Operační program Vzdělávání pro konkurenceschopnost Název projektu: Inovace magisterského studijního programu Fakulty ekonomiky a managementu Registrační číslo projektu: CZ.1.07/2.2.00/ Řízení rizik Generace, výběr a implementace opatření na redukci rizik Zpracoval: prof. Ing. František BOŽEK, CSc. Univerzita obrany v Brně Kontakt: tel.: ,

Úvod Významnou součástí managemenu rizika v organizaci a regionu je návrh možných protiopatření k prevenci a minimalizaci identifikovaných akceptovatelných, resp. tolerovatelných rizik následovaný posouzením ekonomické únosnosti jednotlivých navržených protiopatření a výběrem optimální varianty z množiny navržených alternativ. Jde-li ve smyslu aktuální legislativy či existujících standardů o rizika nepřijatelná, je třeba bezodkladně implementovat opatření na redukci rizika bez ohledu na ekonomický efekt procesu. V opačném případě je třeba aktivitu ukončit.

Úvod Po výběru a rozhodnutí zavést vybranou alternativu do praxe je nutné zpracovat plán realizace se stanovením termínů a odpovědností za plnění jednotlivých etap procesu. Efektivní implementace účinného opatření redukce rizik do praxe je nejen jednou z klíčových fází managementu rizik, ale významným podílem rozhoduje o úspěšném zvládnutí mise ekonomického subjektu a zajištění stability regionu.

Návrh opatření k prevenci a minimalizaci rizik v organizaci a regionu Pro návrh variant slouží většinou některá z níže uvedených invenčních metod: a)tradiční brainstorming; b)brainwriting pool, tj. výměna psaných nápadů; c)individuální zápisník; d)Delphi metoda, anebo její plná varianta.

Návrh opatření k prevenci a minimalizaci rizik v organizaci a regionu Vytvořené varianty možných protiopatření lze v praxi obvykle snadno a rychle roztřídit do čtyř následujících základních skupin : a)varianty typu organizačních opatření – nejvýhodnější; b)varianty s předpokladem rychlé ekonomické návratnosti; c)varianty investičně náročné; d)varianty na první pohled nerealizovatelné, tzv. varianty do šuplíku.

Výběr optimální varianty z navržené množiny alternativ protiopatření Navržené varianty, kde není schůdnost či proveditelnost zřejmá, se podrobí analýze proveditelnosti. Je třeba zvažovat: a)ekonomickou proveditelnost metodou „Cost-Benefit Analysis“; b)technickou proveditelnost orientovanou na vyhodnocení rizik, jejich řešení a zhodnocení sekundárních rizik; c)operační proveditelnost (provozuschopnosti); d)proveditelnost dle sestaveného plánu.

Výběr optimální varianty z navržené množiny alternativ protiopatření Zdroj: UEM Group Feasibility Studies. [on line]. [2013 ‑ 11 ‑ 21]. URL:.

Výběr optimální varianty z navržené množiny alternativ protiopatření Analýza nákladů a výnosů pro nově navrhovaná protiopatření či pro rozšíření stávajících opatření by měla zahrnovat následující kroky: a)stanovení dopadu implementace nových nebo rozšiřujících protiopatření; b)stanovení dopadu pro případ, že implementace nových nebo rozšiřujících protiopatření nebude uskutečněna; c)odhad nákladů implementace; d)vyhodnocení nákladů a výnosů implementace ve srovnání se změnou citlivosti a kritičnosti aktiva.

Výběr optimální varianty z navržené množiny alternativ protiopatření Odhad nákladů implementace by měl zahrnovat: a)přímé investiční náklady; b)nepřímé náklady včetně nákladů na externí pracovníky pro implementaci navržené strategie, postupů či služeb a nákladů na zaškolení a výcvik pracovníků; c)náklady na nová zařízení, přístroje materiál a energie; d)provozní a režijní náklady; e)náklady na dopravu; f)náklady na údržbu zavedeného protiopatření; g)ušlý zisk sníženou efektivitou provozu, je-li výkon aktiva omezen realizací opatření s cílem zvýšení bezpečnosti.

Výběr optimální varianty z navržené množiny alternativ protiopatření Organizace, resp. region musí vyhodnotit přínosy opatření v rámci udržení přijatelného stavu plnění svého základního poslání. Stejně jako existují náklady na implementaci potřebného opatření, existují náklady (ztráty) spojené s absencí implementace opatření. Vztažením výsledku stavu, kdy protiopatření není implementováno, ke stavu a kvalitě plnění mise organizace (regionu) za předpokladu zavedení navrženého protiopatření, lze zjistit, zda je racionální vzdát se implementace.

Výběr optimální varianty z navržené množiny alternativ protiopatření Příklad využití metody Cost-Benefit Analysis“ pro stanovení přínosu realizace auditu systému X informačních technologií. Systém X jako svoji misi ukládá a zpracovává kritické, citlivé a důvěrné informace o zaměstnancích, ale audit systému za účelem zvýšení bezpečnosti jeho provozu nebyl proveden. Položky (A) a (B) jsou orientovány na nehmotné dopady při zavedení či nezavedení navrženého opatření. Položka (C) je tvořena seznamem hmotných dopadů, např. aktuálních nákladů. Zdroj: National Institute of Standards and Technology (NIST). Computer Security. 1 st Ed. Gaithersburg: NIST, 2002, p.41.

Výběr optimální varianty z navržené množiny alternativ protiopatření (A)Dopady při realizaci auditu systému lze spatřovat v tom, že aktivace auditu systému dovolí správci systému monitorovat aktivity uživatelů systému, ale sníží výkonnost systému. Proto ovlivní produktivitu uživatele. Také implementace bude vyžadovat dodatečné zdroje, jak je popsáno v položce (C). (B)Dopady při absenci auditu spočívají ve faktu, že aktivity uživatelů systému a narušení systému nelze sledovat, není-li umožněna funkce auditu systému, a tudíž bezpečnost nemůže být zvýšena, aby chránila důvěrná data a poslání organizace. Zdroj: National Institute of Standards and Technology (NIST). Computer Security. 1 st Ed. Gaithersburg: NIST, 2002, p.41.

Výběr optimální varianty z navržené množiny alternativ protiopatření (C) Odhad nákladů při realizaci auditu systému: Náklady pro umožnění činnosti auditu: neočekávají se náklady spojené s instalací aktivace: náklady na další zaměstnance k posouzení auditu a archivaci: X 1 Kč.rok -1 náklady na školení a výcvik, (např. konfigurace auditu systému či vytvoření zprávy aj.):X 2 Kč.rok -1 ; X 1  X 2 náklady na doplněk software pro vykazování auditu: X 3 Kč.rok -1 ; X 1  X 3 náklady na údržbu dat auditu (např. uložení, archivování): X 4 Kč.rok -1 ; X 1  X 4 celkové odhadnuté náklady: Y Kč.rok -1 Zdroj: National Institute of Standards and Technology (NIST). Computer Security. 1 st Ed. Gaithersburg: NIST, 2002, p.41.

Výběr optimální varianty z navržené množiny alternativ protiopatření Pro stanovení účelnosti implementace nového opatření by měla být v zásadě využita následující pravidla: a)jestliže by opatření snížilo riziko výrazněji, než je potřebné, je třeba vědět, zda existuje méně nákladná alternativa; b)pokud by bylo opatření nákladnější ve srovnání s přínosy vlivem redukce rizika, je třeba hledat něco jiného; c)nesnižuje-li opatření riziko dostatečně efektivně, je třeba hledat více opatření nebo pátrat po odlišném opatření; d)jestliže opatření poskytne dostatečnou redukci úrovně rizika, je nákladově efektivní a zároveň je zbytkové riziko akceptovatelné, potom se doporučuje jeho aplikace. e)

Výběr optimální varianty z navržené množiny alternativ protiopatření Komplexní metodou pro výběr optimální varianty představuje aplikace multikriteriálního hodnocení. Každému kritériu se přiřadí váha v rozmezí  0; 1 . Váha se stanoví s využitím váženého průměru, párovým srovnáním (Fullerův trojúhelník), anebo Saatyho metodou. Zjištěnými vahami se násobí hodnota přiřazená jednotlivým kritériím odvozeným z generalizované matice a hodnota součtu těchto součinů je určující pro výběr optimální varianty. V závislosti na zvolení minimalizační, resp. maximalizační matice je prioritní varianta ta, jejíž suma zmíněných součinů je minimální, resp. maximální.

Výběr optimální varianty z navržené množiny alternativ protiopatření Příklady kritérií pro hodnocení navržených variant: a)dosažená úroveň bezpečnosti; b)materiálová a energetická efektivnost; c)technická proveditelnost s ohledem na slučitelnost se stávající výrobou; d)investiční náročnost; e)charakter produkovaných odpadů; f)rychlost realizace; g)pracnost související zejména s nároky na další pracovní síly; h)environmentální přijatelnost; i)úroveň informačního zabezpečení aj.

Výběr optimální varianty z navržené množiny alternativ protiopatření Při přijímání protiopatření má vždy rozhodující a finální slovo vedoucí pracovník (majitel) firmy, popř. vedení správy regionu. Tyto subjekty závazným způsobem (příkaz ředitele nebo majitele firmy, směrnice k prevenci rizik starosty obce, primátora města apod.) rozhodnou o zavedení potřebných protiopatření, zodpovědnosti za jejich realizaci a stanoví termíny jejich splnění. Pro efektivní rozhodování v podmínkách nejistoty je proto potřebné, aby top-management výše zmíněných subjektů disponoval adekvátními, jasnými a přehlednými podklady.

Zajištění realizovatelnosti implementace vybraného protiopatření Je nutné vypracovat rigorózní plán realizace konkrétních opatření, která jsou technicky a ekonomicky přijatelná. Plány by měly obsahovat následující body a)souhrn opatření a lhůty realizace stanovených etap; b)rozdělení zodpovědnosti za realizaci každého protiopatření a jednotlivých fází plánu; c)průběh školení zaměstnanců pro práci na novém zařízení; d)program měření pro dokumentaci účinků zavedeného protiopatření.

Závěr Prevence a minimalizace rizik v organizaci, anebo regionu, vyžaduje v prvním kroku návrh množiny alternativ opatření, s využitím ponejvíce invenčních metod. V další fázi je třeba vybrat optimální variantu z generované množiny alternativ protiopatření. Z posuzovaných faktorů sehrávají klíčovou roli nákladovost procesu a efektivita opatření v relaci k minimalizaci rizika. Neméně důležitou součástí procesu ovládání rizik je sestavení plánu implementace vybraného opatření s vymezením jednotlivých etap realizace, stanovením termínů a odpovědností za realizaci příslušných fází.

Závěr Prevence a minimalizace rizik v organizaci, anebo regionu, vyžaduje v prvním kroku návrh množiny alternativ opatření, s využitím ponejvíce invenčních metod. V další fázi je třeba vybrat optimální variantu z generované množiny alternativ protiopatření. Z posuzovaných faktorů sehrávají klíčovou roli nákladovost procesu a efektivita opatření v relaci k minimalizaci rizika. Neméně důležitou součástí procesu ovládání rizik je sestavení plánu implementace vybraného opatření s vymezením jednotlivých etap realizace, stanovením termínů a odpovědností za realizaci příslušných fází.

Studenti se seznámí s postupy generace protiopatření k prevenci a minimalizaci rizik organizace a regionu, metodami výběru optimální varianty z navržených alternativ, a požadavky na zavedení vybraného opatření do praxe. Součástí cvičení bude prezentace výběru optimální alternativy z navržených variant, jež zpracuje skupina 3-5 studentů na základě jimi zvoleného případu s využitím metody multikriteriálního hodnocení a stanovením vah, buď aplikací metody stanovení pořadí, bodicvací, Fullerova trojúhelníku, anebo Saatyho metody. Požadavky na cvičení