Analiza ryzyka operacyjnego to proces identyfikacji, pomiaru, monitorowania i kontroli ryzyka strat wynikających z nieodpowiednich lub zawodnych procesów wewnętrznych, błędów ludzi i systemów albo zdarzeń zewnętrznych. Obejmuje także ryzyko prawne. Jej celem jest ograniczenie podatności organizacji, utrzymanie ciągłości działania, a w instytucjach finansowych również zachowanie adekwatności kapitałowej.
Dwie perspektywy analizy ryzyka operacyjnego
Definicja Komitetu Bazylejskiego, stosowana w standardzie Basel II, koncentruje się na możliwości poniesienia straty. Źródłem ryzyka mogą być procesy, pracownicy, systemy informatyczne oraz zdarzenia pozostające poza bezpośrednią kontrolą organizacji. W praktyce analiza nie ogranicza się jednak do rejestrowania strat. Powinna także wyjaśniać, dlaczego doszło do zdarzenia, jakie zasoby zostały narażone i w jaki sposób można ograniczyć podobne skutki w przyszłości.
W ujęciu finansowym, typowym dla banków i innych instytucji regulowanych, analiza służy przede wszystkim ocenie poziomu strat oraz określeniu kapitału potrzebnego do ich pokrycia. Chodzi więc o adekwatność kapitałową, czyli utrzymywanie zasobów finansowych odpowiadających profilowi podejmowanego ryzyka. Basel II porządkuje ryzyko operacyjne obok ryzyka kredytowego i rynkowego.
Perspektywa zarządcza ma szerszy, przyczynowo-skutkowy charakter. Obejmuje analizę przyczyn zdarzeń, podatności procesów, sposobu materializacji ryzyka oraz możliwych konsekwencji. Na tej podstawie organizacja projektuje działania prewencyjne i plany zapewnienia ciągłości działania, czyli zdolności do utrzymania lub odtworzenia najważniejszych funkcji po zakłóceniu.
Oba podejścia się uzupełniają. Kapitał może ograniczyć finansowe skutki straty, ale nie zastąpi sprawnych procesów, kontroli wewnętrznej ani planów awaryjnych. Z kolei działania prewencyjne nie eliminują całkowicie ryzyka, dlatego instytucja finansowa musi uwzględniać również jego wymiar kapitałowy.
Kategorie zdarzeń operacyjnych według Basel II
Standard Basel II wyróżnia siedem głównych kategorii zdarzeń operacyjnych. Klasyfikacja ułatwia porównywanie incydentów, analizę ich przyczyn oraz ocenę, które obszary działalności generują największą ekspozycję:
| Kategoria zdarzenia | Charakterystyka |
|---|---|
| Oszustwa wewnętrzne | Działania pracowników prowadzące do sprzeniewierzenia aktywów, nadużyć lub uchylania się od obowiązków podatkowych. |
| Oszustwa zewnętrzne | Kradzież informacji, fałszerstwo lub szkody wyrządzone przez osoby trzecie. |
| Zatrudnienie oraz bezpieczeństwo w miejscu pracy | Dyskryminacja, roszczenia pracownicze oraz naruszenia zasad bezpieczeństwa i higieny pracy. |
| Klienci, produkty i praktyki biznesowe | Niewłaściwe praktyki wobec klientów, błędy w konstrukcji produktów lub działania takie jak manipulacja rynkiem. |
| Szkody w aktywach rzeczowych | Uszkodzenia budynków, urządzeń i innych zasobów wskutek klęsk żywiołowych, terroryzmu lub wandalizmu. |
| Zakłócenie działalności i awarie systemów | Przerwy w działaniu, awarie oprogramowania, sprzętu albo innych narzędzi wspierających działalność. |
| Wykonanie transakcji, dostawa i zarządzanie procesami | Błędy księgowe, pomyłki przy realizacji transakcji, nieprawidłowe wprowadzanie danych i zaniedbania skutkujące utratą aktywów klienta. |
Jak przebiega analiza ryzyka operacyjnego?
Analiza jest cyklem, a nie jednorazowym działaniem. Jej zakres zależy od skali działalności, złożoności procesów i wymogów regulacyjnych. W organizacji może obejmować między innymi analizę zdarzeń historycznych, ocenę podatności procesów, przegląd kontroli oraz obserwację zmian w otoczeniu.
Podstawowe etapy tego cyklu obejmują:
- Identyfikacja – rozpoznanie procesów, zasobów, ludzi, systemów i zdarzeń zewnętrznych, które mogą doprowadzić do straty.
- Pomiar – ocena prawdopodobieństwa zdarzenia, możliwej skali skutków oraz poziomu ekspozycji organizacji.
- Monitorowanie – bieżąca obserwacja zdarzeń, wskaźników ryzyka, zmian procesowych i skuteczności istniejących zabezpieczeń.
- Kontrola i łagodzenie – wdrażanie działań prewencyjnych, naprawczych oraz rozwiązań ograniczających skutki zakłóceń.
W instytucjach finansowych ważnym źródłem informacji jest rejestr zdarzeń operacyjnych. Pozwala on analizować częstotliwość incydentów, ich wartość, przyczyny i powtarzalność. Wynikiem analizy może być profil ryzyka operacyjnego, czyli opis skali i struktury narażenia organizacji na straty w poszczególnych obszarach.
Czego nie obejmuje ryzyko operacyjne?
Ryzyko operacyjne nie jest tożsame z każdym rodzajem zagrożenia dla organizacji. Ryzyko strategiczne wynika z błędnych decyzji dotyczących kierunku działalności, modelu biznesowego lub przyjętej strategii. Nie zalicza się go do definicji operacyjnej, nawet jeśli nietrafna decyzja prowadzi później do strat.
Odrębną kategorią pozostaje także ryzyko reputacyjne. Może ono być skutkiem awarii systemu, oszustwa lub błędu w obsłudze klienta, ale może powstać również z innych przyczyn. Dlatego zdarzenie operacyjne może stać się przyczyną ryzyka reputacyjnego, strategicznego lub finansowego, lecz nie oznacza to, że wszystkie te rodzaje ryzyka należy utożsamiać.
Najkrócej ujmując, analiza ryzyka operacyjnego łączy ocenę możliwych strat z rozpoznaniem ich źródeł i podatności organizacji. W bankowości wspiera wymogi kapitałowe, a w każdej organizacji pomaga ograniczać zakłócenia procesów i przygotować się na ich skutki.
