricea de risc

O organizatie poate utiliza o matrice simpla:

Impact / Probabilitate	1	2	3	4	5
5	5	10	15	20	25
4	4	8	12	16	20
3	3	6	9	12	15
2	2	4	6	8	10
1	1	2	3	4	5

Organizatia poate stabili propriile praguri.

De exemplu:

• 1-5 = risc redus;
• 6-10 = risc moderat;
• 11-15 = risc ridicat;
• 16-25 = risc critic.

Aceste valori sunt un exemplu de metodologie interna si nu reprezinta o clasificare oficiala impusa de ISO 31000.

Evaluarea riscurilor

Analiza arata caracteristicile riscului.

Evaluarea ajuta organizatia sa decida daca riscul este:

• acceptabil;
• tolerabil;
• necesita tratare;
• necesita escaladare;
• necesita monitorizare suplimentara.

Pentru aceasta trebuie stabilite criterii de risc.

De exemplu, managementul poate decide ca orice risc cu impact potential foarte mare trebuie analizat la nivel executiv, indiferent de probabilitatea estimata.

Tratarea riscurilor

Dupa evaluare, organizatia trebuie sa decida ce face cu riscurile prioritare.

Optiunile pot include:

• evitarea riscului;
• reducerea probabilitatii;
• reducerea impactului;
• transferul sau impartirea riscului;
• acceptarea riscului;
• utilizarea oportunitatii, atunci cand incertitudinea poate produce un rezultat favorabil.

Exemplu:

Daca un furnizor critic prezinta un risc ridicat, organizatia poate:

• identifica un furnizor alternativ;
• introduce controale suplimentare;
• modifica termenii contractuali;
• mentine stoc de siguranta;
• monitoriza mai frecvent furnizorul.

Registrul riscurilor

Un instrument central pentru aplicarea practica este registrul riscurilor.

Acesta poate contine:

ID	Risc	Cauza	Impact	Prob.	Nivel	Responsabil	Tratament	Status
R01	Intarziere furnizor	Capacitate insuficienta	5	4	20	Achizitii	Furnizor alternativ	Deschis
R02	Defectare echipament	Uzura	4	3	12	Mentenanta	Preventie	In lucru
R03	Pierdere client	Servicii necorespunzatoare	5	2	10	Comercial	Plan retentie	Monitorizat

Registrul trebuie actualizat periodic.

Responsabilul de risc

Fiecare risc important trebuie sa aiba un responsabil.

Responsabilul nu este neaparat persoana care va executa toate actiunile.

Rolul sau poate include:

• monitorizarea riscului;
• verificarea controalelor;
• urmarirea actiunilor;
• raportarea modificarilor;
• escaladarea riscului.

Aceasta responsabilitate trebuie sa fie clara.

Managementul riscurilor strategice

Riscurile strategice pot afecta direct obiectivele majore ale organizatiei.

Exemple:

• intrarea unui concurent important pe piata;
• schimbarea legislatiei;
• dependenta de un singur client;
• dependenta de un singur furnizor;
• schimbarea tehnologiei;
• reducerea cererii;
• cresterea semnificativa a costurilor.

Aceste riscuri trebuie analizate in legatura cu strategia organizatiei.

Managementul riscurilor operationale

Riscurile operationale apar in procesele curente.

Exemple:

• defectarea echipamentelor;
• erori umane;
• lipsa personalului;
• intreruperi ale proceselor;
• probleme de calitate;
• intarzieri;
• erori de procesare;
• probleme logistice.

Aceste riscuri pot fi gestionate prin proceduri, controale, instruire, monitorizare si planuri de reactie.

Managementul riscurilor financiare

Riscurile financiare pot include:

• fluctuatii de pret;
• variatii valutare;
• probleme de lichiditate;
• neincasarea creantelor;
• cresterea costurilor;
• depasirea bugetului;
• dependenta de un client major.

Organizatia poate utiliza limite, monitorizare financiara, scenarii si controale.

Managementul riscurilor de proiect

ISO 31000 poate fi aplicat si in managementul proiectelor.

Pentru fiecare proiect pot fi analizate:

• riscurile de termen;
• riscurile de cost;
• riscurile de resurse;
• riscurile tehnice;
• riscurile contractuale;
• riscurile de calitate;
• riscurile privind furnizorii.

Riscurile proiectului pot fi gestionate in cadrul metodologiei generale de management al riscului a organizatiei.

Managementul furnizorilor

Riscurile asociate furnizorilor pot afecta direct organizatia.

Pentru furnizorii importanti pot fi analizate:

• dependenta;
• capacitatea;
• performanta;
• stabilitatea;
• subcontractarea;
• localizarea;
• continuitatea;
• istoricul incidentelor.

Organizatia poate introduce criterii de selectie, evaluare si reevaluare.

Comunicarea riscurilor

Un risc care este cunoscut de o singura persoana nu este gestionat eficient la nivel organizational.

Trebuie stabilit:

• cine primeste informatia;
• ce tip de risc se raporteaza;
• cand se raporteaza;
• ce format se utilizeaza;
• cine decide;
• cand se escaladeaza.

Exemplu:

Risc redus → gestionare la nivel operational

Risc ridicat → raportare management

Risc critic → escaladare imediata

Pragurile trebuie stabilite de organizatie.

Monitorizarea si revizuirea

Riscurile se modifica.

Un risc care astazi este moderat poate deveni critic.

De aceea, organizatia trebuie sa monitorizeze:

• probabilitatea;
• impactul;
• controalele;
• actiunile;
• aparitia unor factori noi;
• eficacitatea tratamentului.

Registrul riscurilor trebuie revizuit periodic.

Indicatori pentru managementul riscului

Organizatia poate utiliza KPI precum:

• numarul total de riscuri active;
• numarul riscurilor critice;
• procentul riscurilor cu tratament definit;
• procentul actiunilor inchise la termen;
• numarul incidentelor;
• valoarea pierderilor asociate riscurilor;
• timpul de raspuns;
• numarul riscurilor nou identificate;
• numarul riscurilor inchise.

Indicatorii trebuie corelati cu obiectivele organizatiei.

Auditul si evaluarea managementului riscului

ISO 31000 poate constitui o referinta pentru evaluarea practicilor de management al riscului.

Organizatia poate verifica:

• daca riscurile sunt identificate;
• daca metodologia este aplicata;
• daca responsabilitatile sunt clare;
• daca riscurile sunt actualizate;
• daca actiunile sunt implementate;
• daca managementul primeste informatiile necesare;
• daca sistemul este imbunatatit.

Auditul poate identifica atat deficiente, cat si oportunitati de imbunatatire.

Imbunatatirea continua

Managementul riscului trebuie adaptat pe masura ce organizatia se schimba.

Surse de imbunatatire pot fi:

• incidente;
• aproape-incidente;
• audituri;
• schimbari legislative;
• modificari ale pietei;
• proiecte finalizate;
• reclamatii;
• schimbari tehnologice;
• noi furnizori;
• reorganizari.

Un ciclu practic poate fi:

Identificare → Analiza → Tratare → Monitorizare → Evaluare → Imbunatatire

Implementarea ISO 31000 intr-o organizatie

Implementarea poate fi realizata etapizat.

Evaluarea situatiei existente

Se analizeaza modul actual de gestionare a riscurilor.

Intrebari utile:

• Exista o politica de risc?
• Cine este responsabil?
• Exista un registru de riscuri?
• Cum sunt evaluate riscurile?
• Cine aproba tratamentele?
• Cum sunt raportate riscurile?
• Cum sunt monitorizate?
• Cum sunt utilizate informatiile in luarea deciziilor?

Stabilirea metodologiei

Organizatia stabileste:

• definitii;
• categorii de risc;
• criterii;
• metode de evaluare;
• niveluri de risc;
• responsabilitati;
• reguli de escaladare;
• frecventa monitorizarii.

Stabilirea responsabilitatilor

Pot fi definite roluri precum:

Managementul de top – stabileste directia si nivelul de acceptare a riscurilor.

Responsabilul de risc – coordoneaza procesul.

Managerii – gestioneaza riscurile din aria lor.

Angajatii – identifica si raporteaza riscurile relevante.

Auditul intern – evalueaza independent procesul, in functie de organizatie.

Crearea documentelor

Se elaboreaza politica, metodologia, procedurile si instrumentele.

Implementarea

Procesul este introdus in activitatile organizationale.

Monitorizarea

Se urmaresc riscurile, actiunile si indicatorii.

Evaluarea

Se verifica eficienta sistemului.

Imbunatatirea

Metodologia este actualizata.

Documente si instrumente recomandate

O organizatie poate utiliza:

• Politica de management al riscului;
• Metodologia de evaluare a riscurilor;
• Procedura de management al riscului;
• Registrul riscurilor;
• Matricea de risc;
• Criterii de acceptare a riscului;
• Planuri de tratare;
• Registrul actiunilor;
• Rapoarte de risc;
• Dashboard de risc;
• Registrul incidentelor;
• Registrul oportunitatilor;
• Rapoarte de monitorizare;
• Rapoarte de audit;
• Raport de analiza a managementului.

Nu toate documentele sunt obligatorii in aceeasi forma.

Documentatia trebuie adaptata dimensiunii si complexitatii organizatiei.

Exemplu de proces practic

Un proces intern poate fi:

Obiectiv identificat

↓

Identificare riscuri

↓

Analiza cauzelor si consecintelor

↓

Evaluare probabilitate si impact

↓

Comparare cu criteriile de risc

↓

Decizie privind tratarea

↓

Plan de actiuni

↓

Responsabil desemnat

↓

Implementare controale

↓

Monitorizare

↓

Raportare

↓

Revizuire

↓

Inchidere sau reevaluare

Acest proces trebuie adaptat organizatiei.

Exemplu practic

Sa presupunem ca o companie depinde de un singur furnizor pentru o materie prima critica.

Identificare

Riscul este indisponibilitatea materiei prime.

Cauza

Furnizorul poate avea probleme de productie sau transport.

Consecinta

Productia companiei poate fi oprita.

Evaluare

Probabilitate: 3

Impact: 5

Nivel: 15

Tratare

Compania poate:

• identifica un furnizor alternativ;
• mentine un stoc de siguranta;
• introduce clauze contractuale;
• monitoriza furnizorul;
• dezvolta un plan de continuitate.

Monitorizare

Se pot urmari:

• nivelul stocului;
• termenul de livrare;
• performanta furnizorului;
• capacitatea alternativa.

Astfel, managementul riscului devine parte a deciziei operationale.

ISO 31000 si alte standarde

ISO 31000 poate fi utilizat impreuna cu alte standarde si sisteme de management.

Poate sprijini abordarea riscurilor in:

• managementul calitatii;
• managementul mediului;
• securitatea informatiilor;
• continuitatea activitatii;
• managementul proiectelor;
• securitatea organizationala;
• conformitate.

ISO 31000 poate functiona ca o abordare generala de management al riscului, in timp ce alte standarde pot trata riscurile dintr-un anumit domeniu.

In familia ISO 31000 exista si documente asociate, iar ISO mentioneaza, printre altele, IEC 31010:2019 pentru tehnici de evaluare a riscurilor si ISO 31073 pentru vocabularul de management al riscului.

ISO 31000 si certificarea

ISO 31000 nu este un standard destinat certificarii.

ISO precizeaza ca acesta ofera orientari si nu cerinte de certificare.

Prin urmare, formularea:

„Compania este certificata ISO 31000”

nu este o formulare corecta pentru a descrie o certificare ISO 31000.

Formulari mai potrivite sunt:

„Organizatia aplica principiile si orientarile ISO 31000:2018 in managementul riscurilor.”

sau:

„Sistemul intern de management al riscurilor este aliniat la ISO 31000:2018.”

Organizatia poate utiliza ISO 31000 ca reper pentru dezvoltarea si evaluarea propriului proces de management al riscului. ISO mentioneaza inclusiv posibilitatea utilizarii standardului ca baza pentru programe de audit intern sau extern, fara ca aceasta sa transforme standardul intr-un standard certificabil.

Ce inseamna practic „aliniat la ISO 31000”

A fi aliniat la ISO 31000 nu inseamna doar sa existe un registru de riscuri.

Un sistem matur trebuie sa arate ca managementul riscului este integrat in organizatie.

De exemplu:

Strategie

→ riscurile strategice sunt analizate.

Buget

→ riscurile financiare sunt analizate.

Proiecte

→ fiecare proiect are propria analiza de risc.

Achizitii

→ furnizorii sunt evaluati.

Operatiuni

→ riscurile proceselor sunt monitorizate.

Management

→ riscurile importante sunt raportate.

Audit

→ procesul de management al riscului este evaluat.

Aceasta integrare este mult mai importanta decat simpla existenta a documentatiei.

Checklist pentru implementare

Guvernanta si context

• Exista o directie clara privind managementul riscului.
• Contextul organizatiei este analizat.
• Obiectivele organizatiei sunt definite.
• Responsabilitatile sunt stabilite.
• Criteriile de risc sunt definite.

Identificarea riscurilor

• Riscurile sunt identificate sistematic.
• Cauzele sunt analizate.
• Consecintele sunt analizate.
• Oportunitatile sunt luate in considerare.
• Riscurile noi sunt introduse in sistem.

Analiza si evaluare

• Exista o metoda de evaluare.
• Probabilitatea este evaluata.
• Impactul este evaluat.
• Nivelul riscului este determinat.
• Exista criterii de acceptare.
• Riscurile critice sunt escaladate.

Tratarea riscurilor

• Pentru riscurile prioritare exista actiuni.
• Responsabilii sunt desemnati.
• Termenele sunt stabilite.
• Resursele sunt disponibile.
• Eficacitatea actiunilor este verificata.

Monitorizare si comunicare

• Registrul este actualizat.
• Riscurile sunt monitorizate.
• Indicatorii sunt urmariti.
• Managementul primeste rapoarte.
• Pragurile de escaladare sunt respectate.

Evaluare si imbunatatire

• Procesul este evaluat periodic.
• Auditurile sunt realizate, unde este cazul.
• Incidentele sunt analizate.
• Actiunile corective sunt urmarite.
• Metodologia este imbunatatita.
• Experienta acumulata este utilizata.

Concluzie

ISO 31000:2018 ofera organizatiilor o abordare structurata pentru intelegerea si gestionarea riscurilor.

Valoarea sa nu consta in existenta unei simple liste de riscuri, ci in integrarea managementului riscului in modul in care organizatia ia decizii.

Aplicarea practica poate fi sintetizata astfel:

Obiective → Context → Identificare → Analiza → Evaluare → Tratare → Monitorizare → Comunicare → Imbunatatire

ISO 31000 ajuta organizatia sa treaca de la o abordare bazata exclusiv pe reactia la probleme la o abordare in care incertitudinile sunt anticipate si integrate in procesul de decizie.

Diferenta dintre cunoasterea standardului si aplicarea lui este esentiala:

ISO 31000 ofera principiile si orientarea.

Organizatia defineste metodologia.

Procedurile stabilesc modul de lucru.

Registrele si rapoartele sustin procesul.

Managementul utilizeaza informatiile pentru decizii.

Monitorizarea si evaluarea conduc la imbunatatire.

Prin urmare, un sistem matur de management al riscului nu este doar un document sau un tabel Excel. Este un proces continuu prin care organizatia identifica incertitudinile, intelege efectele posibile, stabileste prioritati, ia decizii si monitorizeaza rezultatele.

Afla incepand de aici cum poti sa devii sau sa ai in organizatia ta experti certificati in acest domeniu: 

 Cursuri pentru Instruire & Certificare profesionalaISO 31000 | CISEO® Registrar pentru Certificare & Implementare Standarde Europene in Organizatii: https://ciseo.ro/servicii/cursuri-iso-31000/ 

Nota: Acest articol este un material explicativ original, elaborat pe baza informatiilor publice referitoare la ISO 31000:2018. Nu reproduce textul standardului si nu il inlocuieste. Pentru aplicarea sau evaluarea conformitatii trebuie consultata publicatia oficiala ISO si, dupa caz, cerintele legale si contractuale aplicabile.

by CISEO® Agentia pentru Certificare & Implementare Standarde Europene in Organizatii

www.ciseo.ro

Disclaimer: Articol scris cu suportul AI pentru un mesaj simplu si clar, pe intelesul tuturor.

It was useful for you? Share it if you LIKE it!