Terminologie a metodologie řízení rizik: Průvodce pro studenty

TL;DR / Rychlé shrnutí:

• Riziko je kombinace pravděpodobnosti a následků nežádoucí události.
• Metriky rizika (EL, ALE, AIR, RPN) kvantifikují rizika pro lepší rozhodování.
• Proces managementu rizik se skládá ze stanovení kontextu, posuzování rizik (identifikace, analýza, hodnocení) a ošetřování rizik.
• Důležité pojmy zahrnují hrozbu, aktivum, scénář havárie a iniciační událost.

Ahoj studenti! Dnešní téma je klíčové pro mnoho oborů – Terminologie a metodologie řízení rizik. Porozumění těmto principům vám pomůže nejen u zkoušek, ale i v budoucí kariéře. V tomto komplexním průvodci se ponoříme do základních pojmů, metrik a procesů, které tvoří pilíře efektivního managementu rizik.

Základní pojmy v řízení rizik: Úvod do světa nejistoty

Co je to riziko a jak ho chápeme?

Riziko představuje možnost, že dojde k nežádoucí události s negativními důsledky. Vždy se vztahuje k budoucnosti, kde výsledek není jistý a alespoň jedna z variant je pro nás horší než ostatní. Riziko je kombinací pravděpodobnosti a následků.

Je důležité rozlišovat mezi rizikem a nebezpečím. Nebezpečí je potenciální zdroj škody (např. chemikálie, oheň), zatímco riziko vyjadřuje pravděpodobnost a velikost následků, že z tohoto nebezpečí vznikne škoda. Může existovat i pozitivní riziko, například výhra v kasinu.

Klasifikace rizik: Individuální vs. Skupinové

Rizika můžeme dělit na dvě základní kategorie:

• Individuální riziko: Vztahuje se k jednotlivci a nezávisí na počtu ohrožených osob. Příkladem může být otázka: „Bude moje zavazadlo poškozeno?“
• Skupinové riziko: Je kombinací individuálního rizika a počtu ohrožených osob. Například: „Kolik zavazadel bude ztraceno celkem?“

Scénář havárie a jeho klíčové prvky

Scénář havárie popisuje sled událostí, který začíná iniciační událostí a končí nežádoucím stavem, jako je poškození či ohrožení aktiva. Tyto scénáře zjednodušují realitu, protože není možné popsat všechny možné varianty vývoje.

Pravděpodobnost a následky dílčích událostí se mohou měnit v čase. Scénáře se dělí na:

• Nejhorší scénář: Scénář s největšími dopady bez ohledu na pravděpodobnost (používá se např. v krizovém plánování).
• Nejhorší možný scénář: Scénář s největšími dopady, jehož pravděpodobnost je větší než minimální stanovená hranice (využívá se např. v územním plánování).

Iniciační událost je první událost v havarijním scénáři, která spouští sled událostí vedoucí ke škodě (např. srna vběhla do silnice, pád stromu na vozovku). Nebezpečná událost je první událost, která systém posune do abnormálního stavu. Může být shodná s iniciační událostí. Hrozba je jev, stav nebo činitel, který má potenciál způsobit škodu. Může to být přírodního nebo člověkem podmíněného původu (např. srnka stojící u silnice).

Příklad pro pochopení: Otevřené okno (hrozba); vyklonění se z okna (iniciační událost); uklouznutí a vypadnutí z okna (nebezpečná událost). Příklad scénáře: IU: Vznik požáru. Sled událostí: aktivace detektoru kouře, vyhlášení poplachu, reakce lidí, použití hasícího přístroje. KU: Požár je uhašen. KS: Způsobené škody.

Aktiva: Co chráníme?

Aktivum je vše, co má pro subjekt hodnotu, která může být ohrožena nebo zničena v důsledku hrozby. Je to zkrátka něco, co chceme chránit.

• Hmotná aktiva: Materiál, zařízení, dům.
• Nehmotná aktiva: Know-how, data, pověst firmy.

Charakteristiky aktiv zahrnují hodnotu (např. pořizovací cena; u nehmotných aktiv se zohledňuje dopad na celek, jako je finanční a procesní dopad ztráty dat) a zranitelnost (citlivost aktiva na působení konkrétních hrozeb).

Metodologie řízení rizik: Jak měříme riziko a co nám to říká?

Metriky rizika vs. Metriky bezpečnostní výkonnosti

Při měření rizika je důležité rozlišovat mezi dvěma hlavními typy metrik:

• Metrika rizika: Jedná se o odhad budoucnosti. Tato veličina obsahuje informaci o úrovni rizika vztaženému ke studovanému objektu za konkrétních okolností v budoucnosti.
• Metrika bezpečnostní výkonnosti: Jedná se o záznam minulosti. Obsahuje informaci o bezpečnostní výkonnosti studovaného objektu v minulosti. Příkladem je PLL (Potential Loss of Life) – průměrný počet úmrtí za rok v dané skupině. Například, pokud ve firmě s 1000 pracovníky ročně statisticky zemřou 2 lidé, AIR (průměrné individuální riziko) je 0,002, tedy 0,2 % ročně pro každého pracovníka.

Základní metriky rizika: Konkrétní způsoby měření

Metriky rizika převádějí informaci o riziku do množiny reálných čísel, přičemž nutně dochází k redukci informace o riziku. Metrika rizika není identická s rizikem. Zde jsou klíčové metriky:

1. EL (Expected Loss / Očekávaná ztráta)

• Použití: Řízení rizik, krizové řízení, finančnictví.
• Vyjadřuje: Jakou průměrnou ztrátu lze očekávat za určité období.
• Výpočet: 𝐸𝐿 = ∑ 𝐸(𝑙(𝑐𝑖)) ⋅ 𝑝𝑖, kde ci je i-tý scénář rizika, l(ci) je ztráta pro daný scénář, E(l(ci)) je očekávaná hodnota ztráty a pi je pravděpodobnost scénáře.
• Příklad: Při letu na dovolenou hrozí ztráta zavazadla (𝐸(𝑙(𝑐1)) = 40 000 Kč, 𝑝1 = 0,001) nebo poškození zavazadla (𝐸(𝑙(𝑐2)) = 2 000 Kč, 𝑝2 = 0,05). Vynásobením a sečtením (400000.001 + 20000.05) zjistíme, že při velkém množství letů se výše škod způsobených ztrátou nebo poškozením zavazadel bude blížit průměrně 140 Kč na jeden let.
• Alternativa pro lidské životy: VSL (Statistická hodnota života) – kolik je společnost ochotna zaplatit za snížení rizika úmrtí. Používá se v dopravě, BOZP, zdravotnictví, ekologii.

2. ALE (Annual Loss Expectancy)

• Vyjadřuje: Kolik organizace očekává ztrát za rok.
• Výpočet: 𝐴𝐿𝐸 = 𝑆𝐿𝐸 × 𝐴𝑅𝑂, kde SLE je škoda z jednoho incidentu a ARO je, kolikrát za rok se incident očekává.

3. AIR (Average Individual Risk)

• Vyjadřuje: Jaké je průměrné riziko, že konkrétní člověk zemře nebo bude zasažen nehodou za určité období.
• Výpočet: 𝐴𝐼𝑅 = 𝜆 × 𝑝𝑓, kde λ je průměrný počet nehod za období a pf je pravděpodobnost smrti při jedné nehodě.
• Příklad: Pokud je průměrný počet pracovních úrazů 𝜆 = 0.1 a pravděpodobnost smrti při úrazu 𝑝𝑓 = 0.001, pak AIR = 10⁻⁴. To znamená průměrné individuální riziko úmrtí 0,0001 za rok, tedy asi 1 úmrtí na 10 000 osob za rok.

4. RPN (Risk Priority Number)

• Vyjadřuje: Jak závažné je riziko.
• Výpočet: 𝑅𝑃𝑁 = 𝑆 (závažnost) × 𝑂 (výskyt) × 𝐷 (odhalitelnost).

Fáze procesu managementu rizik: Struktura a postup podle ISO 31000

Proces řízení rizik je strukturovaný přístup k identifikaci, analýze a reakci na rizika. Zahrnuje následující fáze podle ČSN ISO 31000:

1. Stanovení rozsahu, kontextu a kritérií

Tato úvodní fáze je zásadní pro vymezení celého procesu. Zde se určují:

• Cíle posuzování rizik.
• Hranice systému.
• Sestavení realizačního týmu a harmonogram prací.
• Dostupné zdroje.
• Kritéria akceptovatelnosti rizika, aby bylo jasné, jaké rozhodnutí má být výsledkem. Součástí je také určení metrik rizika, způsobu měření pravděpodobnosti a následků a identifikace zainteresovaných stran.

2. Posuzování rizik: Jádro analýzy rizik

Posuzování rizik je komplexní fáze, která zahrnuje tři klíčové kroky:

• Identifikace rizik: Zahrnuje identifikaci hrozeb, příčin, iniciačních a nebezpečných událostí.
• Analýza rizik: Následná analýza jejich pravděpodobnosti, vývoje scénářů a následků.
• Hodnocení rizik: Výstupem je odhad míry rizika (neakceptovatelné, tolerované, široce akceptovatelné riziko), včetně popisu nejistot. Dochází zde k porovnání s dříve stanovenými kritérii, zda je riziko akceptovatelné, či vyžaduje zásah.

3. Ošetřování rizik: Konkrétní akce

Ošetřování rizik znamená návrh, výběr a implementaci opatření, která mají riziko snížit, přenést, rozdělit, přijmout nebo mu zcela předejít. Důležitou součástí je také posouzení účinnosti těchto opatření a dokumentace zbytkového rizika, aby bylo jasné, jaká rizika zůstávají po zásahu.

Často kladené otázky (FAQ) k řízení rizik

Co je to riziko a čím se liší od nebezpečí?

Riziko je kombinace pravděpodobnosti a následků nežádoucí události, která se vztahuje k budoucnosti. Nebezpečí je potenciální zdroj škody, tedy faktor, který může škodu způsobit. Riziko kvantifikuje možnost, že z nebezpečí škoda skutečně vznikne.

Jaké jsou hlavní fáze procesu řízení rizik?

Hlavní fáze procesu řízení rizik jsou: 1) Stanovení rozsahu, kontextu a kritérií, 2) Posuzování rizik (identifikace, analýza, hodnocení) a 3) Ošetřování rizik.

Proč je důležité používat metriky rizika?

Metriky rizika jsou klíčové pro kvantifikaci a porovnávání různých rizik. Pomáhají objektivně vyhodnotit očekávané ztráty, pravděpodobnost událostí a celkovou závažnost rizik, což umožňuje informovanější rozhodování o prioritách a opatřeních.

Co znamená zkratka EL v kontextu řízení rizik?

EL znamená Expected Loss, neboli očekávaná ztráta. Je to průměrná ztráta, kterou lze očekávat za určité období, a používá se například ve finančnictví nebo krizovém řízení.

Jaký je rozdíl mezi individuálním a skupinovým rizikem?

Individuální riziko se vztahuje k jednotlivci a jeho pravděpodobnosti být zasažen událostí (např. poškození mého zavazadla). Skupinové riziko kombinuje individuální riziko s počtem ohrožených osob, popisuje dopad na celou skupinu (např. kolik zavazadel bude ztraceno celkem).