De la lista de riscuri la decizie
Înainte • Practică Standard (Vulnerabil)
Riscurile sunt enumerate, dar nu au criterii comune, proprietari, praguri sau acțiuni clare.
După • Structură Securizată (Conform)
Fiecare risc este analizat, evaluat, tratat, atribuit și urmărit în funcție de obiectivele organizației.
O organizație nu poate trata toate riscurile în același fel. Unele trebuie eliminate, altele reduse, unele pot fi reținute în limite controlabile, iar altele pot necesita transfer financiar. Managementul riscului începe prin înțelegerea expunerii și se termină printr-o decizie explicită privind modul în care organizația o gestionează.
1. Ce este Enterprise Risk Management?
Enterprise Risk Management, sau ERM, este abordarea integrată prin care organizația identifică, analizează, evaluează și tratează riscurile care pot influența atingerea obiectivelor sale.
ISO 31000:2018 oferă principii și orientări pentru managementul riscului și descrie un proces care include identificarea, analiza, evaluarea, tratarea, monitorizarea și comunicarea riscurilor. Standardul este un ghid, nu un standard certificabil.
Ciclul ERM
Context — obiective, strategie, activitate și criterii de risc.
1. Stabilirea Contextului și Identificarea (Identificare)
Maparea proceselor critice, a activelor, a obligațiilor legale/contractuale și a amenințărilor interne și externe.
2. Evaluarea Probabilității și Severității (Evaluare)
Ierarhizarea riscurilor în matricea Frecvență × Impact (brut vs. rezidual, după aplicarea controalelor interne).
3. Tratarea Riscului (Prevenție + Transfer) (Decizie)
Decizia între evitare, reducere tehnică, retenție controlată (franșiză) și transfer contractual prin asigurare.
4. Monitorizare și Audit Continuu (Revizuire)
Urmărirea indicatorilor de risc (KRI), analiza incidentelor (Near-Miss) și recalibrarea anuală a registrului ERM.
2. Identificarea riscurilor: de unde începe analiza?
Identificarea nu trebuie limitată la evenimentele care au produs deja daune. Analiza trebuie să ia în considerare schimbările care pot afecta obiectivele companiei: dependențe de furnizori, tehnologie, personal, infrastructură, reglementare, piețe, finanțare și reputație.
Structură practică de clasificare a riscurilor
| Categorie | Exemple | Întrebarea de management |
|---|---|---|
| Strategic | Schimbări de piață, concurență, decizii strategice | Poate riscul afecta obiectivele pe termen lung? |
| Operațional | Echipamente, procese, erori, furnizori | Poate activitatea fi întreruptă sau degradată? |
| Financiar | Lichiditate, credit, curs valutar, dobânzi | Ce efect poate avea asupra fluxurilor financiare? |
| Legal & compliance | Obligații contractuale, litigii, reglementări | Ce consecințe juridice sau de conformitate pot apărea? |
| Cyber & tehnologie | Atacuri, indisponibilitate, pierdere de date | Ce procese și informații sunt dependente de sistemele IT? |
| Hazard / asigurabil | Incendiu, fenomene naturale, anumite răspunderi | Ce pierdere poate fi redusă sau transferată contractual? |
Aceste categorii nu sunt exclusive. Un singur scenariu poate traversa mai multe categorii: un incendiu poate produce întrerupere operațională, pierdere financiară, probleme contractuale și impact asupra clienților.
3. Probabilitate și impact: cum funcționează matricea de risc
Matricea probabilitate-impact este un instrument de prioritizare. Ea nu „calculează adevărul” despre un risc, ci oferă un limbaj comun pentru compararea expunerilor atunci când criteriile de evaluare sunt definite și aplicate consecvent.
Matrice simplificată 3 × 3
| Impact / Probabilitate | Scăzută | Medie | Ridicată | Ridicat |
|---|---|---|---|---|
| Prioritate ridicată | Prioritate foarte ridicată | Prioritate critică | ||
| Prioritate moderată | Prioritate ridicată | Prioritate foarte ridicată | ||
| Prioritate redusă | Prioritate moderată | Prioritate ridicată |
Riscul evaluat inițial reprezintă întotdeauna riscul pe care organizația îl are după aplicarea controalelor.
Există o diferență esențială între riscul inerent (înainte de măsuri) și riscul rezidual (după implementarea controalelor tehnice și procedurale), iar chiar și controalele active pot eșua parțial în scenarii extreme.
Tratamentul trebuie orientat către riscul rezidual și către nivelul de risc pe care organizația îl acceptă în raport cu obiectivele sale.
4. Cum construiești un registru de risc util
Un registru de risc bun nu este o listă de titluri. Fiecare înregistrare trebuie să permită managementului să înțeleagă sursa riscului, consecința, nivelul de expunere și acțiunea decisă.
Datele esențiale ale unui risc
- Cauză — ce poate genera evenimentul?
- Eveniment — ce se poate întâmpla?
- Impact — ce obiective pot fi afectate?
- Probabilitate — cât de plauzibil este scenariul?
- Controale — ce măsuri există deja?
- Risc rezidual — ce expunere rămâne?
Exemplu de structură pentru Risk Register
| Câmp | Conținut |
|---|---|
| Risc | Descriere clară și specifică |
| Cauză | Factorii care pot produce evenimentul |
| Consecință | Efectul asupra obiectivelor |
| Probabilitate | Scor sau categorie definită de metodologie |
| Impact | Scor sau categorie definită de metodologie |
| Controale | Măsuri existente și eficiența lor |
| Risc rezidual | Nivelul după controale |
| Tratament | Decizia și măsurile următoare |
| Owner | Persoana responsabilă de monitorizare |
| Review | Data următoarei revizuiri |
5. Cele patru direcții de tratament
În practică, organizațiile combină mai multe răspunsuri. „4T” poate fi folosit ca un cadru practic pentru a discuta despre Terminate, Treat, Tolerate și Transfer, dar nu trebuie prezentat ca o taxonomie obligatorie a ISO 31000.
De la evaluare la tratament
Verificarea și parcurgerea etapelor pentru: de la evaluare la tratament
Evitare
Activitatea sau expunerea poate fi eliminată?
Reducere
Ce controale pot diminua probabilitatea sau impactul?
Reținere
Ce parte din pierdere poate suporta organizația?
Transfer
Ce consecințe pot fi transferate contractual?
Cadrul practic 4T
| Opțiune | Acțiune | Când poate fi potrivită? | Legătura cu asigurarea |
|---|---|---|---|
| Evitare | Eliminarea activității sau expunerii | Riscul nu este compatibil cu obiectivele sau toleranța organizației | Nu transferă riscul; îl elimină prin schimbarea activității |
| Reducere | Prevenție, protecție și controale | Riscul poate fi diminuat prin măsuri rezonabile | Poate influența profilul de risc analizat de asigurător; nu presupune automat reducerea primei |
| Reținere | Asumarea unei părți din pierdere | Impactul este suportabil în limitele financiare stabilite | Poate apărea, de exemplu, prin franșiză sau deductibil |
| Transfer | Transferarea contractuală a anumitor consecințe | Impactul financiar depășește capacitatea sau apetitul de retenție | Poate fi realizat printr-o poliță, în limitele și condițiile contractului |
6. Transferul prin asigurare: ce se transferă de fapt?
Asigurarea nu transferă „riscul” în sens absolut. Contractul poate transfera către asigurător anumite consecințe financiare ale unor evenimente acoperite, în limitele, condițiile, excluderile și franșizele prevăzute de poliță.
7. De ce „Transfer 100%” este o formulare periculoasă
În managementul corporativ este tentant să spunem că o poliță transferă integral un risc. În realitate, gradul de transfer depinde de contract și de pierderea concretă. Chiar și un risc cu o poliță relevantă poate păstra o componentă de retenție sau de expunere neacoperită.
Gândește în termeni de retenție și transfer
Nivel 1 — MODERATE
Retenție integrală — organizația suportă pierderea conform deciziei sale de risc.
Nivel 2 — MODERATE
Retenție parțială — organizația păstrează o parte din pierdere și transferă restul.
Nivel 3 — MODERATE
Transfer contractual — o parte a consecinței poate fi transferată, în limitele poliței.
Nivel 4 — MODERATE
Expunere reziduală — rămân consecințe care nu sunt eliminate de mecanismul de transfer.
8. Un exemplu: incendiul unei facilități
Scenariu: risc de incendiu într-o facilitate corporate
Compania operează o facilitate în care o avarie tehnică poate produce incendiu, afectând activele și capacitatea de producție.
Un eveniment produce avarii materiale și întrerupe temporar activitatea.
ERM-ul companiei ar trebui să fi analizat prevenția și protecția, capacitatea de continuitate, retenția financiară și posibilitatea transferului anumitor consecințe prin asigurare. După eveniment, soluționarea depinde de faptele constatate și de condițiile contractuale.
Cum se schimbă expunerea prin tratament
Înainte • Practică Standard (Vulnerabil)
Probabilitate și impact evaluate, dar fără măsuri suficiente și fără o decizie clară privind retenția.
După • Structură Securizată (Conform)
Controale implementate, retenție stabilită, capacitate de continuitate analizată și transfer contractual dimensionat în raport cu expunerea.
9. Riscul cibernetic și integrarea cu ERM
Riscul cyber nu trebuie tratat izolat de restul registrului de risc. Pentru entitățile aflate în domeniul de aplicare al NIS2, Directiva (UE) 2022/2555 prevede măsuri adecvate și proporționale de gestionare a riscurilor de securitate cibernetică, inclusiv analiză de risc, gestionarea incidentelor, continuitate, recuperare în caz de dezastru și securitatea lanțului de aprovizionare.
Aceasta nu înseamnă că orice companie este automat în domeniul de aplicare al NIS2. Aplicabilitatea depinde de tipul entității, sector, dimensiune și celelalte condiții prevăzute de cadrul european și de implementarea națională.
Cyber Risk în registrul ERM
Active — sisteme, date și servicii esențiale pentru activitate.
1. Active și Date Critice (Active IT)
Inventarierea sistemelor ERP/WMS, a bazelor de date cu caracter personal și a infrastructurii cloud de care depinde operarea.
2. Amenințări și Vectori de Atac (Vectori)
Evaluarea expunerii la ransomware, compromiterea furnizorilor IT, phishing avansat și indisponibilitatea sistemelor.
3. Controale de Reziliență Tehnică (Prevenție)
Implementarea MFA, EDR, segmentarea rețelelor și copii de siguranță imutabile testate periodic la restaurare.
4. Transferul Riscului Rezidual (Cyber) (Asigurare)
Configurarea poliței Cyber pentru acoperirea răspunsului la incident, a întreruperii digitale și a răspunderii GDPR.
10. Monitorizarea și revizuirea registrului de risc
Profilul de risc se schimbă atunci când compania schimbă ceva important: achiziționează un utilaj, deschide o locație, externalizează un serviciu, intră pe o piață nouă, schimbă un furnizor critic sau introduce o infrastructură IT nouă.
De aceea, revizuirea nu trebuie tratată doar ca un exercițiu anual. Frecvența trebuie corelată cu natura expunerii și cu schimbările organizației.
Când trebuie revizuit registrul de risc
Etapa 01 — Periodic
Conform metodologiei interne și nivelului de expunere.
Etapa 02 — Schimbare strategică
Achiziții, piețe noi, reorganizări.
Etapa 03 — Schimbare operațională
Locații, utilaje, procese sau furnizori.
Etapa 04 — Incident
După materializarea unui eveniment sau a unui near miss relevant.
Etapa 05 — Schimbare contractuală
Polițe, limite, franșize sau condiții importante.
Etapa 06 — Schimbare legislativă
Obligații noi care pot modifica profilul de risc.
Risk Review Check
- Obiectivele și contextul organizației sunt actualizate.
- Riscurile noi sunt identificate.
- Riscurile existente au un owner.
- Criteriile de probabilitate și impact sunt aplicate consecvent.
- Controalele existente sunt evaluate.
- Riscul rezidual este documentat.
- Acțiunile de tratament au termene și responsabili.
- Retenția financiară este compatibilă cu apetitul de risc.
- Programul de asigurare este comparat cu expunerea reală.
- Limitele și franșizele sunt revizuite la schimbări relevante.
- Riscurile cyber și de supply chain sunt integrate unde sunt relevante.
- Registrul este actualizat după incidente și schimbări majore.
11. Matricea de risc nu este decizia finală
Un scor ridicat nu înseamnă automat „cumpără asigurare”, după cum un scor scăzut nu înseamnă automat „ignoră riscul”. Decizia trebuie să țină cont de apetitul și toleranța la risc, de costul controalelor, de capacitatea financiară și de posibilitatea reală de transfer contractual.
Întrebările managementului
Verificarea și parcurgerea etapelor pentru: întrebările managementului
Este riscul compatibil cu obiectivele și apetitul de risc?
Etapa 1 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Putem elimina sursa expunerii?
Etapa 2 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Ce control reduce cel mai eficient probabilitatea sau impactul?
Etapa 3 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Cât putem reține fără să afectăm lichiditatea?
Etapa 4 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Ce parte a consecinței poate fi transferată contractual?
Etapa 5 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Care este riscul rezidual după toate măsurile?
Etapa 6 obligatorie în cadrul analizei tehnice și contractuale (Întrebările managementului).
Concluzie
O matrice de risc este utilă atunci când transformă informația despre expunere într-o decizie. Identificarea stabilește ce poate merge greșit; analiza arată cât de plauzibil și sever poate fi scenariul; tratamentul stabilește ce face organizația. Asigurarea intervine acolo unde transferul financiar are sens economic și contractual. Ea nu înlocuiește prevenția, controalele, continuitatea sau capacitatea financiară proprie. Un ERM matur nu caută să elimine orice risc. Caută să facă riscurile vizibile, comparabile și gestionabile, astfel încât managementul să poată decide conștient cât evită, cât reduce, cât reține și cât transferă.
Acest material are caracter general, educațional și informativ. Nu reprezintă consultanță juridică, fiscală, tehnică sau individuală de asigurare și nu constituie o certificare ISO 31000 sau o opinie privind aplicabilitatea NIS2 unei entități concrete.
Condițiile de acoperire, limitele, franșizele, excluderile, obligațiile asiguratului și celelalte efecte juridice ale unui contract de asigurare sunt cele prevăzute în documentația contractuală aplicabilă.