98 n Øízení rizik ve firmách a jiných organizacích
Prostøedí T
T T
R
S V
RR
S
V AKTIVA
V V
S
T
RR
V
V S RR Legenda: R riziko RR zbytkové riziko S ochranné opatøení T hrozba V zranitelnost
T
Obr. 4.2 Vztahy pøi analýze rizik vyu ívají
ZRANITELNOST
HROZBY
zvy ují
chrání pøed
OCHRANNÁ OPATØENÍ jsou splnìny
sni ují
indikují
PO ADAVKY NA OCHRANU
zvy ují
RIZIKA
jsou vystavena
AKTIVA
zvy ují
mají
HODNOTY (tudí potenciální dopady na èinnost)
Obr. 4.3 Vztahy pøi øízení rizik
Ukázka elektronické knihy, UID: KOS213660
Riziko – definice, mìøení, klasifikace a praktické pøístupy k øízení rizika ve firmì n 99
4.5 Obecný postup analýzy rizik Riziko vìtšinou neexistuje izolovanì, ale obvykle se jedná o urèité kombinace rizik, které mohou ve svém dopadu pøedstavovat hrozbu pro daný subjekt. Vzhledem k množství rizik je tøeba urèit priority z pohledu dopadu a pravdìpodobnosti jejich výskytu a zamìøit se na klíèové rizikové oblasti. V prùbìhu analýzy rizik se provádìjí nìkteré obecné èinnosti. Jednotlivé kroky za sebou následují v níže uvedené posloupnosti.
4.5.1 Stanovení hranice analýzy rizik Hranice analýzy rizik je pomyslná èára oddìlující aktiva, která budou zahrnuta do analýzy, od aktiv ostatních. Pøi stanovení hranice analýzy se vychází ze zámìrù managementu, pøípadnì z úvodní studie, byla-li zpracována. Aktiva, která mají vzhledem k probíhajícímu procesu snižování rizik vztah k cílùm managementu, budou zahrnuta do analýzy a budou ležet uvnitø hranice analýzy. Ostatní aktiva budou ležet mimo hranici analýzy rizik. Uvnitø hranice budou ležet jednotlivá aktiva, ze kterých je subjekt složen nebo jsou z hlediska aktuálního zámìru relevantní.
4.5.2 Identifikace aktiv Identifikace spoèívá ve vytvoøení soupisu všech aktiv ležících uvnitø hranice analýzy rizik. Pøi rozhodování o zaøazení daného aktiva na soupis se uvede název aktiva a jeho umístìní.
4.5.3 Stanovení hodnoty a seskupování aktiv Posuzování hodnoty aktiva je založeno na velikosti škody zpùsobené znièením èi ztrátou aktiva. Obvykle se pøi stanovení hodnoty aktiva vychází z jeho nákladových charakteristik (poøizovací ceny, reprodukèní poøizovací ceny), mohou to být ale i charakteristiky výnosové (pokud aktivum pøináší dobøe identifikovatelné zisky èi jiné významné pøínosy pro subjekt). Mezi výnosové charakteristiky patøí i vlastnosti aktiva, sloužící k dosahování ziskù nepøímo – napøíklad postavení na trhu, ochranná známka, ale i kvalifikace a know-how zamìstnancù. Velmi podstatné je rozlišit, zda se jedná o jedineèné aktivum, nebo o aktivum jednoduše nahraditelné. Do hodnoty se promítá závislost subjektu na existenci, ale i na správném fungování hodnoceného aktiva, tedy k jakým škodám dojde omezením funkènosti nebo ztrátou aktiva, než dojde k jeho obnovì. Hodnota aktiva pro analýzu rizik se mùže stanovit také jako vážený prùmìr hodnot podle všech použitých hledisek. Vzhledem k tomu, že aktiv je obvykle veliké množství, snižuje se jejich poèet tak, že se provede seskupení aktiv podle rùzných hledisek, aby se vytvoøily skupiny aktiv podobných vlastností.13 Seskupovat se mohou aktiva podobné kvality, ceny, úèelu apod. Takto vytvoøená skupina aktiv pak dále vystupuje jako jedno aktivum. Potom se musí zabezpeèit, aby protiopatøení, navržená v etapì zvládání rizik pro skupinu aktiv, byla aplikována na všechna aktiva, která jsou do této skupiny sdružena. 13 Extrémem pøi seskupování aktiv je vyjádøení celého analyzovaného subjektu ve formì jediného aktiva. Takový pøístup zjednodušuje analýzu rizik, zejména pøi identifikaci úrovnì hrozeb a zranitelností a pøi zjišťování úrovnì rizik, ale neposkytuje dobré pøedpoklady pro etapu zvládání rizik, kde vede k vytváøení šablon urèitých sad protiopatøení na úkor bohatosti kombinací jednotlivých protiopatøení.
Ukázka elektronické knihy, UID: KOS213660
100 n Øízení rizik ve firmách a jiných organizacích
Vždy je tøeba identifikovat vlastníka každého daného aktiva.
Vlastníkem aktiva rozumíme pøímo povìøenou osobu, plnì odpovìdnou za toto aktivum. S tímto vlastníkem posléze urèujeme konkrétní hodnotu aktiva.
Aktivum, jak jsme již uvedli, je prvek nebo urèitá èást systému, kterému je firmou pøiøazena urèitá hodnota (ocenìní aktiva) a pro kterou je tøeba mít nastavený zpùsob ochrany. Mezi nejdùležitìjší aktiva øadíme data, informace a znalosti (duševní vlastnictví), technické a programové prostøedky, komunikaèní zaøízení, listiny (papírové dokumenty), personál firmy. Jistì se nejedná o zcela vyèerpávající seznam, tak napøíklad ve výrobní firmì to dále mohou být hotové výrobky, v obchodní firmì finanèní aktiva, seznamy zákazníkù apod. Bohužel praxe je taková, že ochrana všech aktiv mimo hardware a software bývá hrubì podceòována. Zvláštì markantní je podcenìní papírových dokumentù, které jsou obvykle uloženy v nechránìných prostorách s volným pøístupem. Èasto se pøitom jedná o strategické dokumenty (porady vedení, obchodní jednání, smlouvy, agenda personálního charakteru apod.).
4.5.4 Identifikace hrozeb V této etapì analýzy rizik se identifikují hrozby, které pøipadají pro analýzu v úvahu. Identifikace hrozeb se provádí tak, že se vybírají ty, které by mohly ohrozit alespoò jedno z aktiv subjektu. Pro identifikaci hrozeb lze vycházet ze seznamu hrozeb, sestavených podle literatury, vlastních zkušeností, prùzkumù døíve provedených analýz. Hrozby se mohou odvozovat také od subjektu, jeho statusu (podnikatelský subjekt, orgán státu, nezisková organizace, atd.), postavení na trhu, hospodáøských výsledkù, zámìrù podnikatele. Pro získání vlastního seznamu hrozeb subjektu je vhodné použít nìkterou z metod jako brainstorming, metoda Delphi apod.
4.5.5 Analýza hrozeb a zranitelností Každá hrozba se hodnotí vùèi každému aktivu (skupinì aktiv). U tìch aktiv, na nìž se hrozba mùže uplatnit, se urèí úroveò hrozby vùèi tomuto aktivu a úroveò zranitelnosti aktiva vùèi této hrozbì. Pøi stanovení úrovnì hrozby se vychází z faktorù jako nebezpeènost, motivace a pøístup. Pøi stanovení úrovnì zranitelnosti se vychází z takových faktorù jako citlivost a kritiènost. Pøi analýze hrozeb a zranitelností se berou v úvahu realizovaná protiopatøení. Tato protiopatøení mohou snížit jak úroveò hrozby, tak úroveò zranitelnosti. Výsledným stavem je seznam dvojic „hrozba–aktivum“ (pouze tìch dvojic, kde se hrozba mùže vùèi aktivu uplatnit) se stanovenou úrovní hrozby a zranitelnosti.
4.5.6 Pravdìpodobnost jevu Nìkdy nevíme, zda jev, který zkoumáme, nastane. Jde o situaci, kdy urèitý soubor výchozích podmínek nevede vždy ke stejnému výsledku. Pak k popisu urèitého jevu doplòujeme údaj, s jakou pravdìpodobností tento jev mùže nastat. Abychom mohli poèítat s pravdìpodobnostmi, musíme urèit, zda je analyzovaný jev náhodný èi nikoliv, zda patøí do urèitého intervalu pravdìpodobnosti, pøípadnì zda jej mùžeme vylouèit, jaké jsou jeho pravdìpodobnostní charakteristiky.
Ukázka elektronické knihy, UID: KOS213660