Rafał Ostrowski dołącza do zespołu zapewnienia jakości w firmie produkującej suplementy diety tuż po ukończeniu studiów z zarządzania ryzykiem.
Przez pierwsze miesiące jego praca polega głównie na dokumentowaniu wyników inspekcji i aktualizowaniu rejestrów odchyleń. Z czasem dostaje zadanie śledzenia, jak wdrożone działania korygujące wpływają na poziom ryzyka rezydualnego przy konkretnych procesach. To, czego się uczy w ciągu kolejnych dwóch lat, zmienia jego rozumienie całej dziedziny.
Czym jest ryzyko rezydualne i dlaczego warto je śledzić
Ryzyko rezydualne to poziom zagrożenia, który pozostaje po zastosowaniu wszystkich zaplanowanych kontroli.
W teorii powinno być akceptowalne — organizacja wdraża zabezpieczenia właśnie po to, żeby obniżyć ryzyko do tolerowanego poziomu. W praktyce Rafał obserwuje, że ryzyko rezydualne rzadko spada tak nisko, jak zakładano podczas oceny. Przyczyny są prozaiczne: kontrole są niedostatecznie utrzymywane, personel rotuje i traci kompetencje, a warunki procesu zmieniają się bez aktualizacji dokumentacji.
Co Rafał uznaje za zalety systematycznego śledzenia ryzyka rezydualnego
- Ujawnia lukę między planowaną a rzeczywistą skutecznością zabezpieczeń.
- Dostarcza danych do priorytyzacji działań podczas przeglądu zarządzania.
- Pozwala wychwycić trendy zanim dojdzie do poważniejszego incydentu.
- Tworzy historię decyzji, która jest bezcenna podczas zewnętrznych inspekcji regulatorów.
Wady i ograniczenia tego podejścia
- Wymaga regularnego nakładu pracy i dyscypliny w aktualizowaniu danych.
- Wyniki mogą być ignorowane przez kierownictwo, jeśli ryzyko rezydualne jest akceptowalne na papierze.
- Trudno przekonać organizację do działań prewencyjnych, gdy nic jeszcze się nie wydarzyło.
Konkretny przypadek — linia pakowania
Rafał opisuje linię pakowania tabletek, przy której wdrożono cztery nowe kontrole po serii odchyleń wagowych.
Po sześciu miesiącach liczba odchyleń spadła o połowę — co wyglądało jak sukces. Po kolejnych ośmiu miesiącach wróciła do poziomu wyjściowego. Audyt wykazał, że jedna z kontroli przestała być stosowana po odejściu osoby, która ją wdrażała i szkoliła. Nikt nie przekazał wiedzy, dokumentacja była nieaktualna.
Skuteczność zabezpieczenia zależy od ciągłości wiedzy o tym, po co ono istnieje — nie tylko od jego obecności w procedurze.
Co Rafał mówi o pracy analitycznej dla introwertyków
Śledzenie ryzyka rezydualnego to praca, która wymaga skupienia na długich szeregach danych i cierpliwego szukania wzorców.
Rafał przyznaje, że środowisko pracy przy komputerze z dostępem do bazy danych odchyleń jest dla niego znacznie bardziej komfortowe niż prowadzenie szkoleń grupowych. Najtrudniejszym elementem jest komunikowanie niepokojących trendów menedżerom, którzy wolą słyszeć, że sytuacja jest pod kontrolą. Nauczył się przedstawiać dane wizualnie — wykres trendu przemawia mocniej niż tabela liczb i wymaga mniej słów.
Ryzyko rezydualne nigdy nie znika całkowicie, a organizacje, które zakładają inaczej, przestają je monitorować.