ROZPOZNANIE: Struktura ryzyka – część I

Możemy wskazać wiele celów zarządzania ryzykiem. Ale jest jeden cel najważniejszy bo pierwotny. Osiąganie innych celów (zarządzania ryzykiem ale i organizacji) jest zależne od tego jednego – pośredniego – celu. Tym celem jest „zrozumienie ryzyka”, a ściśle rzecz ujmując: zrozumienie struktury ryzyka. Bowiem ryzyko ma swoją strukturę i jeśli jej nie rozpoznamy w pełni nie będziemy mogli właściwie ocenić ryzyka i podjąć skutecznych działań.

Przykład pierwszy – ekstremalny

Przykład ten jest charakterystyczny szczególnie dla zarządzania ryzykiem przedsięwzięć (projektów) ale również spotykany w odniesieniu do aktywności nie ujmowanych w ramy projektów. W rejestrach ryzyka projektów, w rubryce „Opis ryzyka” często można spotkać taki oto, niezwykle zwięzły opis ryzyka:

I natychmiast rodzi się pytanie: co ma na myśli autor takiego zapisu?

– Czy „brak ludzi” to potencjalne, niepożądane zdarzenie?

– A może „brak ludzi” to potencjalna konsekwencja jakiegoś zdarzenia?

– A może, wreszcie, „brak ludzi” to jakaś przyczyna sekwencji zdarzeń? Skutków?

„Brak ludzi” to jest, a raczej może być (bo to ryzyko, a więc „może”, a ryzyko dotyczy przyszłości) pewien stan (sytuacja, okoliczność, zdarzenie) spowodowany jakimiś czynnikami i mający wpływ na coś – na osiągnięcie jakiegoś zamiaru: celu po prostu. Może być przyczyną całej sekwencji zdarzeń (stanów, okoliczności) w ostateczności prowadzących do niepożądanych skutków.

Ale, tu powinna się zapalić czerwona lampa i zawyć syrena ostrzegawcza. Czy autor takiego zapisu rozumie ryzyko, które „opisał”? Nie. Proszę zwrócić uwagę, że „brak ludzi” może być konsekwencją różnych przyczyn:

– urlopów

– chorób

– braku osób o określonych kompetencjach (kwalifikacjach zawodowych) w firmie (organizacji)

– braku osób o określonych kompetencjach w najbliższym otoczeniu organizacji, np. w danej miejscowości?

– braku osób o określonych kompetencjach w dalszym otoczeniu, np. w Polsce?

Dlaczego to ma znaczenie? Bo reagowanie na możliwy „brak ludzi” w zależności od przyczyny będzie miało różny charakter, na przykład:

– wyszkolenie dodatkowych ludzi,

– przesunięcie urlopów,

– zatrudnienie specjalistów z zewnątrz,

– zlecenie wykonania określonych prac innej firmie, posiadającej niezbędnych fachowców.

A jak nie wiemy, co może być przyczyną „braku ludzi” to nie będziemy mogli skutecznie reagować. Ot, cała filozofia.

Żeby uniknąć takich niejasności, wręcz niezrozumienia ryzyka, powinniśmy rozpoznawać (prognozować, identyfikować, opisywać, analizować, oceniać) ryzyko na bazie struktury ryzyka. A ta nie jest skomplikowana. Podstawowa struktura ryzyka wygląda tak:

Żeby zrozumieć ryzyko musimy poznać trzy jego podstawowe składowe:

Przyczynę (lub przyczyny)  – to okoliczność, stan, sytuacja, podatność, słabość, niedoskonałość, wadliwość. To może być również działanie, zaniechanie jak również szczególne zdarzenie.

Zdarzenie (lub zdarzenia) – to może być również okoliczność, stan, sytuacja (np. awaria) spowodowane określoną przyczyną lub zespołem przyczyn.

Skutki – te mogą mieć charakter bezpośredni jaki i pośredni:

Skutki bezpośrednie – są to sytuacje, stany, okoliczności i zdarzenia będące pierwszym objawem, wynikiem zaistnienia ryzyka.

Skutki pośrednie – to wywodząca się ze zdarzeń i skutków bezpośrednich dalsza propagacja niekorzystnych (lub pożądanych) efektów materializacji ryzyka. Propagacja związana z upływem czasu (pogłębiania się skutków) jak i poszerzania się wpływu ryzyka na – na przykład – kolejne obszary aktywności organizacji i jej otoczenie.

Jak zatem można przedstawić ryzyko opisywane jako „brak ludzi”? Na przykład tak:

Nie bez przyczyny powyższy model określa się mianem modelu przyczynowo-skutkowego.

Przykład drugi – praktyczny

Rozważmy łańcuch przyczynowo-skutkowy związany z wypadkiem komunikacyjnym. Struktura ryzyka mogłaby wyglądać tak:

Mamy niepożądane zdarzenie – wypadek lub kolizję, mamy potencjalne przyczyny (nie wszystkie rzecz jasna). Niektóre z tych przyczyn pojedynczo mogą doprowadzić do wypadku – na przykład nadmierna prędkość. Są takie potencjalne przyczyny, jak niesprzyjające warunki atmosferyczne, które mogą doprowadzić do wypadku w powiązaniu z inną przyczyną, z innym czynnikiem ryzyka. No i mamy potencjalne skutki (konsekwencje) zdarzenia – wypadku:

– materialne, jak na przykład nieodwracalne uszkodzenie samochodu lub konieczność dokonania kosztownego remontu

– niematerialne w postaci utraty zdrowia lub życia.

Ów wypadek może spowodować też utratę prawa jazdy a w konsekwencji utratę możliwości zarobkowania w wykorzystaniem samochodu. Mogą również mieć miejsce konsekwencje karne. Sekwencja skutków może być długa i nieść ze sobą różnorakie komplikacje: finansowe i poza finansowe.

Czasami struktura ryzyka, czyli model przyczynowo – skutkowy, jest uzupełniany o dodatkowe elementy, na przykład o „symptomy”. Symptomy (zapowiedzi, oznaki) są to zjawiska (stany, sytuacje), które mogą być przez zainteresowanych odczytywane jako sygnały (informacje), stanowiące ostrzeżenie albo wskazujące na rysujące się szanse.

Takim symptomem (zagrożenia) może być na przykład stały odpływ pracowników albo brak kontroli nad planami urlopowymi albo … epidemia (pandemia). Symptomem zagrożenia może być na przykład wyciekający płyn hamulcowy albo postępujące zmęczenie. Symptomem szansy zaś może być na przykład zwiększenie się liczby ofert składanych przez zainteresowanych zatrudnieniem.

Czasami (głównie w sferze zarządzania bezpieczeństwem IT (cyberbezpieczeństwem) pojawia się w tej strukturze (modelu łańcucha przyczynowo-skutkowego) element określany jako „podatność” czyli brak odporności na określone zjawiska – brak zdolności organizacji do eliminowania lub ograniczania możliwości materializacji ryzyka.

Podatnością może być brak wiedzy pracowników w zakresie zachowania niezbędnych zasad i reguł użytkowania sprzętu komputerowego. Podatnością może być … pociąg do alkoholu. Podatnością może być niskie wynagrodzenie. Podatnością może być brak tzw. mechanizmów kontrolnych – sposobów i środków eliminowania lub ograniczania ryzyka.

W opisie ryzyka pojawia się również „wpływ”. Pojęcie to należy rozumieć jako wpływ na organizację, na jej wizerunek, na jej działalność – na osiąganie przez nią określonych celów. Tak, ryzyko wpływa na osiąganie celów, ryzyko powinniśmy odnosić do celów.

Rzeczywistość bywa bardzo skomplikowana

Trzeba pamiętać, że ów łańcuch przyczynowo – skutkowy może być bardzo długi i może składać się z wielu elementów. Na osiągnięcie jakiegoś celu może wpływać wiele potencjalnych zdarzeń, okoliczności i warunków. I to takich, które nie zależą od nas i od naszych starań. Wszystkie te zdarzenia, okoliczności i warunki mogą być spowodowane (wywołane) wieloma niezależnymi przyczynami lub grupą powiązanych (np. w formie sekwencji) przyczyn. Niektóre zdarzenia mogą wywoływać (propagować) inne zdarzenia, tak jak konsekwencje jakiegoś zdarzenia mogą składać się z sekwencji skutków (skutki pierwotne i skutki wtórne) i mogą również wpływać (np. wzmacniająco) na konsekwencje innego zdarzenia.

Rzadko kiedy możemy wyodrębnić taki pojedynczy, niezależny  łańcuch przyczynowo-skutkowy. Zwykle mamy do czynienia z całą siecią powiązanych łańcuchów, jak na poniższej grafice, gdzie:

» P1…Pn – oznaczają przyczyny;

» Z1…Zk – zdarzenia;

» S1…Sm – skutki bezpośrednie;

» Sp1…Spz – skutki pośrednie.

Jedną z przyczyn niepowodzeń działań związanych z reagowaniem na ryzyko jest pomijanie – w analizach i ocenach ryzyka – relacji zachodzących pomiędzy poszczególnymi łańcuchami przyczynowo-skutkowymi. Często wydaje się, że wyeliminowaliśmy potencjalną przyczynę jakiegoś niepożądanego zdarzenia. Tymczasem ono i tak się materializuje bo okazało się, że to niepożądane zdarzenie, którego chcieliśmy uniknąć, zostało wywołane inną okolicznością lub zdarzeniem, których nie uwzględniliśmy. Bądź też, wydawało się nam, że owa przyczyna jest powiązana z innym zdarzeniem, które oceniliśmy jako nieistotne z punktu widzenia osiągnięcia określonego celu. Należy pamiętać, że kluczowym elementem w odzwierciedlaniu (i analizie) sieci ryzyka jest słowo „może”.

Proszę zwrócić uwagę, że (przyczyna) P2 może wywołać (zdarzenie) Z3, ale również może wywołać (zdarzenie pośrednie) Z2, które z w konsekwencji również może doprowadzić do zdarzenia Z3. Zaś jeżeli chcemy koniecznie uniknąć (zdarzenia) Z3, powinniśmy wyeliminować zarówno przyczynę P2, która bezpośrednio (lub pośrednio) może doprowadzić do zdarzenia Z3 jak i przyczyny P3 i P4, które pośrednio mogą doprowadzić do Z3. Wyeliminowanie tylko jednej z przyczyn (P2, P3, P4) może nie przynieść oczekiwanego rezultatu.

Ciąg dalszy nastąpi …