Beata Szymańska pracuje jako specjalista ds. zgodności w firmie świadczącej usługi księgowe dla małych przedsiębiorstw.
Kiedy zarząd zlecił jej przygotowanie oceny ryzyka operacyjnego dla działu kadr, miała do dyspozycji tygodniowe szkolenie z metodologii i arkusz Excel odziedziczony po poprzedniku. Matryca w arkuszu miała pięć kolumn i trzydzieści predefiniowanych kategorii ryzyk. Beata przyznaje, że przez pierwsze trzy dni uzupełniała ją mechanicznie, bez zastanowienia, czy kolumny mają sens w jej kontekście.
Potem zatrzymała się i zaczęła od nowa.
Krok pierwszy — zrozumienie czemu służy każda kolumna
Matryca zawierała kategorie: prawdopodobieństwo, wpływ finansowy, wpływ reputacyjny, istniejące kontrole i poziom ryzyka rezydualnego.
Problem polegał na tym, że Beata nie wiedziała, jak oceniać wpływ reputacyjny dla procesów wewnętrznych, które klient nigdy nie widzi. Zapytała starszego audytora z zewnętrznej firmy współpracującej z jej pracodawcą. Odpowiedź była prosta: jeśli nie potrafisz wiarygodnie ocenić danej kategorii, zaznacz to wprost i wyjaśnij dlaczego — lepsza uczciwa luka niż wymyślona liczba.
Zalety matrycy ryzyka jako narzędzia
- Wymusza ustrukturyzowane myślenie o każdym zagrożeniu z osobna.
- Tworzy dokumentację, do której można wracać i porównywać zmiany w czasie.
- Ułatwia komunikację z osobami, które potrzebują syntetycznego obrazu ryzyk bez czytania całego raportu.
- Pozwala ustalić priorytety działań naprawczych na podstawie zobiektywizowanych kryteriów.
Wady matrycy ryzyka w praktyce
- Oceny liczbowe są subiektywne i zależą od doświadczenia osoby wypełniającej.
- Gotowe szablony często nie pasują do specyfiki konkretnej organizacji.
- Ryzyko traktowania wypełnienia arkusza jako celu, zamiast jako środka do analizy.
- Trudno uchwycić ryzyki emergentne, które nie mieszczą się w predefiniowanych kategoriach.
Jak Beata weryfikowała swoje oceny
Po wypełnieniu matrycy dla dwunastu procesów kadrowych, umówiła się na krótkie konsultacje z czterema pracownikami działu.
Nie pokazywała im arkusza — pytała o sytuacje, w których coś poszło nie tak w ciągu ostatnich dwóch lat. Zestawiała te opowieści z własnymi ocenami. W pięciu przypadkach pracownicy opisywali incydenty, które w jej matrycy były oznaczone jako mało prawdopodobne. Zrewidowała oceny.
Matryca ryzyka bez weryfikacji z ludźmi wykonującymi pracę jest tylko dokumentem — nie narzędziem zarządzania.
Co Beata zmieniłaby przy kolejnej ocenie
Przyznaje, że zaczęłaby od rozmów, a nie od arkusza.
Dokumenty dają strukturę, ale incydenty i prawie-wypadki żyją w pamięci ludzi, nie w rejestrach. Jako osoba, która woli przetworzyć informacje przed ich prezentacją, Beata doceniła, że ten typ pracy pozwala na dokładne przygotowanie i przemyślenie każdego punktu przed rozmową z przełożonymi. Raport końcowy był konkretny i dobrze przyjęty, bo opierał się na weryfikowalnych przykładach, a nie ogólnych stwierdzeniach o ryzyku procesowym.