Rejestr ryzyk w firmie: wzór i przykłady
Rejestr ryzyk to lista zdarzeń, które mogą zaszkodzić firmie, z oceną prawdopodobieństwa i wpływu, zabezpieczeniami, właścicielem i datą przeglądu. Najprostsza ocena mnoży prawdopodobieństwo przez wpływ w skali 1-5, co daje wynik od 1 do 25. Rejestr działa, gdy każde ryzyko ma osobę, która go pilnuje.
Co powinien zawierać rejestr ryzyk?
Dziesięć kolumn wystarczy w firmie każdej wielkości. Więcej pól zwykle oznacza, że nikt ich nie uzupełnia.
- Co może się wydarzyć: jedno zdarzenie, nie ogólny obszar („odchodzi jedyna osoba znająca rozliczenia”, a nie „kadry”).
- Co się wtedy stanie: skutek w pieniądzach, czasie albo reputacji.
- Kategoria: operacyjne, finansowe, prawne, ludzie, IT i dane, reputacja.
- Prawdopodobieństwo i wpływ przed zabezpieczeniami, w skali 1-5.
- Zabezpieczenia: co robimy, żeby się nie wydarzyło albo żeby szybko to wykryć.
- Ocena po zabezpieczeniach.
- Próg tolerancji: powyżej jakiego wyniku firma musi działać.
- Właściciel: jedna osoba.
- Plan działania z terminem.
- Data następnego przeglądu.
Jak założyć rejestr ryzyk krok po kroku?
Rejestr ryzyk zakłada się w pięciu krokach, a pierwsza wersja powstaje na jednym spotkaniu kierowników. Ważniejsze od liczby ryzyk jest to, żeby każde miało właściciela i datę przeglądu.
- 1
Zbierz zdarzenia
Każdy kierownik przynosi trzy rzeczy, które w jego dziale mogą pójść źle, i ostatnie trzy incydenty. Zapisuj zdarzenia, nie obszary.
- 2
Usuń powtórzenia i dopisz skutek
Z kilkudziesięciu pozycji zostaje kilkanaście. Przy każdej zapisz, co się wtedy stanie: kwota, czas, klient.
- 3
Oceń przed zabezpieczeniami
Prawdopodobieństwo i wpływ od 1 do 5. Gdy zespół się nie zgadza, przyjmij ocenę wyższą i zapisz powód.
- 4
Wpisz zabezpieczenia i właściciela
Co już robicie, kto to utrzymuje i jaka jest ocena po zabezpieczeniach. Ryzyko bez osoby nie jest pilnowane.
- 5
Ustal próg i przegląd
Zarząd decyduje, powyżej jakiego wyniku firma musi działać. Każde ryzyko dostaje datę ponownej oceny.
Jak ocenić ryzyko w macierzy 5 na 5?
Oceń prawdopodobieństwo i wpływ od 1 do 5, a wyniki pomnóż. Wynik 12 i więcej oznacza ryzyko, którym zarząd powinien zająć się w tym kwartale.
| Wynik | Poziom | Co robimy |
|---|---|---|
| 1-4 | Niskie | Akceptujemy i przeglądamy raz w roku |
| 5-11 | Średnie | Właściciel utrzymuje zabezpieczenia, przegląd co pół roku |
| 12-19 | Wysokie | Plan działania z terminem, przegląd co kwartał |
| 20-25 | Krytyczne | Decyzja zarządu od razu, przegląd co miesiąc |
Oceniaj dwa razy: przed zabezpieczeniami i po nich. Różnica pokazuje, ile daje każda kontrola, a ocena „po” nie może być wyższa niż „przed”.
Jakie są przykłady ryzyk w firmie?
Poniżej pięć ryzyk, które pojawiają się w większości firm usługowych, z przykładową oceną przed zabezpieczeniami. Twoje oceny będą inne.
| Ryzyko | Kategoria | P x W | Zabezpieczenie |
|---|---|---|---|
| Odchodzi jedyna osoba znająca rozliczenia z kluczowym klientem | Ludzie | 3 x 5 = 15 | Spisana procedura, zastępca przeszkolony |
| Klient nie płaci faktury powyżej 50 tys. zł | Finansowe | 3 x 4 = 12 | Limit kredytu kupieckiego, monitoring należności co tydzień |
| Utrata danych po awarii lub ataku | IT i dane | 2 x 5 = 10 | Kopia zapasowa poza firmą, test odtworzenia co kwartał |
| Przegapiony termin odwołania od decyzji urzędu | Prawne | 2 x 4 = 8 | Termin w kalendarzu z przypomnieniem, właściciel sprawy |
| Wyciek danych osobowych klientów | Prawne | 2 x 4 = 8 | Uprawnienia według ról, procedura zgłoszenia naruszenia |
Jakie ryzyka prawne wpisać do rejestru?
Te, które mają twardy termin albo próg w przepisach. Przegapienie terminu zamienia ryzyko w pewną stratę.
- Naruszenie ochrony danych osobowych: zgłoszenie do organu nadzorczego w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33 RODO).
- Zgłoszenie sygnalisty: potwierdzenie przyjęcia w 7 dni i informacja zwrotna w 3 miesiące, jeśli firma ma obowiązek prowadzić procedurę (ustawa o ochronie sygnalistów).
- Terminy wypowiedzenia umów z klientami i dostawcami.
- Terminy odwołań od decyzji po kontrolach urzędów.
- Wygasające uprawnienia, badania i szkolenia BHP pracowników.
Czym różni się rejestr ryzyk w projekcie?
Rejestr ryzyk projektu żyje tyle co projekt i dotyczy terminu, budżetu i zakresu. Zamyka się go razem z projektem, a ryzyka, które zostają, przenosi do rejestru firmy.
- Przegląd na każdym spotkaniu statusowym, nie raz na kwartał.
- Właścicielem jest członek zespołu projektu, nie kierownik działu.
- Typowe ryzyka: opóźnienie dostawcy, zmiana zakresu przez klienta, brak kluczowej osoby w krytycznym tygodniu.
Jak prowadzić rejestr ryzyk w EXCORE?
Moduł Ryzyka w obszarze Zgodność liczy poziom jako prawdopodobieństwo razy wpływ, osobno przed zabezpieczeniami i po nich, i porównuje wynik z progiem, powyżej którego firma działa. Mapa ryzyk 5 na 5 i kafle „Ponad tolerancję”, „Do przeglądu” i „Bez właściciela” pokazują, czym zająć się najpierw.
- Zabezpieczenie ma rodzaj (zapobiega, wykrywa, naprawia), skuteczność i osobę, która je utrzymuje. Przycisk „sprawdzona dziś” zapisuje, że kontrola działa.
- Z planu działania powstaje zadanie na liście konkretnej osoby, z terminem.
- Data przeglądu trafia do kalendarza firmy, a właściciel dostaje powiadomienia w aplikacji w dniach przypomnień ustawionych w firmie.
- Ryzyka pod kontrolą muszą mieć właściciela, a zaakceptowane muszą mieć zapisany powód.
Wzór do pobrania
Rejestr ryzyk
REJESTR RYZYK
Firma: [nazwa firmy]
Właściciel rejestru: [imię i nazwisko, stanowisko]
Stan na: [data] Następny przegląd całego rejestru: [data]
Skala oceny
- Prawdopodobieństwo (P): 1 bardzo rzadko, 2 rzadko, 3 możliwe, 4 prawdopodobne, 5 prawie pewne.
- Wpływ (W): 1 pomijalny, 2 mały, 3 odczuwalny, 4 poważny, 5 zagrażający firmie.
- Poziom = P x W: 1-4 niskie, 5-11 średnie, 12-19 wysokie, 20-25 krytyczne.
- Próg tolerancji firmy: [np. 8]. Ryzyko powyżej progu wymaga planu działania.
Ryzyko nr [1]
- Co może się wydarzyć: [jedno zdarzenie]
- Co się wtedy stanie: [skutek: kwota, czas, klienci]
- Kategoria: [operacyjne / finansowe / prawne / ludzie / IT i dane / reputacja]
- Ocena przed zabezpieczeniami: P [1-5] x W [1-5] = [wynik]
- Zabezpieczenia: [co robimy], rodzaj [zapobiega / wykrywa / naprawia], utrzymuje [osoba], ostatnio sprawdzone [data]
- Ocena po zabezpieczeniach: P [1-5] x W [1-5] = [wynik]
- Stan: [otwarte / pod kontrolą / zaakceptowane / zamknięte]
- Jeśli zaakceptowane, dlaczego: [uzasadnienie]
- Właściciel: [imię i nazwisko]
- Plan działania: [co zrobić], kto [osoba], do [data]
- Następny przegląd: [data]
Ryzyko nr [2]
- Co może się wydarzyć: [jedno zdarzenie]
- Co się wtedy stanie: [skutek]
- Kategoria: [kategoria]
- Ocena przed zabezpieczeniami: P [ ] x W [ ] = [ ]
- Zabezpieczenia: [co robimy], utrzymuje [osoba]
- Ocena po zabezpieczeniach: P [ ] x W [ ] = [ ]
- Stan: [stan]
- Właściciel: [imię i nazwisko]
- Plan działania: [co zrobić], kto [osoba], do [data]
- Następny przegląd: [data]
Przykład wypełnienia
- Co może się wydarzyć: odchodzi jedyna osoba znająca rozliczenia z kluczowym klientem
- Co się wtedy stanie: opóźnione faktury przez miesiąc, ryzyko kar umownych
- Kategoria: ludzie
- Ocena przed zabezpieczeniami: P 3 x W 5 = 15 (wysokie)
- Zabezpieczenia: spisana procedura rozliczeń, przeszkolony zastępca, utrzymuje kierownik finansów
- Ocena po zabezpieczeniach: P 3 x W 2 = 6 (średnie)
- Stan: pod kontrolą
- Właściciel: Jan Nowak
- Plan działania: zastępca samodzielnie rozlicza jeden miesiąc, kto Jan Nowak, do [data]
- Następny przegląd: [data]
Historia przeglądów
- [data]: przegląd przeprowadził [osoba], zmiany: [opis].
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Jak często aktualizować rejestr ryzyk?
Cały rejestr raz w roku, ryzyka wysokie co kwartał, krytyczne co miesiąc. Poza tym po każdym incydencie, zmianie przepisów albo utracie dużego klienta.
Kto powinien prowadzić rejestr ryzyk?
Rejestr jako całość prowadzi jedna osoba, zwykle z zarządu albo finansów. Każde ryzyko ma jednak własnego właściciela, który je ocenia i utrzymuje zabezpieczenia.
Czy mała firma potrzebuje rejestru ryzyk?
Tak, w wersji na jedną stronę. Nawet 10 ryzyk z właścicielem i datą przeglądu chroni przed sytuacją, w której o problemie wiedziała jedna osoba.
Czy rejestr ryzyk jest obowiązkowy?
W firmie prywatnej ogólnego obowiązku nie ma, choć rejestru mogą wymagać klienci, normy albo przepisy branżowe. W sektorze publicznym zarządzanie ryzykiem jest jednym z celów kontroli zarządczej (art. 68 ust. 2 pkt 7 ustawy o finansach publicznych).
Czy rejestr ryzyk zastępuje ocenę ryzyka zawodowego?
Nie. Ocena ryzyka zawodowego dotyczy zagrożeń dla zdrowia i życia na stanowiskach pracy i jest obowiązkiem każdego pracodawcy (art. 226 Kodeksu pracy). Rejestr ryzyk opisuje zagrożenia dla działalności firmy i prowadzi się go obok.
Źródła
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację