Jak stworzyć rejestr ryzyka za pomocą AI: Kompletny przewodnik

Rejestr ryzyk to pojedyncza tabela przedstawiająca, co może pójść nie tak i jak duże jest tego prawdopodobieństwo. Odnotowuje się w niej również potencjalne szkody, osobę odpowiedzialną oraz podjęte decyzje. Większość zespołów tworzy swój pierwszy rejestr dopiero wtedy, gdy wydarzy się coś złego, czego nikt wcześniej nie przewidział na piśmie. Ten poradnik opisuje zarówno metodę ręczną, jak i szybszą ścieżkę, wykorzystującą posiadane już dane z eksportów.

Czym jest rejestr ryzyk

Najbardziej przejrzysta definicja pochodzi ze słownika NIST, który określa go jako „repozytorium informacji o ryzyku, obejmujące dane zebrane na temat ryzyk na przestrzeni czasu”.

Drugi wpis na tej samej stronie jest bardziej przydatny w praktyce. Opisuje on centralny rejestr bieżących ryzyk dla określonego zakresu lub organizacji.

Wpis ten wprowadza rozróżnienie, które umyka większości szablonów. Bieżące ryzyka obejmują zarówno te, które zostały zaakceptowane, jak i te z zaplanowaną ścieżką mitygacji.

Na tym właśnie polega cała idea. Rejestr ryzyk to nie lista problemów oczekujących na rozwiązanie. To rejestr decyzji, a wpis typu „przyjrzeliśmy się temu i postanowiliśmy z tym żyć” jest w pełni uzasadnioną pozycją.

To rozróżnienie niesie za sobą praktyczne konsekwencje. Jeśli w rejestrze brakuje zaakceptowanych ryzyk, nikt nie odróżni ryzyka, które zostało przeanalizowane i odrzucone, od takiego, którego w ogóle nie zauważono. Pół roku później obie te sytuacje wyglądają identycznie, a tylko jedna z nich stanowi porażkę.

Jedna uwaga dotycząca zakresu przed rozpoczęciem pracy. Materiały NIST osadzone są w kontekście federalnym i cyberbezpieczeństwa. Ich wpis w słowniku odsyła do okólnika OMB Circular A-11 w celu określenia zawartości, jaką musi posiadać rejestr federalny. Poniższy opis przedstawia wersję zarządczą, której faktycznie potrzebuje większość zespołów, a nie rejestr stworzony pod kątem zgodności z normami. Jeśli składasz raport w ramach konkretnego standardu, użyj listy pól wymaganej przez ten standard.

Jedna koncepcja z tej literatury ma jednak zastosowanie. Publikacja NIST IR 8286 opiera się na rejestrach. Jej streszczenie wyjaśnia „wartość agregowania miar ryzyka, zazwyczaj rozpatrywanych na niższych poziomach systemowych i organizacyjnych, do szerszego poziomu przedsiębiorstwa”.

Warto o tym pomyśleć już przy projektowaniu pierwszej wersji. Rejestr, którego oceny opierają się na porównywalnych danych liczbowych, można połączyć z rejestrem innego zespołu; rejestru opartego na subiektywnej ocenie połączyć się nie da.

Co jest potrzebne przed rozpoczęciem

Trzy elementy wejściowe, które rzadko występują w jednym miejscu.

• Lista zagrożeń. Wszystko to, czym Twój zespół już się martwi, bez względu na to, jak nieformalnie zostało to spisane.
• Dane o ekspozycji na ryzyko. Wydatki na dostawców, warunki umów, liczba pracowników w poszczególnych lokalizacjach, inwentaryzacja systemów, historia incydentów.
• Mapa właścicieli. Kto rzeczywiście może podjąć decyzję, a nie kto zgłosił problem.

Potrzebujesz również jednej liczby uzgodnionej z góry. Jest to próg wpływu, powyżej którego dana kwestia w ogóle trafia do rejestru ryzyk. Bez tego tabela zapełni się pozycjami, którymi nikt nigdy się nie zajmie.

Określ go w tych samych jednostkach, co dane dotyczące ekspozycji. Próg wyrażony w rocznych wydatkach jest łatwy do zweryfikowania; próg określony jako „istotny” wywoła dyskusję na nowo przy każdym przeglądzie.

Jak stworzyć rejestr ręcznie

Opcja 1: Pojedyncza tabela w arkuszu kalkulacyjnym

Jeden wiersz na każde ryzyko, z prawdopodobieństwem i wpływem jako kolumnami. Od tego zaczyna się niemal każdy rejestr i dla małego zespołu jest to wystarczające.

Kosztem jest utrzymanie. Każdy wiersz wpisuje się ręcznie, a rejestr dezaktualizuje się już tydzień po warsztatach, na których powstał.

Opcja 2: Ocena ryzyk i sortowanie

Dodaj ocenę prawdopodobieństwa i wpływu, pomnóż je przez siebie i posortuj. W ten sposób tabela zyska uporządkowaną strukturę, co jest kluczowe, aby była użyteczna podczas spotkań.

Problemem bywa spójność. Dwie osoby oceniające to samo ryzyko w odstępie miesiąca dojdą do innych wniosków, a arkusz kalkulacyjny w żaden sposób tego nie wychwyci.

Opcja 3: Oparcie ocen na własnych danych

To wersja, która obroni się podczas każdej weryfikacji. Zamiast oceniać ryzyko związane z dostawcą z pamięci, wyciągasz rzeczywiste dane. Roczne wydatki, okres wypowiedzenia umowy oraz liczba zespołów zależnych od tego dostawcy wspólnie określają poziom wpływu.

Wytyczne FEMA na stronie Ready.gov wskazują ten sam kierunek w odniesieniu do ryzyka fizycznego. Na stronie poświęconej ocenie ryzyka zaleca się firmom, aby „szukały podatności lub słabych punktów, które mogą uczynić przedsiębiorstwo bardziej podatnym na szkody spowodowane przez zagrożenie”. Słabości te – jak zauważono – „wpływają na dotkliwość szkód w przypadku wystąpienia incydentu”.

Ta sama strona przedstawia reakcję na ryzyko w kategoriach inwestycji. Wpływ „można zmniejszyć poprzez inwestowanie w mitygację”. W przypadkach, gdy potencjalny wpływ jest znaczny, opracowanie strategii mitygacji „powinno być wysokim priorytetem”.

To właściwa, ale czasochłona metoda. Każde ryzyko wymaga sięgania po inny plik eksportu.

Jak stworzyć rejestr ryzyk za pomocą AI

Krok 1: Prześlij pliki eksportu opisujące Twoją ekspozycję na ryzyko

Otwórz Powerdrill Bloom i prześlij to, co masz: eksport wydatków na dostawców, listę umów, inwentaryzację systemów oraz rejestry przeszłych incydentów. Prześlij je wszystkie razem, a nie pojedynczo.

Następnie opisz swój zakres w języku naturalnym. Określ, którą część działalności obejmuje rejestr, jaki jest Twój próg wpływu oraz jakiej skali używasz do oceny.

Krok 2: Poproś o dane liczbowe dotyczące ekspozycji dla każdego ryzyka, a nie o same oceny

Poproś o tabelę z jednym wierszem dla każdego potencjalnego ryzyka, zawierającą dane liczbowe, które powinny decydować o ocenie. Roczne wydatki, liczba zależnych zespołów, okres wypowiedzenia oraz liczba incydentów w ciągu ostatniego roku.

Poproś o podanie źródła każdej liczby. Platforma zwróci popartą faktami odpowiedź, wskazując stronę i wiersz stojące za każdą wartością. W rejestrze ryzyk taka identyfikowalność stanowi różnicę między oceną, którą potrafisz obronić, a taką, której obronić się nie da.

Samodzielnie dokonaj oceny na podstawie tych danych. Wydawanie osądów to etap, który powinien pozostać domeną człowieka.

Krok 3: Dodaj swoje decyzje i wyeksportuj dane

Dla każdego wiersza zapisz decyzję: akceptacja, mitygacja, transfer lub unikanie. W przypadkach, gdy decyzją jest mitygacja, dodaj planowane działanie, właściciela oraz datę przeglądu.

Następnie wyeksportuj tabelę posortowaną według oceny. Zachowaj kolumny z danymi o ekspozycji zamiast je usuwać. Przegląd w kolejnym kwartale rozpocznie się od sprawdzenia, czy te liczby uległy zmianie.

Jeśli rejestr stanie się cyklicznym zadaniem, zaplanowane zadania są dostępne w każdym planie – jedno w wersji Free i 20 od wersji Pro wzwyż. Kwartalne odświeżanie jest optymalne dla większości zespołów.

Co powinno znaleźć się w każdym wierszu

Kolumna	Dlaczego zasługuje na swoje miejsce
Opis ryzyka	Zapisany jako przyczyna i skutek, a nie ogólny temat
Prawdopodobieństwo	Połowa oceny i ta część, którą ludzie zazwyczaj zgadują
Wpływ	Powinien być powiązany z rzeczywistą liczbą
Dane o ekspozycji	Liczba, na podstawie której powstała ocena wpływu
Decyzja	Akceptacja, mitygacja, transfer lub unikanie
Mitygacja i właściciel	Ma sens tylko wtedy, gdy wskazana jest jedna konkretna osoba
Data przeglądu	Bez niej rejestr starzeje się po cichu

Kolumna z danymi o ekspozycji to element, który pomija większość szablonów. Jej zachowanie zmienia subiektywną ocenę w coś, co kolejny weryfikator może łatwo sprawdzić.

Najlepsze praktyki i typowe błędy

Zapisuj również zaakceptowane ryzyka. Rejestr zawierający wyłącznie otwarte pozycje to zwykła lista zadań. Zaakceptowane wpisy to te, które chronią Cię, gdy ktoś zapyta później, czy ktokolwiek wziął to pod uwagę.

Zapisuj ryzyka jako przyczynę i skutek. „Koncentracja dostawców” to tylko temat. „Nasze fakturowanie zależy od jednego dostawcy z 90-dniowym okresem wypowiedzenia” to ryzyko, które można ocenić.

Powiąż wpływ z konkretną liczbą. Nawet szacunkowa kwota jest lepsza niż ocena wzięta z sufitu, a kolejny przegląd czyni porównaniem, a nie nowym sporem.

Przypisz do każdego wiersza jednego właściciela. Współwłasność ryzyka niemal zawsze oznacza, że nikt go nie zweryfikował. Właścicielem powinna być osoba, która ma uprawnienia do zatwierdzenia działań mitygacyjnych.

Ustalaj daty przeglądu dla poszczególnych wierszy, a nie dla całego rejestru. Ryzyko związane z dostawcą i ryzyko regulacyjne zmieniają się w różnym tempie, a pojedynczy kwartalny przegląd traktuje je tak, jakby biegły tym samym rytmem.

Oddziel rejestr od oceny wydajności dostawców. Korzystają one z pokrywających się eksportów, ale odpowiadają na inne pytania. Ocena dostawcy pod kątem dostaw i jakości to temat opisany w naszym poradniku dotyczącym karty oceny dostawcy; rejestr dotyczy tego, co się stanie, jeśli ten dostawca zawiedzie.

Zdefiniuj pojęcia raz a dobrze. Przedziały prawdopodobieństwa i poziomy wpływu powinny znaczyć to samo dla każdego, kto dokonuje oceny. To ta sama dyscyplina, którą opisujemy w naszym przewodniku po tworzeniu słownika danych. Jeśli wynik ma stać się stałym dokumentem, strona generatora raportów AI pokazuje, jak nadać mu odpowiednią formę.

Podsumowanie

Rejestr ryzyk udowadnia swoją wartość, zamieniając rozproszone obawy w uporządkowany zapis decyzji – w tym decyzji o zaakceptowaniu danej sytuacji i przejściu do porządku dziennego. Trudnością nigdy nie jest sam układ tabeli; wyzwaniem jest oparcie każdej oceny wpływu na liczbach, a nie na przeczuciach.

Stwórz rejestr ryzyk na podstawie posiadanych już eksportów i zachowaj widoczność danych o ekspozycji tuż obok ocen. Przypisz do każdego wiersza właściciela oraz datę przeglądu.

Masz już eksporty dotyczące dostawców i incydentów? Wypróbuj Powerdrill Bloom i stwórz pierwszą wersję jeszcze w tym tygodniu.

Często zadawane pytania

Co to jest rejestr ryzyk?

Słownik NIST opisuje go jako repozytorium informacji o ryzyku, obejmujące wiedzę zgromadzoną na temat ryzyk na przestrzeni czasu. W praktyce jest to pojedyncza tabela rejestrująca każde ryzyko, jego ocenę, właściciela oraz podjętą w jego sprawie decyzję.

Jakie kolumny powinien mieć rejestr ryzyk?

Co najmniej: ryzyko zapisane jako przyczyna i skutek, prawdopodobieństwo, wpływ oraz wartość liczbowa stojąca za oceną wpływu. Następnie decyzja, mitygacja wraz z jej właścicielem oraz data przeglądu.

Czy zaakceptowane ryzyka powinny pozostać w rejestrze?

Tak. Definicja NIST zakłada, że bieżące ryzyka obejmują zarówno te zaakceptowane, jak i te z zaplanowaną ścieżką mitygacji. Usunięcie zaakceptowanych pozycji powoduje utratę śladu po podjętej decyzji.

Jak często należy dokonywać przeglądu?

Ustalaj daty przeglądu dla poszczególnych wierszy, a nie dla całego dokumentu, ponieważ różne kategorie ryzyka zmieniają się w różnym czasie. Kwartalny przegląd wierszy o najwyższej ocenie sprawdza się w większości zespołów.

Czy to to samo co ocena ryzyka?

Nie. Ready.gov opisuje ocenę ryzyka jako proces identyfikacji zagrożeń i analizy tego, co może się wydarzyć. Rejestr jest dokumentem, który rejestruje te wyniki oraz podjęte decyzje.