Projekt Rekomendacji Z dotyczącej zasad ładu wewnętrznego w bankach

Jeszcze przez kilka dni - do 23 grudnia mają miejsce publiczne konsultacje Rekomendacji Z KNF dotyczącej zasad ładu wewnętrznego w bankach.

Wysłałem dzisiaj swoje propozycje uzupełnień. Warto by nasze środowisko możliwie szeroko przyjrzało się temu zagadnieniu, gdyż z takimi Rekomendacjami przyjdzie nam przez kolejne lata funkcjonować. Uwagi można przesyłać na adres drb@knf.gov.pl

Dan Gilbert opowiada o decyzjach

Na Ted Dan Gilbert przedstawił rewelacyjny wykład o decyzjach podejmowanych przez ludzi. W piękny sposób, szczególnie bliski osobom zajmującym się zarządzaniem ryzykiem, dowodzi dlaczego są one tak często błędne.

Naprawdę warto się (z siebie) pośmiać, zrozumieć jak funkcjonuje ten nasz "defekt" w mózgu, a nawet zrozumieć rolę mediów w tym, że podejmujemy złe decyzje.

.

11 września 2001

Dzień, w którym zmienił się świat

Po 11 września rozpoczęła się wojna religijna trwająca do tej pory
Po 11 września ciągłość funkcjonowania stała się wymogiem, nie rozważaniem teoretyków zarządzania IT
Po 11 września w imię wojny w terrorem poufność przestała być tak ważna
Po 11 września w imię tejże samej wojny z terrorem okazało się, że podstawowe prawa ludzkie w sumie też nie są ważne
Po 11 września okazało się, że w ramach ochrony interesu narodowego można swobodnie łamać hasła, prawa międzynarodowe jak i ludzi (dosłownie)
Po 11 września mordowanie zakładników przez bojówki stały się wydarzeniem Internetowym
Po 11 września okazało się, że zamiast uczestniczyć w nowoczesnej wojnie wykorzystującej wszystko co tylko przyśniło się architektom uzbrojenia, można schować się w jaskini
Po 11 września w imię świętej wojny rozpoczęła się masowa rekrutacja bojowników poprzez Internet
Po 11 września wprowadzono szereg przepisów skrajnie utrudniających życie każdego, kto podróżuje samolotem
Po 11 września okazało się, że nadmiar tajnych agencji zajmujących się bezpieczeństwem bardziej szkodzi niż pomaga, ze względu brak komunikacji
Po 11 września okazało się, że naprawdę nie wystarczy posiadać danych wywiadowczych - trzeba je umieć przetwarzać online
Po 11 września udało się niesamowicie rozwinąć techniki inwigilacji oraz analizy różnorodnych danych w trybie online
Po 11 września do wszystkich Planów Ciągłości Funkcjonowania zaczęto masowo dodawać uderzenie samolotu
Po 11 września udowodniono tezę, że każdy atak terrorystyczny jest tym skuteczniejszy im jest medialny
Po 11 września minimalna odległość między centrum przetwarzania danych a centrum zapasowym naprawdę stała się tematem dyskusji
Po 11 września każda osoba o ciemniejszej karnacji stała się potencjalnym terrorystom w imię odpowiedzialności zbiorowej i nawet nie udawanej dyskryminacji
Po 11 września nasiliła się wśród terrorystów potrzeba masowego mordowania "na wizji"
Po 11 września świat znów podzielił się na "dobrych" i "złych"

Po 11 września świat wygląda już inaczej.
.

Zarządzanie ryzykiem

Zarządzanie ryzykiem jest jednym z najmodniejszych tematów ostatnich lat. Wszyscy tego potrzebują, wszyscy się w sumie na tym znają, no i wciąż wszyscy chcą o tym słuchać i czytać.
Zastanawiające jest jednak dlaczego, mimo tak zaawansowanych metodyk i narzędzi wciąż jest tak źle, organizacje wciąż ponoszą,często bezsensowne straty?

Jak zauważył podczas ostatniej konferencji w Mościbrodach prof. Mahari - jak to możliwe, że mimo posiadania tak wspaniałych, potężnych i doświadczonych profesjonalnych służb zajmujących się zarządzaniem ryzykiem, zatrudniających nawet takie osobistości jak laureatów narody Nobla, doszło do kryzysu finansowego w 2008 roku? Co się stało, czemu nie zadziałało zarządzanie ryzykiem?

Na te pytania nie odpowiem, mogę jednak zauważyć co nieco ze swojego podwórka - zarządzania ryzykami IT. Otóż coraz częściej można spotkać się z sytuacją, gdzie rzeczywistym celem działów zarządzania ryzykiem jest przeprowadzanie coraz to bardziej wymyślnych testów, kontrolowanie kolejnych obszarów działałności. Zarządzanie ryzykiem potrafi stać się celem samym w sobie - nie ważne po co - weryfikujmy, testujmy, dokonujmy pomiarów... Organizacje potrafią spędzać na tych analizach więcej czasu niż na rzeczywistej produkcji.
To nie o to chodzi!

Jakiś czas temu usłyszałem na spotkaniu termin "paralyze by analyze". Jak on mi się podoba, jak doskonale oddaje to,co spotkać można w wielu dużych firmach. Strach cokolwiek zrobić by nie spotkać się z zarzutem działań na szkodę spółki polegających na łamaniu opasłych regulaminów.

Zarządzanie ryzykiem jest potrzebne, ba - nawet niezbędne. Niemniej nie wolno zapominać o często zanikającej mikropłatności - o zdrowym rozsądku.
Pamiętajmy, że jednym z najważniejszych celów zarządzania ryzykiem jest umożliwienie świadomego podejmowania decyzji o akceptacji ryzyka. Biurokratyczne machiny wymagające wypełniania dziesiątków tabel i pisania gigantycznych ilości uzasadnień nie rozwijają biznesu lecz go hamują. Często bardzo skutecznie. Nie pozwólmy by ustalane przez nas samych nadmiarowe, niepotrzebne procedury biurokratyczne całkowicie wiązały nam ręce.
Zauważmy, że zarządzanie ryzykiem stało się już poważnym ryzykiem dla działalności organizacji.
Wiwat zdrowy rozsądek!

Zarządzenie ryzykiem jako kluczowa składowa zarządzania ryzykiem w organizacjach

W trakcie tegorocznej konferencji Management 2011 w Mościbrodach przedstawiłem referat pod tytułem "Zarządzenie ryzykiem jako kluczowa składowa zarządzania ryzykiem w organizacjach".
Na ftp zamieściłem slajdy, które towarzyszyły mojemu wystąpieniu

Warsztaty "Zarządzanie ryzykiem w organizacji"

W dniach 26-27 lipca IDG organizuje warsztaty "Zarządzanie ryzykiem w organizacji".

Wraz z kolegami z Mayday Management Solutions gruntownie przedyskutujemy temat zarządzania bezpieczeństwem w biznesie szczególnie zwracając uwagę na aspekt zarządzania ryzykiem i podejmowania świadomych decyzji. W trakcie warsztatów zapewniamy zarówno podstawy wiedzy teoretycznej, jak i dużo praktycznych przykładów i rozwiązań.

Zapraszamy do uczestnictwa i dyskusji. Warunki uczestnictwa oraz szczegółowe informacje są dostępne na oficjalnej stronie warsztatów.

Certyfikat CRISC

W ubiegłym roku ISACA ogłosiła kolejny program certyfikacji nakierowany na ekspertów zajmujących się zarządzaniem ryzykiem informatycznym. CRISC czyli Certified in Risk and Information Systems Control wymaga wiedzy z zakresu nadzoru informatycznego rodem z COBIT oraz zarządzania ryzykiem bazującego na RiskIT.
Dokładny zakres tematyczny egzaminu to:

- Risk identification, assessment and evaluation
- Risk response
- Risk monitoring
- IS control design and implementation
- IS control monitoring and maintenance

Najfajniejszą dziś informacją o tym certyfikacie jest fakt, że dowiedziałem się właśnie, że i mnie został on przyznany :-)

Teoria ryzyka wg. ryzykonomii

Kolejny z "konkurencyjnych blogów", który warto odwiedzać dotyczy Zarządzania ryzykiem. Szczególnie chciałbym polecić post o Teorii ryzyka.

Szczególnie interesujące, poza historią zajmowanie się ryzykiem, jest dokładne podkreślenie różnic między ryzykiem a niepewnością. Więcej nie piszę, polecam lekturę

Dlaczego warto wdrażać ERM?

Enterprise Risk Management jest zagadnieniem zdobywającym coraz więcej uwagi. W świecie IT widać to po zainteresowaniu norm i metodyk zarządzania ryzykami IT (odpowiednio ISO 27005 oraz RiskIT). Jednak dlaczego warto inwestować (przede wszystkim czas) w rozwój tego typu systemów?
odpowiedzi udziela bankier.pl w niedawnym artykule.

Co bankowość ma wspólnego z hodowlą łososia i strażą pożarną ?

Rafał Rudnicki opublikował właśnie ciekawy artykuł porównujący zarządzanie ryzykiem w bankach z zarządzaniem ryzykiem w innych gałęziach gospodarki.

Załączam krótki fragment, polecam zapoznanie się z całością artykułu

Strażacy i specjaliści od zwalczania "dzikich pożarów" lasu (wildfires) twierdzą, że w niektórych okolicznościach - kiedy nie ma wysokiego zagrożenia życia ludzkiego - lepiej jest pozwolić się wypalić pożarowi i dać mu pochłonąć pewien obszar, aby w ten sposób odizolować i ochronić cały regionalny ekosystem. Jak to się przekłada na system finansowy ? Należy pozwolić słabym instytucjom na zbankrutowanie (vide finansowe wsparcie z budżetów państw) oraz utworzyć "przegrody ogniowe" - które spowodują, że pożar systemu finansowego obejmie jedynie jego słabą część, a większość tego systemu pozostanie odizolowana.

Zarządzanie kryzysem a zarządzanie ryzykiem

Na blogu 112 PR pojawił się ciekawy post dotyczący różnicy między komunikację w zarządzaniu kryzysem z zarządzaniu ryzykiem.

Komunikacja kryzysowa najczęściej dotyczy rzeczy, które się nie powiodły, na przykład, potrąciłeś staruszka na przejściu dla pieszych, mechanik zapomniał wyregulować hamulce w samochodzie i dziennikarze dzwonią z pytaniami dlaczego jechałeś tak szybko.
Komunikacja ryzyka dotyczy z kolei przykrych rzeczy, które mogą się wydarzyć. Czy jest prawdopodobne, że jadąc za szybko potrącisz człowieka na przejściu, mechanik zapomni sprawdzić hamulce i dziennikarze będą żądać wyjaśnień?

Polecam lekturę całości.

Ryzyko czy szansa?

Rafał Rudnicki opublikował na blogu kolejny artykuł na temat ryzyka.
Miedzy innymi zajmuje się tematyką różnicy między ryzykiem a szansą.
Te zagadnienia są sobie szczególnie bliskie.
Trzeba ryzykować by osiągnąć korzyść, wybić się przed konkurencję, wprowadzić nowe usługi itp. Jeżeli nam się uda to wspaniale - wygrywamy. Jeżeli nie to ponosimy stratę. Przytaczając Paula Hopkina zwraca uwagę na 2 rodzaje sytuacji, które zawsze są negatywne, które nie mogą zamienić się w korzyści:

Ryzyka hazardowe (ogień, powódź, kradzież, utrata klienta) mogą być wyłącznie negatywne (akademicy nazwaliby je ryzykami czystymi). Pojęcie tego ryzyka pojawiło się już dawno - jeszcze przed latami 80-tymi. Menedżer ryzyka będzie się starał zmniejszyć możliwą do wystąpienia stratę.
Jest jeszcze "ryzyko kontroli" lub po prostu ryzyko niepewności czy też ryzyko spekulacyjne - to pojęcie pojawiło się w latach 90-tych. Podobnie jak w ryzykach hazardowych możemy mieć do czynienia jedynie z bilansem ujemnym, ale ma on nieco inne podłoże. Ryzyko kontroli dotyczy zjawisk które z natury obarczone są niepewnością, a do wyników których chcemy mieć jak najwyższą pewność (np wynik prowadzonych projektów). Bilans ujemny to niekoniecznie wynik działania samego ryzyka, ale nakłady jakie jesteśmy skłonni ponieść na kontrolowanie tego typu ryzyk - sprowadzenie wszystkich możliwych scenariuszy i wyników do jak najwęższego zakresu; to jest zwykle zadanie risk managera.

Zachęcam do lektury całego artykułu.

Czemu i jak zarządzać ryzykami IT

Zarządzanie ryzykiem IT wciąż jest często traktowane jako coś innego, dziwnego, niezwykłego i często zbyt skomplikowanego lub zbyt odległego od profilu działalności organizacji. Wciąż znaczna część organizacji nie zarządza tymi ryzykami w sposób właściwy.

ISACA od jakiegoś czasu stara się zmienić ten stan, pokazuje, że de facto ryzyka IT mają wpływ na działalność każdego z przedsiębiorstw, że są nie tylko integralną częścią ryzyka operacyjnego, którym coraz częściej organizacje zaczynają zarządzać, a jest częścią wszystkich składowych systemu zarządzania ryzykiem w przedsiębiorstwach (Enterprise Risk Management). Wydała w tym celu zbiór dokumentów wchodzących w skład Risk IT Framework. Bardzo zachęcam do zapoznania się z tymi dokumentami, w szczególności z dokumentami:
- The Risk IT Framework
- The Risk IT Practitioner Guide

Ponieważ technologie IT dotykają wszystkich obszarów działalności organizacji nie można ich zastawiać samym sobie. Przedsiębiorstwa zarządzają ryzykiem kredytowym czy finansowym, z punktu widzenia operacji troszczą się o zapewnienie ciągłości, o bezpieczeństwa pracy, przeciwpożarowe... A bardzo często zupełnie pomijają to, co spina wszystkie obszary w jedną całość - technologie IT. Oraz wszystkie związane z tym podatności, które co rusz przypominają o swoim istnieniu, oczywiście w najmniej spodziewanych momentach.

Obiektywna analiza ryzyka

Trochę nawiązując do tematu zapoczątkowanego postem Zabezpieczyć się czy nie... sprzed paru dni.

2 tygodnie temu rozmawiałem z Dr. Bolesławem Szomańskim o kwestiach związanych z koniecznością podejmowania trudnych i niepopularnych decyzji, na przykład koniecznych dla zapewnienia bezpieczeństwa publicznego. Akurat podobne przemyślenia w tym czasie miał Bruce Schneier publikując na blogu niniejszy post.

Naprawdę polecam, w pełni zgadzam się z tym punktem widzenia. Pozwolę sobie zacytować kilka słów:

So, in practice, governments do not make fully rational risk assessments. Their calculations are based partly on cost-benefit analyses, and partly on what the public will tolerate.

Zarządzanie ryzykiem

Zarządzanie ryzykiem jest jedną z najważniejszych kwalifikacji jakie powinien powiadać nowoczesny manager. Od kierownictwa wymaga się organizowania pracy, troski o podwładnych oraz podejmowania decyzji. Ponieważ każda decyzja jest związana z pewnym ryzykiem (oraz oczywiście szansą) należy nauczyć się tak podejmować decyzje by były dobre, to znaczy szybkie i trafione.

Innymi słowy, myśląc o potencjalnych ryzykach jakie mogą się urzeczywistnić w związku z decyzją należy odpowiednio nimi zarządzić. Ponieważ matematyczną definicją ryzyka jest iloczyn prawdopodobieństwa i wpływu, na obydwu tych czynnikach należy się skupić podczas analizy.

Gdy już to wiemy przystępujemy do pracy - wybieramy sposób postępowania z ryzykiem. Mamy 4 możliwości:
- zachowanie ryzyka
- redukowanie ryzyka
- przeniesienie ryzyka
- unikanie ryzyka

Pierwsze należy stosować przede wszystkim gdy wpływ ryzyka jest na tyle minimalny, że nie należy się przejmować danym ryzykiem. Trzeba pamiętać, że nigdy nie uda się wyeliminować wszystkich potencjalnych ryzyk, zawsze zostanie jakieś, nazywane szczątkowym, które należy zaakceptować.

Redukowaniem ryzyka jest stosowanie różnego rodzaju zabezpieczeń, mających na celu minimalizację prawdopodobieństwa bądź konsekwencji (wpływu) ryzyka (usuwania podatności).

Przeniesienie ryzyka stosuje się najczęściej z sytuacjach minimalnego prawdopodobieństwa oraz potężnego potencjalnego wpływu. W takich sytuacjach można starać się przenieść ryzyko na inny podmiot, specjalizujący się w takich usługach. Najczęściej stosowanym rozwiązaniem jest tu wykupienie ubezpieczenia.

Unikanie ryzyka jest sytuacją wyjątkową. Dotyczy sytuacji obarczonych tak gigantycznym ryzykiem, przy jednoczesnym dużym prawdopodobieństwie urzeczywistnienia się ryzyka, że bardziej korzystne jest odpuszczenie całego projektu, niż ponoszenie ryzyka.

Urzeczywistnianie się nieprawdopodobieństw

O katarze w aspekcie utrzymywania ciągłości działania pisałem wczoraj. Tym razem coś o rachunku prawdopodobieństwa.
Przypomniał mi się fragment "Kataru" Stanisława Lema, gdzie dyskutowano kwestię urzeczywistniania się praktycznie nieprawdopodobnych zdarzeń ze względu na moc zbioru zdarzeń.
Polecam...

Był pan tu może w ogrodzie za altaną, tam gdzie poziomki?
- Owszem.
- Stoi tam drewniany stół, okrągły, nabijany na obwodzie miedzianymi ćwiekami. Zauważył go pan?
- Tak.
- Czy uważa pan za możliwe puścić na ten stół pipetką z wysoka tyle kropel wody, ile jest gwoździ, tak żeby każda kropla trafiła łepek?
- No… jeśli się dobrze przymierzyć, to czemu nie…
- A gdyby kapać na oślep to już nie?
- Oczywiście, że nie.
- Ale przecież wystarczy, proszę pana, żeby przez pięć minut padał deszcz, a każdy gwóźdź na pewno dostanie swoją kroplę wody…
- Jak to… - dopiero teraz zacząłem pojmować, do czego zmierzał.
- Tak, tak, tak! Mój pogląd jest radykalny. Zagadki nie ma w ogóle. O tym, co możliwe, decyduje moc zbioru zdarzeń. Im silniejszy zbiór, tym mniej prawdopodobne zajścia mogą w nim zachodzić.
- Nie ma serii ofiar…?
- Ofiary są. Wywołał je mechanizm losowy. Z otchłani nieprzeliczalności, o której wspominałem, opowiadając panu anegdotę. Wyłuskaliście sobie pewną szczególną frakcję, odznaczającą się wieloczynnikowym podobieństwem. Uważacie ją za całą serię i stąd jej zagadkowość.