Kilkadziesiąt wpisów wcześniej pisałem o korzyściach z wprowadzenia ERM. W badaniach poświęconych ERM często przewija się wątek kosztów zarządzania ryzykiem - zarówno w kontekście kosztu ryzyka jak i ogólnie jako element bilansu zysków i strat z wprowadzenia ERM w firmie.

Jedynie sporadycznie wspomina się jednak o zasadzie proporcjonalności nakładów i kosztów ponoszonych na kontrolowanie określonego ryzyka do wielkości samego ryzyka. Zasada jest prosta: posługując się mapą ryzyka, lub inną metodą, firma wyłoniła pulę ryzyk krytycznych. W kolejnym kroku podejmuje decyzję, jaką strategię postępowania z ryzykiem należy przyjąć, a następnie przekłada strategie na określone projekty, inwestycje, czynności, zmiany czy procedury. Decydując się na wybór tych działań czy procedur, firma kieruje się zasadą, iż nakłady na zmniejszenie ryzyka powinny być w rozsądnej proporcji do samego ryzyka (tj wielokrotnie mniejsze), a ze wszystkich możliwych planów działania należy wybrać te, które rokują najlepsze przelożenie kosztów do korzyści.

Wydawałoby się, że to truizm i banał.

Spróbujmy jednak zastosować to rozumowanie trochę bardziej odważnie: już w momencie dokonywania wstępnej identyfikacji i tzw ewaluacji ryzyk, zastajemy pewien zestaw stosowanych w firmie środków kontroli ryzyka. Nawet jeśli stosujemy się do wskazówek AS/NZS 4360 (lub nowego ISO 31000) i oceniając wielkość ryzyk bierzemy pod uwagę istniejące środki kontroli (ich jakość i skuteczność), to jedynie prześlizgujemy się po nich zaledwie rejestrując ich obecność.

Należałoby jednak zajrzeć głębiej w istniejące środki kontroli, nie zadawalając się tym, że poprostu istnieją od lat i nikt ich nie kwestionuje. Należałoby je potraktować na równi ze wszystkimi nowymi i projektowanymi środkami zaradczymi, krytycznie oceniajac przełożenie kosztów jakie na nie ponosimy, na ich skuteczność i stopień w jakim zmniejszają ryzyko.

Być może wynikiem przeglądu istniejących środków kontroli będzie likwidacja niektórych z nich, lub drastyczne zmniejszenie wydatków na nie ? Jeśli istniejący środek kontroli dotyczy ryzyka, które w wyniku przeglądu ryzyk okazało się nie być krytyczne, to naturalnie ten środek kontroli powinien zostać zlikwidowany a nakłady finansowe przesunięte na obsługę nowych, bardziej naglących ryzyk.

Przykład: firma utrzymuje kosztowny system gaszenia CO2 w serwerowni. Alternatywą jest zaniechanie tego systemu i założenie, że pożar jest na tyle mało prawdopodobny, iż będzie w efekcie firmę mniej kosztować nawet jeśli całkowicie zniszczy serwerownię. Czy jest sens podtrzymywać dotychczasowy środek kontroli ryzyka - gaszenie gazowe ?

Przy takim ćwiczeniu myślowym dobrze posłuzy nam prosta metoda, porównująca:
- parametry ryzyka (prawdopodobieństwo i skutek) "bez środków kontroli"
- z parametrami ryzyka skontrolowanego (tj jego wielkość po zastosowaniu określonych środków kontroli)
- oraz z kosztami zastosowania środków kontroli.



Sens tego ćwiczenia polega na przeprowadzeniu prostego testu: czy warto wydać 600 tys PLN w ciągu pięciu lat na zainstalowanie i utrzymanie systemu gaszenia CO2 w serwerowni wartej 6 mln PLN ? Odpowiedź brzmi: po jego zainstalowaniu, ewentualne rozprzestrzenienie się pożaru na całą serwerownię jest 4-krotnie mniej prawdopodobne a koszt odbudowy serwerowni po pożarze niższy o ponad 5 mln PLN, zatem - tak, zdecydowanie warto. Nakłady na budowę tego systemu gaszenia stanowią zaledwie 12% tego co możemy zyskać, więc to dobra inwestycja.



Tryskacze występujące tutaj dla porównania pełnią rolę statysty, gdyż ich instalacja w serwerowni nie jest najlepszym pomysłem (chyba, żeby były to tryskacze proszkowe, jeśli takie będą kiedyś skonstruowane ...)

Uwaga: liczby występujące w przykładzie są przypadkowe, nie powinny być wykorzystywane przy prawdziwych analizach czy też podejmowaniu decyzji o wyborze systemu gaszenia.